DigitalisierungIT-Sicherheit: Aktuelle Warnmeldungen im Überblick
Cyberkriminelle nehmen besonders gern kleine und mittlere Betriebe ins Visier, bei denen sie leichtes Spiel vermuten. Nachfolgend listen wir wichtige Warnungen aus dem Bereich der IT-Sicherheit der jüngeren Vergangenheit.
Kein Anspruch auf erneute Zahlung bei manipulierten Rechnungen (5. März 2025)
Das Oberlandesgericht Schleswig-Holstein entschied im Dezember 2024, entgegen einem Urteil des OLG Karlsruhe vom Juli 2023, dass ein Betrieb keine erneute Zahlung verlangen kann, wenn eine seiner Rechnungen ohne ausreichende Sicherheitsmaßnahmen per E-Mail versandt und manipuliert wurde.
Das war geschehen: Ein Handwerksbetrieb hatte eine Rechnung als PDF-Datei im Mailanhang an eine private Auftraggeberin geschickt, die Cyberkriminelle abfingen und veränderten. Die Auftraggeberin beglich die Rechnung daraufhin nicht auf das Konto des Unternehmens, sondern überwies das Geld auf das Konto der Kriminellen.
Das Oberlandesgericht Schleswig-Holstein stellte fest, dass das Unternehmen damit gegen die Datenschutz-Grundverordnung (DSGVO) verstoßen hat. Für die Anforderungen an den digitalen Geschäftsverkehr setzt das Urteil neue Maßstäbe und könnte erhebliche Konsequenzen für Unternehmen haben. Welche Bedeutung das Urteil für die Praxis hat, erläutert die Düsseldorfer Anwaltskanzlei Heuking auf ihrerWebsite.
AuchE-Rechnungen im ZUGfERD- Format (PDF/A) oder X-Rechnung-Format bieten keinen Schutz vor Manipulation und Missbrauch.
Wir empfehlen: Überprüfen Sie dringend Ihre internen Sicherheitsmaßnahmen und passen Sie diese gegebenenfalls an, um Schadensersatzansprüche, Zahlungsausfälle und rechtliche Risiken zu vermeiden.
Aktuelle Warnmeldungen vor unlauteren Maschen
Handwerksbetriebe sehen sich auch offline mit unseriösen Methoden konfrontiert – etwa bei Trickbetrugsfällen am Telefon oder per Post. Auf dieser Seite finden Sie aktuelle Warnhinweise, die wichtig für Sie sein können:
Weitere Meldungen der jüngeren Vergangenheit
1. Quartal 2025
HP hat Updates für mehrere hochkritische Sicherheitslücken in den Universal-Druckertreibern (PCL 6 und Postscript) veröffentlicht.
Die entdeckten Schwachstellen ermöglichen Angreifern das Einschleusen und Ausführen von Schadcode.
Da diese Treiber mit Tausenden von HP-Druckermodellen kompatibel sind, sollten IT-Verantwortliche schnellstmöglich auf die neue Version 7.3.0.25919 aktualisieren. Empfehlung: Alle alten Druckereinträge entfernen und die benötigten Drucker nochmals neu installieren. Dies stellt sicher, dass die korrigierten Treiber verwendet werden.
Mehr Informationen und was Sie als Betroffener unternehmen können, finden Sie online unter Heise.de:
Vermehrt treten in letzter Zeit Fälle von Betrug beim "Bezahlen ohne PayPal-Konto" auf. Kriminelle missbrauchen dabei fremde Bankverbindungen (IBAN) für Einkäufe über die PayPal-Gastzahlung-Funktion.
Auch ohne einem PayPal-Konto können Sie der perfiden Masche zum Opfer fallen. Die Betrüger benötigen nur Ihre IBAN - keine weiteren Bestätigungen oder Zugangsdaten.
Grob formuliert, funktioniert die Masche so: Betrüger nutzen die Option "Bezahlen ohne PayPal-Konto" und geben dabei fremde Bankverbindungen (IBAN) ein. PayPal führt keine ausreichende Identitätsprüfung durch, sodass die Zahlung als Lastschrift von fremden Konten abgebucht wird. Betroffene erhalten bei Rücklastschriften Mahnungen und Inkasso-Forderungen.
Die Verbraucherzentrale Nordhrein-Westfalen informiert Sie auf ihrer Webseite darüber, wie Sie sich dagegen schützen können.
4. Quartal 2024
Um Sie in eine Falle zu locken, nutzen Täter derzeit eine gefälschte Mobilfunknummer. Es handelt sich dabei um dieselbe Rufnummer, die auch WhatsApp zum Versand von Bestätigungcodes verwendet.
Das Perfide: Unter der offiziellen WhatsApp-Nummer erscheint die Phishing-SMS zusammen mit den echten Nachrichten aus der Vergangenheit. Auch als Absender wird WhatsApp angegeben.
Klicken Sie auf den Link in der SMS, landen Sie auf einer gefälschten WhatsApp-Seite mit einem Chatbot, der sich als „Online-Kundenservice“ ausgibt. Bei der darauffolgenden „Sicherheitsüberprüfung“, müssen Sie zunächst Ihre Rufnummer eingeben. Das Ziel der Betrüger ist es vollen Zugriff auf Ihr persönliches Whatsapp-Konto zu erlangen, um Nachrichten sowohl mitlesen als auch versenden zu können.
Den einzig verlässlichen Hinweis, dass es sich nicht um eine echte WhatsApp-Nachricht handelt, stellt die angegebene Domain (Internet-Adresse) der Phishing-Website dar. Diese unterscheidet sich gefährlicherweise jedoch nur minimal von der legitimen WhatsApp-Domain (whatsapp.com).
„12345", „password" oder „abc123" gehören 2024 zu den Top 20 der privaten Passwörter in Deutschland (Quelle: Tagesschau, 1. Dezember 2024). Sehr unsichere und leicht zu knackende Passwörter werden dabei häufig nicht nur im Privaten verwendet, sondern zunehmend auch im Arbeitsalltag. Ziffernfolgen sind dabei am beliebtesten.
Die Grafik vonHive Systems, LLC veranschaulicht, wie schnell Cyberkriminelle ein unsicheres Passwort heutzutage mit einer sog. Brute-Force-Attacke knacken können.
Zu Ihrer Sicherheit wird empfohlen einen Passwortmanager zu nutzen. Hier behalten Sie Ihre Kennwörter jederzeit sicher im Griff – und können diese dementsprechend sicher gestalten.
Weitere Informationen zum Thema „Sichere Passwörter verwenden" finden Sie inunserer Übersicht.
Handy-Parker befinden sich aktuell im Visier von Betrügern. Das Zapfen von Strom ist an vielen öffentlichen Ladesäulen mit einem QR-Code möglich. Scannen, bezahlen und fertig – QR-Codes am Parkautomat vereinfachen den Bezahlungsprozess und genießen dadurch Beliebtheit. Aber Achtung, Kriminelle nutzen das aktuell für ihre Zwecke indem sie die Original-QR-Codes mit ihren eigenen überkleben.
Der Link des QR-Codes leitet zunächst auf eine täuschend echtaussehende, gefälschte Bezahlseite, bei welcher Sie nach Ihren Bank-Daten abgefragt werden.
Der Link des QR-Codes leitet zunächst auf eine täuschend echtaussehende, gefälschte Bezahlseite, bei welcher Sie nach Ihren Bank-Daten abgefragt werden.
3. Quartal 2024
Phishing ist nicht nur ein Problem, das E-Mails betrifft. Mit gefälschten QR-Codes, die per Briefpost versandt werden, gehen Cyberkriminelle seit Neuestem auf die Jagd nach sensiblen und persönlichen Daten.
Erhalten Sie einen Brief, der aussieht wie wichtige Post von Ihrer Bank, seien Sie wachsam. In den Briefen behaupten die Betrüger im Namen der Kreditinstitute, gemäß der EU-Vorschriften zur Verhinderung von Geldwäsche und und den Know Your Customer (KYC) Richtlinien, Ihre Identität überprüfen zu müssen. Beim Einscannen eines QR-Codes werden Sie aufgefordert, Ihre Daten einzugeben.
Indem sie die Briefe mit einem Datum versehen, bis zu dem das Eingeben der Daten erledigt werden soll, üben die Kriminellen Druck auf die Betroffenen aus. Durch das Scannen des QR-Codes gelangen Sie jedoch auf einer Phishing-Seite, auf der Sie sensible Daten angeben sollen. Schließlich verschaffen sich die Betrüger so Zutritt zu Ihrem Onlinebanking.
Das Zapfen von Strom ist an vielen öffentlichen Ladesäulen mit einem QR-Code möglich. Cyberkriminelle haben nun einen Weg gefunden, dies für ihre Zwecke zu nutzen, um an Ihre Bankdaten zu gelangen:
Der Link des QR-Codes leitet zunächst auf eine gefälschte Bezahlseite, bei welcher Ihre Kreditkartendaten abgegriffen werden. Diese ähnelt optisch der richtigen Website des Lade-Dienstleisters. Nach dem Eingeben Ihrer Daten fließt jedoch kein Strom.
Die Betrüger haben das Programm so gestaltet, dass Sie erst beim zweiten Anlauf auf die richtige Webseite gelangen, sodass der erste Fehlversuch von den meisten Nutzern kaum beachtet wird. Zu Ihrer Sicherheit wird empfohlen, die Lade-App des Betreibers oder das Kreditkarten-Lesegerät zu nutzen.
2. Quartal 2024
Aktuell häufen sich betrügerische E-Mails, die Cyberkriminelle im Namen der Sparkasse versenden. Sie tragen Betreffzeilen wie „Schutz Ihrer persönlichen Informationen [ID: <6-stellige ID>]“ und zielen darauf ab, Sie zur Teilnahme an einem vermeintlichen Sicherheitssystem namens S-pushTAN zu verleiten.
Die Links in den E-Mails leiten auf eine gefälschte Website. Dort werden Sie dazu aufgefordert, ihre Online-Banking-Zugangsdaten und Kreditkartendaten einzugeben, eine TAN-Freigabe zu autorisieren und ihren pushTAN-Registrierungsbrief hochzuladen.
Die Sparkassen-Finanzgruppe warnt eindringlich vor diesen Phishing-Mails und bittet um äußerste Vorsicht. Eingegebene Daten können von Kriminellen für betrügerische Transaktionen missbraucht werden. Falls Sie bereits Daten eingegeben haben, sollten Sie sich umgehend bei Ihrer zuständigen Sparkasse melden.
Im Zuge ihrer Steuererklärung stehen viele Privatpersonen und Handwerksbetriebe besonders in der ersten Jahreshälfte in engem Kontakt mit ihrem Finanzamt. Das machen sich auch Cyberkriminelle zunutze.
Eine aktuelle Masche: Betrüger versenden vermeintlich seriöse E-Mails oder SMS im Namen des Finanzamts und fordern darin zur Aktualisierung von Daten auf. Oft locken sie mit einer vermeintlichen Steuerrückerstattung.
Wer auf den Link in der Nachricht klickt, gelangt auf eine gefälschte Website und läuft Gefahr, persönliche und finanzielle Daten preiszugeben. Prüfen Sie also genau, von wem die Nachricht stammt und klicken Sie auf keinen Fall Links an. Das Finanzamt fordert niemals dazu auf und fragt auch keine sensiblen Daten ab.
Neun Tipps und unser Beratungsangebot
Wir geben Ihnen neun wichtige Tipps, wie Sie die IT-Sicherheit in Ihrer Firma erhöhen:
IT-Sicherheit: Tipps für den Betrieb und für zu Hause
Bei Fragen rund um das Thema IT-Sicherheit und Digitalisierung können sich Handwerksbetriebe aus der Region Stuttgart kostenfrei an unseren BeraterThomas Gebhardt wenden. Auch dieTransferstelle IT-Sicherheit im Mittelstand (TISiM) bietet Betrieben wertvolle Unterstützung.
