E-Mail Konto gehackt, Auftragsbestätigung verändert

Geld & Sparen Bank & Zahlungsverkehr
#1

Hallo,
Folgender fiktiver Fall
Das E-Mail-Kontos eines Lieferanten in China wurde gehackt. Er schickt eine Proforma Rechnung die abgefangen und verändert wird. Firmenname, Zahlungsbedingungen und Konto wird geändert.
Der Kunde weiß aus langjähriger Zusammenarbeit mit dem Lieferanten, dass es in China einer Export-Lizens bedarf die nur größere Firmen innehaben. Kleinere Exporteure „hängen“ sich an größere Firmen dran und drücken dafür eben einen Obulus ab.
Die Kontoänderung ist daher auch nicht verwunderlich. Sie wird vor der Ausführung nochmals per e-mail hinterfragt und natürlich vom Hacker entsprechend bestätigt.
Der Zahlbetrag von USD 10600.oo wird Freitag nachmittag um 15.57 online überwiesen.
Am Montag ruft die Hausbank an, weil der Verwendungszweck versehendlich nicht ausgefüllt war.
Der wird vom Chef telefonisch durchgegeben. Keine halbe Stunde später fällt der Sachbearbeiterin auf, dass sich die angezeigte e-mail Adresse der Korrespondenz im Laufe der vergangen Tage geändert hat. Ein Versuch die Webseite des Lieferanten zu erreichen schlägt fehl, ist nicht erreichbar. Ein Anruf beim Lieferanten bestätigt, dass sich weder email Adresse noch Kontoverbindung seit dem letzten Auftrag geändert hat. Die Bank wird umgehend informiert die Zahlung zu stoppen. Zu diesem Zeitpunkt ist der Zahlungsauftrag lt. des Kundenbetreuers aber bereits bei der XX-Bank die die Auslandszahlungen für die Hausbank ausführt.
Nach 2 Arbeitstagen seit dem Informieren der Bank ist weder klar ob die Zahlung gestoppt werden konnte noch wo das Geld jetzt ist.
Durch den Währungstausch €-$ vergeht m. W. min. Tag bevor der Auftrag überhaupt weiter ausgeführt wird. Dass am Freitag um 16 Uhr noch viel erledigt wurde ist doch auszuschließen oder irre ich mich? Zumal am Montag Morgen nach dem Verwendungszweck gefragt wurde.
Trifft den Kunden der durch die gefakte Auftragsbestätigung und geänderte Kontoverbindung eine Mit- oder gar Totalschuld?
Gruß

Frage von Internet Sicherheit verschoben nach Bank & Zahlungsverkehr
MOD Pierre

#2

Hallo,

es gibt einen, der Schuld ist und das ist der, der sich das Geld illegal zueignen wollte/will. Und es gibt einen, dessen Geld eventuell weg ist und das ist der, der gezahlt hat.

Eventuell gibt es noch einen, der den Schaden übernimmt und das wäre dann eine eventuell zuständige Versicherung, aber da hier nicht in die Systeme desjenigen, der gezahlt hat, eingegriffen wurde, sondern man aus reiner Unaufmerksamkeit gezahlt hat, sehe ich das Szenario eher nicht.

Alle Versuche, irgendjemanden außer dem Straftäter in die Mitverantwortung zu nehmen, sind zum Scheitern verurteilt.

Gruß
C.

1 Like
#3

Und der keine etablieren Techniken wie OpenPGP zur geschäftlichen Kommunikation verwendet hat.

Ja, ich weiß, das ist soooooo umständlich.

#4

Nee. Das ist in vielen Firmen auch kontraproduktiv und teils auch gesetzlich verboten. Wenn ich auf meinem IMAP-Server eine zentrale Mailablage - etwa für Projekte - habe, dann kann nur noch der eigentliche Empfänger seine eigenen Mails lesen, nicht aber Dritte oder ggf. neu eingestellte MitarbeiterInnen.

Und gerade bei elektronischen Rechnungen muss man ja neuerdings eine revisionssichere Archivierung gewährleisten. Auch das geht nicht mit PGP, weil eben auch hier nur der eigentliche Empfänger die Mails später wieder lesen kann. Das ist das genaue Gegenteil von Archivierung.

Das ist ja genau das Problem mit Ende zu Ende Verschlüsselung bei Mails. Das ist ein konzeptionelles Problem. Man könnte den Client ja anweisen, die Mail beim ersten Sichten zu entschlüsseln und wieder auf den (hoffentlich lokalen) Server zu speichern. Macht man aber nicht, weil es eben der Sicherheit entgegensteht.

#5

ich versteh nur Bahnhof