Frauds im Unternehmen

Frauds gehören zu den größten Sicherheitsrisiken für Unternehmen. Dabei sind sie keine Zufälle, sondern gezielte Angriffe auf Mitarbeitende, Systeme und Prozesse.
Wir erklären die Unterschiede zwischen Mass Frauds und Targeted Frauds, zeigen weitere digitale Betrugsformen und geben konkrete Tipps zum Schutz.

Was bedeutet der Begriff „Frauds“?

Der Begriff „Fraud“ stammt aus dem Englischen und bedeutet übersetzt „Betrug“. Im IT-Sicherheitskontext beschreibt er betrügerische Handlungen, die auf Daten, Zugänge, Geld oder Ressourcen abzielen – und das über ganz unterschiedliche Wege: technisch, organisatorisch oder psychologisch. Typisch für diese Angriffe ist, dass sie sich Schwachstellen in Systemen, Prozessen oder im Verhalten von Mitarbeitenden zunutze machen. Bei Letzterem nutzen Cyberkriminelle gezielt psychologische Techniken, um Vertrauen aufzubauen oder Angst und Stress auszulösen – etwa durch Drohungen, Zeitdruck oder falsche Autorität. Diese Form des Betrugs fällt unter den Begriff Social Engineering.

Frauds sind längst kein Einzelfall mehr, sondern ein alltägliches Risiko – für große wie kleine Unternehmen. Umso wichtiger ist es, die verschiedenen Betrugsarten zu kennen und rechtzeitig Gegenmaßnahmen zu ergreifen.

Frauds zielen auf Daten, Zugänge, Geld oder Ressourcen ab. Bild: Pexels/ Negative Space

Mass Frauds – breit gestreute Betrugsversuche

Mass Frauds sind groß angelegte Betrugsversuche, die gleichzeitig an eine Vielzahl potenzieller Opfer gesendet werden – häufig in Form von E-Mails, SMS oder Social-Media-Nachrichten. Das bekannteste Beispiel ist das klassische Phishing, bei dem gefälschte Nachrichten von Banken, Paketdiensten oder Bezahldiensten verschickt werden. Typisch ist, dass die Kommunikation auf den ersten Blick authentisch wirkt. Logos, Layouts und Sprache orientieren sich stark an den Originalen. Ziel ist es, die Empfänger dazu zu bewegen, auf einen Link zu klicken oder einen Anhang zu öffnen – und dadurch persönliche Daten preiszugeben oder Schadsoftware zu aktivieren. Mass Frauds setzen auf Masse statt Zielgenauigkeit. Häufige Beispiele sind:

• Bank-Phishing: Eine E-Mail gibt sich als Sicherheitswarnung einer Bank aus und fordert zur Bestätigung von Kontodaten auf.
• Paketbenachrichtigungen: Gefälschte Nachrichten von DHL, UPS oder ähnlichen Diensten locken mit angeblichen Sendungsverzögerungen.
• Fake-Rechnungen: Eine scheinbare Rechnung per E-Mail fordert zur Zahlung eines offenen Betrags auf – samt infiziertem PDF.
• Gewinnbenachrichtigungen: Nutzer sollen für einen angeblichen Gewinn persönliche Daten eingeben oder einen Link klicken.
• Fake-Login-Seiten: Eine gefälschte Website fordert zur Eingabe von Zugangsdaten auf – etwa für E-Mail- oder Cloud-Konten.

Diese Angriffe funktionieren nach dem Prinzip der Wahrscheinlichkeit: Je mehr Personen kontaktiert werden, desto größer ist die Chance auf einen erfolgreichen Betrug.

Targeted Frauds – gezielte Manipulation einzelner Personen

Targeted Frauds gehen deutlich gezielter als Mass Frauds vor: Hier stehen Einzelpersonen oder spezifische Unternehmen im Mittelpunkt der Täuschung. Die bekannteste Methode ist das Spear-Phishing, bei dem Angreifer maßgeschneiderte E-Mails an ausgewählte Ziele versenden. Diese enthalten persönliche Anreden, konkrete Projektnamen oder scheinbar interne Informationen, die Vertrauen schaffen. Vor solchen Angriffen betreiben die Täter ausführliche Recherche: Informationen aus sozialen Netzwerken, Firmenwebseiten oder Branchenportalen dienen als Grundlage. Häufige Ziele sind Personen mit Entscheidungsmacht oder Zugriff auf kritische Systeme – etwa Geschäftsführung, Buchhaltung oder IT-Admins. Beispiele für Targeted Frauds sind:

• CEO-Fraud: Eine gefälschte Anweisung vom „Chef“ zur sofortigen Überweisung von Geld.
• Supplier-Fraud: Eine manipulierte Rechnung eines vermeintlichen Dienstleisters.
• Job-Fraud: Falsche Bewerbungen mit infizierten Anhängen.

Durch den gezielten Aufbau von Vertrauen wirken diese Angriffe besonders heimtückisch.

Cyberkriminelle nutzen gern E-Mails in Massen oder maßgeschneidert für Frauds. Bild: Pexels/ Maksim Goncharenok

Gemeinsamkeiten und Unterschiede im Überblick

Mass Frauds und Targeted Frauds verfolgen dasselbe Ziel: den Zugriff auf sensible Informationen oder finanzielle Ressourcen. Doch sie unterscheiden sich deutlich in ihrer Herangehensweise. Während Mass Frauds auf Reichweite setzen, punkten Targeted Frauds durch Raffinesse und Detailtiefe.

Beide Methoden nutzen typische Social-Engineering-Techniken:

• Vertrauensaufbau durch bekannte Marken oder Personen
• psychologischer Druck durch vermeintliche Dringlichkeit oder Drohungen
• technische Tricks wie gefälschte Absender oder URLs

Mass Frauds funktionieren oft nach dem Gießkannenprinzip: Geringer Aufwand, viele Empfänger, mäßige Erfolgsquote. Targeted Frauds dagegen erfordern intensive Vorbereitung – können aber enormen Schaden anrichten, wenn das Ziel auf die Täuschung hereinfällt.

Weitere Betrugsformen im Überblick

Frauds beschränken sich längst nicht nur auf Phishing oder CEO-Fraud. Auch abseits von klassischem Social Engineering gibt es eine Vielzahl von Betrugsformen, die Unternehmen ernst nehmen sollten – insbesondere im digitalen Arbeitsalltag. Ein Überblick über häufige Betrugsarten:

• Payment-Fraud: Betrug bei Online-Transaktionen, etwa durch manipulierte Kontodaten oder kompromittierte Bezahldaten.
• Account-Fraud: Automatisierte Logins mit gestohlenen Zugangsdaten (Credential Stuffing), oft aus früheren Datenlecks.
• Ad-Fraud: Künstlich erzeugte Klicks oder Impressions durch Bots, um Werbebudgets gezielt zu schädigen.
• Lizenzbetrug: Der Einsatz nicht lizenzierter Software oder gefälschter Lizenzschlüssel in Unternehmen.
• Insider-Fraud: Betrug durch Mitarbeitende mit Zugriff auf kritische Systeme oder Daten, etwa durch Datenabfluss oder Manipulation.
• Business Email Compromise (BEC): Hochprofessionelle Täuschungsversuche über interne E-Mail-Kommunikation – oft mit großem finanziellen Schaden.

Diese Formen sind oft technisch anspruchsvoller, lassen sich aber durch passende Sicherheitslösungen, klare IT-Richtlinien und regelmäßige Audits wirksam eindämmen.

Schutzmaßnahmen gegen Frauds

Betrug in der IT hat viele Gesichter. Ein wirksames Schutzkonzept kombiniert Technik, Organisation und Schulung. Zu den wichtigsten Maßnahmen zählen:

• IT-Richtlinien im Unternehmen: Klare Vorgaben zu Passwörtern, Softwareeinsatz und Lizenzierung etablieren.
• Awareness-Trainings: Mitarbeitende regelmäßig im Erkennen von Betrugsversuchen schulen.
• Sichere IT-Infrastruktur: Firewalls, Virenschutz und Spamfilter laufend aktuell halten.
• Monitoring & Anomalieerkennung: Aktivitäten automatisiert überwachen und Unregelmäßigkeiten früh erkennen.
• Zugriffs- und Rechtekonzepte: Nur notwendige Zugriffsrechte vergeben – nach dem Prinzip „Need to know“.
• Mehrstufige Authentifizierung (MFA): Anmeldeverfahren mit zweitem Faktor absichern – besonders bei kritischen Systemen.
• Zweikanalige Prüfung sensibler Anweisungen: Freigaben bei Zahlungen oder Datenzugriff zusätzlich verifizieren – z. B. telefonisch.

Nur das Zusammenspiel dieser Maßnahmen ergibt eine wirksame Sicherheitsstrategie – unabhängig davon, ob ein Fraud eher technisch oder psychologisch erfolgt. Die IT-Experten von PC-SPEZIALIST helfen dabei, Ihre IT wirksam abzusichern. Von Sicherheitsanalysen über E-Mail-Schutz bis hin zu Mitarbeitendenschulungen. Nehmen Sie gern Kontakt zu uns auf.

_______________________________________________

Quellen: BSI, Hubspot, BSI, Heise, BSI, Pexels/Tima Miroshnichenko (Headerbild)