Betrug im Digital-Zeitalter: Moderne IT definiert -Bedrohungen und -Schutzmaßnahmen neu

Unternehmen sind mit neuen Formen digitalen Betrugs konfrontiert, denn technologischer Fortschritt bietet ihnen selbst, aber eben auch Hackern neue Möglichkeiten

[datensicherheit.de, 19.11.2024] Die Check Point® Software Technologies Ltd. Nimmt die „International Fraud Awareness Week“ zum Anlass, in einer aktuellen Stellungnahme auf neue Formen digitalen Betrugs einzugehen, mit denen Unternehmen konfrontiert sind, denn der technologische Fortschritt hat offensichtlich sowohl Unternehmen als auch Hackern neue Möglichkeiten eröffnet: „Von Cyber-Hochstapelei und internem Betrug bis hin zu immer raffinierteren Verbrechen, wie CEO-Vortäuschung und KI-gesteuerten Attacken.“

Foto: Check Point Software

Marco Eggerling: Da Cyber-Betrug immer raffinierter wird, muss sich unsere Verteidigung entsprechend entwickeln!

Digitaler Schub für Wirtschaftsbetrug

Ursprünglich habe sich digitaler Betrug auf einfache Phishing-E-Mails beschränkt, „bei denen die Betrüger ihre Opfer mit einer auf Angst basierenden Taktik zur Preisgabe sensibler Daten veranlassten“. Im Laufe der Zeit seien diese Angriffe ausgeklügelter geworden und nutzten Maschinelles Lernen (ML) sowie Künstliche Intelligenz (KI), um Social-Engineering-Taktiken zu verfeinern, Angriffe zu personalisieren und die Erfolgsquote zu erhöhen.

Check Point wirft einen Blick auf die verschiedenen, indes typischen Betrugsarten:

Cyber-Betrug
Phishing, Malware und Ransomware seien nach wie vor weit verbreitet. Cyber-Kriminelle hätten es auf sensible Daten abgesehen und störten den Geschäftsbetrieb.
„Dies macht deutlich, wie wichtig robuste IT-Sicherheitsmaßnahmen sind, um unbefugten Zugriff zu erkennen und zu verhindern!“

Interner Betrug
Interne Betrügereien stellten eine erhebliche Bedrohung dar und umfassten kriminelle Handlungen von Mitarbeitern, einschließlich Dokumentenfälschung, Unterschlagung und Diebstahl.
„Diese Art von Insider-Betrug verdeutlicht die Notwendigkeit strenger interner Kontrollen und Überwachung, um Anomalien frühzeitig zu erkennen!“

Betrug mit Rechnungen
Betrüger schickten gefälschte Rechnungen an Unternehmen – in der Hoffnung auf eine ungeprüfte Bearbeitung und Begleichung.
„Diese Form des Betrugs kann Gelder verschlingen, wenn Unternehmen keine angemessenen Prüfungsprozesse besitzen!“

CEO-Betrug
Oft als Business-E-Mail Compromise (BEC) bezeichnet, geben sich Betrüger demnach als hochrangige Führungskräfte aus, um Mitarbeiter zur Überweisung von Geldern oder zur Weitergabe sensibler Informationen zu bewegen.
„Diese Taktik ist durch den Einsatz von Generativer KI, die eine realistische Nachahmung des Kommunikationsstils von Führungskräften ermöglicht, einfacher geworden!“

Betrug bei der Gehaltsabrechnung
Wenn Mitarbeiter Gehaltsabrechnungssysteme zum eigenen Vorteil manipulierten, könne dies zu unerwarteten finanziellen Verlusten führen.
„Diese Art von Betrug erfordert oft eine strenge Überwachung der Gehaltsabrechnungen und regelmäßige Audits!“

Betrug oft von Kombination aus technischem Fortschritt und menschlichem Versagen begünstigt

Ein bemerkenswertes Beispiel sei der Wechsel von allgemeiner Ransomware zu gezielten Angriffen. „Bei herkömmlichen Ransomware-Angriffen verschlüsselten die Hacker die Daten und verlangten eine Zahlung, oft ohne große Strategie oder Präzision. Nun verwenden Ransomware-Betreiber ausgefeilte Erkundungsmethoden und infiltrieren Systeme über längere Zeiträume, um sensible Daten zu stehlen und diese in Doppelter Erpressung gegen Einzelpersonen oder Unternehmen einzusetzen.“ Dieser erhöhte Grad an Personalisierung mache es schwieriger, sie zu entdecken, und sei oft verheerender.

Diese Betrugsarten, welche oft von einer Kombination aus technischem Fortschritt und menschlichem Versagen begünstigt würden, hätten unbestreitbare Auswirkungen auf Unternehmen. Das National Insurance Crime Bureau (NICB) weist laut Check Point darauf hin, dass Betrug jährlich Verluste in Milliardenhöhe verursache, von denen Einzelpersonen, Unternehmen und Branchen gleichermaßen betroffen seien. Laut dem Bericht „Occupational Fraud 2024“ der Association of Certified Fraud Examiners verlören Unternehmen etwa fünf Prozent ihres Jahresumsatzes durch Betrug, wobei der durchschnittliche Verlust pro Vorfall mehr als 1,5 Millionen US-Dollar betrage.

Folgen von Betrug: Mehr als finanzielle Verluste

Nach Angaben der US Federal Trade Commission hätten Verbraucher angegeben, im Jahr 2023 rund zehn Milliarden US-Dollar durch Betrug verloren zu haben, was einem Anstieg von 14 Prozent gegenüber 2022 entspreche. Online-Shopping-Betrug sei die am zweithäufigsten gemeldete Form von Betrug gewesen. Die Auswirkungen von Betrug gingen aber über direkte finanzielle Verluste hinaus – sie umfassten auch Ermittlungskosten, Anwaltskosten, behördliche Strafen, Rufschädigung und erhöhte Versicherungsprämien. Zum Beispiel:

Ermittlungen und Wiederherstellung
Die Aufdeckung von Betrugsfällen erfordere gründliche Untersuchungen und manchmal sogar die Einschaltung der Strafverfolgungsbehörden, was zeitaufwändig sei und Kosten verursache.

Gerichtskosten und Bußgelder
Schwerer Betrug könne zu Gerichtsverfahren führen, insbesondere wenn es zu Datenschutzverletzungen komme, welche hohe Geldbußen nach sich zögen. Allein im Jahr 2023 hätten die Aufsichtsbehörden Bußen in Millionenhöhe wegen ungeschützter sensibler Daten verhängt.

Schädigung des Rufs
Die langfristigen Auswirkungen auf das Kundenvertrauen und den Ruf der Marke könnten zu Umsatzeinbußen und sinkender Kundenbindung führen.

Leichte Zugänglichkeit von KI-Werkzeugen erleichtert Betrug

Check Point erörtert, warum der Betrug in diesem Tempo zugenommen hat: „Zu den Faktoren gehören die rasche Einführung digitaler Transaktionen, die verstärkte Nutzung des Online-Bankings und die Zunahme der Fernarbeit.“ Jeder dieser Faktoren eröffne Betrügern neue Möglichkeiten, welche sie ausnutzen könnten. Ein weiterer Faktor sei die leichte Zugänglichkeit von Werkzeugen, welche den Betrug erleichterten, wie KI-Programme, die realistische Fälschungen erstellten, so dass es für Einzelpersonen und Unternehmen immer schwieriger werde, Echtes von Falschem zu unterscheiden.

Die Rolle Generativer KI sei ein „zweischneidiges Schwert in der Betrugsprävention und -vermeidung“: Diese habe beide Seiten der „Betrugsgleichung“ verändert – auf der einen Seite biete KI unschätzbare Werkzeuge für die Betrugserkennung und -prävention, „indem sie große Datenmengen verarbeitet, um ungewöhnliche Muster oder Verhaltensweisen zu erkennen, die auf Betrug hindeuten könnten“. Auf der anderen Seite hätten auch Betrüger damit begonnen, Generative KI zu missbrauchen, um noch raffiniertere Betrugsversuche durchzuführen. Sogenannte Deepfakes ermöglichten es Kriminellen, realistische Audio-, Video- oder Textnachahmungen von Führungskräften oder Personen des öffentlichen Lebens zu erstellen. Diese Technologie habe bereits Betrügereien mit „CEOs“ ermöglicht, bei denen Imitatoren KI-generierte Inhalte verwendeten, um Mitarbeiter zu täuschen.

Betrugsprävention und umfassende Cyber-Sicherheit

Während sich die Betrugslandschaft weiterentwickelt habe, hätten sich auch die Instrumente und Verfahren zur Betrugsbekämpfung verbessert:

Umfassende E-Mail-Sicherheit
Da Phishing nach wie vor eine der Hauptursachen für Betrug sei, bleibe „ein fortschrittliches E-Mail-Sicherheitssystem, das mithilfe von KI verdächtige Nachrichten erkennt und blockiert, von entscheidender Bedeutung“.

Multi-Faktor-Authentifizierung (MFA)
MFA biete eine zusätzliche Sicherheitsebene, welche es Betrügern erheblich erschwere, sich unbefugt Zugang zu sensiblen Daten zu verschaffen.

Kontinuierliche Mitarbeiterschulung
Die Mitarbeiter seien oft die erste Verteidigungslinie. Mitarbeiter zu den neuesten Betrugstaktiken wie KI-gesteuertem „Social Engineering“ zu schulen, helfe dabei, diese Angriffe zu erkennen.

Regelmäßige Sicherheitsprüfungen
Die regelmäßige Durchführung von Sicherheitsbewertungen ermögliche es Unternehmen, „Schwachstellen zu erkennen und zu beheben, bevor sie ausgenutzt werden können“.

Benutzerfreundliche Sicherheit
„Tools“, welche die Sicherheitsverwaltung vereinfachten, ermöglichten es Unternehmen, Bedrohungen auch ohne umfangreiche technische Schulungen wirksam zu überwachen und umgehend zu reagieren, was die Zugänglichkeit und Skalierbarkeit gewährleiste.

KI kann Reichweite und Auswirkungen von Betrug vergrößern – Marco Eggerlings Fazit:

„Da Cyber-Betrug immer raffinierter wird, muss sich unsere Verteidigung entsprechend entwickeln. KI vergrößert Reichweite und Auswirkungen von Betrug, also müssen Unternehmen ebenso dynamische Sicherheitsstrategien einführen, die KI-gestützte Lösungen nutzt, um Angreifer zu übertreffen und zu überlisten“, kommentiert Marco Eggerling, „Global CISO“ bei Check Point Software Technologies.

Eggerling gibt abschließend zu bedenken: „Der Aufbau einer widerstandsfähigen Cyber-Abwehr verhindert nicht nur Betrug, sondern fördert auch ein sichereres, vertrauenswürdigeres Umfeld für alle!“

Weitere Informationen zum Thema:

ACFE Association of Certified Fraud Examiners, 20.03.2024
ACFE Report to the Nations: Organizations Lost an Average of More Than $1.5M Per Fraud Case