@vogtsburger schrieb: ... … im aktuellen Fall geht es ja um einen ‚individualisierten‘ Angriff auf die E-Mail-Kommunikation zwischen einer Steuerkanzlei und dem einzelnen Mandanten ... Was verstehen sie unter "individualisierten Angriff"? Ich würde davon ausgehen, dass es kein individueller Angriff auf genau diese Kommunikationspartner war, sondern dass einer der Beteiligten bzw. dessen System kompromittiert ist, sondern der Rechnungsbetrag den Schwellenwert der Angreifer überschritten hat, ab dem eine Rechnung manipuliert wird. Wenn doch genau die Kommunikation zwischen den Beiden (Steuerkanzlei und konkreter Mandant) das Angriffsziel war, spräche einiges dafür, dass der Täter entweder bei einem der Beiden beschäftigt ist oder war. @vogtsburger schrieb: ... Die Rechnung im PDF-Format (aus DATEV EO-Comfort heraus) muss aus meiner Sicht ja ‚per Handarbeit‘ bearbeitet worden sein. Die originale Bankverbindung wurde aus dem Briefkopf gelöscht und ein eigener Text auf der Rechnung hinzugefügt. ... Das lässt sich auch automatisieren - leider. @vogtsburger schrieb: .... Könnte man nicht über die Analyse der E-Mail-Header in der Kanzlei und beim Mandanten dem (Um-)Weg der E-Mail auf die Spur kommen ? Zwischen dem Absenden der E-Mail in der Kanzlei und dem Eingang der E-Mail im Postfach des Mandanten müsste ja eine Zeitspanne liegen, in der die E-Mail-Anlage manipuliert wurde. Theoretisch könnte das auch bei einem der E-Mail-Provider gewesen sein. Dann hätte weder der Absender, noch der Empfänger der E-Mail eine Einflussmöglichkeit, außer eine starke Verschlüsselung (z.B. S/MIME) einzusetzen oder den Provider zu wechseln. Die Identifizierung der Schwachstelle wird wohl die größte Herausforderung sein. Aber jeder der beteiligten E-Mail-Partner weist erstmal jede Schuld von sich, es sei denn, man hat mehrere oder gar viele ähnliche Vorfälle innerhalb der eigenen IT-Infrastruktur, die man keinem einzelnen externen Kommunikationspartner 'in die Schuhe schieben' kann. Die Analyse der ORIGINAL Mails lässt den Zeitpunkt der Manipulation und - wenn's schlampig gemacht wurde - auch die Quelle ermitteln. Auch der E-Mail-Provider kann die Schwachstelle sein. Einer dieser Provider - so hat der KRIPO-Beamte berichtet - ist besonders häufig von solchen Fällen betroffen. Was mich überrascht hat, denn es ist eigentlich kein kleiner Provider. Ob der Wechsel des Providers tatsächlich im Ergebnis zielführend ist, will ich nicht abschließend beurteilen. Selbst wenn beide beim gleichen Provider die Postfächer gehostet haben, bedeutet dies nicht, dass die Postfächer auch auf dem selben Versionsstand der Software laufen. Tools die eine solche Manipulation zuverlässig verhindern gibt es nach meiner Kenntnis nicht wirklich. Ein guter Schutz wäre die pdf.-Datei zu verschlüsseln und vor dem öffnen die Hash-Werte zu vergleichen. Ansonsten hilft nur, soweit möglich die Übermittlung entweder über Portale, oder ggf. über die eRechnungsplattform der DATEV abzuwickeln. Oder die Bankverbindung auf anderem Weg vorab mit dem Mandanten auszutauschen. Ggf. kann im Mandatsvertrag die Bankverbindung genannt werden, verbunden mit dem Hinweis, dass eine Zahlung auf auf ein anderes Bankkonto nicht geeignet ist die Honorarforderung zu erfüllen und dann nochmals gezahlt werden muss.
... Mehr anzeigen