{"id":546,"date":"2021-11-22T05:00:56","date_gmt":"2021-11-22T05:00:56","guid":{"rendered":"https:\/\/hub.hslu.ch\/economiccrime\/2021\/11\/22\/cyberangriffe-auf-gemeinden-spear-phishing-unn%c3%b6tig-leicht-gemacht\/"},"modified":"2026-02-11T14:53:29","modified_gmt":"2026-02-11T13:53:29","slug":"cyberangriffe-auf-gemeinden-spear-phishing-unnoetig-leicht-gemacht","status":"publish","type":"post","link":"https:\/\/hub.hslu.ch\/economiccrime\/cyberangriffe-auf-gemeinden-spear-phishing-unnoetig-leicht-gemacht\/","title":{"rendered":"Cyberangriffe auf Gemeinden \u2013 Spear-Phishing unn\u00f6tig leicht gemacht?"},"content":{"rendered":"\n

Margrit Keller<\/a><\/p>\n\n\n\n\n\n

Spear Phishing<\/a> ist eine sehr heimt\u00fcckische Art von Cyberangriff. Er funktioniert \u00e4hnlich wie ein Phishing-Angriff<\/a>, ist aber viel gezielter und raffinierter. Im Unterschied zu den schlecht gemachten Phishing-Mails sind diese \u00abmassgeschneidert\u00bb und werden vom Spam-Filter nicht automatisch erkannt und aussortiert.<\/p>\n\n\n\n

Der Absender scheint \u2013 mittels Spoofing des angezeigten Displaynamens<\/a> – vertrauensw\u00fcrdig. Er gibt sich beispielsweise aus als Gemeindeangestellter, politischer Vorgesetzter, Bank, Beh\u00f6rde, Lieferant oder Einwohner\/in. Das vorgebrachte Anliegen wirkt logisch und ad\u00e4quat. Auch sprachlich sind keine Auff\u00e4lligkeiten zu entdecken. Das ist kein Zufall!<\/p>\n\n\n\n

Das Verfassen solcher Mails erfordert Insiderwissen zur Verwaltungs- und Organisationsstruktur und zu den Mitarbeitenden des Angriffsziels. Sie werden nicht von \u00abZufallshackern\u00bb verschickt, sondern von T\u00e4tern, die gezielt auf eine ganz bestimmte \u00abBeute\u00bb aus sind. Das k\u00f6nnen finanzielle Gewinne, sensible Personen-\/Steuerdaten, Bank-\/Kreditkartendaten, Logins, usw. sein. Oft handelt es sich dabei nur um die Vorstufe zum eigentlichen Angriff. Dass man \u00fcbers Ohr gehauen wurde, realisiert man leider oft erst, wenn es bereits zu sp\u00e4t ist.<\/p>\n\n\n\n

Spear-Phishing-Angriff auf die Lohnbuchhaltung<\/strong><\/p>\n\n\n\n

Auf der Gemeinde Dietikon kam der Angriff v\u00f6llig unerwartet. Er war professionell und wurde nur zuf\u00e4llig rechtzeitig entdeckt. Ein finanzieller Schaden konnte demnach gl\u00fccklicherweise verhindert werden. Stellen Sie sich einmal die Frage, wie Sie als Verantwortliche\/r der Lohnbuchhaltung reagieren, wenn Sie von einer Ihnen bekannten Mitarbeiterin ein internes E-Mail mit Signatur und folgendem Inhalt erhalten:<\/p>\n\n\n\n

Liebe XXXXX, kannst Du bitte mein bisheriges Bankkonto bei der Bank XY auf die Postfinance-Konto xxxxxx \u00e4ndern? Vielen Dank und beste Gr\u00fcsse<\/em><\/p>\n\n\n\n

Bei mehreren hundert Lohnauszahlungen pro Monat wird kaum jemand auf die Idee kommen, den angezeigten Displaynamen des Mails zu \u00fcberpr\u00fcfen oder gar telefonisch zur\u00fcckzufragen, ob das Konto auch tats\u00e4chlich ge\u00e4ndert werden soll. Es handelt sich um ein Routinegesch\u00e4ft. Ein bis drei Konten\u00e4nderungen pro Monat sind \u00fcblich.<\/p>\n\n\n\n

Die Mutation wurde demnach im Lohnsystem vorgenommen, der Vollzug per E-Mail best\u00e4tigt und der ausgedruckte Mailverkehr zu den Unterlagen gelegt. Erst in der gedruckten Version fiel \u2013 rein zuf\u00e4llig – auf, dass die Empf\u00e4nger-E-Mail-Adresse (sinngem\u00e4ss) xyz88(at)gmail.com<\/em> lautet. Motiviert vom vermeintlichen Erfolg ihrer Phishing-Aktion trafen einige Zeit sp\u00e4ter zwei weitere E-Mails mit Mutationsauftr\u00e4gen ein.<\/p>\n\n\n\n

Eigene Recherchen zur Identit\u00e4t des Konteninhabers f\u00fchrten zu einem mutmasslichen Money-Mule<\/a>, der am 25. des Monats wohl an Stelle von drei Mitarbeitenden die Lohnauszahlung in Empfang genommen und an seine Auftraggeber \u00fcberwiesen h\u00e4tte. Die Stadt Dietikon hat umgehend Anzeige bei der Polizei erstattet und die Kontendaten zur\u00fcckmutiert.<\/p>\n\n\n\n

Hohes Schadenspotenzial<\/strong><\/p>\n\n\n\n

Als Einzelfall und isoliert betrachtet mag der Vorfall bei der Stadt Dietikon ein \u00abkleiner Fisch\u00bb sein. Nimmt man aber an, dass die Angreifer alle 86 Gemeinden der Schweiz mit mehr als 15’000 Einwohnern als Zielgruppe ins Visier genommen haben k\u00f6nnten, ergibt das eine potenzielle Deliktsumme von rund drei bis f\u00fcnf Millionen Franken.<\/p>\n\n\n\n

Wesentlich gr\u00f6ssere und lukrativere \u00abFischz\u00fcge\u00bb d\u00fcrften mit den bei der Ransom-Attacke auf die Gemeinde Rolle<\/a> erbeuteten und im Darknet ver\u00f6ffentlichten, hochsensiblen Daten wohl erst noch bevorstehen. Siehe dazu die Berichte in der NZZ vom 25.8.2021<\/a>, im Inside-IT vom 26.8.2021<\/a> sowie bei watson vom 30.8.2021<\/a>.<\/p>\n\n\n\n

Gemeinden sollten es den Angreifern nicht unn\u00f6tig leicht machen!<\/strong><\/p>\n\n\n\n

Im Anschluss an den Hacker-Angriff auf die Waadtl\u00e4nder Gemeinde Rolle hat die Kantonspolizei Bern, in Zusammenarbeit mit dem Nationalen Zentrum f\u00fcr Cybersicherheit (NCSC<\/a>), die Brosch\u00fcre \u00abCyberdelikte verhindern \u2013 Wegleitung f\u00fcr Gemeinden\u00bb<\/a> ver\u00f6ffentlicht.<\/p>\n\n\n\n

Aus Sicht eines potenziellen Angreifers, braucht es f\u00fcr eine einfache Spear-Phishing-Attacke auf eine Gemeinde nur Zugriff auf die Website, etwas Fantasie, gen\u00fcgend Zeit und einige Money-Mules f\u00fcr die Abwicklung der Zahlungen. IT-Technisches Wissen ist nicht notwendig und das Risiko erwischt zu werden, ist gering.<\/p>\n\n\n\n

Die Internet-Auftritte der zuf\u00e4llig ausgew\u00e4hlten Gemeinden Dietikon<\/a>, Uster<\/a>, Kloten<\/a> und Wil<\/a> zeigen, dass unter der Rubrik \u00abMitarbeitende\u00bb Name, Vorname, E-Mail, Telefon und Funktion aller Gemeindeangestellten zu finden sind. Einige Gemeinden wie beispielsweise Langenthal<\/a> und Oberuzwi<\/a>l ver\u00f6ffentlichen zus\u00e4tzlich Mitarbeiterfotos.<\/p>\n\n\n\n

Mit diesen \u00f6ffentlich zug\u00e4nglichen Informationen ist der Grundstein f\u00fcr einen erfolgsversprechenden Spear-Phishing Angriff gelegt. Die Verantwortlichen einer Gemeinde sollten sich somit sehr gut \u00fcberlegen, welche Informationen sie auf dem Internet publizieren und was sie \u00fcber sich auf sozialen Medien kommunizieren. Weniger ist hier definitiv mehr!<\/p>\n\n\n\n

Schliesslich ist entscheidend, dass sich alle Angestellten, aber auch die Politiker der Bedrohung bewusst sind. Sie sind gezielt zu sensibilisieren, dass E-Mails auch F\u00e4lschungen sein k\u00f6nnen und dass Vorsicht und gesundes Misstrauen nie schaden.<\/p>\n\n\n\n

Falls man trotz aller Vorsicht auf die Angreifer hereingefallen ist, sollte man umgehend bei der Polizei Anzeige erstatten. Nur so kann den Cyberkriminellen das Handwerk gelegt werden.<\/p>\n\n\n\n

\n\n\n\n

\u00dcber die Autorin<\/strong><\/p>\n\n\n\t\t

\n\t\t

Autorin: Margrit Keller<\/h1>\n\t\t
\n\t\t\t\t\t\t\n\t\t\t\"\"\n\t\t<\/figure>\n\t\t
\n\t\t\t
\n\t\t\t\tMargrit Keller<\/a>, MAS Economic Crime Investigation<\/a>, EMBA und MAS Controlling, arbeitet seit \u00fcber f\u00fcnfzehn Jahren in leitender Position in unterschiedlichen Funktionen im Finanzbereich der \u00f6ffentlichen Verwaltung. Von 2012 bis 2017 leitete sie die Finanzabteilung der Stadt Biel\/Bienne und wechselte anschliessend als Leiterin Finanzen zum Amt f\u00fcr Landwirtschaft und Natur (LANAT) des Kantons Bern. Seit Anfang M\u00e4rz 2019 leitet sie die Finanzabteilung der Stadt Dietikon.\t\t\t<\/div>\n\t\t\t\n\t\t\t\n\t\t<\/div>\n\t<\/div>\n\n\n\n