Die Entwicklung der Cyberkriminalität und der Schadensfälle im Bereich Social Engineering

Alle sechs Minuten meldet ein Australier eine Cyberkriminalitätstat. Allein im Jahr 2024 beliefen sich die gemeldeten Betrugsverluste auf die unglaubliche Summe von 2,74 Milliarden AUD. Davon entfielen 91,6 Millionen AUD auf „Business Email Compromise“ (BEC), auch bekannt als Social-Engineering-Betrug. Diese Zahlen verdeutlichen sowohl das wachsende Ausmaß als auch die zunehmende Raffinesse der Cyberkriminalität – und die damit verbundenen immer größeren Herausforderungen für Versicherer, Unternehmen und Privatpersonen gleichermaßen.

Von Kapuzenpullis bis hin zu Unternehmensstrukturen

Wenn wir uns einen Cyberkriminellen vorstellen, stammt dieses Bild oft aus Filmen: eine einsame Gestalt in einem Kapuzenpulli, die im Dunkeln vor einem leuchtenden Bildschirm sitzt. Zwar gibt es solche Kriminellen nach wie vor, doch der moderne Cyberkriminelle sieht ganz anders aus.

Heutzutage sind viele von ihnen in strukturierten Organisationen tätig, die legitime Unternehmen nachahmen. Kriminelle werden rekrutiert, erhalten Gehälter und sogar Boni und Urlaub. Die Rekrutierungsprozesse finden im Dark Web statt, wo Cyberkriminelle – ähnlich wie in der Unternehmenswelt – Referenzen vorlegen und Eignungstests bestehen müssen. 

Staatlich geförderte Gruppen, vor allem in Nordkorea und Russland, treiben dies noch weiter voran und investieren massiv in Technologie und Forschung, um ihre Fähigkeiten weiterzuentwickeln. Diese Entwicklung hat es ihnen ermöglicht, immer komplexere und überzeugendere Betrugsmaschen in großem Stil durchzuführen.

Der Aufstieg ausgefeilter Social-Engineering-Methoden

Vor einem Jahrzehnt handelte es sich bei Social-Engineering-Betrugsversuchen in der Regel um ungeschickte E-Mails, die voller Rechtschreibfehler, vager Anweisungen und falscher E-Mail-Adressen waren. Diese Betrugsversuche waren relativ leicht zu erkennen.

Heutzutage nutzen Cyberkriminelle Data Mining, Open-Source-Recherchen und gestohlene Unternehmensdaten, um weitaus überzeugendere Angriffe zu inszenieren. Indem sie Plattformen wie LinkedIn durchforsten, identifizieren Kriminelle Finanzfachleute, die befugt sind, Geldtransfers zu veranlassen, und passen ihre Kommunikation entsprechend an. Diese E-Mails ahmen mittlerweile legitime Korrespondenz nach und verwenden den richtigen Ton, die richtige Sprache und sogar die im Unternehmen gebräuchlichen Spitznamen.

In manchen Fällen halten sich Kriminelle wochenlang in einem kompromittierten Netzwerk auf, um Arbeitsabläufe, Lieferantenbeziehungen und anstehende Rechnungen zu analysieren und so äußerst gezielte Betrugsversuche zu entwickeln. Das Ergebnis: weniger Warnsignale und eine höhere Erfolgswahrscheinlichkeit.

Die Rolle von KI und Deepfakes

Künstliche Intelligenz hat die Entwicklung des Social Engineering dramatisch beschleunigt. Dank der Deepfake-Technologie sind Kriminelle mittlerweile in der Lage, Stimmen und sogar Gesichter von Führungskräften überzeugend nachzubilden.

In einem vielbeachteten Fall genehmigte ein Mitarbeiter eines multinationalen Unternehmens in Hongkong eine Zahlung in Höhe von 200 Millionen HKD (etwa 39,5 Millionen AUD), nachdem er an einer Zoom-Konferenz mit Personen teilgenommen hatte, die wie Mitglieder der Geschäftsleitung aussahen. Das einzige Problem? Bei den Führungskräften handelte es sich um KI-generierte Deepfakes.

Deepfakes sind längst nicht mehr die klobigen, roboterhaften Fälschungen von vor einigen Jahren. Heute sind sie äußerst realistisch, sodass es selbst für geschulte Fachleute schwierig ist, den Unterschied zu erkennen. In Kombination mit gestohlenen Sprachaufnahmen und Videoclips, die möglicherweise aus dem Internet stammen, können Kriminelle nun äußerst überzeugende Identitätsfälschungen erstellen.

Aus Sicht der Schadenbearbeitung stellt dies eine erhebliche Herausforderung dar. Betrugsfälle per Telefon oder Video hinterlassen kaum schriftliche Spuren, was eine Überprüfung erschwert. Zudem erkennen die Opfer möglicherweise erst viel später, dass sie betrogen wurden, was die Wahrscheinlichkeit einer erfolgreichen Rückforderung der Gelder über die Banken verringert.

Neue Bedrohungen: KI-Agenten

Als nächste Herausforderung im Bereich der Cyberkriminalität werden KI-Agenten erwartet – autonome Systeme, die ohne menschliches Eingreifen denken, lernen und Entscheidungen treffen können. Im Gegensatz zu den heutigen KI-Assistenten, die Anweisungen benötigen, können KI-Agenten eigenständig handeln.

Im Zusammenhang mit Cyberkriminalität bedeutet dies, dass ein KI-Agent Folgendes tun könnte:

• Im Internet nach Zielen suchen
• CRM-Datenbanken mit Finanzfachleuten aufbauen
• Überzeugende Schreiben verfassen
• Versenden Sie Tausende von Betrugs-E-Mails in großem Umfang

Und das alles ohne menschliche Aufsicht. Die Kosten sind minimal, die Reichweite enorm, und selbst wenn nur ein Versuch erfolgreich ist, können die Erträge beträchtlich sein.

Maßnahmen der Gesetzgeber und der Banken

Regierungen und Finanzinstitute reagieren darauf. Im Februar 2025 wurde in Australien der Gesetzentwurf zum Rahmenwerk zur Betrugsbekämpfung verabschiedet, der Banken dazu verpflichtet, strengere Kontrollmaßnahmen zur Aufdeckung, Verhinderung und Unterbindung von Betrugsfällen einzuführen.

Zu den Entwicklungen gehört die Einführung des „Scam-Safe Accord“ durch den australischen Bankenverband, der eine Investition in Höhe von 100 Millionen Dollar in Technologien zur Namensüberprüfung vorsieht, mit denen überprüft wird, ob der Kontoname mit der eingegebenen BSB-Nummer und der Kontonummer übereinstimmt. Weitere Initiativen umfassen verstärkte Warnungen, die Zurückhaltung von Zahlungen auf neue Bankkonten sowie zusätzliche Sicherheitsfragen.

Wir gehen davon aus, dass diese Kontrollen für KMU betriebliche Herausforderungen mit sich bringen können, die berücksichtigt und nach Möglichkeit im Voraus geplant werden sollten. So können beispielsweise Zahlungsverzögerungen den Cashflow der Lieferanten beeinträchtigen.  

Auswirkungen auf Versicherungsansprüche

Auch aus versicherungstechnischer Sicht haben sich die Versicherungsbedingungen weiterentwickelt. Viele Policen enthalten mittlerweile Ausschlüsse oder höhere Selbstbehalte, wenn bestimmte Überprüfungsmaßnahmen nicht vorhanden sind oder nicht befolgt werden. So können Versicherer beispielsweise Folgendes verlangen:

• Telefonische Bestätigung aller Änderungen an den Bankverbindung des Lieferanten
• Aufgabentrennung bei der Rechnungsbearbeitung
• Dokumentierte Verfahren für die Zahlungsfreigabe

Die Gerichte haben sich dieser Haltung angeschlossen. Im Jahr 2025 sprach ein Gericht in Westaustralien ein Unternehmen für die Bezahlung einer betrügerischen Rechnung haftbar, nachdem dessen Überprüfungsmethoden als unzureichend eingestuft worden waren. Die Erwartung ist klar: Unternehmen müssen angemessene Maßnahmen ergreifen, um sich zu schützen.

Was Organisationen tun können

Trotz der Raffinesse der Angriffe können Unternehmen ihr Risiko durch die Einführung geeigneter Prozesse erheblich verringern:

• Überprüfungsprotokolle: Bestätigen Sie Änderungen der Bankverbindung stets telefonisch unter Verwendung von Telefonnummern aus unabhängigen Quellen.
• Befähigung der Mitarbeiter: Ermutigen Sie die Mitarbeiter, ungewöhnliche Anfragen zu hinterfragen, selbst wenn diese von „Führungskräften“ stammen.
• Schulung: Informieren Sie die Mitarbeiter regelmäßig über neue Bedrohungen und Warnzeichen.
• IT-Kontrollen: Führen Sie eine Multi-Faktor-Authentifizierung ein, schränken Sie Administratorrechte ein und schreiben Sie regelmäßige Passwortänderungen vor.

Letztendlich bleibt Wachsamkeit auf individueller und organisatorischer Ebene der wirksamste Schutz.

Wie Sedgwick helfen kann

Die Zunahme ausgefeilter Cyberkriminalität verdeutlicht die wachsende Komplexität der Schadenbearbeitung. Jeder Fall erfordert eine sorgfältige Analyse – nicht nur hinsichtlich des finanziellen Schadens, sondern auch im Hinblick auf die Einhaltung der Versicherungsbedingungen, der Überprüfungsverfahren und der Aussichten auf eine Wiederherstellung.

Bei Sedgwick verfügt unser Team für forensische Buchführung über das nötige Fachwissen, um diese Herausforderungen zu meistern. Als eine der größten Gruppen von forensischen Buchhaltern in Australien unterstützen wir Versicherer, Unternehmen und Mandate aus dem Rechtsbereich bei der präzisen und umfassenden Quantifizierung sowie der Abwicklung von Schadensfällen im Zusammenhang mit Cyberkriminalität und Social Engineering. Über den Bereich der Cyberkriminalität hinaus sind unsere Spezialisten in einer Vielzahl von Spezialschadensfällen tätig und sorgen in komplexen Situationen für Klarheit, Genauigkeit und verlässliche Ergebnisse.

Wenn Sie mehr darüber erfahren möchten, wie Sedgwick Sie bei Cyber-, Social-Engineering- oder Spezialschadensfällen unterstützen kann, wenden Sie sich bitte an Beth Fieldhouse ([email protected]), Lucy Tang ([email protected]) oder Emma Levett ([email protected]).