{"id":19745,"date":"2025-09-25T11:49:51","date_gmt":"2025-09-25T09:49:51","guid":{"rendered":"https:\/\/www.retarus.com\/blog\/de\/?p=19745"},"modified":"2025-11-03T10:25:01","modified_gmt":"2025-11-03T09:25:01","slug":"wenn-der-vermeintliche-ex-mitarbeiter-zur-cyberbedrohung-wird","status":"publish","type":"post","link":"https:\/\/www.retarus.com\/blog\/de\/wenn-der-vermeintliche-ex-mitarbeiter-zur-cyberbedrohung-wird\/","title":{"rendered":"Wenn der vermeintliche Ex-Mitarbeiter zur Cyberbedrohung wird"},"content":{"rendered":"\n

Unsere E-Mail-Security-Experten beobachten derzeit zunehmend eine raffinierte Variante des Social Engineering, die gezielt auf Unternehmen beziehungsweise deren HR-\/Payroll-Abteilungen abzielt und die auf den ersten Blick schwer als Angriff erkennbar ist.<\/p>\n\n\n\n

\u201eEhemaliger Mitarbeiter\u201c meldet sich mit neuer Bankverbindung<\/h2>\n\n\n\n

Der Ablauf ist dabei h\u00e4ufig identisch: Die Angreifer recherchieren \u00fcber \u00f6ffentlich zug\u00e4ngliche Jobnetzwerke wie LinkedIn, XING oder \u00e4hnlichen Plattformen nach Personen, die laut ihrem Profil bis vor Kurzem f\u00fcr das angeschriebene Unternehmen gearbeitet oder gerade einen neuen Job angetreten haben.<\/p>\n\n\n\n

Mit einer privaten und aus technischer Sicht legitimen Mailadresse (z. B. bei Gmail oder Yahoo) versenden sie eine Nachricht an die HR- oder Payroll-Abteilung des ehemaligen Arbeitgebers.<\/p>\n\n\n\n

In der Mail hei\u00dft es in der Regel sinngem\u00e4\u00df, dass der ehemalige Mitarbeiter seine Bankverbindung ge\u00e4ndert habe und darum bittet, noch ausstehende Restzahlungen (z. B. Gehaltsabrechnung, Bonus, \u00dcberstunden- oder Urlaubsabgeltung) auf das neue Konto zu \u00fcberweisen.<\/p>\n\n\n\n

In weiteren Nachrichten setzen die Angreifer \u2013 typisch f\u00fcr derartige Angriffe \u2013 auf Zeitdruck oder drohen mit negativen oder juristischen Konsequenzen.<\/p>\n\n\n\n

F\u00fcr die Empf\u00e4nger in der Personalabteilung oder Lohnbuchhaltung wirkt das Szenario auf den ersten Blick durchaus plausibel, gerade weil f\u00fcr derartige Anliegen eher private und keine gesch\u00e4ftlichen E-Mail-Accounts genutzt werden.<\/p>\n\n\n\n

\"\"\n\t\t\t\n\t\t\t\t\n\t\t\t<\/svg>\n\t\t<\/button><\/figure>\n\n\n\n

Warum klassische Checks oft nicht ausreichen<\/h2>\n\n\n\n

Dies wirkt sich auch auf die technischen Erkennungsm\u00f6glichkeiten aus: Viele E-Mail-Sicherheitsl\u00f6sungen konzentrieren sich im ersten Schritt darauf, gef\u00e4lschte Absender zu erkennen (z. B. durch SPF, DKIM, DMARC, Blocklisten). In diesem Fall haben wir es jedoch nicht mit klassischem Domain-Spoofing (also einer gef\u00e4lschten Firmenadresse), sondern einer Freemail-Adresse zu tun, die per se keinerlei Verbindung zur Unternehmensdomain hat. Dies erschwert eine Erkennung allein \u00fcber die Absender-Authentizit\u00e4t erheblich.<\/p>\n\n\n\n

Deshalb ist es essenziell, auf moderne E-Mail-Security-L\u00f6sungen<\/a> zu setzen, bei der zus\u00e4tzlich weitergehende KI-basierte Heuristiken und Mustererkennung zum Einsatz kommen.<\/p>\n\n\n\n

Sensibilisierung der Mitarbeiter als weitere Verteidigungslinie<\/h2>\n\n\n\n

Nat\u00fcrlich spielt hier nach wie vor auch die Sensibilisierung im Unternehmen eine zentrale Rolle. Mitarbeiter sollten kontinuierlich daran erinnert werden, auch vermeintlich plausible Mails kritisch zu hinterfragen.<\/p>\n\n\n\n