Glossar

Business Email Compromise (BEC) ist ein Betrugsschema, bei dem geschäftliche E-Mail-Konten kompromittiert oder täuschend echt imitiert werden, um Zahlungen umzuleiten oder vertrauliche Informationen zu erlangen.

Business Email Compromise (BEC) ist eine Form von Cyberbetrug, die eng mit Social Engineering und Phishing verbunden ist. Täter nutzen gezielt Schwächen in Internen Kontrollen, insbesondere bei Zahlungsfreigaben und der Pflege von Lieferantenstammdaten, um Transaktionen zu manipulieren oder Informationen abzugreifen.

Business Email Compromise (BEC) zählt zu den schadenträchtigsten Formen von Betrug, da es Vertrauen, organisatorische Abläufe und Kontrolllücken systematisch ausnutzt.

Gefälschte CEO-E-Mail fordert eine dringende Überweisung.

Cyberbetrug umfasst betruegerische Handlungen unter Nutzung digitaler Systeme, Netzwerke oder Kommunikationsmittel.

Cyberbetrug ist eng verbunden mit Social Engineering, Missbrauch von Zugriffsrechten sowie weiteren Formen von Occupational Fraud und externer Wirtschaftskriminalität. Er tritt insbesondere in digitalisierten Geschäftsprozessen, E-Commerce-Umgebungen und vernetzten IT-Systemen auf.

Stellt aufgrund Skalierbarkeit, Automatisierung und internationaler Reichweite ein besonders dynamisches und schwer kontrollierbares Risikofeld dar.

Phishing-Angriffe zur Erlangung von Zugangsdaten.

Deepfake Fraud bezeichnet eine Form des Betrugs, bei der mittels künstlicher Intelligenz erzeugte oder manipulierte Audio-, Video- oder Bildinhalte verwendet werden, um eine Person täuschend echt zu imitieren. Ziel ist es, Vertrauen zu erschleichen und dadurch finanzielle Transaktionen, sensible Informationen oder organisatorische Entscheidungen zu beeinflussen.

Im Gegensatz zu klassischen Täuschungsmethoden basiert Deepfake Fraud auf generativen KI-Modellen, die Stimme, Mimik und Verhalten realer Personen realistisch nachbilden können.

Deepfake Fraud ist eine Weiterentwicklung von Social Engineering und steht an der Schnittstelle von Cyberkriminalität, Identitätsbetrug und organisationsbezogenem Betrug.

Besonders relevant ist diese Betrugsform im Umfeld von:
• Business Email Compromise (BEC)
• CEO Fraud / Executive Impersonation
• Zahlungsfreigabeprozessen
• Remote-Kommunikation (Telefon, Videokonferenzen)

Die zunehmende Verbreitung generativer KI-Technologien (z. B. Voice Cloning und Video-Synthese) senkt die Eintrittsbarrieren erheblich. Während früher aufwendige technische Ressourcen erforderlich waren, sind heute bereits mit frei verfügbaren Tools überzeugende Deepfake-Inhalte möglich.

Deepfake Fraud stellt eine erhebliche Herausforderung für bestehende Kontrollsysteme dar, da klassische Authentifizierungsmechanismen – insbesondere visuelle oder akustische Wiedererkennung – ihre Zuverlässigkeit verlieren.

Die Relevanz ergibt sich aus mehreren Faktoren:
• Hohe Glaubwürdigkeit: Täuschungen wirken realitätsnah und emotional überzeugend
• Umgehung etablierter Kontrollen: z. B. Vier-Augen-Prinzip bei telefonischen Freigaben
• Skalierbarkeit: Angriffe können mit geringem Aufwand vielfach durchgeführt werden
• Schwierige Nachweisbarkeit: Manipulationen sind teilweise nur forensisch erkennbar

Für Unternehmen bedeutet dies, dass Vertrauen als Kontrollmechanismus zunehmend durch technische und prozessuale Absicherungen ergänzt werden muss.

Ein Finanzverantwortlicher erhält einen Anruf, der scheinbar vom CEO stammt. Stimme, Tonfall und Sprachmuster entsprechen exakt der bekannten Person. In dem Gespräch wird eine dringende Überweisung im Zusammenhang mit einer vertraulichen Transaktion angeordnet.

Tatsächlich handelt es sich um eine KI-generierte Stimmenimitation. Die Zahlung wird ausgelöst, ohne dass eine zusätzliche Verifikation erfolgt.

Identitätsbetrug ist die missbräuchliche Nutzung personenbezogener Daten zur Vortäuschung einer falschen Identität.

Identitätsbetrug tritt häufig im Zusammenhang mit Cyberbetrug, Social Engineering sowie unzureichenden Kundenidentifikation (KYC)-Prozessen auf. Er betrifft insbesondere digitale Geschäftsmodelle, Finanzdienstleistungen und E-Commerce-Plattformen, bei denen Identitäten remote verifiziert werden.

Führt zu finanziellen Schäden, Reputationsrisiken und regulatorischen Konsequenzen und erfordert robuste Identitätsprüfungen und Monitoringmechanismen.

Eröffnung eines Kundenkontos mit gestohlenen Ausweisdaten.

Bei einer Kontenübernahme erlangen Täter unbefugten Zugriff auf Benutzerkonten.

Kontenübernahmen treten häufig im Zusammenhang mit Cyberbetrug, Social Engineering und Missbrauch von Zugriffsrechten auf. Sie betreffen insbesondere digitale Plattformen, E-Mail-Systeme und geschäftskritische Anwendungen und sind oft Ausgangspunkt für weiterführende Betrugshandlungen.

Ermöglicht unbefugte Transaktionen, Datenmanipulation und Umgehung von Kontrollen und stellt insbesondere bei privilegierten Konten ein erhebliches Risiko dar.

Nach einem Phishing-Angriff wird ein E-Mail-Konto übernommen.

Missbrauch von Zugriffsrechten bezeichnet die unzulässige oder zweckfremde Nutzung legitimer Systemberechtigungen durch autorisierte Personen.

Missbrauch von Zugriffsrechten tritt häufig im Zusammenhang mit Insider-Bedrohungen, schwachen Internen Kontrollen und unzureichender Funktionstrennung (Segregation of Duties) auf. Besonders kritisch sind privilegierte Benutzerkonten, die zur Umgehung von Kontrollmechanismen oder zur Manipulation von Daten eingesetzt werden.

Er stellt eine zentrale Ursache für interne IT-bezogene Betrugsfälle dar und kann erhebliche finanzielle, operative und reputationsbezogene Schäden verursachen.

Admin nutzt Rechte für private Zwecke.

Phishing bezeichnet den Versuch, über täuschend echte Kommunikationsmittel vertrauliche Informationen wie Zugangsdaten oder Zahlungsinformationen zu erlangen.

Phishing ist eine zentrale Methode im Cyberbetrug und steht in engem Zusammenhang mit Social Engineering, Kontenübernahme sowie Missbrauch von Zugriffsrechten. Es dient häufig als initialer Angriffsvektor in mehrstufigen Angriffsszenarien, insbesondere in digitalisierten und vernetzten Systemlandschaften.

Häufiger Einstiegspunkt für weiterführende Angriffe und damit ein zentraler Risikofaktor für Informationssicherheit und Betrugsfälle.

Gefälschte IT-E-Mail fordert zur Passwortbestätigung auf.

SIM-Swapping (SIM Swap Fraud) bezeichnet eine Form des Betrugs, bei der Täter die Kontrolle über die Mobilfunknummer eines Opfers übernehmen, indem sie beim Mobilfunkanbieter eine neue SIM-Karte auf diese Nummer registrieren lassen.

Durch die Übernahme der Telefonnummer erhalten die Täter Zugriff auf SMS-basierte Authentifizierungsmechanismen, insbesondere Einmalpasswörter (One-Time Passwords, OTP), und können dadurch bestehende Konten kompromittieren.

SIM-Swapping ist eng verbunden mit:

• Account Takeover
• Identity Fraud
• Social Engineering
• Multi-Factor Authentication (MFA)-Umgehung

Die Betrugsform nutzt Schwachstellen in Identitätsprüfungen von Mobilfunkanbietern sowie öffentlich verfügbare oder zuvor kompromittierte personenbezogene Daten.

Sie tritt häufig im Zusammenhang mit:

• Online-Banking
• Kryptowährungsplattformen
• E-Mail-Konten
• Social-Media-Accounts

auf.

SIM-Swapping stellt eine erhebliche Bedrohung dar, da viele Systeme weiterhin auf SMS-basierte Authentifizierung vertrauen.

Zentrale Risiken:

• Umgehung von Sicherheitsmechanismen: SMS-OTP wird kompromittiert
• Schnelle Eskalation: Zugriff auf mehrere Konten in kurzer Zeit
• Hohe finanzielle Schäden: insbesondere bei Finanz- und Krypto-Assets
• Abhängigkeit von Drittparteien: Sicherheit hängt vom Mobilfunkanbieter ab

Die Betrugsform zeigt, dass SMS-basierte Authentifizierung allein kein ausreichender Schutz mehr ist.

Ein Täter kontaktiert den Mobilfunkanbieter eines Opfers und gibt sich unter Verwendung gestohlener oder öffentlich verfügbarer Daten als dieses aus. Er beantragt die Aktivierung einer neuen SIM-Karte für die bestehende Telefonnummer.

Nach erfolgreicher Umschaltung empfängt der Täter alle SMS des Opfers, darunter auch Einmalcodes zur Anmeldung bei Bank- oder E-Mail-Konten. Dadurch kann er Konten übernehmen und Transaktionen auslösen.

Social Engineering bezeichnet die gezielte psychologische Manipulation von Personen, um sie zur Preisgabe vertraulicher Informationen, zur Ausführung bestimmter Handlungen oder zur Umgehung von Sicherheitsmechanismen zu bewegen.

Social Engineering ist eine zentrale Methode im Bereich Cyberbetrug und steht in engem Zusammenhang mit Business Email Compromise (BEC) sowie Missbrauch von Zugriffsrechten. Angriffe erfolgen häufig über E-Mail, Telefon oder digitale Kommunikationskanäle und zielen darauf ab, bestehende Interne Kontrollen zu umgehen.

Diese Angriffe nutzen menschliche Verhaltensmuster wie Autoritätsgläubigkeit, Zeitdruck oder Vertrauen aus und stellen eine der effektivsten Methoden dar, technische Sicherheitsmassnahmen zu umgehen.

CEO-Fraud per E-Mail mit Zahlungsaufforderung.

Synthetic Identity Fraud bezeichnet eine Form des Identitätsbetrugs, bei der Täter eine künstliche Identität aus einer Kombination realer und fiktiver Informationen erstellen. Typischerweise werden echte personenbezogene Daten – wie Sozialversicherungsnummern oder Geburtsdaten – mit erfundenen Namen, Adressen oder weiteren Identitätsmerkmalen kombiniert.

Das Ziel besteht darin, eine scheinbar legitime, aber tatsächlich nicht existierende Person zu schaffen, die für finanzielle Transaktionen oder betrügerische Aktivitäten genutzt werden kann.

Synthetic Identity Fraud ist eine besonders relevante Betrugsform im Umfeld von:
• Finanzdienstleistungen und Kreditvergabe
• Know Your Customer (KYC) und Customer Due Diligence (CDD)
• digitalen Identitätsprüfungen
• Online-Banking und FinTech-Plattformen

Im Gegensatz zu klassischem Identitätsdiebstahl wird keine bestehende Identität vollständig übernommen. Stattdessen entsteht eine neue, synthetische Identität, die sich über Zeit durch legitime Transaktionen „aufbaut“ und dadurch an Glaubwürdigkeit gewinnt.

Die zunehmende Digitalisierung von Onboarding-Prozessen und die Verfügbarkeit grosser Datenmengen erhöhen die Anfälligkeit für diese Betrugsform.

Synthetic Identity Fraud gilt als eine der am schwierigsten zu erkennenden Betrugsarten, da keine eindeutige „echte“ Opferidentität existiert, die Missbrauch meldet.

Zentrale Herausforderungen sind:
• Schwierige Detektion: keine klare Zuordnung zu realen Personen
• Langfristiger Aufbau: Identitäten werden über Monate oder Jahre entwickelt
• Hohe Verluste: insbesondere im Kredit- und Finanzbereich
• Umgehung klassischer Kontrollen: KYC- und Verifikationsprozesse greifen nur eingeschränkt

Für Organisationen bedeutet dies, dass traditionelle Identitätsprüfungen durch verhaltensbasierte Analysen und Datenabgleiche ergänzt werden müssen.

Eine synthetische Identität wird erstellt, indem eine echte, aber wenig genutzte Sozialversicherungsnummer mit einem fiktiven Namen kombiniert wird. Über mehrere Monate werden kleine, legitime Finanztransaktionen durchgeführt, um eine Kredithistorie aufzubauen.

Sobald die Identität als vertrauenswürdig eingestuft wird, werden grössere Kredite aufgenommen und anschliessend nicht zurückgezahlt.