Es gibt Überzeugungen, die begleiten einen über Jahre, ohne dass man sie jemals hinterfragt. Eine davon war bei mir, dass ich auf einen Internetbetrug nicht hereinfallen würde. Ich hätte vermutlich sogar noch einen Schritt weitergedacht. Wozu brauche ich als Einzelunternehmerin eigentlich eine Cyberversicherung? Das kostet Geld und ehrlich gesagt war ich überzeugt, dass ich dieses sinnvoller investieren kann. Schließlich beschäftige ich mich beruflich jeden Tag mit Kommunikation, digitalen Medien und professionellen Auftritten. Ich bildete mir ein, ein gutes Gespür dafür entwickelt zu haben, wenn etwas nicht stimmt. Bis vor wenigen Wochen.
Denn vor wenigen Wochen habe ich 2.309,30 Euro an BetrügerInnen überwiesen. Diesen Satz aufzuschreiben kostet viel Überwindung und ist mit einer gehörigen Portion Scham verbunden. Ich weiß, wie schnell man innerlich urteilt: „Das wäre mir nicht passiert.“ Genau das hätte ich vermutlich auch gedacht. Die meistgestellte Frage macht es dann nicht besser: „Wie konntest du denn darauf reinfallen?” Ehrlich gesagt war das auch meine erste Frage an mich selbst. Die Geschichte beginnt allerdings nicht mit einem dubiosen Online-Shop, einem unrealistisch günstigen Angebot oder einer schlecht formulierten E-Mail von einem Prinzen. Genau deshalb schreibe ich diesen Artikel. Denn ich glaube, dass wir UnternehmerInnen uns oft ein falsches Bild davon machen, wie solche Betrugsfälle heute aussehen. Und dass sie eben nicht nur beim privaten Onlineshopping passieren.
Tatort Geschäftsbeziehung
Zurück zum Anfang. Ich erhielt eine E-Mail von Conrad Electronic, über die das Unternehmen meiner Familie in den vergangenen Jahren tatsächlich schon mehrfach bestellt hatte. Jeder, der im B2B-Bereich arbeitet, weiß, wie schnell solche Geschäftsbeziehungen zur Routine werden. Man kennt Namen, scrollt über frühere Bestellungen hinweg und erkennt Signaturen im Halbschlaf. Genau diese Selbstverständlichkeit wurde in meinem Fall zur Angriffsfläche. Der vermeintliche Vertriebsmitarbeiter bot mir eine Reihe von Notebooks aus einer stornierten Kundenbestellung an. Nichts daran wirkte ungewöhnlich. Solche Angebote hatte es auch früher schon gegeben und der Mitarbeiter arbeitet tatsächlich bei Conrad Electronic. Da ich das Gerät für mein eigenes Unternehmen in Österreich bestellen wollte, bat er mich um meine österreichische UID, damit die Rechnung korrekt ausgestellt werden könne und ich mir die Mehrwertsteuer spare.
Betrüger, der an meine Steuerersparnis dachte
Rückblickend erscheint genau dieser Moment fast surreal. Ein Betrüger, der mich aktiv darauf hinweist, dass ich durch das Reverse Charge-Verfahren die Mehrwertsteuer sparen kann? Genau das war wahrscheinlich einer der überzeugendsten Momente der gesamten Geschichte. Es passte einfach. Er wirkte wie jemand, der seinen Job macht und mitdenkt. Wie ein Vertriebsmitarbeiter eben, der seit Jahren KundInnen betreut. Auch die Rechnung ließ keinen offensichtlichen Zweifel aufkommen. Korrekte Firmenanschrift in Bayern, Handelsregistereintrag, Umsatzsteuer-ID – alles vorhanden. Ich überwies den Rechnungsbetrag und schickte anschließend, wie vereinbart, die Zahlungsbestätigung.
Wie Ghosting, nur teurer
Dann wurde es still. Keine Versandbestätigung. Keine Information zum weiteren Ablauf. Keine Sendungsnummer. Anfangs sucht man automatisch nach harmlosen Erklärungen. Vielleicht dauert die Bearbeitung. Vielleicht wurde die Zahlung noch nicht verbucht. Außerdem ist gerade Feiertag in Bayern. Vielleicht haben sie ein langes Wochenende. Im Nachhinein sucht man nach dem einen Moment, an dem man den Betrug hätte erkennen müssen. Ich habe lange danach gesucht. Ich habe ihn bis heute nicht gefunden. Ich finde stattdessen viele kleine Entscheidungen, die für sich genommen nachvollziehbar waren und erst rückblickend ein völlig anderes Bild ergeben.
Kann ich das von der Steuer absetzen?
So wurde aus einer scheinbar ganz normalen Bestellung ein Betrugsfall. Es folgte reger Austausch mit meiner Bank, der Versuch, die Echtzeitüberweisung zurückholen zu lassen, die Anzeige bei der Polizei und schließlich die Erkenntnis, dass die Chancen, das Geld jemals wiederzusehen, verschwindend gering sind. Weder die Bank noch meine Versicherung, die ausschließlich auf Phishing ausgelegt war, konnten mir helfen. Als junge Einzelunternehmerin tut ein Schaden von 2.309,30 Euro weh. Für manche Unternehmen ist das eine Zahl in einer Excel-Tabelle. Für mich sind das viele Stunden Arbeit. Rücklagen, die eigentlich für den nächsten Schritt meiner Selbstständigkeit gedacht waren.
Conrad, wir sollten reden
Während ich versuchte zu verstehen, was eigentlich passiert war, ließen mich andere Fragen nicht mehr los. Woher wussten der Täter oder die Täterin, dass wir seit Jahren Kunde bei Conrad unter eben dieser E-Mailadresse waren? Woher wussten sie, dass Angebote aus stornierten Kundenbestellungen für uns völlig plausibel klingen würden, da es exakt diese schon in der Vergangenheit gegeben hatte? Ich kenne die Antwort nicht. Vielleicht gibt es eine harmlose Erklärung. Vielleicht auch nicht. Ich weiß nur, dass genau diese Informationen den Unterschied gemacht haben. Unter anderem deswegen habe ich Conrad unmittelbar nach Bekanntwerden des Betrugs informiert, dass unter ihrem Namen und unter dem Namen eines real existierenden Mitarbeiters Betrug betrieben wird. Bis heute habe ich darauf keine Rückmeldung erhalten.
- Keine geänderte Bankverbindung ohne Rückruf: Ändern sich Kontodaten oder Zahlungswege, wird künftig über eine bereits bekannte Telefonnummer rückgefragt.
- Bekannte/r AbsenderIn sind kein Echtheitsnachweis: Ein bekannter Name, eine vertraute Signatur oder eine bisherige Geschäftsbeziehung reichen heute nicht mehr aus. Gerade diese Vertrautheit wird gezielt ausgenutzt.
- Vier-Augen-Prinzip bei Investitionen: Auch als Einzelunternehmerin hole ich bei größeren Anschaffungen künftig eine zweite Meinung ein. Fünf Minuten Telefonat können Tausende Euro sparen.
- Cyberversicherung neu bewertet: Ich habe das Risiko unterschätzt. Heute prüfe ich eine Cyberversicherung ernsthaft und achte dabei genau auf den Deckungsumfang. Nicht jede Police deckt Betrugsfälle wie diesen ab.
- Prozesse hinterfragen statt Menschen misstrauen: Es geht nicht darum, jeder/m GeschäftspartnerIn zu misstrauen. Es geht darum, Geschäftsprozesse so zu gestalten, dass Vertrauen allein keine Zahlungsfreigabe mehr auslöst.
Leider professionell
Betrug funktioniert hervorragend über Vertrauen und Geschäftsbeziehungen, die tatsächlich existieren und über Routinen, die wir alle im Tagesgeschäft entwickeln. Geschichten, die so plausibel sind, dass sie sich nahtlos in unseren Alltag einfügen. Doch Unternehmen leben von Vertrauen. Niemand hinterfragt jede/n bekannte/n AnsprechpartnerIn. Niemand beginnt bei jeder Bestellung wieder bei null. Genau darauf bauen BetrügerInnen heute.
Teuer erkauft, ehrlich erzählt
Ich habe diesen Artikel geschrieben, obwohl ich ihn lieber nie hätte schreiben müssen. Schließlich erzählt niemand gerne öffentlich, dass er oder sie Opfer eines Betrugs geworden ist. Am Ende überwog allerdings ein anderer Gedanke: Wenn wir nur über erfolgreiche Unternehmen sprechen, aber nie über Fehler, Rückschläge oder – in diesem Fall – kriminelle Machenschaften, entsteht der Eindruck, all das passiere immer nur den anderen. Mir ist es passiert. Und vielleicht trägt das dazu bei, dass es Ihnen nicht passiert.
