Das Wichtigste in Kürze
Makler sind ein lohnendes Ziel, weil sie Zahlungen anweisen und sensible Daten halten, doch wer gefälschte Pool-Mails, IBAN-Tricks und Fake-President-Anrufe kennt, fällt kaum darauf herein.
Freitagnachmittag, das Postfach ist voll, und dazwischen liegt eine Mail Ihres Maklerpools: „Ihre Courtageabrechnung konnte nicht zugestellt werden. Bitte bestätigen Sie innerhalb von 24 Stunden Ihre Zugangsdaten.“ Genau in solchen Momenten schlagen Kriminelle zu. Sie setzen auf Zeitdruck, auf vertraute Absender und darauf, dass in einem kleinen Büro niemand die Ruhe hat, jede Nachricht zu prüfen. Dieser Ratgeber zeigt Ihnen die fünf Maschen, die aktuell gezielt gegen Maklerbüros laufen, und gibt Ihnen Prüfschritte, die im Alltag wirklich funktionieren.
Ein Maklerbüro ist für Angreifer aus mehreren Gründen attraktiv. Sie weisen regelmäßig Zahlungen an oder leiten sie weiter, etwa Beiträge, Courtageabrechnungen oder Schadenzahlungen. Und Sie verwalten hochsensible Daten: Gesundheitsangaben aus der Kranken- und Lebensversicherung zählen nach Artikel 9 DSGVO zu den besonders geschützten Kategorien, dazu kommen Kontoverbindungen, Ausweiskopien und komplette Vermögensbilder Ihrer Kunden.
Dazu kommt die Struktur der Branche. Die meisten Büros arbeiten mit wenigen Personen und ohne eigene IT-Abteilung. Sie kommunizieren täglich mit vielen externen Stellen: Pools, Versicherern, dem GDV-Umfeld, Banken und Kunden. Wenn ein gefälschter Absender im Namen eines dieser Partner schreibt, fällt er kaum aus dem Rahmen. Angreifer kennen inzwischen die Fachsprache, die Namen der großen Pools und den typischen Rhythmus von Abrechnungen. Damit wirken ihre Nachrichten glaubwürdiger als das klassische „Ihr Paket wartet auf Sie“.
Sie erhalten eine Nachricht, die aussieht wie von Ihrem Maklerpool. Absenderlogo, Farben und Tonfall stimmen. Der Aufhänger ist meist ein Login: Ihre Abrechnung liege bereit, Ihr Zugang laufe ab, oder es gebe neue AGB, denen Sie über einen Link zustimmen müssten. Der Link führt auf eine Seite, die dem echten Extranet täuschend ähnlich sieht und nur Ihre Zugangsdaten abgreift. Wer sie eingibt, gibt Angreifern Zugriff auf Kundendaten und teils auf Zahlungsfunktionen.
Hier gibt sich der Absender als Versicherer oder als offizielle Branchenstelle aus und verweist auf eine angebliche Meldepflicht, ein Sicherheitsupdate oder eine Datenschutzprüfung. Der psychologische Hebel ist Autorität: Eine Mail „von oben“ wird seltener hinterfragt. Erkennbar wird der Betrug oft an der Absenderadresse, die nur auf den ersten Blick passt, etwa an einer leicht abgewandelten Domain oder einer generischen Freemail-Adresse hinter einem seriösen Anzeigenamen.
Diese Masche trägt in der Fachwelt den Namen Business E-Mail Compromise. Sie bekommen eine Rechnung oder eine Zahlungsaufforderung, die inhaltlich stimmt, nur die Bankverbindung ist eine andere. Entweder haben Angreifer eine echte Rechnung abgefangen und die IBAN ausgetauscht, oder sie schreiben im Namen eines bekannten Dienstleisters und teilen „unsere neue Bankverbindung“ mit. Der Schaden entsteht leise, denn die Zahlung läuft technisch fehlerfrei, nur eben auf ein fremdes Konto.
Beim Fake-President-Betrug schreibt oder ruft jemand im Namen der Geschäftsführung oder der Büroleitung an und weist eine dringende, vertrauliche Überweisung an. Typisch sind Formulierungen wie „Ich bin gerade in einem Termin, bitte erledigen Sie das sofort und sprechen Sie mit niemandem darüber“. Angegriffen wird gezielt die Buchhaltung oder die Bürokraft. Mit KI-generierten Stimmen wirken solche Anrufe heute überzeugender als früher.
Der Klassiker im Büroalltag: eine Mail warnt, Ihr Postfach sei voll, Ihr Passwort laufe ab oder eine geteilte Datei warte auf Sie. Der Link führt auf eine perfekte Kopie der Microsoft- oder Portal-Anmeldung. Da viele Büros ihre Kalender, Dokumente und teils das Maklerverwaltungsprogramm über solche Zugänge nutzen, öffnet ein einziges erbeutetes Passwort oft die Tür zu allem.
Bevor Sie in einer verdächtigen Mail irgendetwas anklicken, gehen Sie diese Checkliste durch. Das dauert keine Minute und fängt die meisten Angriffe ab:
Für jede geänderte Bankverbindung und jede außerplanmäßige Überweisung gilt eine einfache, feste Regel: Bestätigen Sie die Änderung über einen zweiten, unabhängigen Kanal, bevor Sie zahlen. Rufen Sie den Dienstleister oder Kollegen unter der Nummer an, die Sie bereits kennen, nicht unter der Nummer aus der Mail. Diese Rückruf-Regel schriftlich für Ihr Büro festzuhalten kostet nichts und ist einer der wirksamsten Schutzmechanismen gegen die teuerste Masche.
Legen Sie zusätzlich fest, dass Überweisungen ab einem bestimmten Betrag immer von zwei Personen freigegeben werden. Dieses Vier-Augen-Prinzip nimmt der Buchhaltung den Druck, allein entscheiden zu müssen, und erschwert Fake-President-Betrug erheblich.
Drei technische Verfahren sorgen dafür, dass niemand ungestraft in Ihrem Namen mailt und dass gefälschte Absender leichter erkannt werden. Sie klingen sperrig, ihre Aufgabe ist aber leicht zu verstehen:
Diese Einträge werden im DNS Ihrer Domain hinterlegt. Wenn Sie das nicht selbst betreuen, ist es eine kurze, konkrete Aufgabe für Ihren IT-Dienstleister oder Ihren Mail-Anbieter. Fundierte, herstellerneutrale Erklärungen zu E-Mail-Sicherheit finden Sie beim Bundesamt für Sicherheit in der Informationstechnik unter bsi.bund.de.
Ein Klick ist kein Weltuntergang, aber jetzt zählt Schnelligkeit. Haben Sie auf einer gefälschten Seite ein Passwort eingegeben, ändern Sie es sofort, und zwar überall dort, wo Sie dasselbe Passwort genutzt haben. Aktivieren Sie, wo noch nicht geschehen, die Zwei-Faktor-Authentifizierung. Wie Sie sichere Passwörter und 2FA im Büro und Homeoffice sauber aufsetzen, lesen Sie im Ratgeber Passwörter und 2FA im Maklerbüro.
Trennen Sie einen betroffenen Rechner vom Netz, wenn Sie einen Anhang geöffnet haben, und lassen Sie ihn prüfen. Informieren Sie den Pool oder Versicherer, dessen Zugang betroffen sein könnte. Und prüfen Sie genau: Sind personenbezogene Kundendaten abgeflossen, kann eine Meldepflicht an die Aufsichtsbehörde greifen. Diese Frist ist kurz, wie Sie im Beitrag Datenpanne melden in 72 Stunden nachlesen können. Bei größeren Vorfällen oder unklarer Rechtslage ziehen Sie Ihren Datenschutzbeauftragten, sofern vorhanden, oder eine fachkundige Beratung hinzu.
Technik allein schützt nicht, wenn eine einzige gestresste Person klickt. Sprechen Sie das Thema deshalb offen an und sorgen Sie dafür, dass niemand Angst hat, einen Fehler zu melden. Wer einen Betrugsversuch früh meldet, ist Teil der Lösung, nicht das Problem.
Bewährt hat sich ein kurzer, wiederkehrender Rhythmus statt einer einmaligen Schulung:
Ein Büro, das diese Grundregeln kennt und lebt, ist kein leichtes Ziel mehr. Die meisten Angreifer suchen sich dann das nächste, bequemere Opfer.
Dieser Beitrag ist ein allgemeiner Ratgeber und ersetzt keine individuelle Rechts- oder Steuerberatung.
Weiterlesen