• Home
•  > Unternehmen
•  > IT

Phishing im Emissionshandel

"Hochgradig perfide Masche"

Von Anja Tiedge

3. Teil: "Viele sind sich nicht bewusst, auf welchem Schatz sie sitzen"

Den Betrügern reichten nur ein paar Klicks, um die Beute in Millionenhöhe einzusacken. "Viele Unternehmen sind sich gar nicht bewusst, auf welchem Schatz sie da sitzen", mahnt Kroehnert. Sein Kollege Thorsten Lenk teilt diese Auffassung. "Die Zugangsdaten zu den Emissionskonten sind vergleichbar mit PIN- und TAN-Nummer bei der Bank - auch die sollte man niemals per E-Mail preisgeben", so der Analyst beim Emissionshandels-Berater Energy Brainpool. Letztlich liege es somit an jedem selbst, auf Phishing-Attacken nicht hereinzufallen.

Vor immer ausgefeilteren Angriffen von kriminellen Hackern warnt auch Matthias Gärtner vom Bundesamt für Sicherheit in der Informationstechnik (BSI). "Es ist immer schwieriger, eine Phishing-Mail zu erkennen", sagt Gärtner. "Bei solchen Sicherheits-E-Mails sollte man sich auf jeden Fall versichern, ob die Nachricht tatsächlich von dem angegebenen Adressaten stammt. Wir warnen außerdem davor, die Links in solchen Mails anzuklicken. Stattdessen sollte man sie per Hand in das URL-Fenster eingeben."

Wer sich etwa die Mühe machte und die URL der "hochrangigen Sicherheitsfirma" tradingprotection.com in der Betrügermail händisch eingab, bekam eine Fehlermeldung.

Als Emissionshändler Kroehnert herausfand, dass die vermeintliche DEHSt-E-Mail von Betrügern stammte, benachrichtigte er umgehend Geschäftspartner und Kunden, zu denen größtenteils kleine und mittlere Unternehmen gehören.

Konzerne und große Player werden von dem Betrug dagegen kaum betroffen sein: In den meisten Fällen haben sie ausgeklügelte IT-Sicherheitssysteme. Der größte deutsche Kohlendioxid-Emittent RWE etwa benötigt jährlich Zertifikate für 140 Millionen Tonnen Kohlendioxid. Eine Sprecherin des Konzerns sagte gegenüber manager magazin, RWE habe die betrügerische E-Mail zwar erhalten, sei von dem Vorfall aber nicht betroffen. "Das hängt aber weniger von IT-Experten ab, als vielmehr von einer juristischen Prüfung, der wir solche Benachrichtigungen unterziehen", so die Sprecherin.

Die DEHSt war für eine Stellungnahme bis zum späten Mittwochnachmittag nicht erreichbar. Nur eines bestätigte eine Mitarbeiterin gegenüber manager magazin: "Einen Hans Frederick gibt es hier nicht."