Mail im Namen des Chefs forderte Buchhaltung zur dringenden Überweisung auf – die Kollegin hätte es fast gemacht – wie verhindern wir das?

bei uns war das auch so... halt die buchhaltung war total verunsichert. dann haben wir mit dem chef eine schriftliche regelung gemacht. jetzt ist alles entspannter

Überweisungsprotokoll: 1. Bei Mail-Eingang Absender telefonisch verifizieren 2. Überweisungsdaten prüfen: Betrag, Konto, Verwendungszweck 3. Freigabe durch zweite Person 4. Erst dann ausführen 5. Dokumentieren

Markiert im Mail-System 'Externe Mail' — hebt Mails von außen hervor. Dann können Angreifer sie nicht so leicht als interne Nachricht tarnen.

die buchhaltung prüft jetzt jede mail mit überweisungsauftrag telefonisch. etwas nervig aber sicher

Ist das Geld zurückholbar, wenn es passiert ist? Oder ist es sofort weg?

BEC-Angriff erklärt: Gefälschte Chef-Mail Dringlichkeit, Überweisungsauftrag + Bankdaten. Wenn die Buchhaltung nicht doppelt prüft, gibt's Schaden.

Edit: Ich habe vom Handy geschrieben, entschuldigt die Tippfehler.

Da ist mir noch ein Punkt unklar. Je schwerer es ist, eine Entscheidung rückgängig zu machen desto langsamer solltet ihr sie treffen.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Ich erzähle mal, was mir passiert ist, vielleicht hilft es euch. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

danke fürs Schreiben und das alleein zu versuchen, ist der teuerste Weg.

wenn es jemand anders macht, würde mich das auch interessieren.

Funktioniert das deiner Meinung nach in jeder Größe? Je schwerer es ist eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

Kurzfassung für Neueinsteiger: Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Bei E-Mail, die Geld von der Buchhaltung anfordert ist es meiner Meinung nach schwierig, so eindeutig zu sprechen. Ein automatisierter Scan-Report ist kein Penetrationstest.

Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Ich schreibe mal meine Erfahrung auf. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Ein nicht getestetes Backup ist kein Backup. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Beim Umsetzen gibt es drei Dinge zu beachten. Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Ich hoffe, das hilft dir weiter.

Bei uns ist es genauso. Sicherheit ist nicht absolut; es bedeutet den Angriff so aufwendig zu machen dass er sich nicht lohnt.

Das war's entschuldige, wenn ich zu lang war.

Da stimme ich zu. Ein automatisierter Scan-Report ist kein Penetrationstest.

Nur weil alle es tun, heißt es nicht, dass es richtig ist. An deiner Stelle würde ich so vorgehen.

Gut gemacht. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr. An deiner Stelle würde ich so vorgehen.

Teilweise stimme ich zu, teilweise nicht. Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

Wenn deine Situation anders ist, ändert sich das natürlich.