Es kann immer etwas passieren

Die Wirtschaft wird gerade zeitgleich von mehreren Krisen gebeutelt. Rechnen Sie mit steigenden Zahlungsausfällen und Insolvenzen?
Bei der Polykrise, die wir aktuell erleben, muss zwischen Herausforderungen wie Kriegen, Inflation, steigenden Zinsen und Corona unterschieden werden. Die Pandemie war global und hat alle zur gleichen Zeit getroffen. Das war ein absolutes Ausnahmeereignis. Man hätte schon eine Glaskugel gebraucht, um das vorherzusehen. Inflation oder Lieferengpässe zählen dagegen zu Problemen, deren Risiken sich abschätzen lassen. Das ist unser Daily Business als Kreditversicherung. Wesentlich wird für die Entwicklung von Zahlungsausfällen zum Beispiel sein, wie sich die Energiepreise entwickeln. Aber auch das Auslaufen staatlicher Unterstützungsleistungen kann zu steigenden Insolvenzen führen, denn die Insolvenzen wurden während der Pandemie künstlich niedrig gehalten. Sie werden sehr wahrscheinlich auch aufgrund der jüngsten Zinsanhebungen steigen; nur die Geschwindigkeit und das Ausmaß sind noch offen. Es gibt aber noch ein weiteres Risiko, das viele Unternehmen derzeit beschäftigt.

Welches Risiko meinen Sie?
Das Risiko der Wirtschaftskriminalität. Es gibt immer mehr kriminelle Attacken, die Unternehmen schwer in die Bredouille bringen und sogar in die Insolvenz treiben können. Dabei lautet die Frage nicht mehr ob, sondern wann es den eigenen Betrieb erwischt.

In welchem Ausmaß steigt die Wirtschaftskriminalität?
Die Kriminalstatistik für Österreich differenziert grundsätzlich nicht zwischen Attacken auf Firmen und Privatpersonen. Sie weist 2021 aber gegenüber dem Vorjahr alleine im Bereich der Betrugsdelikte eine Zunahme um 28 % auf. Dazu zählt auch der Bestellerbetrug, von dem besonders Unternehmen betroffen sind. Wir haben auch selbst eine Umfrage unter Unternehmen gemacht und 86 % der Befragten haben angegeben, dass Wirtschaftskriminalität eine Bedrohung ist. Dieses Risiko kommt jetzt noch auf die anderen Krisen oben drauf. Die Betriebe kämpfen nicht nur mit steigenden Rohstoffpreisen und Personalmangel. Wenn sie Betrügern aufsitzen oder Forderungen nicht bezahlt werden, weil die Firma, die bestellt hat, gar nicht existiert, birgt das ein enormes Risiko.

Wie können sich Unternehmen, die aktuell bereits genug Sorgen haben, absichern?
Sie sollten sich natürlich auf solche Angriffe vorbereiten und wachsam sein, allerdings sind die Verbrecher ihnen meist einen Schritt voraus. Genau deshalb haben wir ein neues Versicherungsprodukt namens Acredia Trust aufgelegt, das zielgerichtet auf Betrug eingeht und Schutz vor Wirtschaftskriminalität bietet.  

Welche Unternehmen sind besonders von Wirtschaftskriminalität betroffen?
An vorderster Front stehen KMU. Schlicht, weil große Konzerne dank ihrer Ressourcen besser ausgerüstet sind. Kleinere Betriebe stoßen schnell an ihre finanziellen und organisatorischen Grenzen. Sie geraten durch einen geglückten Angriff viel schneller in existenzielle Schieflagen.

Um welche Summen geht es denn?
Wenn ein Unternehmen mit drei Millionen Euro Umsatz zum Beispiel einen Lkw mit Kronleuchtern für 100.000 Euro an einen Betrüger liefert, der mit der Ware verschwindet und nicht bezahlt, entspricht der Verlust schnell dem Jahresgewinn. Wie groß die Gefahr ist, verdeutlicht eine Studie von PWC aus 2020: 46 % der befragten Unternehmen weltweit gaben an, in den letzten zwei Jahren zumindest einmal Opfer von Wirtschaftskriminalität gewesen zu sein.

Kriminelle wenden ja die unterschiedlichsten Methoden an, um Betriebe zu attackieren. Auf welche fokussieren Sie?
Wir versichern eine Vielzahl von Wirtschaftsdelikten, vom sogenannten Fake President über Bestellerbetrug bis hin zur Umleitung von Zahlungen. Dabei geht es vor allem um die Vortäuschung einer falschen Identität. Aber auch Vermögensschäden, die durch illegale Handlungen von Vertrauenspersonen entstehen, sind abgedeckt. Vertrauenspersonen können die eigene Geschäftsführung, Mitarbeitende, aber auch das Personal externer Dienstleister sein. Darüber hinaus bieten wir ein eCrime-Modul, das Attacken wie Phishing und Keylogging absichert. Unternehmen, die bereits eine klassische Cyberversicherung haben, können aus diesem Modul aussteigen.

Können Sie einen typischen Angriff skizzieren?
Ein Klassiker, der übrigens in letzter Zeit auch bei einigen sehr große Unternehmen passiert ist, ist der Fake-President-Fraud. Dabei handelt es sich um eine Betrugsmasche, mit der Täter unter Verwendung falscher Identitäten versuchen, entscheidungsbefugte Mitarbeiter zu manipulieren. In gut gefälschten E-Mails und mittlerweile sogar mittels Deep-Fake-Videos oder Stimmenimitation, geben sich Betrüger als Chefs aus und veranlassen die Überweisung hoher Geldbeträge auf eine ausländische Bankverbindung. Oft wird dabei Zeitdruck vorgegaukelt und auf strengste Geheimhaltung der Transaktion verwiesen. Sehr verbreitet ist mittlerweile auch Payment Diversion.

Warum geht es dabei?
Um das Umleiten von Zahlungen. Betrüger spionieren die E-Mail-Kommunikation mit einem Geschäftspartner, Kunden oder Lieferanten aus. Im Anschluss gibt er sich für ihn aus und teilt der Personalabteilung oder Buchhaltung mit, dass sich eine Bankverbindung geändert hat, die für alle künftigen Zahlungen gilt. Das Unternehmen überweist an die neue Bankverbindung. Erst mit der Zahlungserinnerung des echten Geschäftspartners fliegt der Betrug auf. Das Geld ist natürlich längst verschwunden.

Gibt es keine Möglichkeit, die Täter auszuforschen oder die Überweisungen zu stoppen?
Wir schöpfen natürlich alle Möglichkeiten der Wiedergewinnung aus und in manchen Fällen lassen sich Zahlungen noch zurückholen. Die Frage ist aber immer, wohin die Zahlung geht. Wenn sie nach Österreich gehen würde, wäre es einfach, aber das Geld geht oft ins Ausland und ist dann in den allermeisten Fällen weg. Doch am Ende der Kette ist immer eine Bank und manchmal helfen sie auch im Ausland mit, weil sie ihre Reputation nicht beschädigen wollen. Doch dafür braucht man ein Auslandsnetzwerk – das wir haben.

Welche Rolle spielen die Prävention und das Bewusstsein im Unternehmen?
Aufklärung ist ein ganz wesentlicher Aspekt, wir geben den Unternehmen proaktiv Hinweise zu Betrugsmaschen und Gefährdungen, wenn wir das Risiko des einzelnen Unternehmens prüfen. Auch durch den Fragebogen, den wir gemeinsam mit den Betrieben im Zuge der Absicherung ausarbeiten, werden Gefahrenpotenziale sichtbar.

Fehlt es grundsätzlich am Bewusstsein für die Gefahr durch Kriminelle?
Die Gefahr ist allen bewusst. Viele Betriebe hatten ja schon Angriffe. Dennoch ist das Thema nicht permanent auf der Agenda. Es wird von anderen Problemen überlagert. Es ist unser Job, es virulent zu machen. Am Ende des Tages kann man sich noch so gut absichern, es kann immer etwas passieren. Auch wenn man einen Blitzableiter, Rauchmelder und Feuerlöscher hat, kann es brennen. Dann braucht man jemanden, der einem zur Seite steht.

Wer muss das Thema im Unternehmen im Blick behalten?
In KMU ist das eindeutig Aufgabe der Geschäftsführung. Sie muss darauf achten, dass Richtlinien eingehalten werden, natürlich sollte auch die IT-Leitung involviert sein. In Großunternehmen ist die Geschäftsführung sogar zu dem Thema verpflichtet. Sie muss Risiken abstellen, deutlich minimieren oder Absicherungen für das Restrisiko einrichten. Dort gibt es das schon längst.  

Sind bekannte Betriebe, Ihrer Einschätzung nach, stärker gefährdet?
Ich glaube, das Risiko ist nicht vom Bekanntheitsgrad abhängig. Prominente Betriebe publizieren die Schäden allerdings eher, weil sie börsennotiert sind. Treffen kann es im Endeffekt jede Firma, egal, ob bekannt oder unbekannt.