Die Achter Autohaus Software GmbH aus Rödelsee bei Würzburg betreibt die Plattform GeNesys, über die Autohäuser ihre Fahrzeugverkäufe abwickeln. Nach eigenen Angaben nutzen sie «über 400 Betriebe deutschlandweit», überwiegend Häuser mit Marken des Volkswagen-Konzerns. VW hat bestätigt, dass auch die Volkswagen Group Retail Deutschland mit ihren rund 120 Autohäusern betroffen ist.
Im September sind dort Daten abgeflossen. Seit vergangenem Wochenende ist der Fall öffentlich.
Was weggekommen ist
Wörtlich: Auftrags- und Rechnungsnummern, Liefertermine sowie Kauf-, Zahlungs- und Finanzierungsbeträge.
Keine Passwörter. Keine Kreditkartennummern. Keine Bankverbindungen.
Nach der üblichen Einteilung ist das ein harmloser Vorfall. Es ist der gefährlichere.
Warum langweilige Daten das Problem sind
Eine Rechnungsnummer ist kein Geheimnis. Ein Liefertermin auch nicht. Jede einzelne dieser Angaben steht auf einem Papier, das bei Ihnen zu Hause im Ordner liegt.
Zusammen ergeben sie etwas anderes.
Wer weiss, dass Sie am 3. Oktober einen Wagen für 38 400 Franken gekauft haben, dass die Rechnungsnummer 2026-4471 lautet, dass noch 12 000 offen sind und der Wagen in der zweiten Novemberwoche kommt — der kann Ihnen eine Zahlungsaufforderung schreiben, an der jede einzelne Angabe stimmt.
Der Cybersicherheitsexperte Alexander Vukcevic sagt dazu: «Mit echten Rechnungsnummern, Kaufbeträgen oder Lieferterminen können gefälschte Zahlungsaufforderungen sehr glaubwürdig wirken.»
Genau deshalb schreiben die Händler derzeit ihre Kunden an — nicht wegen des Abflusses selbst, sondern um zu verhindern, dass offene Beträge auf fremde Konten überwiesen werden.
Woran man solche Nachrichten sonst erkennt — und warum das hier nicht hilft
Die üblichen Merkmale einer gefälschten Rechnung sind: falsch geschriebener Name, erfundene Beträge, ein Vorgang, den es nie gab, holprige Sprache, eine Anrede, die nicht passt.
Hier fehlt jedes davon. Der Vorgang existiert. Der Betrag stimmt. Die Nummer stimmt. Der Name stimmt. Es gibt nur ein Merkmal, das nicht stimmen kann: die Kontonummer.
Das ist der Unterschied zu dem Fall, den wir im September beschrieben haben. Dort ging es um manipulierte Rechnungen, die unterwegs verändert wurden. Hier braucht niemand etwas zu manipulieren — es genügt, eine neue zu schreiben.
Die eine Regel, die trägt
Bei einer Zahlungsaufforderung über einen grösseren Betrag gilt unabhängig davon, wie echt sie aussieht:
Die Kontonummer wird nie aus der Nachricht übernommen, sondern mit der aus dem ursprünglichen Vertrag verglichen.
Nicht mit der aus einer früheren Mail — die könnte von denselben Leuten stammen. Mit dem Papier, das Sie beim Kauf unterschrieben haben, oder mit einer Nummer, die Sie sich von der Gegenseite telefonisch bestätigen lassen. Und zwar unter der Nummer aus dem Vertrag, nicht unter der aus der Nachricht.
Das kostet fünf Minuten und ist die einzige Prüfung, die in diesem Fall noch greift.
Für Betriebe gilt dasselbe in grösser: Eine geänderte Bankverbindung ist immer ein Rückrufgrund. Wenn ein Lieferant mitteilt, dass künftig auf ein anderes Konto zu zahlen sei, ist das der Moment für einen Anruf unter der bekannten Nummer — nicht unter der, die in der Mitteilung steht.
Wo die Lücke tatsächlich war
Hier lohnt ein genauer Blick, weil die ersten Meldungen etwas anderes nahelegten.
Die Polizei teilt mit: «Nach derzeitigem Ermittlungsstand erfolgte der Zugriff über eine Drittanbietersoftware, welche zu dieser Zeit eine schwerwiegende Sicherheitslücke aufwies.»
Die Lücke war also nicht bei der Achter Autohaus Software, sondern bei einem Zulieferer, den diese Firma einsetzt.
Damit hat die Kette vier Glieder: Der Autokäufer. Das Autohaus. Der Softwarelieferant des Autohauses. Und dessen Softwarelieferant. Der Kunde kennt das erste Glied. Vom zweiten hat er vielleicht gehört. Die beiden anderen existieren für ihn nicht.
Es ist die dritte Geschichte dieser Art innerhalb einer Woche — nach den sechs Pensionskassen am Lieferanten PK Softech. Was alle verbindet: Der Angriff trifft einen Dienstleister, und die Folgen treffen Menschen, die seinen Namen nie gehört haben.
Was ein Betrieb daraus mitnehmen kann
Auch harmlose Daten sind Material. Beim Aufräumen alter Bestände fragt man sich meist, ob etwas Vertrauliches darin steckt. Die bessere Frage ist, was jemand damit anfangen könnte, der eine überzeugende Nachricht schreiben will. Alte Auftragslisten, Lieferscheine und Rechnungsübersichten bestehen den ersten Test und fallen beim zweiten durch.
Und wenn es Sie trifft, zählt die Geschwindigkeit der Warnung. Die Autohäuser haben richtig gehandelt: Sie informieren ihre Kunden, bevor die ersten gefälschten Rechnungen eintreffen. Wer in derselben Lage ist, sollte nicht warten, bis die Abklärungen abgeschlossen sind — die Betrüger warten auch nicht.
Wenn Sie wissen wollen, welche Daten in Ihren Systemen liegen, die sich für so etwas eignen würden: Das sehen wir mit Ihnen durch.