KI-Phishing: Monacos Warnung

Der Oktober 2026 war der Monat, in dem Monacos Institutionen aufgehört haben, E-Mail-Betrug als Randthema der IT zu behandeln. Am 6. Oktober brachte die Chambre Monégasque du Numérique die Agence Monégasque de Sécurité Numérique (AMSN), die APDP und die Direction de la Sûreté Publique unter dem Titel „Cybersécurité : tous concernés" gemeinsam auf die Bühne des Yacht Club. Vom 7. bis 10. Oktober folgten die Assises de la Cybersécurité. Und am 20. Oktober brachte die Digital-FlashUP-Session im Novotel Monte-Carlo die Botschaft auf den Punkt: Künstliche Intelligenz macht betrügerische E-Mails so überzeugend, dass die alten Erkennungsmerkmale nicht mehr greifen.

Dieser Beitrag richtet sich an Inhaber und Führungskräfte, die nicht im Saal waren. Hier steht, was gesagt wurde, warum es im November und Dezember mehr zählt als zu jeder anderen Zeit des Jahres, und was Sie noch in diesem Monat ändern sollten.

Was sich geändert hat: Der plumpe Betrug ist Geschichte

Zehn Jahre lang wurden Mitarbeitende darauf trainiert, Phishing an seinen Fehlern zu erkennen: holprige Grammatik, ein falsches Logo, eine Anrede, die nicht zum Absender passte. Generative KI räumt all das ab. Ein Betrüger erzeugt heute in Sekunden eine makellose E-Mail auf Französisch, Englisch oder Italienisch, exakt im Stil einer bestimmten Bank, eines Lieferanten oder einer Anwaltskanzlei, und braucht dafür nur die Website und das LinkedIn-Profil des Ziels.

Die Session vom 20. Oktober benannte die Folgen: Phishing, das sich wie eine echte Kollegennachricht liest, Deepfake-Stimmen und -Videos zur „Bestätigung" einer Anfrage, Identitätsmissbrauch von Führungskräften und das leisere Risiko der „Shadow AI", also Mitarbeitende, die vertrauliche Daten in öffentliche KI-Tools kopieren, ohne dass jemand entschieden hätte, ob das erlaubt ist. Die Empfehlungen waren nicht exotisch: Grundlagen stärken, neue Warnsignale lernen, vor dem Handeln prüfen. Das Problem ist, dass die meisten KMU in Monaco die Grundlagen noch gar nicht umgesetzt haben.

Warum die nächsten acht Wochen die gefährlichsten sind

Rechnungsbetrug und „CEO-Fraud" erreichen ihren Höhepunkt, wenn die Buchhaltung unter Druck steht und Entscheider unterwegs sind. Jahresabschluss, Lieferantenzahlungen, Bonusläufe und Urlaubsvertretungen schaffen genau die Bedingungen, die Betrüger suchen: Dringlichkeit, abwesende Freigeber und junge Mitarbeitende, die hilfsbereit sein wollen.

Der typische Ablauf in Monaco ist von deprimierender Gleichförmigkeit. Das Postfach eines Lieferanten wird gekapert oder schlicht mit einer täuschend ähnlichen Domain imitiert. Eine höfliche E-Mail kündigt „neue Bankverbindungen" für eine offene Rechnung an. Alles andere an der Rechnung stimmt, denn der Betrüger hat den echten Mailverlauf gelesen. Die Zahlung geht raus. Drei Wochen später ruft der echte Lieferant an. Monacos kleine, auf Vertrauen gebaute Geschäftswelt macht das leichter, nicht schwerer, weil man gewohnt ist, Dinge schnell und per Vornamen zu regeln.

Vier Maßnahmen, die das meiste verhindern

Keine davon braucht ein Sicherheitsbudget. Sie brauchen eine Entscheidung.

• Eine Rückrufregel für jede Änderung von Zahlungsdaten. Keine neue Bankverbindung, kein neuer Zahlungsempfänger, keine ungewöhnlich dringende Überweisung wird allein auf Basis einer E-Mail ausgeführt. Jemand ruft den Lieferanten unter einer bereits hinterlegten Nummer an, niemals unter einer Nummer aus der Mail. Schreiben Sie die Regel auf, teilen Sie sie allen Lieferanten mit, und machen Sie sie unumgehbar, auch für die Geschäftsführung.
• Mehrfaktor-Authentifizierung für E-Mail und Banking, ohne Ausnahme. Die meisten kompromittierten Postfächer kleiner Firmen waren nur durch ein Passwort geschützt. Passkeys oder eine Authenticator-App schließen die Tür, durch die die meisten dieser Angriffe hereinkommen.
• E-Mail-Authentifizierung für die eigene Domain. SPF-, DKIM- und DMARC-Einträge sagen empfangenden Mailservern, welche Server in Ihrem Namen senden dürfen. Ohne sie kann jeder E-Mails „von" Ihrem Unternehmen verschicken, auch an Ihre eigenen Kunden. Das ist eine Konfigurationsaufgabe, kein Produktkauf, und sie schützt zugleich die Zustellbarkeit Ihres E-Mail-Marketings und CRM.
• Eine schriftliche KI-Nutzungsrichtlinie. Eine Seite. Welche Tools freigegeben sind, was niemals hineinkopiert werden darf (Kundennamen, Verträge, Finanzdaten, personenbezogene Daten) und wer bei Fragen Ansprechpartner ist. Das am 20. Oktober angesprochene Shadow-AI-Risiko löst man durch Klarheit, nicht durch Verbote.

Die rechtliche Ebene, die die meisten Inhaber vergessen

Ein erfolgreicher Phishing-Angriff bleibt selten ein rein finanzieller Schaden. Enthielt das kompromittierte Postfach Kundenkorrespondenz, liegt mit hoher Wahrscheinlichkeit eine Verletzung des Schutzes personenbezogener Daten nach dem Gesetz Nr. 1.565 vom 3. Dezember 2024 vor. Artikel 32 dieses Gesetzes verpflichtet den Verantwortlichen, die APDP unverzüglich und, soweit möglich, innerhalb von höchstens 72 Stunden nach Kenntnisnahme zu benachrichtigen, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die betroffenen Personen. Ist das Risiko für die Betroffenen hoch, müssen auch diese informiert werden.

Die 72 Stunden schließen das Wochenende ein, und die Uhr läuft ab Kenntnisnahme, nicht ab Abschluss der Untersuchung. Deshalb war die Präsenz der APDP bei der Konferenz am 6. Oktober kein Zufall: Reaktion auf Datenpannen und Cyberhygiene sind ein und dasselbe Projekt. Wer noch nie erfasst hat, welche personenbezogenen Daten in Postfächern und geteilten Laufwerken liegen, beginnt am besten mit einer Datenschutzprüfung nach APDP-Vorgaben; dabei kommen die Sicherheitslücken der Postfächer meist gleich mit ans Licht.

Monaco ist kein EU-Mitgliedstaat und unterliegt nicht der DSGVO. Es gilt das eigene Gesetz mit der eigenen Aufsichtsbehörde. Bei Zweifeln über Ihre Pflichten nach einem Vorfall holen Sie zügig rechtlichen Rat ein, statt auf das vollständige forensische Bild zu warten.

Was Website und Systeme betrifft

Angreifer nutzen zunehmend die Website des Unternehmens als Rechercheplattform für den Angriff: Namen der Mitarbeitenden, E-Mail-Format, Lieferantenlogos, Veranstaltungstermine. Daraus folgen zwei praktische Punkte.

Erstens: Halten Sie die Website aktuell. Ein veraltetes WordPress-Plugin ist einer der häufigsten Wege, über den der Webserver einer kleinen Firma, und manchmal auch ihre E-Mail, unbemerkt übernommen und für Betrug in ihrem Namen missbraucht wird. Ein Vertrag zur Website-Wartung mit monatlichen Updates und Überwachung ist günstiger als eine einzige betrügerische Überweisung.

Zweitens: Entscheiden Sie, was Sie veröffentlichen. Vollständige Mitarbeiterverzeichnisse mit direkten E-Mail-Adressen und Funktionsbezeichnungen sind ein Geschenk für jeden, der eine „Nachricht des Finanzchefs" verfasst. Veröffentlichen Sie stattdessen funktionsbezogene Kontakte und leiten Sie Anfragen über ein verwaltetes Formular.

Wenn Sie KI-Automatisierung im Kundenservice oder in Verwaltungsprozessen einführen, bauen Sie dieselbe Disziplin von Anfang an ein: welche Daten der Assistent sehen darf, was er versenden darf und wo ein Mensch freigibt. Eine Automatisierung, die ohne Prüfung Zahlungen auslösen oder Kundendaten weitergeben kann, ist eine neue Angriffsfläche, keine Ersparnis.

Die nächste Session und was Sie mitbringen sollten

Das Digital-FlashUP-Programm läuft diesen Herbst weiter, mit einer Session zur Cloud-Migration, die ab dem 12. November angekündigt ist; Termine und Anmeldung prüfen Sie am besten auf monentreprise.gouv.mc. Wenn Sie hingehen, bringen Sie drei konkrete Fragen zu Ihrer eigenen Umgebung mit statt allgemeiner Neugier. Das 45-Minuten-Format belohnt, wer weiß, was er beheben will.

Wenn Sie lieber jemanden Ihre Website, Ihre E-Mail-Konfiguration und Ihre KI-Nutzung vor dem Jahresendgeschäft prüfen lassen möchten, nehmen Sie Kontakt auf. Eine fokussierte Prüfung liefern wir innerhalb weniger Tage.