„Letzte Woche haben wir 41.000€ an einen Scammer überwiesen.“ So beginnt der LinkedIn-Post von John K. Brady, CEO des niederösterreichischen Kindermöbel-Startups poptop, das von den ehemaligen woom-Gründern Christian Bezdeka und Marcus Ihlenfeld ins Leben gerufen wurde.

poptop-CEO: „Geld ging an dubiose Firma“

Sein Team war einer KI-generierter Scam-Mail zum Opfer gefallen, in der Bradys Signatur und sein Schreibstil perfekt nachgebaut waren, wie er brutkasten erzählt.

„Mir ist aufgefallen, dass 41.000 Euro fehlen, die ich nicht eingeplant hatte“, sagt er. „Ich habe schließlich die Kontobewegungen geprüft und gemerkt, dass das Geld an eine dubiose Firma gegangen war (Anm.: an ein US-Konto), die ich nicht kannte.“

Also kontaktierte er seine Buchhalterin, die die einzige war, die Zugriff auf das eigene Firmenkonto hatte. Die Mitarbeiterin meinte, Brady hätte doch diesen Auftrag freigegeben.

Kein „double-check“

„Ich hab mir dann die Mail mit der Rechnung angesehen und tatsächlich stand da mein Name und dass ich dieser Firma die Zahlung bestätigt habe“, so der CEO weiter. „Alles hat auf den ersten Blick echt ausgesehen, die Bankverbindung und die freigegebene Summe. Wenn man jedoch ein geschultes Auge hat, kann man erkennen, dass es KI war. Da gab es etwa diese ‚Bindestriche‘ drinnen (Anm.: KI-Modelle verwenden oftmals exzessiv Gedankenstriche als Kommaersatz für Einschübe oder Pausen, was im menschlichen Schreibfluss oft unnatürlich wirkt). Bei uns war dieser geschulte Blick leider nicht vorhanden und wir haben dann irrtümlicherweise ohne ‚double-check‘ den Betrag überwiesen.“

Die Überweisung konnte glücklicherweise mit der Bank noch gestoppt werden. „41k sind für ein Startup wie uns die Lifeline. Cashflow ist im Wachstum alles. Das tut weh. Und wäre eine ‚Mega-Katastrophe‘ gewesen“, beschreibt Brady heute den Schockmoment.

Neuer Sicherheits-Prozess

Mittlerweile hat das poptop-Team einen Prozess implementiert, um künftig solche Vorfälle im Vorhinein gleich auszuschließen. „Freigaben für Summen, egal in welcher Höhe müssen nun immer über mich passieren“, erklärt Brady. „Dies geht jetzt ausschließlich über ein passwortgeschütztes Tool, auf das sonst niemand Zugriff hat. Wir haben nun einen soliden Prozess, der auch durch KI nicht gehackt werden kann.“