Hacker nutzen Google-Dienste und kompromittierte Accounts für gezielte Angriffe auf DocuSign-Nutzer und Führungskräfte

Digitale Signaturen gehören heute zum Alltag vieler Unternehmen. Verträge, Freigaben, Geheimhaltungsvereinbarungen, Zahlungsfreigaben und vertrauliche Dokumente werden schnell und unkompliziert über Plattformen wie DocuSign versendet. Genau deshalb sind solche Dienste für Cyberkriminelle besonders attraktiv.

Denn der Angriff erfolgt nicht mehr nur über schlecht formulierte Mails. Vielmehr nutzen Täter zunehmend echte oder täuschend echt wirkende Dienste, kompromittierte E-Mail-Konten, Google-Dienste, Cloud-Speicher, Weiterleitungen, QR-Codes und bekannte Markenoberflächen. Dadurch wirken Angriffe seriös. Und genau darin liegt die Gefahr.

Besonders gefährdet sind Geschäftsführer, Vorstände, Finanzabteilungen, Assistenz der Geschäftsleitung, Rechtsabteilungen und Personen mit Zugriff auf vertrauliche Unternehmensdaten.

Warum DocuSign-Angriffe so gefährlich sind

DocuSign steht für Verbindlichkeit. Wer eine E-Mail mit einem angeblichen Vertragsdokument erhält, reagiert häufig schneller als bei einer gewöhnlichen Werbe- oder Spam-Mail. Es geht scheinbar um eine Unterschrift, eine Zahlungsfreigabe, einen Vertrag oder eine vertrauliche Vereinbarung.

Cyberkriminelle nutzen dieses Vertrauen gezielt aus.

Dabei kann der Angriff verschiedene Ziele verfolgen:

• Die Zugangsdaten von Microsoft 365, Google Workspace oder DocuSign sollen abgegriffen werden.
• Führungskräfte sollen zur Freigabe einer Zahlung bewegt werden.
• Vertrauliche Dokumente sollen ausgespäht werden.
• Ein kompromittiertes Konto soll für weitere Angriffe genutzt werden.
• Mitarbeiter sollen auf gefälschte Login-Seiten gelockt werden.
• Interne Kommunikation soll manipuliert oder überwacht werden.

Besonders problematisch ist, dass Angriffe oft nicht isoliert stattfinden. Häufig ist DocuSign nur der sichtbare Einstieg. Dahinter kann bereits ein kompromittiertes E-Mail-Konto, ein abgegriffener Cloud-Zugang oder eine vorbereitete Social-Engineering-Kampagne stehen.

Der neue Angriffsweg: vertrauenswürdige Dienste statt auffälliger Spam

Früher waren Phishing-Mails häufig leicht zu erkennen. Falsche Sprache, schlechte Grafiken, merkwürdige Absender und offensichtliche Fehler waren typische Warnzeichen. Heute sehen viele Angriffe deutlich professioneller aus.

Täter nutzen beispielsweise:

• kompromittierte Geschäfts-E-Mail-Konten,
• echte Google-Dienste wie Google Drive, Google Docs, Google Forms oder Google Sites,
• Weiterleitungen über bekannte Cloud-Plattformen,
• QR-Codes zur Umgehung klassischer E-Mail-Sicherheitsfilter,
• gefälschte DocuSign-Benachrichtigungen,
• täuschend echte Login-Seiten,
• bereits bestehende E-Mail-Verläufe,
• interne Signaturen und echte Kontaktdaten.

Dadurch entsteht beim Empfänger ein gefährlicher Vertrauensvorsprung. Die Nachricht kommt scheinbar von einem bekannten Kontakt. Der Link führt zunächst zu einem bekannten Dienst. Die Oberfläche wirkt vertraut. Und der Zeitdruck ist hoch.

Genau diese Kombination macht den Angriff wirksam.

Warum kompromittierte Accounts so wertvoll sind

Ein kompromittiertes E-Mail-Konto ist für Täter mehr als nur ein Zugang. Es ist ein Einblick in Geschäftsbeziehungen, Zahlungsprozesse, laufende Projekte, Vertragsverhandlungen und interne Abläufe.

Aus einem solchen Konto können Täter erkennen:

• wer im Unternehmen Entscheidungen trifft,
• wer Zahlungen freigibt,
• welche Dienstleister eingebunden sind,
• welche Verträge gerade offen sind,
• welche Fristen bestehen,
• wie interne Kommunikation formuliert wird,
• welche Signaturen, Logos und Ansprechpartner genutzt werden.

Anschließend wird der Angriff passgenau vorbereitet. Dadurch wird aus einer einfachen Phishing-Mail ein gezielter Angriff auf Entscheider, Finanzprozesse oder vertrauliche Unternehmensinformationen.

Führungskräfte stehen besonders im Fokus

Geschäftsführer, Vorstände und leitende Mitarbeiter sind attraktive Ziele. Sie verfügen über Entscheidungsmacht, Zugriff auf sensible Informationen und häufig über besondere Berechtigungen.

Dazu kommt: Führungskräfte arbeiten oft unter hohem Zeitdruck. Sie erhalten täglich viele E-Mails, Freigaben, Verträge und externe Anfragen. Genau diese Situation nutzen Täter aus.

Typische Szenarien sind:

• angebliche Vertragsunterlagen über DocuSign,
• vermeintliche NDA-Dokumente,
• angebliche Zahlungsfreigaben,
• gefälschte M&A-Unterlagen,
• angebliche Kanzlei- oder Beraterkommunikation,
• manipulierte Lieferanten- oder Dienstleisterdokumente,
• vermeintliche HR- oder Compliance-Unterlagen.

Der Angriff ist dabei häufig nicht laut. Er ist leise, vorbereitet und gezielt.

Google-Dienste als Tarnschicht

Google-Dienste werden von vielen Unternehmen täglich genutzt. Genau deshalb eignen sie sich als Tarnschicht für Angriffe.

Ein Link zu Google Drive, Google Docs oder Google Sites wirkt auf viele Empfänger weniger verdächtig als ein unbekannter ausländischer Domainname. Auch Sicherheitsfilter behandeln bekannte Plattformen oft anders als offensichtlich schädliche Webseiten.

Täter können darüber gefälschte Zwischenseiten, Formulare, Login-Seiten oder Weiterleitungen einbauen. Der Empfänger glaubt, sich in einem gewohnten digitalen Umfeld zu bewegen. Tatsächlich wird er Schritt für Schritt zu einer manipulierten Eingabe geführt.

Das Ziel ist häufig der Diebstahl von Zugangsdaten. Danach kann der Angriff in die nächste Phase übergehen.

Wirtschaftskriminalität beginnt nicht immer offline

Viele Unternehmen trennen noch immer zwischen Cyberangriff und klassischer Wirtschaftskriminalität. Diese Trennung ist in der Praxis oft künstlich.

Denn ein digitaler Angriff kann der Einstieg in einen wirtschaftskriminalistischen Sachverhalt sein. Aus einer Phishing-Mail kann ein Zahlungsbetrug entstehen. Aus einem kompromittierten Account kann CEO-Fraud entstehen. Aus einem abgegriffenen Vertrag kann ein Erpressungs-, Spionage- oder Wettbewerbsfall entstehen.

Deshalb muss die Aufklärung nicht nur technisch erfolgen. Sie muss auch wirtschaftskriminalistisch betrachtet werden.

Entscheidend sind unter anderem folgende Fragen:

• Wer wurde angegriffen?
• Welche Kommunikation wurde kompromittiert?
• Welche Dokumente wurden geöffnet?
• Welche Zugänge wurden verwendet?
• Welche Zahlungen, Verträge oder Freigaben waren betroffen?
• Gab es bereits Vorbereitungshandlungen?
• Gibt es Hinweise auf interne Mitwirkung?
• Wurden weitere Empfänger im Unternehmen angegriffen?
• Gibt es Verbindungen zu Lieferanten, Beratern oder externen Dienstleistern?

Erst aus dieser Gesamtbetrachtung entsteht ein belastbares Lagebild.

Wie Unternehmen reagieren sollten

Wenn ein verdächtiger DocuSign-Link, ein Google-Link oder eine ungewöhnliche Signaturanfrage auftaucht, sollte nicht unüberlegt geklickt, weitergeleitet oder intern spekuliert werden.

Wichtig ist eine strukturierte Reaktion:

1. Die Nachricht nicht öffnen oder weiter anklicken.
2. Keine Zugangsdaten eingeben.
3. Den Absender über einen zweiten Kommunikationsweg verifizieren.
4. Die IT-Sicherheit informieren.
5. Kopfzeilen, Links, Zeitstempel und Empfänger sichern.
6. Betroffene Accounts prüfen lassen.
7. Passwörter ändern und Sitzungen beenden.
8. Multi-Faktor-Authentifizierung prüfen.
9. Zahlungsprozesse vorübergehend besonders kontrollieren.
10. Den Sachverhalt dokumentieren.

Denn gerade bei Führungskräften und Finanzabteilungen kann ein solcher Vorfall mehr sein als ein einzelner Phishing-Versuch.

Warum eine wirtschaftskriminalistische Einordnung wichtig ist

Eine rein technische Betrachtung beantwortet häufig nur die Frage, ob ein Link schädlich war oder ob ein Account kompromittiert wurde. Für Unternehmen reicht das nicht immer aus.

Denn in vielen Fällen geht es zusätzlich um:

• Haftungsfragen,
• arbeitsrechtliche Folgen,
• interne Verantwortlichkeiten,
• Täuschungshandlungen,
• Zahlungsschäden,
• Compliance-Pflichten,
• Beweissicherung,
• mögliche Strafanzeigen,
• zivilrechtliche Ansprüche,
• Reputationsrisiken.

Deshalb muss der Vorfall sauber dokumentiert, eingeordnet und nachvollziehbar aufgearbeitet werden. Gerade wenn Geschäftsführer, Finanzabteilungen, Rechtsabteilungen oder externe Dienstleister betroffen sind, kommt es auf eine klare Beweiskette an.

Unsere Erfahrung bei Detegere

Die Detektei Detegere ist auf wirtschaftskriminalistische Sachverhalte spezialisiert. Dazu gehören Betrug, interne Unregelmäßigkeiten, CEO-Fraud, Lieferantenbetrug, digitale Täuschungshandlungen, Hintergrundprüfungen und die gerichtsverwertbare Aufbereitung komplexer Vorgänge.

Wir betrachten solche Fälle nicht nur als technischen Vorfall. Wir prüfen auch den wirtschaftlichen Kontext, die beteiligten Personen, die Kommunikationswege, mögliche Vorbereitungshandlungen und die Frage, ob der Angriff Teil eines größeren Musters ist.

Dabei verbinden wir strukturierte Recherche, OSINT, operative Erfahrung, Beweissicherung, Dokumentation und – wenn erforderlich – internationale Ermittlungsansätze. Gerade bei Angriffen über kompromittierte Accounts, Cloud-Dienste oder internationale Infrastrukturen ist diese Gesamtbetrachtung entscheidend.

Unser Ziel ist nicht Panik. Unser Ziel ist Klarheit.

Fallbeispiel aus der Praxis

Ein mittelständisches Unternehmen erhält eine angebliche DocuSign-Anfrage. Der Absender ist ein bekannter externer Geschäftspartner. Die Nachricht enthält einen Link zu einem vertraut wirkenden Cloud-Dokument. Ein Mitglied der Geschäftsleitung öffnet den Link und wird auf eine Login-Seite geführt.

Kurz darauf gehen weitere E-Mails an interne Mitarbeiter. Die Nachrichten beziehen sich auf echte Projekte und enthalten korrekte Ansprechpartner. Dadurch wirken sie glaubwürdig. Parallel wird versucht, eine Zahlungsfreigabe unter Zeitdruck vorzubereiten.

Bei der späteren Prüfung zeigt sich: Nicht DocuSign selbst war das eigentliche Problem. Vielmehr wurde ein externes E-Mail-Konto kompromittiert. Über dieses Konto wurden bestehende Kommunikationsverläufe ausgewertet. Anschließend wurde der Angriff gezielt auf das Unternehmen angepasst.

Entscheidend war in diesem Fall nicht nur die technische Analyse. Entscheidend war die Rekonstruktion der Kommunikationskette, der beteiligten Personen, der zeitlichen Abläufe und der wirtschaftlichen Zielrichtung.

Prävention: Was Unternehmen jetzt tun sollten

Unternehmen sollten klare Regeln für digitale Signaturanfragen einführen. Das gilt besonders für Führungskräfte, Finanzabteilungen und Mitarbeitende mit Zugriff auf vertrauliche Informationen.

Sinnvolle Maßnahmen sind:

• Verifizierung sensibler Signaturanfragen über einen zweiten Kanal.
• Keine Freigabe von Zahlungen allein aufgrund digitaler Dokumente.
• Schulung von Geschäftsleitung, Assistenz, Buchhaltung und Rechtsabteilung.
• Prüfung von Weiterleitungsregeln in E-Mail-Konten.
• Einsatz phishing-resistenter Multi-Faktor-Authentifizierung.
• Regelmäßige Kontrolle von Login-Aktivitäten.
• Technische und organisatorische Notfallprozesse.
• Klare Dokumentation von Verdachtsfällen.
• Sensibilisierung für QR-Code-Phishing.
• Prüfung externer Dienstleister und Kommunikationsketten.

Wichtig ist: Sicherheit entsteht nicht durch ein einzelnes Tool. Sicherheit entsteht durch Prozesse, Aufmerksamkeit und klare Verantwortlichkeiten.

Fazit

Angriffe auf DocuSign-Nutzer, Google-Dienste und kompromittierte Accounts zeigen, wie professionell moderne Wirtschaftskriminalität geworden ist. Täter nutzen Vertrauen, Zeitdruck und bekannte Plattformen. Sie greifen nicht zufällig an, sondern gezielt.

Für Unternehmen bedeutet das: Verdächtige Signaturanfragen, Cloud-Links und E-Mails von bekannten Kontakten dürfen nicht blind vertraut werden. Besonders dann nicht, wenn es um Verträge, Zahlungen, vertrauliche Dokumente oder Führungskräfte geht.

Wer früh reagiert, sauber dokumentiert und den Sachverhalt strukturiert prüfen lässt, kann Schäden begrenzen. Wer den Vorfall dagegen als einfache Spam-Mail abtut, übersieht möglicherweise den Beginn eines größeren Angriffs.

Detegere unterstützt Unternehmen, Kanzleien und Entscheidungsträger bei der diskreten Aufklärung wirtschaftskriminalistischer Sachverhalte – digital, operativ und mit Blick auf gerichtsverwertbare Ergebnisse.

FAQ

Was ist DocuSign-Phishing?

DocuSign-Phishing bezeichnet betrügerische E-Mails oder Dokumentenanfragen, die den Eindruck erwecken, von DocuSign oder einem bekannten Geschäftspartner zu stammen. Ziel ist häufig der Diebstahl von Zugangsdaten, die Manipulation von Zahlungen oder der Zugriff auf vertrauliche Informationen.

Warum nutzen Täter Google-Dienste für solche Angriffe?

Google-Dienste wirken vertraut. Links zu Google Drive, Google Docs, Google Forms oder Google Sites werden deshalb seltener kritisch hinterfragt. Täter nutzen diese Bekanntheit, um Opfer auf gefälschte Seiten oder manipulierte Weiterleitungen zu führen.

Sind echte DocuSign-E-Mails immer sicher?

Nein. Auch wenn eine Nachricht professionell aussieht, sollte sie geprüft werden. Besonders bei unerwarteten Dokumenten, Zahlungsfreigaben, QR-Codes oder ungewöhnlichem Zeitdruck ist Vorsicht geboten.

Wer ist besonders gefährdet?

Besonders gefährdet sind Geschäftsführer, Vorstände, Finanzabteilungen, Rechtsabteilungen, Assistenzfunktionen, HR-Abteilungen und Personen mit Zugriff auf sensible Unternehmensdaten.

Was soll ich tun, wenn ich auf einen verdächtigen Link geklickt habe?

Ändern Sie sofort Ihre Passwörter, beenden Sie aktive Sitzungen, informieren Sie Ihre IT-Sicherheit und dokumentieren Sie den Vorfall. Außerdem sollte geprüft werden, ob weitere Konten, Zahlungen oder Kommunikationsverläufe betroffen sind.

Wann sollte eine wirtschaftskriminalistische Prüfung erfolgen?

Eine Prüfung ist sinnvoll, wenn Führungskräfte, Zahlungsprozesse, vertrauliche Dokumente, externe Geschäftspartner oder kompromittierte Accounts betroffen sind. Dann geht es nicht nur um IT-Sicherheit, sondern auch um Beweissicherung, Verantwortlichkeiten und mögliche wirtschaftliche Schäden.

Kann ein kompromittiertes Konto für weitere Angriffe genutzt werden?

Ja. Genau das ist häufig der Fall. Täter nutzen kompromittierte Konten, um echte Kommunikationsverläufe auszuwerten und anschließend weitere Empfänger gezielt anzugreifen.

Wie unterstützt Detegere in solchen Fällen?

Detegere unterstützt bei der strukturierten Aufklärung, der wirtschaftskriminalistischen Einordnung, der Recherche zu Beteiligten und Kommunikationswegen, der Dokumentation sowie bei der Vorbereitung weiterer rechtlicher oder organisatorischer Schritte.

Ist ein solcher Angriff ein Fall von Wirtschaftskriminalität?

Das kann der Fall sein. Wenn Zugangsdaten gestohlen, Zahlungen manipuliert, vertrauliche Informationen ausgespäht oder Unternehmen gezielt getäuscht werden, kann ein wirtschaftskriminalistischer Sachverhalt vorliegen.

Wie können Unternehmen vorbeugen?

Unternehmen sollten klare Freigabeprozesse, Schulungen, Zwei-Kanal-Verifizierung, starke Authentifizierung, Monitoring von Kontozugriffen und strukturierte Notfallprozesse einführen. Besonders sensible Signatur- und Zahlungsprozesse sollten nie allein auf Basis einer E-Mail ausgelöst werden.

Sie möchten Ihr Unternehmen besser vor Wirtschaftskriminalität, Betrug, internen Risiken oder digitalen Täuschungshandlungen schützen? Dann sprechen Sie uns an!

☎️ Kostenfreie Hotline: 0800 / 0 12 02 23

Oliver Peth, Inhaber der Detektei Detegere, verbindet praktische Ermittlungserfahrung mit fundierter wirtschaftskriminalistischer Expertise. Als professioneller Keynote Speaker hält er Vorträge, interne Schulungen und Sensibilisierungsformate für Unternehmen, Führungskräfte und Mitarbeitende – praxisnah, verständlich und mit klarem Blick auf reale Risiken.

Sie möchten Ihr Unternehmen besser vor Wirtschaftskriminalität, Betrug, internen Risiken oder digitalen Täuschungshandlungen schützen?

Dann sprechen Sie uns an.

☎️ Kostenfreie Hotline: 0800 / 0 12 02 23

Bild: KI generiert