Solche Fälle galten lange als typisches Muster des Frachtbetrugs. Inzwischen verschiebt sich das Problem in Richtung der Speditionen selbst. Wer deren Zugänge kontrolliert, braucht keine nachgeahmte Domain mehr.
Wenn das echte Konto für die Täter arbeitet
Der Transportversicherer KRAVAG warnte Anfang Juli 2026, dass Kriminelle zunehmend in die IT-Systeme von Speditionen eindringen und sich Zugriff auf deren E-Mail-Konten verschaffen. Von dort nehmen sie Aufträge an, vergeben selbst welche und ändern die hinterlegte E-Mail-Adresse im Konto der Frachtbörse. Der klassische Abgleich der Absenderadresse läuft in diesem Fall ins Leere, weil die Nachricht tatsächlich vom richtigen Unternehmen kommt. Die Schäden liegen laut KRAVAG meist im sechsstelligen Bereich, häufig auch bei mehreren Millionen Euro.
Ein Login, den die halbe Disposition kennt
In vielen Speditionen hat sich über Jahre eine bequeme Praxis eingeschliffen. Für die Frachtbörse existiert ein Firmenzugang, das Kennwort steht auf einem Zettel am Monitor oder wandert per Messenger zur Aushilfe im Nachtdienst. Je mehr Personen ein Passwort kennen, desto mehr Postfächer, Rechner und Smartphones kommen als Leck infrage und desto schwerer lässt sich später rekonstruieren, wer wann eingeloggt war.
Ein Passwortmanager für Teams räumt mit dieser Praxis auf. Jede Person meldet sich mit eigenem Konto an, gemeinsam genutzte Zugänge liegen in freigegebenen Tresoren und die Verwaltung entscheidet, wer welchen Eintrag sehen darf. Für Speditionen, die solche Lösungen zunächst kalkulieren wollen, bündelt Cybernews auf einer fortlaufend gepflegten Seite die 1Password-Angebote für Unternehmen und Hinweise zum Business-Tarif.
Im Stress der Tourenplanung hilft das Werkzeug zudem gegen nachgebaute Login-Masken. Jedes Kennwort ist zusammen mit der exakten Webadresse der Börse hinterlegt. Führt ein Link auf eine Kopie mit vertauschtem Buchstaben, bietet die Browser-Erweiterung schlicht nichts zum Einfügen an. Spätestens dann sollte ein Disponent stutzig werden, bevor er das Passwort von Hand eintippt.
Der zweite Faktor gehört zuerst ans Postfach
Piotr Sobala, der bei Trans.eu das internationale Sicherheitsteam leitet, beschreibt in einem aktuellen Interview, wie der Einstieg häufig aussieht. Disponenten landen auf einer imitierten Anmeldeseite, deren Adresse sich häufig bloß in einem Buchstaben oder in der Domain-Endung vom Original unterscheidet. Ein gekapertes Konto nutzen die Täter dann mitunter nur wenige Stunden, bis es auffällt oder gesperrt wird. Der Zugriff kann allerdings auch Wochen oder Monate nach dem Diebstahl der Daten erfolgen.
Besonders wertvoll ist für Angreifer das Firmenpostfach. Über das E-Mail-Konto lassen sich Passwörter zurücksetzen, Kontaktdaten ändern und Gespräche mit Verladern mitlesen. Ein gestohlenes Kennwort sollte deshalb allein nicht genügen, um hineinzukommen. Eine Zwei-Faktor-Anmeldung verlangt zusätzlich einen Nachweis über ein zweites Gerät, etwa einen Einmalcode der Authenticator-App oder einen Hardware-Schlüssel.
Danach folgen die Zugänge zur Frachtbörse, zum Transportmanagementsystem und zum Online-Banking. Wo eine Plattform den zweiten Faktor anbietet, sollte er für jeden Benutzer aktiv sein, auch für die Geschäftsführung, die sich nur einmal im Monat einloggt. Codes per SMS sind besser als nichts, gelten aber als schwächere Variante, weil sich Mobilfunknummern über einen erschlichenen Kartentausch kapern lassen.
Rechte nach Aufgaben verteilen
Nicht jeder Mitarbeiter braucht in jedem System volle Befugnisse. Im Alltag einer mittelgroßen Spedition lassen sich die Rollen meist klar abgrenzen:
- Disponenten veröffentlichen und vergeben Frachten, ändern aber keine Stammdaten des Unternehmens.
- Die Buchhaltung sieht Rechnungen und Bankverbindungen, kommt jedoch nicht an die Ladungsangebote heran.
- Änderungen an hinterlegten E-Mail-Adressen, Telefonnummern oder Kontodaten bleiben ein bis zwei verantwortlichen Personen vorbehalten.
Diese Trennung begrenzt den Schaden, falls ein einzelnes Konto doch von Fremden übernommen wird. Gleichzeitig fällt schneller auf, wenn ein Disponentenkonto plötzlich versucht, Firmenangaben umzuschreiben.
Ergänzend lohnt ein fester Termin, etwa einmal im Quartal, an dem die Benutzerliste der Frachtbörse mit der aktuellen Personalliste abgeglichen wird. Taucht dort ein Name auf, den in der Firma niemand mehr zuordnen kann, oder eine fremde E-Mail-Adresse, ist das ein Fall für den Support der Plattform und für eine sofortige Passwortänderung.
Offboarding am letzten Arbeitstag
Personalwechsel gehören in der Disposition zum Alltag, Zugänge überleben den Abschied dagegen oft monatelang. Spätestens am letzten Arbeitstag sollten alle persönlichen Konten gesperrt werden. In 1Password Business lässt sich ein Mitglied zunächst sperren und erst später endgültig löschen. Der Anbieter rät, berufliche Einträge vorher in einen gemeinsamen Tresor zu verschieben, da sie beim Löschen sonst unwiderruflich verloren gehen. Hatte die Person Administratorrechte, empfiehlt 1Password, davon auszugehen, dass sie jedes Passwort in den verwalteten Tresoren kennt. Diese Kennwörter gehören dann geändert, beginnend mit Frachtbörse und Firmenpostfach. Dasselbe gilt für Zugänge, die externe Dienstleister oder Subunternehmer zeitweise erhalten haben.
Technik ersetzt keinen Rückruf
Gut geschützte Zugänge machen eine Spedition zu einem deutlich schwierigeren Ziel. Gegen Betrüger, die sich als Partner ausgeben, braucht es dennoch eingespielte Abläufe. Laut Sobala findet die große Mehrheit der Betrugsfälle außerhalb der Plattformen statt, wenn Gespräche auf E-Mail-Adressen umgeleitet werden, die echten Geschäftsadressen nur ähneln. Ändert sich nach der Vergabe kurzfristig der Entladeort oder das Kennzeichen, hilft ein Anruf bei einer selbst recherchierten Nummer des Partners, nicht bei der Nummer aus der verdächtigen Mail.
Wie groß der Druck insgesamt ist, belegt die Statistik der Sicherheitsorganisation TAPA EMEA. Für 2024 und 2025 registrierte sie in Deutschland 9.092 Frachtdelikte mit einem gemeldeten Schaden von rund 104 Millionen Euro. Digitaler Identitätsbetrug macht in diesen Statistiken bislang nur einen vergleichsweise kleinen Teil aus, ein einzelner Fall kann nach den Erfahrungen der Versicherer aber schnell sechsstellige Summen kosten. Für Speditionen spricht daher viel dafür, die eigenen Logins mit derselben Sorgfalt zu behandeln wie den Schlüssel zum Lager.
