Business E-Mail Compromise (BEC): Die unterschätzte Milliarden-Bedrohung

TL;DR

BEC verursacht laut FBI jährlich über 2,9 Milliarden Dollar Schaden und ist damit finanziell die zerstörerischste Cyberkriminalitätsform weltweit.
Anders als klassisches Phishing zielt BEC nicht auf Malware-Installation, sondern auf die Manipulation von Geschäftsprozessen, vor allem Zahlungsanweisungen und Datenherausgabe.
Die fünf häufigsten BEC-Varianten sind CEO Fraud, Rechnungsbetrug, Account Compromise, Anwalt-Impersonation und HR-Betrug.
Technische Maßnahmen (SPF, DKIM, DMARC, E-Mail-Gateway) sind notwendig, aber nicht hinreichend. Organisatorische Kontrollen wie Vier-Augen-Prinzip bei Zahlungen sind der wirksamste Schutz.
Bei einem BEC-Vorfall zählt Geschwindigkeit: Innerhalb von 24 Stunden nach einer Überweisung besteht eine realistische Chance, das Geld über die Bank zurückzuholen.

Die unsichtbare Bedrohung

Ransomware dominiert die Schlagzeilen. Verschlüsselte Systeme, Lösegeldforderungen, tagelange Ausfälle. Die Bilder sind dramatisch, die Berichterstattung intensiv. Aber wenn du dir die reinen Schadenszahlen anschaust, gibt es eine Bedrohung, die Ransomware in den Schatten stellt: Business E-Mail Compromise, kurz BEC.

Das FBI beziffert den weltweiten Schaden durch BEC auf über 2,9 Milliarden Dollar pro Jahr, allein in den USA gemeldete Fälle. Die Dunkelziffer ist erheblich höher, weil viele Unternehmen BEC-Angriffe aus Scham nicht melden. Das Bundesamt für Verfassungsschutz und das BKA berichten von einer stetig wachsenden Zahl von Fällen in Deutschland, mit Einzelschäden, die regelmäßig in den sechs- und siebenstelligen Bereich gehen.

Was BEC so gefährlich macht, ist die Kombination aus zwei Faktoren: Die Angriffe sind technisch simpel, oft nicht mehr als eine gut gefälschte E-Mail, und sie zielen auf die menschliche Ebene, auf Vertrauen, Hierarchie und Zeitdruck. Kein Virenscanner erkennt eine E-Mail als Bedrohung, die technisch einwandfrei ist und lediglich eine manipulierte Bankverbindung enthält.

Wie BEC-Angriffe funktionieren

Die Anatomie eines BEC-Angriffs

Ein BEC-Angriff verläuft typischerweise in vier Phasen:

Phase 1: Aufklärung. Die Angreifer recherchieren das Zielunternehmen. Sie nutzen öffentlich verfügbare Informationen: Handelsregistereinträge, LinkedIn-Profile, Unternehmenswebsite, Pressemitteilungen, Geschäftsberichte. Sie identifizieren die relevanten Personen (Geschäftsführung, Finanzabteilung, Einkauf), deren E-Mail-Adressen, Kommunikationsmuster und aktuelle Projekte. Bei gezielten Angriffen kann diese Phase Wochen oder Monate dauern.

Phase 2: Vorbereitung. Die Angreifer bereiten die Täuschung vor. Sie registrieren eine Domain, die der echten zum Verwechseln ähnlich sieht (z. B. firma-gmbh.de statt firma.gmbh.de). Oder sie kompromittieren tatsächlich das E-Mail-Konto einer relevanten Person (durch Phishing, Credential Stuffing oder Schwachstellen). Sie erstellen E-Mail-Vorlagen, die den Kommunikationsstil der nachgeahmten Person imitieren.

Phase 3: Durchführung. Die eigentliche Betrugsmail wird versendet. Sie kommt scheinbar von einer vertrauenswürdigen Person (Geschäftsführer, Lieferant, Anwalt) und enthält eine plausible Handlungsaufforderung: eine Überweisung, die Änderung einer Bankverbindung, die Herausgabe von Daten. Die Mail erzeugt Zeitdruck ("muss heute noch raus") und Vertraulichkeit ("bitte behandle das diskret").

Phase 4: Monetarisierung. Das überwiesene Geld wird schnell weitergeleitet, oft über mehrere Konten in verschiedenen Ländern, um die Rückverfolgung zu erschweren. Innerhalb von 48 bis 72 Stunden ist das Geld in der Regel unwiederbringlich verschwunden.

Die fünf häufigsten BEC-Varianten

Variante 1: CEO Fraud (Geschäftsführer-Betrug). Die bekannteste Variante. Die Angreifer geben sich als Geschäftsführer oder Vorstand aus und weisen einen Mitarbeiter in der Buchhaltung an, eine dringende Überweisung vorzunehmen. Typische Merkmale: hohe Summe, angeblich vertrauliches Geschäft (Übernahme, Rechtsstreit), Zeitdruck, Anweisung, niemanden sonst zu informieren.

Die E-Mail kommt entweder von einer Look-alike-Domain (ceo@firma-grnbh.de statt ceo@firma-gmbh.de) oder vom tatsächlich kompromittierten E-Mail-Konto des Geschäftsführers. In der zweiten Variante ist die Erkennung besonders schwer, weil die E-Mail technisch authentisch ist.

Variante 2: Rechnungsbetrug (Invoice Fraud). Die Angreifer fangen eine echte Rechnung ab (oder erstellen eine täuschend echte Fälschung) und ändern die Bankverbindung. Der Empfänger überweist den Betrag, im Glauben, an den richtigen Lieferanten zu zahlen. Diese Variante ist besonders bei internationalen Geschäftsbeziehungen verbreitet.

Variante 3: Account Compromise. Die Angreifer kompromittieren das E-Mail-Konto eines Mitarbeiters und nutzen es, um Rechnungen an Kunden oder Partner mit geänderter Bankverbindung zu versenden. Der Vorteil für die Angreifer: Die E-Mails kommen von einer echten, vertrauenswürdigen Adresse.

Variante 4: Anwalt-Impersonation. Die Angreifer geben sich als externer Anwalt oder Steuerberater aus und drängen auf eine dringende Überweisung im Zusammenhang mit einer angeblich vertraulichen Rechtsangelegenheit. Die Dringlichkeit und die Autorität der Anwaltsrolle erhöhen den Druck.

Variante 5: HR-Betrug (W-2/Payroll Scam). Die Angreifer geben sich als Geschäftsführer oder HR-Leitung aus und bitten die Personalabteilung, Gehaltsdaten, Steuerinformationen oder persönliche Daten von Mitarbeitern zu übermitteln. Diese Daten werden für Identitätsdiebstahl oder weitere Angriffe genutzt.

Warum BEC so schwer zu erkennen ist

Keine Malware, kein verdächtiger Link

Anders als Phishing-Mails, die auf eine gefälschte Login-Seite verlinken oder einen Anhang mit Schadsoftware enthalten, kommen BEC-Mails ohne technisch verdächtige Elemente aus. Sie enthalten keinen Link, keinen Anhang, keine Malware. Sie sind, technisch betrachtet, saubere E-Mails. Ein E-Mail-Gateway, das auf verdächtige Links, Anhänge und bekannte Malware-Signaturen prüft, lässt sie durch.

Social Engineering auf höchstem Niveau

BEC-Angreifer sind Meister der Manipulation. Sie nutzen psychologische Prinzipien, die tief in der menschlichen Psyche verankert sind:

Autorität: Die E-Mail kommt (scheinbar) vom Geschäftsführer. Wer hinterfragt eine Anweisung des Chefs?

Zeitdruck: "Muss bis 14 Uhr erledigt sein." Zeitdruck reduziert die Sorgfalt und unterdrückt kritisches Nachfragen.

Vertraulichkeit: "Bitte behandle das streng vertraulich, informiere niemanden." Damit wird der Meldeweg abgeschnitten, der den Betrug aufdecken würde.

Vertrautheit: Die Mail imitiert den Schreibstil der nachgeahmten Person. Wenn der Geschäftsführer normalerweise kurz und direkt schreibt, tut es die BEC-Mail auch.

Plausibilität: Der Kontext stimmt. Wenn das Unternehmen gerade eine Übernahme vorbereitet und die Angreifer das aus Pressemitteilungen wissen, wird eine angeblich damit zusammenhängende Überweisung plausibel.

KI-gestützte BEC-Angriffe

Die nächste Eskalationsstufe sind KI-gestützte BEC-Angriffe. Sprachmodelle können den Schreibstil einer Person anhand weniger E-Mail-Beispiele imitieren. Deepfake-Technologie kann die Stimme einer Person klonen, um telefonische Rückfragen überzeugend zu beantworten. Es gibt dokumentierte Fälle, in denen Angreifer Deepfake-Stimmen des Geschäftsführers eingesetzt haben, um Überweisungen telefonisch zu bestätigen.

Technische Schutzmaßnahmen

E-Mail-Authentifizierung: SPF, DKIM, DMARC

Die drei E-Mail-Authentifizierungsprotokolle sind die erste technische Verteidigungslinie gegen BEC:

SPF (Sender Policy Framework): Definiert, welche Server E-Mails im Namen deiner Domain versenden dürfen. Wenn eine E-Mail von einem nicht autorisierten Server kommt, kann der Empfänger sie als verdächtig markieren oder ablehnen.

DKIM (DomainKeys Identified Mail): Signiert ausgehende E-Mails kryptografisch, so dass der Empfänger prüfen kann, ob die E-Mail tatsächlich von der angegebenen Domain stammt und unterwegs nicht manipuliert wurde.

DMARC (Domain-based Message Authentication, Reporting and Conformance): Baut auf SPF und DKIM auf und definiert, was mit E-Mails passiert, die die Prüfung nicht bestehen (nichts tun, in Quarantäne, ablehnen). DMARC liefert zusätzlich Berichte über fehlgeschlagene Authentifizierungen.

Diese drei Protokolle schützen deine Domain davor, für E-Mail-Spoofing missbraucht zu werden. Sie schützen aber nicht vor Look-alike-Domains (firma-grnbh.de) und nicht vor kompromittierten Konten.

E-Mail-Gateway und Advanced Threat Protection

Moderne E-Mail-Gateways bieten Funktionen, die speziell auf BEC zugeschnitten sind:

Display Name Spoofing Detection: Erkennt, wenn der angezeigte Name in der E-Mail einem internen Mitarbeiter entspricht, die E-Mail aber von einer externen Adresse kommt.
Domain Impersonation Detection: Erkennt Look-alike-Domains und markiert die E-Mail.
Behavioral Analysis: Erkennt ungewöhnliche Kommunikationsmuster (z. B. der Geschäftsführer schreibt zum ersten Mal direkt an die Buchhaltung).
External Warning Banner: Fügt E-Mails von externen Absendern einen deutlichen Hinweis hinzu, der daran erinnert, dass die E-Mail nicht intern ist.

MFA für alle E-Mail-Konten

Wenn ein E-Mail-Konto kompromittiert wird, steht dem Angreifer ein authentischer Kommunikationskanal zur Verfügung. Multi-Faktor-Authentifizierung für alle E-Mail-Konten ist daher eine der wirksamsten Maßnahmen gegen Account-Compromise-Varianten von BEC.

Domain-Monitoring

Überwache die Registrierung von Domains, die deiner Unternehmens-Domain ähneln. Dienste wie Domain-Monitoring-Tools oder die Registrierung offensichtlicher Tippfehler-Varianten (typosquatting protection) können helfen, Look-alike-Domains frühzeitig zu erkennen.

Organisatorische Schutzmaßnahmen

Vier-Augen-Prinzip bei Zahlungen

Die wirksamste einzelne Maßnahme gegen BEC ist das Vier-Augen-Prinzip bei Zahlungsanweisungen. Keine Überweisung über einem definierten Schwellenwert (z. B. 5.000 Euro) darf von einer einzelnen Person freigegeben werden. Und keine Änderung von Bankverbindungen darf auf Basis einer E-Mail erfolgen.

Konkret bedeutet das:

Überweisungen über dem Schwellenwert erfordern die Freigabe durch zwei Personen.
Änderungen von Bankverbindungen werden telefonisch über eine bekannte Telefonnummer (nicht die in der E-Mail genannte) beim Lieferanten verifiziert.
Neue Zahlungsempfänger werden über einen definierten Prüfprozess angelegt, nicht per E-Mail-Anweisung.

Rückrufverfahren (Callback Verification)

Bei ungewöhnlichen oder dringenden Zahlungsanweisungen muss ein Rückruf beim vermeintlichen Absender erfolgen, und zwar über eine Telefonnummer, die aus einer unabhängigen Quelle stammt (Telefonbuch, Vertragsdokumente, CRM), nicht aus der E-Mail selbst. Dieses Verfahren klingt simpel, ist aber hocheffektiv, weil es die Kern-Täuschung des BEC-Angriffs durchbricht.

Klare Eskalationswege

Mitarbeiter müssen wissen, an wen sie sich wenden können, wenn eine Zahlungsanweisung verdächtig erscheint, und sie müssen das tun dürfen, ohne negative Konsequenzen zu fürchten. Die Unternehmenskultur muss es ermöglichen, dass ein Buchhalter eine Anweisung des Geschäftsführers hinterfragt, ohne dass das als Illoyalität gewertet wird.

Definiere klare Eskalationswege: Wenn eine Zahlungsanweisung ungewöhnlich erscheint, wird sie an den Vorgesetzten oder den ISB eskaliert. Die Zahlung wird zurückgehalten, bis die Legitimität geklärt ist. Lieber eine legitime Zahlung um einen Tag verzögern als eine betrügerische Zahlung nicht aufhalten.

Awareness-Schulungen mit BEC-Fokus

Allgemeine Phishing-Schulungen reichen nicht aus, weil BEC anders funktioniert als klassisches Phishing. Schulungen müssen die spezifischen Merkmale von BEC adressieren:

Wie sieht eine BEC-Mail aus? (Konkretes Beispiel zeigen)
Welche psychologischen Tricks werden eingesetzt?
Was ist das Vier-Augen-Prinzip und warum gilt es ausnahmslos?
Wie funktioniert die Rückrufverifizierung?
Was tun bei Verdacht?

Besonders effektiv sind simulierte BEC-Angriffe. Schicke eine täuschend echte BEC-Mail an die Buchhaltung und prüfe, ob der definierte Prozess eingehalten wird. Das Ergebnis zeigt, ob die Schulungen wirken, und dient als Grundlage für Verbesserungen.

Wenn es passiert ist: Incident Response bei BEC

Die ersten 24 Stunden

Wenn ein BEC-Angriff erkannt wird, zählt Geschwindigkeit. Vor allem wenn bereits eine Überweisung erfolgt ist, besteht in den ersten 24 Stunden die beste Chance, das Geld zurückzuholen.

Sofort die Bank kontaktieren. Rufe die Betrugsabteilung deiner Bank an und bitte um Rückruf der Überweisung. Bei SEPA-Überweisungen innerhalb des EWR ist ein Rückruf innerhalb weniger Stunden oft noch möglich. Bei internationalen Überweisungen wird es schwieriger, aber der Versuch muss sofort unternommen werden.

Den Vorfall intern melden. Informiere den ISB, die Geschäftsführung und die betroffene Abteilung. Sichere die betrügerische E-Mail mit vollständigem Header als Beweis.

Strafanzeige erstatten. Erstatte Strafanzeige bei der Polizei, idealerweise bei der Zentrale Ansprechstelle Cybercrime (ZAC) des zuständigen Landeskriminalamts. Die Strafanzeige ist Voraussetzung für internationale Rechtshilfe und eventuell auch für die Cyberversicherung.

Kommunikationskette prüfen. Wenn die BEC-Mail von einem kompromittierten internen Konto kam, muss das Konto sofort gesperrt und das Passwort geändert werden. Prüfe, ob weitere E-Mails von diesem Konto versendet wurden und ob andere Konten ebenfalls kompromittiert sind.

Nachbereitung

Nach der akuten Phase folgt die Aufarbeitung:

Ursachenanalyse: Wie ist der Angriff durchgekommen? Lag es an fehlender E-Mail-Authentifizierung, an einem kompromittierten Konto, an mangelnder Awareness oder an einem fehlenden Vier-Augen-Prinzip?
Prozessverbesserung: Welche Kontrollen müssen eingeführt oder verschärft werden?
Schulung: Gezielte Nachschulung für die betroffene Abteilung und eine allgemeine Sensibilisierung für das gesamte Unternehmen.
Dokumentation: Vorfall dokumentieren, Maßnahmen nachverfolgen, Lessons Learned festhalten. In ISMS Lite lassen sich BEC-Vorfälle als Sicherheitsereignisse erfassen und direkt mit Korrekturmaßnahmen und Risikobewertung verknüpfen.

BEC im ISMS

Risikobewertung

BEC gehört in jede Risikobewertung, die den Bereich Informationssicherheit abdeckt. Die Eintrittswahrscheinlichkeit ist hoch (BEC-Versuche sind allgegenwärtig), und der potenzielle Schaden ist erheblich (sechsstellige Beträge und mehr). Die Risikobewertung sollte die verschiedenen BEC-Varianten als separate Szenarien betrachten, weil die Schutzmaßnahmen unterschiedlich sind.

Relevante Controls aus ISO 27001 Anhang A

Mehrere Controls aus dem Anhang A der ISO 27001 adressieren BEC direkt oder indirekt:

A.6.3 (Awareness, Schulung und Training): Schulungsprogramm mit BEC-spezifischen Inhalten.
A.5.14 (Informationsübertragung): Regelungen für den sicheren Informationsaustausch, einschließlich Verifizierung von Zahlungsanweisungen.
A.8.15 (Logging): Protokollierung von E-Mail-Aktivitäten für die Erkennung kompromittierter Konten.
A.5.24 (Planung und Vorbereitung der Handhabung von Informationssicherheitsvorfällen): Incident-Response-Prozess, der BEC als Szenario abdeckt.

Kennzahlen

Tracke BEC-relevante Kennzahlen, um die Wirksamkeit deiner Schutzmaßnahmen zu messen:

Anzahl der erkannten und blockierten BEC-Versuche (E-Mail-Gateway-Statistik)
Anzahl der gemeldeten verdächtigen E-Mails (Meldebereitschaft der Mitarbeiter)
Ergebnis von BEC-Simulationen (Anteil der Mitarbeiter, die korrekt reagieren)
Umsetzungsgrad des Vier-Augen-Prinzips bei Zahlungen

BEC ist keine Bedrohung, die mit einem einzigen Tool oder einer einzigen Maßnahme zu lösen ist. Sie erfordert eine Kombination aus technischen Kontrollen, robusten Geschäftsprozessen und geschulten Mitarbeitern. Die gute Nachricht: Jede einzelne Maßnahme reduziert das Risiko spürbar, und die wirksamsten Maßnahmen wie das Vier-Augen-Prinzip und die Rückrufverifizierung sind weder teuer noch technisch aufwendig.

Weiterführende Artikel

BEC Business E-Mail Compromise CEO Fraud Phishing E-Mail-Sicherheit Social Engineering Incident Response