Business Email Compromise (BEC) ist eine eigenständige Kategorie von Finanzkriminalität und keine Variante von Phishing, die zufällig Führungskräfte ins Visier nimmt. Phishing ist dann erfolgreich, wenn jemand dazu gebracht wird, auf etwas zu klicken, worauf man nicht klicken sollte. Business Email Compromise funktioniert ganz ohne diese Mechanismen: Der gesamte Angriff besteht aus einer gut recherchierten E-Mail, in der eine bestimmte Person aufgefordert wird, etwas zu tun, das plausibel in einen normalen Arbeitstag passt. Bei den schwersten Vorfällen werden sechsstellige Beträge in einer einzigen Überweisung transferiert – und bis es jemand bemerkt, hat das Geld das Land meist schon verlassen.

Keines der Signale, nach denen ein Phishing-Filter oder gut geschulte Mitarbeitende normalerweise suchen würden, wird erkannt. Genau das unterscheidet Business Email Compromise von gewöhnlichem Phishing, und deshalb kann ein allgemeines Phishing-Bewusstsein nicht viel dagegen ausrichten. Wir zeigen dir, wie du Business Email Compromise erkennst und deine Organisation schützen kannst.

Was ist Business Email Compromise?

Business Email Compromise ist ein gezielter Angriff, bei dem sich Kriminelle als eine Person ausgeben, der das Ziel vertraut – meist eine Führungskraft, ein Lieferant oder ein interner Kollege – und eine Überweisung, eine Änderung der Zahlungsdetails oder vertrauliche Anmeldedaten verlangen.

Typischerweise sind weder Malware(neues Fenster) noch schädliche Links im Spiel. Was variiert, ist die Art und Weise, wie die Identität des Absenders gefälscht wird – und Angreifer haben mehr Möglichkeiten, als die meisten annehmen:

  • Lookalike-Domains: Der Angreifer registriert eine Domain, die der echten fast identisch ist, indem er einen einzelnen Buchstaben austauscht oder einen Bindestrich hinzufügt, und verlässt sich darauf, dass niemand die Adresse genau liest.
  • Display-Name-Spoofing: Der „Von“-Anzeigename wird so eingestellt, dass er mit der vertrauenswürdigen Person übereinstimmt – „John Smith“ –, während die eigentliche Adresse eine ganz andere ist. Viele mobile E-Mail-Clients zeigen standardmäßig nur den Anzeigenamen an, sodass die echte Adresse gar nicht erst auf dem Bildschirm erscheint.
  • Header-Spoofing: SMTP, das Protokoll zum Übertragen von E-Mails, verifiziert die „Von“-Kopfzeile nicht von selbst. Ein Angreifer kann also eine Nachricht senden, die vorgibt, von der echten Adresse zu stammen, ohne jemals Zugriff darauf zu haben. Ob sie im Posteingang landet, hängt von den Authentifizierungsprüfungen der empfangenden Domain ab.
  • Reply-To-Manipulation: Die sichtbare „Von“-Adresse sieht legitim aus, aber dahinter ist eine andere Reply-To-Adresse hinterlegt. Sobald das Ziel auf Antworten klickt, wird die Unterhaltung unbemerkt zum Angreifer umgeleitet.
  • Konto-Kompromittierung: Der Angreifer verschafft sich Zugriff auf ein echtes E-Mail-Konto und sendet die Anfrage direkt daraus.

Der letzte dieser Fälle, die Konto-Kompromittierung, ist am schwersten zu erkennen, da technisch an der E-Mail absolut nichts auszusetzen ist. Sie stammt von der echten Adresse, über die echte benutzerdefinierte E-Mail-Domain, und führt möglicherweise sogar einen Thread fort, den das Ziel bereits kennt.

Wie die Masche bei Business Email Compromise funktioniert

Angriffe durch Business Email Compromise sind von langer Hand geplant und nicht improvisiert – und die Vorbereitung ist meist das, worauf Kriminelle die meiste Mühe verwenden.

Recherche

Es beginnt mit dem Auskundschaften: LinkedIn-Profile verraten, wer welchen Titel trägt und wer wem unterstellt ist, Pressemitteilungen des Unternehmens kündigen Fusionen, Finanzierungsrunden oder neue Lieferantenbeziehungen an, und eine Abwesenheitsnotiz kann einem Angreifer das entscheidende Detail liefern: die Bestätigung, dass die echte Führungskraft gerade nicht erreichbar ist.

Auswahl eines Ziels

Von dort aus geht der Angreifer zur Auswahl des Ziels über. Nicht jeder Mitarbeitende ist für einen Business-Email-Compromise-Versuch nützlich; die Zielperson muss die Befugnis haben, tatsächlich Geld zu transferieren oder Zahlungsdetails zu ändern, was das Feld üblicherweise auf die Buchhaltung, Kreditorenbuchhaltung, die Personalabteilung oder die Lohn- und Gehaltsabrechnung eingrenzt.

Die Identitätsfälschung beginnt

Sobald ein Ziel und eine plausible Geschichte feststehen, folgt die Identitätsfälschung – entweder über eine gefälschte Lookalike-Domain oder ein tatsächlich kompromittiertes Postfach, abgestimmt auf Tonfall, Signatur und den Grad an Formalität, den der echte Absender verwenden würde.

Kontaktaufnahme

Der Angreifer interagiert mit jemandem im Unternehmen und stellt eine dringende Anfrage oder Forderung. Das kann eine Übernahme sein, die noch heute abgeschlossen werden muss, ein Wirtschaftsprüfer, der die Zahlen sofort benötigt, oder ein Kollege in einer Notlage, der telefonisch nicht durchkommt.

In der Regel handelt es sich bei der Anfrage um eine Überweisung, eine Änderung der Bankverbindung oder eine Anforderung von Anmeldedaten – dargestellt als etwas, das einfach erledigt werden muss und nicht hinterfragt werden sollte.

Vier häufige Szenarien von Business Email Compromise

Hier sind einige der häufigsten Taktiken von Business Email Compromise, die Angreifer verwenden.

CEO-Betrug

Eine E-Mail scheint vom CEO, Geschäftsführer oder einer anderen Führungskraft zu stammen und fordert ein Mitglied des Finanzteams auf, eine dringende, oft vertrauliche Zahlung durchzuführen. Die scheinbare Ranghöhe des Absenders leistet hier die meiste Arbeit, da sich nur wenige Mitarbeitende wohl dabei fühlen, eine Anweisung zu hinterfragen, die von ganz oben zu kommen scheint.

Rechnungsbetrug

Ein Lieferant, mit dem das Unternehmen bereits zusammenarbeitet, teilt scheinbar eine Änderung der Bankverbindung mit – meist genau so getimt, dass dies kurz vor der Fälligkeit einer echten Rechnung geschieht. Da bereits eine echte Geschäftsbeziehung und eine echte Zahlung anstehen, ist diese Variante für Finanzteams oft am schwersten zu durchschauen und für einige der größten Einzelschäden verantwortlich, die Unternehmen melden.

Gehaltsumleitung

Eine E-Mail, die einen Mitarbeiter vortäuscht – oder gelegentlich die Personalabteilung selbst –, fordert die Lohnbuchhaltung auf, vor dem nächsten Abrechnungslauf die Bankverbindung zu aktualisieren. Die Bitte ist klein und alltäglich genug, dass selten ein zweiter Blick darauf geworfen wird – und genau deshalb funktioniert sie.

Täuschung als IT-Support

Eine Nachricht, die sich als interne IT oder Helpdesk ausgibt, fordert Mitarbeitende auf, vor einem Systemupdate ein Passwort zu bestätigen oder eine Anmeldeaufforderung zu genehmigen. Im Gegensatz zu den anderen drei Szenarien zielt dieses nicht direkt auf Geld ab. Es geht um die Anmeldedaten, die jede andere Form von Business Email Compromise erleichtern.

Was Business Email Compromise tatsächlich kostet

Verluste durch Business Email Compromise werden anders erfasst als gewöhnlicher Kartenbetrug, weshalb das Ausmaß des Problems leicht unterschätzt wird. Das Internet Crime Complaint Center des FBI verzeichnete im Jahr 2024 Verluste durch Business Email Compromise in Höhe von 2,77 Milliarden US-Dollar(neues Fenster) bei 21.442 gemeldeten Vorfällen, und seine laufende Erfassung der Betrugsmasche beziffert die weltweiten Schäden in den letzten zehn Jahren auf über 55 Milliarden US-Dollar(neues Fenster). Durchschnittswerte verschleiern jedoch das wahre Bild. Die Fälle, die Schlagzeilen machten, zeigen, was eine einzige, gut formulierte E-Mail in Bewegung setzen kann.

Between 2013 and 2015, a Lithuanian fraudster billed Facebook and Google out of a combined $121 million(neues Fenster) using fake invoices from a company impersonating Quanta Computer, a hardware supplier both firms genuinely used. Because the invoices fit an existing business relationship, the accounts teams paid them, and kept paying them for two years.

Im Jahr 2016 wurde der österreichische Luftfahrtzulieferer FACC von einer E-Mail getroffen, die sich als dessen damaliger CEO ausgab und eine Überweisung von rund 50 Millionen Euro(neues Fenster) für ein vermeintliches Akquisitionsprojekt verlangte – genau der Vorwand, der zu Beginn dieses Artikels beschrieben wurde. Das Unternehmen stoppte einen Teil der Überweisung, nachdem der Betrug aufgeflogen war, doch der Rest konnte nie wiederhergestellt werden.

Diese Fälle beschreiben eine Kategorie von Kriminalität, die sich anders verhält als die meisten Phishing-Statistiken. Phishing wird in der Masse gemessen: Millionen nahezu identischer E-Mails, von denen die meisten von einem Filter abgefangen werden, bevor sie überhaupt jemand zu Gesicht bekommt.

Business Email Compromise wird in einzelnen Vorfällen gemessen, von denen jeder auf ein einziges Ziel und eine einzige Zahlung ausgerichtet ist – und jeder einzelne kann an einem einzigen Nachmittag mehr Schaden anrichten, als es tausend blockierte Phishing-E-Mails je könnten.

Jede Organisation, die in der Vergangenheit Geld per Überweisung transferiert oder die Bankverbindung eines Lieferanten geändert hat, sollte dies als akutes finanzielles Risiko betrachten und verdächtige Vorfälle an ihre nationale Meldestelle für Betrugsfälle melden – das IC3 des FBI in den USA, Action Fraud im Vereinigten Königreich und entsprechende Stellen in anderen Ländern.

Die Schutzmaßnahmen, die Business Email Compromise wirklich stoppen

Da Business Email Compromise die technischen Warnsignale umgeht, auf die Phishing-Schulungen setzen, sehen auch die Schutzmaßnahmen dagegen anders aus. Sensibilisierung hilft, aber die Verteidigungsmaßnahmen, die wirklich standhalten, sind organisatorischer und technischer Natur – und keine Frage davon, dass Mitarbeitende E-Mails aufmerksamer lesen.

Duale Autorisierung

Eine duale Autorisierung bei jeder Zahlung oberhalb eines festgelegten Schwellenwerts muss verpflichtend sein und darf keine reine Gefälligkeit sein, die nur gilt, wenn jemand daran denkt nachzufragen. Die Freigabe einer einzelnen Person sollte niemals ausreichen, um eine erhebliche Geldsumme zu überweisen, ganz gleich, wie hochrangig oder dringend die Anfrage wirkt.

Rückruf-Verifizierung

Die Rückruf-Verifizierung schließt die Lücke, die E-Mails allein nicht abdecken können. Jede Aufforderung, Bankverbindungen zu ändern oder eine Zahlung freizugeben, sollte telefonisch über eine bereits hinterlegte Nummer bestätigt werden – niemals über eine in der E-Mail selbst angegebene Nummer, da eine vom Angreifer bereitgestellte Telefonnummer das Ziel direkt wieder mit dem Angreifer verbindet.

Prüfung der Verfahren zur Zahlungsfreigabe

Regelmäßige Überprüfungen der Verfahren zur Zahlungsfreigabe tragen ebenfalls dazu bei, das Risiko von Business Email Compromise im Laufe der Zeit zu verringern. Wenn Unternehmen wachsen, werden temporäre Ausnahmen und informelle Abkürzungen oft Teil des Arbeitsalltags, ohne dass jemand hinterfragt, ob sie noch angemessen sind. Die Überprüfung, wer Zahlungen autorisieren darf, wie Änderungen von Bankdaten genehmigt werden und welche Transaktionen eine zusätzliche Verifizierung erfordern, stellt sicher, dass die Finanzkontrollen weiterhin dem aktuellen Risikoniveau der Organisation entsprechen. Selbst gut durchdachte Abläufe verlieren an Wirksamkeit, wenn sie nicht mit der Entwicklung des Unternehmens angepasst werden.

E-Mail-Authentifizierung

Technische E-Mail-Authentifizierung ist ein zentraler Bestandteil der E-Mail-Sicherheit und spielt hier eine Rolle, die sie bei gewöhnlichem Phishing nicht hat, da Business Email Compromise häufig darauf beruht, die eigene Domain einer Organisation zu fälschen, um deren Führungskräfte nachzuahmen.

DMARC teilt in Kombination mit SPF und DKIM den empfangenden Mailservern mit, was mit Nachrichten geschehen soll, die die Authentifizierungsprüfung für deine Domain nicht bestehen. Das macht es für Angreifer erheblich schwerer, eine E-Mail zu senden, die scheinbar von deinem eigenen CEO stammt.

Offene Sicherheitskultur

Nichts davon funktioniert ohne eine zugrundeliegende kulturelle Norm: Es ist immer akzeptabel innezuhalten und eine Anfrage zu verifizieren, ganz gleich, wer sie scheinbar stellt. Mitarbeitende, die befürchten, gegenüber einer Führungskraft unkooperativ oder misstrauisch zu wirken, sind genau diejenigen, auf die ein Business-Email-Compromise-Versuch abzielt – und diese Angst verschwindet erst, wenn die Führungsebene immer wieder deutlich macht, dass das Hinterfragen einer ungewöhnlichen Anfrage erwünscht und kein Zeichen mangelnder Loyalität ist.

So erkennst du die Warnsignale eines Business-Email-Compromise-Versuchs

Business Email Compromise kündigt sich selten durch offensichtliche technische Warnsignale an. Die E-Mail kann von einer vertrauten Adresse stammen, sich auf ein echtes Projekt beziehen und eine Sprache verwenden, die zu früheren Unterhaltungen passt. Deshalb ist der Kontext rund um die Anfrage oft wichtiger als die E-Mail selbst.

Bei Untersuchungen von Business Email Compromise treten mehrere Muster immer wieder auf. Eine Anfrage, die normale Genehmigungsverfahren umgeht, sollte stets Fragen aufwerfen. Das gilt auch für unerwartete Anweisungen, eine Zahlung vertraulich zu behandeln, Änderungen an den Bankdaten eines Lieferanten kurz vor Fälligkeit einer Rechnung oder Anfragen, die eingehen, während eine Führungskraft auf Reisen und schwer erreichbar ist. Angreifer wählen bewusst Situationen, in denen Mitarbeitende eine Anfrage mit geringerer Wahrscheinlichkeit über einen anderen Kanal verifizieren.

Auch kleine Veränderungen im Kommunikationsstil können Hinweise liefern. Eine Führungskraft, die Finanzfreigaben normalerweise delegiert, bittet möglicherweise plötzlich persönlich um eine Zahlung. Ein Lieferant, der üblicherweise über einen Kundenbetreuer kommuniziert, sendet Bankanweisungen von einem anderen Kontakt. Keines dieser Anzeichen beweist für sich genommen einen Angriff, aber sie sollten Anlass für eine zusätzliche Überprüfung sein, bevor Geld überwiesen oder Kontodaten geändert werden.

Der sicherste Ansatz besteht darin, ungewöhnliche finanzielle Anfragen als Ausnahmen von Geschäftsprozessen zu behandeln und nicht als Situationen, die dringende Entscheidungen erfordern. Ein kurzes Telefonat unter einer vertrauenswürdigen Nummer oder eine Bestätigung über einen etablierten internen Kommunikationskanal kann einen Verlust verhindern, dessen Behebung andernfalls Wochen oder Monate dauern würde.

Wie machen Anmeldedaten Business Email Compromise einfacher?

Nicht jeder Versuch von Business Email Compromise beruht auf einer gefälschten Lookalike-Domain. Manchmal beginnt er mit einem tatsächlich kompromittierten E-Mail-Konto, bei dem sich der Angreifer einfach mit einem Passwort angemeldet hat, das zuvor an anderer Stelle offengelegt worden war.

Einmal im System, müssen Angreifer nichts mehr vortäuschen. Sie können alte Threads lesen, Tonfall und Formatierung exakt nachahmen und die betrügerische Anfrage von einer Adresse aus senden, die jede Authentifizierungsprüfung besteht – weil es sich tatsächlich um das Konto des Absenders handelt.

Hier überschneiden sich Passworthygiene und der Schutz vor Business Email Compromise direkt. Das Data Breach Observatory von Proton erfasst, wie oft geschäftliche Anmeldedaten in Datensätzen von Kriminellen auftauchen, lange bevor jemand im betroffenen Unternehmen etwas bemerkt – und die Konto-Kompromittierung ist genau das Ergebnis, das diese Daten ermöglichen.

Eine sichere geschäftliche E-Mail-Lösung und einzigartige Passwörter für jedes Konto, kombiniert mit Multi-Faktor-Authentifizierung (MFA), stellen sicher, dass ein durch ein Datenleck kompromittiertes Passwort nicht wiederverwendet werden kann, um sich Zugriff auf ein Postfach zu verschaffen und einen Business-Email-Compromise-Angriff von innen heraus zu starten.

Ein Passwort-Manager für Unternehmen wie Proton Pass for Business sorgt dafür, dass dieser Standard in einer gesamten Organisation realistisch eingehalten werden kann, anstatt darauf angewiesen zu sein, dass einzelne Mitarbeitende daran denken, kein Passwort mehrfach zu verwenden. Wenn Anmeldedaten ordnungsgemäß generiert und gespeichert werden, verringern sich Sicherheitslücken gegenüber Datenlecks und Kontoübernahmen deutlich.

Schütze deine Unternehmenskonten vor Gefährdungen mit einem sicheren Passwort-Manager für Unternehmen.