Business E-Mail Compromise ist ein Betrug per E-Mail, bei dem Angreifer als Führungskraft oder Lieferant auftreten, um Zahlungen oder Daten zu erschleichen – oft ohne jede Schadsoftware.
Business E-Mail Compromise (BEC) ist eine Betrugsform, bei der Angreifer per E-Mail die Identität einer vertrauenswürdigen Person annehmen – typischerweise eines Vorstands, Geschäftsführers oder eines Lieferanten – und so Mitarbeitende zu Zahlungen, Datenherausgaben oder Stammdatenänderungen bewegen. Das Besondere an BEC: Es braucht oft keine Schadsoftware und keine technische Schwachstelle. Der Angriff besteht aus Sprache, Kontext und Timing. Genau das macht ihn für technische Schutzmaßnahmen so schwer greifbar und zugleich besonders schadensträchtig.
BEC ist eine gezielte Form des Social Engineering und eng mit Spear-Phishing verwandt. Man unterscheidet zwei Grundmuster: die reine Vortäuschung einer Identität von außen (Spoofing oder täuschend ähnliche Domain) und die Übernahme eines echten Postfachs (Account Takeover), bei der die betrügerische Mail tatsächlich aus dem legitimen Konto kommt. Die zweite Variante ist ungleich gefährlicher, weil sie keine Unstimmigkeiten in Absender oder Signatur aufweist.
Typische Abläufe
- CEO-Fraud: Eine angebliche Anweisung der Geschäftsführung fordert eine dringende, vertrauliche Überweisung – „Ich bin in Verhandlungen, bitte diskret und sofort erledigen“. Autorität und Zeitdruck verhindern Rückfragen.
- Rechnungsbetrug (Lieferantenmasche): Nach Übernahme oder Nachahmung eines Lieferantenpostfachs wird mitgeteilt, die Bankverbindung habe sich geändert. Folgezahlungen landen auf dem Konto des Angreifers.
- Payroll-Betrug: Eine vermeintliche Mitarbeiteranfrage bittet die Personalabteilung, die Gehaltskontonummer zu ändern.
- Datenabgriff: Statt Geld werden sensible Daten erfragt, etwa Lohnsteuerbescheinigungen oder Kundenlisten.
Der Übernahme eines Postfachs geht häufig Phishing voraus; anschließend lesen Angreifer oft wochenlang mit, lernen Zahlungsabläufe und Ansprechpartner kennen und schlagen erst zum passenden Zeitpunkt zu. Zunehmend wird die Mail durch einen Deepfake-Anruf flankiert, der die Anweisung „bestätigt“.
Bedeutung für Unternehmen
BEC verursacht regelmäßig hohe direkte finanzielle Schäden, weil es gezielt die Zahlungsprozesse angreift. Anders als bei Ransomware gibt es keinen verschlüsselten Rechner, der Alarm auslöst – das Geld fließt scheinbar im Rahmen regulärer Abläufe. Der zentrale Fehler ist, Zahlungs- und Stammdatenänderungen allein auf Grundlage einer E-Mail freizugeben, ohne einen zweiten, unabhängigen Kanal zur Prüfung. Bei Postfachübernahmen kommt hinzu, dass fehlende MFA den Erstzugang überhaupt erst ermöglicht.
In unseren Einsätzen bilden wir BEC-Szenarien kontrolliert ab, um zu prüfen, ob Freigabeprozesse und die Wachsamkeit der beteiligten Rollen standhalten. Nahezu immer liegt der wirksamste Hebel nicht in der Technik, sondern im Prozess.
Schutz und Prüfung
- Verbindliche Zahlungsprozesse: Vier-Augen-Prinzip, Rückruf an die hinterlegte Nummer bei jeder Änderung von Bankverbindungen, feste Freigabegrenzen – ohne Ausnahme für „dringende“ Fälle.
- Postfächer absichern: Phishing-resistente MFA, Überwachung auf verdächtige Anmeldungen und auf neu angelegte Postfachregeln (ein typisches Zeichen für Account Takeover).
- Technische E-Mail-Sicherheit: SPF, DKIM und DMARC mit „reject“, Kennzeichnung externer Nachrichten, Überwachung ähnlich aussehender Domains.
- Rollen gezielt sensibilisieren: Buchhaltung, Assistenz und Personalabteilung mit realistischen Szenarien schulen; ein ruhiges Nachfragen muss ausdrücklich erwünscht sein.
- Realistisch testen: Eine gut gemachte Phishing-Simulation und ein Social-Engineering-Assessment decken auf, ob Ihre Prozesse BEC tatsächlich standhalten.