Was ist „Business Email Compromise“?

Beim sogenannten Business Email Compromise (BEC) geben sich Angreifer als vertrauenswürdige Personen aus oder übernehmen deren Identität, um Opfer dazu zu verleiten, Geld, Zugangsdaten oder sensible Informationen an einen unbefugten Empfänger zu senden.

Dies kann besonders schwer zu erkennen sein, da Angreifer legitime E-Mail-Postfächer oder Telefonnummern kompromittieren, Adressen, Identitäten oder sogar Webdomains fälschen können. So erwecken sie den Eindruck, dass sie im Namen eines bekannten, legitimen Unternehmens kommunizieren. Daher beinhalten Angriffe nicht immer bösartige Hyperlinks oder Dateien.

Kernpunkte dieses Artikels:

• BEC zielt auf vertrauenswürdige Geschäftsprozesse ab und täuscht die Opfer häufig dazu, eine Zahlung zu leisten oder eine Kontoänderung vorzunehmen, durch die Gelder auf von Kriminellen kontrollierte Konten umgeleitet werden.
• Der Angreifer gibt sich möglicherweise als Person in einer Führungsposition aus und verwendet eine Adresse, die nicht zum Unternehmen gehört, oder kommuniziert über ein echtes, aber kompromittiertes Konto.
• Phishing und BEC können sich überschneiden, doch BEC zeichnet sich durch die Vortäuschung einer vertrauenswürdigen Geschäftsbeziehung und das Ziel des Betrugs aus.
• Überprüfen Sie Zahlungen oder Kontoänderungen stets über einen separaten, vertrauenswürdigen Kanal.
• Wenn Geld transferiert wurde, wenden Sie sich an die sendende Bank und erstatten Sie unverzüglich eine detaillierte Anzeige bei den Strafverfolgungsbehörden.

Was ist „Business Email Compromise“?

Ein klassisches Beispiel für einen Business Email Compromise-Betrug ist eine dringende E-Mail von jemandem, der sich als Geschäftsführer eines Unternehmens ausgibt und einen Mitarbeiter auffordert, ein dringendes Problem zu lösen. Sei es durch die Überweisung von Geld an einen Lieferanten oder die Weitergabe vertraulicher Informationen für eine bevorstehende Präsentation.

Doch das ist bei weitem nicht die einzige Art von Angriff, und es kann schwierig sein, sich dagegen zu schützen, da der Angreifer keinem festgelegten Muster folgen muss. Er kann die unternehmenseigenen Kommunikationskanäle kapern und tut dies oft auf vielfältige, subtile Weise.

Im Kern geht es bei BEC-Betrug darum, sich als vertrauenswürdige geschäftliche Identität auszugeben, um Zahlungen, Zugangsdaten oder sensible Informationen in die falschen Hände umzuleiten. Angreifer nutzen eine Vielzahl von Methoden, um dies zu erreichen. Sie beschränken sich nicht auf die Phishing- oder Whaling-Angriffe, die die Berichterstattung in den Medien dominiert haben.

Wodurch sich BEC von anderen Social Engineering Angriffen unterscheidet

BEC kann auch ohne jegliche Cyber-Fachkenntnisse seitens des Angreifers stattfinden und tut dies auch. So kann er beispielsweise eine kostenlose E-Mail-Adresse unter dem Namen einer Führungskraft einrichten und sein Opfer davon überzeugen, über dieses Konto zu kommunizieren.

Natürlich kann ein BEC-Angriff mit einem Phishing-Link in einer E-Mail beginnen, aber es ist ebenso möglich, dass ein erfolgreicher Angriff lediglich aus einer E-Mail im Klartext oder einer SMS besteht. Andererseits haben das Aufkommen von Plattformen zur Echtzeit-Video- und Stimmverzerrung sehr ausgeklügelte Betrugsmaschen ermöglicht, bei denen über Video- und Sprachanrufe Führungskräfte in Echtzeit imitiert werden.

Es ist wichtig, an dieser Stelle Unklarheiten auszuräumen, da bei BEC verschiedene Arten von Cyberangriffen und Betrugsmaschen zum Einsatz kommen.

So funktioniert ein BEC-Angriff

Wir haben es bereits erwähnt, aber es lohnt sich, dies zu wiederholen: Viele erfolgreiche Cyberangriffe beginnen mit Social Engineering. Eine Person davon zu überzeugen, Zugriff zu gewähren, Informationen weiterzugeben oder eine Transaktion zu genehmigen, ist oft schneller und einfacher als die Ausnutzung einer technischen Schwachstelle. Daher setzen Angreifer häufig eher auf Täuschung als auf fortgeschrittene technische Fähigkeiten.

Erfolgreiche BEC-Angriffe nutzen den richtigen Zeitpunkt und Kontext und machen sich vertrauenswürdige Identitäten, Beziehungen sowie Hierarchien zunutze, um sich Zugang zu verschaffen, bevor sie eine plausible Transaktion vorschlagen, die ein entscheidendes Detail einer ansonsten legitimen Transaktion verändert – wodurch Gelder oder Informationen an den Angreifer umgeleitet werden. Das kann beispielsweise eine Präsentation sein, die an eine E-Mail-Adresse gesendet wird, die wie die persönliche E-Mail-Adresse des Geschäftsführers aussieht, oder die dringende Bezahlung einer Bestellung für einen Lieferanten auf der Grundlage einer PDF-Rechnung, die Zahlungsdetails für ein kompromittiertes Bankkonto enthält, anstatt der tatsächlichen Zahlungsdetails des Lieferanten.

Lassen Sie uns diesen Prozess in eine Reihe von Schritten für den Angreifer aufschlüsseln:

1. Erkundung: Angreifer identifizieren Führungskräfte, Mitarbeiter der Finanzabteilung, Lieferanten, Geschäftsabschlüsse oder Zahlungszyklen.
2. Zugriff oder Nachahmung: Anschließend kompromittieren sie ein Postfach, fälschen eine Adresse oder registrieren eine ähnlich klingende Domain.
3. Kontextaufbau: Sie verschaffen sich ein Verständnis des Kontexts, beispielsweise des Stils und des Tonfalls der Person, die sie imitieren, des Zeitpunkts regelmäßiger Finanztransaktionen oder aktueller Ereignisse, die das Zielunternehmen betreffen, wie eine Fusion oder Übernahme.
4. Die Veränderung: Betrüger geben neue Bankdaten an, veranlassen Überweisungen, kaufen Geschenkkarten (wenn sie wenig ehrgeizig sind), leiten Gehaltszahlungen um oder greifen auf sensible Unterlagen zu.
5. Druck: In Kombination mit dem richtigen Zeitpunkt versucht der Angreifer, Dringlichkeit, Vertraulichkeit oder Autorität zu suggerieren, um das Opfer unbewusst dazu zu bewegen, die üblichen Sicherheitsprüfungen zu umgehen.
6. Überweisung und Geldfluss: Werden Gelder gestohlen, muss der Angreifer diese anschließend abziehen, indem er die Gelder über andere Konten an einen Ort umleitet, an dem sie ausgezahlt werden können.

Häufige Arten von BEC

Wir haben einen Überblick über die Arten von BEC-Angriffen gegeben. Es lohnt sich, diese zu gruppieren, um sie besser zu verstehen und zu verhindern:

• Lieferanten- oder Rechnungsbetrug: Der Angreifer gibt sich entweder als etablierter Lieferant oder Kunde aus oder kompromittiert diesen, indem er Zahlungsdaten auf einer echten Rechnung ändert oder eine gefälschte Rechnung mit geänderten Zahlungsdaten erstellt.
• Vortäuschung einer Führungsposition (CEO-Betrug): Die Opfer werden von einem Angreifer angesprochen, der sich als leitende Führungskraft oder Kollege ausgibt und um Hilfe bei einem dringenden Kauf, um Zugangsdaten oder andere Informationen bittet. Selbst scheinbar harmlose Details wie Bürostandorte oder Daten zu Besprechungsräumen können Angreifern helfen, in späteren Phasen eines Betrugs an Glaubwürdigkeit zu gewinnen.
• Lohn- und Gehaltsumleitung: Dieser Angriff zielt auf Personal- und Lohnbuchhaltungsteams ab, wobei sich der Angreifer als Mitarbeiter ausgibt und diese auffordert, die Bankverbindung auf ein anderes, vom Angreifer kontrolliertes Bankkonto zu ändern.
• Anwalts- oder Immobilienbetrug: Diese Art von Betrug tritt bei großen Anschaffungen eines Unternehmens auf, wie beispielsweise bei der Übernahme eines anderen Unternehmens, dem Kauf einer teuren Ausrüstung oder einer Immobilie. Der Angreifer gibt sich als eine Schlüsselperson der Transaktion aus, beispielsweise als Anwalt oder Führungskraft, und fügt alternative Zahlungsanweisungen ein, um Gelder umzuleiten.
• Geschenkkartenbetrug: Ein Mitarbeiter wird dazu überredet, über das Zahlungskonto des Unternehmens Geschenkkarten zu kaufen und die Codes an den Angreifer zu senden.
• Betrug durch Datenanfragen: Die betrügerische Anfrage zielt auf Steuer-, Gehalts- oder Mitarbeiterdaten ab, die für weitere Betrugsdelikte genutzt werden können.

Wie groß ist das Ausmaß des Problems?

BEC sollte nicht unterschätzt werden. Das US-amerikanische Federal Bureau of Investigation (FBI) betreibt eine Stelle zur Bearbeitung von Meldungen über internetbezogene Straftaten, das sogenannte Internet Crime Complaint Center (IC3).

Im Jahr 2025 war BEC mit gemeldeten Verlusten von mehr als 3 Milliarden US-Dollar – allein basierend auf freiwilligen Anzeigen – der zweithöchste verzeichnete Schaden durch Cyberkriminalität hinter Anlagebetrug. Das gilt nur für die USA und bezieht sich ausschließlich auf beim IC3 eingegangene Meldungen, wobei die Kosten für Unternehmen zur Behebung der Betrugsschäden nicht berücksichtigt sind; daher ist es unvermeidlich, dass die tatsächlichen Kosten noch höher liegen.

Derselbe Bericht zeigt, dass die jährlichen Verluste durch BEC im Dreijahreszeitraum von 2023 bis 2025 durchweg zwischen 2,77 Milliarden und 3 Milliarden US-Dollar lagen.

Wie KI das Risiko von Identitätsbetrug verändert

Etwas, das die Phishing-Landschaft in letzter Zeit verändert hat, ist KI. Bei BEC-Angriffen ist dies jedoch etwas schwierig zu messen, da nicht immer ersichtlich ist, ob KI im Spiel war oder wie ausgefeilt deren Einsatz war. So meldete das IC3 beispielsweise über 22.000 Beschwerden und bereinigte Verluste in Höhe von rund 893 Millionen US-Dollar, bei denen der Hinweis „KI-bezogen“ für alle Arten von Straftaten galt – also nicht nur für BEC. Die Raffinesse reichte von offiziell klingenden E-Mails bis hin zum Klonen von Stimmen.

Zudem spielt bei der Nutzung von KI in der Cyberkriminalität und bei Betrugsdelikten im Allgemeinen eine gewisse Bestätigungsverzerrung eine Rolle: Dinge wie Stimm- oder Videoklonen klingen beängstigend und dominieren die Berichterstattung, obwohl ihr Einsatz in Wirklichkeit seltener vorkommt. Allerdings wird KI in Unternehmen häufig zur Automatisierung langweiliger, sich wiederholender Aufgaben eingesetzt, und es ist keine Überraschung, dass Kriminelle dasselbe tun wollen.

Warum eine einzige Schutzmaßnahme nicht ausreicht

Da BEC auch ohne Cyberangriff stattfinden kann, gibt es keine einzelne Technologie, die jede Form von BEC verhindern kann. Tatsächlich können bestehende Cybersicherheitsmaßnahmen die Kompromittierung von E-Mail-Konten, bekannte bösartige Domains oder Malware verhindern oder vor diesen warnen.

Banken gleichen mittlerweile routinemäßig die Namen der Zahlungsempfänger mit den von den Zahlern eingegebenen Angaben ab, um sogenannte APP-Betrugsfälle (Advanced Push Payment) zu verhindern, bei denen die Kontonummer und die Bankleitzahl für Zahlungen in abgefangenen Rechnungen ausgetauscht werden. Es ist durchaus praktikabel, sich mithilfe von Postfachregeln, der Analyse von Kommunikationsmustern sowie der Filterung von Nutzdaten und Schlüsselwörtern ein Bild von einem sich abzeichnenden Angriff zu machen.

Der Schutz von Konten und Bankprozessen durch Multi-Faktor-Authentifizierung oder Freigabeverfahren bei großen Banküberweisungen, an denen mehrere Personen beteiligt sind, ist in vielen Fällen ebenfalls möglich und wünschenswert.

Zu beachten ist zudem, dass BEC auch Privatpersonen zum Ziel nehmen kann; so kann ein Angreifer beispielsweise das E-Mail-Konto einer Bank oder einer Anwaltskanzlei fälschen oder kompromittieren und einen Immobilienkäufer dazu überreden, die Zahlung für seine neue Immobilie auf ein anderes Konto zu leiten.

Dennoch sind die wirksamsten Abwehrmaßnahmen kultureller Natur: die Schulung (und Nachschulung) von Mitarbeitern in Bezug auf die typischen Anzeichen, die auf einen Betrugsversuch hindeuten könnten.

Kontrollmaßnahmen und ihre Funktion:

So verringern Sie das BEC-Risiko: eine einfache Regel

Es gibt jedoch eine Regel, die beim Umgang mit diesen Angriffen helfen könnte. Bei BEC und ähnlichen Betrugsmaschen wird oft Zeitdruck auf das Opfer ausgeübt, und dafür gibt es einen wichtigen Grund: Hat man genügend Zeit, fliegt die Geschichte, die der Betrüger erfunden hat, schnell auf. Daher lautet die goldene Regel für jeden, der mit einer plötzlichen, bedeutenden Änderung oder Anweisung konfrontiert wird: Überprüfen Sie diese.

Überprüfen Sie die Änderung, nicht die Nachricht

Was bedeutet das? Es bedeutet, dass es unerlässlich ist, neue Zahlungsdaten oder Anweisungen über einen anderen Kontaktweg oder Kommunikationskanal anhand von Daten zu bestätigen, die in einem vertrauenswürdigen System gespeichert sind.

Das kann so einfach sein wie ein Anruf bei der Durchwahl der Führungskraft, um die Anweisung zu überprüfen, bevor man weitermacht, oder das Nachschlagen der Telefonnummer des Lieferanten direkt auf dessen Website oder im Briefkopf einer gedruckten Rechnung. Ignorieren Sie Kontaktdaten, die im Rahmen der Kommunikation angegeben werden, und wenden Sie sich direkt an eine überprüfbare Quelle.

Hier ist eine Liste der Schritte, die Sie der Reihe nach befolgen sollten:

1. Überprüfen Sie Zahlungs- oder Kontodaten: Wenn Sie eine Rechnung mit neuen Angaben oder eine Rechnung von einem völlig neuen Lieferanten erhalten, rufen Sie diesen an, um zu überprüfen, ob die Angaben korrekt sind.
2. Legen Sie Schwellenwerte für risikobehaftete Transaktionen fest: Zum Beispiel ein Tageslimit für Ausgaben mit der Firmenkreditkarte oder für bestimmte Artikel wie Geschenkkarten. Ziehen Sie bei hohen Beträgen Richtlinien zur doppelten Autorisierung in Betracht.
3. Aktivieren Sie die Multi-Faktor-Authentifizierung (vorzugsweise mithilfe von Authentifizierungs-Apps oder Hardware-Tokens anstelle von SMS) sowie strenge Verfahren zur Kontowiederherstellung.
4. Überwachen Sie ungewöhnliche Anmeldungen, Postfachregeln und delegierte Zugriffsrechte. Hierfür eignen sich sowohl Managed Detection and Response- als auch E-Mail-Sicherheitsplattformen.
5. Aktivieren Sie Domänenschutz und E-Mail-Authentifizierung.
6. Legen Sie rollenspezifische Vorgehensweisen für die Finanzabteilung, die Personalabteilung, Führungskräfte und risikobehaftete Lieferantenfest. So sollten beispielsweise Änderungen an Gehaltsdaten persönlich oder über vertrauenswürdige Kommunikationskanäle wie unternehmensinterne Messaging-Apps oder die Privat- bzw. Mobilfunknummer des Mitarbeiters überprüft werden.
7. Richten Sie einfache Meldewege für ungewöhnliche Anfragen oder Kommunikationen ein, die eine schnelle Eskalation an die Sicherheits- und Finanzabteilung ermöglichen. Jeder sollte wissen, an wen er sich wenden muss, wenn er eine ungewöhnliche Anfrage von jemandem erhält, der wie ein leitender Angestellter aussieht oder klingt.

Was tun, wenn Sie den Verdacht haben, dass eine BEC-bezogene Überweisung stattgefunden hat?

Das Wichtigste zuerst: Behalten Sie diese Informationen nicht für sich.

Wenn der vermutete BEC-Vorfall eine Finanztransaktion betraf, benachrichtigen Sie unverzüglich die von Ihnen genutzte Bank über Ihren Verdacht. Geben Sie so viele Informationen wie möglich weiter. Informieren Sie außerdem die Finanzabteilung Ihres Unternehmens, wenn es sich um eine Zahlung im Namen des Unternehmens handelt.

Bitten Sie die Bank um einen Zahlungsrückruf oder eine Rückbuchung. Erkundigen Sie sich außerdem nach den Verfahren für eine Haftungsfreistellungserklärung (Hold Harmless Letter) oder eine Entschädigungserklärung (Letter of Indemnity), die die Bank in solchen Situationen anwendet. Wenden Sie sich anschließend an die Strafverfolgungsbehörden. Je mehr Informationen und Details Sie bereitstellen können, desto besser.

Die schlechte Nachricht: Es ist keineswegs sicher, dass die Zahlung oder die preisgegebenen Informationen wiederhergestellt werden können. Allerdings können Banken und Strafverfolgungsbehörden mehr tun, wenn sie schnell benachrichtigt werden und alle Informationen erhalten. Dies kann weitere Betrugsfälle verhindern oder dazu beitragen, die Angreifer zur Rechenschaft zu ziehen.

Welche Art von Daten und Informationen zum Betrugsfall sind für Banken und Strafverfolgungsbehörden nützlich, und was müssen Sie tun?

1. Bewahren Sie alle Nachrichten auf, einschließlich vollständiger Kopfzeilen, Transaktionsaufzeichnungen sowie relevanter Postfach- und Identitätsprotokolle.
2. Sichern Sie alle betroffenen Konten, brechen Sie aktive Sitzungen ab und überprüfen Sie Weiterleitungs- oder Posteingangsregeln, die auf mutmaßlich kompromittierte Konten angewendet werden.
3. Stellen Sie fest, ob andere Zahlungen, E-Mail-Postfächer, Identitäten oder Daten betroffen sind.
4. Benachrichtigen Sie die internen Ansprechpartner in den Bereichen Finanzen, Sicherheit, Recht, Datenschutz und Versicherung gemäß dem genehmigten Plan. Ihre Organisation verfügt doch über einen solchen Plan, oder? Vergewissern Sie sich, dass dieser vorhanden ist.
5. Dokumentieren Sie alle Entscheidungen und lassen Sie die gewonnenen Erkenntnisse in die Kontrollmaßnahmen zur Überprüfung und Erkennung einfließen.
6. Plädieren Sie für Schulungen zu Social Engineering und Betrug für Mitarbeiter, damit diese solche Versuche erkennen können.

Fazit: Lassen Sie diese Rechnung keinen falschen Schnurrbart tragen

BEC ist erfolgreich, wenn Vertrauen, Dringlichkeit und routinemäßige Geschäftsprozesse ausgenutzt werden. Zwar spielen E-Mail-Sicherheit, Identitätsschutz und Überwachungstools eine wichtige Rolle. Letztlich hängen wirksame Abwehrmaßnahmen ebenso stark von Verifizierungsverfahren und dem Bewusstsein der Mitarbeiter ab.

Unternehmen, die Zahlungsänderungen konsequent überprüfen, Konten durch starke Authentifizierung schützen und Mitarbeiter darin schulen, ungewöhnliche Anfragen zu hinterfragen, können ihr Risiko für BEC-bezogenen Betrug erheblich verringern.

Häufig gestellte Fragen: Business Email Compromise

Ist BEC dasselbe wie Phishing?

BEC kann ohne Phishing auftreten und umgekehrt – es gibt Überschneidungen. BEC ist eine gezielte Betrugstaktik, die auf einer vertrauenswürdigen Unternehmensidentität und einer vertrauenswürdigen Anfrage basiert. Phishing kann dabei eine Rolle spielen, aber das Fehlen von Phishing-E-Mails bedeutet nicht, dass keine BEC-Betrugsversuche stattfinden.

Was ist der Unterschied zwischen BEC und der Kompromittierung von E-Mail-Konten?

BEC beschreibt das Muster einer bestimmten Art von Betrug. Genau wie bei unserer obigen Antwort zum Thema Phishing kann die Kompromittierung von E-Mail-Konten auch außerhalb von BEC-Betrug stattfinden. Sie beschreibt in der Regel die Kontrolle über ein echtes E-Mail-Konto, das zur Durchführung von BEC genutzt werden kann.

Was sind typische Beispiele für BEC?

Zu den gängigen Mustern gehören Änderungen an Lieferantenrechnungen, Zahlungsaufforderungen von Führungskräften, die Umleitung von Gehaltszahlungen, Überweisungsbetrug im Immobilienbereich, Betrug mit Geschenkkarten sowie Anfragen nach Mitarbeiterdaten oder Zugangsdaten.

Wie hoch waren die durch BEC verursachten Kosten im Jahr 2025?

Das IC3 verzeichnete im Jahr 2025 gemeldete BEC-Verluste in Höhe von 3.046.598.558 US-Dollar aus 24.768 Beschwerden. Gemessen an den gemeldeten Verlusten lag BEC an zweiter Stelle hinter Anlagebetrug.

Kann E-Mail-Sicherheit BEC verhindern?

E-Mail-Sicherheit kann einige Angriffe blockieren oder kennzeichnen, aber keine einzelne Sicherheitsmaßnahme deckt Spoofing, die Kompromittierung echter Konten und betrügerische Geschäftsanfragen ab. Unternehmen müssen Maßnahmen in den Bereichen E-Mail, Identitätsschutz, Erkennung, Finanzen und Sensibilisierung kombinieren.

Was sollte ein Unternehmen tun, nachdem es Geld an einen Betrüger überwiesen hat?

Wenden Sie sich unverzüglich an die sendende Bank, um eine Rückforderung oder Rückbuchung zu beantragen. Erstatten Sie anschließend eine detaillierte Anzeige bei den Strafverfolgungsbehörden. Befolgen Sie den genehmigten Vorfallplan und sichern Sie Beweismittel.

Verursacht KI die meisten BEC-Angriffe?

Nein – bisher nicht. KI kann zwar überzeugende E-Mail- und Sprachimitationen unterstützen, doch gibt es kaum Anhaltspunkte dafür, dass sie in großem Umfang eingesetzt wird – abgesehen von einigen wenigen vielbeachteten neuen Berichten.