Was ist Business E-Mail Compromise?
Business E-Mail Compromise, abgekürzt BEC, ist eine Betrugsform, bei der Angreifer per E-Mail eine vertraute Person vortäuschen, etwa die Geschäftsführung, eine Kollegin aus der Buchhaltung oder einen langjährigen Lieferanten. Ziel ist fast immer dasselbe: eine Zahlung auf ein fremdes Konto oder die Herausgabe sensibler Daten.
Das Besondere an BEC ist, dass kein Schadprogramm im Spiel sein muss. Die E-Mail enthält keinen Virus, keinen verdächtigen Anhang, sondern wirkt schlicht plausibel. Der Angriff zielt nicht auf die Technik, sondern auf die Erwartung, dass eine Bitte „von oben" oder von einem bekannten Partner echt ist.
Einfach gesagt: BEC ist der Trickbetrug des digitalen Zeitalters. Statt eine Tür aufzubrechen, klingelt der Angreifer höflich und gibt sich als jemand aus, dem Sie ohnehin vertrauen. Genau deshalb fängt ihn kein Virenschutz ab.
Die häufigsten Maschen
BEC tritt in verschiedenen Spielarten auf. Allen gemeinsam ist eine glaubwürdige Geschichte und ein konkreter Zahlungs- oder Datenwunsch. Diese vier Varianten begegnen mittelständischen Betrieben am häufigsten:
Der falsche Chef (CEO-Fraud)
Eine Mail, angeblich von der Geschäftsführung, bittet kurzfristig und vertraulich um eine Überweisung, oft mit dem Hinweis, gerade nicht erreichbar zu sein. Druck und Diskretion sollen Nachfragen verhindern.
Manipulierte Rechnung
Eine echte oder täuschend echt aussehende Rechnung enthält eine geänderte Bankverbindung. Die Zahlung läuft, scheinbar korrekt, auf das Konto der Angreifer.
Lieferantenbetrug
Angreifer geben sich als bekannter Geschäftspartner aus und melden eine „neue Kontoverbindung". Künftige Zahlungen landen beim Betrüger statt beim echten Lieferanten.
Daten- & Lohnumleitung
Statt Geld wird um Daten gebeten, etwa Gehaltslisten, oder es wird die Änderung von Bankdaten für die Lohnzahlung beantragt. Der Schaden zeigt sich oft erst Wochen später.
Wie ein BEC-Angriff abläuft
BEC-Angriffe sind selten spontan. Sie folgen einem nachvollziehbaren Muster, das oft über Wochen vorbereitet wird. Wer den Ablauf kennt, erkennt die Masche früher:
- Auskundschaften: Die Angreifer sammeln Informationen über das Unternehmen, aus dem Impressum, sozialen Netzwerken oder der Website. Wer ist verantwortlich, wer zahlt, wer hat Prokura?
- Zugang oder Imitation: Entweder verschaffen sie sich Zugriff auf ein echtes Postfach, oder sie registrieren eine täuschend ähnliche Absenderadresse mit minimal verändertem Namen.
- Vertrauen aufbauen: Mit korrektem Ton, passenden Namen und Bezug auf reale Vorgänge wirkt die Nachricht echt. Mitunter geht ein harmloser Vorab-Kontakt voraus.
- Der Zahlungswunsch: Nun kommt die eigentliche Bitte, dringend, vertraulich, mit knapper Frist. Der erzeugte Zeitdruck soll die übliche Prüfung aushebeln.
- Verschleierung: Ist das Geld überwiesen, wird es rasch weitertransferiert. Je später der Betrug auffällt, desto geringer die Chance, die Zahlung zurückzuholen.
Woran Sie einen BEC-Versuch erkennen
Auch eine gut gemachte Betrugsmail trägt fast immer verräterische Merkmale. Drei Signale sollten Sie und Ihr Team stutzig machen:
Drei typische Alarmzeichen
Künstlicher Zeitdruck
„Bitte sofort", „streng vertraulich", „bevor ich ins Meeting gehe". Dringlichkeit und Geheimhaltung sollen verhindern, dass jemand nachfragt. Genau das ist das Signal, es zu tun.
Abweichende Absenderadresse
Der angezeigte Name stimmt, doch die echte Adresse weicht minimal ab, ein vertauschter Buchstabe, eine fremde Domain. Ein Blick auf die volle Adresse entlarvt viele Versuche.
Geänderte Bankdaten
Eine neue Kontoverbindung „ab sofort", eine kurzfristig geänderte IBAN auf einer Rechnung. Jede Änderung von Zahlungsdaten gehört über einen zweiten Kanal bestätigt.
Das wirksamste Gegenmittel ist unspektakulär: kurz nachfragen, über einen bekannten Kanal. Ein Anruf unter der gespeicherten Nummer, nicht der aus der Mail, klärt in einer Minute, was sonst fünfstellige Schäden verursacht.
So schützen Sie Ihr Unternehmen
Gegen BEC hilft kein einzelnes Werkzeug, sondern ein Zusammenspiel aus klaren Abläufen und technischer Absicherung. Diese Maßnahmen senken das Risiko deutlich:
Vier-Augen-Prinzip
Zahlungen ab einem festgelegten Betrag braucht eine zweite Freigabe. So scheitert eine einzelne manipulierte Mail an einer zweiten prüfenden Person.
Rückruf bei Kontoänderung
Jede geänderte Bankverbindung wird über eine bekannte, gespeicherte Nummer bestätigt, niemals über die Kontaktdaten aus der fraglichen E-Mail.
E-Mail-Absicherung
Technische Verfahren wie SPF, DKIM und DMARC erschweren das Fälschen Ihrer Domain. Ein guter Filter markiert externe Absender sichtbar.
Zwei-Faktor-Anmeldung
Eine zweite Anmeldestufe für E-Mail-Konten verhindert, dass Angreifer mit einem erbeuteten Passwort einfach ein echtes Postfach übernehmen.
Klare Zahlungsregeln
Wer geschriebene Regeln für Überweisungen hat, macht es Angreifern schwer. „Ausnahmen nur mündlich bestätigt" sollte fest verankert sein.
Sensibilisiertes Team
Mitarbeitende, die die Masche kennen, fragen im Zweifel nach, statt zu zahlen. Regelmäßige, alltagsnahe Schulung ist der wirksamste Schutz.
Mit IT-Kompass umsetzen
BEC lässt sich nicht mit einem einzigen Produkt lösen, sondern mit einer Kombination aus technischer Absicherung Ihrer E-Mail-Kommunikation und klaren, gelebten Abläufen. Wir helfen Ihnen, beides aufzusetzen, passend zu Ihrer Größe und Ihren Prozessen.
Wir starten mit einer nüchternen Einschätzung: Wie ist Ihre E-Mail-Domain abgesichert, wo liegen Lücken in den Zahlungsabläufen, und wie gut ist Ihr Team auf typische Maschen vorbereitet? Daraus wird ein konkreter Plan, ohne Panikmache.
Sichere E-Mail-Kommunikation
Wir härten Ihre E-Mail-Domain ab und filtern Betrugsversuche, bevor sie im Postfach landen.