Business E-Mail Compromise (BEC)

Business E-Mail Compromise ist kein einzelner Trick, sondern eine ganze Betrugsfamilie mit einem gemeinsamen Prinzip: Angreifer missbrauchen das Vertrauen in die geschäftliche E-Mail-Kommunikation, um Geld- oder Datenflüsse umzulenken. Anders als bei einem Ransomware-Angriff geht es nicht darum, Systeme lahmzulegen, sondern darum, einen bestehenden, legitimen Geschäftsvorgang unbemerkt in die eigene Richtung zu biegen. Der eigentliche Angriff findet dabei im Kopf der Mitarbeitenden statt – über Autorität, Dringlichkeit und sorgfältig recherchierte Details. BEC ist damit eine besonders zielgerichtete Spielart des Social Engineerings.

Technisch stützt sich BEC auf zwei Wege. Beim Spoofing wird eine Absenderadresse gefälscht oder eine täuschend ähnliche Domain registriert, sodass die Nachricht auf den ersten Blick echt wirkt. Bei der Konto-Übernahme verschaffen sich die Täter dagegen echten Zugang zu einem Postfach – etwa durch zuvor erbeutete Zugangsdaten – und schreiben aus dem laufenden Schriftverkehr heraus. In beiden Fällen ist die Nachricht sprachlich sauber, enthält keinen verdächtigen Anhang und fügt sich nahtlos in den Arbeitsalltag ein. Genau deshalb ist BEC eng mit dem gezielten Spear-Phishing verwandt und wesentlich schwerer zu erkennen als eine breit gestreute Massen-E-Mail.

BEC ist ein Sammelbegriff für mehrere Betrugsmuster, die sich im Detail unterscheiden, aber dasselbe Ziel verfolgen – einen geschäftlichen Zahlungs- oder Datenfluss umzulenken. Die folgende Übersicht ordnet die fünf verbreitetsten Varianten nach Masche, typischer Zielperson und dem Signal, an dem Sie sie erkennen können:

Der CEO-Fraud ist die bekannteste Form und zielt auf die Autorität der Führungsebene; richtet er sich gezielt gegen hochrangige Entscheider selbst, spricht man von Whaling. Der Rechnungs- und Lieferantenbetrug ist in der Praxis jedoch mindestens ebenso folgenreich, weil er sich unauffällig in einen völlig normalen Zahlungsvorgang einschleicht.

Ein großer Teil der BEC-Angriffe beginnt mit einer gefälschten Absenderadresse. Drei technische Verfahren erschweren genau das – sie arbeiten im Hintergrund und entscheiden mit, ob eine gefälschte Nachricht überhaupt im Posteingang landet. Vereinfacht gesagt beantwortet SPF die Frage, welche Server für eine Domain verschicken dürfen, DKIM versieht jede Nachricht mit einer fälschungssicheren digitalen Signatur, und DMARC verbindet beide und legt fest, wie Empfänger-Server mit auffälligen Nachrichten verfahren sollen:

Für wirksamen Schutz sollte DMARC schrittweise bis zur Richtlinie „reject“ geführt werden, sodass gefälschte Nachrichten im Namen Ihrer Domain gar nicht erst zugestellt werden. Wichtig ist jedoch, die Grenzen zu kennen: Diese Verfahren schützen Ihre eigene Domain. Registrieren Angreifer eine täuschend ähnliche Schreibweise oder kapern sie ein echtes Postfach, bleibt die Authentifizierung wirkungslos.

Weil BEC am Menschen und am Prozess ansetzt, lässt es sich nicht mit einem einzelnen Werkzeug abwehren. Wirksamer Schutz entsteht erst im Zusammenspiel dreier Ebenen: Die technische Ebene erschwert Fälschungen durch SPF, DKIM, DMARC und Multi-Faktor-Authentifizierung. Die prozessuale Ebene macht jede kritische Zahlung überprüfbar – etwa durch das Vier-Augen-Prinzip und verbindliche Regeln für Kontoänderungen. Und die menschliche Ebene sorgt dafür, dass Mitarbeitende die typischen Muster überhaupt erkennen und sich trauen, nachzufragen:

SECMIND trainiert genau die Reflexe, die BEC-Angriffe ins Leere laufen lassen. Mit realistischen Phishing-Simulationen erleben Ihre Mitarbeitenden typische Muster wie Dringlichkeit, vermeintliche Autorität und geänderte Zahlungswege in sicherer Umgebung – und lernen, bei ungewöhnlichen Anfragen über einen zweiten Kanal nachzufragen, statt reflexartig zu handeln. Über mehrere Kampagnen hinweg wird Ihr Team messbar sicherer, anonymisiert und DSGVO-konform.

Ergänzend vermittelt das Security-Awareness-Training die Hintergründe zu BEC, Social Engineering und sicheren Zahlungsprozessen in kurzen, verständlichen Lerneinheiten. Mit dem kostenlosen Phishing-Test verschaffen Sie sich zunächst einen Überblick über die aktuelle Awareness in Ihrem Unternehmen. Alle weiteren Begriffe rund um E-Mail-Betrug erklärt unser Cyber-Lexikon, und die passenden Pakete finden Sie auf der Seite Preise.