Was ist „Business Email Compromise“ (BEC)?

Bei „Business Email Compromise“ wird auf Hacking verzichtet. Ein Angreifer gibt sich als jemand aus, dem Ihre Mitarbeiter bereits vertrauen – etwa als Geschäftsführer, Lieferant oder vertrauter Partner – und stellt eine scheinbar routinemäßige Anfrage: eine dringende Überweisung, aktualisierte Zahlungsdaten oder eine zur Genehmigung anstehende Rechnung. Keine Malware, keine Warnmeldungen, nur eine überzeugende E-Mail, die wie ein ganz normaler Geschäftsvorgang aussieht. Das Internet Crime Complaint Center stuft BEC als eine der finanziell schädlichsten Cyberverbrechen ein, wobei die durchschnittlichen Kosten eines Vorfalls mittlerweile in die Millionen gehen. Hier erfahren Sie genau, wie diese Angriffe ablaufen.

Wie funktioniert „Business Email Compromise“?

Bei einem „Business Email Compromise“-Angriff gibt sich jemand als Kollege oder vertrauenswürdiger Partner aus und überredet das Opfer, beispielsweise Zugriff zu gewähren, Geld zu überweisen oder Informationen weiterzugeben. Um ihr Ziel zu erreichen, nutzen die Angreifer in der Regel Phishing, gefälschte E-Mails vom Chef, gefälschte Rechnungen und E-Mails, die so aussehen, als stammten sie von einer bestimmten Person. Auch wenn die Menschen mittlerweile besser über diese Angriffe informiert sind, finden die Kriminellen immer noch Wege, sie zu täuschen. 

Zum Beispiel eine Hackergruppe aus Russland namens „Cosmic Lynx“ hat komplexe Business-Email-Compromise-Angriffe durchgeführt, bei denen Phishing-E-Mails zum Einsatz kamen, die sehr gut verfasst waren und daher schwer zu erkennen waren. Diese Cyberkriminellen nutzen zudem die Tatsache aus, dass viele Menschen von zu Hause aus arbeiten, indem sie E-Mails versenden, die so aussehen, als stammten sie von beliebten Tools für die Zusammenarbeit – und dies tun sie, um Passwörter zu stehlen.

Berichte des FBI und anderer Quellen wie Verizon zeigen, dass Angriffe im Rahmen von „Business Email Compromise“ immer häufiger vorkommen. Der Hauptgrund für den Erfolg dieser Angriffe liegt in der Vorgehensweise der Täter und nicht in technischen Tricks. Die Täter befolgen in der Regel bestimmte Schritte, um ihre Betrugsmaschen zum Erfolg zu führen:

1. Erkundung: Angreifer recherchieren die Zielorganisation und sammeln dabei Namen von Führungskräften, Beziehungen zu Lieferanten, laufende Projekte und Kontaktdaten der Finanzabteilung über LinkedIn, Unternehmenswebsites und öffentliche Datenbanken.
2. Vorbereitung der Domain oder des Kontos: Sie registrieren ähnlich klingende Domains, fälschen Anzeigenamen oder kompromittieren ein legitimes Postfach, um es als Angriffsvehikel zu nutzen.
3. Angriff starten: Sie versenden E-Mails unter Verwendung gefälschter oder ähnlicher Domains und falscher Absendernamen.
4. Social Engineering: Angreifer geben sich als vertrauenswürdige Amtsträger aus und erzeugen ein Gefühl der Dringlichkeit, um Geldüberweisungen oder die Weitergabe von Daten zu erwirken.
5. Finanzielle Gewinne: Die letzte Phase, in der es zu finanziellem Diebstahl oder einer Datenpanne kommt.
6. Vertuschung: Angreifer können Regeln im Posteingang einrichten, um Beweismaterial zu löschen, Antworten umzuleiten oder Gelder schnell zu transferieren, um eine Wiederherstellung zu verhindern.

Warum sind BEC-Angriffe so schwer zu erkennen?

BEC-E-Mails enthalten in der Regel keine Malware. Sie enthalten weder Anhänge noch offensichtliche Links. Stattdessen nutzen sie Autorität, Dringlichkeit und Vertrauen, um an Sie heranzukommen. Deshalb werden BEC-E-Mails von Spamfiltern nur selten abgefangen. BEC-E-Mails sind heimtückisch. Deshalb ist es wirklich wichtig zu wissen, wer die E-Mail sendet, um den Nutzern beizubringen, worauf sie achten müssen, und über ein gutes System zu verfügen, mit dem überprüft werden kann, ob die E-Mail echt ist oder nicht. BEC-E-Mails sind hinterhältig. 

BEC kann herkömmliche Sicherheitsfilter umgehen, weil:

• Inhalt im Klartext: Viele BEC-E-Mails enthalten keine bösartigen Links, Anhänge oder Skripte, sondern lediglich eine ganz normal aussehende Anfrage.
• Echt wirkende Absenderidentitäten: Angreifer fälschen Anzeigenamen, verwenden ähnlich klingende Domains oder versenden E-Mails über tatsächlich kompromittierte Postfächer.
• Übliche Geschäftssprache: Anfragen werden als routinemäßige Arbeitsabläufe, Rechnungsfreigaben, Gehaltsabrechnungen oder Überweisungen formuliert, wodurch sie nur schwer von legitimen Mitteilungen zu unterscheiden sind.
• Vertrauensvolle Beziehungen: Angreifer recherchieren ihre Ziele im Vorfeld und beziehen sich dabei auf echte Kollegen, Lieferanten oder laufende Projekte, um glaubwürdig zu wirken.
• Kompromittierte Konten: Wenn ein Angreifer einen tatsächlich kompromittierten Posteingang nutzt, durchläuft die Nachricht alle Authentifizierungsprüfungen, da sie von einem echten, autorisierten Postfach stammt.

Auf wen zielen BEC-Angriffe in der Regel ab?

BEC-Angriffe beschränken sich nicht auf große Unternehmen. Jede Organisation, die Zahlungen tätigt oder entgegennimmt, die Gehaltsabrechnung verwaltet oder Lieferantenbeziehungen pflegt, ist ein potenzielles Ziel. Gemeinnützige Organisationen sind durch Spam-Spenden und Carding-Angriffe , die das Vertrauen der Spender und die Zahlungssysteme gefährden. Angreifer konzentrieren sich auf Mitarbeiter, die befugt sind, Geld zu überweisen, Anträge zu genehmigen oder auf sensible Daten zuzugreifen:

Häufige Arten von BEC-Angriffen

Gemäß den Leitlinien des FBI IC3 und der CISA sind die häufigsten und finanziell schädlichsten BEC-Kategorien, von denen Unternehmen heute betroffen sind, folgende:

Zwei davon werden leicht unterschätzt. Betrug mit Lieferantenrechnungen verläuft oft genau so, wie ein echter Lieferant eine Rechnung versendet, und genau deshalb entgeht er einer flüchtigen Überprüfung. Reise- und Buchungsbetrug stützt sich auf dasselbe Vertrauen: eine E-Mail, die auf eine Reisebroschüre oder eine Änderung des Reiseplans, die so alltäglich wirkt, dass ein vielreisender Geschäftsreisender ohne zu zögern darauf klickt.

Gängige BEC-Techniken, die Angreifer einsetzen

So werden BEC-Angriffe technisch durchgeführt:

• Gefälschtes E-Mail-Konto oder gefälschte Website: Der Angreifer täuscht eine E-Mail-Adresse oder Website vor, die legitim erscheint, wobei er manchmal Typosquatting oder ähnlich aussehende Domains nutzt. Von diesem Konto aus versendet er Phishing-E-Mails, in denen er nach Finanzdaten oder Geldüberweisungen fragt. DMARC, SPF und DKIM tragen dazu bei, zu verhindern, dass Angreifer Ihre Domain direkt fälschen. Da BEC jedoch auch kompromittierte Konten, Lookalike-Domains oder die Vortäuschung eines Anzeigenamens beinhalten kann, sollte die E-Mail-Authentifizierung mit Benutzerschulungen, MFA, Lieferantenüberprüfung und Bedrohungsüberwachung kombiniert werden.
• Fälschung des Anzeigenamens: Der Angreifer verwendet einen seriös wirkenden Anzeigenamen (z. B. „Name des CEO“), leitet die E-Mail jedoch von einer anderen Domain weiter. Empfänger sehen in ihrem Posteingang oft nur den Anzeigenamen, nicht die tatsächliche Absenderadresse.
• E-Mail-Thread-Hijacking: Nachdem sie ein Konto kompromittiert haben, schalten sich Angreifer in bestehende E-Mail-Threads ein, um betrügerischen Anfragen mehr Glaubwürdigkeit zu verleihen. Die Empfänger vertrauen der Nachricht, da sie in einer echten, laufenden Unterhaltung erscheint.
• Spear-Phishing-E-Mails: Spear-Phishing- E-Mails sind sehr zielgerichtete E-Mails, die direkt an bestimmte Mitarbeiter gesendet werden, häufig an Mitarbeiter in der Finanzabteilung oder im Personalwesen. Sie sind als interne Mitteilungen von jemandem aus dem Unternehmen getarnt und enthalten Betreffzeilen wie „dringende Überweisung“ oder „dringende Rechnung“.
• Einsatz von Malware: Angreifer können über bösartige Links oder Anhänge Schadsoftware auf dem Computer eines Opfers installieren. Sie nutzen Malware, um Tastatureingaben aufzuzeichnen, Screenshots zu erstellen oder sich dauerhaften Zugriff auf das System zu verschaffen.

So beugen Sie dem Missbrauch von Geschäfts-E-Mails vor

Ein erfolgreicher BEC-Angriff wird schnell teuer – durch direkte Verluste, Wiederherstellungskosten und den damit verbundenen Reputationsschaden. Die folgenden Kontrollmaßnahmen decken drei Bereiche ab: technische Authentifizierung, Prozesse und Mitarbeiter.

1. Schützen Sie Ihre Domäne mit DMARC, SPF und DKIM

SPF, DKIM und DMARC sind hier die grundlegenden Sicherheitsmaßnahmen. SPF legt fest, welche Mailserver E-Mails im Namen Ihrer Domain versenden dürfen. DKIM fügt eine digitale Signatur hinzu, damit Empfänger überprüfen können, ob eine Nachricht manipuliert wurde. DMARC baut auf beiden auf und ermöglicht es Domain-Inhabern, festzulegen, wie Empfänger mit E-Mails umgehen sollen, die die Authentifizierung nicht bestehen, und bietet gleichzeitig Einblick darin, wer tatsächlich im Namen der Domain E-Mails versendet.

Um BEC-Angriffe auf Basis von Domain-Spoofing zu unterbinden, muss DMARC nicht nur zur Überwachung, sondern auch zur Durchsetzung eingesetzt werden:

• p=none: Überwacht den Datenverkehr, ohne die Zustellung zu beeinträchtigen. Bietet keinen wirklichen Schutz vor BEC.
• p=Quarantäne: Leitet verdächtige E-Mails in den Spam- oder Junk-Ordner weiter.
• p=ablehnen: Blockiert Nachrichten, deren Authentifizierung sofort fehlschlägt – der stärkste Schutz gegen direktes Domain-Spoofing.

Implementierung von DMARC bedeutet, korrekt formatierte SPF-, DKIM- und DMARC-Einträge in Ihrem DNS zu veröffentlichen. Dies verhindert direktes Domain-Spoofing wirksam, deckt jedoch keine kompromittierten Postfächer oder ähnliche Domains auf. Betrachten Sie es daher als grundlegende, aber nicht als vollständige Lösung.

Die eigentliche Arbeit besteht nicht darin, einen DMARC-Eintrags einmal zu veröffentlichen. Es geht darum, zu wissen, welche Dienste in Ihrem Namen E-Mails versenden, welche Nachrichten fehlschlagen und wann es sicher ist, von „p=none“ auf „enforcement“ umzustellen. Die regelmäßige Überwachung mittels DMARC-Berichten macht diese Entscheidung erst möglich, und Plattformen wie PowerDMARC wandeln die rohen XML-Daten in Informationen um, auf deren Grundlage ein Team handeln kann.

2. Anti-Phishing-Schutz

Verwenden Sie Anti-Phishing-Software und E-Mail-Sicherheits-Gateways, die eingehende E-Mails auf bösartige Links, Anhänge und Anzeichen von Social Engineering überprüfen, um Bedrohungen zu blockieren, bevor sie die Benutzer erreichen.

3. Aufgabentrennung und Zahlungsprotokolle

Stellen Sie sicher, dass kritische Vorgänge, insbesondere Finanztransaktionen wie Überweisungen, nicht von einer einzigen Person durchgeführt werden. Entwickeln Sie strenge Protokolle für die Genehmigung von Zahlungen, die mehrere Autorisierungen und eine zusätzliche Bestätigung außerhalb des üblichen Prozesses (z. B. per Telefon oder durch persönliche Überprüfung) für Anfragen vorsehen, insbesondere bei dringenden Anfragen oder solchen, die Änderungen der Zahlungsdaten beinhalten.

4. Kennzeichnung externer E-Mails

Konfigurieren Sie Ihr E-Mail-System so, dass E-Mails, die von außerhalb Ihres Unternehmens stammen, eindeutig gekennzeichnet sind. So können Mitarbeiter potenziell verdächtige Nachrichten, die sich als interne Absender ausgeben, schnell erkennen.

5. Sorgfältige Prüfung von E-Mail-Adressen und Details

Schulen Sie Ihre Mitarbeiter darin, die E-Mail-Adresse des Absenders sorgfältig auf subtile Unterschiede, Typosquatting oder ähnlich klingende Domains zu überprüfen. Überprüfen Sie, ob die „Antwort an“-Adresse mit der „Von“-Adresse übereinstimmt. Seien Sie vorsichtig bei E-Mails, in denen Dringlichkeit oder Geheimhaltung gefordert wird.

6. Informieren Sie Ihre Mitarbeiter

Die beste Abwehr gegen BEC-Angriffe ist die Schulung und Sensibilisierung der Mitarbeiter. Die Mitarbeiter müssen die Gefahr von BEC verstehen, wissen, wie diese Angriffe funktionieren, welche Taktiken häufig zum Einsatz kommen (Dringlichkeit, Vortäuschen von Autorität) und wie sie selbst zum Ziel werden können. Führen Sie simulierte Phishing-Tests durch, um den Sensibilisierungsgrad zu ermitteln, und ermutigen Sie die Mitarbeiter, verdächtige E-Mails unverzüglich und ohne Angst vor Repressalien zu melden.

7. Aktivieren Sie die Multi-Faktor-Authentifizierung (MFA)

Führen Sie die Multi-Faktor-Authentifizierung (MFA) für alle E-Mail-Konten und andere kritische Systeme ein. Die MFA bietet eine zusätzliche Sicherheitsebene über das Passwort hinaus und verringert das Risiko eines Kontozugriffs erheblich, selbst wenn Anmeldedaten gestohlen werden.

8. Automatische E-Mail-Weiterleitung verbieten

Deaktivieren Sie die automatische Weiterleitung von E-Mails an externe Adressen. Angreifer können diese Funktion missbrauchen, um die Kommunikation unbemerkt zu überwachen oder vertrauliche Informationen umleiten.

9. Implementierung von zusätzlichen Sicherheitsprotokollen

Erwägen Sie, E-Mail-Sicherheit mit folgenden Maßnahmen:

• MTA-STS (Mail Transfer Agent Strict Transport Security): MTA-STS und TLS-RPT verhindern zwar kein Social Engineering, tragen jedoch zum Schutz legitimer E-Mails während der Übertragung bei und liefern Berichte über Probleme bei der TLS-Zustellung. Dank der gehosteten MTA-STS- und TLS-RPT-Dienste von PowerDMARC entfällt die Notwendigkeit, einen separaten HTTPS-Richtlinienserver zu betreiben.
• BIMI (Brand Indicators for Message Identification): BIMI kann Empfängern dabei helfen, authentifizierte Marken-E-Mails in unterstützten Posteingängen visuell zu erkennen. Es sollte als Vertrauens- und Sichtbarkeitsschicht positioniert werden, nicht als eigenständige BEC-Abwehrmaßnahme. BIMI erfordert die Durchsetzung von DMARC. Die BIMI- und VMC-Unterstützung von PowerDMARC vereinfacht die Implementierung über den gesamten Zertifikats- und Hosting-Workflow hinweg.
• SPF-Eintragsverwaltung: Die automatisierte SPF-Verwaltung von PowerDMARC hilft Unternehmen dabei, das Limit von 10 DNS-Lookups für SPF zu umgehen, wenn sie SaaS-Tools, Marketingplattformen und Drittanbieter als Absender hinzufügen. Dies reduziert den manuellen Aufwand für DNS-Aufgaben und trägt dazu bei, authentifizierungsbedingte Zustellungsfehler zu vermeiden.

10. Betrug melden

Wenn Sie einen BEC-Betrug vermuten oder Opfer eines solchen geworden sind, melden Sie dies unverzüglich den zuständigen Behörden (wie dem IC3 des FBI in den USA) sowie bei Ihren Finanzinstituten. Durch die Meldung können die Strafverfolgungsbehörden diese Straftaten besser aufspüren und möglicherweise Gelder zurückgewinnen.

Wie PowerDMARC dabei hilft, Domain-Spoofing bei BEC-Angriffen zu verhindern

PowerDMARC senkt das BEC-Risiko, indem es Sicherheitsteams genau aufzeigt, wer E-Mails im Namen ihrer Domain versendet. Das mühsame Durchforsten von XML-Rohdaten gehört der Vergangenheit an – ein zentralisiertes Dashboard zeigt legitime Absender, Authentifizierungsfehler und nicht autorisierte Quellen an einem Ort an.

Die Plattform unterstützt DMARC, SPF, DKIM, BIMI, MTA-STSund TLS-RPT an einem Ort. Dies ermöglicht es Unternehmen, sicher auf die Durchsetzung von DMARC hinzuarbeiten und SPF-Abfragebeschränkungen durch automatisierte SPF-Verwaltung zu umgehen, die Sicherheit auf der Transportschicht mit gehostetem MTA-STS und TLS-RPT zu stärken sowie das Vertrauen in die Marke durch BIMI- und VMC-Unterstützung zu verbessern.

Für Unternehmen und MSPs, die mehrere Domains verwalten, bietet PowerDMARC zudem Funktionen zur Domain-Gruppierung, rollenbasierten Zugriffskontrolle, zentralisierten Überwachung sowie reaktionsschnellen weltweiten Support und hilft Teams so, die Kontrolle zu behalten, ohne die Komplexität zu erhöhen.

Starten Sie eine 15-tägige kostenlose Testphase , um Sicherheitslücken bei der Authentifizierung zu schließen und Domain-Spoofing zu verhindern, bevor es Sie teuer zu stehen kommt.

Häufig gestellte Fragen

Wofür steht die Abkürzung BEC?

BEC steht für „Business Email Compromise“ – eine gezielte E-Mail-Betrugsmasche, bei der Kriminelle sich als vertrauenswürdige Führungskräfte, Lieferanten oder Geschäftspartner ausgeben, um Mitarbeiter dazu zu manipulieren, Geld zu überweisen, Zugangsdaten preiszugeben oder sensible Daten weiterzugeben.

Was ist ein Beispiel für einen BEC-Angriff?

Ein typisches Beispiel: Ein Angreifer fälscht die E-Mail-Adresse des Geschäftsführers und sendet eine dringende Nachricht an den Finanzvorstand, in der er eine vertrauliche Überweisung noch vor Geschäftsschluss fordert. Die Nachricht trifft ein, während der echte Geschäftsführer auf Reisen ist, was zusätzlichen Zeitdruck erzeugt, und fordert den Finanzvorstand auf, den üblichen Genehmigungsprozess zu umgehen. Ohne einen separaten Verifizierungsschritt könnte der Finanzvorstand das Geld am Ende direkt an den Angreifer überweisen.

Was ist der Unterschied zwischen BEC und Phishing?

Phishing richtet sich in der Regel an ein breites Publikum und nutzt dabei bösartige Links oder Anhänge, um Zugangsdaten zu stehlen oder Malware zu installieren. BEC ist gezielter. Es konzentriert sich auf bestimmte Personen innerhalb einer Organisation, setzt statt auf Malware auf Social Engineering und Identitätsbetrug und zielt darauf ab, echte Geschäftsabläufe wie Zahlungen, Gehaltsabrechnungen oder Datenanfragen zu manipulieren. Da BEC oft keine bösartige Nutzlast enthält, werden solche Angriffe von herkömmlichen Filtern häufig übersehen.

Warum sind BEC-E-Mails so schwer zu erkennen?

Sie enthalten in der Regel keine Malware, keine bösartigen Links und keine ungewöhnlichen Anhänge. Der Wortlaut entspricht der üblichen Geschäftskorrespondenz, bezieht sich auf reale Personen und Projekte und stammt oft von Domains oder Anzeigenamen, die legitimen Absendern sehr ähnlich sind. Wenn der Angreifer ein tatsächlich kompromittiertes Konto nutzt, durchläuft die Nachricht jede technische Authentifizierungsprüfung.

Kann DMARC alle „Business Email Compromise“-Angriffe verhindern?

Nein. DMARC verhindert zwar direktes Domain-Spoofing – einen der häufigsten BEC-Angriffsvektoren –, doch BEC kann auch kompromittierte Konten, ähnliche Domains und die Vortäuschung eines Anzeigenamens beinhalten, was DMARC allein nicht abfangen kann. Kombinieren Sie DMARC daher mit MFA, Mitarbeiterschulungen, Zahlungsüberprüfungen und einer kontinuierlichen Bedrohungsüberwachung, um einen umfassenden Schutz zu gewährleisten.

Welche DMARC-Richtlinie eignet sich am besten zum Schutz vor BEC?

Eine „p=reject“-Richtlinie bietet den stärksten Schutz vor unbefugten Absendern, die Ihre Domain direkt fälschen. Unternehmen sollten schrittweise darauf hinarbeiten: Beginnen Sie mit „p=none“, um den Datenverkehr zu überwachen, wechseln Sie dann zu „p=quarantine“ und schließlich zu „p=reject“, sobald alle legitimen Absender identifiziert und authentifiziert wurden.

Was soll ich tun, wenn ich eine E-Mail erhalte, bei der der Verdacht auf einen BEC-Betrug besteht?

Reagieren Sie nicht darauf und ergreifen Sie keine Maßnahmen. Überprüfen Sie die Anfrage über einen separaten, vertrauenswürdigen Kanal, beispielsweise eine Ihnen bekannte Telefonnummer. Melden Sie die E-Mail umgehend Ihrer IT- oder Sicherheitsabteilung und bewahren Sie die vollständige Nachricht sowie die Kopfzeilen als Beweismaterial auf. Falls bereits eine Zahlung erfolgt ist, wenden Sie sich unverzüglich an Ihre Bank, um zu versuchen, diese zurückzurufen.

• Über
• Neueste Beiträge

Ahona Rudra

Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC

Ahona ist Marketing-Managerin bei PowerDMARC und verfügt über mehr als 5 Jahre Erfahrung im Schreiben über Cybersicherheitsthemen, insbesondere im Bereich Domain- und E-Mail-Sicherheit. Ahona hat einen Postgraduierten-Abschluss in Journalismus und Kommunikation und ist seit 2019 in der Sicherheitsbranche tätig.

Neueste Beiträge von Ahona Rudra (alle anzeigen)

• Fax-Sicherheit: Ein umfassender Leitfaden zum Schutz sensibler Dokumente im Jahr 2026 – 30. Juli 2026
• Was ist ein E-Mail-Filterdienst? – 29. Juli 2026
• E-Mail-Spoofing: Was es ist und wie man es verhindert – 29. Juli 2026