Business Email Compromise (BEC)
DefinitionGezielte Übernahme/Imitation von Geschäfts-E-Mails für Zahlungsbetrug.
Business Email Compromise (BEC) ist eine Betrugsmasche, bei der Angreifer geschäftliche E-Mail-Kommunikation gezielt übernehmen oder täuschend echt imitieren, um Zahlungen umzuleiten oder vertrauliche Informationen zu erlangen. Typisch ist eine vermeintlich „dringende“ Zahlungsanweisung an die Buchhaltung, z. B. mit geänderter IBAN. BEC ist besonders gefährlich, weil es weniger auf Malware als auf Social Engineering und glaubwürdige Prozesse setzt.
Was bedeutet Business Email Compromise (BEC)?
Der Begriff bedeutet wörtlich „Kompromittierung von Geschäfts-E-Mails“. Gemeint ist entweder (1) die Übernahme eines echten E-Mail-Kontos (z. B. CEO, Vertrieb, Buchhaltung) oder (2) das Vortäuschen einer legitimen Absenderadresse per Domain-ähnlichen Schreibweisen (Typosquatting) oder manipulierten Absenderfeldern. Ziel ist fast immer finanzieller Schaden (Rechnungs- und Zahlungsbetrug) oder Datendiebstahl (z. B. Personal- oder Kundendaten).
Wie funktioniert BEC in der Praxis?
- Informationssammlung: Angreifer recherchieren Rollen, Lieferanten, Projekte und Zahlungsabläufe (Website, LinkedIn, geleakte Daten, frühere E-Mail-Verläufe).
- Zugang oder Imitation: Zugriff durch Phishing, gestohlene Passwörter, fehlende MFA – oder Nachbau einer ähnlichen Domain (z. B. „firma-gmbh.de“ statt „firma-gmbh.de“ mit vertauschtem Zeichen).
- Timing & Manipulation: Die Nachricht kommt passend zu echten Vorgängen („Rechnung ist überfällig“, „neue Bankverbindung“, „bitte heute noch überweisen“).
- Auszahlung: Geld geht auf Konten von „Money Mules“ und wird schnell weitertransferiert; Rückholung ist oft nur in den ersten Stunden realistisch.
Typische BEC-Szenarien für KMU
- CEO-Fraud: „Ich bin in einem Termin – überweise sofort 18.450 €.“
- Rechnungsbetrug (Invoice Fraud): Echte Lieferantenrechnung wird abgefangen/umgeleitet, IBAN wird geändert.
- Payroll-/HR-Betrug: Aufforderung, Gehaltsdaten zu ändern oder Lohnsteuer-/Personalunterlagen zu senden.
- Mandats-/Anwaltsbetrug: „Vertrauliche Transaktion“ mit Zahlungsdruck und Geheimhaltung.
Warum ist BEC wichtig (IT-Sicherheit & DSGVO)?
BEC verursacht nicht nur direkte Vermögensschäden, sondern kann auch einen Datenschutzvorfall auslösen, wenn personenbezogene Daten (z. B. Mitarbeiterlisten, Kundendaten, Rechnungsadressen) abgeflossen sind. Dann können Melde- und Dokumentationspflichten nach DSGVO relevant werden (u. a. interne Nachweisführung; ggf. Meldung an die Aufsichtsbehörde und Benachrichtigung Betroffener, abhängig vom Risiko). Für KMU ist außerdem kritisch: Viele Versicherungen und Banken erwarten „Stand der Technik“-Schutzmaßnahmen (z. B. MFA, Vier-Augen-Prinzip) – sonst drohen Leistungskürzungen oder schwierige Rückabwicklung.
Wie können sich KMU konkret schützen?
- Technik: MFA für E-Mail, starke Passwörter/Passkeys, Geräte- und Login-Überwachung, Spam-/Phishing-Filter, sowie E-Mail-Authentifizierung (SPF, DKIM, DMARC).
- Prozesse: Immer zweite Freigabe bei Zahlungen, feste „Callback“-Regel bei IBAN-Änderungen (Rückruf über bekannte Nummer, nicht aus der E-Mail), klare Vertretungsregeln.
- Awareness: Kurze, regelmäßige Schulungen mit Beispielen aus dem eigenen Alltag; Warnzeichen (Druck, Geheimhaltung, abweichender Ton, neue Bankverbindung).
- Incident Response: Notfallplan: Bank sofort kontaktieren (Recall/Freeze), Passwörter ändern, Sessions beenden, Beweise sichern, Strafanzeige, Datenschutzprüfung und Dokumentation.
Was kostet Schutz vor BEC?
Viele Maßnahmen sind günstig umsetzbar: MFA und Basisschutz sind oft in Microsoft 365/Google Workspace enthalten. Zusätzliche E-Mail-Security, Security-Awareness oder Managed Services kosten typischerweise je nach Umfang ab ca. zweistellig pro Nutzer/Monat. Teuer wird meist nicht die Prävention, sondern der Schaden (Überweisung, Ausfallzeiten, Rechts- und Forensikkosten).
- 3 von 4
Angriffe per E-Mail
Bei Business Email Compromise erfolgen die meisten Betrugsversuche über kompromittierte oder täuschend imitierte Geschäftskonten, was besonders für KMU ohne starke Freigabeprozesse riskant ist.
- 50.000 €+
typischer Einzelschaden
Schon ein einzelner erfolgreicher BEC-Vorfall kann für mittelständische Unternehmen schnell zu fünfstelligen bis sechsstelligen Verlusten durch Fehlüberweisungen führen.
- 24 Stunden
kritisches Zeitfenster
Wird ein BEC-Fall nicht innerhalb eines Tages erkannt, sinken die Chancen deutlich, fehlgeleitete Zahlungen noch über Banken oder Zahlungsdienstleister zurückzuholen.
Zahlungsfreigaben im Finanzbereich mit Vier-Augen-Prinzip absichern
Ein KMU im Großhandel nutzt BEC-Schutz, um E-Mails mit geänderten Bankverbindungen oder dringenden Überweisungsanfragen automatisch zu markieren. Vor der Auszahlung wird jede Änderung per Rückruf an bekannte Ansprechpartner und durch eine zweite interne Freigabe geprüft, sodass Zahlungsbetrug im Tagesgeschäft deutlich erschwert wird.
Lieferantenkommunikation in der Logistik gegen gefälschte Rechnungen absichern
Ein mittelständischer Logistikdienstleister prüft eingehende E-Mails von Speditionen und Lieferanten auf Absender-Manipulation, ähnliche Domains und ungewöhnliche Zahlungsanweisungen. So können Mitarbeitende verdächtige Rechnungen oder kurzfristige Kontowechsel früh erkennen und vor der Buchung direkt mit dem echten Partner verifizieren.
Geschäftsführer-Identitäten im HR-Bereich vor CEO-Fraud schützen
Ein KMU setzt Schutzmechanismen ein, damit E-Mails mit angeblichen Anweisungen der Geschäftsführung an Personalabteilung oder Assistenz nicht ungeprüft umgesetzt werden. Besonders bei sensiblen Themen wie Gehaltsänderungen, Bonuszahlungen oder Mitarbeiterdaten hilft ein definierter Prüfprozess, täuschend echte BEC-Angriffe im Alltag abzufangen.
Häufig gestellte Fragen
Was ist Business Email Compromise (BEC)?
BEC ist ein gezielter E-Mail-Betrug, bei dem Angreifer echte Firmenkonten übernehmen oder Absender täuschend echt nachahmen, um Zahlungen umzuleiten oder Daten zu stehlen. Besonders häufig sind gefälschte Zahlungsanweisungen und geänderte Bankverbindungen.
Wie funktioniert Business Email Compromise (BEC)?
Angreifer recherchieren Abläufe, kompromittieren ein Postfach (z. B. per Phishing) oder nutzen eine ähnlich aussehende Domain und senden dann plausible, „dringende“ E-Mails. Ziel ist, interne Freigaben zu umgehen und Geld schnell auf Betrugskonten zu transferieren.
Woran erkenne ich einen BEC-Angriff im Unternehmen?
Typische Warnzeichen sind Zeitdruck, Geheimhaltung, ungewöhnliche Formulierungen, neue Bankverbindungen oder abweichende E-Mail-Domains. Verdächtig ist auch, wenn jemand etablierte Freigabeprozesse „ausnahmsweise“ umgehen will.
Welche Maßnahmen helfen KMU am meisten gegen BEC?
Sehr wirksam sind MFA für E-Mail, das Vier-Augen-Prinzip bei Zahlungen und ein verpflichtender Rückruf über eine bekannte Telefonnummer bei IBAN-Änderungen. Ergänzend helfen SPF/DKIM/DMARC, gute Filter und kurze Awareness-Schulungen.
Ist BEC ein DSGVO-Vorfall und muss ich melden?
Wenn bei BEC personenbezogene Daten abfließen oder unbefugt offengelegt werden, kann es ein Datenschutzvorfall sein. Ob eine Meldung nötig ist, hängt vom Risiko für Betroffene ab; in jedem Fall sollten Sie den Vorfall prüfen und dokumentieren.
Warum ist Business Email Compromise (BEC) so erfolgreich?
Business Email Compromise (BEC) ist so erfolgreich, weil der Angriff nicht primär technische Schwachstellen ausnutzt, sondern Vertrauen, Zeitdruck und gewohnte Geschäftsprozesse. Wenn eine E-Mail wie vom Geschäftsführer, Kunden oder Steuerberater wirkt und eine dringende Zahlung fordert, handeln Mitarbeiter oft schnell – genau darauf setzen BEC-Angreifer.
Was ist der Unterschied zwischen Business Email Compromise (BEC) und klassischem Phishing?
Beim klassischen Phishing geht es oft um massenhaft versendete Nachrichten, die Zugangsdaten oder Malware einschleusen sollen. Business Email Compromise (BEC) ist gezielter, individueller und wirkt glaubwürdiger, weil echte Rollen, laufende Rechnungen oder bekannte Kommunikationsmuster im Unternehmen imitiert werden.
Wir sind ein kleines Unternehmen – lohnt sich Hilfe gegen BEC überhaupt?
Ja, gerade kleine und mittlere Unternehmen sind häufig betroffen, weil Freigaben, Zahlungsprozesse und Zuständigkeiten oft informeller geregelt sind. Mit einem Tech-Gutachten oder einer Tech-Partnerschaft prüfe ich mit dir, wo euer reales Risiko liegt, und setze pragmatische Schutzmaßnahmen um, ohne daraus ein Konzernprojekt zu machen.
Brauchen wir für BEC-Schutz teure IT-Sicherheitssoftware?
Nicht immer. Gegen Business Email Compromise helfen oft schon sauber definierte Freigabeprozesse, E-Mail-Schutz, Rollenrechte, klare Prüfmechanismen bei IBAN-Änderungen und Mitarbeiterschulung – also eine Kombination aus Technik und Prozess. Ich analysiere eure bestehende Tool-Landschaft und zeige dir, was wirklich fehlt und was ihr nicht zusätzlich einkaufen müsst.
Wie aufwendig ist es, unsere Prozesse gegen BEC abzusichern?
Der Aufwand ist meist geringer als gedacht, wenn man die kritischen Stellen gezielt angeht: Zahlungsfreigaben, Lieferantenänderungen, Zugriffsrechte und interne Kommunikationswege. Im Tech-Gutachten mappe ich eure Prozesse, identifiziere die größten Schwachstellen und gebe dir konkrete, umsetzbare Empfehlungen statt abstrakter Sicherheitsratschläge.
Unser Team ist nicht technisch – können wir BEC trotzdem wirksam vorbeugen?
Ja, denn BEC ist vor allem ein Prozess- und Kommunikationsproblem, nicht nur ein IT-Thema. Ich helfe dir dabei, einfache Regeln, verständliche Checklisten und praxisnahe Schulungen einzuführen, damit dein Team verdächtige Zahlungsanweisungen oder Kontoänderungen sicher erkennt und korrekt reagiert.
Kannst du BEC-Prävention auch direkt in unsere Systeme und Abläufe integrieren?
Ja. Im Rahmen der Tech-Umsetzung mit OrbitOS oder einer laufenden Tech-Partnerschaft kann ich Freigabeprozesse, Dokumentation, Rollenlogik, interne Prüfpfade und unterstützende KI-Workflows so aufsetzen, dass riskante Anfragen nicht mehr einfach per Zuruf durchrutschen. Ziel ist kein loses Sicherheitskonzept, sondern ein System, das im Alltag tatsächlich genutzt wird.