Business Email Compromise

Ausführliche Erklärung

Business Email Compromise ist der Oberbegriff für Betrugsmaschen, bei denen Angreifer per E-Mail eine vertraute Identität vortäuschen, um Zahlungen umzuleiten oder vertrauliche Daten zu erlangen. Die bekannteste Spielart ist der CEO-Fraud, bei dem sich Täter als Geschäftsführung ausgeben. Daneben zählen die gefälschte Lieferantenrechnung mit geänderter Bankverbindung, die Übernahme eines echten Postfachs mitten in einem laufenden Mailverlauf, der angebliche Anwalt bei einer vertraulichen Transaktion und die Umleitung von Gehaltszahlungen dazu. Gemeinsam ist allen: Es kommt keine Schadsoftware zum Einsatz, sondern Social Engineering.

Von klassischem Phishing unterscheidet sich BEC durch die Vorbereitung. Die Täter recherchieren Firmenbuch, Website, Geschäftsberichte und soziale Netzwerke, kennen Zuständigkeiten und Zahlungswege und schlagen zu, wenn eine Zahlung ohnehin plausibel ist – ähnlich wie beim Spear-Phishing, nur mit Geldfluss als Ziel. Die Absenderadresse wirkt echt, entweder durch eine minimal abweichende Domain oder weil ein tatsächlich übernommenes Postfach verwendet wird.

Zum Ausmaß: Das FBI weist BEC in seinem Internet Crime Report 2025 mit rund 3,04 Milliarden US-Dollar Schaden aus 24.768 Meldungen als zweitschädlichste Deliktsgruppe aus. Für Österreich nennt der Cybercrime-Report 2025 des Bundeskriminalamts 63.459 Anzeigen insgesamt und 31.001 Betrugsfälle mit einer Schadenssumme von rund 120 Millionen Euro (Betrug insgesamt, nicht nur BEC). Dass auch große Unternehmen betroffen sind, zeigt der Fall des österreichischen Luftfahrtzulieferers FACC mit einem Schaden von rund 50 Millionen Euro. Kleinere Betriebe trifft es besonders hart, weil kurze Wege und persönliches Vertrauen Rückfragen unüblich machen.

Künstliche Intelligenz verschärft die Lage: Sprachmodelle erzeugen fehlerfreie, im Ton passende Nachrichten (siehe KI-Phishing), Voice-Cloning liefert die telefonische Bestätigung mit der Stimme der Geschäftsführung, und Deepfake-Videokonferenzen können eine vermeintliche Freigaberunde simulieren. Die klassischen Erkennungsmerkmale – schlechtes Deutsch, seltsame Anrede – taugen damit nicht mehr als Filter.

Wirksamer Schutz kombiniert Technik und Prozess. Technisch gehören Multi-Faktor-Authentifizierung für alle Postfächer sowie die E-Mail-Authentifizierung mit SPF, DKIM und DMARC dazu. Organisatorisch sind das Vier-Augen-Prinzip ab einer festgelegten Betragsgrenze, die verpflichtende Rückbestätigung jeder geänderten Bankverbindung über eine bereits bekannte Telefonnummer und ein klar geregelter Freigabeweg entscheidend – ausdrücklich mit der Erlaubnis, auch die Chefin zurückzurufen. Simulierte Phishing-Tests und regelmäßige Schulungen halten die Aufmerksamkeit hoch. Ist eine Zahlung bereits erfolgt, zählt jede Minute: sofort die Bank zur Rückholung kontaktieren, Anzeige erstatten und intern den Incident-Response-Prozess starten; bei betroffenen personenbezogenen Daten ist zusätzlich zu prüfen, ob eine Meldung an die Datenschutzbehörde nötig ist.