Business Email Compromise (BEC): So schützt sich Ihr Unternehmen

Business Email Compromise BEC Schutz Deutschland ist für viele Unternehmen längst keine abstrakte IT-Frage mehr, sondern ein konkretes finanzielles Risiko. Laut Bundeskriminalamt gehören BEC-Angriffe zu den schadenträchtigsten Cybercrime-Delikten überhaupt – mit Verlusten in Milliardenhöhe weltweit. Dabei sind nicht nur Großkonzerne betroffen: Mittelständische Unternehmen geraten zunehmend ins Visier der Täter, weil sie häufig weniger gut geschützt sind. In diesem Artikel erfahren Sie, wie BEC-Angriffe funktionieren, welche Varianten besonders verbreitet sind und welche konkreten Maßnahmen Ihr Unternehmen jetzt ergreifen sollte.

Was ist Business Email Compromise – und wie funktioniert es?

Bei einem BEC-Angriff täuschen Kriminelle per E-Mail eine vertrauenswürdige Identität vor – etwa die der Geschäftsführung, eines Lieferanten oder einer Behörde. Das Ziel ist fast immer dasselbe: Mitarbeitende im Finanz- oder Rechnungswesen dazu zu bringen, Geldtransfers zu veranlassen oder vertrauliche Informationen preiszugeben.

Die Angriffe sind oft erschreckend präzise vorbereitet. Die Täter analysieren vorab LinkedIn-Profile, Unternehmenswebseiten und öffentliche Berichte, um authentisch wirkende Nachrichten zu formulieren. Eine typische Nachricht im Stil des CEO lautet: „Ich bin gerade im Ausland in einer wichtigen Verhandlung und kann nicht telefonieren. Bitte überweisen Sie sofort 85.000 EUR auf folgendes Konto – höchste Vertraulichkeit."

Gängige BEC-Varianten sind:

• CEO-Fraud: Die Identität der Geschäftsführung wird gefälscht, um Mitarbeitende zu Überweisungen zu verleiten.
• Rechnungsbetrug: Täter geben sich als bekannter Lieferant aus und übermitteln eine gefälschte Rechnung mit geänderter Bankverbindung.
• Anwaltsbetrug: Angebliche Rechtsanwälte fordern unter Zeitdruck und Geheimhaltungspflicht Zahlungen an.
• Kompromittierte Mitarbeiterkonten: Echte E-Mail-Konten werden übernommen und für betrügerische Nachrichten genutzt.

Technische Schutzmaßnahmen: DMARC, SPF und DKIM richtig einsetzen

Die technische Absicherung Ihrer E-Mail-Infrastruktur ist die Grundlage eines wirksamen BEC-Schutzes. Drei Standards arbeiten dabei zusammen:

• SPF (Sender Policy Framework): Legt fest, welche Server E-Mails im Namen Ihrer Domain versenden dürfen. Unbefugte Server werden erkannt.
• DKIM (DomainKeys Identified Mail): Signiert E-Mails kryptografisch. Empfänger können so prüfen, ob eine Nachricht unverändert zugestellt wurde.
• DMARC (Domain-based Message Authentication): Kombiniert SPF und DKIM und gibt Mailservern klare Anweisungen, wie gefälschte E-Mails behandelt werden sollen – zum Beispiel direkt ablehnen (reject).

Wichtig: Viele Unternehmen haben SPF und DKIM konfiguriert, setzen DMARC aber nur auf none (reiner Monitoring-Modus). Das ist kein Schutz. Ziel sollte eine DMARC-Richtlinie auf reject sein. Beauftragen Sie Ihre IT-Abteilung oder einen externen Dienstleister, den aktuellen Status Ihrer Domain zu prüfen und die Konfiguration schrittweise zu verschärfen.

Ergänzend empfiehlt sich der Einsatz von E-Mail-Gateway-Lösungen mit KI-gestützter Anomalieerkennung, die ungewöhnliche Absendermuster, untypische Anfragen oder Abweichungen von bekannten Kommunikationsmustern automatisch melden.

Organisatorische Maßnahmen: Prozesse und Menschen schützen

Technische Maßnahmen allein reichen nicht aus – BEC-Angriffe zielen auf den menschlichen Faktor. Deshalb sind klare interne Prozesse mindestens ebenso wichtig wie jede Firewall.

Vier-Augen-Prinzip bei Überweisungen: Kein Mitarbeitender sollte allein in der Lage sein, größere Beträge zu überweisen – unabhängig davon, wer die Anweisung erteilt hat. Definieren Sie verbindliche Schwellenwerte, ab denen eine zweite Unterschrift oder Freigabe erforderlich ist.

Rückrufpflicht bei ungewöhnlichen Anfragen: Etablieren Sie eine Unternehmensrichtlinie, nach der jede unerwartete Zahlungsanforderung telefonisch bestätigt werden muss – über eine bereits bekannte, verifizierten Nummer, nicht über eine in der verdächtigen E-Mail genannte.

Lieferantenstammdaten sorgfältig pflegen: Änderungen an Bankverbindungen von Lieferanten sollten immer durch direkte Rückfrage beim Lieferanten bestätigt werden. Zusätzlich hilft die regelmäßige Überprüfung der Stammdaten – etwa über Dienste wie VAT Verifizierung, um die Identität und Gültigkeit von Lieferanten anhand ihrer Umsatzsteuer-Identifikationsnummer zu prüfen.

Awareness-Schulungen: Führen Sie regelmäßige Schulungen durch und simulieren Sie BEC-Angriffe intern. Mitarbeitende, die einmal eine realistische Simulation erlebt haben, reagieren im Ernstfall deutlich aufmerksamer.

Business Email Compromise BEC Schutz Deutschland: Rechtliche und regulatorische Dimension

Unternehmen in Deutschland sind auch aus regulatorischer Sicht verpflichtet, angemessene Sicherheitsmaßnahmen zu ergreifen. Die NIS2-Richtlinie, die seit Oktober 2024 in deutsches Recht umzusetzen war, verpflichtet viele Unternehmen zu Mindeststandards in der Cybersicherheit – darunter explizit auch die Absicherung von Kommunikationskanälen.

Darüber hinaus können BEC-Schäden erhebliche haftungsrechtliche Konsequenzen haben. Wenn intern dokumentiert ist, dass bekannte Sicherheitsstandards wie DMARC trotz Kenntnis nicht implementiert wurden, kann das im Schadensfall relevant werden – sowohl im Innenverhältnis gegenüber der Geschäftsführung als auch gegenüber Dritten.

Betroffene Unternehmen sind zudem nach DSGVO verpflichtet, Datenpannen der zuständigen Aufsichtsbehörde zu melden, wenn im Rahmen eines BEC-Angriffs personenbezogene Daten kompromittiert wurden. Eine schnelle Reaktion und lückenlose Dokumentation sind daher essenziell.

Was tun, wenn es passiert ist? Erste Schritte nach einem BEC-Vorfall

Trotz aller Vorkehrungen kann ein Angriff erfolgreich sein. Die Reaktionsgeschwindigkeit entscheidet dann oft darüber, ob Geld noch zurückgebucht werden kann.

• Sofort die Hausbank kontaktieren: Bei verdächtigen Überweisungen zählt jede Minute. Banken können Transaktionen unter Umständen noch stoppen oder zurückbuchen (SWIFT Recall).
• Strafanzeige erstatten: Informieren Sie umgehend die Polizei und das zuständige LKA-Cybercrime-Dezernat. In Deutschland gibt es spezialisierte Ermittlungsbehörden.