```html

Identitätsbetrug im B2B: Wenn sich jemand als bekanntes Unternehmen ausgibt

Stellen Sie sich vor: Ein vermeintlich langjähriger Lieferant meldet sich per E-Mail und bittet darum, zukünftige Zahlungen auf ein neues Bankkonto umzuleiten. Alles wirkt seriös – Logo, Anrede, Schreibstil. Wochen später stellt sich heraus: Es war ein Betrüger. Genau dieses Szenario beschreibt, warum Identitätsbetrug im B2B für Unternehmen zu einer der gefährlichsten und kostspieligsten Bedrohungen der heutigen Zeit zählt. Firmenbetrug durch die Übernahme oder Fälschung einer bekannten Unternehmensidentität ist kein Einzelfall – er ist ein wachsendes, strukturiertes Phänomen, das Millionenschäden verursacht. Dieser Artikel zeigt, wie solche Angriffe ablaufen, welche Branchen besonders betroffen sind und wie Sie Identitätsbetrug im B2B proaktiv verhindern können.

Was ist B2B-Identitätsbetrug und wie funktioniert er?

Im B2B-Kontext bezeichnet Identitätsbetrug das gezielte Vortäuschen einer fremden Unternehmensidentität, um finanzielle oder informationsbezogene Vorteile zu erlangen. Dabei gehen Kriminelle strategisch vor und nutzen öffentlich verfügbare Unternehmensdaten – von Handelsregistereinträgen über LinkedIn-Profile bis hin zu offiziellen Websites.

Typische Vorgehensweisen umfassen:

  • CEO-Fraud: Ein Betrüger gibt sich als Geschäftsführer eines bekannten Partners aus und fordert per E-Mail dringende Überweisungen.
  • Vendor Impersonation: Kriminelle imitieren bestehende Lieferanten und ändern Bankverbindungsdaten in laufenden Prozessen.
  • Ghost Companies: Betrüger gründen Scheinfirmen mit ähnlichem Namen oder Design wie seriöse Unternehmen und schließen Verträge ab.
  • Domain-Spoofing: Gefälschte E-Mail-Domains, die dem Original täuschend ähnlich sehen (z. B. „maier-gmbh.de" statt „maier-gmbh.com"), werden für Kommunikation genutzt.

Besonders hinterhältig: Die Täter investieren oft erhebliche Zeit in Recherche, um ihre Täuschung glaubwürdig zu gestalten. Sie kennen Ansprechpartner, laufende Projekte und interne Prozesse – häufig durch vorheriges Social Engineering.

Reale Fälle: Wenn Firmenbetrug bekannte Namen trifft

Firmenbetrug durch Identitätsdiebstahl trifft Unternehmen aller Größenordnungen. Einige dokumentierte Beispiele verdeutlichen die Bandbreite:

Fall 1 – Gefälschter Zulieferer in der Automobilindustrie: Ein mittelständischer Automobilzulieferer erhielt eine E-Mail, scheinbar von einem langjährigen Komponentenlieferanten. Dieser bat darum, eine ausstehende Rechnung über 180.000 Euro auf ein neues Konto zu überweisen. Das Geld war weg, bevor der echte Lieferant von dem Vorfall erfuhr.

Fall 2 – Ghost Company im Einkaufsprozess: Eine Unternehmensberatung schloss einen Dienstleistungsvertrag mit einer Firma ab, deren Name dem eines renommierten IT-Dienstleisters zum Verwechseln ähnelte. Die Leistungen wurden nie erbracht, der Vorschuss nicht zurückgezahlt. Eine einfache Prüfung der Umsatzsteuer-Identifikationsnummer hätte den Betrug verhindern können.

Fall 3 – CEO-Fraud bei einem Pharmaunternehmen: Mitarbeiter der Finanzabteilung erhielten vermeintliche Anweisungen des CEOs, während dieser auf Geschäftsreise war. Die E-Mail-Domain unterschied sich nur in einem Buchstaben von der echten. Schaden: über 400.000 Euro.

Welche Unternehmen sind besonders gefährdet?

Grundsätzlich kann jedes Unternehmen Opfer von Identitätsbetrug werden. Bestimmte Strukturen erhöhen jedoch das Risiko erheblich:

  • Unternehmen mit dezentralen Einkaufsabteilungen, in denen viele Mitarbeiter eigenständig Bestellungen auslösen dürfen.
  • Wachstumsstarke Firmen, die regelmäßig neue Lieferanten onboarden und dabei Prozesse noch nicht vollständig standardisiert haben.
  • Unternehmen mit hohem Zahlungsvolumen und engen Fristen, bei denen Entscheidungsdruck entsteht.
  • Betriebe mit schwacher digitaler Verifikationsstruktur, die sich auf E-Mail-Kommunikation als einzigen Nachweis verlassen.

Besonders im internationalen B2B-Geschäft steigt die Gefahr: Je weiter entfernt ein Geschäftspartner ist, desto schwieriger ist eine spontane persönliche Verifikation. Grenzüberschreitende Transaktionen ohne strukturierte Prüfprozesse sind ein bevorzugtes Angriffsziel.

Identitätsbetrug B2B verhindern: Konkrete Schutzmaßnahmen

Die gute Nachricht: Mit den richtigen Prozessen lässt sich das Risiko deutlich reduzieren. Folgende Maßnahmen sollten in jedem Compliance-Rahmen verankert sein:

1. Verifizierung von Geschäftspartnern vor Vertragsschluss
Überprüfen Sie neue Geschäftspartner systematisch: Handelsregistereintrag, Impressum, Umsatzsteuer-Identifikationsnummer (USt-IdNr.) und Firmensitz. Tools wie VAT Verifizierung ermöglichen die schnelle Prüfung europäischer Umsatzsteuer-IDs und helfen dabei, Scheinfirmen frühzeitig zu identifizieren.

2. Vier-Augen-Prinzip bei Zahlungsänderungen
Jede Änderung von Bankverbindungsdaten eines bestehenden Lieferanten muss durch mindestens zwei Personen freigegeben und telefonisch über eine verifizierten Rufnummer bestätigt werden – niemals nur per E-Mail.

3. Domain-Monitoring und E-Mail-Authentifizierung
Implementieren Sie DMARC, DKIM und SPF für Ihre eigene Domain und schulen Sie Mitarbeiter darin, ähnliche Domains zu erkennen. Typosquatting-Domains können Sie über Dienste wie Brand-Monitoring-Tools frühzeitig aufspüren lassen.

4. Mitarbeiterschulungen und Awareness-Programme
Technische Maßnahmen allein reichen nicht. Regelmäßige Schulungen, insbesondere für Finanz- und Einkaufsabteilungen, sind essenziell. Simulierte Phishing- und Spoofing-Angriffe helfen dabei, das Sicherheitsbewusstsein zu schärfen.

5. Klare interne Eskalationswege
Jeder Mitarbeiter sollte wissen: Wenn eine Anfrage ungewöhnlich erscheint – auch wenn sie von einer bekannten Adresse kommt –, gibt es eine Anlaufstelle für Rückfragen. Druck und Dringlichkeit sind klassische Manipulationsinstrumente.

Rechtliche und finanzielle Konsequenzen für Betroffene

Neben dem unmittelbaren finanziellen Schaden drohen betroffenen Unternehmen weitere Konsequenzen: Reputationsverlust gegenüber Partnern und Kunden, mögliche Haftungsfragen gegenüber Dritten sowie Kosten für forensische Untersuchungen und Rechtsverfolgung. Versicherungen decken Schäden durch Firmenbetrug oft nur teilweise oder gar nicht ab, wenn interne Sicherheitsprozesse nachweis