Bei Business Email Compromise steht nicht Schadsoftware im Mittelpunkt, sondern eine glaubwürdige E-Mail im richtigen Moment. Angreifende geben sich als Geschäftsführung, Lieferant oder Kunde aus und bringen Mitarbeitende dazu, Geld auf ein fremdes Konto zu überweisen oder sensible Daten herauszugeben. Die Variante mit der vorgetäuschten Geschäftsführung ist im deutschsprachigen Raum auch als CEO-Fraud oder Chef-Masche bekannt.
BEC ist für Unternehmen gefährlich, weil die Nachrichten oft keine verdächtigen Links oder Anhänge enthalten und deshalb technische Filter passieren. Der Schaden entsteht durch eine scheinbar gewöhnliche Geschäftshandlung.
Wie funktioniert Business Email Compromise?
Es gibt zwei grundlegende Varianten:
- Gefälschter Absender: Die E-Mail kommt von einer ähnlich aussehenden Domain, etwa mit einem vertauschten Buchstaben, oder nutzt lediglich einen passenden Anzeigenamen.
- Übernommenes Konto: Angreifende haben über Phishing oder gestohlene Zugangsdaten Zugriff auf ein echtes Postfach erlangt. Sie lesen mitunter längere Zeit mit, legen versteckte Weiterleitungs- oder Löschregeln an und schalten sich dann in einen laufenden Mailverlauf ein.
Die Nachricht selbst setzt auf bekannte Hebel des Social Engineering: Dringlichkeit, Vertraulichkeit und Autorität.
Typische Beispiele
- Ein Lieferant teilt per E-Mail eine neue Bankverbindung mit. Die nächste Rechnung wird auf das Konto der Betrüger überwiesen.
- Die vermeintliche Geschäftsführung bittet aus einem Termin heraus um eine eilige, vertrauliche Zahlung für ein angebliches Projekt.
- Aus dem übernommenen Postfach der Buchhaltung erhalten Kunden geänderte Zahlungsinformationen.
- Die Personalabteilung wird gebeten, das Gehaltskonto einer Mitarbeiterin zu ändern.
Worauf Unternehmen achten sollten
- Änderungen von Bankdaten und ungewöhnliche Zahlungen immer über einen zweiten, bekannten Kanal bestätigen, etwa per Rückruf an eine bereits hinterlegte Nummer.
- Ein Vier-Augen-Prinzip für Zahlungen ab einer festgelegten Schwelle einführen.
- Postfächer mit Multi-Faktor-Authentifizierung schützen und automatische Weiterleitungen nach außen einschränken.
- SPF, DKIM und DMARC für die eigenen Domains konfigurieren, damit sich der eigene Absender schwerer fälschen lässt.
- Buchhaltung, Einkauf und Personalabteilung gezielt sensibilisieren, siehe Security Awareness.
Bezug zu TOMORIS
Trainings zur Sensibilisierung von Mitarbeitenden bietet TOMORIS UNIVERSITY im Bereich Awareness an.
Awareness-Trainings ansehen