Ein Symbol einer gesperrten Datei, das ein kompromittiertes geschäftliches E-Mail-Konto darstellt, das genutzt wird, um eine Unternehmenszahlung umzuleiten

Business Email Compromise, oft mit BEC abgekürzt, verursachte laut dem Internet Crime Complaint Center des FBI im Jahr 2025 in den Vereinigten Staaten gemeldete Verluste von 3,05 Milliarden Dollar bei fast 25.000 Beschwerden, was es zur zweitschädlichsten Cyberkriminalitätskategorie im Jahresbericht der Behörde macht. Anders als ein Ransomware-Angriff oder ein Wallet-Hack beruht BEC überhaupt nicht darauf, ein technisches System zu durchbrechen. Es beruht auf einer überzeugend formulierten E-Mail, die genau im richtigen Moment eintrifft, und endet zunehmend damit, dass Unternehmensgelder in Kryptowährung umgewandelt werden, bevor irgendjemand merkt, was geschehen ist.

Wie sich ein Business-Email-Compromise-Angriff entfaltet

  • Aufklärung, bei der der Angreifer die Mitarbeiter, Lieferanten, Rechnungsmuster und Führungsstruktur eines Zielunternehmens recherchiert, oft anhand öffentlich verfügbarer Informationen
  • Entweder eine gefälschte E-Mail-Domain, die einer echten nahezu identisch sieht, oder ein tatsächlich kompromittiertes E-Mail-Konto eines Mitarbeiters, einer Führungskraft oder eines Lieferanten
  • Eine Nachricht, zeitlich abgestimmt auf ein echtes Ereignis, eine anstehende Zahlung, einen sich abschließenden Deal oder eine Führungskraft, die auf Reisen und schwer direkt erreichbar ist
  • Eine Bitte, Zahlungsdetails zu ändern, eine dringende Überweisung zu genehmigen oder Gelder an ein neues Konto oder eine neue Wallet-Adresse zu senden
  • Druck, schnell und leise zu handeln, oft unter Berufung auf Vertraulichkeit rund um einen Deal oder die Unerreichbarkeit einer Führungskraft zur telefonischen Bestätigung

Warum Krypto zunehmend das Ziel ist

Traditionelle BEC-Schemata beruhten historisch auf Überweisungen, die auch laut den eigenen Berichten des FBI in den meisten Fällen weiterhin den primären Mechanismus darstellen. Doch Kryptowährung ist zu einem zunehmend verbreiteten Ziel geworden, sobald Gelder bewegt werden, gerade weil sie schnell abgewickelt wird und Angreifern über Cross-Chain-Swaps und internationale Börsen einen schnelleren Weg bietet, Erlöse zu waschen, bevor ein Unternehmen oder eine Bank eingreifen kann. In Fällen, in denen ein Angreifer ein Finanzteam davon überzeugt, eine Lieferantenrechnung direkt in Kryptowährung zu bezahlen, statt gestohlene Gelder erst im Nachhinein umzuwandeln, gibt es in der Transaktionskette oft überhaupt keine Bank, die etwas markieren oder rückgängig machen könnte.

Das Muster der Rechnungs- und Lieferanten-Identitätsvortäuschung

Diese Version zielt auf die Beziehung zwischen einem Unternehmen und einem Lieferanten ab, den es bereits regelmäßig bezahlt. Ein Angreifer, der das E-Mail-Konto einer der beiden Parteien kompromittiert hat, überwacht echte Rechnungskorrespondenz und fügt dann im richtigen Moment eine Nachricht ein, die behauptet, die Zahlungsdetails hätten sich geändert – manchmal mit der ausdrücklichen Bitte um eine Kryptowährungs-Wallet-Adresse anstelle des üblichen Bankkontos. Da die Anfrage innerhalb eines bestehenden, legitimen E-Mail-Threads eintrifft und sich auf echte Rechnungsnummern und echte frühere Gespräche bezieht, weckt sie selten den Verdacht, den eine kalte Nachricht auslösen würde.

Das Muster der Führungskräfte-Identitätsvortäuschung

Diese Version stützt sich auf Hierarchie statt auf eine bestehende Lieferantenbeziehung. Eine E-Mail scheint von einer hochrangigen Führungskraft zu stammen, oft zeitlich so gewählt, dass diese Person gerade reist oder anderweitig schwer direkt erreichbar ist, und fordert eine dringende, vertrauliche Überweisung. Mitarbeiter, die gebeten werden, im Namen eines Vorgesetzten schnell zu handeln, zögern oft, die Anfrage zu hinterfragen oder über einen zweiten Kanal zu überprüfen – genau diese Dynamik ist es, auf die sich das Schema stützt.

Ein Schritt-für-Schritt-Durchgang eines Lieferanten-Identitätsvortäuschungsangriffs

Eine echte Angriffssequenz der Reihe nach durchzugehen, zeigt, wie gewöhnlich jeder einzelne Schritt für sich betrachtet wirkt – ein großer Teil dessen, warum diese Schemata bei Unternehmen mit ansonsten soliden Sicherheitspraktiken erfolgreich sind.

  • Ein Angreifer verschafft sich Zugang zum E-Mail-Konto eines Lieferanten, oft über eine einfache Phishing-E-Mail oder ein wiederverwendetes Passwort, und überwacht wochenlang unbemerkt ein- und ausgehende Rechnungskorrespondenz
  • Sobald ein echtes, aktives Rechnungsgespräch mit einem zahlenden Kunden identifiziert ist, wartet der Angreifer auf einen natürlichen Punkt im Austausch, oft kurz bevor eine Zahlung fällig ist
  • Eine Nachricht wird vom kompromittierten Konto gesendet, nicht von der echten Adresse des Lieferanten zu unterscheiden, die besagt, dass sich die Bankdaten geändert haben, und neue Zahlungsanweisungen oder eine Wallet-Adresse angibt
  • Die Nachricht enthält oft einen plausiblen Grund für die Änderung – einen neuen Buchhalter, eine Migration des Banksystems, eine Fusion –, um der naheliegenden Rückfrage zuvorzukommen
  • Das Kreditorenbuchhaltungsteam des Kunden sieht eine Nachricht innerhalb eines echten, laufenden Threads mit echten Rechnungsnummern, aktualisiert seine Unterlagen und sendet die nächste Zahlung an das neue Ziel
  • Der Lieferant fragt schließlich nach, warum die Zahlung nicht eingetroffen ist, und in diesem Moment erkennen beide Parteien, dass die Gelder stattdessen an einen Angreifer gegangen sind

Warnsignale, die Mitarbeiter erkennen lernen können

  • Eine Bitte, Zahlungs- oder Wallet-Details zu ändern, die nur per E-Mail eintrifft, ohne begleitenden Anruf eines bekannten Kontakts
  • Subtile Schreibweisenunterschiede in der E-Mail-Domain eines Absenders, die auf den ersten Blick leicht zu übersehen sind, etwa ein vertauschter Buchstabe oder ein zusätzlicher Bindestrich im Firmennamen
  • Ungewöhnliche Dringlichkeit gepaart mit einer Bitte um Vertraulichkeit, insbesondere Formulierungen, die den Empfänger davon abhalten sollen, die Anfrage einem Vorgesetzten oder Kollegen zu erwähnen
  • Eine Veränderung im Schreibstil, Ton oder Format der E-Mail-Signatur im Vergleich zur bisherigen Korrespondenz mit demselben Lieferanten oder derselben Führungskraft
  • Eine Anfrage, die verdächtig nah an einem öffentlichen Ereignis, einem Feiertag, einem bekannten Reiseplan einer Führungskraft oder einer Unternehmensankündigung liegt, wodurch das Timing leicht vorherzusagen war

Warum diese Angriffe auch bei versierten Unternehmen erfolgreich sind

BEC scheitert nicht daran, dass es einem Unternehmen an technischer Sicherheit mangelt. Es gelingt, weil es auf einen normalen Geschäftsprozess abzielt – eine Anfrage einer Führungskraft, eine Rechnungsaktualisierung, eine Lieferantenbeziehung – und einfach eine betrügerische Anweisung in diesen Prozess einschleust, in einem Moment, in dem ein Hinterfragen unangenehm oder umständlich erscheint. Sobald eine Zahlung in Kryptowährung gesendet wurde, steht das Unternehmen vor demselben grundlegenden Problem, das in unserem Leitfaden zur Beweissicherung nach einem Vorfall mit einem Unternehmens-Wallet behandelt wird, da das, was in den unmittelbar folgenden Stunden geschieht, einen überproportionalen Einfluss darauf hat, ob ein Teil des Verlusts nachverfolgt oder zurückerlangt werden kann.

Kernpunkt

Eine Änderung der Zahlungsanweisungen, ob ein neues Bankkonto oder eine neue Wallet-Adresse, sollte immer durch einen Anruf unter einer bekannten, zuvor verifizierten Nummer bestätigt werden, niemals durch eine Antwort im selben E-Mail-Thread, in dem die Änderung angefordert wurde.

Das Ausmaß des Problems

Die Daten des FBI für 2025 zeigen, dass sowohl BEC-Beschwerden als auch die daraus resultierenden Verluste im dritten Jahr in Folge steigen, und die Behörde hat separat festgestellt, dass Kryptowährung inzwischen in der Mehrheit ihrer verlustreichsten Betrugskategorien insgesamt eine Rolle spielt. Unternehmen jeder Größe werden ins Visier genommen, wobei kleine und mittelständische Unternehmen im Verhältnis zu ihrer Größe oft am härtesten getroffen werden, da ihnen häufig ein formeller, verpflichtender Verifizierungsschritt für Änderungen an Zahlungsanweisungen fehlt.

Größere Organisationen sind nicht immun, da Angreifer gezielt öffentliche Informationen wie Pressemitteilungen, Gewinnmitteilungen und Ankündigungen zu Führungskräftereisen recherchieren, um ihre Nachrichten überzeugend zu timen. Eine Finanzabteilung, die Dutzende Lieferantenbeziehungen und häufige Anfragen von Führungskräften verwaltet, kann es tatsächlich schwierig finden, jeder einzelnen Anfrage zur Zahlungsänderung dieselbe Sorgfalt entgegenzubringen – genau das Volumen und Tempo, das diese Schemata ausnutzen sollen.

Wie Unternehmen ihr Risiko verringern können

  • Verlangen Sie für jede Änderung von Zahlungsanweisungen oder Wallet-Adressen einen Anruf unter einer zuvor verifizierten Nummer, ohne Ausnahmen, unabhängig von der Dringlichkeit
  • Nutzen Sie ein Zwei-Personen-Genehmigungsverfahren für jede Überweisung über einer festgelegten Schwelle, das die Freigabe zweier Personen erfordert, die nicht beide über denselben kompromittierten Posteingang erreichbar sind
  • Führen Sie eine Positivliste genehmigter Wallet-Adressen für wiederkehrende Lieferantenzahlungen und behandeln Sie jede Abweichung als automatisches Warnsignal, das eine manuelle Prüfung erfordert
  • Schulen Sie Finanzmitarbeiter gezielt zum Muster dringender, vertraulicher Anfragen, die von einer Überprüfung abraten, da dies der Mechanismus ist, auf den sich das Schema stützt, und kein technischer Fehler
  • Überwachen Sie Domains, die Ihrer eigenen Unternehmensdomain zum Verwechseln ähnlich registriert wurden, da diese häufig genutzt werden, um überzeugende gefälschte E-Mails zu versenden

Wenn eine Zahlung bereits in Kryptowährung hinausgegangen ist, lässt sich das Ziel-Wallet oft dennoch nachverfolgen, auch wenn die Überweisung selbst nicht rückgängig gemacht werden kann, und Firmen wie Coin Trace arbeiten mit Unternehmen zusammen, um diese Spur für Strafanzeigen und Meldungen an Börsen zu dokumentieren, ohne jemals ein garantiertes Wiederbeschaffungsergebnis zu versprechen.

Was in den Stunden unmittelbar nach einer betrügerischen Zahlung zu tun ist

Geschwindigkeit ist bei einem Business-Email-Compromise-Fall wichtiger als bei fast jeder anderen Betrugsart, da sich das Zeitfenster, in dem Gelder möglicherweise bei einer Börse eingefroren oder bei einer Bank abgefangen werden können, schnell schließt. Sobald eine betrügerische Zahlung vermutet wird, sollte das Finanzteam sofort alle weiteren Zahlungen an dasselbe Konto oder dieselbe Wallet-Adresse stoppen und die ursprüngliche E-Mail einschließlich der vollständigen Header, nicht nur des Nachrichtentexts, sichern, da Header oft technische Details enthalten, die Ermittlern helfen, den wahren Ursprung der Nachricht nachzuverfolgen.

  • Kontaktieren Sie Ihre Bank oder, bei einer Kryptowährungszahlung, die empfangende Börse, sofern identifizierbar, um eine Notfall-Sperrung des Zielkontos zu beantragen
  • Erstatten Sie so schnell wie möglich Anzeige beim Internet Crime Complaint Center des FBI, da das Recovery-Asset-Team der Behörde in manchen Fällen erfolgreich Gelder eingefroren hat, wenn es innerhalb weniger Stunden benachrichtigt wurde
  • Benachrichtigen Sie umgehend die Rechtsabteilung Ihres Unternehmens und den Cyberversicherungsanbieter, da viele Policen strenge, kurze Meldefristen haben, die beeinflussen, ob ein Anspruch ausgezahlt werden kann
  • Bewahren Sie das kompromittierte E-Mail-Konto genau so auf, wie es ist, einschließlich vollständiger Nachrichten-Header, statt es zu löschen oder zurückzusetzen, bevor eine forensische Prüfung stattfinden kann
  • Benachrichtigen Sie den Lieferanten oder die Führungskraft, deren Identität vorgetäuscht wurde, da auch deren eigene Systeme kompromittiert sein könnten und andere Kunden mit demselben Schema ins Visier genommen werden könnten
Business Email CompromiseBEC-BetrugKrypto-ZahlungsbetrugRechnungsbetrugUnternehmenssicherheit

Häufig gestellte Fragen

Phishing versucht typischerweise, eine breite Gruppe von Menschen dazu zu bringen, auf einen bösartigen Link zu klicken oder Zugangsdaten einzugeben. Business Email Compromise ist gezielter und nutzt oft ein tatsächlich kompromittiertes oder überzeugend gefälschtes Konto einer bestimmten Führungskraft oder eines Lieferanten, um über einen scheinbar normalen Geschäftsprozess eine betrügerische Zahlung zu verlangen.

In den meisten dokumentierten Fällen stellt der Angreifer die Änderung als routinemäßige Aktualisierung der Zahlungsdetails dar, eingefügt in ein bestehendes, legitimes Rechnungsgespräch. Da die Anfrage scheinbar aus einer vertrauenswürdigen, bereits etablierten Beziehung stammt, wenden Finanzmitarbeiter oft nicht die Sorgfalt an, die sie bei einer unbekannten Zahlungsanfrage anwenden würden.

Das hängt stark von der Geschwindigkeit ab. Kryptowährungstransaktionen können nach ihrer Bestätigung nicht rückgängig gemacht werden, aber Gelder verbleiben manchmal kurzzeitig bei einer Börse, die ein Konto einfrieren kann, wenn sie schnell benachrichtigt wird. Die sofortige Dokumentation der Transaktion und der Wallet-Adressen sowie eine Meldung beim Internet Crime Complaint Center des FBI bieten die beste Chance auf eine zumindest teilweise Wiederbeschaffung.

Die Forderung eines Anrufs unter einer zuvor verifizierten, bekannten Nummer, bevor auf eine Änderung der Zahlungsanweisungen reagiert wird, unabhängig davon, wie dringend oder offiziell die anfordernde E-Mail wirkt. Dieser einzelne Schritt vereitelt die Mehrheit der dokumentierten BEC-Schemata, da er den kompromittierten E-Mail-Kanal vollständig aus dem Verifizierungsprozess entfernt.

Ja. Das Internet Crime Complaint Center des FBI aggregiert Meldungen vieler Opfer, was es Ermittlern manchmal ermöglicht, einen kleinen individuellen Verlust mit einer größeren, bereits verfolgten aktiven kriminellen Operation zu verknüpfen. Eine schnell eingereichte Anzeige kann gelegentlich auch bei bescheidenen Beträgen einen Recovery-Asset-Antrag unterstützen, und sie trägt stets zu den umfassenderen Daten bei, die zur Verfolgung und Zerschlagung solcher Schemata genutzt werden.

Quellen und weiterführende Informationen

Verwandte Beiträge

Welche Beweise Sie sichern sollten, wenn ein Unternehmens-Wallet kompromittiert wird →Einblick in eine Ermittlung zu einer Ransomware-Zahlung →Wie und wo man Kryptowährungsdiebstahl meldet →Einblick in eine grenzüberschreitende Vermögensermittlung →