Was ist Business Email Compromise?
Kein Virus, kein verdächtiger Anhang, oft nicht mal ein Link. Nur eine Mail, die glaubwürdig klingt und zur Überweisung drängt. Das ist Business Email Compromise, kurz BEC.
Das FBI beschreibt BEC als Betrug gegen Firmen, die mit Lieferanten arbeiten oder regelmäßig überweisen. Die Täter übernehmen E-Mail-Konten oder andere Kanäle wie Telefon und Videokonferenz und lösen nicht genehmigte Zahlungen aus. Manchmal geht es statt um Geld um Personaldaten.
Microsoft unterscheidet drei Grundformen:
- CEO-Fraud: Jemand gibt sich als Chefin aus und verlangt eine eilige, vertrauliche Zahlung.
- Kontoübernahme: Ein echtes Postfach wird gekapert. Die Täter lesen mit, bis eine große Zahlung ansteht.
- Falscher Anwalt: Ein angeblicher Rechtsanwalt meldet sich, etwa bei einer Firmenübernahme.
Dazu kommt der Klassiker im Alltag: der Rechnungsbetrug. Eine echte Rechnung wird abgefangen und die Bankverbindung ausgetauscht.
Wie groß das Problem ist
Fall A · FBI-Jahresbericht
BEC in den USA 2025
24.768
Anzeigen
3,05 Mrd. $
Schaden
Rund 123.000 $ je Fall, sechsmal so viel wie der Schnitt aller Delikte.
Internet Crime Complaint Center des FBI, gemeldete Fälle, überwiegend USA. Schnitt je Fall eigene Rechnung aus dem Bericht.
Fall B · Schnell melden
Was sich zurückholen lässt
679 Mio. $
eingefroren
58 %
Erfolgsquote
Wer sofort Bank und Polizei einschaltet, hat echte Chancen.
Rückholteam des FBI 2025, 3.900 Fälle. Die meisten Rückholungen betrafen bisher BEC.
Auch deutsche Firmen trifft es. Der Autozulieferer Leoni meldete im August 2016, dass mit gefälschten Dokumenten und Identitäten rund 40 Millionen Euro auf Auslandskonten abgeflossen waren. Die IT war laut Leoni nicht betroffen. Getäuscht wurden Menschen.
Warum Marketing dabei eine Rolle spielt
Die Polizei beschreibt, wie die Täter vorgehen: Sie sammeln vorher Informationen aus Website, Handelsregister, Geschäftsberichten und sozialen Netzwerken. Team-Seiten, LinkedIn-Profile und Pressemitteilungen liefern genau das Material.
Und Agenturen und Freelancer verschicken ständig Rechnungen per Mail. Das Oberlandesgericht Schleswig hat Ende 2024 entschieden: Ein Handwerksbetrieb blieb auf rund 15.000 Euro sitzen. Seine Rechnung war auf dem Weg manipuliert worden, die Kundin zahlte an Betrüger. Weil der Betrieb die PDF nur normal per Mail geschickt hatte, sah das Gericht einen Datenschutzverstoß und gab der Kundin einen Gegenanspruch. Es ist ein Einzelurteil, aber ein deutliches Signal.
Häufige Fehler
Fehler 1 · Auf den Spamfilter verlassen
BEC-Mails haben oft nichts Auffälliges. Kommen sie aus einem gekaperten, echten Postfach, sieht kein Filter einen Grund zur Warnung.
Fehler 2 · Per „Antworten“ nachfragen
Wer auf die verdächtige Mail antwortet oder die Nummer darin anruft, landet beim Täter. Die Polizei rät: Rückfrage über einen bekannten, getrennten Weg, also die Nummer aus deinen eigenen Unterlagen.
Fehler 3 · „Wir sind zu klein“
Der Fall aus Schleswig betraf einen Handwerksbetrieb. Kleine Firmen haben oft keine festen Freigabe-Abläufe. Genau das macht sie attraktiv.
Fehler 4 · Zu lange warten
Ist das Geld erst weitergeleitet, ist es meist weg. Melde einen Verdacht sofort der Bank, damit sie die Überweisung zurückruft, und erstatte Anzeige bei der Polizei.
So schützt du dein Unternehmen
- Rückruf-Pflicht: Jede neue Bankverbindung wird telefonisch über eine bekannte Nummer bestätigt.
- Vier-Augen-Prinzip: Größere Zahlungen gibt eine zweite Person frei.
- Mehr-Faktor-Anmeldung: für alle Postfächer, damit sie sich schwerer kapern lassen.
- DMARC einrichten: erschwert das Fälschen deiner eigenen Domain. Google verlangt es seit 2024 ohnehin von Großversendern.
- Rechnungen schützen: über ein Kundenportal oder verschlüsselt verschicken.
- Weniger preisgeben: Abwesenheiten und Zuständigkeiten in der Buchhaltung gehören nicht auf die Website.
Häufige Fragen
Was ist der Unterschied zwischen BEC, CEO-Fraud und Phishing?
Phishing ist der Oberbegriff für Täuschung per Nachricht, meist mit Link. BEC ist gezielter Betrug gegen Firmen mit dem Ziel Überweisung oder Daten, oft ohne Link. CEO-Fraud ist eine Form von BEC, bei der sich jemand als Chef ausgibt.
Wie erkenne ich eine BEC-Mail ohne Link?
An der Mischung aus Druck, Geheimhaltung und Geld. Typisch sind eine neue Bankverbindung, eine eilige Zahlung außerhalb der üblichen Abläufe oder die Bitte, niemandem davon zu erzählen. Prüf dann immer über einen zweiten, bekannten Weg.
Was tun, wenn wir schon überwiesen haben?
Sofort die eigene Bank anrufen und um Rückruf der Überweisung bitten. Dann Anzeige bei der Polizei erstatten, in Deutschland bei der örtlichen Dienststelle oder beim Landeskriminalamt. Mails und Belege nicht löschen.
Schützt DMARC vor BEC?
Teilweise. DMARC erschwert, dass jemand deine eigene Domain fälscht. Gegen ähnlich aussehende Domains oder ein gekapertes echtes Postfach hilft es nicht. Dafür brauchst du Mehr-Faktor-Anmeldung und feste Freigabe-Abläufe.
Wie verändert KI die Masche?
KI schreibt fehlerfreie, persönlich klingende Mails in jeder Sprache. Dazu kommen geklonte Stimmen am Telefon und gefälschte Videokonferenzen. Rechtschreibfehler taugen deshalb nicht mehr als Warnsignal.
