Business Email Compromise

Business Email Compromise ist eine Betrugsmasche mit gefälschten oder gestohlenen E-Mail-Zugängen in Firmen. Die Täter schreiben einer Mitarbeiterin und geben sich als Chef, Kunde oder Lieferant aus. In der Nachricht steht meist eine dringende Bitte: eine Überweisung, eine geänderte Kontonummer, der Kauf von Gutscheinkarten. Der Betrug funktioniert ohne schädliche Programme und ohne technischen Einbruch in Computer. Er zielt allein darauf, dass ein Mensch einer scheinbar echten Nachricht glaubt und Geld freigibt. Der deutsche Begriff dafür lautet oft Chef-Masche.

Der teuerste Betrug im Netz

In den Schadensstatistiken der Ermittlungsbehörden steht BEC seit Jahren ganz oben. Das amerikanische FBI meldete für 2023 rund 2,9 Milliarden US-Dollar Schaden allein durch diese Masche. Damit liegt sie deutlich vor Erpressungssoftware, über die viel häufiger berichtet wird. Der Grund ist einfach: Bei einer einzigen gelungenen Überweisung können sechs- oder siebenstellige Beträge fließen.

Für Firmen ist der Angriff besonders unangenehm, weil er kaum technische Spuren hinterlässt. Eine E-Mail von einer echten Adresse mit echter Signatur sieht für jedes Schutzprogramm harmlos aus. Es gibt keinen Virus, den ein Scanner finden könnte. Auffällig ist nur der Inhalt, und den beurteilt am Ende ein Mensch.

Dazu kommt der Zeitdruck. Ist das Geld erst einmal auf einem ausländischen Konto und weiterverteilt, holt man es selten zurück. Banken können Überweisungen nur in den ersten Stunden stoppen. Deshalb hängt der Schaden stark davon ab, wie schnell jemand den Betrug bemerkt.

Vom Ausspähen bis zur Überweisung

Am Anfang steht Recherche. Die Täter sammeln öffentlich zugängliche Informationen über eine Firma: Namen der Geschäftsführung, Zuständigkeiten in der Buchhaltung, laufende Projekte. Vieles davon steht auf der Firmenwebsite oder in Karrierenetzwerken. Manchmal verschaffen sie sich zusätzlich Zugang zu einem echten Postfach, etwa über ein abgefangenes Passwort.

Dann folgt die Nachricht. Entweder kommt sie von einer täuschend ähnlichen Adresse, bei der ein Buchstabe vertauscht ist. Oder sie kommt tatsächlich aus dem gekaperten Konto und klinkt sich in einen laufenden Schriftwechsel ein. Der Ton ist knapp und dringend, oft mit dem Hinweis, die Sache sei vertraulich und dürfe nicht besprochen werden. Genau das soll verhindern, dass jemand nachfragt.

Sprachmodelle haben diese Masche verändert. Früher verrieten holprige Formulierungen und Rechtschreibfehler viele Fälschungen. Heute schreibt eine KI fehlerfreies Deutsch im passenden Tonfall, und das in Sekunden. Auch nachgeahmte Stimmen am Telefon kommen inzwischen vor. Der wichtigste Schutz ist deshalb kein Filter, sondern eine feste Regel: Zahlungsanweisungen werden über einen zweiten, bekannten Kanal bestätigt, etwa per Rückruf an eine gespeicherte Nummer.

Wer davon betroffen ist

Getroffen werden nicht nur Konzerne. Handwerksbetriebe, Vereine, Arztpraxen und Schulen tauchen regelmäßig in Polizeimeldungen auf. Eine bekannte Variante richtet sich an Immobilienkäufer: Kurz vor der Zahlung kommt eine Mail mit angeblich geänderter Kontonummer des Notars. Eine andere Variante zielt auf Auszubildende, die im Namen des Chefs Gutscheinkarten kaufen sollen.

In den Nachrichten begegnet man dem Begriff meist in Quartalsberichten von Sicherheitsfirmen und in Warnungen des Bundesamts für Sicherheit in der Informationstechnik. Auch Versicherer nutzen ihn, denn viele Cyberpolicen behandeln BEC gesondert. Wichtig ist die Abgrenzung: Phishing meint das Abgreifen von Zugangsdaten über gefälschte Links. BEC nutzt solche Daten häufig weiter, das eigentliche Ziel ist aber die Zahlung.

Ein verbreiteter Irrtum lautet, bessere Software löse das Problem. Sie hilft, reicht aber nicht. Wirksam sind klare Abläufe: das Vier-Augen-Prinzip bei Überweisungen ab einer bestimmten Summe, feste Prüfschritte bei Kontoänderungen und die ausdrückliche Erlaubnis, auch beim Chef nachzufragen.