Die E-Mail sieht genau so aus, wie sie sollte. Sie stammt von der echten Adresse Ihres CEOs, in einem Thread, der sich auf ein tatsächlich laufendes Geschäft bezieht, und fordert Ihren Controller auf, 47.000 US-Dollar bis zum Ende des Tages an einen Lieferanten zu überweisen, da eine Frist knapp ist und „ich in aufeinanderfolgenden Meetings bin, bitte erledigen Sie das einfach.“ Nichts daran wirkt verdächtig. Der Ton stimmt. Die Dringlichkeit stimmt. Die Tippfehler sind verschwunden – die Ära des komisch schlechten Phishing-Englisch ist vorbei.
Zwanzig Minuten später ist das Geld weg, und der CEO hat diese E-Mail nie versandt.
Dies ist Business Email Compromise, kurz BEC, und es ist mittlerweile die teuerste Kategorie von Cyberkriminalität, die dem FBI gemeldet wird – größer als Ransomware, größer als Datenlecks. Allein im Jahr 2025 verzeichnete das Internet Crime Complaint Center des FBI fast 25.000 BEC-Beschwerden mit einem gemeldeten Schaden von etwas mehr als 3 Milliarden US-Dollar, ein Anstieg gegenüber 2,77 Milliarden US-Dollar im Vorjahr. In den letzten zehn Jahren sind die kumulierten gemeldeten BEC-Verluste auf über 17 Milliarden US-Dollar gestiegen, was einer mehr als zehnfachen Zunahme seit 2015 entspricht. Und im Gegensatz zu einer gestohlenen Kreditkarte ist eine betrügerische Überweisung oft endgültig verloren, sobald sie ausgeführt ist – etwa 86 % der BEC-Verluste erfolgen über Überweisungen oder ACH, die beide schnell abgewickelt werden und extrem schwer zurückzuholen sind, sobald die Gelder auf dem Konto des Betrügers landen und erneut verschoben werden.
Kleine und mittelständische Unternehmen sind überproportional gefährdet. Sie wickeln wöchentlich echte Geldtransaktionen über die Kreditorenbuchhaltung ab, verfügen aber selten über die mehrstufigen Verifizierungskontrollen, die eine große Unternehmens-Treasury-Abteilung als selbstverständlich erachtet. Diese Lücke – realer Cashflow, schwache Kontrollen – ist genau das, was BEC-Betrüger ausnutzen wollen.
Wie der Betrug tatsächlich funktioniert
BEC ist nicht wirklich ein Hacking-Problem. Es ist ein Vertrauensproblem, und genau das macht es so effektiv gegen gutmeinende, vielbeschäftigte Menschen. Die Mechanismen fallen in der Regel in eines von mehreren Mustern:
Nachahmung von Führungskräften. Eine Nachricht, die scheinbar von einem Gründer, CEO oder CFO stammt – manchmal von einem echten, aber kompromittierten Konto, manchmal von einer gefälschten oder ähnlich aussehenden Domain (ihrunternehmen-inc.com anstelle von ihrunnternehmen.com) – weist jemanden in der Finanzabteilung an, eine dringende, vertrauliche Überweisung zu tätigen. Die Darstellung von Dringlichkeit und Vertraulichkeit ist entscheidend: Sie hält den Empfänger davon ab, sich vor dem Handeln bei jemand anderem zu vergewissern.
Nachahmung von Lieferanten. Eine E-Mail, die aussieht, als käme sie von einem echten, bestehenden Lieferanten, informiert Ihr Kreditorenbuchhaltungsteam darüber, dass „unsere Bank gewechselt hat“ und liefert neue Überweisungsanweisungen für die nächste Rechnungszahlung. Diese Variante ist besonders gefährlich, da die Rechnung selbst oft völlig legitim ist – echter Betrag, tatsächlich erbrachte Leistung – wobei lediglich das Zielkonto ausgetauscht wurde. Ihr Team bezahlt eine Rechnung, die es tatsächlich schuldet, nur an den falschen Ort.
Kontoübernahme durch Kompromittierung. Anstatt eine E-Mail-Adresse zu fälschen, verschafft sich der Angreifer tatsächlichen Zugriff auf ein echtes Postfach – das eines Lieferanten, eines Partners, manchmal das eines Mitarbeiters – durch einen früheren Phishing-Angriff oder einen Datenleck bei Anmeldeinformationen. Innerhalb eines legitimen, zuvor vertrauten Threads fügen sie eine Zahlungsaufforderung ein oder leiten eine laufende Rechnungsdiskussion um. Da die E-Mail tatsächlich vom echten Konto stammt, werden technische E-Mail-Authentifizierungsprüfungen sie nicht erkennen; nur ein menschlicher Prozess wird dies tun.
Umleitung der Gehaltsabrechnung. Eine Nachricht, die einen Mitarbeiter nachahmt, fordert die Personalabteilung oder Gehaltsabrechnung auf, die Details für die Direktüberweisung vor dem nächsten Zahlungszyklus zu aktualisieren, wodurch ein Gehaltsscheck (oder mehrere) stillschweigend auf ein Konto umgeleitet wird, das der Mitarbeiter nicht kontrolliert.
Was all diese Fälle verbindet, ist, dass keiner von ihnen ein Eindringen in Ihre Systeme erfordert. Sie erfordern, eine Person an einem geschäftigen Tag zu finden, die einer E-Mail genug vertraut, um einen Verifizierungsschritt zu überspringen, den sie sonst durchführen würde.
Die Kontrollen, die es tatsächlich stoppen
Die gute Nachricht: BEC wird fast vollständig durch Prozesse besiegt, nicht durch Technologie. Ein Kleinunternehmen benötigt kein Security Operations Center – es benötigt eine kurze Liste von Regeln, die jedes Mal befolgt werden, ohne Ausnahmen für „aber dieser schien dringend und legitim“.
1. Rückruf-Verifizierung bei jeder Änderung von Zahlungsdetails
Dies ist die Kontrolle mit dem höchsten Wert, die Sie einführen können, und sie kostet nichts außer Disziplin. Jede Anfrage zur Änderung eines Bankkontos, von Überweisungsanweisungen oder eines Zahlungskontakts eines Lieferanten – egal wie sie eingeht, egal von wem sie zu stammen scheint – muss telefonisch verifiziert werden, bevor darauf reagiert wird. Entscheidend ist, dass dieser Rückruf an eine Telefonnummer erfolgt, die bereits in Ihren Lieferantenunterlagen hinterlegt ist, niemals an eine Nummer, die in der E-Mail oder Textnachricht mit der Anfrage angegeben ist. Wenn die einzige Möglichkeit, die Änderung zu „bestätigen“, darin besteht, auf denselben E-Mail-Thread zu antworten oder die Nummer in der Signatur anzurufen, haben Sie nichts verifiziert – Sie haben den Betrüger lediglich gebeten, sich selbst zu bestätigen.
2. Zweifache Genehmigung bei ausgehenden Zahlungen über einem Schwellenwert
Keine einzelne Person – unabhängig vom Titel – sollte in der Lage sein, eine Überweisung über einem festgelegten Dollarbetrag eigenmächtig zu initiieren und zu genehmigen. Ein zweiter, unabhängiger Blick auf die Zahlungsdetails vor der Freigabe erkennt das Betrugsmuster fast jedes Mal, da der zweite Prüfer nicht unter derselben künstlichen Dringlichkeit agiert wie die Person, die die ursprüngliche Anfrage erhalten hat. Legen Sie den Schwellenwert niedrig genug fest, damit er für die Größe Ihres Unternehmens relevant ist; eine Überweisung von 47.000 US-Dollar ist genau die Art von mittlerer, plausibel aussehender Summe, die BEC-Betrüger bevorzugen, da sie problemlos durchgeht, ohne zusätzliche bankseitige Prüfungen auszulösen.
3. Dringlichkeit und Vertraulichkeit als Warnsignale behandeln, nicht als Anweisungen
„Erledigen Sie dies diskret“, „Beziehen Sie niemanden sonst ein“, „Ich brauche das vor meinem Flug erledigt“ – diese Formulierungen finden sich auch in legitimer Geschäftskommunikation, genau deshalb nutzen Betrüger sie. Schulen Sie Ihr Team darin, Druck, normale Prozesse zu umgehen, als Grund zur Verlangsamung und Verifizierung zu betrachten, nicht als Grund zur Beschleunigung. Eine legitime Führungskraft, die es wirklich eilig hat, wird nicht verärgert sein, wenn Sie eine Überweisung telefonisch bestätigt haben, bevor sie gesendet wurde.
4. Änderungen an den Stammdaten Ihrer Lieferanten sichern
Änderungen an Ihren Lieferantenzahlungsdaten – neues Bankkonto, neue Überweisungsadresse, neuer Hauptansprechpartner – verdienen die gleiche Prüfung wie die Zahlungen selbst. Verlangen Sie einen zweiten Genehmiger für jede Änderung der Lieferantenstammdaten und erwägen Sie eine kurze Wartezeit zwischen der Eingabe einer Änderung und deren Wirksamwerden für den nächsten Zahlungslauf, um einem zweiten Prüfer Zeit zu geben, Fehler zu entdecken.
5. Achten Sie auf die Domain, nicht nur auf den Namen
Schulen Sie Ihr Team, bei allem, was mit Geld zu tun hat, die tatsächliche Absenderdomain zu überprüfen, nicht nur den Anzeigenamen (der trivial zu fälschen ist). Eine Nachricht von „John Smith, CEO“ ist einen zweiten Blick wert, wenn die zugrunde liegende Adresse john.smith@yourcompany-corp.com statt john.smith@yourcompany.com lautet. Stellen Sie auf der technischen Seite sicher, dass Ihre eigene Domain SPF, DKIM und DMARC konfiguriert hat – dies hindert niemanden daran, Sie zu fälschen, aber es hindert Angreifer daran, Ihre Domain erfolgreich zu fälschen, um Ihre eigenen Lieferanten und Kunden zu betrügen.
6. Eine „Wenn Geld bewegt wird, wird es verifiziert“-Kultur aufbauen – und es einfach machen
Die oben genannten Kontrollen funktionieren nur, wenn die Mitarbeiter sie auch unter Druck befolgen, was bedeutet, dass der Verifizierungsschritt schnell und normalisiert sein muss, keine lästige Umleitung. Führen Sie eine aktuelle, leicht zugängliche Lieferantenkontaktliste mit verifizierten Telefonnummern. Machen Sie den Rückrufschritt zu einem normalen, erwarteten Teil des Zahlungsablaufs, anstatt dass es sich anfühlt, als würden Sie einen Kollegen des Betrugs beschuldigen. Die Unternehmen, die am härtesten getroffen werden, sind in der Regel diejenigen, bei denen der Prozess technisch auf dem Papier existierte, aber niemand ihn tatsächlich befolgt hat, als es darauf ankam.
Was tun, wenn es bereits passiert ist
Wenn eine betrügerische Überweisung tatsächlich erfolgt ist, ist Geschwindigkeit der einzige Hebel, der Ihnen bleibt. Kontaktieren Sie sofort die Betrugsabteilung Ihrer Bank und beantragen Sie einen Rückruf oder eine Sperrung der Überweisung – Banken können manchmal Gelder abfangen, die noch nicht vollständig verrechnet oder über die empfangende Institution freigegeben wurden, aber nur in einem engen Zeitfenster. Reichen Sie so schnell wie möglich eine Beschwerde beim Internet Crime Complaint Center (IC3.gov) des FBI ein; das Recovery Asset Team des IC3 hat in einigen Fällen geholfen, Gelder einzufrieren und zurückzugewinnen, wenn es schnell benachrichtigt wurde. Jede Stunde zählt – je früher die Meldung erfolgt, desto besser sind die Chancen, das Geld abzufangen, bevor es sich wieder bewegt.
Machen Sie Ihr Hauptbuch zu einer Kontrolle, nicht nur zu einem Datensatz
Jede dieser Kontrollen hängt davon ab, grundlegende Fragen schnell beantworten zu können: Wer hat diese Zahlung genehmigt, wie lauteten die Bankdaten des Lieferanten vor der „Änderung“, und entspricht diese Transaktion einem Muster, das wir bereits bezahlt haben. Das ist viel schwieriger, wenn Ihre Bücher eine Mischung aus Bankexporten, Tabellenkalkulationen und halb erinnerten Genehmigungen sind – und viel einfacher, wenn jede Transaktion an einem auditierbaren, versionskontrollierten Ort gespeichert ist.
Beancount.io speichert Ihre gesamte Zahlungshistorie in einem Klartext-Hauptbuch mit vollständiger Änderungshistorie, sodass die Überprüfung der tatsächlichen Zahlungsaufzeichnungen eines Lieferanten – anstatt einer gerade eingegangenen E-Mail zu vertrauen – nur Sekunden dauert und kein Durchsuchen alter Kontoauszüge erfordert. Kostenlos starten und Ihrem Kreditorenprozess die papierbasierte Nachvollziehbarkeit geben, die BEC-Betrug leicht erkennbar und schwer zu verbergen macht.