Was ist Business Email Compromise (BEC)?

Business Email Compromise ist ein Cyberangriff, bei dem Kriminelle sich als jemand ausgeben, dem Sie vertrauen, um Sie dazu zu bringen, Geld zu senden oder sensible Daten preiszugeben. Angreifer verbringen Wochen damit, zu lernen, wie ein Unternehmen kommuniziert, wer die Entscheidungsgewalt hat und wann sie zuschlagen müssen. Wenn die E-Mail schließlich ankommt, sieht sie aus wie eine normale E-Mail von jemandem, den Sie kennen.

Wie funktioniert ein BEC-Angriff?

Für diese Angriffe gibt es ein bewährtes Vorgehensmuster, und Betrüger folgen ihm jedes Mal.

Schritt 1 – Das Ziel finden

Der ganze Sinn hinter einem Business-Email-Compromise-Angriff ist, dass er überzeugend wirken muss. Zum Glück für Angreifer ist das Internet eine Goldgrube an Informationen über potenzielle Ziele. Ein kurzer Blick auf Ihr Social-Media-Profil kann Ihren Beruf, enge Freunde und sogar Ihren Tonfall verraten. Kombiniert man das mit Pressemitteilungen über künftige Schritte Ihres Unternehmens und Biografien von Unternehmenswebsites, wirkt es schnell glaubwürdig.

Angreifer können all diese Informationen sammeln und innerhalb von Sekunden eine E-Mail erstellen, die aussieht und klingt wie das echte Original.

Schritt 2 – In das Postfach gelangen

Damit der Inhalt der E-Mail echt wirkt, müssen Angreifer ihn in eine glänzende, glaubwürdige Verpackung hüllen. Wenn die E-Mail-Adresse nicht aus einer vertrauenswürdigen Quelle zu stammen scheint, fällt der ganze Betrug in sich zusammen.

Angreifer könnten die Domain fälschen, indem sie einen Namen wie acme-corp.com statt acmecorp.com registrieren. Oder, wenn sie clever genug sind, hacken sie das echte Postfach, wodurch es nahezu unmöglich wird, die Nachricht von einer echten zu unterscheiden.

Denn wenn es aussieht wie eine Ente und quakt wie eine Ente, werden die meisten denken, dass es eine Ente ist.

Schritt 3 – Vertrauen aufbauen

Bei diesen Angriffen ist Geduld das A und O. Angreifer können sich wochenlang in einem gehackten Postfach verstecken, E-Mail-Verläufe lesen und Kommunikationsstile lernen. Wenn die E-Mail schließlich ankommt, fügt sie sich in frühere E-Mails ein und spiegelt Ton und Verlauf der Unterhaltung wider.

Schritt 4 – Die Forderung stellen

Sobald Angreifer Sie in- und auswendig kennen — Ihren Tonfall, die Namen und Titel Ihrer Kollegen und was in Ihrem Unternehmen vor sich geht — und sie sich erfolgreich Zugang zu Ihrer E-Mail verschafft haben, wird die Anfrage gesendet.

Meist geht es um etwas, das sich nicht einfach rückgängig machen lässt. Es kann darum gehen, Geld auf ein Bankkonto zu überweisen oder private Informationen weiterzugeben. Entscheidend ist, dass es unumkehrbar sein muss. 

Sobald das Ziel merkt, dass etwas nicht stimmt, muss der Schaden für den Angreifer bereits angerichtet sein. Wenn sie besonders raffiniert sind, senden sie die Nachricht vielleicht sogar während einer Festtagszeit, wenn alle weniger aufmerksam sind und die Erfolgschancen höher stehen.

Schritt 5 – Spurlos verschwinden

Nachdem die Gelder gesendet wurden, werden sie schnell über eine Reihe von Zwischenkonten weitergeleitet. Diese befinden sich in der Regel im Ausland, wodurch die Geldspur selbst für Strafverfolgungsbehörden sehr schwer nachzuverfolgen ist.

Beispiel für Business Email Compromise

Business Email Compromise ist der Endgegner unter den digitalen Angriffen. Dabei geht es meist um große Unternehmen und schwindelerregende Geldsummen.

Toyota Boshoku ($37M)

2019 verlor einer der wichtigsten Zulieferer von Toyota bei einer einzigen Überweisung Dutzende Millionen. Der Angreifer drang in das E-Mail-System von Toyota Boshoku ein. Er las Nachrichten und lernte, wie das Unternehmen kommunizierte. Als in einer Unterhaltung eine große Geldüberweisung zur Sprache kam, bat er jemanden im Unternehmen mit der Befugnis, Geld zu bewegen, die Bankverbindung für die Überweisung zu aktualisieren. Es sah legitim aus, und das Geld wurde gesendet. 

Einfach so, 37 Millionen Dollar weg.

Google und Facebook ($120M)

Zwischen 2013 und 2015 wurden Google und Facebook von dem ultimativen Betrug mit einem gefälschten Lieferanten getroffen. Ein Krimineller registrierte ein Scheinunternehmen unter genau dem Namen eines legitimen Hardwareherstellers, den beide Unternehmen nutzten. Er fälschte Verträge und schickte routinemäßig wirkende Rechnungen direkt an ihre Buchhaltungsabteilungen. Da der Lieferant bereits geprüft war und Vertrauen genoss, wurden die Zahlungen ohne weiteres Nachdenken freigegeben. Über zwei Jahre hinweg flossen mehr als 120 Millionen Dollar direkt auf die Bankkonten des Betrügers.

Ubiquiti Networks ($46.7M)

2015 wurde der Netzwerkriese Ubiquiti Opfer eines ähnlichen Betrugs. Der Angreifer machte sich nicht die Mühe, ein Scheinunternehmen aufzubauen oder Drittanbieter zu hacken. Stattdessen brach er ein, gab sich als führende Unternehmensleitung aus und schickte dringende Überweisungsanfragen direkt an die interne Finanzabteilung. Allein im Vertrauen auf die Autorität des Namens der gefälschten Führungskraft befolgte der Mitarbeiter die Anweisungen und überwies die Gelder ins Ausland. Als schließlich jemand innehielt, um alles noch einmal zu prüfen, waren bereits 46,7 Millionen Dollar gesendet worden.

Arten von Business-Email-Compromise-Angriffen

Nicht alle Beispiele für Business Email Compromise sehen gleich aus. Natürlich ist das Ziel immer, Menschen dazu zu bringen, so viel Geld wie möglich herauszugeben, aber die Vorgehensweise kann sehr unterschiedlich sein.

CEO-Betrug (Imitation von Führungskräften)

Dies ist die bekannteste Form von BEC. Ein Angreifer gibt sich als hochrangige Führungskraft aus, meist als CEO oder CFO, und setzt jemanden im Finanzbereich unter Druck, Geld zu bewegen. Das funktioniert wegen des Machtgefälles. Wenn der Chef etwas will, halten die meisten Menschen nicht inne, um nach dem Warum zu fragen. Wenn das dann noch mit einer glaubwürdigen Hintergrundgeschichte kombiniert wird, reicht das aus, um jemanden zum Handeln zu bringen, ohne zweimal nachzudenken.

Kompromittierung von Lieferanten-E-Mails

Angreifer zielen auf Beziehungen außerhalb des Unternehmens ab, anstatt vorzugeben, jemand innerhalb des Unternehmens zu sein. Sie nehmen vertrauenswürdige Lieferanten und Anbieter ins Visier, klinken sich in bestehende E-Mail-Unterhaltungen ein und tauschen echte Zahlungsdaten gegen ihre eigenen aus. Aus Sicht des Opfers sieht es wie eine routinemäßige Aktualisierung einer Rechnung von einem Lieferanten aus, mit dem es seit Jahren zusammenarbeitet.

Kontoübernahme

Dies ist die gefährlichste Variante, weil kein Spoofing im Spiel ist. Der Angreifer verwendet das echte Konto. Die E-Mail kommt von einer echten Adresse und verwendet den richtigen Ton. Die Nachricht sieht völlig normal aus, weil sie es technisch gesehen auch ist.

Umleitung von Gehaltszahlungen

Hier geht es nicht um das Geld des Unternehmens. Stattdessen zielt der Angriff auf die Mitarbeiter ab. Angreifer geben sich als HR oder als Mitarbeiter aus und fordern eine Aktualisierung der Gehaltsabrechnung an, wobei sie still und leise ein Gehalt auf ein von ihnen kontrolliertes Konto umleiten. 

Das Opfer merkt es erst am Zahltag, und weil die Beträge kleiner sind und die Anfrage normal aussieht, wird selten ein Betrugsalarm ausgelöst. Es ist eine langsamere Version von BEC, aber wenn genug Mitarbeiter betroffen sind, summiert es sich schnell.

BEC vs. Phishing – Was ist der Unterschied?

Phishing-E-Mails gibt es schon seit langer Zeit, und die meisten Menschen wissen, wie so etwas aussieht. Das ist die Art von Nachricht, die Ihnen erzählt, dass Sie einen Preis gewonnen haben oder dass ein nigerianischer Prinz Ihre Hilfe braucht. Sie werden massenhaft versendet und setzen auf schiere Menge, um jemanden unvorbereitet zu erwischen.

Wo Phishing ein Netz ist, ist BEC ein Scharfschütze. Angreifer verbringen Wochen damit, ein Unternehmen zu recherchieren, manchmal sogar eine ganz bestimmte Person. Wenn die E-Mail schließlich ankommt, sieht sie aus wie eine Nachricht an einem Dienstagmorgen von jemandem, den Sie kennen.

Beim Phishing geht es in der Regel um Ihre Anmeldedaten, aber BEC überspringt diesen Schritt vollständig und zielt direkt auf das Geld oder die Daten ab.

So erkennen Sie einen Business-Email-Compromise-Angriff

BEC-Angriffe sind darauf ausgelegt, normal auszusehen. Aber wenn Sie wissen, worauf Sie achten müssen, sind die Anzeichen da.

• Der Zeitdruck— Eine E-Mail, die Sie dazu drängt, schnell Geld zu bewegen, ohne Raum, innezuhalten und zu prüfen.

• Die plötzliche Änderung — Ein Lieferant oder Kollege hat plötzlich und ohne Vorwarnung seine Zahlungsinformationen aktualisiert.

• Die fast richtige Adresse — Die E-Mail des Absenders unterscheidet sich nur um ein einziges Zeichen vom Original.

• Der Ton, der einfach nicht passt— Etwas wirkt seltsam, zu formell, zu locker oder merkwürdig geheimniskrämerisch.

• Die Anfrage aus dem Nichts — Sie werden gebeten, etwas zu tun, das normalerweise über einen anderen Kanal laufen würde.
  

So verhindern Sie einen Business-Email-Compromise-Angriff

Zu wissen, wie diese Angriffe funktionieren, ist die halbe Miete. Die andere Hälfte besteht darin, sicherzustellen, dass Ihr Unternehmen kein leichtes Ziel ist.

Greifen Sie zum Telefon

Wenn Sie in einer E-Mail aufgefordert werden, Geld zu überweisen oder Zahlungsdaten zu aktualisieren, antworten Sie nicht darauf. Rufen Sie die Person direkt unter einer Nummer an, die Sie bereits haben, nicht unter der aus der E-Mail. Das dauert dreißig Sekunden und ist die wirksamste einzelne Maßnahme, die Sie ergreifen können.

Aktivieren Sie die Zwei-Faktor-Authentifizierung

Wenn ein Angreifer an die Anmeldedaten einer Person gelangt, kann 2FA eine vollständige Übernahme des Postfachs verhindern. Es wird nicht alles stoppen, aber es macht eine Kontokompromittierung deutlich schwieriger.

Bringen Sie Ihrem Team bei, woran man das Richtige erkennt

Regelmäßige Schulungen darüber, was BEC ist, wie es funktioniert und wie die Warnsignale aussehen, können Ihre Mitarbeiter zu einer Verteidigungslinie machen.

Lassen Sie Ihre Tools einen Teil der schweren Arbeit übernehmen

Spamfilter und Domain-Authentifizierungstools wie SPF, DKIM und DMARC können BEC-Versuche herausfiltern, bevor sie Ihr Team erreichen. KI-basierte Erkennung geht noch einen Schritt weiter. Sie lernt, wie normales E-Mail-Verhalten innerhalb Ihrer Organisation aussieht, und markiert alles Verdächtige.