Was ist Business Email Compromise (BEC)?

Jedes Jahr kommen Kriminelle mit Milliarden davon. Nicht, indem sie in schicke Kunstgalerien oder Banktresore einbrechen, sondern indem sie zur richtigen Zeit die richtige E-Mail an die richtige Person senden. So machen sie es.

In diesem Artikel erfahren Sie:

• Was Business Email Compromise eigentlich ist

• Wie diese Angriffe Schritt für Schritt durchgeführt werden

• Die häufigsten Arten von BEC-Angriffen

• Ein Beispiel aus der Praxis für einen Angriff über 37 Millionen US-Dollar

• So schützen Sie Ihr Unternehmen, bevor es zum Ziel wird

Was ist Business Email Compromise in der Cybersicherheit?

Business Email Compromise ist ein Cyberangriff, bei dem Kriminelle sich als jemand ausgeben, dem Sie vertrauen, um Sie dazu zu bringen, Geld zu senden oder sensible Daten preiszugeben. Gefährlich machen ihn die Geduld und die Planung. Angreifer verbringen Wochen damit zu lernen, wie ein Unternehmen kommuniziert, wer die Entscheidungsbefugnis hat und wann sie zuschlagen müssen. Wenn die E-Mail schließlich ankommt, sieht sie aus wie eine normale E-Mail von jemandem, den Sie kennen.

Wie funktioniert ein Business-Email-Compromise-Angriff?

Für diese Angriffe gibt es ein bewährtes Vorgehensmuster, und Betrüger folgen ihm jedes Mal.

Schritt 1 – Das Ziel finden

Der ganze Sinn hinter einem Business-Email-Compromise-Angriff ist, dass er überzeugend wirken muss. Zum Glück für Angreifer ist das Internet eine Goldgrube an Informationen über potenzielle Ziele. Ein kurzer Blick auf Ihr Social-Media-Profil kann Ihren Job, enge Freunde und sogar Ihren Tonfall verraten. Kombiniert man das mit Pressemitteilungen über künftige Unternehmensschritte und Biografien von Unternehmenswebsites, wirkt es schnell glaubwürdig.

Angreifer können all diese Informationen sammeln und innerhalb von Sekunden eine E-Mail erstellen, die aussieht und klingt wie das echte Original.

Schritt 2 – In den Posteingang gelangen

Damit der Inhalt der E-Mail echt wirkt, müssen Angreifer ihn in ein glänzendes, glaubwürdiges Paket verpacken. Wenn die E-Mail-Adresse nicht wie eine vertrauenswürdige Quelle aussieht, fällt der ganze Betrug in sich zusammen.

Angreifer könnten die Domain fälschen, indem sie einen Namen wie acme-corp.com statt acmecorp.com registrieren. Oder, wenn sie geschickt genug sind, den echten Posteingang hacken, sodass er kaum noch von einer echten Nachricht zu unterscheiden ist.

Wenn es schließlich aussieht wie eine Ente und quakt wie eine Ente, werden die meisten denken, dass es eine Ente ist.

Schritt 3 – Vertrauen aufbauen

Bei diesen Angriffen ist Geduld das A und O. Angreifer können sich wochenlang in einem gehackten Posteingang verstecken, E-Mail-Verläufe lesen und Kommunikationsstile lernen. Wenn die E-Mail schließlich eintrifft, fügt sie sich in frühere Nachrichten ein und spiegelt Ton und Verlauf der Unterhaltung wider.

Schritt 4 – Die Forderung stellen

Sobald Angreifer Sie in- und auswendig kennen — Ihren Tonfall, die Namen und Titel Ihrer Kollegen und was in Ihrem Unternehmen vor sich geht — und sie sich erfolgreich Zugang zu Ihrer E-Mail verschafft haben, wird die Anfrage gesendet.

Meist geht es um etwas, das sich nicht leicht rückgängig machen lässt. Es kann darum gehen, Geld auf ein Bankkonto zu überweisen oder private Informationen weiterzugeben. Entscheidend ist, dass es unumkehrbar sein muss. 

Sobald das Ziel merkt, dass etwas nicht stimmt, muss der Schaden für den Angreifer bereits angerichtet sein. Wenn sie besonders raffiniert sind, senden sie die Nachricht vielleicht sogar während einer Festtagszeit, wenn alle weniger aufmerksam sind und die Erfolgschancen größer sind.

Schritt 5 – Spurlos verschwinden

Nachdem das Geld gesendet wurde, wird es schnell über eine Reihe von Zwischenkonten weitergeleitet. Diese befinden sich meist im Ausland, wodurch die Geldspur selbst für Strafverfolgungsbehörden sehr schwer nachzuverfolgen ist.

Beispiel für Business Email Compromise

Business Email Compromise ist der Endgegner unter den digitalen Angriffen. Meist geht es um große Unternehmen und schwindelerregende Geldsummen. 

2019 verlor einer der wichtigsten Zulieferer von Toyota bei einer einzigen Überweisung mehrere zehn Millionen. Der Angreifer brach in das E-Mail-System von Toyota Boshoku ein. Er las Nachrichten und lernte, wie das Unternehmen kommunizierte. Als in einer Unterhaltung eine große Geldüberweisung zur Sprache kam, bat er jemanden im Unternehmen mit der Befugnis, Geld zu bewegen, die Bankverbindung für die Überweisung zu aktualisieren. Es sah legitim aus, und das Geld wurde gesendet.

Einfach so, 37 Millionen US-Dollar, weg.

Arten von Business-Email-Compromise-Angriffen

Nicht alle Beispiele für Business Email Compromise sehen gleich aus. Natürlich ist das Ziel immer, Menschen dazu zu bringen, so viel Geld wie möglich herauszugeben, aber der Ansatz kann sehr unterschiedlich sein.

CEO-Betrug (Imitation von Führungskräften)

Dies ist die bekannteste Form von BEC. Ein Angreifer gibt sich als hochrangige Führungskraft aus, meist als CEO oder CFO, und setzt jemanden in der Finanzabteilung unter Druck, Geld zu überweisen. Es funktioniert wegen des Machtgefälles. Wenn der Chef etwas will, halten die meisten Menschen nicht an, um nach dem Warum zu fragen. Wenn das dann noch mit einer glaubwürdigen Hintergrundgeschichte kombiniert wird, reicht das aus, um jemanden zum Handeln zu bringen, ohne groß nachzudenken.

Kompromittierung von Lieferanten-E-Mails

Angreifer zielen auf Beziehungen außerhalb des Unternehmens ab, anstatt vorzugeben, jemand innerhalb des Unternehmens zu sein. Sie nehmen vertrauenswürdige Lieferanten und Anbieter ins Visier, klinken sich in bestehende E-Mail-Konversationen ein und tauschen echte Zahlungsdaten gegen ihre eigenen aus. Aus Sicht des Opfers sieht es wie eine routinemäßige Aktualisierung einer Rechnung von einem Lieferanten aus, mit dem es seit Jahren zusammenarbeitet.

Kontenübernahme

Dies ist die gefährlichste Variante, weil kein Spoofing beteiligt ist. Der Angreifer verwendet das echte Konto. Die E-Mail kommt von einer echten Adresse und verwendet den richtigen Ton. Die Nachricht sieht völlig normal aus, weil sie es technisch gesehen auch ist.

Umleitung von Gehaltszahlungen

Hier geht es nicht um das Geld des Unternehmens. Stattdessen zielt der Angriff auf die Mitarbeiter ab. Angreifer geben sich als HR oder als Mitarbeiter aus und fordern eine Aktualisierung der Gehaltsabrechnung an, wobei sie das Gehalt unauffällig auf ein von ihnen kontrolliertes Konto umleiten. 

Das Opfer merkt es erst am Zahltag, und weil die Beträge kleiner sind und die Anfrage normal aussieht, löst sie selten einen Betrugsalarm aus. Es ist eine langsamere Version von BEC, aber wenn genug Mitarbeiter betroffen sind, summiert es sich schnell.

BEC vs. Phishing – Was ist der Unterschied?

Phishing-E-Mails gibt es schon seit langer Zeit, und die meisten Menschen wissen, wie so etwas aussieht. Das ist die Art von Nachricht, die Ihnen erzählt, dass Sie einen Preis gewonnen haben oder dass ein nigerianischer Prinz Ihre Hilfe braucht. Sie werden massenhaft versendet und setzen auf schiere Menge, um jemanden unvorbereitet zu erwischen.

Wo Phishing ein Netz ist, ist BEC ein Scharfschütze. Angreifer verbringen Wochen damit, ein Unternehmen zu recherchieren, manchmal eine ganz bestimmte Person. Wenn die E-Mail schließlich ankommt, sieht sie aus wie eine Nachricht an einem Dienstagmorgen von jemandem, den Sie kennen.

Beim Phishing geht es meist um Ihre Zugangsdaten, aber BEC überspringt diesen Schritt komplett und zielt direkt auf Geld oder Daten ab.

So erkennen Sie einen Business-Email-Compromise-Angriff

BEC-Angriffe sind darauf ausgelegt, normal auszusehen. Aber wenn Sie wissen, worauf Sie achten müssen, sind die Anzeichen da.

• Der Zeitdruck— Eine E-Mail, die Sie dazu drängt, schnell Geld zu überweisen, ohne Raum zum Anhalten und Überprüfen.

• Die plötzliche Änderung — Ein Lieferant oder Kollege hat plötzlich und ohne Vorwarnung seine Zahlungsinformationen aktualisiert.

• Die fast richtige Adresse — Die E-Mail des Absenders unterscheidet sich nur um ein einziges Zeichen vom Original.

• Der Ton, der einfach nicht ganz passt— Etwas wirkt seltsam, zu formell, zu locker oder merkwürdig geheimnisvoll.

• Die Anfrage aus dem Nichts — Sie werden gebeten, etwas zu tun, das normalerweise über einen anderen Kanal laufen würde.

So verhindern Sie einen Business-Email-Compromise-Angriff

Zu wissen, wie diese Angriffe funktionieren, ist die halbe Miete. Die andere Hälfte besteht darin, sicherzustellen, dass Ihr Unternehmen kein leichtes Ziel ist.

Greifen Sie zum Telefon

Wenn Sie in einer E-Mail aufgefordert werden, Geld zu überweisen oder Zahlungsdaten zu aktualisieren, antworten Sie nicht darauf. Rufen Sie die Person direkt unter einer Nummer an, die Sie bereits haben, nicht unter der aus der E-Mail. Das dauert dreißig Sekunden und ist die mit Abstand wirksamste Maßnahme, die Sie ergreifen können.

Aktivieren Sie die Zwei-Faktor-Authentifizierung

Wenn ein Angreifer an die Zugangsdaten einer Person gelangt, kann 2FA eine vollständige Übernahme des Posteingangs verhindern. Es wird nicht alles stoppen, aber es macht eine Kontokompromittierung deutlich schwieriger.

Bringen Sie Ihrem Team bei, wie „gut“ aussieht

Regelmäßige Schulungen darüber, was BEC ist, wie es funktioniert und wie Warnsignale aussehen, können Ihre Mitarbeiter in eine Verteidigungslinie verwandeln.

Lassen Sie Ihre Tools einen Teil der schweren Arbeit übernehmen

Spamfilter und Domain-Authentifizierungstools wie SPF, DKIM, and DMARC können BEC-Versuche herausfiltern, bevor sie Ihr Team erreichen. KI-basierte Erkennung geht noch einen Schritt weiter. Sie lernt, wie normales E-Mail-Verhalten innerhalb Ihrer Organisation aussieht, und markiert alles Verdächtige.