# BEC-Angriffe: Anatomie der Business-Email-Compromise-Bedrohung, die zu Millionenschäden führt

An einem Montagmorgen traf der Finanzleiter eines in Istanbul ansässigen Außenhandelsunternehmens bei seiner Ankunft im Büro auf eine dringende E-Mail von seinem CEO. In der Nachricht wurde um die sofortige Überweisung von 250.000 Euro für eine vertrauliche Akquisitionstransaktion gebeten. Die E-Mail-Adresse war korrekt, der Schreibstil vertraut, und aufgrund der Sensibilität des Themas wurde schriftliche Kommunikation statt eines Telefongesprächs bevorzugt. Der Finanzleiter genehmigte die Überweisung ohne jeden Verdacht. Zwei Tage später, als er in einer Besprechung mit dem echten CEO erfuhr, dass niemals eine solche Anweisung erteilt worden war, war es bereits zu spät. Das Unternehmen war Opfer eines Business Email Compromise (BEC)-Angriffs geworden.

Diese wahre Geschichte ist leider nur ein Beispiel für ein Szenario, das sich täglich in der globalen Geschäftswelt wiederholt. Laut Daten des Internet Crime Complaint Center (IC3) des FBI haben BEC-Angriffe zwischen 2013 und 2022 weltweit Schäden von über 43 Milliarden Dollar verursacht. Allein im Jahr 2022 belief sich diese Zahl auf 2,7 Milliarden Dollar. Diese Statistiken zeigen deutlich, warum BEC als eine der ernsthaftesten Bedrohungen der modernen Cybersicherheit gilt.

Was ist BEC (Business Email Compromise)?

BEC, auf Deutsch Kompromittierung geschäftlicher E-Mails, ist eine hochentwickelte Form von Cyberangriffen, bei der Cyberkriminelle durch Social-Engineering-Techniken Unternehmens-E-Mail-Konten übernehmen oder imitieren, um finanzielle Gewinne zu erzielen. Im Gegensatz zu traditionellen Phishing-Angriffen sind BEC-Angriffe zielgerichtet, personalisiert und erfordern umfangreiche Recherchen.

Angreifer führen detaillierte Aufklärungsarbeiten durch, um ihre Opfer zu täuschen, lernen die interne Hierarchie des Unternehmens kennen, untersuchen Geschäftsprozesse und warten auf den optimalen Zeitpunkt. Aufgrund dieser Eigenschaften wird BEC als eine raffiniertere und gefährlichere Version von Spear Phishing (gezieltes Phishing) betrachtet. Diese Angriffe, die menschliche Psychologie und organisatorische Vertrauensmechanismen statt technischer Schwachstellen ausnutzen, werden von den meisten Sicherheitssoftwarelösungen nicht erkannt.

Warnung vor Business-Email-Angriff

Hauptmerkmale von BEC-Angriffen

• Social-Engineering-orientiert: Zielt auf menschliche Psychologie und Vertrauensbeziehungen statt auf technische Schwachstellen ab
• Zielgerichtet und recherchefokussiert: Angreifer sammeln wochenlang detaillierte Informationen über Opfer und Organisation
• Hochwertige Ziele: Führungskräfte auf C-Level und Finanzabteilungsmitarbeiter mit Befugnis für Finanztransaktionen sind primäre Ziele
• Vertrauensmissbrauch: Organisatorisches Vertrauen wird durch Nachahmung von Top-Managern, CEOs, CFOs oder vertrauenswürdigen Geschäftspartnern missbraucht
• Dringlichkeit und Vertraulichkeit: Es wird Druck durch Notfallsituationen und Betonung der Vertraulichkeit ausgeübt, um das Opfer zu unüberlegten Handlungen zu zwingen
• Niedrige Erkennungsrate: Da es sich um malwarefreie, legitim erscheinende E-Mails handelt, werden sie von traditionellen Sicherheitslösungen selten erkannt

Wie funktionieren BEC-Angriffe? Schritt-für-Schritt-Anatomie

BEC-Angriffe werden in der Regel nach einem langwierigen, mehrstufigen Planungsprozess durchgeführt. Für eine erfolgreiche BEC-Operation folgen Angreifer einem systematischen Ansatz:

1. Aufklärungs- und Informationssammlungsphase

Cyberkriminelle führen umfangreiche OSINT-Recherchen (Open Source Intelligence) über das Zielunternehmen und dessen Mitarbeiter durch. Sie analysieren LinkedIn-Profile, extrahieren Organigramme von Unternehmenswebsites, durchsuchen Social-Media-Konten und erfahren sogar aus den sozialen Beiträgen von Mitarbeitern deren Urlaubszeiten. Sie analysieren detailliert, wer die Führungskräfte sind, mit wem sie zusammenarbeiten, mit welchen Lieferanten sie Geschäfte machen und welchen Kommunikationsstil sie pflegen.

2. Zugang und Kontrollgewinnung

Mit den gesammelten Informationen können Angreifer mit drei verschiedenen Techniken vorgehen:

• E-Mail-Kontoübernahme: Durch Credential Phishing (Identitätsdiebstahl), Keylogger oder Passwort-Cracking wird vollständiger Zugriff auf ein echtes Führungskräftekonto erlangt
• E-Mail-Spoofing (Fälschung): Es wird eine gefälschte Adresse erstellt, die typografisch der echten E-Mail-Adresse sehr ähnlich ist (z.B.: [email protected] statt [email protected] oder [email protected])
• Domain-Nachahmung: Es wird eine der Unternehmensdomäne ähnliche Domain registriert und eine professionell aussehende E-Mail-Infrastruktur aufgebaut

3. Beziehungsaufbau und Vertrauensbildung

Der Angreifer fordert nicht sofort Geld. Zunächst wird durch normale Geschäftskorrespondenz Vertrauen aufgebaut, der Verdacht des Opfers verringert und eine legitime Kommunikationshistorie geschaffen. In einigen Fällen wird die Erkennung durch Einbindung in echte E-Mail-Threads erschwert.

4. Manipulation und Überzeugung

Nach Vertrauensaufbau kommt eine kritische Anforderung mit Betonung auf Dringlichkeit und Vertraulichkeit. Meist handelt es sich um finanzbezogene Anfragen wie Geldtransfers, Rechnungszahlungen, Aktualisierung von Bankkontodaten oder Weitergabe sensibler Informationen. Die Nachrichten sind professionell vorbereitet, personalisiert, um Verdacht zu vermeiden, und mit Begründungen wie "Telefongespräche sind nicht möglich" unterstützt.

5. Ausführung des Angriffs und Spurenbeseitigung

Sobald das Opfer die Anweisungen befolgt, verteilen die Angreifer das Geld schnell auf verschiedene Konten und verwischen ihre Spuren. Wenn der Betrug nach einigen Tagen durch echte Kommunikation aufgedeckt wird, ist es meist nahezu unmöglich, das Geld zurückzuverfolgen.

Echter Fall 1: 250.000-Euro-CEO-Betrug in Istanbul

Dieser echte Fall aus dem Herbst 2019 zeigt auf schmerzhafte Weise die Auswirkungen von BEC-Angriffen in der Türkei. Der Finanzleiter eines mittelständischen, international tätigen Außenhandelsunternehmens mit Sitz in Istanbul traf an einem Montagmorgen bei seiner Ankunft im Büro auf eine dringende E-Mail vom CEO.

In der E-Mail wurde um die sofortige Überweisung von 250.000 Euro auf ein angegebenes Konto für eine "vertrauliche Akquisitionstransaktion" gebeten. Die Nachricht enthielt folgende Aussagen:

"Ich bin früh am Morgen in einem wichtigen Meeting und werde telefonisch nicht erreichbar sein. Für die vertrauliche Akquisitionstransaktion, an der wir arbeiten, ist die Zahlung bis heute Abend von kritischer Bedeutung. Bitte überweisen Sie 250.000 Euro auf das unten angegebene Konto. Nur Sie und ich wissen derzeit von dieser Angelegenheit, teilen Sie sie mit niemandem sonst."

Für den Finanzleiter schien alles normal: Die E-Mail-Adresse gehörte dem CEO, d