Business E-Mail Compromise (BEC): Checkliste zur Vorbeugung für kleine Unternehmen
Bei Business E-Mail Compromise (BEC) kapert oder imitiert ein Krimineller ein echtes E-Mail-Konto – eines Lieferanten, eines Kunden oder Ihrer eigenen Vorgesetzten – und fordert damit eine Zahlung oder eine Änderung der Bankdaten. Das IC3 des FBI zählte zwischen Oktober 2013 und Dezember 2023 weltweit 305.033 Vorfälle und rund 55,5 Milliarden US-Dollar an gemeldeten Schadenssummen, und allein 2025 rund 3,05 Milliarden US-Dollar gemeldete BEC-Verluste.
So läuft ein typischer BEC-Angriff ab
Kontoübernahme: Das Postfach eines Lieferanten oder Kollegen wird per Phishing kompromittiert, und der Täter antwortet in einem echten E-Mail-Verlauf.
Spoofing oder ähnliche Domains: Die E-Mail scheint von einer bekannten Adresse zu kommen oder von einer fast identischen Domain (ein Buchstabe mehr, andere Endung).
Die Forderung: „Unsere Bankverbindung hat sich geändert“, eine eilige Überweisung für ein Geschäft oder die Bitte um persönliche Daten von Mitarbeitenden.
Warnzeichen
Eine Änderung der Bankdaten, besonders zu einer neuen Bank oder in ein neues Land
Zeitdruck, Geheimhaltung oder „Ich bin im Meeting, erledige das einfach“
Eine Antwortadresse, die vom Absender abweicht, oder eine Domain mit einem abweichenden Zeichen
Eine Anfrage, die Ihre üblichen Freigabeschritte umgeht
Checkliste zur Vorbeugung
Bestätigen Sie jede Bankdatenänderung über einen anderen Kanal. Das FBI empfiehlt, Änderungen von Kontoinformationen über zweite Kanäle zu prüfen: Rufen Sie eine Nummer aus Ihren eigenen Unterlagen an, nie die aus der E-Mail.
Verlangen Sie ein Vier-Augen-Prinzip für neue Zahlungsempfänger und Zahlungen über einem festgelegten Betrag.
Aktivieren Sie Multi-Faktor-Authentifizierung für jedes E-Mail-Konto und verwenden Sie einzigartige Passwörter.
Richten Sie E-Mail-Authentifizierung (SPF, DKIM und DMARC) für Ihre Domain ein, damit Kriminelle Sie schwerer imitieren können. Die FTC erklärt das in ihren Cybersicherheitshinweisen für kleine Unternehmen.
Lassen Sie vollständige Absenderadressen anzeigen – auf Rechnern und Handys der Mitarbeitenden – und prüfen Sie sie Zeichen für Zeichen.
Achten Sie auf Weiterleitungsregeln, die Sie nicht angelegt haben; Angreifer verstecken damit Antworten.
Schulen Sie alle, die Rechnungen bezahlen. Eine kurze, regelmäßige Erinnerung an diese Zeichen ist laut FTC die „beste Verteidigung“.
Haben Sie einen Notfallplan: Rufen Sie Ihre Bank an, um einen Rückruf der Zahlung zu beantragen, und melden Sie den Fall sofort beim IC3 (USA), bei Action Fraud (GB) oder bei der Polizei. Laut FBI zählt jede Minute.
Bevor Sie eine per E-Mail erhaltene Zahlungsaufforderung begleichen, fügen Sie Absenderadresse, Website oder Rechnung in PayOrScam ein. Es prüft Domain-Alter, ähnliche Schreibweisen, Mail-Einträge, das Handelsregister und die Bankdaten – mit einer Quelle für jeden Befund. Danach führen Sie den Bestätigungsanruf.