Business Email Compromise (BEC) / CEO-Betrug

Was ist diese Bedrohung?

Business Email Compromise (BEC) ist ein ausgeklügelter Betrug, der Unternehmen ins Visier nimmt, die regelmäßig Überweisungen durchführen. Angreifer kompromittieren entweder das echte E-Mail-Konto eines Managers oder fälschen es überzeugend und weisen dann Mitarbeitende in Finanz- oder HR-Abteilungen an, Geld auf betrügerische Konten zu überweisen — alles unter dem Deckmantel eines dringenden, vertraulichen Geschäftsbedarfs.

Der FBI-IC3-Bericht 2023 stufte BEC als Cyberkriminalität Nr. 1 nach Gesamtfinanzverlust ein — 2,9 Milliarden Dollar wurden weltweit von Unternehmen gestohlen. In Europa bezeichnet ENISA BEC als erstrangige Bedrohung für Unternehmen aller Größen.

So funktioniert es

Variante 1 — CEO-Überweisungsbetrug:

Angreifer recherchieren das Unternehmen auf LinkedIn und seiner Website: Wer ist CEO, wer verwaltet Finanzen, welche Projekte laufen.

Sie senden eine E-Mail, die scheinbar vom CEO stammt (gefälschte Adresse oder kompromittiertes Postfach), an den CFO oder Finanzmanager: „Ich brauche Sie, um heute eine vertrauliche Überweisung von 85.000 € abzuwickeln, um einen Deal abzuschließen. Bitte sprechen Sie mit niemandem darüber — ich erkläre es danach. Bitte bestätigen Sie, wenn erledigt."

Dringlichkeit und Geheimhaltung verhindern, dass der Mitarbeitende überprüft. Bis der Betrug entdeckt wird, ist das Geld abgehoben.

Variante 2 — Gefälschter Rechnungsbetrug:

Angreifer kompromittieren die E-Mail eines Lieferanten, warten auf einen laufenden Rechnungsaustausch und senden dann aktualisierte Bankdaten für eine legitime ausstehende Rechnung. Das Unternehmen zahlt den korrekten Rechnungsbetrag — aber auf das Konto der Angreifer.

Variante 3 — Gehaltsumleitung:

HR erhält eine überzeugende E-Mail von einem scheinbaren Mitarbeitenden, der um Aktualisierung seiner Bankverbindung für die Gehaltsüberweisung bittet. Die nächste Gehaltszahlung geht an den Angreifer.

2024–2026 — Deepfake-Video & -Audio:

Anfang 2024 wurde ein Finanzangestellter in Hongkong dazu gebracht, 25 Millionen Dollar zu überweisen, nachdem er an einem Videoanruf mit Deepfake-Versionen seines CFO und seiner Kollegen teilgenommen hatte.

Echte Beispiele

FACC AG (Österreich, 2016): Der Luft- und Raumfahrtzulieferer verlor 50 Millionen Euro bei einem BEC-Angriff, der den CEO imitierte — einer der größten bekannten BEC-Verluste in Europa.

Toyota Boshoku (2019): Ein BEC-Angriff über eine gefälschte Partner-E-Mail verursachte einen Überweisungsbetrug von 37 Millionen Dollar.

Hongkonger Konzern (2024): 25 Millionen Dollar überwiesen nach einem Deepfake-Videoanruf, der den CFO imitierte.

Das Bundeskriminalamt (BKA) meldet jährliche CEO-Fraud-Verluste von zig Millionen Euro im deutschsprachigen Raum.

Warnsignale

Eine Manager-E-Mail, die dringende, vertrauliche Überweisungen fordert — insbesondere außerhalb normaler Genehmigungsverfahren.

Anfragen zur Änderung von Lieferanten- oder Mitarbeiterbankdaten ausschließlich per E-Mail.

„Erzählen Sie niemandem davon" oder zeitlicher Druck kombiniert mit einer Finanzbitte.

Geringe Unterschiede in der Absender-E-Mail-Domain (z. B. firmenname.net statt firmenname.com).

Ein bekannter Kontakt schreibt plötzlich in anderem Stil oder zu ungewöhnlicher Zeit.