Business Email Compromise gehört zu den teuersten Cyberbedrohungen für Unternehmen weltweit. Allein dem Internet Crime Complaint Center des FBI wurden 2024 BEC-Schäden von rund 2,77 Milliarden US-Dollar gemeldet, verteilt auf 21.442 Fälle (FBI IC3 Internet Crime Report 2024). Damit ist BEC nach Investitionsbetrug die zweitteuerste Schadenskategorie. In Deutschland beziffert die Bitkom-Wirtschaftsschutzstudie 2025 den jährlichen Gesamtschaden durch Cyberangriffe auf 202,4 Milliarden Euro. BEC trifft Konzerne und Mittelstand gleichermaßen, kommt ohne Schadsoftware aus und unterläuft klassische Filter. Wir erklären die fünf BEC-Typen, den typischen Angriffsablauf und die Schutzmaßnahmen, die wirklich greifen.
Key Takeaways: Business Email Compromise 2026
- BEC verursachte 2024 rund 2,77 Milliarden US-Dollar gemeldete Schäden beim FBI IC3 und liegt damit auf Platz zwei der teuersten Schadenskategorien.
- 63 Prozent der Organisationen waren 2024 von mindestens einem BEC-Versuch betroffen (AFP Fraud and Control Survey 2025).
- Das FBI unterscheidet fünf BEC-Typen, darunter CEO Fraud, Rechnungs- und Lieferantenbetrug sowie die Übernahme echter E-Mail-Konten.
- BEC kommt in der Regel ohne Malware und ohne schädliche Links aus und umgeht dadurch signaturbasierte Schutzsysteme.
- Zwischen 80 und 95 Prozent aller Angriffe auf Unternehmen beginnen per E-Mail.
- Künstliche Intelligenz senkt die Einstiegshürde, Voice-Cloning und Deepfake-Videocalls heben BEC auf eine neue Eskalationsstufe.
- Wirksamer Schutz kombiniert technische Maßnahmen wie SPF, DKIM und DMARC mit organisatorischen Freigabeprozessen und Awareness.
Was ist Business Email Compromise
Business Email Compromise, kurz BEC, ist eine gezielte Form des E-Mail-Betrugs. Angreifer geben sich als vertrauenswürdige Führungskraft, Kollegin oder Lieferant aus und verleiten Mitarbeitende zu Überweisungen oder zur Herausgabe sensibler Daten. Anders als breit gestreutes Massen-Phishing zielt BEC auf einzelne Personen mit Zahlungsbefugnis.
Technisch zählt BEC zur Familie des Spear Phishing, also dem gezielten Angriff auf wenige, sorgfältig recherchierte Empfänger. Die Abgrenzung zum klassischen Phishing behandelt unser Phishing-Leitfaden ausführlich. Eng verwandt ist der Email Account Compromise, bei dem Angreifer ein echtes Postfach übernehmen. Diese Kontoübernahme ist häufig die Vorstufe eines BEC-Angriffs, weil eine Nachricht aus einem legitimen Konto kaum von echter Korrespondenz zu unterscheiden ist.
Die fünf BEC-Typen im Überblick
Das FBI unterscheidet fünf wiederkehrende Ausprägungen. Sie unterscheiden sich im Vorwand und im Ziel, folgen aber demselben Muster aus Identitätstäuschung und Social Engineering.
| BEC-Typ | Vorgehen | Typisches Ziel | Typische Formulierung |
|---|---|---|---|
| CEO Fraud | Angreifer geben sich als Geschäftsführung oder Vorstand aus und drängen auf eine eilige Überweisung. | Buchhaltung, Finanzabteilung | „Bitte überweisen Sie noch heute 48.000 Euro, streng vertraulich." |
| Rechnungs- und Lieferantenbetrug | Manipulierte Rechnungen mit geänderten Bankdaten, oft über ein gekapertes Lieferantenkonto. | Kreditorenbuchhaltung | „Unsere Bankverbindung hat sich geändert, neue IBAN anbei." |
| Kontoübernahme | Ein echtes Mitarbeiterkonto wird kompromittiert und für Betrug aus dem Haus heraus genutzt. | Interne und externe Kontakte | „Anbei die finale Rechnung, bitte zeitnah begleichen." |
| Anwalts-Imitation | Angreifer treten als Rechtsbeistand auf und fordern unter Verweis auf Vertraulichkeit schnelle Zahlungen. | Mitarbeitende ohne Rückfragemöglichkeit | „Wir begleiten eine vertrauliche Akquisition, Diskretion ist Pflicht." |
| Datendiebstahl | Statt Geld werden Personaldaten, Steuerunterlagen oder Zugangsdaten abgegriffen. | Personal- und HR-Abteilung | „Senden Sie mir bitte die Lohnabrechnungen aller Mitarbeitenden." |
Die mit Abstand bekannteste Variante ist der Geschäftsführerbetrug, den wir in unserem CEO Fraud-Beitrag mit realen Fällen und konkreten Schutzprozessen vertiefen.
So läuft ein BEC-Angriff ab
Ein BEC-Angriff ist selten ein spontaner Versuch, sondern eine vorbereitete Operation. Vier Phasen lassen sich klar trennen.
- Recherche Die Täter sammeln Informationen aus Handelsregister, Unternehmenswebseite und sozialen Netzwerken. Sie identifizieren Zahlungsbefugte, Hierarchien und laufende Projekte.
- Identitätsaufbau Per E-Mail-Spoofing, über eine täuschend ähnliche Lookalike-Domain oder über ein zuvor übernommenes Postfach bauen die Angreifer eine glaubwürdige Absenderidentität auf.
- Täuschung Die eigentliche Nachricht erzeugt Autorität, Dringlichkeit und Geheimhaltung. Der Empfänger soll schnell und ohne Rücksprache handeln.
- Auszahlung Das Geld fließt auf ein Empfängerkonto und wird von dort umgehend weitertransferiert, häufig ins Ausland, bevor der Betrug auffällt.
Wird ein echtes Postfach übernommen, bleibt der Schaden oft nicht auf eine Überweisung beschränkt. Ein kompromittiertes Konto dient Angreifern als Ausgangspunkt für Lateral Movement im Netzwerk und im schlimmsten Fall als Türöffner für Ransomware.
Business Email Compromise in Zahlen
Die Schadensdimension ist seit Jahren konstant hoch. Das FBI IC3 verzeichnete 2024 BEC-Schäden von 2,77 Milliarden US-Dollar bei 21.442 gemeldeten Fällen. Zwischen 2022 und 2024 summierten sich die gemeldeten BEC-Verluste auf rund 8,5 Milliarden US-Dollar. Cyber-gestützter Betrug machte 2024 etwa 83 Prozent aller dem IC3 gemeldeten Verluste aus.
Höchste Schadenskategorien beim FBI IC3 2024 (in Mrd. US-Dollar)
Wie verbreitet Business Email Compromise ist
Eine Erhebung der Association for Financial Professionals zeigt, wie verbreitet die Bedrohung ist. 63 Prozent der befragten Organisationen erlebten 2024 mindestens einen BEC-Versuch. In Deutschland verortet die Bitkom-Wirtschaftsschutzstudie 2025 den Gesamtschaden durch Cyberangriffe bei 202,4 Milliarden Euro und bestätigt, dass der Mensch der häufigste Angriffspunkt bleibt. Den breiteren Kontext dieser Zahlen liefert unsere Analyse zur Cybersicherheit in Deutschland 2026.
Warum BEC technische Filter umgeht
Klassische Schutzsysteme suchen nach schädlichen Anhängen, Links oder bekannten Signaturen. Eine BEC-Nachricht enthält nichts davon. Sie besteht aus reinem Text und einer plausibel klingenden Bitte, getragen von Social Engineering statt von Schadcode. Genau deshalb passieren diese Mails viele Gateways unbehelligt.
Hinzu kommt eine technische Schwäche des E-Mail-Protokolls. SMTP prüft die Absenderadresse nicht von sich aus. Ohne korrekt konfigurierte Authentifizierung lassen sich Absender fälschen oder über Lookalike-Domains imitieren. Aus janet.brown@firma.de wird dann janet.brown@flrma.de, ein Unterschied, den im Tagesgeschäft kaum jemand bemerkt.
Wie künstliche Intelligenz BEC verschärft
Generative KI senkt die Einstiegshürde für Angreifer deutlich. Fehlerfreie, im Tonfall passende Geschäftsmails entstehen in Sekunden, auch in flüssigem Deutsch. Sprachbarrieren und holprige Formulierungen, lange ein verlässliches Warnsignal, verschwinden.
Die nächste Eskalationsstufe ist die Stimme und das Bild. Mit wenigen Sekunden Audiomaterial lässt sich eine Stimme überzeugend klonen, und in manipulierten Videocalls treten ganze gefälschte Führungsrunden auf. Wie diese Deepfake-Variante in der Praxis funktioniert und welche Verifikationsprozesse dagegen helfen, behandeln wir in unserem CEO Fraud-Beitrag.
BEC erkennen, die wichtigsten Warnsignale
Kein einzelnes Merkmal ist ein sicherer Beweis, aber die Häufung mehrerer Signale sollte jede Zahlung stoppen.
- Zeitdruck Die Anfrage ist angeblich extrem dringend und duldet keinen Aufschub.
- Geheimhaltung Der Empfänger soll mit niemandem darüber sprechen und keine Rückfrage stellen.
- Geänderte Bankdaten Eine bekannte Zahlung soll plötzlich auf ein neues Konto gehen.
- Abweichende Absenderdomain Die Adresse ähnelt dem Original, weicht aber in einem Zeichen ab.
- Kanalwechsel Die Kommunikation verlagert sich auf private Kanäle wie WhatsApp oder eine private Mobilnummer.
- Ungewöhnliche Bitte Eine Führungskraft fragt nach Daten oder Transaktionen, die außerhalb ihrer üblichen Routine liegen.
Schutzmaßnahmen gegen BEC
BEC ist ein Mischproblem aus Technik und Mensch und braucht entsprechend einen mehrschichtigen Schutz.
Technische Maßnahmen
Die E-Mail-Authentifizierung über SPF, DKIM und DMARC verhindert, dass die eigene Domain für gefälschte Absender missbraucht wird. Die zentrale Verwaltung dieser Richtlinien übernimmt der Sophos DMARC Manager. Eine moderne E-Mail-Security-Lösung wie Sophos Email analysiert zusätzlich Kommunikationsmuster und fängt verdächtige Nachrichten ab. Mehrfaktor-Authentifizierung erschwert die Kontoübernahme, und eine sichtbare Kennzeichnung externer Mails entlarvt Imitationsversuche. Die Grundlagen dazu fasst unser Leitfaden zur E-Mail-Sicherheit zusammen.
Organisatorische Maßnahmen
Kein einzelner Anruf, keine einzelne Mail darf eine relevante Zahlung auslösen. Ein verbindliches Vier-Augen-Prinzip ab einem festen Schwellenwert, eine Rückruf-Verifikation über eine hinterlegte Nummer und klare Freigabegrenzen nehmen der Masche die Grundlage. Geänderte Bankdaten werden grundsätzlich über einen zweiten, bekannten Kanal bestätigt.
Awareness
Die letzte Verteidigungslinie sind geschulte Mitarbeitende. Regelmäßige Security Awareness Schulungen und simulierte Angriffe über Sophos Phish Threat machen Warnsignale im Arbeitsalltag erkennbar. Wer die Mechanik einmal verstanden hat, hinterfragt eine ungewöhnliche Eilüberweisung von selbst.
Fazit: Business Email Compromise ist kein Nischenrisiko
Business Email Compromise ist kein technisches Nischenrisiko, sondern eine der teuersten Bedrohungen für Unternehmen jeder Größe. Die Angriffe kommen ohne Schadcode aus und zielen auf Vertrauen und Routine. Mit KI werden sie schneller, sauberer und überzeugender. Wirksam ist nur die Kombination aus technischer Authentifizierung, klaren Zahlungsprozessen und geschulten Mitarbeitenden. Wer alle drei Ebenen abdeckt, macht aus dem häufigsten Einfallstor die erste Verteidigungslinie.
live_help FAQ zu Business Email Compromise arrow_drop_down
FAQ zu Business Email Compromise
Was ist Business Email Compromise?
Business Email Compromise ist eine gezielte Form des E-Mail-Betrugs. Angreifer geben sich als vertrauenswürdige Führungskraft, Kollegin oder Lieferant aus und verleiten Mitarbeitende zu Überweisungen oder zur Herausgabe sensibler Daten. Der Angriff kommt meist ohne Schadsoftware aus.
Was ist der Unterschied zwischen BEC und Phishing?
Klassisches Phishing setzt auf breit gestreute Massen-E-Mails. BEC ist eine eng zugeschnittene Variante des Spear Phishing und richtet sich gezielt an einzelne Personen mit Zahlungsbefugnis. Dadurch ist BEC schwerer zu erkennen und im Schadensfall deutlich teurer.
Welche BEC-Typen gibt es?
Das FBI nennt fünf Haupttypen. Dazu zählen CEO Fraud, Rechnungs- und Lieferantenbetrug, die Übernahme echter E-Mail-Konten, die Imitation von Anwälten sowie der gezielte Diebstahl von Personal- und Steuerdaten.
Wie schützt man sich vor Business Email Compromise?
Wirksam ist eine Kombination aus Technik und Organisation. Dazu gehören SPF, DKIM und DMARC gegen gefälschte Absender, eine moderne E-Mail-Security-Lösung, das Vier-Augen-Prinzip bei Zahlungen, die Rückruf-Verifikation über einen zweiten Kanal sowie regelmäßige Awareness-Schulungen.
Ist Business Email Compromise strafbar?
Ja. In Deutschland erfüllt BEC je nach Tatablauf den Straftatbestand des Betrugs nach Paragraf 263 StGB, häufig in Kombination mit Computerbetrug und Fälschungsdelikten. Betroffene Unternehmen sollten jeden Vorfall bei der Polizei anzeigen.
