Business E-Mail Compromise: Wenn echte Rechnungen auf falsche Konten führen

Stand: 21. Juli 2026

Eine manipulierte Rechnung muss nicht auffällig aussehen. Sie kann den richtigen Ansprechpartner nennen, zum laufenden Auftrag passen, den korrekten Betrag enthalten und aus einem bereits bekannten E-Mail-Verlauf stammen. Selbst die Signatur, das Logo und die Formulierungen können stimmen.

Geändert wurde möglicherweise nur ein Detail: die Bankverbindung.

Genau darin liegt die Gefahr von Business E-Mail Compromise, kurz BEC. Angreifer nutzen echte oder täuschend echt nachgebildete Geschäftskommunikation, um Zahlungen umzuleiten. Sie versuchen nicht zwingend, das Onlinebanking technisch zu überwinden. Häufig bringen sie einen berechtigten Mitarbeiter dazu, eine Überweisung selbst freizugeben.

Der entscheidende Sicherheitshinweis kommt dann möglicherweise nicht vom Virenscanner, sondern direkt von der Bank: Empfängername und IBAN stimmen nicht überein.

Wer eine solche Warnung ungeprüft wegklickt, setzt eine der letzten unabhängigen Kontrollinstanzen vor der Zahlung außer Kraft.

Eine Abweichung bei der Empfängerüberprüfung ist keine lästige Formalität. Sie ist ein Stoppsignal.

Was bedeutet Business E-Mail Compromise?

Business E-Mail Compromise bezeichnet gezielte Betrugsangriffe, bei denen geschäftliche Kommunikation manipuliert oder imitiert wird. Ziel ist meist, Zahlungen auf ein von den Tätern kontrolliertes Konto umzuleiten.

BEC wird manchmal mit „CEO-Fraud“ gleichgesetzt. Das greift zu kurz. Beim CEO-Fraud geben sich Täter als Geschäftsführer oder Führungskraft aus. Business E-Mail Compromise umfasst darüber hinaus unter anderem:

• manipulierte Lieferantenrechnungen
• angeblich geänderte Bankverbindungen
• Übernahme realer E-Mail-Konten
• gefälschte Zahlungsanweisungen
• Änderungen von Gehaltskonten
• Angriffe auf Steuerberater, Kanzleien, Immobiliengeschäfte oder Projektzahlungen.

Das FBI beschreibt BEC als eine der finanziell schädlichsten Formen der Onlinekriminalität. Beim FBI-Meldeportal IC3 wurden für 2025 insgesamt 24.768 BEC-Beschwerden mit gemeldeten Schäden von rund 3,05 Milliarden US-Dollar erfasst. Damit war BEC nach Anlagebetrug die Schadenskategorie mit dem zweithöchsten gemeldeten Verlust. Diese Zahlen sind keine deutsche BEC-Statistik und erfassen nur gemeldete Fälle. Sie verdeutlichen aber das erhebliche Schadenspotenzial.

Warum BEC so gefährlich ist

Bei gewöhnlichen Phishing-Mails hoffen Täter häufig darauf, dass irgendein Empfänger auf einen Link klickt. BEC-Angriffe sind dagegen oft gezielt vorbereitet.

Die Täter kennen möglicherweise:

• Namen und Funktionen von Mitarbeitern
• Zuständigkeiten in Buchhaltung und Geschäftsleitung
• Lieferanten und Geschäftspartner
• aktuelle Projekte
• typische Rechnungsbeträge
• Abwesenheitszeiten
• verwendete E-Mail-Signaturen
• bestehende Kommunikationsverläufe.

Solche Informationen finden sich in Handelsregistern, Pressemitteilungen, sozialen Netzwerken, auf Unternehmenswebseiten oder in automatisch versendeten Abwesenheitsnotizen. Die Polizeiliche Kriminalprävention weist ausdrücklich darauf hin, dass Täter Unternehmen zunächst ausforschen und anschließend gezielt Mitarbeiter aus Buchhaltung und Rechnungswesen ansprechen. Häufig verwendete Vorwände sind vertrauliche Geschäftsvorgänge oder angeblich geänderte Bankverbindungen.

Noch gefährlicher wird der Angriff, wenn ein echtes E-Mail-Konto übernommen wurde. Dann kann der Angreifer reale Nachrichten lesen, Rechnungszeitpunkte abwarten und direkt aus einem bestehenden Verlauf antworten. Die Nachricht kommt in diesem Fall nicht nur scheinbar, sondern tatsächlich aus dem bekannten Postfach.

Wie läuft ein BEC-Angriff ab?

1. Das Unternehmen wird ausgeforscht

Die Angreifer sammeln öffentlich verfügbare Informationen. Sie suchen nach Personen, die Rechnungen erstellen, Bankdaten verwalten oder Zahlungen freigeben dürfen.

Interessant sind außerdem aktuelle Aufträge, größere Projekte, Urlaubszeiten und Zuständigkeitswechsel. Je genauer der Kontext bekannt ist, desto glaubwürdiger kann die spätere Nachricht formuliert werden.

2. Eine Identität oder ein E-Mail-Konto wird übernommen

Dafür gibt es verschiedene Methoden:

• gefälschte Anmeldeseiten
• Spear-Phishing
• gestohlene oder wiederverwendete Passwörter
• Schadsoftware
• manipulierte Anhänge
• gefälschte Absenderadressen
• ähnlich aussehende Domains
• kompromittierte Konten bei Geschäftspartnern.

Das FBI nennt insbesondere gefälschte Domains und Absender, Spear-Phishing sowie Schadsoftware als typische BEC-Methoden. Schadsoftware oder gestohlene Zugangsdaten können Angreifern Zugriff auf reale Rechnungs- und E-Mail-Verläufe verschaffen.

3. Der Angreifer liest zunächst nur mit

Professionelle Täter handeln nicht immer sofort. Sie beobachten den Kommunikationsverlauf und warten auf einen geeigneten Zeitpunkt.

Besonders interessant sind:

• angekündigte Rechnungen
• größere Abschlagszahlungen
• Schlussrechnungen
• Anzahlungen
• Kaufpreiszahlungen
• Abwesenheiten von Entscheidern
• kurzfristige Projektänderungen.

Dieses stille Mitlesen kann über längere Zeit unbemerkt bleiben.

4. Die Zahlung wird umgeleitet

Kurz vor oder nach dem Rechnungsversand greift der Täter ein. Typische Formulierungen sind:

• „Bitte verwenden Sie ab sofort unsere neue Bankverbindung.“
• „Unser bisheriges Konto wird geschlossen.“
• „Aufgrund einer Systemumstellung gilt für diese Rechnung eine neue IBAN.“
• „Die Rechnung musste korrigiert werden.“
• „Bitte beachten Sie ausschließlich die Bankverbindung im Anhang.“
• „Bei der Bank kann vorübergehend noch ein abweichender Name erscheinen.“

Gerade der letzte Hinweis ist kritisch. Täter können versuchen, eine erwartbare Warnung der Empfängerüberprüfung bereits im Vorfeld zu erklären.

5. Zeitdruck und Vertraulichkeit verhindern Rückfragen

Oft folgt eine psychologische Verstärkung:

• Die Zahlung sei dringend.
• Das Zahlungsziel laufe noch am selben Tag ab.
• Eine Lieferung werde sonst gestoppt.
• Die Geschäftsleitung sei informiert.
• Der Vorgang sei vertraulich.
• Rückfragen sollten ausschließlich per E-Mail erfolgen.

Zeitdruck und Geheimhaltung sind keine Beweise für einen Betrug. Sie sind aber typische Mittel, um bestehende Kontrollprozesse zu umgehen.

6. Das Geld wird schnell weitergeleitet

Nach der Überweisung wird das Geld häufig über weitere Konten verschoben. Je mehr Zeit vergeht, desto geringer werden in der Regel die Chancen, den Betrag noch zu sichern.

Künstliche Intelligenz verschärft die Glaubwürdigkeit

Für einen erfolgreichen BEC-Angriff ist keine künstliche Intelligenz erforderlich. Eine kompromittierte Mailbox, ein kopiertes PDF und ein überzeugender Vorwand reichen häufig aus.

KI erleichtert allerdings die Erstellung sprachlich sauberer Nachrichten in verschiedenen Sprachen. Zusätzlich können Stimmen imitiert und Video- oder Audiobotschaften manipuliert werden. Im IC3-Bericht für 2025 wurden mehr als 30 Millionen US-Dollar an gemeldeten BEC-Schäden mit KI-Bezug ausgewiesen. Der Bericht betont zugleich, dass längst nicht alle BEC-Angriffe KI einsetzen.

Eine bekannte Stimme am Telefon ist daher kein ausreichender Identitätsnachweis. Für ungewöhnliche Zahlungsanweisungen muss ein zuvor festgelegter und unabhängiger Freigabeweg gelten.

Die häufigsten Varianten von BEC

Manipulierte Lieferantenrechnung

Ein Unternehmen erhält eine Rechnung von einem bekannten Lieferanten. Projekt, Betrag und Ansprechpartner stimmen. Nur Kontoinhaber und IBAN wurden verändert.

Übernommenes Lieferantenpostfach

Der Angreifer verschickt die manipulierte Rechnung aus dem echten E-Mail-Konto des Lieferanten. Eine Prüfung der sichtbaren Absenderadresse erkennt den Betrug deshalb nicht.

Gefälschte Geschäftsführungsanweisung

Ein Mitarbeiter erhält eine angeblich vertrauliche Anweisung der Geschäftsleitung. Er soll kurzfristig eine Überweisung ausführen oder Gutscheincodes beschaffen.

Manipulation beim Rechnungsempfänger

Auch das Postfach des zahlenden Unternehmens kann kompromittiert sein. Täter beobachten eingehende Rechnungen, verändern Anhänge oder greifen in interne Freigabeprozesse ein.

Änderung eines Gehaltskontos

Die Personalabteilung erhält eine Nachricht eines vermeintlichen Mitarbeiters mit einer neuen Bankverbindung für die nächste Gehaltszahlung.

Projekt-, Kanzlei- und Immobilientransaktionen

Besonders hohe Risiken bestehen bei seltenen oder einmaligen Zahlungen. Dazu gehören Anzahlungen, Immobilienkaufpreise, Projektabrechnungen, Unternehmensübernahmen oder treuhänderisch abgewickelte Zahlungen.

Der kritische Moment: Eine geänderte Bankverbindung

Eine Änderung der Bankverbindung darf nicht als gewöhnliche Stammdatenpflege behandelt werden. Sie ist ein sicherheitsrelevantes Ereignis.

Die wichtigste Regel lautet:

Eine neue Bankverbindung darf niemals ausschließlich über den Kommunikationsweg bestätigt werden, über den sie mitgeteilt wurde.

Kommt die Änderung per E-Mail, reicht eine Antwort auf diese E-Mail nicht aus. Auch ein Anruf unter der Telefonnummer aus der betreffenden Nachricht oder aus dem neuen Rechnungs-PDF ist keine unabhängige Bestätigung.

Verwendet werden müssen bereits bekannte Kontaktdaten, zum Beispiel:

• die im System hinterlegte Telefonnummer
• eine frühere, geprüfte Rechnung
• der bestehende Vertrag
• ein bekannter persönlicher Ansprechpartner
• ein unabhängig aufgerufenes Kundenportal.

Bei größeren Zahlungen sollte zusätzlich eine zweite Person die Änderung und die Zahlungsfreigabe kontrollieren.

Empfängerüberprüfung: Was die Bank tatsächlich prüft

Umgangssprachlich wird häufig von „Bank-Namensprüfung“ oder „IBAN-Namensabgleich“ gesprochen. Die korrekte Bezeichnung lautet Empfängerüberprüfung beziehungsweise Verification of Payee, VoP.

Die Bank prüft dabei nicht den Namen der Bank. Sie vergleicht den eingegebenen Namen des Zahlungsempfängers mit dem Namen, der bei der Empfängerbank für die angegebene IBAN hinterlegt ist.

Seit dem 9. Oktober 2025 müssen Zahlungsdienstleister im Euroraum diese Prüfung bei SEPA-Überweisungen und SEPA-Echtzeitüberweisungen zwischen den erfassten Zahlungskonten durchführen. Das Ergebnis wird vor der Autorisierung angezeigt. Für Privatpersonen ist die Prüfung verpflichtend; Unternehmen können sie unter bestimmten Voraussetzungen bei Sammelzahlungen abwählen.

So sollten die Ergebnisse behandelt werden

Die Bundesbank weist ausdrücklich darauf hin, dass die Empfängerüberprüfung nur Abweichungen zwischen Name und IBAN erkennt. Selbst eine vollständige Übereinstimmung schützt nicht vor jeder Form von Betrug. Ein betrügerischer Zahlungsempfänger kann schließlich ein reales Konto unter einem dazu passenden Namen verwenden.

Gelb oder Rot bedeutet aus Sicherheitssicht: Zahlungsstopp

Rechtlich kann der Zahlende eine Überweisung je nach Bankverfahren trotz Warnung freigeben. Aus Sicht eines belastbaren Unternehmensprozesses sollte die interne Regel jedoch eindeutig sein:

Bei einer Abweichung wird nicht weitergeklickt, sondern geprüft.

Ein Mitarbeiter darf eine Warnung nicht allein deshalb ignorieren, weil in der E-Mail bereits eine Erklärung dafür steht. Die E-Mail selbst ist schließlich der möglicherweise kompromittierte Kommunikationskanal.

Banken weisen außerdem darauf hin, dass die Entscheidung trotz Warnung Auswirkungen auf die Haftung haben kann. Die konkrete rechtliche Bewertung hängt vom Einzelfall, den Bankbedingungen und den internen Abläufen ab.

Auch „Überprüfung nicht möglich“ ist kein grünes Licht

Ein technisch nicht verfügbares Prüfergebnis bedeutet nicht, dass Name und IBAN stimmen. Es bedeutet lediglich, dass keine Aussage getroffen werden konnte.

Unter Zeitdruck wird daraus schnell der Fehlschluss: „Die Bank konnte nichts feststellen, also wird es schon passen.“ Das ist sachlich falsch. Ohne Prüfergebnis fehlt eine Kontrolle. Sie wurde nicht erfolgreich bestanden.

Ein typisches Beispielszenario

Ein Unternehmen erhält die erwartete Schlussrechnung eines bekannten Lieferanten. Der Betrag stimmt, die Bestellnummer ist korrekt, das PDF sieht aus wie frühere Rechnungen und die Nachricht steht in einem bestehenden E-Mail-Verlauf.

In der Nachricht steht:

„Aufgrund einer Umstellung unserer Zahlungsabwicklung verwenden Sie bitte ausschließlich die neue Bankverbindung. Es kann sein, dass Ihre Bank noch einen abweichenden Kontoinhaber anzeigt. Die Daten sind korrekt.“

Beim Erfassen der Überweisung meldet das Onlinebanking: Keine Übereinstimmung zwischen Empfängername und IBAN.

Der Mitarbeiter nimmt an, dass die Abweichung wegen der angekündigten Umstellung normal sei, und gibt die Überweisung frei.

Genau hier ist der Kontrollprozess gescheitert. Die Erklärung für die Warnung kam aus demselben möglicherweise manipulierten Kanal wie die Zahlungsaufforderung. Sie war deshalb keine unabhängige Bestätigung.

Was Rechnungsempfänger konkret tun müssen

1. Bankverbindungsänderungen als Sicherheitsvorfall behandeln

Für neue oder geänderte Zahlungsdaten braucht es einen definierten Prozess. Eine Änderung darf nicht durch dieselbe Person allein erfasst und sofort zur Zahlung freigegeben werden.

2. Über bekannte Kontaktdaten zurückrufen

Die Rückfrage erfolgt über eine bereits geprüfte Telefonnummer. Nicht verwendet werden dürfen Telefonnummern aus der verdächtigen E-Mail, aus dem neuen PDF oder aus einer kurzfristig zugesandten Signatur.

Das FBI empfiehlt ausdrücklich, Änderungen von Kontonummern oder Zahlungsabläufen über einen unabhängigen Kontaktweg zu verifizieren.

3. Vier-Augen-Prinzip einführen

Mindestens zwei Personen sollten ungewöhnliche Zahlungen, neue Zahlungsempfänger und Änderungen von Bankverbindungen prüfen.

Das Vier-Augen-Prinzip muss auch bei Urlaub, Krankheit oder Zeitdruck gelten. Ein Prozess, der bei Abwesenheit des Vorgesetzten ausgesetzt wird, ist kein wirksamer Prozess.

4. Ergebnis der Empfängerüberprüfung dokumentieren

Bei relevanten Zahlungen sollte nachvollziehbar sein:

• welches Prüfergebnis angezeigt wurde
• wer die Daten kontrolliert hat
• über welchen unabhängigen Weg die Bestätigung erfolgte
• wer die Zahlung freigegeben hat.

5. Lieferantenstammdaten schützen

Änderungen an Kreditoren- und Lieferantenstammdaten sollten protokolliert werden. Mitarbeiter, die Rechnungen prüfen, sollten nicht automatisch auch Bankdaten ändern und Zahlungen allein freigeben können.

6. Keine Ausnahme wegen Dringlichkeit

„Dringend“, „vertraulich“ oder „Geschäftsleitung ist informiert“ sind keine Gründe, Kontrollen auszusetzen. Gerade ungewöhnliche Dringlichkeit sollte zusätzliche Prüfungen auslösen.

7. Nicht nur die Buchhaltung sensibilisieren

Auch Einkauf, Projektleitung, Personalabteilung, Assistenz, Geschäftsführung und externe Buchhaltungsdienstleister können Ziel eines BEC-Angriffs werden.

Was Rechnungsversender tun müssen

Ein Unternehmen kann nicht nur Geld verlieren. Es kann auch unwissentlich zum Ausgangspunkt manipulierter Rechnungen werden.

Wird das eigene E-Mail-Konto übernommen, erhalten Kunden möglicherweise glaubwürdige Zahlungsanweisungen aus einer echten Absenderadresse. Der Kunde überweist an die Täter, während die ursprüngliche Forderung weiterhin ungeklärt bleibt. Daraus entstehen finanzielle, rechtliche und geschäftliche Konflikte.

Den exakten Kontoinhabernamen angeben

Auf einer Rechnung sollten mindestens klar und eindeutig stehen:

• Name des Kontoinhabers
• IBAN
• gegebenenfalls BIC
• eindeutige Zuordnung zur rechnungsstellenden Gesellschaft.

Für die Empfängerüberprüfung ist nicht allein der Marken- oder Geschäftsname entscheidend, sondern der bei der Bank hinterlegte Kontoinhabername. Die Deutsche Kreditwirtschaft empfiehlt Rechnungsstellern ausdrücklich, IBAN und zugehörigen Namen der Kontoinhaberin beziehungsweise des Kontoinhabers eindeutig auszuweisen.

Das gilt auch für:

• Rechnungsvorlagen
• Buchhaltungssoftware
• Kundenportale
• EPC-QR-Codes beziehungsweise GiroCodes
• Mahnungen
• E-Mail-Signaturen.

Änderungen niemals nur per E-Mail mitteilen

Eine neue Bankverbindung sollte über mindestens einen zweiten, vorher bekannten Kanal bestätigt werden. Bei wichtigen Kunden ist eine aktive telefonische Information sinnvoll.

Ein möglicher Hinweis auf Rechnungen lautet:

Änderungen unserer Bankverbindung werden nicht ausschließlich per E-Mail mitgeteilt. Bitte bestätigen Sie jede Änderung über einen bereits bekannten Kontaktweg.

Dieser Hinweis ersetzt keine technische Absicherung. Er schafft aber eine klare Erwartung für den Rechnungsempfänger.

Rechnungs- und Buchhaltungspostfächer besonders schützen

Konten wie rechnung@, buchhaltung@, office@ oder persönliche Konten mit Zugriff auf Zahlungsinformationen sind besonders sensibel.

Erforderlich sind unter anderem:

• Multi-Faktor-Authentisierung
• bevorzugt Passkeys oder Hardware-Sicherheitsschlüssel, soweit unterstützt
• individuelle Benutzerkonten statt geteilter Passwörter
• begrenzte Administratorrechte
• Kontrolle von Weiterleitungs- und Postfachregeln
• Prüfung delegierter Zugriffe
• Warnungen bei ungewöhnlichen Anmeldungen
• ausreichende Protokollierung.

Das BSI bewertet Passkeys als besonders sichere Authentisierungslösung, weil sie gegenüber klassischen Passwörtern deutlich widerstandsfähiger gegen Phishing sind.

Die eigene E-Mail-Domain gegen Missbrauch absichern

SPF, DKIM und DMARC erschweren es Angreifern, E-Mails mit gefälschten Absendern der eigenen Domain erfolgreich zuzustellen.

Das BSI empfiehlt Unternehmen mit eigener E-Mail-Domain ausdrücklich die Umsetzung von SPF, DKIM und DMARC. Eine fehlerhafte oder nur teilweise Konfiguration reicht allerdings nicht aus. Die Einstellungen müssen getestet, überwacht und schrittweise verschärft werden.

Diese Verfahren helfen insbesondere gegen Absenderfälschungen. Sie verhindern jedoch nicht, dass ein Angreifer aus einem tatsächlich übernommenen Postfach schreibt.

Aktuelle Software und Hardware sind wichtig – aber kein vollständiger Schutz

BEC darf nicht auf die Frage reduziert werden, ob ein Virenscanner installiert ist.

Ein Angriff kann vollständig ohne Schadsoftware funktionieren. Ein überzeugender Text, eine gefälschte Domain und ein organisatorisch schwacher Zahlungsprozess können ausreichen.

Trotzdem bildet aktuelle und unterstützte Technik eine notwendige Grundlage. Dazu gehören:

• vom Hersteller unterstützte Betriebssysteme
• aktuelle Browser, Office- und E-Mail-Programme
• zeitnah installierte Sicherheitsupdates
• aktuelle Firmware für Router, NAS, Computer und Sicherheitsgeräte
• Festplattenverschlüsselung
• Secure Boot und geeignete Hardware-Sicherheitsfunktionen
• zentral verwalteter Endgeräteschutz
• abgesicherte Cloud- und E-Mail-Konten
• nachvollziehbare Protokolle
• getrennte und regelmäßig getestete Datensicherungen.

Ein neuer Computer verhindert keinen Rechnungsbetrug. Er kann lediglich die technische Grundlage für aktuelle Sicherheitsfunktionen schaffen. Entscheidend bleibt, ob Identitäten, Postfächer, Zahlungsprozesse und Zuständigkeiten sinnvoll abgesichert sind.

Hardware sollte daher nicht ersetzt werden, weil „neu automatisch sicher“ wäre. Sie sollte ersetzt oder aufgerüstet werden, wenn sie keine aktuellen Betriebssysteme, Firmware-Updates oder notwendigen Sicherheitsmechanismen mehr unterstützt.

Zahlungssoftware und ERP-Systeme nicht vergessen

Unternehmen, die Zahlungsdateien, ERP-Systeme oder EBICS-Produkte verwenden, müssen sicherstellen, dass ihre Software die Empfängerüberprüfung technisch unterstützt und Prüfergebnisse im Arbeitsablauf sichtbar verarbeitet.

Die EBICS-Gesellschaft beziehungsweise Deutsche Kreditwirtschaft empfiehlt Firmenkunden, die eigenen Abläufe zu prüfen und erforderliche Programmupdates für Verification of Payee einzuplanen.

Eine Warnung, die zwar von der Bank geliefert, aber in einer veralteten Zahlungssoftware nicht sinnvoll dargestellt oder pauschal umgangen wird, bietet keinen wirksamen Schutz.

Opt-out bei Sammelzahlungen nicht leichtfertig verwenden

Unternehmen können die Empfängerüberprüfung unter bestimmten Voraussetzungen für Sammelüberweisungen abwählen, beispielsweise bei regelmäßig wiederkehrenden Zahlungen.

Das kann betrieblich sinnvoll sein, darf aber nicht aus reiner Bequemlichkeit zum Standard werden. Vor einem Opt-out sollte geklärt sein:

• Wie werden neue Empfänger geprüft?
• Wie werden Stammdatenänderungen freigegeben?
• Gibt es eine Funktionstrennung?
• Werden Änderungen protokolliert?
• Welche Zahlungen unterliegen weiterhin einer Einzelprüfung?
• Welche kompensierenden Kontrollen bestehen?

Ohne belastbare Ersatzkontrollen bedeutet ein Opt-out den bewussten Verzicht auf eine zusätzliche Sicherheitsebene.

Welche Schäden können entstehen?

Direkter finanzieller Verlust

Der offensichtlichste Schaden ist der überwiesene Betrag. Bei Projekt-, Investitions- oder Schlussrechnungen können bereits einzelne Vorgänge existenzbedrohende Größenordnungen erreichen.

Die ursprüngliche Rechnung kann weiterhin offen sein

Wurde auf ein falsches Konto gezahlt, kann der tatsächliche Lieferant weiterhin Zahlung verlangen. Ob und wem der Verlust rechtlich zuzurechnen ist, hängt von den konkreten Umständen ab und sollte fachjuristisch geprüft werden.

Für das betroffene Unternehmen kann daraus faktisch eine doppelte Belastung entstehen: Das Geld ist beim Täter, während der Geschäftspartner weiterhin auf seine Zahlung wartet.

Kosten für Aufklärung und Wiederherstellung

Nach einem Vorfall entstehen häufig zusätzliche Kosten durch:

• IT-Forensik
• Wiederherstellung und Absicherung von Konten
• rechtliche Beratung
• Datenschutzprüfung
• Kommunikation mit Kunden und Lieferanten
• interne Sonderprüfungen
• Arbeitsausfälle
• Anpassung von Prozessen.

Vertrauens- und Reputationsschäden

Wenn Kunden manipulierte Rechnungen aus einem realen Unternehmenspostfach erhalten, stellt sich nicht nur die Frage nach dem Geld. Auch das Vertrauen in die organisatorische und technische Zuverlässigkeit des Unternehmens wird beschädigt.

Datenschutzrisiken

Ein kompromittiertes Postfach kann personenbezogene Daten, Verträge, Rechnungen, Kontaktdaten oder vertrauliche Korrespondenz enthalten.

Liegt eine Verletzung des Schutzes personenbezogener Daten vor, muss geprüft werden, ob eine Meldung an die zuständige Datenschutzaufsichtsbehörde erforderlich ist. Artikel 33 DSGVO sieht grundsätzlich eine unverzügliche Meldung und möglichst eine Frist von 72 Stunden ab Bekanntwerden vor, sofern die Verletzung voraussichtlich zu einem Risiko für betroffene Personen führt.

Was ist im Ernstfall sofort zu tun?

1. Bank unmittelbar kontaktieren

Die eigene Bank beziehungsweise deren Betrugs- oder Notfallstelle muss sofort informiert werden. Es sollte ausdrücklich um einen Rückruf der Überweisung und um Kontaktaufnahme mit der Empfängerbank gebeten werden.

Überweisungen sind grundsätzlich nicht einfach widerrufbar. Bei Echtzeitüberweisungen ist das Geld innerhalb weniger Sekunden verfügbar. Die Bundesbank empfiehlt deshalb, bei einer fehlerhaften Zahlung umgehend den Zahlungsdienstleister zu kontaktieren. Eine Rückholung kann versucht werden, ist aber nicht garantiert.

2. Nicht über den kompromittierten E-Mail-Verlauf kommunizieren

Der Angreifer könnte weiterhin mitlesen. Lieferanten, Kunden und interne Beteiligte sollten über einen sauberen und unabhängig geprüften Kommunikationsweg kontaktiert werden.

3. Betroffene Konten technisch sichern

Zu den unmittelbaren Maßnahmen gehören:

• Kennwort von einem vertrauenswürdigen Gerät aus ändern
• aktive Sitzungen und Anmeldetoken widerrufen
• Multi-Faktor-Authentisierung neu einrichten
• unbekannte Geräte entfernen
• Weiterleitungen und Postfachregeln prüfen
• delegierte Zugriffe kontrollieren
• verdächtige Anwendungen und OAuth-Berechtigungen entfernen
• Administrator- und Wiederherstellungskonten überprüfen.

Nur das Passwort zu ändern reicht nicht immer aus. Bereits erteilte Sitzungen, Weiterleitungen oder App-Berechtigungen können dem Angreifer weiterhin Zugriff ermöglichen.

4. Beweise sichern

Nicht vorschnell E-Mails löschen oder Geräte zurücksetzen. Gesichert werden sollten insbesondere:

• vollständige E-Mail-Dateien einschließlich Header
• Rechnungen und Anhänge
• ursprüngliche und manipulierte Bankdaten
• Zeitpunkte und Kommunikationsverläufe
• Anmelde- und Auditprotokolle
• Zahlungsbelege
• angezeigte Warnungen der Empfängerüberprüfung
• interne Freigaben.

5. Geschäftspartner warnen

Wurde ein Absenderkonto kompromittiert, müssen betroffene Kunden und Lieferanten schnell über einen verifizierten Kanal informiert werden. Dabei sollte eindeutig benannt werden:

• welcher Zeitraum betroffen sein könnte
• welche Absenderadressen verwendet wurden
• welche Bankverbindung korrekt ist
• wie Rückfragen unabhängig bestätigt werden können.

6. Polizei einschalten

Der Vorfall sollte bei der Polizei beziehungsweise der zuständigen Cybercrime-Ansprechstelle gemeldet werden. Die Polizeiliche Kriminalprävention nennt hierfür die örtliche Polizeidienststelle oder das zuständige Landeskriminalamt.

7. Datenschutz, Versicherung und Rechtslage prüfen

Je nach Vorfall müssen außerdem einbezogen werden:

• Datenschutzbeauftragter
• Geschäftsleitung
• Cyberversicherung
• Rechtsberatung
• Steuerberater oder Wirtschaftsprüfer
• gegebenenfalls betroffene Auftraggeber.

Fünf Fragen vor jeder auffälligen Überweisung

Vor der Freigabe sollte der Bearbeiter fünf Fragen eindeutig beantworten können:

• Wurde eine Bankverbindung neu angelegt oder geändert?
• Stimmen Kontoinhaber und IBAN laut Empfängerüberprüfung überein?
• Wurde eine Abweichung über einen bereits bekannten zweiten Kanal geklärt?
• Hat eine zweite berechtigte Person die Zahlung geprüft?
• Ist die Zahlung trotz Dringlichkeit, Höhe und Kontext plausibel?

Bleibt eine Antwort offen, wird nicht überwiesen.

Technische Prüfung mit See-IT-Service

Bei Business E-Mail Compromise geht es nicht um den Verkauf eines einzelnen „Sicherheitsprodukts“. Eine zusätzliche Antivirensoftware behebt weder unklare Zahlungsfreigaben noch gemeinsam verwendete Mailkonten oder unkontrollierte Änderungen von Lieferantenstammdaten.

Sinnvoll ist eine nüchterne Bestandsaufnahme:

• Sind Betriebssysteme, Programme und Endgeräte noch vollständig unterstützt?
• Sind E-Mail-Konten mit geeigneter Multi-Faktor-Authentisierung geschützt?
• Sind SPF, DKIM und DMARC korrekt eingerichtet?
• Werden Anmeldungen, Weiterleitungen und Postfachregeln überwacht?
• Sind Rechnungs- und Buchhaltungskonten ausreichend getrennt?
• Können Sicherheits- und Zahlungsprotokolle ausgewertet werden?
• Sind Datensicherungen vorhanden und getestet?
• Werden Warnungen der Empfängerüberprüfung im Zahlungsprozess tatsächlich verarbeitet?
• Gibt es einen dokumentierten Ablauf für Änderungen von Bankverbindungen?

See-IT-Service unterstützt Privat- und Geschäftskunden in Radolfzell und Umgebung unter anderem bei Software- und Hardwarefragen, Datensicherung, Monitoring, IT-Sicherheitsschulungen und der technischen Absicherung von Systemen. Im BEC-Kontext sollte das Ziel nicht der Verkauf möglichst vieler Komponenten sein, sondern die überprüfbare Beseitigung konkreter Schwachstellen.

Ein IT-Dienstleister kann dabei die technische Seite prüfen und absichern. Er ersetzt jedoch nicht die interne Verantwortung für Zahlungsfreigaben, kaufmännische Kontrollen oder eine notwendige rechtliche Bewertung.

Fazit: Sicherheit entsteht im Zusammenspiel

Business E-Mail Compromise ist kein reines E-Mail-Problem. Der Angriff verbindet technische Schwachstellen, öffentlich verfügbare Informationen, psychologischen Druck und unzureichende Zahlungsprozesse.

Rechnungsempfänger müssen geänderte Bankverbindungen unabhängig bestätigen und Warnungen der Empfängerüberprüfung ernst nehmen. Rechnungsversender müssen ihre E-Mail-Konten schützen, den exakten Kontoinhabernamen angeben und Bankänderungen über sichere zusätzliche Kanäle kommunizieren.

Die wichtigste Regel bleibt einfach:

Keine Zahlung auf eine geänderte Bankverbindung ohne unabhängige Bestätigung. Keine Freigabe bei einer ungeklärten Abweichung zwischen Empfängername und IBAN.

Das Thema bestätigt einen allgemeinen Grundsatz: Sicherheit ist kein Produkt. Sie entsteht erst, wenn aktuelle Technik, klare Zuständigkeiten, nachvollziehbare Prozesse und aufmerksames Verhalten zusammenpassen.

Häufige Fragen zu Business E-Mail Compromise

Ist Business E-Mail Compromise dasselbe wie Phishing?

Nein. Phishing kann der Einstieg in einen BEC-Angriff sein, beispielsweise wenn Zugangsdaten für ein E-Mail-Konto gestohlen werden. BEC bezeichnet jedoch den weitergehenden, meist gezielten Betrug über geschäftliche Kommunikation und Zahlungsabläufe.

CEO-Fraud ist wiederum eine mögliche Unterform von BEC.

Erkennt ein Virenscanner manipulierte Rechnungen?

Nicht zuverlässig. Enthält die E-Mail keine Schadsoftware und wurde lediglich die IBAN in einem PDF geändert, gibt es für einen klassischen Virenscanner möglicherweise nichts zu erkennen.

Endpoint-Schutz bleibt wichtig, kann aber keine unabhängige Prüfung von Bankverbindungen ersetzen.

Garantiert eine vollständige Übereinstimmung bei der Empfängerüberprüfung eine sichere Zahlung?

Nein. Die Prüfung bestätigt lediglich, dass der eingegebene Name zur angegebenen IBAN passt. Sie bestätigt weder die Berechtigung der Rechnung noch die Seriosität des Zahlungsempfängers. Auch die Bundesbank weist darauf hin, dass eine vollständige Übereinstimmung nicht vor jedem Betrug schützt.

Was soll ich bei einer nahezu übereinstimmenden Empfängerbezeichnung tun?

Die Zahlung zunächst anhalten. Anschließend muss geklärt werden, ob lediglich eine abweichende Schreibweise, eine Rechtsform oder ein Markenname verwendet wurde.

Die Klärung erfolgt über einen bereits bekannten Kontaktweg. Danach sollten Rechnungsvorlage und Lieferantenstammdaten dauerhaft korrigiert werden.

Darf ich trotz „Keine Übereinstimmung“ überweisen?

Technisch kann das je nach Verfahren möglich sein. Aus Sicherheitssicht sollte eine Zahlung bei ungeklärter Abweichung jedoch nicht freigegeben werden.

Die Bankwarnung darf nicht allein aufgrund einer Erklärung in derselben E-Mail ignoriert werden. Außerdem kann eine Freigabe trotz Warnung Auswirkungen auf die Haftung haben.

Kann eine bereits ausgeführte Überweisung zurückgeholt werden?

Manchmal, aber nicht garantiert. Die Bank muss sofort kontaktiert werden. Je schneller die eigene Bank und die Empfängerbank reagieren, desto eher besteht eine Chance, das Geld noch zu sperren oder zurückzurufen.

Bei Echtzeitüberweisungen ist besondere Eile erforderlich, da die Gutschrift innerhalb weniger Sekunden erfolgt.

Welcher Name gehört auf die Rechnung?

Angegeben werden sollte der Kontoinhabername, der bei der Bank für die IBAN hinterlegt ist. Bei Unternehmen ist das meist die vollständige rechtliche Firmenbezeichnung einschließlich Rechtsform und nicht nur ein Marken- oder Geschäftsname.

Der Name sollte auf Rechnung, Kundenportal, Zahlungs-QR-Code und sonstigen Zahlungsinformationen einheitlich verwendet werden.