Business-E-Mail-Kompromittierung, kurz BEC, ist eine der kostspieligsten Betrugsarten, mit denen Unternehmen konfrontiert sind. Anders als Phishing-Nachrichten, die gleichzeitig an Tausende von Menschen gesendet werden, ist BEC gezielt. Kriminelle recherchieren ein Unternehmen, finden heraus, wer Zahlungen genehmigt, und verfassen Nachrichten, die völlig echt wirken sollen.
Oft gibt es weder Malware noch offensichtliche Hackerangriffe. Der Betrug funktioniert, weil eine vertrauenswürdige Person dazu gebracht wird, eine Zahlung zu genehmigen oder vertrauliche Informationen weiterzugeben – weshalb BEC häufig eher als Betrug des Vertrauens und nicht als Betrug der Technologie bezeichnet wird.
Es kann Unternehmen jeder Größe treffen. Größere Organisationen sind aufgrund höherer Transaktionswerte attraktiv, aber kleinere Unternehmen werden oft gerade deshalb ins Visier genommen, weil sie weniger formale Prüfungen etabliert haben.
So funktioniert es
Der Betrug beginnt meist lange bevor eine Zahlungsaufforderung erscheint. Kriminelle sammeln Informationen von öffentlichen Websites, aus sozialen Medien, Unternehmensmitteilungen, Lieferantenbeziehungen und Organigrammen und machen sich so ein Bild davon, wie und von wem Zahlungen genehmigt werden.
Anschließend erstellen sie eine überzeugende E-Mail-Adresse, übernehmen ein echtes Postfach oder geben sich als jemand aus, der bereits an einer echten Transaktion beteiligt ist. Weil die E-Mail wie ein Teil des alltäglichen Geschäfts aussieht, wird die Zahlungsaufforderung oft ohne weitere Prüfung ausgeführt.
Bei manchen Angriffen werden gefälschte Rechnungen verwendet. Andere fordern dazu auf, die Bankverbindung eines Lieferanten zu ändern. In ausgefeilteren Fällen lesen Betrüger wochenlang echte E-Mail-Verläufe, bevor sie im überzeugendsten Moment eingreifen.
So kann es aussehen
Ein Finanzteam erwartet eine Rechnung von einem regulären Lieferanten. Einige Tage vor dem Fälligkeitsdatum geht eine E-Mail ein, in der mitgeteilt wird, dass der Lieferant seine Bankverbindung geändert hat. Der Zeitpunkt wirkt passend, die Formulierung vertraut und die Anfrage vernünftig – also wird die Zahlung ausgeführt.
Wochen später meldet sich der echte Lieferant und fragt, warum seine Rechnung noch nicht bezahlt wurde. Erst dann stellt das Unternehmen fest, dass das Geld stattdessen an einen Kriminellen überwiesen wurde. Der Betrug war erfolgreich, weil er sich nahtlos in einen normalen Geschäftsprozess einfügte.
Warum dieser Betrug funktioniert
BEC ist aufgrund menschlichen Verhaltens erfolgreich, nicht aufgrund von Technologie. Betrüger nutzen Vertrauen, Routine und Dringlichkeit aus – wenn eine Anfrage einem vertrauten Muster entspricht, wirkt sie ganz natürlich weniger riskant.
Mitarbeitende handeln nicht leichtsinnig. Sie bearbeiten, was wie eine gewöhnliche Transaktion aussieht, denn genau so soll der Betrug aussehen.
Schutz Ihres Unternehmens
Die stärkste Verteidigung ist eine unabhängige Überprüfung. Ändern Sie Zahlungsanweisungen niemals allein aufgrund von Informationen in einer E-Mail – bestätigen Sie jede Änderung über Kontaktdaten, die Sie bereits gespeichert haben, und nicht über die in der Anfrage angegebenen Daten.
Weitere hilfreiche Kontrollen:
- Doppelte Genehmigung von Zahlungen
- Aufgabentrennung
- Zahlungslimits
- Verfahren zur Lieferantenüberprüfung
- Schulungen zur Betrugsprävention
- Ein Eskalationsprozess für ungewöhnliche Anfragen
Betrugsprävention funktioniert am besten, wenn diese Kontrollen zusammenwirken und nicht isoliert eingesetzt werden.
Wichtigste Erkenntnis
Eine Zahlungsaufforderung kann völlig legitim aussehen und trotzdem betrügerisch sein. Vertrauen darf niemals die Überprüfung ersetzen.
Verwandte Artikel
- Was ist Rechnungsbetrug?
- Was ist Lieferantenbetrug?
- Was ist CEO-Betrug?
- Wie können sich Unternehmen vor Zahlungsbetrug schützen?