Was ist Business Email Compromise (BEC) und wie kann man es verhindern?

What Is Business Email Compromise (BEC)

Das Internet ist zur treibenden Kraft für die Interaktion zwischen Unternehmen und Kunden geworden, wobei die E-Mail nach wie vor das beliebteste Instrument für die formelle Geschäftskommunikation ist. Leider ist es auch die anfälligste Art, Nachrichten und sensible Daten auszutauschen. E-Mail ist anfällig für Phishing- und Spam-Angriffe, wobei Business Email Compromise (BEC) hohe finanzielle Verluste und Rufschädigung verursacht.

Wir befinden uns inmitten eines digitalen und technologischen Wandels, der die Wirtschaft umwälzt und die Struktur der Gesellschaft grundlegend verändert. Die neuesten Entwicklungen im Bereich der künstlichen Intelligenz und die Herausforderungen nach der Pandemie zwingen Unternehmen dazu, ihre Online-Präsenz zu verbessern und neue Möglichkeiten in unbekannten Bereichen zu suchen. Gleichzeitig schmieden Cyberkriminelle neue Pläne, um verheerende Betrügereien zu verüben und den Fortschritt zu verlangsamen.

Dieser Artikel befasst sich mit BEC-Betrug und gibt Tipps zum Schutz Ihres Unternehmens vor Cyberangriffen. Lassen Sie uns direkt in die Materie eintauchen!

Inhaltsübersicht

  1. Was ist eine E-Mail-Kompromittierung für Unternehmen?
  2. Wie funktionieren BEC-Angriffe?
  3. Beispiele für die Kompromittierung von Geschäfts-E-Mails
  4. Wer ist das häufigste Ziel von E-Mails im Stil von BEC-Angriffen?
  5. Welche Arten von E-Mail-Betrügereien für Unternehmen gibt es?
  6. Was unterscheidet einen BEC-Angriff von einer typischen Phishing-E-Mail?
  7. Warum ist es wichtig, die Kompromittierung von Geschäfts-E-Mails zu verhindern?
  8. Wie kann man die Kompromittierung von Geschäfts-E-Mails verhindern?
  9. Was ist zu tun, wenn Sie auf einen BEC-Betrug hereingefallen sind?
  10. Statistik über E-Mail-Kompromittierung in Unternehmen
  11. Abschließende Überlegungen

Was ist eine E-Mail-Kompromittierung für Unternehmen?

Ein Business Email Compromise ist eine Art von Cyberangriff, bei dem sich Betrüger als Führungskraft oder Angestellter eines Unternehmens ausgeben, um Personen innerhalb einer Organisation zu Aktionen zu verleiten, die dem Angreifer zugute kommen. BEC-Angriffe betreffen in der Regel die E-Mail-Kommunikation und können zu erheblichen finanziellen Verlusten für Unternehmen führen.

Wie funktionieren BEC-Angriffe?

Der Angreifer beginnt mit dem Sammeln von Informationen über das Zielunternehmen, z. B. Namen, Berufsbezeichnungen und E-Mail-Adressen der Mitarbeiter, und zwar auf verschiedene Weise, z. B. durch Social Engineering, öffentliche Websites oder Datendiebstahl.

Als Nächstes täuscht der Angreifer ein legitimes E-Mail-Konto innerhalb des Unternehmens vor oder gibt sich als solches aus, beispielsweise als hochrangige Führungskraft oder CEO. Sie erstellen oft eine E-Mail-Adresse, die der echten ähnelt, und verwenden dabei leichte Abweichungen oder Rechtschreibfehler, die von den Empfängern übersehen werden könnten.

Darüber hinaus setzen die Angreifer Social-Engineering-Techniken ein, um das Opfer zu einer gewünschten Handlung zu bewegen. Sie könnten das Vertrauen, die Autorität oder die Dringlichkeit des Empfängers ausnutzen, um die Erfolgsaussichten zu erhöhen. Der Angreifer könnte sich zum Beispiel als CEO ausgeben und eine dringende Überweisung auf ein bestimmtes betrügerisches Bankkonto für ein zeitkritisches Geschäft anfordern.

Einer der ältesten, aber effizientesten Tricks der Betrüger ist es, Täuschung und Dringlichkeit in die Köpfe der Zielpersonen zu bringen. Sie können Formulierungen wie “vertraulich”, “dringend” oder “streng vertraulich” verwenden, um den Empfänger unter Druck zu setzen, die üblichen Sicherheitsverfahren zu umgehen.

Mitarbeiter, die Zugang zu Finanzdaten haben oder befugt sind, Transaktionen zu veranlassen, sind besonders anfällig für Betrügereien mit Geschäfts-E-Mails. Dabei kann es sich um Personen aus der Finanz- oder Buchhaltungsabteilung oder um Mitarbeiter handeln, die für die Verwaltung von Lieferantenbeziehungen zuständig sind. Ziel ist es, sie davon zu überzeugen, Geld zu überweisen, sensible Informationen preiszugeben oder Zahlungsanweisungen zu ändern.

Beispiele für die Kompromittierung von Geschäfts-E-Mails

Angriffe auf Unternehmens-E-Mails sind unerbittlich. Egal, ob Sie ein lokales Unternehmen oder ein großer internationaler Konzern sind, niemand ist vor dem nächsten großen Angriff sicher, wenn nicht alle Präventivmaßnahmen und das Bewusstsein für Cybersicherheit kontrolliert werden. Es liegt jedoch in der Natur des Menschen, einander zu vertrauen, und die folgenden Beispiele veranschaulichen dies perfekt:

Facebook- und Google-Fiasko

In der wohl größten Social-Engineering-Attacke aller Zeiten brachten Evaldas Rimasauskas und seine Mitarbeiter Google- und Facebook-Mitarbeiter dazu, Rechnungen für Waren und Dienstleistungen, die der Hersteller in Wirklichkeit geliefert hatte, auf ein gefälschtes Konto zu überweisen und so die großen Tech-Unternehmen um über 100 Millionen Dollar zu betrügen.

Wenn BEC-Betrügereien auf dieser Ebene möglich sind, kann man sich vorstellen, wie anfällig der Rest der Unternehmenslandschaft ist, in der es den Mitarbeitern an Bewusstsein und Wachsamkeit für Cybersicherheit fehlt. Die Kosten und Schäden, die durch BEC-Angriffe entstehen, gehen in einem Kalenderjahr in die Milliarden.

Toyota wird Mitglied im Club der BEC-Opfer

Im Jahr 2019 wurde Toyota, ein bekannter Name in der Automobilindustrie, Opfer eines 37 Millionen Dollar schweren Business Email Compromise-Angriffs. Dieser Vorfall hat gezeigt, wie anfällig selbst große Unternehmen für Cyber-Bedrohungen sind.

Trotz der beträchtlichen Summe, um die es ging, gelang es den Tätern, einen Mitarbeiter der europäischen Toyota-Niederlassung zu täuschen und die Gelder unbemerkt zu transferieren. Kritiker argumentieren, dass Toyota angesichts seiner Größe und seines Einflusses die Anzeichen für diesen weit verbreiteten Betrug hätte besser erkennen müssen.

Regierung von Puerto Rico überweist Millionen an Betrüger

Nach dem starken Erdbeben der Stärke 6,4, das Puerto Rico Anfang 2020 erschütterte, fiel die puerto-ricanische Regierung auf einen ausgeklügelten BEC-Betrug herein und hatte mit den Folgen zu kämpfen.

Der Protagonist dieses unglücklichen Vorfalls war Rubén Rivera, der Finanzdirektor der Industrial Development Company von Puerto Rico. Er überwies versehentlich über 2,6 Millionen Dollar auf ein betrügerisches Bankkonto.

Der Plan wurde durch eine E-Mail aufgedeckt, die in Riveras Posteingang landete und ihn angeblich über eine Änderung des Bankkontos für die Überweisungen informierte. Was diese E-Mail besonders heimtückisch machte, war ihr Ursprung – ein kompromittiertes E-Mail-Konto eines Mitarbeiters des Puerto Rico Employment Retirement System. Was Rivera nicht wusste, war, dass diese scheinbar harmlose Nachricht nichts weiter als eine raffinierte, von den Betrügern ausgeklügelte Masche war.

Drei Mitarbeiter wurden bis zur weiteren Untersuchung ihrer möglichen Beteiligung suspendiert. Zum Glück hat das FBI die unrechtmäßig erworbenen Gewinne, einschließlich der öffentlichen Rentenfonds, umgehend eingefroren.

Wer ist das häufigste Ziel von E-Mails im Stil von BEC-Angriffen?

BEC-Angriffe zielen in der Regel auf Personen oder Organisationen ab, die an Finanztransaktionen beteiligt sind. Die Hauptzielgruppe sind häufig Buchhalter, Finanzbeamte oder Lohnbuchhalter.

BEC-Angreifer geben sich häufig als CEOs, CFOs oder hochrangige Führungskräfte aus, um deren Autorität und Einfluss auszunutzen. Sie haben es auf diese Personen abgesehen, weil sie in der Regel Zugang zu Firmengeldern haben und wichtige Transaktionen genehmigen können.

Angestellte, die mit Beschaffungs- oder Einkaufstätigkeiten zu tun haben, wie z. B. Beschaffungsbeamte oder Einkäufer, sind ebenfalls leichte und häufige Opfer, da sich Betrüger oft als Lieferanten ausgeben und um Geldüberweisungen bitten. Personalverantwortliche sind ebenfalls anfällig für BEC-Betrügereien, da sie sensible Mitarbeiterinformationen wie Sozialversicherungsnummern, Bankkontodaten oder persönliche Daten speichern.

Schließlich kann ein Business Email Compromise-Betrug auf IT-Administratoren abzielen, um unbefugten Zugriff auf E-Mail-Konten zu erhalten oder interne Systeme zu gefährden. Indem sie diese Konten kompromittieren, können sie die Kommunikation überwachen, vertrauliche Informationen abfangen oder betrügerische E-Mails aus vertrauenswürdigen Quellen versenden.

BEC-Angriffe sind äußerst anpassungsfähig, und die Angreifer entwickeln ihre Taktiken ständig weiter. Jeder, der Zugang zu finanziellen Ressourcen oder wertvollen Daten innerhalb eines Unternehmens hat, kann zur Zielscheibe werden. Daher sollte der Schutz vor E-Mail-Kompromittierung in Unternehmen für jedes Unternehmen, unabhängig von seiner Größe und seinem Tätigkeitsbereich, oberste Priorität haben.

Welche Arten von E-Mail-Betrügereien für Unternehmen gibt es?

BEC-Betrug umfasst verschiedene Taktiken, mit denen Angreifer Einzelpersonen und Unternehmen täuschen. Hier sind einige gängige Arten von BEC-Betrug:

  • CEO-Betrug: Bei diesem Betrug gibt sich der Angreifer als eine hochrangige Führungskraft aus, in der Regel der CEO oder eine andere Führungskraft mit Befugnissen, und sendet eine E-Mail an einen Mitarbeiter, in der er ihn anweist, eine dringende Zahlung zu leisten oder Geld auf ein bestimmtes Konto zu überweisen. Die E-Mail erscheint legitim und enthält oft den Namen der Führungskraft, ihre Signatur und persönliche Informationen, die durch Social Engineering erlangt wurden.
  • Falsche Rechnungen: Die Betrüger haben es auf Unternehmen abgesehen, die regelmäßige Geschäfte mit Lieferanten oder Verkäufern tätigen. Sie fangen legitime Rechnungen ab, ändern die Kontodaten und leiten die Zahlungen auf ihre betrügerischen Bankkonten um. Die gefälschten Rechnungen sehen oft genauso aus wie die Originalrechnungen, was eine Aufdeckung erschwert.
  • Anwaltsimitation: Hier geben sich Betrüger als Rechtsanwälte oder Rechtsvertreter aus. Sie senden E-Mails an Personen, die an Geschäftstransaktionen, Rechtsstreitigkeiten, Fusionen und Übernahmen beteiligt sind. In den E-Mails wird in der Regel behauptet, dass eine vertrauliche Angelegenheit dringend erledigt werden muss, z. B. eine Überweisung auf ein bestimmtes Konto, das für Abfindungen oder Anwaltskosten kontrolliert wird.
  • Mitarbeiter-Identifizierung: Die Angreifer geben sich als Mitarbeiter eines Unternehmens aus und versenden E-Mails, in denen sie sensible Informationen wie Mitarbeiterunterlagen, W-2-Formulare oder Finanzdaten anfordern. Sie können sich als Personalverantwortliche, Lohnbuchhalter oder Kollegen ausgeben.
  • Account Compromise: In diesem Szenario verschaffen sich Angreifer unbefugten Zugriff auf das E-Mail-Konto eines Mitarbeiters. Sie überwachen es, um Informationen zu sammeln, laufende Finanztransaktionen zu identifizieren und dann betrügerische E-Mails zu versenden, um Gelder umzuleiten oder Zahlungsanweisungen zu ändern.

Was unterscheidet einen BEC-Angriff von einer typischen Phishing-E-Mail?

Business Email Compromise und Phishing haben viele Ähnlichkeiten. Sowohl bei Phishing-E-Mails als auch bei BEC-Angriffen werden betrügerische E-Mails verschickt. Ein typischer Phishing-Angriff zielt darauf ab, Einzelpersonen zur Preisgabe persönlicher Daten zu verleiten, während ein BEC-Angriff auf Unternehmen abzielt und versucht, Mitarbeiter zu Handlungen zu verleiten, die den Cyberkriminellen zugute kommen.

BEC-Angriffe sind noch ausgefeilter. Bei einem BEC-Angriff versuchen Cyberkriminelle, sich als eine Person innerhalb des Unternehmens auszugeben, z. B. als Geschäftsführer, Manager oder vertrauenswürdiger Lieferant, um Mitarbeiter dazu zu verleiten, Überweisungen auf betrügerische Konten vorzunehmen, sensible Unternehmensdaten weiterzugeben oder sogar Kontodaten zu ändern.

Warum ist es wichtig, die Kompromittierung von Geschäfts-E-Mails zu verhindern?

BEC-Angriffe können für Unternehmen zu erheblichen finanziellen Verlusten führen. Angreifer geben sich oft als hochrangige Führungskräfte oder vertrauenswürdige Geschäftspartner aus und bringen Mitarbeiter dazu, Überweisungen zu veranlassen oder sensible Finanzdaten preiszugeben.

Außerdem können BEC-Betrügereien den Ruf eines Unternehmens schädigen. Wenn Kunden, Partner oder Stakeholder erfahren, dass es einem Unternehmen an angemessenen Sicherheitsmaßnahmen und -bewusstsein mangelt, kann dies das Vertrauen in die Fähigkeit des Unternehmens, sensible Informationen zu schützen, untergraben. Dieser Reputationsverlust kann zu einer geringeren Kundentreue, geringeren Geschäftsmöglichkeiten und Schwierigkeiten bei der Gewinnung neuer Kunden führen.

BEC-Angriffe können auch sensible Daten und persönliche Informationen preisgeben, was schwerwiegende rechtliche und regulatorische Konsequenzen nach sich ziehen kann. Verstöße gegen personenbezogene Daten (PII) können zu rechtlichen Schritten, finanziellen Strafen und Schäden für die von dem Verstoß betroffenen Personen führen. Business Email Compromise Prevention hilft Unternehmen, das Risiko von Datendiebstahl zu minimieren und ihre Verpflichtung zum Schutz der Kundendaten einzuhalten.

Wie kann man die Kompromittierung von Geschäfts-E-Mails verhindern?

Wie Sie sehen, werden BEC-Angriffe weltweit immer häufiger, so dass es wichtig ist, sie von Anfang an zu erkennen. Im Folgenden finden Sie fünf effiziente Lösungen zur Vermeidung von E-Mail-Kompromittierungen in Unternehmen, die zukünftige Angriffe verhindern.

1. Kenne deinen Feind und seine Pläne

Kriminelle erscheinen wie Genies, wenn sie einen massiven Betrug durchziehen, aber unvorsichtige Angestellte sollten stattdessen den ganzen Ruhm ernten. Die meisten BECs beruhen auf denselben zugrunde liegenden Taktiken und Manipulationen, so dass ihre Erkennung nach dem Erlernen der gängigen BEC-Strategien zur zweiten Natur werden sollte.

Das größte Warnsignal ist ein falsches Gefühl der Dringlichkeit. Die Angreifer, die sich in der Regel als Führungskräfte, Vorgesetzte oder Hauptbuchhalter ausgeben, fordern Rechnungszahlungen an, indem sie gefälschte E-Mails an die Opfer senden und sie auffordern, Geld zu überweisen, um ein Geschäft abzuschließen. Hier ist ein klassisches Beispiel:

Hallo Ben,

Ich treffe mich in diesem Moment mit [Company Name]. Es scheint, dass unsere letzte Rechnung auf ihr altes Konto ging. Falls Sie die neuen Kontodaten noch nicht haben, finden Sie sie unten. Bitte zahlen Sie JETZT, damit ich ihnen sagen kann, dass es erledigt ist.

Konto-Nr.: 94567868900

Sortiercode: 45-20-30 Danke!

Andrew, CAO von [Your Company Name].

Klingt ziemlich überzeugend, oder? Was sie jedoch verrät, ist der falsche Domänenname. Sie sollten immer die Adresse des Absenders überprüfen, bevor Sie antworten und Geld senden. Auf den ersten Blick kommt die Nachricht von einer glaubwürdigen Domain, aber sie ist leicht verändert, um Sie zu überrumpeln. Anstelle von @microsoft.com könnte die gefälschte Adresse also @micr0soft.com oder @microsott.com lauten.

Eine weitere gängige BEC-Taktik ist die Verkäufer-Identität. Es handelt sich um Betrüger, die sich als einer der Lieferanten des Unternehmens ausgeben. Dieser Angriff ist schwieriger, weil die Angaben des Absenders korrekt sind und die Transaktion legitim erscheint. Die schlechte Nachricht ist, dass sich Betrüger in das E-Mail-Konto des Verkäufers gehackt haben. Die gute Nachricht ist, dass Sie Betrug vorbeugen können, indem Sie die Kontonummer des Verkäufers überprüfen, denn sie wird von der üblichen abweichen. Wenn Ihnen etwas komisch vorkommt, rufen Sie das Unternehmen an und bitten Sie es, die Transaktion zu bestätigen.

2. Bringen Sie Ihren Mitarbeitern bei, Bec-Angriffe zu erkennen

Ohne eine angemessene Schulung zum Thema Cybersicherheit und BEC-Betrug werden Sie früher oder später zum Opfer. Die Mitarbeiter müssen ein gutes Gespür für Phishing-E-Mails entwickeln und sich der enormen Risiken und Auswirkungen dieser Angriffe voll bewusst sein. Führen Sie regelmäßig Phishing-Übungen durch und erinnern Sie Ihre Mitarbeiter daran, die Echtheit von E-Mails zu überprüfen, insbesondere von solchen, die verdächtig sind. Hier ist, was sie beachten sollten:

  • Der Ton der Nachricht. In dringenden Fällen sollten sie zurücktreten und die E-Mail-Adresse und den Inhalt sorgfältig prüfen.
  • Die Absenderangaben stimmen nicht mit der E-Mail-Adresse überein.
  • Rechtschreibfehler, Tippfehler und schlechte Grammatik.
  • Unerwünschte Links und Anhänge.

3. Verwenden Sie sichere Passwörter und aktivieren Sie die Zwei-Faktoren-Authentifizierung

Eine Passwortrichtlinie stellt sicher, dass alle Benutzer sichere Passwörter verwenden (d. h. mindestens 12 Zeichen mit Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen). Die Zwei-Faktor-Authentifizierung (2FA) ist eine zusätzliche Sicherheitsebene, die den unbefugten Zugriff auf ein E-Mail-Konto verhindert, wenn das Passwort kompromittiert wurde.

4. Werden Sie technisch. Schützen Sie Ihre E-Mails mit Maßnahmen zur Betrugsbekämpfung

Eine der effizientesten Methoden zum Schutz vor E-Mail-Angriffen ist die Installation einessicheren E-Mail-Gateways (SEG). Ein solches Gerät oder eine solche Software überwacht die E-Mail-Aktivitäten und verhindert, dass Spam, Malware und Viren Ihren Posteingang erreichen. SEG kann auch Phishing-Domains erkennen und blockieren, und Sie können häufige Schlüsselwörter, die in BECs verwendet werden, hinzufügen und als verdächtig kennzeichnen.

Eine weitere Sicherheitsmaßnahme ist die Verwendung von E-Mail-Authentifizierungsmethoden wie SPF, DKIM und DMARC.

  • Mit dem Sender Policy Framework (SPF) können Sie einen DNS-Eintrag hinzufügen, um die IP-Adressen zu autorisieren, die E-Mails im Namen Ihrer Domäne senden dürfen.
  • DKIM steht für DomainKeys Identified Mail und arbeitet mit SPF zusammen, um gefälschte E-Mails zu erkennen. DKIM signiert Ihre ausgehenden E-Mails, damit die Empfänger deren Legitimität überprüfen können.
  • DMARC (Domain-based Message Authentication, Reporting, and Conformance). DMARC verwendet SPF- und DKIM-Authentifizierungsprotokolle, um E-Mails zu verifizieren, die von der Domäne des Unternehmens gesendet werden.

5. E-Mails und Dokumente mit einem S/MMIME-Zertifikat verschlüsseln

E-Mail-Zertifikate entsprechen dem S/MIME-Standard (Secure/Multipurpose Internet Mail Extensions) und bieten Authentifizierung und Integrität.

S/MIME ermöglicht eine Ende-zu-Ende-Verschlüsselung aller ausgehenden E-Mails und verhindert E-Mail-Spoofing-Versuche, indem es die Identität des Absenders bestätigt und sicherstellt, dass der Inhalt der Nachricht nicht verändert wurde.

Mit S/MIME erfolgt die Übertragung nicht mehr im Klartext und ist damit anfällig für Man-in-the-Middle-Angriffe. Das Beste daran: S/MIME-Zertifikate sind mit modernen E-Mail-Clients kompatibel und entsprechen den FDA ESG-Richtlinien. Sie können ein S/MIME-Zertifikat von SSL Dragon erhalten. Wir haben Optionen für Einzelpersonen und Unternehmen jeder Größe.

Was ist zu tun, wenn Sie auf einen BEC-Betrug hereingefallen sind?

Oh nein, Sie denken, dass Sie auf eine BEC-E-Mail geantwortet haben könnten. Keine Panik, noch nicht! Das sollten Sie tun:

  1. Wenn Ihr Unternehmen über BEC-Sicherheitsprotokolle verfügt, befolgen Sie diese gemäß Ihren Schulungsrichtlinien.
  2. Benachrichtigen Sie sofort Ihre IT-Abteilung.
  3. Rufen Sie Ihre Bank an und bitten Sie sie, alle Transaktionen auszusetzen
  4. Überprüfen Sie Ihre Kontoauszüge auf verdächtige Aktivitäten.
  5. Melden Sie den Vorfall den zuständigen Behörden. In den Vereinigten Staaten wenden Sie sich an Ihre örtliche FBI-Außenstelle, um das Verbrechen zu melden.

Statistik über E-Mail-Kompromittierung in Unternehmen

Hier sind einige Statistiken, die Sie erschaudern lassen:

Abschließende Überlegungen

E-Mail-Betrügereien für Unternehmen wird es so lange geben, wie das Internet existiert. Sie sind vor allem deshalb so erfolgreich, weil die menschliche Natur anfällig für Manipulationen und verdeckte Taktiken ist. BECs sind eher psychologischer als technischer Natur. Sie folgen einem bewährten Plan, der auf Nachlässigkeit, Unterwerfung unter Autoritäten und mangelndem Bewusstsein für Cybersicherheit beruht.

Wir haben Ihnen gezeigt, wie Sie BEC-Betrug erkennen und verhindern können, bevor es zu spät ist. Jetzt sind Sie an der Reihe, Maßnahmen zu ergreifen und sie für die allgemeine E-Mail-Sicherheit umzusetzen, sobald Sie eine neue Nachricht öffnen.

Sparen Sie 10% auf SSL-Zertifikate, wenn Sie noch heute bestellen!

Schnelle Ausstellung, starke Verschlüsselung, 99,99% Browser-Vertrauen, engagierter Support und 25-tägige Geld-zurück-Garantie. Gutscheincode: SAVE10

Geschrieben von

Erfahrener Content-Autor, spezialisiert auf SSL-Zertifikate. Verwandeln Sie komplexe Cybersicherheitsthemen in klare, ansprechende Inhalte. Tragen Sie durch wirkungsvolle Narrative zur Verbesserung der digitalen Sicherheit bei.