--- id: CP-017 slug: kompromittierung-geschaeftlicher-e-mails-bec lang: de title: Kompromittierung geschäftlicher E-Mails (BEC) description: Wie ein Angreifer ein dienstliches Postfach übernimmt oder einen bekannten Absender vortäuscht und wie Sie eine Zahlungsaufforderung prüfen. canonical_url: https://startbrain.io/cyberpedia/de/articles/kompromittierung-geschaeftlicher-e-mails-bec/ markdown_url: https://startbrain.io/cyberpedia/de/articles/kompromittierung-geschaeftlicher-e-mails-bec.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Kompromittierung geschäftlicher E-Mails (BEC)“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/kompromittierung-geschaeftlicher-e-mails-bec/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-007 schema: G1 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/kompromittierung-geschaeftlicher-e-mails-bec/ fr: https://startbrain.io/cyberpedia/fr/articles/compromission-messagerie-professionnelle-bec/ en: https://startbrain.io/cyberpedia/en/articles/business-email-compromise-bec/ es: https://startbrain.io/cyberpedia/es/articles/compromiso-correo-empresarial-bec/ sources: - "n": 1 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 2 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" - "n": 3 title: Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1534/ accessed: "2026-11-03" - "n": 4 title: Recognize and Report Phishing | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 5 title: "Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1114/003/ accessed: "2026-11-03" - "n": 6 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 7 title: New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ published: "2021-05-27" accessed: "2026-11-03" --- # Kompromittierung geschäftlicher E-Mails (BEC) Bei der Kompromittierung geschäftlicher E-Mails nutzt ein Angreifer eine vertrauenswürdige Adresse, um eine Kollegin, einen Kunden oder einen Lieferanten zu täuschen. Er hat die Kontrolle über ein echtes Postfach übernommen oder fälscht eine Nachricht, die den Absender nachahmt. Die Beschäftigten erhalten eine scheinbar gewöhnliche Anfrage, zum Beispiel eine Zahlung auszuführen. Angreifer nutzen dabei die Arbeitsgewohnheiten einer Organisation aus, um nicht autorisierte Zahlungen zu erhalten [1]. Die hier zitierten Quellen behandeln diesen Betrug nicht alle unter diesem Namen. Sie dokumentieren die Techniken, die ihn möglich machen: Absenderfälschung, kompromittierte Konten, versteckte Weiterleitungsregeln, schlecht geschützte Domains. Die Seite beschränkt sich auf das, was die Quellen sagen. ## In 30 Sekunden - Wo es passiert: im E-Mail-Postfach, mit einer Nachricht, die von einem bekannten Gesprächspartner zu stammen scheint, manchmal vom echten, gekaperten Konto eines Kollegen [2][3]. - Was der Angreifer will: eine nicht autorisierte Zahlung oder Passwörter [1]. - Der Reflex: Bestätigen Sie jede Zahlungs- oder Änderungsaufforderung über einen zweiten Kommunikationsweg und verwenden Sie dafür Kontaktdaten, die Sie bereits kennen, nicht die aus der Nachricht [1][4]. - Wenn es schon passiert ist: Melden Sie es sofort, auch nach einem Klick. Eine schnelle Meldung begrenzt den Schaden [1]. ## Direkte Fragen ### Was ist eine Kompromittierung geschäftlicher E-Mails? Das ist ein E-Mail-Betrug, bei dem der Angreifer die Rolle einer vertrauenswürdigen Person spielt. Die Quellen beschreiben zwei Wege. Entweder fälscht er die Identität des Absenders, was MITRE „Email Spoofing“ nennt [2]. Oder er kompromittiert ein legitimes Konto und schreibt damit an die Kollegen des Opfers [3]. ### Wie erkennt man die Nachricht? CISA nennt häufige Anzeichen: dringliche oder emotionale Sprache, die Bitte um persönliche oder finanzielle Angaben, falsche Adressen oder Links, etwa amazan.com [4]. Derselbe Text hält fest, dass Rechtschreibfehler kein verlässlicher Hinweis mehr sind, weil manche E-Mails inzwischen eine perfekte Grammatik haben [4]. ### Beweist eine bekannte Adresse die Identität des Absenders? Nein. Eine Absenderfälschung kann sowohl den menschlichen Empfänger als auch automatische Sicherheitswerkzeuge täuschen [2]. Ein Angreifer kann sich außerdem in einen bestehenden Gesprächsverlauf einschalten, was MITRE „thread hijacking“ nennt [2]. Und wenn ein internes Konto tatsächlich kompromittiert ist, nutzt der Angreifer das Vertrauen in dieses Konto, um mehr Personen zu täuschen [3]. ### Was tun, wenn die Anfrage echt wirkt? Klicken Sie auf keinen Link und rufen Sie keine Nummer an, die in der Nachricht steht. CISA empfiehlt, einen anderen Weg zu suchen, um das Unternehmen oder die Person zu erreichen, zum Beispiel über eine Nummer von einer geprüften Website, oder einen Kontakt anzurufen, dessen Nummer man bereits hat [4]. Das britische NCSC ergänzt, dass wichtige Anfragen per E-Mail über eine zweite Kommunikationsart überprüft werden sollten: SMS, Anruf, Anmeldung bei einem Konto, Bestätigung per Post oder persönlich [1]. ### Sollte man einen Klickfehler melden? Ja. Das NCSC bittet darum, Personen, die auf eine Täuschung hereingefallen sind, nicht zu rügen, denn wer Sanktionen fürchtet, meldet seine Fehler nicht rechtzeitig oder gar nicht [1]. Es legt Organisationen außerdem nahe, dafür zu sorgen, dass Nutzer eine E-Mail auch nach einem Klick melden können [1]. ## In der Haut des Angreifers Der Angreifer hat zwei Ausgangspunkte. Der erste ist ein gestohlenes Konto. Laut MITRE kann ein legitimes Konto kompromittiert werden, indem man das Gerät des Nutzers kontrolliert oder dessen Zugangsdaten erlangt, und der Angreifer setzt es dann ein, um weitere Personen derselben Organisation in die Falle zu locken [3]. Um die Zugangsdaten zu stehlen, kann er einen Link zu einer Website senden, die eine Anmeldeseite nachahmt [3]. Sobald er im Postfach ist, kann er dort eine Weiterleitungsregel einrichten. Sie erlaubt ihm, die Aktivitäten des Opfers zu überwachen, Informationen zu stehlen und die Organisation besser kennenzulernen [5]. Sie kann ihm auch den Zugriff auf die E-Mails des Opfers erhalten, nachdem die Administratoren das Passwort zurückgesetzt haben [5]. Der zweite Ausgangspunkt ist die Fälschung, für die kein Zugriff nötig ist. Der Angreifer informiert sich dann anhand öffentlich verfügbarer Angaben. Laut NCSC dienen die Informationen auf Ihrer Website und in Ihren sozialen Netzwerken dazu, gezielte Nachrichten überzeugender zu machen, insbesondere um in einem sogenannten „Whaling“-Angriff eine Führungskraft ins Visier zu nehmen [1]. Personen, die Gelder verwalten oder die IT administrieren, interessieren ihn mehr [1]. ## Was Sie auf dem Bildschirm sehen Die Nachricht kommt von einem bekannten Namen und verlangt schnelles Handeln. Die von CISA beschriebenen Anzeichen sind Dringlichkeit, die Bitte um Finanzangaben und eine leicht falsche Adresse [4]. Eine ähnliche Domain kann genügen: MITRE hält fest, dass die Gruppe Leviathan E-Mails mit Links versandte und dabei oft eine betrügerische „lookalike“-Domain und gestohlenes Markendesign verwendete [6]. Der Text ist manchmal makellos. Das NCSC nennt einen Fall, in dem eine gefälschte Rechnungs-E-Mail, die „needed urgent attention“, gut geschrieben war, ohne Rechtschreib- oder Grammatikfehler [1]. Der angezeigte Name sagt nicht alles. In der unten beschriebenen Kampagne schien die E-Mail von einer Adresse bei usaid.gov zu stammen, während die tatsächliche Absenderadresse dem verwendeten Massenversanddienst gehörte, mit einer Antwortadresse (Reply-To), die ebenfalls bei usaid.gov lag [7]. Die folgende Illustration ist erfunden und neutralisiert. Sie zeigt die typische Form einer verdächtigen Anfrage. ```text Illustration inventée, sans valeur réelle De : [nom d'un dirigeant] Objet : [paiement urgent] Corps : [demande de régler tout de suite une facture, de garder l'affaire confidentielle et de ne parler à personne] ``` ## Unter der Haube In den Quellen kehren drei Mechanismen wieder. Der erste ist der Diebstahl von Zugangsdaten durch Phishing, wie oben beschrieben. Dagegen empfiehlt das NCSC die Multifaktor-Authentifizierung: Mit einem zweiten Faktor kann ein Angreifer mit dem gestohlenen Passwort allein nicht auf ein Konto zugreifen [1]. CISA gibt Privatpersonen denselben Rat [4]. Der zweite ist die Weiterleitungsregel. Regeln können aus einer lokalen Anwendung, einer Weboberfläche oder einer Befehlszeile erstellt werden und Nachrichten ohne Begrenzung an interne oder externe Empfänger senden [5]. Der Angreifer kann die Regel außerdem verbergen, indem er ihre Eigenschaften über Microsofts MAPI-API ändert, wodurch sie in Outlook, OWA und den meisten Exchange-Verwaltungswerkzeugen unsichtbar wird [5]. In Exchange können Transportregeln sogar auf die gesamte E-Mail einer Organisation angewendet werden [5]. MITRE rät, die externe Weiterleitung zu deaktivieren, Regeln regelmäßig zu prüfen und Out-of-Band-Warnungen für ungewöhnliche Versendungen einzurichten, etwa Massenweiterleitungen [5]. Der dritte ist die Kontrolle der Absenderdomain. MITRE empfiehlt SPF zur Überprüfung der Absenderdomain und DKIM für die Integrität der Nachrichten und hält fest, dass eine Richtlinie wie DMARC den Empfängern hilft, auf dieselbe Weise zu filtern [2]. Das NCSC führt aus, dass DMARC Betrüger daran hindert, Ihre Domain zu fälschen, und dass der Empfänger eine DMARC-Richtlinie des Absenders auf Quarantäne oder Ablehnung anwenden muss, wenn die Validierung fehlschlägt [1]. MITRE räumt zudem ein, dass präparierte interne E-Mails mit vorbeugenden Kontrollen schwer zu blockieren sind, weil sie auf dem Missbrauch normaler Funktionen beruhen [3]. ## Fallanalysen ### 28. Januar 2021: die Kampagne von NOBELIUM, erste Wellen Microsoft verfolgt seit Januar 2021 eine Kampagne bösartiger E-Mails von NOBELIUM, dem Akteur hinter den Angriffen auf SolarWinds [7]. Sie beginnt am 28. Januar 2021: Der Akteur sendet zunächst nur den Nachverfolgungsteil der Nachricht, um die Ziele zu erkennen, die klicken, ohne Schadcode auszuliefern [7]. Dieser Fall zielt auf die Installation von Schadsoftware und nicht auf eine Zahlung. Er zeigt dennoch die Methode: testen, beobachten, wer reagiert, anpassen [7]. ### 25. Mai 2021: ein vertrauenswürdiger Absender wird im großen Stil nachgeahmt Am 25. Mai 2021 nutzt NOBELIUM den legitimen Massenversanddienst Constant Contact, um sich als US-amerikanische Entwicklungsorganisation auszugeben [7]. Er nimmt etwa 3 000 Konten in mehr als 150 Organisationen ins Visier [7]. In einem Beispiel scheint die E-Mail von USAID zu stammen, mit einer echten Absenderadresse, die auf @in.constantcontact.com endet, und einer Antwortadresse bei usaid.gov [7]. Der Link führt zuerst zum legitimen Dienst, dann zur Infrastruktur des Angreifers, die eine bösartige ISO-Datei ausliefert [7]. Automatische Systeme blockierten die meisten E-Mails und stuften sie als Spam ein, doch einige der ersten Nachrichten konnten zugestellt werden [7]. Microsoft empfiehlt die Multifaktor-Authentifizierung, um die Wirkung kompromittierter Zugangsdaten zu begrenzen [7]. ## Quellen 1. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation“, 5. Februar 2018. https://www.ncsc.gov.uk/guidance/phishing (abgerufen am 3. November 2026) 2. MITRE ATT&CK, „Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1566/ (abgerufen am 3. November 2026) 3. MITRE ATT&CK, „Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1534/ (abgerufen am 3. November 2026) 4. CISA, „Recognize and Report Phishing | CISA“. https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (abgerufen am 3. November 2026) 5. MITRE ATT&CK, „Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1114/003/ (abgerufen am 3. November 2026) 6. MITRE ATT&CK, „Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1566/002/ (abgerufen am 3. November 2026) 7. Microsoft, „New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog“, 27. Mai 2021. https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/kompromittierung-geschaeftlicher-e-mails-bec/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.