Cyberpediavon Brain
DEENFR

Kompromittierung geschäftlicher E-Mails (BEC)

Wie ein Angreifer ein dienstliches Postfach übernimmt oder einen bekannten Absender vortäuscht und wie Sie eine Zahlungsaufforderung prüfen.

In 30 Sekunden

Wo es passiert
Im E-Mail-Postfach, mit einer Nachricht, die von einem bekannten Gesprächspartner zu stammen scheint, manchmal vom echten, gekaperten Konto eines Kollegen23.
Was der Angreifer will
Eine nicht autorisierte Zahlung oder Passwörter1.
Der Reflex
Bestätigen Sie jede Zahlungs- oder Änderungsaufforderung über einen zweiten Kommunikationsweg und verwenden Sie dafür Kontaktdaten, die Sie bereits kennen, nicht die aus der Nachricht14.
Wenn es schon passiert ist
Melden Sie es sofort, auch nach einem Klick. Eine schnelle Meldung begrenzt den Schaden1.

Worum es geht

Bei der Kompromittierung geschäftlicher E-Mails nutzt ein Angreifer eine vertrauenswürdige Adresse, um eine Kollegin, einen Kunden oder einen Lieferanten zu täuschen. Er hat die Kontrolle über ein echtes Postfach übernommen oder fälscht eine Nachricht, die den Absender nachahmt. Die Beschäftigten erhalten eine scheinbar gewöhnliche Anfrage, zum Beispiel eine Zahlung auszuführen. Angreifer nutzen dabei die Arbeitsgewohnheiten einer Organisation aus, um nicht autorisierte Zahlungen zu erhalten1.

Die hier zitierten Quellen behandeln diesen Betrug nicht alle unter diesem Namen. Sie dokumentieren die Techniken, die ihn möglich machen: Absenderfälschung, kompromittierte Konten, versteckte Weiterleitungsregeln, schlecht geschützte Domains. Die Seite beschränkt sich auf das, was die Quellen sagen.

Direkte Fragen

Was ist eine Kompromittierung geschäftlicher E-Mails?

Das ist ein E-Mail-Betrug, bei dem der Angreifer die Rolle einer vertrauenswürdigen Person spielt. Die Quellen beschreiben zwei Wege. Entweder fälscht er die Identität des Absenders, was MITRE „Email Spoofing“ nennt2. Oder er kompromittiert ein legitimes Konto und schreibt damit an die Kollegen des Opfers3.

Wie erkennt man die Nachricht?

CISA nennt häufige Anzeichen: dringliche oder emotionale Sprache, die Bitte um persönliche oder finanzielle Angaben, falsche Adressen oder Links, etwa amazan.com4. Derselbe Text hält fest, dass Rechtschreibfehler kein verlässlicher Hinweis mehr sind, weil manche E-Mails inzwischen eine perfekte Grammatik haben4.

Beweist eine bekannte Adresse die Identität des Absenders?

Nein. Eine Absenderfälschung kann sowohl den menschlichen Empfänger als auch automatische Sicherheitswerkzeuge täuschen2. Ein Angreifer kann sich außerdem in einen bestehenden Gesprächsverlauf einschalten, was MITRE „thread hijacking“ nennt2. Und wenn ein internes Konto tatsächlich kompromittiert ist, nutzt der Angreifer das Vertrauen in dieses Konto, um mehr Personen zu täuschen3.

Was tun, wenn die Anfrage echt wirkt?

Klicken Sie auf keinen Link und rufen Sie keine Nummer an, die in der Nachricht steht. CISA empfiehlt, einen anderen Weg zu suchen, um das Unternehmen oder die Person zu erreichen, zum Beispiel über eine Nummer von einer geprüften Website, oder einen Kontakt anzurufen, dessen Nummer man bereits hat4. Das britische NCSC ergänzt, dass wichtige Anfragen per E-Mail über eine zweite Kommunikationsart überprüft werden sollten: SMS, Anruf, Anmeldung bei einem Konto, Bestätigung per Post oder persönlich1.

Sollte man einen Klickfehler melden?

Ja. Das NCSC bittet darum, Personen, die auf eine Täuschung hereingefallen sind, nicht zu rügen, denn wer Sanktionen fürchtet, meldet seine Fehler nicht rechtzeitig oder gar nicht1. Es legt Organisationen außerdem nahe, dafür zu sorgen, dass Nutzer eine E-Mail auch nach einem Klick melden können1.

1In der Haut des Angreifers1 min

Der Angreifer hat zwei Ausgangspunkte. Der erste ist ein gestohlenes Konto. Laut MITRE kann ein legitimes Konto kompromittiert werden, indem man das Gerät des Nutzers kontrolliert oder dessen Zugangsdaten erlangt, und der Angreifer setzt es dann ein, um weitere Personen derselben Organisation in die Falle zu locken3. Um die Zugangsdaten zu stehlen, kann er einen Link zu einer Website senden, die eine Anmeldeseite nachahmt3.

Sobald er im Postfach ist, kann er dort eine Weiterleitungsregel einrichten. Sie erlaubt ihm, die Aktivitäten des Opfers zu überwachen, Informationen zu stehlen und die Organisation besser kennenzulernen5. Sie kann ihm auch den Zugriff auf die E-Mails des Opfers erhalten, nachdem die Administratoren das Passwort zurückgesetzt haben5.

Der zweite Ausgangspunkt ist die Fälschung, für die kein Zugriff nötig ist. Der Angreifer informiert sich dann anhand öffentlich verfügbarer Angaben. Laut NCSC dienen die Informationen auf Ihrer Website und in Ihren sozialen Netzwerken dazu, gezielte Nachrichten überzeugender zu machen, insbesondere um in einem sogenannten „Whaling“-Angriff eine Führungskraft ins Visier zu nehmen1. Personen, die Gelder verwalten oder die IT administrieren, interessieren ihn mehr1.

2Was Sie auf dem Bildschirm sehen1 min

Die Nachricht kommt von einem bekannten Namen und verlangt schnelles Handeln. Die von CISA beschriebenen Anzeichen sind Dringlichkeit, die Bitte um Finanzangaben und eine leicht falsche Adresse4. Eine ähnliche Domain kann genügen: MITRE hält fest, dass die Gruppe Leviathan E-Mails mit Links versandte und dabei oft eine betrügerische „lookalike“-Domain und gestohlenes Markendesign verwendete6.

Der Text ist manchmal makellos. Das NCSC nennt einen Fall, in dem eine gefälschte Rechnungs-E-Mail, die „needed urgent attention“, gut geschrieben war, ohne Rechtschreib- oder Grammatikfehler1.

Der angezeigte Name sagt nicht alles. In der unten beschriebenen Kampagne schien die E-Mail von einer Adresse bei usaid.gov zu stammen, während die tatsächliche Absenderadresse dem verwendeten Massenversanddienst gehörte, mit einer Antwortadresse (Reply-To), die ebenfalls bei usaid.gov lag7.

Die folgende Illustration ist erfunden und neutralisiert. Sie zeigt die typische Form einer verdächtigen Anfrage.

Auszug
Illustration inventée, sans valeur réelle
De : [nom d'un dirigeant] <[email protected]>
Objet : [paiement urgent]
Corps : [demande de régler tout de suite une facture, de garder
         l'affaire confidentielle et de ne parler à personne]
3Unter der HaubeIT-Teams2 min

In den Quellen kehren drei Mechanismen wieder.

Der erste ist der Diebstahl von Zugangsdaten durch Phishing, wie oben beschrieben. Dagegen empfiehlt das NCSC die Multifaktor-Authentifizierung: Mit einem zweiten Faktor kann ein Angreifer mit dem gestohlenen Passwort allein nicht auf ein Konto zugreifen1. CISA gibt Privatpersonen denselben Rat4.

Der zweite ist die Weiterleitungsregel. Regeln können aus einer lokalen Anwendung, einer Weboberfläche oder einer Befehlszeile erstellt werden und Nachrichten ohne Begrenzung an interne oder externe Empfänger senden5. Der Angreifer kann die Regel außerdem verbergen, indem er ihre Eigenschaften über Microsofts MAPI-API ändert, wodurch sie in Outlook, OWA und den meisten Exchange-Verwaltungswerkzeugen unsichtbar wird5. In Exchange können Transportregeln sogar auf die gesamte E-Mail einer Organisation angewendet werden5. MITRE rät, die externe Weiterleitung zu deaktivieren, Regeln regelmäßig zu prüfen und Out-of-Band-Warnungen für ungewöhnliche Versendungen einzurichten, etwa Massenweiterleitungen5.

Der dritte ist die Kontrolle der Absenderdomain. MITRE empfiehlt SPF zur Überprüfung der Absenderdomain und DKIM für die Integrität der Nachrichten und hält fest, dass eine Richtlinie wie DMARC den Empfängern hilft, auf dieselbe Weise zu filtern2. Das NCSC führt aus, dass DMARC Betrüger daran hindert, Ihre Domain zu fälschen, und dass der Empfänger eine DMARC-Richtlinie des Absenders auf Quarantäne oder Ablehnung anwenden muss, wenn die Validierung fehlschlägt1. MITRE räumt zudem ein, dass präparierte interne E-Mails mit vorbeugenden Kontrollen schwer zu blockieren sind, weil sie auf dem Missbrauch normaler Funktionen beruhen3.

4FallanalysenReale Fälle1 min

28. Januar 2021: die Kampagne von NOBELIUM, erste Wellen

Microsoft verfolgt seit Januar 2021 eine Kampagne bösartiger E-Mails von NOBELIUM, dem Akteur hinter den Angriffen auf SolarWinds7. Sie beginnt am 28. Januar 2021: Der Akteur sendet zunächst nur den Nachverfolgungsteil der Nachricht, um die Ziele zu erkennen, die klicken, ohne Schadcode auszuliefern7. Dieser Fall zielt auf die Installation von Schadsoftware und nicht auf eine Zahlung. Er zeigt dennoch die Methode: testen, beobachten, wer reagiert, anpassen7.

25. Mai 2021: ein vertrauenswürdiger Absender wird im großen Stil nachgeahmt

Am 25. Mai 2021 nutzt NOBELIUM den legitimen Massenversanddienst Constant Contact, um sich als US-amerikanische Entwicklungsorganisation auszugeben7. Er nimmt etwa 3 000 Konten in mehr als 150 Organisationen ins Visier7. In einem Beispiel scheint die E-Mail von USAID zu stammen, mit einer echten Absenderadresse, die auf @in.constantcontact.com endet, und einer Antwortadresse bei usaid.gov7. Der Link führt zuerst zum legitimen Dienst, dann zur Infrastruktur des Angreifers, die eine bösartige ISO-Datei ausliefert7.

Automatische Systeme blockierten die meisten E-Mails und stuften sie als Spam ein, doch einige der ersten Nachrichten konnten zugestellt werden7. Microsoft empfiehlt die Multifaktor-Authentifizierung, um die Wirkung kompromittierter Zugangsdaten zu begrenzen7.

Merkblatt

Kennung
CP-017
Flügel
1. Angriffe und Techniken
Brain-Kompetenz
Phishing erkennen (detect_phishing)
Brain-Reflex
cr-007
Schema
G1 · Angriffskette (Kill Chain)
Sprachen
de, en, fr
Quellen
7 Quellen geprüft am 3. November 2026
Quellen7 Quellen
  1. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation“, 5. Februar 2018. https://www.ncsc.gov.uk/guidance/phishing (abgerufen am 3. November 2026)
  2. MITRE ATT&CK, „Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1566/ (abgerufen am 3. November 2026)
  3. MITRE ATT&CK, „Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1534/ (abgerufen am 3. November 2026)
  4. CISA, „Recognize and Report Phishing | CISA“. https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (abgerufen am 3. November 2026)
  5. MITRE ATT&CK, „Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1114/003/ (abgerufen am 3. November 2026)
  6. MITRE ATT&CK, „Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1566/002/ (abgerufen am 3. November 2026)
  7. Microsoft, „New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog“, 27. Mai 2021. https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Kompromittierung geschäftlicher E-Mails (BEC)“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/kompromittierung-geschaeftlicher-e-mails-bec/

BibTeX 
@misc{brain_cp017_de_2026,
  author = {Brain},
  title = {Kompromittierung geschäftlicher E-Mails (BEC)},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/kompromittierung-geschaeftlicher-e-mails-bec/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0