BEC-Angriffe (Business Email Compromise) zählen zu den kostspieligsten Formen der Cyberkriminalität. Sie sind zudem besonders schwer zu erkennen, da sie weniger offensichtliche Warnsignale aufweisen. Im Gegensatz zu herkömmlichen Phishing-Angriffen basieren BEC-Angriffe nämlich nicht auf schädlichen Links oder Anhängen, sondern nutzen Social-Engineering-Techniken, um Mitarbeiter dazu zu bringen, Überweisungen zu tätigen, Zahlungsdaten zu ändern, vertrauliche Daten weiterzugeben und vieles mehr.
Seit 2013 hat BEC bei mehr als 300.000 Angriffen weltweit zu potenziellen oder tatsächlichen Verlusten in Höhe von über 55 Milliarden US-Dollar geführt. Da Unternehmen zunehmend auf Cloud-E-Mail-Plattformen und agentenbasierte KI-Workflows setzen, haben es Angreifer leichter, Vertrauen auszunutzen und günstige Zeitpunkte sowie Prozesse zu ihrem Vorteil zu nutzen.
Um Risiken zu minimieren, müssen Unternehmen über herkömmliche E-Mail-Kontrollen hinausblicken und verstehen, warum diese Angriffe überhaupt erfolgreich sind.
Im Folgenden erläutern wir, warum BEC-Angriffe nach wie vor funktionieren und welche Maßnahmen erforderlich sind, um sie in modernen Umgebungen zu verhindern.
Was ist Business Email Compromise (BEC)?
Ein BEC-Angriff ist ein gezielter Angriff, bei dem ein Bedrohungsakteur eine vertrauenswürdige Person (z. B. eine Führungskraft, einen Angestellten oder einen Anbieter) nachahmt, um Mitarbeiter dazu zu verleiten, Geldbeträge zu überweisen, Zahlungsdetails zu ändern oder vertrauliche Informationen weiterzugeben.
BEC-Angriffe funktionieren, weil sie wie legitime Anfragen aussehen. Oft nutzen Angreifer kompromittierte Konten oder schalten sich in bestehende E-Mail-Threads ein, sodass ihre Aktivitäten wie normale Geschäftskommunikation wirken.
Viele BEC-Angriffe treten in Verbindung mit Email Account Compromise (EAC) auf. Dabei erlangen Angreifer Zugriff auf ein legitimes Konto und umgehen so herkömmliche Sicherheitsmaßnahmen. Anschließend können sie betrügerische E-Mails versenden, die besonders schwer zu erkennen sind.
Warum nehmen BEC-Angriffe zu?
BEC-Angriffe sind zwar nicht neu, ihre Wirksamkeit hat sich jedoch durch verschiedene Trends und Entwicklungen der letzten Jahre verstärkt.
KI-gestütztes Social Engineering im großen Maßstab
Mithilfe generativer KI können Angreifer schnell und einfach glaubwürdige Nachrichten erstellen, die in Bezug auf Tonfall, Sprache und Kontext genau auf bestimmte Personen oder Situationen zugeschnitten sind. In Kombination mit öffentlich zugänglichen Informationen über Mitarbeiter und Anbieter können Angreifer auf diese Weise äußerst zielgerichtete BEC-Kampagnen im großen Umfang durchführen.
Stärkere Nutzung Cloud-basierter E-Mail-Plattformen
Plattformen wie Microsoft 365 erleichtern Mitarbeitern die Kommunikation und Zusammenarbeit, bergen aber auch neue Risiken. Wenn Angreifer Zugriff auf ein legitimes Konto erhalten, können sie sich lateral in der Umgebung bewegen und scheinbar legitime Nachrichten versenden.
Zunehmende Abhängigkeit von digitalen Geschäftsprozessen
Prozesse wie Zahlungsfreigaben, Anbietermanagement und die Bearbeitung interner Anfragen werden mittlerweile online abgewickelt. Die Prozesse sind dadurch schneller geworden, und von den Mitarbeitern wird erwartet, dass sie bei routinemäßigen Freigaben und Änderungen zügig handeln. Angreifer nutzen dies aus, da ihnen bewusst ist, dass kleine Unregelmäßigkeiten eher unbemerkt bleiben.
Lücken im Sicherheitsbewusstsein und in Schulungen
Mitarbeiter sind oft nicht ausreichend geschult, um raffinierte Angriffe zu erkennen. In vielen Schulungsprogrammen steht eher das klassische Phishing im Mittelpunkt als gezielte Betrugsmaschen wie BEC. Ohne klare Anweisungen dazu, wann und wie Anfragen zu überprüfen sind, können selbst erfahrene Mitarbeiter kostspielige Fehler begehen.
Wie umgehen BEC-Angriffe herkömmliche E-Mail-Sicherheitsmaßnahmen?
Diese Trends führen nicht nur zu einer Zunahme der Angriffe, sondern machen auch die Grenzen herkömmlicher Kontrollen deutlich.
Viele Unternehmen verwenden ausschließlich Filter- und Authentifizierungsprotokolle wie DMARC. Diese Kontrollen sind zwar notwendig, wurden jedoch in erster Linie entwickelt, um schädliche Inhalte und bekannte Bedrohungen zu erkennen. BEC-Angriffe funktionieren jedoch anders.
Die meisten BEC-Angriffen haben folgende Merkmale:
- Es gibt keinen scanbaren schädlichen Link oder Anhang.
- Der Absender kann ein legitimes oder kompromittiertes Konto sein.
- Nachrichten können Teil eines bestehenden Gesprächs sein.
- Interne E-Mails werden oft standardmäßig als vertrauenswürdig eingestuft.
Authentifizierung kann Domain-Spoofing eindämmen, verhindert jedoch keine Angriffe, bei denen kompromittierte Konten oder Vertrauensbeziehungen ausgenutzt werden. Angreifer nutzen zudem Techniken wie leicht veränderte Domains, schalten sich in laufende E-Mail-Konversationen ein und imitieren Anbieter, die Teil von echten Geschäftstransaktionen sind. Bei diesen Methoden spielt Vertrautheit und Kontext eine größere Rolle als technische Exploits.
Kontrollen, die sich ausschließlich auf E-Mail-Inhalte oder die Reputation des Absenders konzentrieren, übersehen deshalb häufig die wichtigsten Signale, nämlich wie Menschen kommunizieren, wem sie vertrauen und ob eine Anfrage zum normalen Verhalten passt. Um diese Signale zu erkennen, ist ein anderer Ansatz erforderlich.
So verhindern Sie BEC-Angriffe
Um das Risiko für BEC-Angriffe zu minimieren, ist ein mehrstufiger Ansatz erforderlich, bei dem Identitäten, Verhaltensweisen und Geschäftsprozesse im Mittelpunkt stehen. In der Praxis bedeutet das Folgendes:
- Verstehen von Kommunikationsmustern und Beziehungen
- Anwendung von Kontrollen auf interne Nachrichten und solche mit hohem Risiko
- Schulung von Mitarbeitern im Erkennen und Überprüfen verdächtiger Anfragen
- Einsatz von Authentifizierungsprotokollen als Teil einer umfassenden Erkennungsstrategie
- Überwachung auf Kontenkompromittierungen und ungewöhnliche Aktivitäten
1. Analyse von Kommunikationsmustern und Beziehungen
BEC-Angreifer ahmen legitime Kommunikation nach. Daher ist es wichtig, dass Sie verstehen, wie Ihre Anwender normalerweise miteinander kommunizieren. Eine wirksame Lösung zum Schutz vor BEC unterstützt Sie in folgenden Punkten:
- Erfassung der normalen Kommunikationsweise der Anwender
- Identifizierung von Anfragen, die sich im Ton oder Format von der üblichen Kommunikation unterscheiden
- Warnung vor Interaktionen, die nicht mit etablierten Beziehungen übereinstimmen
2. Anwendung von Kontrollen auf interne und riskante Kommunikation
Interne Transparenz und Kontrollen machen es Angreifern schwer, kompromittierte Konten zu missbrauchen. Ihr Unternehmen benötigt deshalb Schutzfunktionen, die über den E-Mail-Perimeter hinausgehen und Ihnen Folgendes ermöglichen:
- Überwachung interner E-Mails auf ungewöhnliche oder riskante Aktivitäten
- Anwendung strengerer Kontrollen für Mitarbeiter der Finanz- und Personalabteilung sowie für Führungskräfte
- Warnung bei Nachrichten, die unter Druck setzen sollen oder ungewöhnliche Zahlungsanfragen enthalten
3. Bereitstellung gezielter Mitarbeiterschulungen
Ihre Mitarbeiter sind die letzte Verteidigungslinie gegen BEC-Angriffe – Schulungen müssen daher die reale Praxis widerspiegeln. Kontinuierliche, rollenspezifische Security-Awareness-Schulungen bereiten sie gezielt auf Folgendes vor:
- Identifizieren von Nachahmungsversuchen von Führungskräften
- Erkennen von Betrugsszenarien in Bezug auf Anbieter und Rechnungen
- Erkennen von Warnsignalen und Hinterfragen von Anfragen, bei denen normale Prozesse umgangen werden
4. Einsatz von Authentifizierungsprotokollen als Teil einer umfassenden Strategie
Authentifizierungsprotokolle können das Spoofing-Risiko verringern, sind jedoch nur ein Teil der Lösung. Deshalb müssen sie zusammen mit identitäts- und verhaltensbasierten Kontrollen implementiert werden, um Folgendes zu erreichen:
- Abwehr von Domain-Spoofing mithilfe von DMARC, SPF und DKIM
- Erkennung von Bedrohungen, die Authentifizierung umgehen (z. B. kompromittierte Konten)
- Identifizierung von Thread-Hijacking und Social-Engineering-Techniken
- Verbesserung der allgemeinen E-Mail- und Identitätssicherheitslage
5. Überwachung auf Kontenkompromittierungen und ungewöhnliche Aktivitäten
Durch die frühzeitige Erkennung ungewöhnlicher Aktivitäten kann verhindert werden, dass Angreifer Zugriff erhalten oder in der Unternehmensumgebung verweilen. Ihr Sicherheitsteam benötigt Einblicke in die Anwenderaktivitäten und das Kontoverhalten, die ihm Folgendes ermöglichen:
- Identifizierung von Anmeldungen, die nicht den normalen Mustern entsprechen
- Erkennung plötzlicher Änderungen im Sendeverhalten
- Überwachung auf verdächtige Postfachregeln oder -aktivitäten
Wirksame Maßnahmen gegen BEC
Um das BEC-Risiko zu verringern, sollte der Fokus nicht so sehr auf der Filterung von Nachrichten liegen, sondern vielmehr darauf, wie Angreifer Menschen, Beziehungen und Arbeitsabläufe ausnutzen.
Wirksame Schutzmaßnahmen basieren auf folgenden Bausteinen:
- Frühzeitige Erkennung von Identitätskompromittierungen
- Identifizierung von abnormalem Kommunikationsverhalten
- Überwachung der Kommunikation mit Anbietern sowie aller Vorgänge, die Zahlungsprozesse betreffen
- Transparenz über Cloud-Umgebungen wie Microsoft 365
BEC ist ein Problem, das Geschäftsprozesse betrifft. Um die Bedrohung abzuwehren, sind deshalb koordinierte Kontrollen erforderlich, die Menschen, Technik und Arbeitsabläufe miteinbeziehen. Der nächste Schritt besteht darin, sie so einzusetzen, dass sie in Ihrer Umgebung gut funktionieren.
So kann Proofpoint Ihnen helfen
Obwohl viele Unternehmen bereits eine E-Mail-Sicherheitslösung implementiert haben, gelingt es BEC-Angriffen immer wieder durchzudringen. Das Problem ist, dass diese E-Mails nicht schädlich wirken, sondern wie normale Geschäftskorrespondenz aussehen und dadurch von herkömmlichen Kontrollen nicht erkannt werden.
Proofpoint schließt diese Lücke mit einem personenzentrierten Ansatz zur E-Mail-Sicherheit und bietet Ihnen folgende Vorteile:
- Frühzeitige Erkennung von kompromittierten Konten und Identitätsmissbrauch
- Identifizierung von betrügerischen Anfragen, die legitim erscheinen
- Schutz von Zahlungsabläufen und Anbieterkommunikation
- Umfassende Transparenz über Bedrohungen in verschiedenen Umgebungen wie Microsoft 365
Proofpoint Core Email Protection nutzt KI, Verhaltensanalysen und Bedrohungsdaten, um hochentwickelte E-Mail-Bedrohungen wie BEC, Phishing und Kontoübernahmen zu stoppen. Die Lösung unterstützt sowohl sichere E-Mail-Gateways als auch API-basierte Bereitstellungen, sodass Sie Ihre Umgebung entsprechend den Anforderungen Ihres Unternehmens schützen können.
Oft werden Lücken im BEC-Schutz erst sichtbar, nachdem ein Angriff erfolgreich war. Sind Sie bereit, die Lücken in Ihrer E-Mail-Sicherheit zu schließen?