Was ist passiert?
CERT.at berichtete am 26. August 2026, dass in den vorangegangenen Wochen vermehrt Meldungen über Business-E-Mail-Compromise-Versuche gegen österreichische Unternehmen und Organisationen eingegangen seien. BEC ist keine einzelne technische Angriffsmethode, sondern eine Gruppe von Betrugsszenarien, bei denen sich Angreifer als vertrauenswürdige Personen ausgeben.
Typische Beispiele sind vermeintliche Nachrichten der Geschäftsführung mit einer dringenden Zahlungsanweisung, angebliche Lieferanten mit „neuen“ Bankdaten oder manipulierte E-Mail-Verläufe rund um eine tatsächlich erwartete Rechnung. Besonders überzeugend wird ein Angriff, wenn Kriminelle zuvor Zugriff auf ein echtes E-Mail-Konto erlangt haben und sich in eine bestehende Kommunikation einschalten.
Der entscheidende Unterschied zu vielen klassischen Phishing-Mails: Eine BEC-Nachricht muss keinen verdächtigen Anhang und keinen auffälligen Link enthalten. Oft genügt eine glaubwürdige Geschichte, die zur richtigen Zeit bei der richtigen Person landet.
Wer ist betroffen – und warum ist das relevant?
Grundsätzlich kann jede Organisation betroffen sein, die Rechnungen bezahlt, Lieferanten verwaltet oder sensible Informationen per E-Mail austauscht. Besonders attraktiv sind Buchhaltung, Einkauf, Personalabteilungen und Führungskräfte.
Für Gemeinden, Energieversorger und andere Betreiber technischer Infrastruktur ist das Thema ebenfalls relevant. Solche Organisationen arbeiten mit zahlreichen Lieferanten, Dienstleistern und externen Partnern zusammen. Rechnungen, Wartungsaufträge, Beschaffung und Änderungen von Stammdaten gehören zum normalen Arbeitsalltag. Genau diese gewohnten Abläufe können Kriminelle nachahmen.
CERT.at nennt mehrere typische Warnzeichen: ungewöhnliche Dringlichkeit, die Forderung nach Geheimhaltung, das Umgehen etablierter Freigaben sowie plötzlich geänderte Bankverbindungen. Auch minimale Abweichungen in der Absenderdomain oder unerwartete Anmeldungen bei einem Mailkonto können auf einen Angriff hindeuten.
Das BSI behandelt den sogenannten CEO-Fraud ebenfalls als relevantes Social-Engineering-Szenario und betont die Bedeutung organisatorischer Schutzmaßnahmen und der Sensibilisierung von Beschäftigten.
Was sollte man daraus ableiten?
Der wichtigste Schutz gegen BEC ist nicht ein einzelnes Sicherheitsprodukt, sondern ein fester Geschäftsprozess, der auch unter Zeitdruck nicht umgangen werden darf.
Wird beispielsweise per E-Mail eine neue Bankverbindung mitgeteilt, sollte diese Änderung über einen zweiten, bereits bekannten Kommunikationsweg überprüft werden. CERT.at empfiehlt dafür ausdrücklich einen telefonischen Rückruf über eine zuvor gespeicherte Nummer – nicht über eine Telefonnummer, die erst in der verdächtigen Nachricht genannt wird.
Ebenso wichtig ist das Vier-Augen-Prinzip: Eine Person sollte eine Zahlung nicht gleichzeitig allein freigeben und ausführen können. Eine vermeintliche Nachricht der Geschäftsführung darf solche Regeln nicht außer Kraft setzen.
Technische Maßnahmen bleiben dennoch wichtig. Moderne Mehr-Faktor-Authentifizierung erschwert die Übernahme von E-Mail-Konten. SPF, DKIM und DMARC helfen dabei, gefälschte Absenderdomains zu erkennen beziehungsweise zurückzuweisen. Microsoft weist darauf hin, dass diese Verfahren gemeinsam eingesetzt werden sollten, weil sie unterschiedliche Teile der E-Mail-Authentifizierung absichern.
Dabei ist eine wichtige Einschränkung zu beachten: E-Mail-Authentifizierung schützt vor vielen Formen des Absender-Spoofings, aber nicht automatisch vor Nachrichten, die aus einem tatsächlich kompromittierten Konto eines Lieferanten stammen. Deshalb bleiben Rückruf, Vier-Augen-Prinzip und klar definierte Freigaben unverzichtbar.
Handlungsempfehlungen
- Änderungen von Bankdaten immer gegenprüfen: Neue Kontoverbindungen von Lieferanten oder Dienstleistern niemals ausschließlich aufgrund einer E-Mail übernehmen.
- Über bekannte Kontaktdaten zurückrufen: Für die Bestätigung eine bereits gespeicherte Telefonnummer verwenden und keine Nummer aus der fraglichen Nachricht übernehmen.
- Vier-Augen-Prinzip konsequent anwenden: Kritische Überweisungen und Änderungen von Zahlungsdaten sollten immer von einer zweiten Person geprüft werden.
- Dringlichkeit nicht als Ausnahme akzeptieren: Aussagen wie „sofort“, „streng vertraulich“ oder „ohne Rückfrage durchführen“ sind ein Warnsignal und kein Grund, Prozesse zu überspringen.
- E-Mail-Konten mit MFA absichern: Besonders Konten von Führungskräften, Buchhaltung, Einkauf und Administration sollten mit moderner Mehr-Faktor-Authentifizierung geschützt werden.
- SPF, DKIM und DMARC korrekt konfigurieren: Diese Verfahren erschweren die missbräuchliche Verwendung der eigenen Domain für gefälschte E-Mails.
- Verdächtige Kontoaktivitäten überwachen: Ungewöhnliche Anmeldungen, neue Weiterleitungsregeln oder plötzlich veränderte Login-Muster sollten automatisiert gemeldet und geprüft werden.
Quellen
„Häufung von Betrugsversuchen durch Business Email Compromise (BEC)“ – CERT.at, 26. August 2026. CERT.at beschreibt aktuell beobachtete BEC-Szenarien in Österreich, typische Erkennungsmerkmale sowie organisatorische und technische Gegenmaßnahmen.
CERT.at: Häufung von Betrugsversuchen durch BEC
„Cybersicherheit für KMU“ – Bundesamt für Sicherheit in der Informationstechnik (BSI). Die BSI-Empfehlungen behandeln unter anderem CEO-Fraud und die Bedeutung organisatorischer Schutzmaßnahmen sowie Mitarbeitersensibilisierung.
BSI: Cybersicherheit für KMU
„Deep Fakes – Threats and Countermeasures“ – Bundesamt für Sicherheit in der Informationstechnik (BSI). Das BSI beschreibt unter anderem Social Engineering und CEO-Fraud als Szenarien, bei denen manipulierte oder vorgetäuschte Identitäten für Betrugsversuche eingesetzt werden können.
BSI: Deep Fakes – Threats and Countermeasures
„Funktionsweise der E-Mail-Authentifizierung in Microsoft 365“ – Microsoft. Die technische Dokumentation erläutert das Zusammenspiel von SPF, DKIM und DMARC beim Schutz vor gefälschten Absendern.
Microsoft: E-Mail-Authentifizierung mit SPF, DKIM und DMARC