Business Email Compromise: Warum CEO Fraud die größte Gefahr für den Mittelstand ist

Kein Exploit, kein Virus, keine Zero-Day-Lücke – die teuerste Angriffsform 2026 kommt als ganz normale E-Mail. Business Email Compromise (BEC) macht laut aktuellen Analysen über 80 % aller Cyber-Vorfälle im europäischen Mittelstand aus. Durchschnittlicher Schaden pro Vorfall: 137.000 Euro. Dieser Artikel erklärt, wie BEC-Angriffe funktionieren, warum KMU besonders betroffen sind und welche Schutzmaßnahmen unter NIS2 Pflicht sind.

Was ist Business Email Compromise?

Business Email Compromise – auf Deutsch etwa „Geschäfts-E-Mail-Betrug“ – bezeichnet Angriffe, bei denen Kriminelle sich als vertrauenswürdige Person ausgeben, um Mitarbeiter zu täuschen. Anders als bei klassischem Phishing mit Massen-E-Mails sind BEC-Angriffe gezielt, personalisiert und oft technisch kaum von legitimen Nachrichten zu unterscheiden.

Die häufigste Variante ist der sogenannte CEO Fraud: Angreifer geben sich als Geschäftsführung aus und weisen die Buchhaltung an, eine dringende Überweisung durchzuführen. Andere Varianten zielen auf Lieferanten­rechnungen, Gehalts­abrechnungen oder vertrauliche Daten. Allen gemeinsam: Es wird kein Schadcode eingesetzt. Der Angriff funktioniert rein über Vertrauen und Autorität.

Die fünf BEC-Varianten, die KMU kennen müssen

Warum der Mittelstand besonders betroffen ist

Großkonzerne haben dedizierte Security-Teams, mehrstufige Freigabe­prozesse und Security-Awareness-Programme. Im Mittelstand fehlen diese Strukturen oft. Gleichzeitig sind die Beträge hoch genug, um sich für Angreifer zu lohnen, aber niedrig genug, um nicht sofort aufzufallen. Das BSI bestätigt: Rund 80 % aller Ransomware- und BEC-Angriffe richten sich gegen kleine und mittlere Unternehmen.

Hinzu kommt: KI hat die Einstiegshürde für BEC-Angriffe massiv gesenkt. Angreifer nutzen generative KI, um sprachlich einwandfreie E-Mails in der Landessprache des Ziels zu formulieren – inklusive korrekter Anrede, Firmen­jargon und Bezug auf reale Projekte. Die Zeiten schlecht formulierter Betrugs-Mails sind vorbei. Microsoft dokumentiert einen Anstieg textbasierter BEC-Angriffe um 68 % seit Einführung öffentlich zugänglicher KI-Modelle.

BEC und NIS2: Warum das Thema Compliance-relevant ist

Seit Dezember 2025 ist das NIS2-Umsetzungs­gesetz in Deutschland geltendes Recht. § 30 BSIG fordert von betroffenen Unternehmen unter anderem Sicherheit in der Kommunikation, Zugangs­kontrolle und Bewusstseins­bildung für Mitarbeiter. BEC-Schutz ist damit keine freiwillige Maßnahme, sondern gesetzliche Pflicht.

Wer als Geschäftsführer persönlich haftet und keinen nachweisbaren BEC-Schutz implementiert hat, riskiert Bußgelder bis zu 10 Millionen Euro. Zudem muss ein erfolgreicher BEC-Angriff mit Datenverlust innerhalb von 24 Stunden beim BSI gemeldet werden – die NIS2-Meldepflichten gelten auch für nicht-technische Angriffe.

Sieben Schutzmaßnahmen, die jedes KMU umsetzen kann

1. Multi-Faktor-Authentifizierung für alle E-Mail-Konten

In 41 % der BEC-Fälle erlangen Angreifer Zugang durch Phishing-Techniken, die Zugangsdaten abgreifen. MFA ist unter NIS2 Pflicht – und die wichtigste einzelne Maßnahme gegen Konto­übernahmen. Aktivieren Sie MFA für sämtliche E-Mail-Konten, insbesondere für Geschäftsführung und Finanzabteilung.

2. Vier-Augen-Prinzip für Überweisungen

Jede Überweisung über einem definierten Schwellenwert sollte von einer zweiten Person freigegeben werden – und zwar über einen separaten Kommunikations­kanal (Telefon, persönlich), nicht per E-Mail-Antwort. Diese einfache Regel hätte die Mehrheit aller CEO-Fraud-Fälle verhindert.

3. E-Mail-Authentifizierung: SPF, DKIM und DMARC

Technische E-Mail-Authentifizierung verhindert, dass Angreifer E-Mails im Namen Ihrer Domain versenden können. SPF, DKIM und DMARC sind der technische Grundpfeiler gegen Domain-Spoofing. TSMONDO prüft die korrekte Konfiguration im Rahmen des IT-Security-Checks.

4. Security-Awareness-Schulungen

Mitarbeiter müssen BEC-Muster erkennen: ungewöhnliche Dringlichkeit, Geheimhaltungs­aufforderungen, geänderte Bankverbindungen, Abweichungen im Schreibstil. Regelmäßige Schulungen mit realen Beispielen sind nach § 30 BSIG Teil der NIS2-Mindestmaßnahmen.

5. Prozesse für Bankverbindungs­änderungen

Änderungen an Bankverbindungen von Lieferanten oder Partnern dürfen nie auf Basis einer E-Mail allein durchgeführt werden. Definieren Sie einen festen Prüfprozess: Rückruf über die bekannte Nummer, schriftliche Bestätigung, dokumentierte Freigabe.

6. Technische E-Mail-Filter und KI-Erkennung

Moderne E-Mail-Gateways erkennen BEC-typische Muster: Absender-Anomalien, Display-Name-Spoofing, verdächtige Weiterleitungs­regeln im Postfach. Prüfen Sie, ob Ihr aktueller E-Mail-Provider BEC-spezifische Filter anbietet und aktiviert hat.

7. Incident-Response-Plan für BEC-Vorfälle

Wenn ein BEC-Angriff erfolgreich war, zählt jede Minute. Banken können Überweisungen in den ersten Stunden oft noch stoppen. Ein vorbereiteter Incident-Response-Plan mit klaren Eskalations­wegen, Bank-Kontakten und BSI-Meldevorlage kann den Schaden erheblich begrenzen.

Fazit: BEC-Schutz ist kein Luxus, sondern Pflicht

Business Email Compromise ist die häufigste, profitabelste und am meisten unterschätzte Angriffsform im Mittelstand. Die gute Nachricht: Die wirksamsten Gegenmaßnahmen sind nicht teuer. MFA, Vier-Augen-Prozesse und Mitarbeiter­schulungen kosten einen Bruchteil dessen, was ein einziger erfolgreicher Angriff an Schaden verursacht. Unter NIS2 sind diese Maßnahmen ohnehin gesetzlich gefordert – wer sie nicht umsetzt, haftet persönlich.

Weiterlesen