CEO-Betrug und BEC erkennen: Schweizer KMU

Die entscheidende Abgrenzung: Täuschung oder kompromittiertes Postfach?

Für die erste Reaktion ist nicht entscheidend, wie überzeugend eine Nachricht aussieht. Entscheidend ist, ob lediglich der Absender vorgetäuscht wurde oder ob jemand unbefugt Zugriff auf ein echtes Firmenpostfach hat. Beides kann zu Zahlungsbetrug führen. Die technischen und organisatorischen Folgen sind jedoch unterschiedlich.

Beim CEO-Betrug wird eine Führungsperson imitiert. Häufig erhält die Buchhaltung eine angeblich vertrauliche, eilige Anweisung, Geld zu überweisen oder Geschenkkarten zu kaufen. Die Angreifer können Namen, Funktionen und E-Mail-Adressen aus öffentlich verfügbaren Quellen ableiten. Das BACS warnt ausdrücklich davor, Geld zu überweisen oder Geschenkkarten zu kaufen, ohne vorher Rücksprache zu halten. ^[2]

BACS weist seit der vorangehenden Quellenprüfung zudem darauf hin, dass einzeln harmlos wirkende, kombinierte Informationen personalisiertes Phishing, Identitätsdiebstahl oder gezielten Betrug erleichtern können. Zusammen mit öffentlich zugänglichen Angaben zu Namen, Funktionen und E-Mail-Adressen können solche Informationen die Vorbereitung einer glaubwürdigen Täuschung erleichtern. ^{[2] [12]}

Beim Business Email Compromise (BEC), auf Deutsch häufig Rechnungsmanipulationsbetrug, missbrauchen Täter einen glaubwürdigen Geschäftskontext, um Zahlungen umzuleiten. Dies kann über ein kompromittiertes Postfach und einen echten Verlauf geschehen; auch eine täuschend ähnliche Absenderadresse kann Teil des Betrugs sein. Eine veränderte IBAN in einer scheinbar plausiblen Rechnung ist deshalb kein Nachweis für die Echtheit einer Zahlungsanweisung. ^[1]

Die Zuordnung ist eine Arbeitshypothese, kein Freigabesignal. Eine täuschend echte Nachricht kann auch ein Hinweis auf ein kompromittiertes Konto sein. Umgekehrt kann ein echter Absender nach einem Kontoangriff fremdgesteuert handeln. Buchhaltung, Geschäftsleitung und IT sollten deshalb mit einer gemeinsamen Eskalationsregel arbeiten: Zahlung pausieren, unabhängig bestätigen, Verdacht intern melden.

So läuft ein BEC-Angriff typischerweise ab

Ein BEC-Angriff verbindet oft technische Kompromittierung mit sorgfältiger Täuschung. Zugangsdaten können etwa durch Phishing oder aus einem Datenabfluss stammen. Nach der Übernahme beobachten Täter das Konto und suchen nach Rechnungen, Lieferanten, Zeichnungsberechtigten und Zahlungszeitpunkten. Anschliessend setzen sie eine Nachricht in einem realen E-Mail-Verlauf ab oder ändern die Bankverbindung für künftige Rechnungen. ^{[1] [3]}

Die Wirkung entsteht nicht allein durch die E-Mail. Sie entsteht aus dem Zusammenspiel von vertrautem Kontext, Zeitdruck und einer Lücke im Zahlungsprozess. Ein Prozess, der eine neue IBAN nur mit der E-Mail des Lieferanten bestätigt, übernimmt die Annahme der Angreifer. Der Gegenbeweis muss ausserhalb des E-Mail-Kanals erfolgen.

Hypothetisches Praxisbeispiel: Die geänderte Lieferanten-IBAN

Das Beispiel zeigt den Kern: Die Rückbestätigung muss eine unabhängig bekannte Kontaktinformation verwenden. Eine Nummer, ein Link oder eine Antwortadresse aus der verdächtigen Nachricht ist kein unabhängiger Kanal.

Warnzeichen, die eine Zahlung stoppen müssen

Nicht jedes Warnzeichen belegt einen Betrug. Mehrere Signale oder eine Änderung von Zahlungsdaten genügen jedoch, um den normalen Ablauf zu unterbrechen. Legen Sie diese Stoppsignale gemeinsam mit Geschäftsleitung und Buchhaltung fest:

• Eine neue oder geänderte IBAN, ein neues Empfängerkonto oder eine abweichende Zahlungsanweisung trifft per E-Mail ein.
• Der Auftrag verlangt aussergewöhnliche Eile, Vertraulichkeit oder das Übergehen der üblichen Freigabe.
• Eine Führungsperson ist angeblich nicht telefonisch erreichbar oder verlangt Kommunikation ausschliesslich per E-Mail.
• Betrag, Zahlungszeitpunkt, Empfänger oder Verwendungszweck weichen vom Vertrag, der Bestellung oder dem Stammdatensatz ab.
• Die Nachricht fordert Geschenkkarten, eine Aufteilung auf mehrere Zahlungen oder eine Zahlung ausserhalb des bisherigen Lieferantenprozesses.
• Das Mail erscheint zwar echt, passt aber nicht zu üblichen Schreibweisen, Rollen oder dem vereinbarten Ablauf.

Gute Grammatik, ein korrektes Logo oder ein echter Mailverlauf widerlegen den Verdacht nicht. Aktuelle Phishing-Nachrichten können professionell formuliert sein. CISA empfiehlt, verdächtige Links oder Anhänge nicht zu öffnen und die angebliche Person oder Organisation über einen bereits bekannten oder unabhängig ermittelten Kontaktweg zu überprüfen. ^[4]

Das BACS beschrieb am 20. Oktober 2026 Hotelbuchungs-Phishing mit echten Buchungsdetails, nachgeahmten Webseiten und einer vorgetäuschten Rückerstattung. Im beschriebenen Ablauf versuchen die Täter auch, eine Zweitfaktor-Bestätigung für einen im Hintergrund gestarteten Zugriff zu erhalten. Für Zahlungs- und Freigabeprozesse ist daran nur das Prüfmuster relevant: Echte Kontextdaten und eine unter einem Vorwand verlangte Bestätigung ersetzen keine unabhängige Verifikation. Bei einer Aufforderung zu einem Code, QR-Scan oder einer Freigabe öffnen Mitarbeitende die bekannte App oder Website selbst oder rufen die unabhängig ermittelte offizielle Nummer an. Sie verwenden weder den Link aus der Nachricht noch geben sie angeforderte Codes weiter. Diese Phishing-Orientierung ist keine Anweisung zu einem bestimmten Bank- oder Zahlungsprodukt. ^[11]

Prävention: Zahlungen unabhängig von E-Mails absichern

1. Einen verbindlichen Zahlungsprüfprozess festlegen

Definieren Sie, welche Fälle zwingend eine unabhängige Rückbestätigung benötigen. Dazu gehören mindestens Änderungen von Bankverbindungen, aussergewöhnliche Zahlungsaufträge und Zahlungsanweisungen, die von den hinterlegten Lieferantendaten abweichen. Nutzen Sie dafür das druckbare Zahlungsprüfprotokoll und legen Sie Eigentümer, Stellvertretung und Ablageort fest.

Die Rückbestätigung erfolgt durch eine Person, die nicht allein über die Zahlung entscheidet. Sie verwendet eine Telefonnummer oder einen Kontakt aus einem bereits geprüften Vertrag, einem freigegebenen Stammdatensatz oder einer unabhängig aufgerufenen offiziellen Website. Dokumentieren Sie Zeitpunkt, Kontaktperson, Rückrufnummer, bestätigte IBAN und Ergebnis. Erst danach darf die Bankverbindung im Lieferantenstamm geändert werden.

2. Vier-Augen-Freigabe und saubere Rollen einrichten

Die Person, die Lieferantenstammdaten ändert, sollte nicht allein auch die Zahlung auslösen und freigeben können. Ein Vier-Augen-Prinzip bedeutet hier: Zwei berechtigte Personen prüfen unterschiedliche Teile des Vorgangs nachvollziehbar. Die Geschäftsleitung definiert die Schwellenwerte und Ausnahmen. Sie erhält eine periodische Übersicht über neue Bankverbindungen, zurückgewiesene Anweisungen und Prozessabweichungen.

Diese Kontrollen gehören in das Cyber-Risikomanagement: Das Risiko ist nicht nur eine einzelne Phishing-Nachricht, sondern der mögliche finanzielle und operative Schaden, wenn ein kritischer Zahlungsprozess umgangen wird.

3. E-Mail-Identitäten und Versanddomain schützen

IT reduziert die Wahrscheinlichkeit eines Kontoangriffs mit eindeutigen Konten, Mehrfaktor-Authentisierung (MFA), aktuellen Systemen und einem geregelten Verfahren für Wiederherstellung und privilegierte Zugänge. MFA verlangt neben dem Passwort einen weiteren Nachweis und erschwert die Übernahme allein mit gestohlenen Passwörtern. Sie ersetzt aber nicht den Zahlungsprüfprozess: Ein bereits kompromittiertes Konto kann dennoch glaubwürdige Zahlungsanweisungen versenden.

Für die eigene Versanddomain sind SPF, DKIM und DMARC wichtige Bausteine. SPF legt fest, welche Server im Namen einer Domain senden dürfen. DKIM versieht Nachrichten mit einer kryptografischen Signatur. DMARC verknüpft die Prüfung mit der sichtbaren Absenderdomain und gibt empfangenden Systemen eine Behandlungsrichtlinie für nicht authentisierte Nachrichten. Die Standards helfen insbesondere gegen das Spoofing der eigenen Domain und liefern Berichte für die Überwachung. Sie sind jedoch kein Schutz gegen einen Angreifer, der aus einem tatsächlich übernommenen Mailkonto sendet. ^[5]

Die technische Konfiguration gehört in eine risikobasierte Sicherheitsanalyse, nicht in eine isolierte DNS-Änderung. Prüfen Sie vor einer verschärften DMARC-Richtlinie alle legitimen Versandquellen, etwa ERP, Newsletter- und Ticket-Systeme, und werten Sie die Berichte aus.

4. Auffälligkeiten sichtbar und meldefähig machen

IT braucht Protokolle und Warnungen für ungewöhnliche Anmeldungen, Änderungen von MFA-Methoden, neue Weiterleitungsregeln, delegierte Zugriffe und verdächtige Mailversände. Die Buchhaltung braucht einen einfachen Meldeweg ohne Schuldzuweisung.

Trainieren Sie mit kurzen, rollenbezogenen Szenarien. Für die Buchhaltung steht die Prüfung einer IBAN im Vordergrund. Für Führungspersonen geht es darum, nie ausserhalb des vereinbarten Prozesses zu intervenieren. Für IT geht es um Erkennung, Zugriffssicherung und Beweissicherung. Die weiterführenden Beiträge zu Microsoft 365 MFA und Passkeys und zur Microsoft-365-Sicherheit im KMU helfen bei der technischen Vertiefung.

Erstreaktion: Was bei Verdacht oder bestätigtem Vorfall zu tun ist

Die folgenden Schritte trennen die akute Zahlungsentscheidung von der technischen Untersuchung. Die Reihenfolge soll Schäden begrenzen; sie ersetzt keine forensische oder rechtliche Einzelfallbeurteilung.

Verdächtige, noch nicht ausgeführte Zahlung

1. Zahlung und Stammdatenänderung anhalten. Keine Antwort auf die verdächtige Nachricht, keine Verwendung von Links, Anhängen oder Kontaktdaten daraus.
2. Unabhängig rückbestätigen. Lieferant oder Führungsperson über einen bereits verifizierten Kontakt erreichen. Bestätigen Sie Auftrag, Betrag, IBAN und Dringlichkeit.
3. Entscheid dokumentieren. Protokollieren Sie Anlass, Rückruf, Resultat und Freigaben im Zahlungsprüfprotokoll.
4. Intern eskalieren. Informieren Sie die festgelegte Stelle in Buchhaltung und IT. Bei Anzeichen für ein kompromittiertes Firmenpostfach übernimmt IT den Vorfallprozess.

Zahlung bereits ausgeführt

Kontaktieren Sie unverzüglich Ihre Bank und schildern Sie die mutmasslich betrügerische Zahlung. Das BACS weist darauf hin, dass die Bank eine Zahlung unter Umständen noch stoppen kann; eine Rückholung ist damit nicht garantiert. Sichern Sie Rechnung, Zahlungsauftrag, vollständige E-Mail-Kopfzeilen, Zeitpunkte und die Rückbestätigung. Erstatten Sie bei finanziellem Schaden Anzeige bei der zuständigen Kantonspolizei. ^{[1] [3]}

Die Geschäftsleitung führt die Entscheidung über weitere Kommunikation und Prioritäten. IT klärt parallel, ob die eigene E-Mail-Umgebung betroffen sein kann. Lieferanten und andere Kontakte werden nicht über Links aus verdächtigen Nachrichten kontaktiert, sondern über gesicherte Kanäle informiert.

Eigenes E-Mail-Konto vermutlich kompromittiert

Behandeln Sie dies als Sicherheitsvorfall. Sichern Sie zuerst die Kontrolle über die Identität und erhalten Sie Belege, bevor Routinearbeiten die Spuren verwischen. Die konkrete technische Reihenfolge muss zu Ihrem Maildienst, Ihrer Identitätsarchitektur und laufenden Ermittlungen passen.

• Beschränken Sie gemäss Ihrem Notfallverfahren den unbefugten Zugriff und sichern Sie relevante Protokolle, Nachrichten und Konfigurationsstände.
• Ändern Sie das Passwort, wenn der Zugriff noch möglich ist, und prüfen Sie registrierte MFA-Methoden, Sitzungen, delegierte Zugriffe und Adminrollen.
• Kontrollieren und entfernen Sie fremde Mail-Weiterleitungsregeln. BACS hebt diese Prüfung ausdrücklich hervor, weil Täter nach einer Passwortänderung sonst weiter Mails erhalten können. ^[3]
• Setzen Sie Passwörter von Diensten zurück, deren Wiederherstellung an das kompromittierte Postfach gebunden ist, und prüfen Sie Endgeräte auf aktuelle Updates und Schadsoftware. ^[3]
• Informieren Sie betroffene Kontakte über einen vertrauenswürdigen Kanal, damit sie betrügerische Nachrichten erkennen können. Lassen Sie die E-Mail-Infrastruktur fachlich analysieren, wenn im Namen Ihrer Firma gefälschte Rechnungen versendet wurden. ^[1]

Ein strukturierter Ablauf mit Rollen, Kontakten, Entscheidpunkten und Nachbearbeitung gehört in die IT-Notfallplanung. NIST empfiehlt, Incident Response in das laufende Cyber-Risikomanagement einzubetten, um Erkennung, Reaktion und Wiederherstellung wirksamer zu gestalten. ^[6]

Datenschutz und Meldungen in der Schweiz richtig einordnen

Ein kompromittiertes Postfach kann eine Verletzung der Datensicherheit sein, wenn Personendaten unbeabsichtigt oder widerrechtlich verloren gehen, verändert oder Unbefugten offengelegt oder zugänglich gemacht werden. Ob eine Meldung notwendig ist, hängt nicht vom Begriff «BEC» ab, sondern von den konkreten Fakten und Risiken. ^[7]

Nach Art. 24 DSG muss der Verantwortliche dem EDÖB eine Verletzung der Datensicherheit so rasch als möglich melden, wenn sie voraussichtlich zu einem hohen Risiko für Persönlichkeit oder Grundrechte betroffener Personen führt. Der Verantwortliche informiert betroffene Personen, wenn dies zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. Die Datenschutzverordnung verlangt ausserdem eine Dokumentation der Tatsachen, Auswirkungen und ergriffenen Massnahmen; diese ist ab dem Zeitpunkt der Meldung mindestens zwei Jahre aufzubewahren. ^{[8] [9]}

Unabhängig davon gilt seit 1. April 2025 für Betreiberinnen und Betreiber kritischer Infrastrukturen eine BACS-Meldepflicht für erfasste Cyberangriffe innerhalb von 24 Stunden nach Entdeckung. Ein gewöhnliches KMU ist dadurch nicht automatisch meldepflichtig. Prüfen Sie den Anwendungsbereich und allfällige sektorielle Anforderungen im Einzelfall. Auch nicht meldepflichtige Organisationen können Cybervorfälle freiwillig an das BACS melden. ^{[10] [13]}

Typische Fehler, die den Schutz aushebeln

Der häufigste Fehler ist, eine E-Mail als ausreichenden Nachweis für eine neue Bankverbindung zu behandeln. Beim BEC ist gerade dieser Kanal nicht mehr verlässlich. Auch die Rückbestätigung über eine Nummer aus der verdächtigen Nachricht bestätigt nur die Kontrolle der Täter über den Kontaktweg.

Technische Kontrollen ohne klare Zahlungsrollen reichen ebenfalls nicht. MFA, Spamfilter und DMARC ersetzen weder Stammdaten-Kontrollen noch Freigaben. Beschränkt sich die Reaktion auf einen Passwortwechsel, können übersehene Weiterleitungen, Sitzungen oder Wiederherstellungswege den Zugriff fortsetzen.

Ein 30-Tage-Startplan für Zahlungs- und E-Mail-Kontrollen

Beginnen Sie mit einem gemeinsamen Termin von Geschäftsleitung, Buchhaltung und IT. Erfassen Sie Wege für Bankverbindungsänderungen und Sonderzahlungen. Entscheiden Sie, wann Rückruf und Vier-Augen-Freigabe zwingend sind. Benennen Sie Stellvertretungen und testen Sie das Protokoll an einem hypothetischen Lieferantenwechsel.

Prüfen Sie danach kritische E-Mail-Konten: MFA, Berechtigungen, Wiederherstellungswege, Protokollierung, Weiterleitungsregeln und Domain-Authentisierung. Ordnen Sie Befunde nach Geschäftsrisiko und üben Sie die Erstreaktion. Halten Sie offene Punkte im Notfallplan fest.

Quellen