Business E-Mail Compromise: Was Unternehmen tun, wenn ein Firmenpostfach übernommen wurde

Business Email Compromise (BEC) bezeichnet Angriffe, bei denen Täter ein E-Mail-Konto eines Unternehmens übernehmen oder vortäuschen, um Zahlungen umzuleiten oder an vertrauliche Daten zu gelangen. Die Folgen sind selten nur technisch. Ein übernommenes Postfach kann gefälschte Rechnungen an Kunden schicken, echte Überweisungen auf fremde Konten lenken und eine Meldepflicht nach der DSGVO auslösen.

Dieser Beitrag zeigt, woran sich ein solcher Angriff erkennen lässt, welche Schritte in Microsoft 365 in welcher Reihenfolge nötig sind und was zwischen Bank, Anzeige und Datenschutzbehörde zu beachten ist. Er richtet sich an Geschäftsführung und IT-Verantwortliche im Mittelstand.

Was unterscheidet Business Email Compromise von gewöhnlichem Phishing?

Beim klassischen Phishing zielen Täter auf ein Passwort. Bei Business Email Compromise zielen sie auf das Vertrauen, das ein Unternehmen in seine eigene Mailkommunikation setzt. Das FBI beschreibt BEC in seinem Jahresbericht als Betrug gegen Unternehmen und Einzelpersonen, die mit Lieferanten arbeiten oder regelmäßig Überweisungen tätigen. Die Täter kompromittieren dafür E-Mail-Konten und andere Kommunikationswege wie Telefonnummern oder Videokonferenz-Apps und lösen so nicht autorisierte Geldtransfers aus.

Wie groß das Problem ist, zeigt der Jahresbericht 2025 des FBI Internet Crime Complaint Center: 24.768 Beschwerden zu BEC mit einem gemeldeten Schaden von rund 3,05 Milliarden US-Dollar. Bei der Schadenssumme liegt BEC damit auf Platz zwei aller erfassten Delikte, hinter der Kategorie Investment mit rund 8,65 Milliarden US-Dollar. Die Zahlen stammen aus den USA und beruhen auf gemeldeten Fällen. Auf Deutschland lassen sich die Zahlen nicht eins zu eins übertragen, sie zeigen aber die Größenordnung.

Für Deutschland liefert eine Sophos-Studie unter 200 Handwerksbetrieben einen Anhaltspunkt. Befragt wurde im Dezember 2025 und Januar 2026, durchgeführt hat die Umfrage das Marktforschungsunternehmen Techconsult. Danach hatten 60 Prozent der Betriebe im Vorjahr mindestens einen Sicherheitsvorfall, und 48 Prozent nennen Phishing als Bedrohung. Die Studie betrifft nur das Handwerk. Einen eigenen Wert für Business Email Compromise weist die Berichterstattung darüber nicht aus.

Woran sich ein übernommenes Postfach erkennen lässt

Verdächtig sind Nachrichten, die niemand geschrieben hat, Rückmeldungen von Kunden oder Lieferanten zu merkwürdigen Mails und Einstellungen im Konto, die niemand verändert hat. Microsoft nennt als typische Symptome unter anderem einen blockierten Mailversand sowie verdächtige Weiterleitungen und Posteingangsregeln.

Bei Business Email Compromise sind gerade Weiterleitungen und Regeln tückisch. Täter, die unbemerkt bleiben wollen, setzen auf Mechanismen, die im Alltag nicht auffallen. Eine Regel leitet bestimmte Nachrichten an eine externe Adresse weiter, und das Postfach arbeitet scheinbar normal. Versteckte Regeln erscheinen zudem in der Standardabfrage nicht, sie müssen gezielt abgefragt werden.

Typisch ist folgende Lage: Ein Lieferant meldet sich, weil eine Rechnung mit geänderter Bankverbindung angeblich vom Unternehmen stammt, oder Kunden fragen nach einer Zahlungsaufforderung, die niemand versendet hat. Spätestens dann ist von einer Übernahme auszugehen, bis das Gegenteil bewiesen ist. Die allgemeinen Sofortmaßnahmen für ein einzelnes Konto fasst die BSI-Checkliste für gehackte E-Mail-Konten zusammen. Für Firmenpostfächer in Microsoft 365 reicht das allein nicht aus.

Business Email Compromise in Microsoft 365: die ersten Stunden

Zuerst wird das betroffene Konto gesperrt, nicht nur das Passwort geändert. Danach folgen die Sitzungen, die Anmeldefaktoren und die Weiterleitungen, erst zum Schluss die Ursachenanalyse. Diese Reihenfolge entspricht der Anleitung, die Microsoft für kompromittierte Konten veröffentlicht hat.

Konto sperren und Sitzungen beenden

Microsoft bezeichnet das Deaktivieren des betroffenen Kontos als bevorzugte und dringend empfohlene Maßnahme, bis die Untersuchung abgeschlossen ist. Ein reiner Passwortwechsel greift zu kurz: App-Passwörter werden dadurch nicht automatisch widerrufen, der Benutzer muss sie löschen und neu erstellen.

Zusätzlich werden alle aktiven Anmeldesitzungen widerrufen, in Microsoft Graph mit dem Befehl Revoke-MgUserSignInSession. Das macht auch vorhandene Refresh-Tokens ungültig, also die Berechtigungen, mit denen eine Anmeldung ohne erneute Passworteingabe verlängert wird. Das Konto selbst bleibt dabei aktiv, deshalb ist die Sperre zusätzlich nötig.

Ein praktischer Hinweis aus der Microsoft-Anleitung: Das neue Passwort darf nicht per E-Mail an den Benutzer gehen, weil der Angreifer das Postfach womöglich noch mitliest. Bei Konten, die mit einem lokalen Active Directory synchronisiert sind, wird das Passwort dort zweimal zurückgesetzt.

Zugänge des Angreifers entfernen

Wer nur das Passwort ändert, lässt unter Umständen genau die Hintertüren stehen, über die ein Angreifer weiter mitliest oder zurückkehrt. Deshalb prüft die IT-Abteilung nach der Sperre mehrere Stellen:

  • die registrierten MFA-Methoden (Mehrfaktor-Anmeldung), unbekannte Geräte werden entfernt
  • die Zustimmungen für Anwendungen, nicht erlaubte Apps verlieren ihre Berechtigungen
  • die administrativen Rollen des Kontos
  • die Weiterleitungen und Posteingangsregeln, auch die versteckten

Bei den Weiterleitungen ist ein Detail wichtig. Steht der Wert DeliverToMailboxAndForward auf False, landen Nachrichten nur noch beim Empfänger der Weiterleitung und nicht mehr im eigenen Postfach. Zusätzlich gilt: Findet ein Virenscanner Schadprogramme auf einem Gerät, müssen diese laut BSI zuerst entfernt werden. Erst dann verlieren Angreifer den Zugang.

Untersuchen, was passiert ist

Erst jetzt beginnt die Analyse. Die Anmeldeprotokolle in Microsoft Entra zeigen IP-Adressen, Orte, Zeitpunkte sowie erfolgreiche und fehlgeschlagene Anmeldungen. Das Audit-Log im Defender-Portal sollte kurz vor der ersten auffälligen Aktivität beginnen und zu Beginn nicht nach einzelnen Aktivitäten gefiltert werden. Der Message Trace zeigt, welche Nachrichten im fraglichen Zeitraum gesendet wurden.

Das Ziel ist eine belastbare Antwort auf zwei Fragen: Welche Daten waren sichtbar, und wohin ist Geld oder Information abgeflossen? Danach wird das Konto wieder aktiviert. Hat der Angreifer das Postfach für Spam genutzt, ist der Versand oft blockiert. Die Sperre wird dann im Defender-Portal unter „Restricted entities“ aufgehoben.

Wenn Zahlungen betroffen sind: Bank, Kunden und Anzeige

Sobald eine manipulierte Rechnung oder eine geänderte Bankverbindung im Spiel ist, zählt Zeit. Praktisch gehört die Hausbank deshalb in die ersten Anrufe, noch bevor die technische Analyse abgeschlossen ist. Ob und wie weit die Bank eine Überweisung noch aufhalten kann, entscheidet sie im Einzelfall. Handeln kann die Bank aber nur, wenn sie informiert ist.

Danach folgen die Kontakte. Das BSI empfiehlt, Kontakte zu informieren, damit sie auf mögliche Spam-Mails aus dem Konto achten. Bei Business Email Compromise kommt eine zweite Botschaft hinzu: Zahlungsaufforderungen und Änderungen von Bankdaten werden bis zur Klärung ausschließlich telefonisch unter einer bekannten Nummer bestätigt, nie durch eine Antwort auf die Mail.

Zur Strafanzeige rät das BSI, bei der zuständigen Strafverfolgungsbehörde möglichst umfangreiche Informationen wie Screenshots mitzubringen. Es weist zudem darauf hin, dass eine Anzeige auch aus versicherungsrechtlichen Gründen nötig sein kann. Besteht eine Cyberversicherung, sollte die Police deshalb früh geprüft werden, weil sie Meldepflichten enthalten kann. Beweise werden gesichert, bevor Regeln und Einstellungen gelöscht werden: Screenshots der Weiterleitungen, Exporte des Audit-Logs, Ergebnisse des Message Trace.

Meldepflicht nach DSGVO: Was in den ersten 72 Stunden zählt

Sind personenbezogene Daten betroffen, meldet der Verantwortliche die Verletzung laut Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde. Die Frist beginnt, sobald ihm die Verletzung bekannt wurde, nicht erst mit dem Angriff. Die Meldung entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Ein Angriff mit Business Email Compromise betrifft in aller Regel personenbezogene Daten, denn ein Firmenpostfach enthält Kundenkorrespondenz, Bewerbungen, Verträge und Rechnungen. Wer das Postfach lesen konnte, hatte Zugriff darauf. Ob daraus ein meldepflichtiges Risiko folgt, ist eine Einzelfallbewertung. Dieser Beitrag ersetzt dafür keine Rechtsberatung, die Bewertung gehört zum Datenschutzbeauftragten des Unternehmens.

Die Meldung muss mindestens die Art der Verletzung, soweit möglich Kategorien und ungefähre Zahl der Betroffenen, die Kontaktdaten des Datenschutzbeauftragten, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen enthalten. Nicht alles muss sofort vorliegen: Die Angaben dürfen nach und nach nachgereicht werden. Dokumentiert werden muss dagegen jede Verletzung, auch wenn sie nicht gemeldet wird.

In der Praxis entscheidet sich an der Untersuchung, ob die Frist eingehalten werden kann. Ohne belastbare Anmelde- und Audit-Protokolle lässt sich kaum sagen, welche Daten betroffen waren. Deshalb gehört ein einfacher Zeitstrahl von Anfang an dazu: wann der Verdacht aufkam, wer informiert wurde, welche Maßnahmen wann liefen.

Vorbeugen: Wie sich die nächste Übernahme erschweren lässt

Gegen Business Email Compromise hilft am meisten, dass ein gestohlenes Passwort allein nicht mehr genügt und Geld nicht allein auf Basis einer E-Mail bewegt wird. Beides lässt sich mit überschaubarem Aufwand umsetzen.

Bei der Anmeldung ändert Microsoft gerade die Spielregeln. Laut Microsoft-Dokumentation sind Passkeys in Entra ID seit dem 1. September 2026 die Standard-Anmeldeerfahrung. Konten, die für SMS oder Sprachanruf aktiviert sind, werden automatisch für Passkeys aktiviert und erhalten bei der nächsten MFA-Anmeldung eine Registrierungsaufforderung. SMS und Sprachanruf als MFA-Methode laufen ab dem 1. Februar 2027 aus, für Global Administrators und externe Benutzer ab dem 1. Juli 2027. Die Details dazu stehen im Beitrag zur SMS-Abschaltung in Microsoft Entra. Wer jetzt umstellt, tut es planbar und nicht erst, wenn die Registrierung bei der Anmeldung erzwungen wird.

Aus Sicht der IT-Sicherheit ist der Umstieg auch inhaltlich richtig. Phishing-resistente Verfahren wie Passkeys oder FIDO2-Sicherheitsschlüssel (ein offener Standard für die Anmeldung ohne Passwort) enthalten kein Geheimnis, das sich auf einer gefälschten Anmeldeseite eintippen lässt. Ein SMS-Code lässt sich dagegen abfangen oder erschleichen. Warum MFA und Passkeys zum Grundschutz im Mittelstand gehören, fasst der Beitrag zu den fünf Sicherheitsmaßnahmen für KMU zusammen.

Auch der zweite Faktor braucht Pflege. Für die Microsoft-Authenticator-App wurde mit CVE-2026-41615 eine als kritisch eingestufte Schwachstelle (CVSS 9,6) bekannt: Angreifer können darüber Anmelde-Token abgreifen, wenn ein Nutzer eine manipulierte Anfrage bestätigt. Welche Gegenmaßnahmen für Unternehmen gelten, beschreibt der Beitrag zur Sicherheitslücke in der Authenticator-App.

Ergänzend braucht es zwei organisatorische Regeln. Erstens werden Weiterleitungen an externe Adressen nicht stillschweigend geduldet, sondern regelmäßig geprüft oder per Richtlinie unterbunden. Zweitens gilt für Änderungen von Bankverbindungen ein fester Prozess: Rückruf unter bekannter Nummer, bei höheren Beträgen eine zweite Freigabe. Wie ein solcher Schutz für Microsoft-365-Konten im Betrieb aussieht, gehört zum Bereich digitale Sicherheit im Mittelstand.

Fazit: Reihenfolge und Tempo entscheiden

Business Email Compromise ist ein Vertrauensangriff, kein bloßer Passwortdiebstahl. Wer nur das Passwort ändert, lässt Weiterleitungen, Regeln oder zusätzliche Anmeldefaktoren bestehen. Das Konto wird deshalb zuerst gesperrt, dann folgen Sitzungen, Zugänge und Analyse, parallel Bank, Kunden und Anzeige. Die Meldefrist nach DSGVO läuft ab Kenntnis, nicht ab dem Angriff.

Den größten Hebel gibt es vor dem Vorfall: Anmeldungen ohne Passwortgeheimnis, kontrollierte Weiterleitungen und ein Zahlungsprozess, der Rückruf statt Antwort-Mail vorsieht.

DIGITALBÜRO LIMBURG – Gehackte Postfächer schnell eindämmen und Zahlungsbetrug verhindern – denn We make IT easy & smart. 🚀

Jetzt ein unverbindliches Beratungsgespräch vereinbaren und gemeinsam klären, wie Ihr Unternehmen Microsoft-365-Konten gegen Übernahme absichert und für den Ernstfall vorbereitet ist, ob rund um Limburg oder bundesweit per Remote-Betreuung.

Weiterführende Quellen & Links

Beitrag teilen:

Ähnliche Artikel