Business E-Mail Compromise (BEC): Definition, Erklärung & Beispiele

Business E-Mail Compromise (BEC) bezeichnet eine Form des Cyberbetrugs, bei der Angreifer gezielt Unternehmen ins Visier nehmen, um durch gefälschte E-Mails finanzielle Transaktionen zu manipulieren. Diese Angriffe zielen häufig auf leitende Angestellte oder Mitarbeiter der Finanzabteilung ab, die befugt sind, Geldtransfers durchzuführen. BEC-Angriffe nutzen oft soziale Manipulation und technische Tricks, um die Opfer zur Überweisung von Geldern an die Angreifer zu bewegen.

Ein BEC-Angriff funktioniert in der Regel durch die Nachahmung einer vertrauenswürdigen Person oder Organisation. Angreifer senden gefälschte E-Mails, die oft sehr überzeugend gestaltet sind. Diese E-Mails enthalten Anweisungen zur Überweisung von Geld oder zur Bereitstellung sensibler Informationen. Die Angreifer nutzen häufig Informationen aus sozialen Medien oder vorhergehenden Interaktionen, um ihre Glaubwürdigkeit zu erhöhen und das Vertrauen der Opfer zu gewinnen.

BEC wird verwendet, um finanzielle Gewinne durch betrügerische Transaktionen zu erzielen. Unternehmen sind häufig Ziel solcher Angriffe, da sie große Geldsummen verwalten. Die Angreifer zielen darauf ab, Geld von den Konten der Unternehmen auf ihre eigenen Konten zu transferieren, ohne dass die Opfer dies bemerken. Diese Art von Betrug kann erhebliche finanzielle Schäden verursachen und das Vertrauen in die betroffenen Unternehmen untergraben.

Die Hauptmerkmale von BEC-Angriffen sind die Verwendung gefälschter E-Mail-Adressen, die Nachahmung von vertrauenswürdigen Quellen und die gezielte Ansprache von Entscheidungsträgern in Unternehmen. Angreifer nutzen oft soziale Ingenieurskunst, um Informationen zu sammeln, die ihnen helfen, ihre E-Mails glaubwürdig zu gestalten. Zudem können sie moderne Technologien wie KI-generierte Deepfakes einsetzen, um ihre Angriffe zu verfeinern und Sicherheitsmaßnahmen zu umgehen.

Besonders betroffen von BEC-Angriffen sind die Fertigungsindustrie und Non-Profit-Organisationen. Im Jahr 2022 erlebte die Fertigungsindustrie 63 % mehr BEC-Angriffe als andere Branchen. Non-Profit-Organisationen verzeichneten einen Anstieg von 35 %. Diese Branchen sind häufig Ziel, da sie oft große Geldbeträge verwalten und möglicherweise weniger robuste Sicherheitsmaßnahmen implementiert haben.

Der finanzielle Schaden durch BEC ist erheblich. Im Jahr 2023 wurden in den USA über 2,9 Milliarden US-Dollar an bereinigten Verlusten aufgrund von BEC-Angriffen gemeldet. Im Vergleich dazu betrug der Schaden im Jahr 2022 2,7 Milliarden US-Dollar. Seit dem ersten Auftreten des Konzepts im Jahr 2013 summieren sich die globalen Verluste durch BEC-Angriffe auf über 50 Milliarden US-Dollar.

Im Jahr 2020 erlebten bereits 65 % aller Unternehmen mindestens einen BEC-Angriff. Dies zeigt die weit verbreitete Natur dieser Bedrohung und die Notwendigkeit für Unternehmen, sich besser gegen solche Angriffe zu schützen. Die hohe Anzahl an betroffenen Unternehmen unterstreicht die Dringlichkeit, Sicherheitsmaßnahmen zu implementieren und das Bewusstsein für diese Art von Cyberkriminalität zu schärfen.

Die durchschnittlichen Verluste pro BEC-Angriff sind alarmierend hoch. Im Jahr 2022 betrugen die durchschnittlichen Schäden 4,89 Millionen US-Dollar pro Fall, was BEC zu einer der teuersten Arten von Sicherheitsverletzungen macht. Diese hohen Verluste verdeutlichen die finanzielle Bedrohung, die von solchen Betrugsversuchen ausgeht, und die Notwendigkeit für Unternehmen, präventive Maßnahmen zu ergreifen.

BEC-Angriffe haben sich von einfachen E-Mails zu komplexen, mehrstufigen Angriffen entwickelt. Die Angreifer nutzen zunehmend moderne Technologien, einschließlich KI-generierter Deepfakes und Voiceovers, um ihre Angriffe zu verfeinern und Sicherheitsmaßnahmen zu umgehen. Diese technische Entwicklung macht es für Unternehmen schwieriger, solche Angriffe zu erkennen und abzuwehren, was die Notwendigkeit für fortschrittliche Sicherheitslösungen unterstreicht.

Um sich gegen BEC-Angriffe zu schützen, sollten Unternehmen Schulungen für Mitarbeiter anbieten, um das Bewusstsein für diese Art von Betrug zu schärfen. Zudem sollten sie Sicherheitsprotokolle implementieren, die die Überprüfung von Transaktionen und Anfragen zur Geldüberweisung beinhalten. Die Nutzung von Multi-Faktor-Authentifizierung und regelmäßige Sicherheitsüberprüfungen können ebenfalls helfen, das Risiko eines BEC-Angriffs zu verringern.

Soziale Ingenieurskunst spielt eine zentrale Rolle bei BEC-Angriffen. Angreifer nutzen psychologische Tricks, um das Vertrauen der Opfer zu gewinnen und sie dazu zu bringen, sensible Informationen preiszugeben oder Geld zu überweisen. Sie analysieren oft die Kommunikationsmuster innerhalb eines Unternehmens und verwenden diese Informationen, um ihre Angriffe zu personalisieren und glaubwürdig zu erscheinen.

Im Jahr 2019 wurden fast 24.000 Beschwerden über BEC-Angriffe gemeldet, die zu einem Verlust von 1,7 Milliarden US-Dollar führten. Diese Zahlen zeigen die alarmierende Zunahme solcher Angriffe und die Notwendigkeit für Unternehmen, sich besser zu schützen und auf diese Bedrohung zu reagieren. Die Zunahme der Beschwerden verdeutlicht die wachsende Aufmerksamkeit, die BEC-Angriffe in der Cybersecurity-Community erhalten.

Im Jahr 2023 hat sich die Anzahl der BEC-bezogenen Untersuchungen bei Arctic Wolf im ersten Halbjahr im Vergleich zum Vorjahr verdoppelt. Diese Zunahme ist ein Indikator für die wachsende Bedrohung durch BEC-Angriffe und zeigt, dass Unternehmen zunehmend Opfer solcher Betrugsversuche werden. Der Anstieg der Untersuchungen deutet auch darauf hin, dass die Awareness für diese Bedrohung steigt.

Der Hauptunterschied zwischen BEC und klassischem Phishing liegt in der Zielrichtung und Komplexität der Angriffe. Während klassisches Phishing häufig massenhaft versendet wird und auf persönliche Daten abzielt, sind BEC-Angriffe gezielt auf Unternehmen und deren finanzielle Transaktionen ausgerichtet. BEC-Angriffe sind oft komplexer und nutzen soziale Ingenieurskunst, um das Vertrauen der Zielpersonen zu gewinnen.

Angreifer nutzen bei BEC zunehmend fortschrittliche Technologien, um ihre Angriffe effektiver zu gestalten. Dazu gehören KI-generierte Deepfakes, um die Identität einer vertrauenswürdigen Person zu simulieren, sowie Voiceover-Technologien, um Telefonanrufe zu tätigen und weitere Manipulationen durchzuführen. Diese Technologien ermöglichen es Angreifern, Sicherheitsmaßnahmen zu umgehen und ihre Erfolgschancen zu erhöhen.

Im Jahr 2022 verursachten BEC-Angriffe einen Schaden von 2,7 Milliarden US-Dollar, was über 50 Mal höher ist als der Schaden, der durch klassisches Phishing verursacht wurde, der bei 52 Millionen US-Dollar lag. Dies verdeutlicht die erhebliche finanzielle Bedrohung, die von BEC-Angriffen ausgeht, und zeigt, dass Unternehmen größere Aufmerksamkeit auf diese spezifische Form des Cyberbetrugs richten sollten.