Polizei warnt vor betrügerischen E-Mail-Angriffen auf Unternehmen

Ein lokaler Vorfall in Kanada zeigt, wie gefährlich manipulierte Geschäfts-E-Mails sind – und warnt auch deutsche Firmen vor der wachsenden Bedrohung.

Die Polizei in der kanadischen Provinz Ontario hat eine Betrugswarnung für Unternehmen herausgegeben. Auslöser war ein schwerwiegender Sicherheitsvorfall in einer kleinen Firma im Wellington County. Dort hatten Kriminelle Zugriff auf den geschäftlichen E-Mail-Account erlangt und die gesamte Kundschaft aufgefordert, Zahlungen auf ein betrügerisches Konto zu leiten. Mindestens zwei Kunden fielen auf die Masche herein.

Der Fall ist ein klassisches Beispiel für einen Business Email Compromise (BEC), eine der profitabelsten und am schnellsten wachsenden Formen der Cyberkriminalität weltweit. Die Methode ist simpel, aber hochwirksam: Angreifer kapern eine Unternehmens-E-Mail und nutzen das Vertrauensverhältnis zu Kunden oder Partnern für finanzielle Betrugsmanöver.

Business Email Compromise (BEC) ist mittlerweile eine der teuersten Betrugsformen — oft beginnt ein Angriff mit einer täuschend echten E‑Mail und endet mit fehlgeleiteten Zahlungen. Das kostenlose Anti‑Phishing‑Paket erklärt in vier Schritten, wie Sie gefälschte Absender, CEO‑Fraud und „Dual‑Channel“-Angriffe erkennen, Mitarbeitende schulen und interne Bestätigungsprozesse unmittelbar sicherer machen. Enthalten: Checklisten, Vorlagen für telefonische Bestätigungen und Sofortmaßnahmen bei Verdacht. Anti-Phishing-Paket jetzt gratis herunterladen

So funktioniert der perfide E-Mail-Betrug

Die Angreifer gelangen oft durch Phishing oder Schadsoftware in das E-Mail-Konto eines Mitarbeiters. Anschließend studieren sie die Kommunikation, um Zahlungsabläufe und Geschäftsbeziehungen zu verstehen. Dann schlagen sie zu – meist mit einer täuschend echten Nachricht.

Diese fordert eine dringende Überweisung oder teilt eine geänderte Bankverbindung mit. Die Absenderadresse wirkt vertraut, enthält aber oft minimale Abweichungen wie einen falschen Buchstaben. Die Betrüger setzen auf psychologischen Druck: Die Nachricht suggeriert Dringlichkeit und stammt scheinbar von einer autoritativen Person im Unternehmen.

„Gerade kleine und mittlere Unternehmen sind gefährdet“, erklärt ein Sprecher der Polizei. „Sie haben oft keine eigene IT-Sicherheitsabteilung und nutzen E-Mail intensiv für Finanztransaktionen.“ Die finanziellen Schäden sind immens. Allein in den USA beliefen sich die gemeldeten Verluste durch BEC-Betrug 2024 auf über 2,7 Milliarden US-Dollar.

Deutsche Unternehmen sind nicht immun

Die Bedrohung ist global und erreicht auch den deutschen Mittelstand täglich. Die Angriffsmethoden werden dabei immer raffinierter. Experten beobachten einen Trend zu „Dual-Channel“-Angriffen: Der erste Kontakt erfolgt per E-Mail, die weitere Abwicklung wird dann auf SMS oder Messenger-Apps wie WhatsApp verlagert, um Sicherheitsfilter zu umgehen.

Für deutsche Firmen, vom Handwerksbetrieb bis zum DAX-Konzern, bedeutet das: Wachsamkeit ist oberstes Gebot. Die Angreifer passen ihre Methoden ständig an und nutzen Schwachstellen in Prozessen und menschlichem Verhalten aus.

So schützen Sie Ihr Unternehmen vor Betrug

Die Polizei und Cybersicherheitsexperten empfehlen einen mehrschichtigen Schutzansatz. Technische Maßnahmen allein reichen nicht aus.

Zu den wichtigsten Präventionsstrategien gehören:

• Mündliche Bestätigung: Jede Anfrage zur Änderung von Zahlungsinformationen oder eine dringende Überweisungsanweisung muss über einen zweiten, vertrauenswürdigen Kanal bestätigt werden – idealerweise ein Telefonanruf auf einer bekannten Nummer.
• Sensibilisierung der Belegschaft: Alle Mitarbeiter, besonders in Buchhaltung und Einkauf, müssen für die Anzeichen von Phishing und BEC-Betrug geschult werden. Dazu gehört, Absenderadressen genau zu prüfen und bei unerwarteten Anhängen oder Links misstrauisch zu sein.
• Strenge interne Kontrollen: Klare Prozesse für Zahlungsfreigaben sind essenziell. Das kann die Vier-Augen-Prinzip-Pflicht für Beträge über einem bestimmten Limit oder eine gepflegte, verifizierte Liste aller Lieferanten und ihrer Zahlungsdaten umfassen.
• Technische Absicherung: Die Zwei-Faktor-Authentifizierung (2FA) für alle E-Mail- und sensiblen Konten ist ein absolutes Muss. Regelmäßige Software-Updates schließen bekannte Sicherheitslücken.

Im Ernstfall schnell handeln

Verdächtigt ein Unternehmen einen Betrugsversuch, ist schnelles Handeln entscheidend. Der erste Schritt ist der Kontakt zur eigenen Bank, um anstehende Überweisungen zu stoppen. Anschließend muss der Vorfall umgehend bei der örtlichen Polizei angezeigt werden.

Auch wenn kein finanzieller Schaden entstanden ist, hilft eine Meldung bei den Behörden. Die Daten werden genutzt, um Betrugstrends zu analysieren, Tätergruppen zu identifizieren und präventive Maßnahmen zu verbessern – ein wichtiger Beitrag zum Schutz aller Unternehmen.

PS: Verdächtigen Sie einen Betrugsversuch oder wollen Sie Ihre Buchhaltung sofort absichern? Das Anti‑Phishing‑Paket liefert praxisnahe Vorlagen für das Vier‑Augen‑Prinzip, klare Checklisten zur Zwei‑Faktor‑Authentifizierung und ein Notfall‑Protokoll für Bank‑Kontakt sowie Behörden‑Meldungen — so stoppen Sie Überweisungen schneller. Holen Sie sich die Schritt‑für‑Schritt‑Checkliste für KMU und Verantwortliche. Jetzt Anti-Phishing-Checkliste sichern