Gefälschte Rechnungen in Ihrem Namen: so funktioniert Business Email Compromise

Rechnungsbetrug ist eine Form von Business Email Compromise (BEC): Ein Krimineller schickt Ihrem Kunden eine Rechnung oder eine Mitteilung über „geänderte Bankverbindung“, die scheinbar von Ihrem Unternehmen stammt. Der Kunde zahlt, das Geld landet auf einem Konto des Kriminellen, und beide Seiten merken es erst Wochen später, wenn Ihre echte Rechnung noch offen ist.

Das Internet Crime Complaint Center des FBI definiert BEC als Betrug gegen Unternehmen, die mit Lieferanten arbeiten oder regelmäßig Überweisungen tätigen, ausgeführt durch die Kompromittierung von E-Mail-Konten oder anderen Kommunikationskanälen mittels Social Engineering oder Eindringen in Computer (IC3 2025 Internet Crime Report). Derselbe Bericht nennt 24.768 BEC-Beschwerden im Jahr 2025 mit gemeldeten Verlusten von 3.046.598.558 $.

Die meisten dieser Maschen brauchen überhaupt keinen technischen Einbruch. Sie beruhen auf einer überzeugenden Absenderadresse, einer glaubwürdigen Geschichte und einem Zahlungsprozess, der E-Mails vertraut.

Wie die Masche aufgebaut ist

Ein typischer Angriff mit gefälschter Rechnung verläuft in wenigen Schritten:

1. Recherche. Der Kriminelle findet heraus, wer Ihre Kunden sind, wer Ihre Rechnungen verschickt und wie sie aussehen. Websites, Pressemitteilungen, Stellenanzeigen und alte, weitergeleitete Rechnungen helfen dabei.
2. Eine Absenderidentität. Entweder eine gefälschte From-Adresse auf Ihrer echten Domain, eine ähnliche Domain wie examp1e.com oder example-billing.com, oder ein echtes Postfach, das mit einem gestohlenen Passwort übernommen wurde.
3. Die Nachricht. Eine kurze, routinemäßige Notiz: „Bitte beachten Sie unsere neue Bankverbindung für diese und künftige Zahlungen.“ Oft antwortet sie auf einen echten E-Mail-Verlauf, um vertraut zu wirken.
4. Die Zahlung. Der Kunde ändert den Lieferantenstammsatz und zahlt. Zeitdruck („das Konto wird am Freitag geschlossen“) senkt die Wahrscheinlichkeit, dass jemand zur Kontrolle anruft.

Auf dem Papier ist Ihr Kunde das Opfer, doch der Schaden trifft auch Sie: eine unbezahlte Rechnung, ein schwieriges Gespräch und ein Kunde, der sich nun fragt, wie sicher Ihre E-Mail ist.

3 Wege, wie Ihr Name missbraucht wird

Gefälschte From-Adresse auf Ihrer eigenen Domain. Möglich, wenn Ihre SPF-, DKIM- und DMARC-Einträge fehlen oder zu nachgiebig sind. Eine DMARC-Richtlinie p=none bittet Empfänger, auch fehlgeschlagene E-Mails zuzustellen. Unser Leitfaden zu SPF, DKIM und DMARC erklärt, wie Sie das schließen.

Ähnliche Domains. Eine Domain, die sich nur um einen Buchstaben von Ihrer unterscheidet oder ein zusätzliches Wort enthält, besteht jede Authentifizierungsprüfung, weil sie dem Kriminellen gehört und er die Einträge korrekt einrichtet. Mehr dazu in ähnliche Domains und Typosquatting.

Ein kompromittiertes echtes Postfach. Ist das Passwort eines Mitarbeiters abgeflossen und hat das Konto keine Multi-Faktor-Authentifizierung, kann der Kriminelle echte Verläufe lesen, Weiterleitungsregeln anlegen und von der echten Adresse senden. Diese Variante ist am schwersten zu erkennen.

Warnsignale, die Sie Ihren Kunden mitteilen sollten

• Eine Bitte um Änderung der Bankverbindung, nur per E-Mail.
• Ein neues Konto in einem anderen Land oder auf einen anderen Namen als Ihr Unternehmen.
• Druck, schnell zu zahlen oder die Änderung vertraulich zu behandeln.
• Eine Absenderadresse, die fast, aber nicht genau Ihre Domain ist.
• Eine Reply-to-Adresse, die von der From-Adresse abweicht.

Der Rat des FBI ist eindeutig: Anfragen zur Änderung von Kontodaten über einen zweiten Kanal überprüfen und kontrollieren, ob Links und Absenderadressen wirklich zu dem Unternehmen gehören, von dem sie angeblich stammen (IC3 Public Service Announcement, September 2024).

So prüfen Sie Ihre eigene Angriffsfläche

Die E-Mail-Seite können Sie in wenigen Minuten prüfen:

dig +short TXT _dmarc.yourcompany.com
dig +short TXT yourcompany.com | grep spf1

Achten Sie auf eine DMARC-Richtlinie p=quarantine oder p=reject und einen SPF-Eintrag, der auf ~all oder -all endet. Suchen Sie dann nach registrierten Domains, die Ihrer ähneln: vertauschte Buchstaben, zusätzliche Bindestriche, andere Endungen wie .co oder .net. Prüfen Sie, ob diese Domains MX-Einträge haben, also E-Mails empfangen (und meist auch senden) können:

dig +short MX examp1e.com

Prüfen Sie zum Schluss Ihre Postfächer auf Weiterleitungsregeln an externe Adressen und stellen Sie sicher, dass jedes Konto Multi-Faktor-Authentifizierung nutzt.

Kontrollen, die es stoppen

Auf der E-Mail-Seite:

• Setzen Sie DMARC durch (p=quarantine oder p=reject), damit gefälschte E-Mails von Ihrer Domain abgewiesen werden.
• Sichern Sie Domains, die nie E-Mails senden, mit v=spf1 -all und p=reject ab.
• Verlangen Sie Multi-Faktor-Authentifizierung für jedes Postfach.
• Lassen Sie sich bei neuen Weiterleitungsregeln und Anmeldungen von ungewöhnlichen Orten alarmieren.

Auf der Zahlungsseite:

• Teilen Sie Kunden schriftlich mit, dass sich Ihre Bankverbindung nie allein per E-Mail ändert.
• Veröffentlichen Sie Ihre Bankverbindung auf Ihrer Website oder im Kundenportal, damit Kunden sie überprüfen können.
• Bestätigen Sie intern jede Änderung der Bankverbindung eines Lieferanten telefonisch, über eine Nummer, die Sie bereits gespeichert haben, nie über die aus der E-Mail.

Wenn es schon passiert ist

Das FBI betont, dass Zeit entscheidend ist. Kontaktieren Sie sofort die Bank, von der die Zahlung ausging, und beantragen Sie einen Rückruf, dann reichen Sie unabhängig vom Betrag eine Beschwerde bei ic3.gov ein (IC3 PSA I-091124-PSA). Informieren Sie den betroffenen Kunden schriftlich, setzen Sie die Passwörter aller möglicherweise betroffenen Postfächer zurück und prüfen Sie Weiterleitungsregeln.

Wo Datahorses ins Bild passt

Datahorses beobachtet, was ein Angreifer nutzen kann, um sich als Sie auszugeben: neu registrierte ähnliche Domains und ob diese E-Mails senden können, Ihre SPF-, DKIM- und DMARC-Einträge sowie Anzeichen gefälschter Login-Seiten. Taucht etwas auf, prüft es ein Mensch, und Sie erhalten konkrete Schritte, wie unter was passiert, wenn wir etwas finden beschrieben. Wir tun das von außen und benötigen keine Zugänge. Das verwandte Risiko von Nachrichten, die Ihre Führungskräfte imitieren, behandeln wir in CEO-Fraud und Chef-Imitation.