Business Email Compromise: Wie KI BEC-Angriffe verändert und wie man sie verhindert

Business-E-Mail-Komprimittierung: Wie KI-personalisierte Angriffe gezielt bestimmte Personen anvisieren

BEC benötigt oft keine Malware, keinen Exploit und keinen verdächtigen Anhang. Bei Identitätsdiebstahl-Angriffen benötigt der Angreifer eine ähnlich aussehende Domain oder eine gefälschte Adresse und jemanden, der bereit ist, auf die Nachricht zu reagieren. Beim account takeover verschafft sich der Angreifer Zugang zu einem echten Postfach, manchmal durch Info-Diebstahl-Malware oder Phishing-Kits, die Anmeldesitzungen erfassen, und schreibt von einem vertrauenswürdigen Konto. KI macht beides günstiger zu erstellen und leicht auf hunderte Ziele gleichzeitig zu wiederholen.

Was ist Business Email Compromise?

Bei einem BEC-Betrug gibt sich der Angreifer als jemand aus, dem das Ziel vertraut: ein Geschäftsführer, ein Anbieter, ein Kollege. Ziel sind Geld, Zugangsdaten oder Daten. Einige Angriffe nutzen gefälschte oder ähnliche Domains. Andere kompromittieren E-Mail-Konten, indem der Angreifer sich in ein echtes Postfach einloggt und von dort schreibt. Diese Variante ist schwerer zu erkennen. Die Nachricht stammt von der echten Adresse, oft innerhalb eines bestehenden Threads.

Häufige Beispiele für BEC-Angriffe

Vier Muster tauchen immer wieder auf.

• Lieferantenrechnungsbetrug: Ein Angreifer mit Zugriff auf das Postfach eines Lieferanten antwortet in einem echten Rechnungs-Thread mit aktualisierten Bankdaten. Die Kreditorenbuchhaltung sieht einen vertrauten Absender in einer bekannten Unterhaltung, und die Zahlung geht an den Angreifer.
• Executive-Imitation: Eine Nachricht, die scheinbar vom CEO stammt, bittet einen Finanzmitarbeiter um eine dringende Überweisung und rät von Rückrufen ab.
• Gehaltsumleitung: Jemand gibt sich als Mitarbeiter aus und bittet die Personalabteilung, die Angaben für die Direktüberweisung zu ändern.
• Thread-Hijacking: Mit einem kompromittierten Konto liest der Angreifer laufende Gespräche und wartet auf den richtigen Moment zum Eingreifen.

Wie KI BEC-Betrug verändert

Traditionelles BEC basierte auf manueller Arbeit. Angreifer recherchierten ein Unternehmen, identifizierten, wer Zahlungen genehmigt, und schrieben jede Nachricht von Hand. Das hielt das Volumen niedrig und begrenzte, wie viele Ziele ein Angreifer bearbeiten konnte. KI verändert die Ökonomie in jeder Phase.

Viele Führungskräfte, keine Pausen

Executive-gerichtetes BEC war früher manuell. Ein Angreifer wählte einen oder zwei Führungskräfte aus und versuchte es so lange, bis das Ziel antwortete oder der Angreifer aufgab. Jeder Versuch kostete Zeit, daher blieben die Ziellisten kurz.

Mit KI kann ein Angreifer eine Liste von Hunderten C-Level- und leitenden Finanzkontakten erstellen, für jeden eine individuelle Nachricht generieren und rund um die Uhr senden. Ignoriert man eine, folgt eine Nachverfolgung mit anderem Vorwand. Die Automatisierung verfolgt, wer geantwortet hat, wer nicht, und was als Nächstes versucht werden soll. Führungskräfte haben meist umfassenden Zugang, sodass ein Erfolg Zahlungsfreigaben, Vorstandsmaterialien und sensible Daten erreichen kann.

Forschung auf Organisationsebene

Unternehmenswebsites, Pressemitteilungen, Stellenanzeigen und professionelle Netzwerkprofile offenbaren Namen, Titel, Berichtslinien und Lieferantenbeziehungen. Automatisierte Tools sammeln diese Informationen für ein ganzes Unternehmen in wenigen Minuten. Wenn der Angreifer bereits eine Mailbox kontrolliert, fügt der Posteingang echte Projektnamen, Rechnungsnummern und die Art hinzu, wie Kollegen tatsächlich miteinander kommunizieren.

Text, der zum Absender passt

Ein Sprachmodell kann einige Dutzend E-Mails von einem kompromittierten Konto lesen und die Begrüßung, den Abschiedsgruß und die Satzlänge des Absenders nachahmen. Das Ergebnis ist sauberer, flüssiger Text in der Sprache, die das Ziel liest. Rechtschreibfehler und unbeholfene Formulierungen waren früher die typischen Warnzeichen. Sie verschwinden.

Zeitmessung aus dem Thread heraus

Ein Modell kann einen langen Thread zusammenfassen und den entscheidenden Moment erkennen: eine genehmigte Rechnung, eine ausstehende Überweisung, eine Vertragsverlängerung. Die Nachricht des Angreifers trifft ein, während bereits eine Zahlung besprochen wird, wodurch neue Bankdaten routinemäßig wirken.

Schnellere Anmeldeangriffe

Die Übernahme von Konten ermöglicht das Hijacking von Threads, und KI beschleunigt diesen Vorgang ebenfalls. Namen, Haustiere, Geburtstage und Arbeitgeber, die aus öffentlichen Profilen gesammelt werden, speisen Vermutungsgeneratoren, die wahrscheinliche Passwörter für eine bestimmte Person erzeugen. Kompromittierte Zugangsdaten werden nacheinander bei vielen Konten getestet, und die Automatisierung übernimmt die Wiederholungsversuche.

Nebeneinander:

Die Kompromittierung eines E-Mail-Kontos beginnt mit Anmeldedaten

Ähnliche Domains können blockiert oder markiert werden. Ein übernommenes echtes Konto ist schwerer zu erkennen, da der Absender legitim ist. Die meisten Übernahmen beginnen mit einer Anmeldeinformation: einem Passwort, das auf einer kompromittierten Seite wiederverwendet wurde, einer Passphrase aus persönlichen Daten oder einem geteilten Login, das in einer Tabelle gespeichert ist, die Dutzende von Personen öffnen können.

Führungskräfte stehen vor höheren Risiken, weil Angreifer nicht aufgeben. Ein schwaches oder wiederverwendetes Passwort hält vielleicht einige Versuche aus. Tausende sind eine andere Sache.

Einmal drin, lesen Angreifer E-Mails, suchen nach Wörtern wie „invoice“, „wire“ und „payment“ und legen Regeln fest, die ihre Aktivitäten verbergen. Eine Weiterleitungsregel oder eine Regel, die Antworten in einen versteckten Ordner verschiebt, kann den echten Besitzer wochenlang im Unklaren lassen.

BEC-Prävention: Stärken Sie die Passwortschicht

E-Mail-Filterung und Benutzerschulung sind wichtig. Zwei Kontrollen auf der Anmeldeinformationen-Ebene verringern die Wahrscheinlichkeit, dass ein gestohlenes oder wiederverwendetes Passwort ein kompromittiertes Postfach verursacht.

Netwrix Password Policy Enforcer geht weit über die nativen Active Directory-Komplexitätsregeln hinaus. Es prüft neue Passwörter gegen kompromittierte Listen wie Have I Been Pwned, blockiert Wörter aus Wörterbüchern und vorhersehbare Muster und wendet unterschiedliche Richtlinien für verschiedene Benutzer, Gruppen und OUs an. Echtzeit-Feedback erklärt, warum ein Passwort abgelehnt wurde, sodass Nutzer sofort ein stärkeres wählen können. Da Richtlinien gruppenweise zugewiesen werden können, erhalten Führungskräfte und Finanzteams strengere Richtlinien als andere.

Netwrix Password Secure deckt Anmeldedaten ab, die zentrale/AD-Richtlinien nicht erreichen: gemeinsame Postfachanmeldungen, Anbieterportale, privilegierte Konten. Es speichert sie in einem verschlüsselten Tresor, gewährt rollenbasierten Zugriff und unterstützt Genehmigungsworkflows für sensible Konten. Jeder Zugriff wird protokolliert, und MFA fügt eine weitere Prüfung am vault selbst hinzu. Anmeldedaten kommen aus Tabellen und Chatverläufen, und Sie erhalten eine Aufzeichnung, wer was wann genutzt hat.

Netwrix Data Classification zeigt, welche Postfächer und Speicher die sensibelsten Inhalte enthalten, damit Sie wissen, was ein einzelnes kompromittiertes Konto erreichen könnte.

Checkliste zur Verhinderung von Business-E-Mail-Kompromittierungen

1. Erzwingen Sie eine password policy, die kompromittierte, Wörterbuch- und vorhersehbare Passwörter blockiert, mit einer strengeren Version für Führungskräfte und Finanzteams.
2. Verschieben Sie gemeinsame und privilegierte Anmeldedaten aus Tabellenkalkulationen in einen Tresor mit rollenbasiertem Zugriff.
3. Erfordern Sie phishing-resistente MFA für E-Mail-, Finanzsysteme und den vault.
4. Überprüfen Sie jede Änderung der Bankdaten oder Zahlungsanweisungen über einen separaten Kanal, z. B. einen Anruf bei einer bekannten Nummer.
5. Überprüfen Sie Weiterleitungs- und Posteingangsregeln und analysieren Sie die Anmeldeaktivitäten für Finanz-, Personal- und Führungspostfächer.
6. Sagen Sie den Leuten, dass KI-verfasste Nachrichten klar lesbar sind. Tippfehler sind nicht mehr das Hauptwarnzeichen.