Was ist Business Email Compromise (BEC)?
Business Email Compromise (BEC) ist eine gezielte, E-Mail-gestützte Täuschung, die meist Personen oder Unternehmen mit Zahlungsbefugnissen zu nicht autorisierten Zahlungen oder Änderungen von Zahlungsdaten bewegen soll, in Varianten aber auch auf personenbezogene Daten sowie Lohn- und Steuerunterlagen zielt.
Technische Einordnung: BEC verbindet Social Engineering mit der Manipulation E-Mail-gestützter Geschäftsprozesse. Täter können ein echtes Konto übernehmen oder vertrauenswürdige Absender, Identitäten und Domains nachahmen. Schadsoftware oder ein technischer Exploit sind keine Begriffsbedingung. CEO-Fraud und die Manipulation von Rechnungskontodaten sind unterschiedliche Erscheinungsformen von BEC. In einzelnen BEC-Varianten werden kompromittierte Geschäftskonten außerdem genutzt, um personenbezogene Daten oder Lohn- und Steuerunterlagen anzufordern.
Der Normwortlaut
Wer in der Absicht, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen, das Vermögen eines anderen dadurch beschädigt, daß er durch Vorspiegelung falscher oder durch Entstellung oder Unterdrückung wahrer Tatsachen einen Irrtum erregt oder unterhält, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.
Normtext: Dies ist der vollständige Wortlaut von § 263 Absatz 1 StGB nach der amtlichen Fassung.
Rechtliche Einordnung: BEC ist kein eigener Straftatbestand. § 263 Absatz 1 StGB kann bei einem konkreten Fall einschlägig sein, wenn sämtliche Merkmale vorliegen: die gesetzlich beschriebene Täuschung, ein dadurch erregter oder unterhaltener Irrtum, eine dadurch verursachte Beschädigung fremden Vermögens sowie die Absicht, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen. Aus der Vorschrift folgt keine allgemeine BEC-Präventionspflicht für Unternehmen.
Wer ist von BEC besonders betroffen?
Operativ betroffen sind vor allem Beschäftigte und andere Personen, die Zahlungen, Überweisungen oder Empfängerdaten veranlassen oder bearbeiten. Auch Privatpersonen können bei Überweisungen betroffen sein. Unternehmensgröße, Branche und ein grenzüberschreitender Vorgang sind keine Begriffsmerkmale; ebenso wenig ist BEC auf Führungskräfte beschränkt.
Woran lässt sich ein BEC-Versuch erkennen?
Typisch ist eine glaubhaft wirkende Nachricht einer vermeintlich bekannten oder befugten Stelle, die auf eine Zahlung, geänderte Bankdaten oder eine vergleichbare vermögensrelevante Handlung zielt. Dringlichkeit, Geheimhaltungsdruck und auffällige Absenderangaben sind behördlich beschriebene Warnzeichen, aber keine gesetzlichen Merkmale des Betrugs. Nicht jede auffällige E-Mail ist BEC oder erfüllt einen Straftatbestand.
Muss für BEC ein echtes E-Mail-Konto kompromittiert sein?
Nein. Ein übernommenes legitimes Konto ist ein möglicher Weg; ebenso können Täter Absender, Domains oder vertrauenswürdige Identitäten nachahmen. Eine authentisch wirkende Absenderangabe beweist daher nicht, wer die Nachricht tatsächlich versandt hat.
Wie unterscheidet sich BEC von Phishing und CEO-Fraud?
BEC ist nicht mit jeder Phishing-Nachricht und nicht mit jeder Kontoübernahme gleichzusetzen. Im Mittelpunkt steht die gezielte Beeinflussung eines E-Mail-gestützten Geschäfts- oder Zahlungsprozesses. CEO-Fraud ist nur eine Variante, bei der eine Weisung der Geschäftsleitung vorgetäuscht wird. Auch angebliche Lieferanten, Kunden oder andere vertrauenswürdige Stellen können als Identität dienen.
Geht es bei BEC immer um eine Überweisung?
Nein. Zahlungen und Änderungen von Bankdaten sind typische Ziele. In vom FBI Internet Crime Complaint Center beschriebenen Varianten werden kompromittierte Geschäftskonten jedoch auch eingesetzt, um personenbezogene Daten oder Lohn- und Steuerunterlagen anzufordern oder auf Kryptowerte in Kryptowallets zu zielen. Das Etikett „BEC“ entscheidet nicht über die rechtliche Bewertung des konkreten Vorgangs.
Welche Fristen oder Schwellenwerte gelten bei BEC?
Für BEC als Angriffsmuster bestehen weder eine einheitliche gesetzliche Frist noch ein allgemeiner Geldschwellenwert. Abhängig vom Sachverhalt können Vorschriften bestimmter Melde-, Zahlungsdienst-, Datenschutz- oder Strafverfahren eigene Fristen auslösen; diese folgen nicht allein aus der Bezeichnung BEC. Interne Prüfschwellen sind organisationsspezifische Schutzmaßnahmen und keine allgemeine Vorgabe des BEC-Begriffs.
Häufige Fehlannahmen
Vier verbreitete Gleichsetzungen führen zu einer zu engen oder rechtlich falschen Einordnung:
- „BEC ist immer CEO-Fraud.“ Nein. CEO-Fraud ist nur eine Variante; auch Lieferanten-, Kunden- und andere vertrauenswürdige Identitäten können vorgetäuscht werden.
- „BEC setzt eine gehackte Mailbox voraus.“ Nein. Auch Spoofing oder die Nachahmung einer Identität oder Domain kann für die Täuschung eingesetzt werden.
- „Jede verdächtige Geschäfts-E-Mail erfüllt § 263 StGB.“ Nein. Die Nachricht allein genügt nicht; sämtliche Tatbestandsmerkmale des § 263 Absatz 1 StGB müssen im Einzelfall vorliegen.
- „Für jeden BEC-Fall gilt automatisch eine feste Meldefrist.“ Nein. BEC löst als Angriffsmuster weder eine einheitliche Frist noch eine allgemeine Meldepflicht aus.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden behördlich empfohlenen Schutzmaßnahmen sind nicht als allein aus dem Begriff BEC folgende gesetzliche Pflichten zu verstehen.
- Für E-Mail-basierte Zahlungsaufforderungen und Änderungen von Bankdaten einen unabhängigen Verifikationsprozess festlegen.
- Vor Auslösung oder Änderung einer Zahlung über bereits bekannte Kontaktdaten rückfragen – nicht über Telefonnummern, Links oder Angaben aus der verdächtigen Nachricht.
- Zahlungsaufforderungen systematisch auf ungewöhnliche Absender, Abläufe, Dringlichkeit, Geheimhaltungsdruck und abweichende Kontodaten prüfen lassen.
- Beschäftigte in Zahlungs-, Rechnungs- und Freigabeprozessen für BEC-Varianten sensibilisieren.
- Organisationsspezifische Schwellen für zusätzliche Prüfungen festlegen; ein solcher Prozess ersetzt nicht die Reaktion auf einen bereits eingetretenen Vorfall.
Für die Geschäftsleitung
BEC betrifft nicht nur Vorstände oder große Unternehmen, sondern insbesondere Prozesse, in denen Personen Zahlungen oder Empfängerdaten per E-Mail veranlassen oder bearbeiten. Entscheidend ist die unabhängige Prüfung vor der Transaktion. Für den internen Überblick können bereits vorhandene Festlegungen zu Verifikationsprozess, Rückfragekanälen und Prüfschwellen sowie tatsächlich durchgeführte Sensibilisierungsmaßnahmen herangezogen werden; damit wird keine amtliche Dokumentationsempfehlung oder allgemeine Rechtspflicht behauptet. Welche rechtlichen Folgen ein Vorfall hat, ist anhand des konkreten Sachverhalts und der jeweils einschlägigen Vorschriften zu prüfen.
Quellen
- Bundesministerium der Justiz und Bundesamt für Justiz: § 263 StGB – Betrug, insbesondere Absatz 1.
- FBI Internet Crime Complaint Center: Business Email Compromise, Abschnitt „What is BEC?“.
- FBI Internet Crime Complaint Center: Business Email Compromise – The $43 Billion Scam, Abschnitt „Definition“.
- Europol: Take control of your digital life, Hinweise zu CEO/Business Email Compromise und Rechnungsbetrug.
- Polizeiliche Kriminalprävention: CEO-Fraud, Warnzeichen und Schutzempfehlungen.
