Die meisten Ratgeber zum Rechnungsbetrug richten sich an die Zahlenden: Prüfen Sie geänderte Bankdaten, rufen Sie zurück. Das ist richtig, aber es ist nur die halbe Geschichte. Wenn ein Angreifer im Postfach eines Unternehmens mitliest, ist dieses Unternehmen nicht Zuschauer, sondern Ausgangspunkt. Seine Rechnungen werden umgeleitet, sein Geld kommt nicht an, und seine Kunden fragen später, warum ausgerechnet über seine Postfächer betrogen wurde.
Dieser Beitrag beschreibt Business E-Mail Compromise aus Sicht des Rechnungsstellers: wie der Angriff abläuft, woran man ihn im eigenen Haus erkennt, welche Einstellungen und Regeln ihn stoppen und was die Gerichte bisher zur Frage sagen, ob eine umgeleitete Zahlung die Rechnung begleicht. Wie so ein Fall in der Praxis aussieht, erzählt Teil 1 dieser Serie.
Was Business E-Mail Compromise ist und was nicht
Das FBI beschreibt Business E-Mail Compromise, kurz BEC, als Betrug, der sich gegen Unternehmen richtet, die regelmäßig mit Lieferanten arbeiten und Überweisungen ausführen, unter anderem indem E-Mail-Konten kompromittiert werden. Der Angreifer schaltet sich in echte Geschäftsvorgänge ein: Er kennt die Beteiligten, die laufenden Aufträge und den Ton, in dem man miteinander schreibt.
Davon zu unterscheiden ist der CEO-Fraud. Dort kommt eine E-Mail, die vermeintlich von Vorgesetzten stammt und eine dringende Überweisung anweist; das BSI beschreibt ihn im IT-Grundschutz so. Beim CEO-Fraud wird eine Person imitiert, bei BEC ein laufender Vorgang übernommen. Eine verlässliche deutsche Statistik zu BEC gibt es nicht; weder das Bundeslagebild Cybercrime des BKA noch der BSI-Lagebericht weisen ihn gesondert aus. Zur Größenordnung bleibt nur der Blick in die USA: Das Internet Crime Complaint Center des FBI verzeichnete für 2025 rund 24.800 Beschwerden wegen BEC mit gemeldeten Verlusten von gut drei Milliarden US-Dollar.
Drei Wege, die man auseinanderhalten muss
Hinter dem Wort Rechnungsbetrug stecken technisch drei verschiedene Wege. Sie verlangen verschiedene Gegenmaßnahmen, und wer sie verwechselt, schützt sich gegen den falschen.
- Gefälschter Absender mit Ihrer Domain: Jemand verschickt E-Mails, die vorgeben, von Ihrer Adresse zu kommen, ohne Zugang zu Ihren Systemen. Dagegen helfen SPF, DKIM und DMARC: Sie legen fest, wer im Namen Ihrer Domain senden darf, und Empfänger können Fälschungen verwerfen.
- Doppelgänger-Domain: Der Angreifer registriert eine Domain, die Ihrer zum Verwechseln ähnlich sieht, und schreibt von dort. Fachleute sprechen von Typosquatting. SPF, DKIM und DMARC greifen hier nicht, denn für seine eigene Domain kann der Angreifer sie selbst sauber einrichten.
- Übernommenes Postfach: Der Angreifer hat Zugang zu einem echten Postfach, etwa über gestohlene Zugangsdaten, und richtet dort Weiterleitungsregeln ein. Die Nachrichten kommen aus Ihrem echten System; jede technische Absenderprüfung fällt positiv aus.
- ZugangGestohlene Zugangsdaten, eine Schwachstelle in einem System am Internet oder eine präparierte Anmeldeseite. Oft Wochen oder Monate, bevor etwas passiert.
- BeobachtungWeiterleitungsregeln oder stilles Mitlesen. Der Angreifer lernt Kunden, Ansprechpartner, Beträge und Zahlungsrhythmus.
- VorbereitungEine ähnliche Domain wird registriert, Vorlagen werden nachgebaut, Antworten so umgeleitet, dass der echte Absender sie nicht sieht.
- ZuschlagEine Rechnung oder Zahlungserinnerung mit geänderter Bankverbindung geht an den Kunden – im richtigen Moment, im richtigen Ton.
- EntdeckungMeist durch eine Mahnung oder einen Anruf des Kunden. Bis dahin ist das Geld häufig weitergeleitet.
Warnsignale beim Rechnungssteller
Auf Zahlerseite sind die Warnsignale bekannt: neue Bankverbindung, Konto im Ausland, Zeitdruck. Beim Rechnungssteller sehen sie anders aus und sind leiser:
- Kunden fragen nach Nachrichten, die niemand im Haus geschrieben hat, oder bestätigen Bankdaten, die Sie nie geändert haben.
- Antworten auf Rechnungen kommen nicht an, obwohl der Kunde sagt, er habe geantwortet.
- In Postfächern gibt es Regeln, die Nachrichten an fremde Adressen weiterleiten, verschieben, löschen oder als gelesen markieren – oft mit unauffälligen Namen.
- Anmeldungen zu ungewohnten Zeiten oder aus ungewohnten Ländern, neue Geräte, fehlgeschlagene Mehrfaktor-Abfragen.
- Zahlungseingänge bleiben bei einzelnen Kunden aus, obwohl die Kunden zuverlässig sind.
Technisch: was in Microsoft 365 dazugehört
Viele Mittelständler nutzen Microsoft 365. Dort gehören vier Dinge zur Grundausstattung gegen BEC. Die Befehle stammen aus der Dokumentation von Microsoft; vor dem Einsatz sollte geprüft werden, welche legitimen Weiterleitungen es im Unternehmen gibt, etwa für den Empfang elektronischer Rechnungen.
Erstens: Mehrfaktor-Anmeldung für alle Konten, ohne Ausnahme für die Geschäftsführung. Zweitens: automatische Weiterleitung nach außen zentral abschalten. Microsoft regelt das in der Richtlinie für ausgehenden Spam; ist die Weiterleitung dort ausgeschaltet, erhält der Absender einer Weiterleitung eine Unzustellbarkeitsnachricht.
Set-HostedOutboundSpamFilterPolicy -Identity "<Name der Richtlinie>" -AutoForwardingMode OffDrittens: Postfachregeln und Weiterleitungen regelmäßig prüfen. Es gibt versteckte Regeln; der Schalter -IncludeHidden nimmt sie in die Ausgabe auf.
Get-InboxRule -Mailbox <Postfach> -IncludeHidden | Format-List Name,Enabled,RedirectTo,Forward*,Identity
Get-Mailbox -Identity <Postfach> | Format-List Forwarding*Address,DeliverTo*Viertens: sich melden lassen, wenn jemand eine Weiterleitungsregel anlegt. Im Microsoft Defender gibt es dafür vorgefertigte Warnungsrichtlinien, unter anderem „Creation of forwarding/redirect rule“ und „Suspicious email forwarding activity“. Sie müssen nur jemand erreichen, der sie liest.
Technisch: was außerhalb des Postfachs dazugehört
- Doppelgänger-Domains beobachten: Ähnliche Schreibweisen der eigenen Domain regelmäßig prüfen und die naheliegendsten vorsorglich selbst registrieren.
- SPF, DKIM und DMARC sauber setzen: Sie schützen nicht gegen jede Variante, aber gegen gefälschte Absender mit Ihrer Domain, und sie sind Voraussetzung dafür, dass Kunden Ihre echten E-Mails von Fälschungen unterscheiden können.
- Sicherheitstechnik mit Herstellerunterstützung betreiben: Eine Firewall ohne Sicherheitsupdates ist eine offene Flanke, auch wenn sie noch läuft.
- Protokolle zentral aufbewahren: Das BSI behandelt den Aufbau einer zentralen Protokollierung und die Archivierung im IT-Grundschutz-Baustein OPS.1.1.5. Eine Mindestfrist nennt es dort nicht. Wir empfehlen aus der Praxis mindestens zwölf Monate, manipulationsgeschützt und datenschutzkonform geregelt.
Organisatorisch: Regeln, die keine Technik brauchen
- Auf jede Rechnung und in die Signatur: Wir ändern unsere Bankverbindung nie per E-Mail. Wenn Ihnen jemand etwas anderes schreibt, rufen Sie uns unter der bekannten Nummer an.
- Ändert sich die Bankverbindung tatsächlich, Kunden auf einem zweiten Weg informieren, nicht nur per E-Mail.
- Für Zahlende im eigenen Haus gilt dasselbe in umgekehrter Richtung: geänderte Bankdaten von Lieferanten nur nach Rückruf über eine bekannte Nummer übernehmen, Zahlungen nach dem Vier-Augen-Prinzip freigeben.
- Ein fester Meldeweg: Jeder Verdacht geht ohne Umweg zur Geschäftsführung, auch wenn er sich später als harmlos herausstellt. In Teil 1 hatte ein früherer Vorfall die Geschäftsführung nie erreicht.
Ist die Rechnung bezahlt, wenn der Kunde auf das falsche Konto überwiesen hat?
In einem Punkt sind sich die gesichteten Entscheidungen einig: Wer auf ein untergeschobenes Konto zahlt, hat seine Schuld nicht erfüllt. Nach § 362 BGB erlischt eine Forderung, wenn die Leistung an den Gläubiger bewirkt wird, und das ist bei einer Zahlung an Betrüger nicht der Fall. Der Bundesgerichtshof hat 2025 entschieden, dass das Verlustrisiko in einem solchen Fall nicht auf den Gläubiger übergeht. Dort war allerdings ein Brief auf dem Postweg verfälscht worden, keine E-Mail (Urteil vom 8. Oktober 2025, IV ZR 161/24).
Uneinig sind die Gerichte bei der Frage, ob der Kunde dem Rechnungssteller etwas entgegenhalten kann. Das Oberlandesgericht Schleswig hat einer Kundin einen Schadensersatzanspruch nach der DSGVO zugesprochen, den sie der Werklohnforderung entgegenhalten konnte; bei hohem finanziellem Risiko hielt es eine Transportverschlüsselung allein nicht für ausreichend (Urteil vom 18. Dezember 2024, 12 U 9/24, laut Gericht rechtskräftig). Das Landgericht Koblenz ließ in einem Fall mit gehacktem E-Mail-Konto des Unternehmers eine teilweise Aufrechnung mit einem Anspruch nach der DSGVO zu; wegen eigenen Mitverschuldens musste der Kunde trotzdem drei Viertel der Rechnung zahlen (Urteil vom 26. März 2025, 8 O 271/22).
Andere Gerichte sahen das enger. Das Oberlandesgericht Karlsruhe fand zwischen zwei Unternehmen keine allgemeine Erwartung an eine Ende-zu-Ende-Verschlüsselung; die DSGVO war dort nicht anwendbar, weil keine natürliche Person betroffen war (Urteil vom 27. Juli 2023, 19 U 83/22). Das Oberlandesgericht Oldenburg verneinte einen Schadensersatz, weil die Käuferseite den E-Mail-Weg selbst gewählt hatte (Beschluss vom 17. April 2026, 5 U 89/25).
Für Rechnungssteller folgt daraus zweierlei. Die Forderung bleibt nach allen diesen Entscheidungen bestehen. Ob und in welcher Höhe der Kunde dagegenhalten kann, hängt aber auch davon ab, wie gut der Rechnungssteller seine E-Mail-Kommunikation abgesichert hat. IT-Sicherheit ist hier nicht nur Technik, sondern ein Faktor im Streitfall.
Kurz gesagt
BEC beginnt fast nie mit der gefälschten Rechnung, sondern Monate vorher mit einem Zugang, den niemand bemerkt. Wer als Rechnungssteller vorbeugen will, sperrt die automatische Weiterleitung nach außen, prüft Postfachregeln, lässt sich bei neuen Regeln warnen, setzt Mehrfaktor-Anmeldung durch und bewahrt Protokolle so lange auf, dass ein Angriff rekonstruierbar bleibt. Was im Ernstfall im Postfach zu prüfen ist, steht auf unserer Seite „E-Mail-Konto gekapert“. Wenn Sie einen akuten Verdacht haben: 0621 877 55 990, rund um die Uhr, auch ohne bestehenden Vertrag.
Häufige Fragen
Was ist der Unterschied zwischen Business E-Mail Compromise und CEO-Fraud?
Beim CEO-Fraud gibt sich jemand als Vorgesetzter aus und weist eine Überweisung an. Bei Business E-Mail Compromise schaltet sich der Angreifer in echte Geschäftsvorgänge ein, oft über ein übernommenes Postfach, und leitet etwa Rechnungszahlungen um.
Schützt DMARC vor Rechnungsbetrug?
Nur gegen eine Variante: gefälschte Absender mit Ihrer eigenen Domain. Gegen eine ähnlich aussehende fremde Domain und gegen Nachrichten aus einem übernommenen echten Postfach hilft DMARC nicht. Dafür braucht es Mehrfaktor-Anmeldung, gesperrte Weiterleitungen nach außen, geprüfte Postfachregeln und organisatorische Regeln wie den Rückruf.
Wie sperre ich die automatische Weiterleitung nach außen in Microsoft 365?
Über die Richtlinie für ausgehenden Spam: Mit dem Parameter AutoForwardingMode Off ist die automatische externe Weiterleitung abgeschaltet; Weiterleitungen erzeugen dann eine Unzustellbarkeitsnachricht. Vorher klären, welche legitimen Weiterleitungen es gibt.
Muss der Kunde noch einmal zahlen, wenn er auf ein gefälschtes Konto überwiesen hat?
Nach den veröffentlichten Entscheidungen ist die Forderung durch die Zahlung an Betrüger nicht erfüllt. Ob der Kunde einen Gegenanspruch hat, etwa wegen unzureichender Absicherung beim Rechnungssteller, beurteilen die Gerichte unterschiedlich. Das ist im Einzelfall mit einer Anwältin oder einem Anwalt zu klären.
Verwandte Themen: Wer hier weiterdenkt, liest bei Verdacht auf Rechnungsbetrug per E-Mail, Phishing und Ransomware und Phishing weiter.
Im Text erwähnt
- Teil 1: Monatelang mitgelesen – der Fall
- Fallstudie: Rechnungsbetrug per E-Mail beim Reifenhersteller
- CEO-Fraud: wenn jemand die Geschäftsführung imitiert
- Neue Bankverbindung per Mail: die Sicht der Zahlenden
- SPF/DMARC-Test
- E-Mail-Sicherheit
- MFA-Check
- E-Mail-Konto gekapert: was jetzt zu prüfen ist
- Internes Kontrollsystem und Vier-Augen-Prinzip
- Microsoft 365 sicher konfigurieren
- Firewall
Quellen
- Internet Crime Report 2025 (Business Email Compromise, S. 25/26 und Definition S. 59) · FBI Internet Crime Complaint Center (IC3)amtlich
- IT-Grundschutz-Baustein APP.5.3 Allgemeiner E-Mail-Client und -Server (Edition 2023) – Begriff CEO-Fraud · BSIamtlich
- New gTLD Program Safeguards Against DNS Abuse – Revised Report (Begriff Typosquatting) · ICANN
- Control automatic external email forwarding from cloud mailboxes · Microsoft Learn
- Get-InboxRule (Parameter -IncludeHidden) · Microsoft Learn
- Alert policies in the Microsoft Defender portal · Microsoft Learn
- Microsoft Entra data retention (Anmeldeprotokolle) · Microsoft Learn
- Learn about auditing solutions in Microsoft Purview (Aufbewahrung Audit Standard) · Microsoft Learn
- IT-Grundschutz-Baustein OPS.1.1.5 Protokollierung (Edition 2023) · BSIamtlich
- § 362 BGB – Erlöschen durch Leistung · Bundesministerium der Justizamtlich
- BGH, Urteil vom 08.10.2025, IV ZR 161/24 (gefälschte Kontoangabe im Brief) · Bundesportal Rechtsinformationenamtlich
- OLG Schleswig, Urteil vom 18.12.2024, 12 U 9/24 – Pressemitteilung · Schleswig-Holsteinisches Oberlandesgerichtamtlich
- LG Koblenz, Urteil vom 26.03.2025, 8 O 271/22 („Hacker am Gartenzaun“) · Landgericht Koblenzamtlich
- OLG Karlsruhe, Urteil vom 27.07.2023, 19 U 83/22 · Betriebs-Berater (Volltext)
- OLG Oldenburg, Beschluss vom 17.04.2026, 5 U 89/25 – Pressemitteilung 14/2026 · Oberlandesgericht Oldenburgamtlich
