Der E-Mail-Header, der deine Antwort direkt zu einem Dieb schickt

Hier ist ein Betrug, der amerikanische Unternehmen mehr Geld kostet als Ransomware, Malware und Datenschutzverletzungen zusammen, und er beinhaltet normalerweise gar keine Malware. Kein bösartiger Link. Kein infizierter Anhang. Nichts für dein Antivirus, um es zu erkennen. Nur eine E-Mail, die aussieht, als käme sie von deinem CFO, und eine Antwort, die leise woanders hingeht.

Dieses woanders ist der Trick. Und es sitzt in einem Header-Feld, das fast kein E-Mail-Client dir zeigt.

Das Feld heißt Reply-To. Es ist seit Anfang der Zeit Teil des Internet-Mail-Standards — RFC 5322 definiert es als die Adresse, wohin Antworten „sollten" gehen, getrennt von der From-Adresse. Bei legitimer Nutzung ist es langweilig und hilfreich. Ein Newsletter wird von noreply@company.com versendet, setzt aber Reply-To auf support@company.com, damit deine Fragen bei einem Menschen landen. Das ist alles. Das ist die ehrliche Aufgabe.

Business Email Compromise verwandelt diese Bequemlichkeit in eine Waffe. Statt der schwierigen, technischen Arbeit, eine From-Adresse zu fälschen — was SPF-, DKIM- und DMARC-Alarme auslöst und gekennzeichnet wird — registriert der Angreifer einfach eine ähnliche Domain oder ein Wegwerf-Gmail. Dann setzt er den Anzeigenamen auf „Karen Vasquez, CFO", damit dein Postfach einen vertrauten menschlichen Namen in Fettdruck zeigt. Die tatsächliche From-Adresse könnte karen.vasquez.finance@gmail.com sein, aber das siehst du nicht; du siehst „Karen Vasquez." Und entscheidend ist, dass sie die Reply-To auf eine Adresse setzen, die sie kontrollieren.

Also liest du die E-Mail. Sie ist kurz, plausibel, ein bisschen dringend. „Bist du am Schreibtisch? Ich brauche dich, um eine Überweisung zu bearbeiten, bevor die Bank schließt." Du klickst auf Antworten. Dein Client ist hilfreich und adressiert deine Antwort an die Reply-To — nicht an die From. Du sprichst jetzt mit dem Angreifer, und jede Nachricht, die du sendest, bestätigt, dass du in die Falle getappt bist.

Der Umfang hier ist kein Rundungsfehler. Das Internet Crime Complaint Center des FBI verzeichnete $2,9 Milliarden gemeldete BEC-Verluste allein 2023, über mehr als 21.000 Beschwerden. Das ist die gemeldete Zahl, von Personen, die es bemerkt haben und eingereicht haben. Die tatsächliche Zahl ist größer, weil eine Überweisung, die ausgeführt wird, bis zur Abstimmung wie ein normaler Dienstag aussieht.

Was das verrückt macht, ist, dass die Abwehr direkt dort ist und versteckt. Jeder Mail-Client kennt den Reply-To-Wert. Fast keiner zeigt ihn. Gmail bricht den Absender auf einen Anzeigenamen und ein winziges Häkchen zusammen, das du anklicken musst. Outlook verbirgt die tatsächlichen Adressen unter „Quelle anzeigen" oder einem Eigenschaften-Dialog, den die meisten Menschen nie geöffnet haben. Das eine Feld, das den Betrug enthüllt, ist das eine Feld, das die Benutzeroberfläche als Unordnung behandelt.

Also trainiere die Gewohnheit. Bevor du auf irgendetwas antwortest, das Geld, geänderte Bankdetails oder Dringlichkeit betrifft, erweitere den Header. In Gmail klicke auf den Abwärtspfeil neben dem Namen des Absenders und lies die tatsächliche „reply-to"-Zeile. Wenn die From das eine sagt und die Reply-To auf ein anderes Postfach zeigt, stopp. Diese Diskrepanz ist selten unschuldig in einer Finance-E-Mail.

Besser noch, antworte gar nicht. Beginne eine neue Nachricht an die Adresse, die du bereits für diese Person gespeichert hast, oder ruf eine Nummer an, die du nicht aus der E-Mail bekommen hast. Angreifer zählen darauf, dass du im Thread bleibst, den sie gebaut haben.

Die düstere Eleganz dieses Betrugs ist, dass er jeden automatisierten Check besteht, indem er keine Regel bricht. Die From-Adresse ist technisch real. Die Domain authentifiziert sich gut. Nichts ist gefälscht. Die Lüge ist nicht in der Technik — sie ist in der einen Zeile, die deine Software entschieden hat, dass du sie nicht sehen musst.