Die gefälschte Rechnung, die jeden Spam-Test bestanden hat

Ein Lieferant, dem du schon ein Dutzend Mal bezahlt hast, sendet eine neue Rechnung. Gleiches Logo, gleicher Kontomanager, gleiches höfliches Schlusszeichen. Der einzige Unterschied ist eine Zeile, die irgendwo im Header der E-Mail vergraben ist — und genau diese Zeile leitet deine $48.000-Zahlung an einen Fremden in einem anderen Land weiter.

Das ist der Teil des Inbox-Betrugs, vor dem dich niemand warnt: Die gefährlichen Rechnungen sind nicht die schlampigen. Sie sind die sauberen. Ein Betrüger, der in ein echtes Geschäfts-E-Mail-Konto einbricht, muss nichts fälschen. Die Mail geht von der echten Domain aus, signiert mit echten Schlüsseln. SPF bestätigt. DKIM bestätigt. DMARC bestätigt. Dein Spam-Filter zuckt mit den Schultern und lässt sie durch, denn mathematisch gesehen handelt es sich um legitime Post. Das ist es auch. Sie wird nur vom falschen Menschen versendet.

Deshalb ist Business E-Mail Compromise der teuerste Betrug überhaupt, und es ist nicht mal knapp. Das Internet Crime Complaint Center des FBI verzeichnete allein 2023 ungefähr $2,9 Milliarden in BEC-Verlusten — Überweisungen, die auf der Grundlage einer E-Mail getätigt wurden, die nach jedem automatisierten Maßstab völlig in Ordnung aussah. Keine Malware. Kein verdächtiger Link. Nur eine glaubwürdige Aufforderung, Zahlungsdaten zu aktualisieren, versendet aus einem Postfach, das stillschweigend gekapert worden war.

Wenn der Spam-Score dich also nicht retten wird — was dann?

Zwei Header-Zeilen, die du in unter einer Minute lesen kannst: Reply-To und Return-Path.

Hier ist der Unterschied in einfachen Worten. Die From-Adresse ist das, was du auf der Vorderseite des Umschlags siehst. Der Return-Path ist der Ort, an den Bounce-Nachrichten gehen, wenn die Zustellung fehlschlägt — der technische „Absender", um den sich der empfangende Server wirklich kümmert. Und Reply-To ist die Adresse, an die deine Antwort stillschweigend versendet wird, wenn du auf den Button klickst. Wie DMARC.org erklärt, können diese legitim voneinander abweichen, was genau das macht, was sie als Erkennungsmerkmal nützlich macht. Bei ehrlicher Post von einem Lieferant stimmen alle drei normalerweise unter der gleichen Domain überein. Bei einem Konto-Übernahme-Betrug lässt der Angreifer die From oft unberührt — sie muss echt aussehen — schleust aber eine Reply-To ein, die woanders hinweist. accounts@yourvendor.com auf der Vorderseite, accounts.yourvendor@gmail.com bei der Antwort. Andere Domain. Manchmal um nur ein Zeichen abweichend.

Der Angreifer tut dies aus einem einfachen Grund. Er kontrolliert das gekaperte Postfach vielleicht gerade jetzt, aber er möchte nicht, dass deine Antwort zurück in den Posteingang des echten Inhabers landet, wo der echte Mitarbeiter vielleicht eine Rechnung bemerkt, die er nie versendet hat. Also leitet er das Gespräch zu einer Adresse um, die er vollständig kontrolliert. Diese Umleitung ist der Fingerabdruck.

Ihn zu finden dauert etwa 20 Sekunden. In Outlook öffnest du die Nachricht und nutzt Datei → Eigenschaften, um die Internet-Header zu sehen; Microsoft dokumentiert das vollständige Header-Format, falls du jede Zeile lesen möchtest. In Gmail tippst du auf das Drei-Punkte-Menü und wählst Original anzeigen. Suche nach Reply-To: und Return-Path:. Falls eine der beiden auf eine Domain verweist, die nicht die des Absenders ist — oder auf ein kostenloses Webmail-Konto, wenn du eine Unternehmens-Domain erwartest — stopp. Antworte nicht auf die E-Mail. Ruf den Lieferant unter einer Nummer an, die du bereits hast, nicht unter einer, die in der Nachricht gedruckt ist.

Nichts davon erfordert, dass du technisch versiert bist. Es erfordert, dass du genau die E-Mails verdächtig behandelst, die keine Alarme auslösen. Ein grünes Häkchen von deinem Filter bedeutet, dass die Nachricht nicht gefälscht wurde. Es sagt nichts darüber aus, wer die Schlüssel zu dem Konto hält, von dem sie versendet wurde.

Die Betrügereien, die 2024 Konten leeren, sehen nicht wie Betrügereien aus. Sie sehen aus wie Dienstag. Der Header ist der Ort, an dem die Lüge noch immer leben muss.