Dein Antivirus hatte gegen eine leere E-Mail nie eine Chance

Ein Sachbearbeiter in der Lohnbuchhaltung bei einer mittelständischen Firma erhält eine E-Mail vom CEO. Kein Anhang. Kein Link. Nur fünf Zeilen, in denen er sie auffordert, vor dem Mittags-Stichtag eine eilige Überweisung an einen neuen Lieferanten zu tätigen, und bitte diskret, wir schließen die Akquisition ab. Sie überweist $180.000. Der CEO hat sie nie versendet. Und jedes Sicherheitsprogramm, das das Unternehmen bezahlt hat, sah genau nichts Falsches, weil es nichts zu sehen gab.

Das ist Business Email Compromise, und es ist das teuerste Verbrechen in deinem Posteingang mit großem Abstand. Das Internet Crime Complaint Center des FBI verzeichnete allein im Jahr 2023 $2,9 Milliarden gemeldete BEC-Verluste. Ransomware, das Ding, das alle in Panik versetzt, das Ding mit den Totenkopf-Grafiken und den Countdown-Timern? Es kam auf ungefähr $59,6 Millionen gemeldete Verluste in demselben Jahr. BEC übertrumpft es um einen Faktor von fast fünfzig. Das eine bekommt Schlagzeilen. Das andere bekommt dein Geld.

Der Grund, warum Antivirus hier versagt, ist fast peinlich. Malware-Scanner funktionieren, indem sie Code untersuchen — einen Anhang, eine ausführbare Datei, ein Makro versteckt in einer Tabellenkalkulation. Sie vergleichen ihn mit bekannten bösen Signaturen oder beobachten sein Verhalten in einer Sandbox. Eine BEC-E-Mail übergibt ihnen eine Klartextnachricht im Ton deines Chefs. Es gibt kein Payload zum Zünden. Die Waffe ist ein Satz.

Das bedeutet, die Verteidigung kann kein Scanner sein. Sie muss eine Gewohnheit sein, und die Gewohnheit lebt in den Headern.

Hier ist das Indiz, das die meisten Menschen nie suchen. Das From-Feld und das Reply-To-Feld sind zwei verschiedene Dinge, und Betrüger nutzen die Lücke aus. Die From-Zeile zeigt einen Namen und eine Adresse, dem du vertraust — ceo@yourcompany.com, korrekt geschrieben. Aber in dem Moment, in dem du auf Antwort klickst, wird die Nachricht stillschweigend an ceo.finance@gmail-secure-mail.com oder eine andere Wegwerf-Domain, die der Angreifer tatsächlich kontrolliert, weitergeleitet. Deine Antwort, mit der Überweisungsbestätigung, geht direkt an den Gauner. Der Anzeigename log. Das Reply-To sagte die Wahrheit.

Also trainiere dich selbst, den Header zu erweitern, bevor du auf eine Geldanforderung reagierst. In Gmail klickst du auf den kleinen Pfeil unter dem Absendernamen. In Outlook öffnest du die Nachrichtendetails. Wenn Reply-To nicht mit From übereinstimmt, stopp. Wenn die Domain um ein Zeichen falsch ist — rn posiert als m, a .co wo du .com erwartet hast — stopp.

Die ausgefeiltere Variante versucht nicht einmal, deine eigene Domain zu spoofen. Sie gibt sich als echter Lieferant aus, den du bereits bezahlst. Der Angreifer sitzt auf einem kompromittierten Lieferantenkonto für Wochen, liest den echten Rechnungs-Thread, und sendet dann im perfekten Moment: „Wir haben unsere Bankdaten aktualisiert, bitte verwende das neue Konto." Diese Variante ist brutal genau deshalb, weil die E-Mail authentisch ist — sie stammt aus dem echten, gehackten Posteingang des Lieferanten. SPF, DKIM und DMARC gehen alle sauber durch, weil die Nachricht wirklich von dort stammt, wo sie behauptet. Authentifizierung bestätigt den Absender. Sie kann die Ehrlichkeit des Absenders nicht bestätigen.

Das ist die unbequeme Wahrheit unter all dem: Der ganze Betrug läuft auf Vertrauen und Eile, zwei Dinge, die keine Signaturdatenbank messen kann. Ein CEO, der „so etwas nie per E-Mail macht" macht es plötzlich. Ein Lieferant, der dich drei Jahre lang auf die gleiche Weise in Rechnung gestellt hat, ändert plötzlich Konten. Die Anforderung kommt immer mit einem Grund, den du bis Mittag nicht überprüfen kannst.

Überprüfe also auf anderem Wege. Rufe die Nummer an, die du bereits hast — nicht die in der E-Mail. Ein zehn Sekunden langer Anruf hat sechsstellige Überweisungen zuverlässiger rückgängig gemacht als jedes Produkt mit einer Firewall im Namen. Die Betrüger wetten darauf, dass du nicht anrufen wirst. Beweis ihnen das Gegenteil.