Identity-basierte Angriffe und BEC: Die unterschätzte Gefahr für KMU 2026

Der Eye Security Report „The State of Cyber Incidents in Europe 2026“ wertet 630 von Eye bearbeitete Incident-Response-Fälle aus dem Zeitraum 2023 bis November 2025 aus. Darunter ordnet der Anbieter 454 Fälle Business Email Compromise (BEC) und 30 Fälle Ransomware zu. Diese Verteilung zeigt, welchen Stellenwert BEC in der konkreten Fallauswahl des Anbieters hat. Sie ist keine repräsentative Aussage darüber, welcher Anteil aller europäischen oder deutschen KMU betroffen ist.

Was ist Business Email Compromise?

BEC manipuliert geschäftliche Kommunikation und Zahlungsprozesse. Angreifer können eine Absenderadresse nachahmen oder ein echtes Postfach übernehmen. Häufige Szenarien sind:

• eine angebliche Anweisung der Geschäftsleitung,
• eine Rechnung mit geänderter Bankverbindung,
• eine übernommene Lieferantenkonversation,
• die Aufforderung, vertrauliche Daten oder Zugangsinformationen zu senden.

Der Angriff verbindet Identität und Geschäftsprozess. Eine technisch echt versandte Nachricht kann betrügerisch sein, wenn das Konto kompromittiert wurde. Umgekehrt kann eine gefälschte Nachricht ohne Kontozugriff sehr überzeugend wirken. Details zum sozialen Teil dieser Angriffe beschreibt der Beitrag zur E-Mail-Sicherheit.

Was sich aus der Eye-Stichprobe ableiten lässt

Eye berichtet für die untersuchten Fälle auch unterschiedliche Verweildauern mit und ohne Managed Detection and Response. Diese Beobachtung ist für die Betriebsplanung interessant: Kontinuierliche Überwachung kann die Chance erhöhen, ungewöhnliche Anmeldungen oder Postfachregeln früher zu bemerken. Sie ist jedoch kein alleiniger Kausalitätsnachweis und kein allgemeines Leistungsversprechen für MDR.

Nicht belastbar wären aus der Stichprobe Aussagen wie „BEC ist bei allen KMU die Nummer eins“ oder „MDR reduziert die Verweildauer immer auf einen festen Wert“. Auswahl, Kundenstruktur, Erfassungsweg und Servicekontext beeinflussen das Ergebnis.

Technische Kontrollen für E-Mail-Identitäten

1. Starke MFA: Für E-Mail- und Administrationskonten bevorzugt phishing-resistente Verfahren einsetzen, soweit Plattform und Betriebsmodell dies erlauben.
2. Wiederherstellung schützen: Alternative E-Mail-Adressen, Telefonnummern und Helpdesk-Prozesse gegen Social Engineering absichern.
3. Anmeldungen überwachen: Ungewöhnliche Länder, Geräte, Weiterleitungsregeln und Rechteänderungen sichtbar machen.
4. SPF, DKIM und DMARC: Die eigene Domain gegen bestimmte Formen der Absenderfälschung härten. Diese Standards verhindern nicht den Versand aus einem tatsächlich übernommenen Konto.
5. Berechtigungen begrenzen: Gemeinsame Konten vermeiden und Administrationsrechte getrennt verwalten.

Der wichtigste Schutz liegt im Zahlungsprozess

Technik kann die Wahrscheinlichkeit eines Kontodiebstahls senken. Die letzte Barriere vor einer Fehlüberweisung ist aber häufig der Geschäftsprozess:

• Neue oder geänderte Bankverbindungen über eine bereits bekannte Nummer bestätigen.
• Kritische Zahlungen durch eine zweite Person freigeben lassen.
• Zeitdruck und angebliche Vertraulichkeit als Eskalationssignal behandeln.
• Abweichungen dokumentieren und ohne Schuldzuweisung melden.
• Rückrufnummern nicht aus der verdächtigen Nachricht übernehmen.

Die Schwellenwerte sollten zum Unternehmen passen. Ein ausnahmsloses Vier-Augen-Prinzip für jede kleine Ausgabe kann den Betrieb unnötig belasten; fehlende Kontrolle bei hohen oder ungewöhnlichen Zahlungen schafft dagegen ein vermeidbares Risiko.

MDR und SIEM realistisch einordnen

Ein Managed Security Service kann Überwachung und Erstreaktion übernehmen. Vor der Auswahl sollten Datenquellen, Betriebszeiten, Reaktionsrechte und Übergabe an den eigenen Incident-Response-Plan festgelegt werden. Ein SIEM ohne gepflegte Regeln und verantwortliche Bearbeitung liefert noch keine wirksame Erkennung.

Fazit

Die Eye-Fallserie belegt nicht die Prävalenz von BEC in allen KMU, zeigt aber, dass BEC in einer umfangreichen europäischen Incident-Response-Stichprobe ein zentraler Falltyp war. Unternehmen sollten deshalb Identitätsschutz und Zahlungsprozesse gemeinsam betrachten. Eine IT-Sicherheitsberatung kann die konkrete Umgebung prüfen und Maßnahmen priorisieren; eine Erfolgsgarantie lässt sich daraus nicht ableiten.