E-Mail-Absender überprüfen: CEO-Fraud und BEC erkennen

Kurze Antwort

Business Email Compromise (BEC), in Deutschland oft CEO-Fraud oder Rechnungsbetrug genannt, ist eine Masche, bei der Kriminelle E-Mails schicken, die scheinbar von Ihrer Chefin, einem Lieferanten oder einer Anwaltskanzlei stammen, und Sie zu einer Zahlung oder einer neuen Bankverbindung drängen. Prüfen Sie die echte Adresse und Domain Buchstabe für Buchstabe, suchen Sie in den Nachrichtendetails nach „pass“ bei SPF, DKIM und DMARC, und handeln Sie bei Zahlungen erst, wenn Sie die Person unter einer Nummer angerufen haben, die Sie schon hatten. Haben Sie gezahlt, rufen Sie sofort Ihre Bank an und erstatten Sie Anzeige.

Wichtige Zahlen

3,05 Mrd. US-DollarVerluste durch Business Email Compromise, die 2025 dem FBI gemeldet wurden, bei 24.768 BeschwerdenFBI IC3 2025 Internet Crime Report
679 Mio. US-Dollarhat das Recovery Asset Team des FBI 2025 für Opfer eingefroren, eine Erfolgsquote von 58 % bei 1,16 Mrd. US-Dollar gemeldeten VerlustenFBI IC3 2025 Internet Crime Report
41,3 Mio. PfundVerluste durch Rechnungs- und Mandatsbetrug in Großbritannien im Jahr 2025, bei 2.305 FällenUK Finance Annual Fraud Report 2026
55,5 Mrd. US-Dollarerfasste BEC-Verluste weltweit von Oktober 2013 bis Dezember 2023, bei 305.033 VorfällenFBI IC3 PSA, September 2024

Eine E-Mail von einem Lieferanten, den Sie jeden Monat bezahlen: Er hat die Bank gewechselt, die nächste Rechnung soll auf das neue Konto gehen. Oder Ihr Geschäftsführer schreibt vom Flughafen: Eine dringende, vertrauliche Zahlung muss noch heute raus. Der Name stimmt, der Ton stimmt, das Logo stimmt. Die Frage ist, ob die Person, von der Sie die Mail glauben, sie wirklich geschickt hat. Genau deshalb lohnt es sich, den E-Mail-Absender zu überprüfen, bevor Geld fließt.

Das ist Business Email Compromise, im deutschsprachigen Raum meist CEO-Fraud oder Rechnungsbetrug genannt, und es gehört zu den teuersten Delikten, die das FBI erfasst. Unternehmen und Privatpersonen meldeten 2025 Verluste von 3,05 Mrd. US-Dollar durch BEC, bei 24.768 Beschwerden beim Internet Crime Complaint Center des FBI. Die Abwehr ist einfach, aber streng: ein paar Prüfungen an der E-Mail und eine Rückrufregel, die niemand auslässt.

Was ist Business Email Compromise (CEO-Fraud)?

Business Email Compromise ist eine Betrugsmasche, bei der sich Kriminelle per E-Mail als jemand ausgeben, dem Sie vertrauen, etwa ein Lieferant, eine Führungskraft, ein Mitarbeiter oder ein Anwalt, damit Sie Geld oder vertrauliche Daten schicken. Laut FBI richtet sie sich gegen Menschen und Unternehmen, die regelmäßig Überweisungen tätigen, und nutzt gehackte oder gefälschte E-Mail-Konten und zunehmend auch Telefonnummern und Videokonferenz-Apps. Das irische National Cyber Security Centre nennt vier häufige Formen:

Lieferanten- oder Rechnungsbetrug: Die E-Mail eines echten Lieferanten wird gehackt oder mit einer ähnlich aussehenden Domain nachgeahmt, um gefälschte Rechnungen oder eine „neue Bankverbindung“ zu verschicken.
CEO-Fraud: Eine falsche Führungskraft verlangt eine dringende, geheime Überweisung oder Geschenkkarten.
Umleitung von Gehaltszahlungen: Ein falscher Mitarbeiter bittet die Personalabteilung, sein Gehalt auf ein neues Konto zu überweisen.
Falsche Anwälte: Eine angebliche Kanzlei oder ein angeblicher Treuhänder schickt Zahlungsanweisungen für ein Geschäft oder einen Immobilienkauf.

In Großbritannien verzeichneten Banken 2025 Verluste von 41,3 Mio. Pfund durch Rechnungs- und Mandatsbetrug bei 2.305 Fällen, dazu weitere 5,6 Mio. Pfund durch CEO-Fraud.

Wie sieht eine CEO-Fraud- oder BEC-E-Mail aus?

Sie sieht ganz normal aus, und genau das ist der Trick. BEC-E-Mails enthalten selten Schadsoftware oder Links. Sie setzen auf eine glaubwürdige Geschichte, eine Frist und eine kleine Änderung. Typische Beispiele, sinngemäß:

Guten Tag, bitte beachten Sie, dass wir unsere Bankverbindung zu einem neuen Institut verlegt haben. Die aktualisierten Daten finden Sie im Anhang. Bitte nutzen Sie diese für Rechnung Nr. 4471 und alle künftigen Zahlungen. Unser altes Konto ist bereits geschlossen.

Sind Sie gerade am Platz? Ich brauche Sie heute für eine vertrauliche Zahlung im Rahmen einer Übernahme. Bitte noch mit niemandem darüber sprechen. Ich sitze in Meetings, also nur per E-Mail.

Hallo Personalabteilung, ich habe die Bank gewechselt. Können Sie meine Bankverbindung noch vor der nächsten Gehaltsabrechnung ändern? Die neuen Daten stehen unten.

Das FBI weist darauf hin, dass KI diese E-Mails inzwischen glaubwürdiger macht: Chat-Tools können den Schreibstil einer Führungskraft nachahmen, und geklonte Stimmen können eine Anfrage am Telefon bestätigen. Unternehmen meldeten 2025 BEC-Verluste von mehr als 30 Mio. US-Dollar, bei denen KI im Spiel war.

Wie überprüfen Sie den Absender einer E-Mail?

Prüfen Sie die tatsächliche Adresse, die Domain und die Authentifizierungsergebnisse, und bestätigen Sie dann telefonisch unter einer Nummer, die Sie bereits hatten. Gehen Sie in dieser Reihenfolge vor.

Lassen Sie sich die vollständige Adresse anzeigen. Der Anzeigename („Sarah Lee, Buchhaltung“) kann alles Mögliche behaupten. Tippen oder fahren Sie mit der Maus darauf, um die echte Adresse zu sehen. Auf dem Handy übersieht man diesen Schritt leicht, deshalb rät das FBI, das E-Mail-Programm so einzustellen, dass es vollständige Adressen anzeigt.
Lesen Sie die Domain Buchstabe für Buchstabe. Achten Sie auf vertauschte oder zusätzliche Zeichen: „acme-corp.com“ statt „acmecorp.com“, „rn“ statt „m“, „l“ statt „i“, „.co“ statt „.com“ oder eine kostenlose Adresse wie Gmail bei einer Firma, die eine eigene Domain hat.
Prüfen Sie die Antwortadresse (Reply-To). Klicken Sie auf Antworten und schauen Sie in die Zeile „An“, bevor Sie etwas schreiben. Steht dort plötzlich eine andere Adresse, soll Ihre Antwort woandershin gelenkt werden.
Prüfen Sie die Authentifizierungsergebnisse (SPF, DKIM, DMARC), wie unten erklärt.
Sehen Sie sich den Verlauf an. Ist das ein neuer Thread, der einen alten angeblich „fortsetzt“? Haben sich Signatur, Telefonnummer oder Tonfall geändert?
Rufen Sie zur Bestätigung an, und zwar unter einer Nummer aus Ihren eigenen Unterlagen, nie unter der aus der E-Mail. Dieser Schritt verhindert den Schaden tatsächlich.

Eine echte E-Mail von einem gehackten Konto besteht jede technische Prüfung. Deshalb ist Schritt 6 bei jeder Zahlung und jeder Änderung der Bankverbindung Pflicht.

Wie prüfen Sie SPF, DKIM und DMARC bei einer E-Mail?

Öffnen Sie die vollständigen Details oder den Header der Nachricht und suchen Sie nach „pass“ oder „fail“ neben SPF, DKIM und DMARC. In Gmail öffnen Sie die E-Mail, klicken auf das Drei-Punkte-Menü und wählen „Original anzeigen“. In Outlook öffnen Sie die Eigenschaften der Nachricht oder die Nachrichtenquelle und suchen nach der Zeile „Authentication-Results“.

Prüfung	Was sie einfach gesagt bedeutet	Was ein „fail“ nahelegt
SPF	Der sendende Server darf für diese Domain E-Mails verschicken	Ein fremder Server hat Mails verschickt und sich als diese Domain ausgegeben
DKIM	Die E-Mail trägt eine gültige digitale Signatur der Domain und wurde unterwegs nicht verändert	Die Nachricht wurde nicht von dieser Domain signiert oder nachträglich verändert
DMARC	Die Domain, die Sie in der Zeile „Von“ sehen, passt zu der, die SPF oder DKIM bestanden hat	Der sichtbare Absender ist wahrscheinlich gefälscht

Ein „fail“ bei einer Zahlungs-E-Mail ist ein Stoppschild. Ein „pass“ beweist nur, dass die E-Mail von dieser Domain kam. Es beweist nicht, dass es die richtige Domain ist (eine ähnlich aussehende Domain kann alle drei Prüfungen bestehen) oder dass das Konto nicht gehackt wurde. Sehen Sie diese Prüfungen als Filter, nicht als Urteil.

Wie finden Sie heraus, wem eine Domain oder E-Mail-Adresse gehört?

Schlagen Sie das Registrierungsdatum der Domain nach und prüfen Sie dann die Person hinter der Adresse. Nutzen Sie dafür die kostenlose Abfrage der Registrierungsdaten bei der ICANN. Eine zehn Jahre alte Domain eines Lieferanten ist normal. Eine ähnlich aussehende Domain, die letzte Woche registriert wurde, ist Betrug. Das irische NCSC empfiehlt genau deshalb, E-Mails von neu registrierten Domains zu blockieren oder zu markieren.

Bei einem neuen Kontakt, einem neuen Lieferanten oder einem Namen, den Sie nicht kennen, hilft eine Geschäftskontakt-Suche bei Search A-Z. Geben Sie den vollständigen Namen und das Land des Absenders ein, wählen Sie „Geschäftskontakt“ und ergänzen Sie die E-Mail-Adresse und die Firma. Der Bericht prüft, ob die E-Mail-Adresse echt ist und wie hoch ihr Betrugsrisiko ist, und zeigt die geschäftliche E-Mail-Adresse der Person, die aktuelle Position und Firma, den beruflichen Werdegang, öffentliche Berufsprofile, die Registrierung des Unternehmens (Funktionen bei Companies House in Großbritannien und das weltweite LEI-Register), Erwähnungen in News und im Web sowie öffentliche Betrugswarnungen, falls es welche gibt. Hinterlässt der „neue Kundenbetreuer“ beim Lieferanten keinerlei Spuren, haben Sie Ihre Antwort. Die Person erfährt nie, dass Sie gesucht haben.

Was ist eine Rückrufregel (Callback-Verfahren)?

Eine Rückrufregel ist eine schriftliche Vorgabe, nach der jede neue Zahlung, jede Änderung einer Bankverbindung und jede dringende Überweisung durch einen ausgehenden Anruf unter einer bereits hinterlegten Nummer bestätigt wird, bevor Geld fließt. Sie ist der wirksamste Schutz gegen BEC, aber nur, wenn sie richtig umgesetzt wird. Der Leitfaden von JPMorgan dazu, wann Rückrufe schiefgehen, nennt die typischen Fehler: einem eingehenden Anruf vertrauen, der die E-Mail „bestätigt“, die Telefonnummer aus der E-Mail oder Rechnung verwenden und mit jemandem sprechen, der nicht die richtige Person ist.

Eine einfache Regel zum Übernehmen:

Jede Änderung der Bankverbindung eines Lieferanten oder Mitarbeiters wird durch einen ausgehenden Anruf bestätigt, unter einer Nummer aus Ihrer Lieferantendatei, dem Vertrag oder der offiziellen Website des Lieferanten, nie aus der Anfrage.
Der Anruf geht an eine namentlich bekannte Person, mit der Sie schon zu tun hatten.
Anfragen, die als dringend oder vertraulich markiert sind, werden strenger geprüft, nicht lockerer.
Zahlungen ab einem festgelegten Betrag brauchen die Freigabe von zwei Personen (Vier-Augen-Prinzip).
Neue Bankverbindungen gelten erst nach einer Wartefrist (zum Beispiel 24 bis 48 Stunden) für die erste Zahlung.
Alle Mitarbeitenden wissen schriftlich, dass niemand Ärger bekommt, auch nicht vom Geschäftsführer, wenn eine Zahlung zur Prüfung verzögert wird.

Ein Gesprächsleitfaden für den Anruf:

Hallo, hier ist Alex aus der Buchhaltung von Northfield. Wir haben eine E-Mail mit einer neuen Bankverbindung für Ihre Rechnungen bekommen. Bevor wir etwas ändern: Können Sie bestätigen, dass die von Ihnen kam, und mir die letzten vier Ziffern der neuen Kontonummer vorlesen?

Wie sollte ein Unternehmen mit einer geänderten Bankverbindung umgehen?

Behandeln Sie jede Änderung von Zahlungsdaten als verdächtig, bis sie über einen zweiten, unabhängigen Kanal bestätigt ist, und dokumentieren Sie jeden Schritt. Dieses Vorgehen funktioniert für kleine und große Firmen:

Halten Sie die Anfrage fest, mit Datum, Absenderadresse und den gewünschten Änderungen. Antworten Sie noch nicht.
Rufen Sie den Lieferanten an, unter der Nummer, die schon in Ihrem System steht, und bestätigen Sie die Änderung mit Ihrem üblichen Ansprechpartner.
Prüfen Sie den Namen des neuen Kontos. In Großbritannien zeigt Confirmation of Payee, ob der Name zum Konto passt. Im Euroraum leistet die Empfängerüberprüfung (Verification of Payee) seit dem 9. Oktober 2025 dasselbe für Euro-Überweisungen. Ein „keine Übereinstimmung“ oder „teilweise Übereinstimmung“ ist ein Warnsignal.
Holen Sie eine zweite Freigabe ein für die Änderung.
Senden Sie eine kleine Testzahlung und lassen Sie sich telefonisch bestätigen, dass sie angekommen ist, bevor der volle Betrag rausgeht.
Achten Sie auf Nachfragen. Druck, einen dieser Schritte auszulassen, ist selbst schon ein Warnsignal.

Dieselben Regeln schützen Sie auch als Lieferant: Teilen Sie Ihren Kunden schriftlich mit, dass Sie Ihre Bankverbindung nie allein per E-Mail ändern. Für neue Kunden erklärt unser Ratgeber, wie Sie einen neuen Kunden vor Projektstart prüfen, die weiteren Prüfungen.

Was tun, wenn Sie eine gefälschte Rechnung bezahlt haben?

Rufen Sie sofort Ihre Bank an und lassen Sie die Zahlung zurückrufen, und erstatten Sie noch am selben Tag Anzeige beim FBI oder bei Ihrer nationalen Polizei. Tempo ist das Wichtigste. Das irische NCSC warnt, dass das Geld meist verloren ist, wenn es nicht in den ersten Stunden gemeldet wird.

Rufen Sie jetzt die Betrugsabteilung Ihrer Bank an. Bitten Sie um einen Rückruf der Überweisung und darum, dass die Empfängerbank das Geld einfriert. Nennen Sie Betrag, Datum, Empfängerkonto und Verwendungszweck.
USA: Melden Sie den Fall auf ic3.gov, mit allen Transaktionsdetails, egal wie hoch der Betrag ist. Das Recovery Asset Team des FBI nutzt die Financial Fraud Kill Chain, um gemeinsam mit Banken Geld einzufrieren. 2025 bearbeitete es 3.900 Vorfälle und fror 679 Mio. US-Dollar ein, eine Erfolgsquote von 58 %. Es kann auch Weiterüberweisungen („second hop“) verfolgen, wenn Sie die Daten liefern, und arbeitet bei Auslandsüberweisungen mit FinCEN zusammen.
Großbritannien: Melden Sie es bei Report Fraud, das im Dezember 2025 Action Fraud abgelöst hat, unter 0300 123 2040, oder bei Police Scotland unter 101. Ihre Bank startet zusätzlich ein eigenes Rückholverfahren.
EU: Erstatten Sie Anzeige bei Ihrer nationalen Polizei und informieren Sie Ihre Bank. In Deutschland geht das online über die Onlinewache der Polizei Ihres Bundeslandes, Unternehmen können sich auch an die Zentrale Ansprechstelle Cybercrime (ZAC) ihres Landes wenden. In Irland möchte auch das NCSC informiert werden.
Sichern Sie das E-Mail-Konto. Ändern Sie die Passwörter, aktivieren Sie die Mehr-Faktor-Authentifizierung und prüfen Sie, ob es Weiterleitungs- oder Posteingangsregeln gibt, die Antworten verstecken. Sie sind ein häufiges Zeichen dafür, dass das Konto übernommen wurde.
Sichern Sie Beweise. Speichern Sie die E-Mails mit vollständigem Header, Rechnungen, Anrufprotokolle und Transaktionsbelege. Löschen Sie nichts.
Warnen Sie den echten Lieferanten oder Kunden. Sein Konto oder Ihres ist möglicherweise noch kompromittiert.

Meldet sich ein „Rückholdienst“, der Ihnen das Geld gegen eine Gebühr zurückholen will, ist das der nächste Betrug. Echte Rückholung läuft über Ihre Bank und die Polizei.

Wie schützen Sie Ihr Unternehmen vor E-Mail-Betrug?

Kombinieren Sie einen strengen Zahlungsprozess mit ein paar technischen Grundlagen. Das FBI und das irische NCSC empfehlen beide:

Mehr-Faktor-Authentifizierung für jedes E-Mail-Konto.
SPF, DKIM und DMARC für Ihre eigenen Domains, damit Kriminelle sich gegenüber Ihren Kunden nicht so leicht als Sie ausgeben können.
Ein E-Mail-Programm, das vollständige Absenderadressen zeigt und externe Absender markiert.
Naheliegende Doppelgänger Ihrer eigenen Domain selbst registrieren oder überwachen.
Eine geprüfte Lieferantenliste mit bekannten Telefonkontakten.
Regelmäßige Schulungen für Mitarbeitende mit echten Beispielen wie den oben genannten.

BEC beginnt oft mit einer Recherche über Ihr Team: Wer gibt Zahlungen frei, wer sind die Lieferanten, wer ist gerade auf Reisen? Unser Ratgeber Fake-Profile auf LinkedIn erkennen erklärt, wie gefälschte Konten diese Informationen sammeln.

Das Wichtigste in Kürze

Einer gehackten E-Mail sieht man nicht an, dass sie nicht echt ist, also versuchen Sie es gar nicht erst. Prüfen Sie Adresse und Domain, nutzen Sie SPF und DKIM als ersten Filter und bestätigen Sie jede Änderung von Zahlungsdaten mit einem Anruf unter einer Nummer, die Sie schon hatten. Ist Geld weg, rufen Sie Ihre Bank an und melden Sie es innerhalb von Stunden, nicht Tagen.

Häufige Fragen

Was ist Business Email Compromise?

Business Email Compromise (BEC), auch CEO-Fraud oder Rechnungsbetrug genannt, ist eine Masche, bei der Kriminelle sich per E-Mail als vertrauter Kontakt ausgeben, etwa als Lieferant, Führungskraft oder Anwalt, um Sie zu einer Zahlung oder einer Änderung der Bankverbindung zu bringen. Das FBI erhielt 2025 24.768 Beschwerden zu BEC mit Verlusten von 3,05 Mrd. US-Dollar.

Woran erkenne ich, ob eine E-Mail wirklich vom angegebenen Absender kommt?

Lassen Sie sich die vollständige Absenderadresse anzeigen, prüfen Sie die Domain Buchstabe für Buchstabe, schauen Sie, wohin Antworten gehen, und suchen Sie in den Nachrichtendetails nach „pass“ bei SPF, DKIM und DMARC. Geht es um Geld, bestätigen Sie per Anruf unter einer Nummer, die Sie schon hatten.

Kann eine echte E-Mail-Adresse für Betrug genutzt werden?

Ja. Wird das Konto eines Lieferanten oder Kollegen gehackt, kommen die Betrugsmails von seiner echten Adresse und bestehen jede technische Prüfung. Deshalb müssen Änderungen von Zahlungsdaten immer telefonisch bestätigt werden, unter einer Nummer aus Ihren eigenen Unterlagen.

Was bedeutet „DMARC fail“?

Es bedeutet, dass die Domain in der Zeile „Von“ nicht zu einer Domain passt, die die SPF- oder DKIM-Prüfung bestanden hat. Bei einer E-Mail zu einer Zahlung oder einer neuen Bankverbindung ist ein DMARC-Fail ein starkes Zeichen dafür, dass der Absender gefälscht ist.

Bekomme ich mein Geld zurück, wenn ich eine gefälschte Rechnung bezahlt habe?

Manchmal, wenn Sie schnell handeln. Rufen Sie sofort Ihre Bank an und bitten Sie um einen Rückruf der Zahlung, und melden Sie den Fall in den USA auf ic3.gov, in Großbritannien bei Report Fraud und in Deutschland bei der Polizei. Das Recovery Asset Team des FBI fror 2025 679 Mio. US-Dollar für Opfer ein, doch die Chancen sinken nach den ersten Stunden stark.

Was ist die Financial Fraud Kill Chain des FBI?

Es ist das Verfahren, mit dem das Recovery Asset Team des FBI gemeinsam mit Banken betrügerische Überweisungen einfriert, auch Auslandsüberweisungen über FinCEN. Sie setzen es in Gang, indem Sie schnell auf ic3.gov mit allen Transaktionsdetails Anzeige erstatten und Ihre Bank um einen Rückruf bitten.

Was ist eine Doppelgänger-Domain?

Eine Web- oder E-Mail-Domain, die einer echten zum Verwechseln ähnlich sieht, etwa acme-corp.com statt acmecorp.com, oder bei der ein Buchstabe durch einen ähnlichen ersetzt wurde. Prüfen Sie das Registrierungsdatum mit der Abfrage der ICANN: Eine Doppelgänger-Domain ist meist erst Tage oder Wochen alt.

Quellen

Die Zahlen sind die neuesten, die jede Quelle zum Zeitpunkt der Aktualisierung veröffentlicht hatte. Gemeldete Betrugsschäden sind eine Untergrenze: Die meisten Betrugsfälle werden nie gemeldet.

E-Mail-Absender überprüfen: So schützen Sie sich vor CEO-Fraud und Business Email Compromise, bevor Sie zahlen