Business Email Compromise in Microsoft 365

Beim Business Email Compromise (BEC) geht es selten um Schadsoftware, sondern um Vertrauen und Geld. Ein Angreifer übernimmt ein echtes Postfach, liest still mit und schlägt im richtigen Moment zu – mit einer manipulierten Rechnung oder einer täuschend echten Zahlungsanweisung. In Microsoft 365 folgt so ein Angriff fast immer demselben Muster. Wer die Kette kennt, kann sie an mehreren Stellen unterbrechen, bevor Geld abfließt.

Was Business Email Compromise ist

BEC ist ein gezielter Betrug über kompromittierte oder gefälschte Geschäftskonten. Statt einen Trojaner einzuschleusen, nutzt der Angreifer die Glaubwürdigkeit einer echten Absenderadresse: Eine Mail von buchhaltung@firma.de wird nicht hinterfragt. Das Ziel ist meist finanziell – umgeleitete Überweisungen, geänderte Bankdaten auf Rechnungen, gefälschte Lieferanten-Korrespondenz. Genau deshalb richtet BEC überdurchschnittlich hohen Schaden an, obwohl technisch oft nur eine einzige übernommene Anmeldung dahintersteckt.

Wie ein BEC-Angriff typischerweise abläuft

Der Ablauf ist erstaunlich gleichförmig – vier Phasen, die aufeinander aufbauen:

• 1. Phishing / Erstzugang: Der Nutzer gibt auf einer gefälschten Anmeldeseite sein Passwort ein, oder ein Password-Spray trifft ein schwaches Konto ohne MFA.
• 2. Kontoübernahme: Der Angreifer meldet sich an – oft aus einem fremden Land oder über eine anonyme IP. Ab hier hat er Zugriff auf das echte Postfach.
• 3. Persistenz durch Regeln: Es wird eine heimliche Weiterleitungs- oder Inbox-Regel angelegt, die relevante Mails an eine externe Adresse leitet oder in einen selten geöffneten Ordner verschiebt. So liest der Angreifer mit, ohne aufzufallen.
• 4. Rechnungs- und Zahlungsbetrug: Im richtigen Moment schaltet er sich in einen laufenden Zahlungs-Thread ein, ändert Bankdaten oder stellt eine gefälschte Rechnung – aus einem Postfach, dem alle vertrauen.

Erkennungssignale: woran du BEC bemerkst

Kein einzelnes Signal ist beweisend, aber die Kombination ist verräterisch. Achte besonders auf:

• eine verdächtige Anmeldung – fremdes Land, anonyme IP, ungewöhnliche Zeit oder Impossible Travel;
• eine neue Weiterleitungs- oder Inbox-Regel kurz nach dieser Anmeldung, oft mit leerem oder kryptischem Namen;
• Regeln, die Nachrichten mit Stichworten wie „Rechnung", „Zahlung" oder „IBAN" automatisch verschieben oder löschen;
• eine kürzlich erteilte App-Zustimmung, die dem Angreifer dauerhaften Zugriff sichert;
• Zahlungs- oder Bankdaten-Änderungen, die per Mail statt über einen zweiten Kanal angefragt werden.

BEC verhindern: die wirksamen Hebel

Prävention setzt an drei Stellen an – am Erstzugang, an der Umgehung und an der Persistenz:

• MFA für alle Konten erzwingen: Ein gestohlenes Passwort allein wird damit wertlos. Wie das sauber gelingt, zeigt der Leitfaden MFA in Microsoft 365 erzwingen.
• Legacy-Authentifizierung blockieren: Alte Protokolle kennen kein MFA und sind der bevorzugte Umgehungsweg. Der Block gehört per Conditional Access an den Anfang – er setzt Entra ID P1 voraus.
• App-Zustimmung kontrollieren: Nutzer-Zustimmung einschränken und einen Admin-Consent-Workflow einrichten, damit keine Consent-Hintertür entsteht.
• Externe Auto-Weiterleitung blockieren und Alerts für neue Regeln einrichten, damit die Persistenz-Phase auffällt.

Wie TenantSecure BEC-Indikatoren erkennt und stoppt

BEC lebt davon, unbemerkt zu bleiben – genau dort setzt TenantSecure an. Es überwacht die beiden zentralen Frühsignale alle 5 Minuten über alle deine Mandanten hinweg: verdächtige Anmeldungen und neu angelegte Weiterleitungsregeln. Ausgewertet werden dabei ausschließlich Metadaten (Anmeldeort, IP, Regelname, Zieladresse, Zeitpunkt) – nie der Inhalt einer Nachricht.

Fällt ein Indikator auf, musst du nicht erst ins Portal des Kunden wechseln: Sitzungen widerrufen, eine Weiterleitungsregel entfernen oder eine App-Zustimmung entziehen geht direkt aus dem Cockpit – als One-Click-Remediation. Wie die Härtungsbewertung dahinter entsteht, steht in der Doku zu Härtung und Score. Ist ein Konto bereits übernommen, führt der Leitfaden Microsoft 365 kompromittiert – was tun? durch die richtige Reihenfolge der Sofortmaßnahmen.

Mit TenantSecure

BEC scheitert dort, wo die Kette früh reißt: bei der verdächtigen Anmeldung und der heimlichen Regel. TenantSecure macht genau diese Glieder über dein ganzes Portfolio sichtbar und lässt dich mit einem Klick eingreifen. Sieh dir an, wie das aussieht: die Live-Demo ansehen.