Wenn Hacker die Wahrheit fälschen: BEC-Angriffe manipulieren ganze Unternehmen

Cyberkriminelle beschränken sich längst nicht mehr darauf, E-Mails abzufangen oder Zahlungsanweisungen zu fälschen. Sie manipulieren zunehmend die digitalen Informationsgrundlagen, auf denen Unternehmen ihre Entscheidungen treffen. Neue Sicherheitsforschungen zeigen, wie kompromittierte Kollaborationsplattformen zum Werkzeug einer besonders perfiden Form des Business E-Mail Compromise (BEC) werden können.

Martin Krämer, CISO-Advisor bei KnowBe4 , erklärt, warum klassische Phishing-Erkennung allein nicht mehr ausreicht und weshalb Security Awareness künftig die gesamte digitale Arbeitswelt berücksichtigen muss.

Business E-Mail Compromise gehört seit Jahren zu den erfolgreichsten Betrugsmethoden im Unternehmensumfeld. Das Vorgehen folgt meist einem bekannten Muster: Angreifer kompromittieren ein E-Mail-Konto, beobachten interne Kommunikationsabläufe, analysieren Freigabeprozesse und nutzen dieses Wissen, um Zahlungen umzuleiten oder vertrauliche Informationen abzugreifen. Doch inzwischen verändert sich die Qualität dieser Angriffe. Statt lediglich bestehende Kommunikation auszuspionieren, können Cyberkriminelle unter bestimmten Voraussetzungen die digitale Wirklichkeit eines Unternehmens gezielt manipulieren.

Wie weit diese Entwicklung reichen kann, zeigt eine gemeinsame Untersuchung von Rapid7 und dem Hersteller Zimbra. Die Sicherheitsforscher identifizierten mehr als 50 Schwachstellen in der Zimbra Collaboration Suite. Einige ermöglichen es Angreifern, ohne Kenntnis der Zugangsdaten Nachrichten im Namen anderer Personen zu versenden, die Sichtbarkeit von E-Mails zu beeinflussen oder gemeinsam genutzte Dokumente und Kalender zu verändern.

Dass solche Plattformen besonders attraktive Angriffsziele sind, belegen auch frühere Sicherheitsvorfälle. Die US-Cybersicherheitsbehörde CISA hat in den vergangenen drei Jahren wiederholt aktiv ausgenutzte Zimbra-Schwachstellen in ihren Katalog bekannter Sicherheitslücken aufgenommen. Zuletzt geschah dies am 21. August 2026 mit CVE-2026-73570. Im Zusammenhang mit der aktiven Ausnutzung dieser Schwachstelle registrierte die Shadowserver Foundation mehr als 260 kompromittierte Instanzen.

Die Konsequenz reicht weit über klassische E-Mail-Manipulation hinaus: Angreifer können nicht nur Informationen stehlen, sondern unter Umständen auch die vermeintlichen Beweise erzeugen, auf deren Grundlage Unternehmen handeln.

Wenn Vertrauen selbst zur Angriffsfläche wird

Die Erkenntnisse von Rapid7 markieren eine wichtige Entwicklung bei BEC-Angriffen. Während Cyberkriminelle bislang vor allem das Vertrauen zwischen einzelnen Personen ausnutzten, geraten zunehmend die technischen Systeme ins Visier, über die dieses Vertrauen entsteht.

E-Mail-Postfächer, Kalender und gemeinsam genutzte Dokumentenablagen bilden heute das digitale Gedächtnis vieler Organisationen. Sie dokumentieren Entscheidungen, Verantwortlichkeiten, Termine und Freigaben. Mitarbeitende verlassen sich darauf, dass die dort gespeicherten Informationen authentisch sind.

Genau dieses Vertrauen können Angreifer ausnutzen. Wer nicht nur Zugriff auf Informationen erhält, sondern sie auch gezielt verändern kann, beeinflusst die Wahrnehmung und möglicherweise sogar die Entscheidungsprozesse einer gesamten Organisation.

Ein Beispiel verdeutlicht die Tragweite: Ein Angreifer versendet eine gefälschte Zahlungsanweisung im Namen des Finanzvorstands, ohne dessen Passwort zu kennen. Anschließend kann er die Nachricht aus dem Postfach entfernen, um Spuren zu verwischen. Alternativ lässt er sie bewusst im Ordner „Gesendete Elemente“ zurück. Im zweiten Fall entsteht eine besonders perfide Situation. Der Finanzvorstand entdeckt eine vermeintlich selbst versendete Nachricht, an die er sich nicht erinnern kann. Gleichzeitig liegt der Finanzabteilung eine scheinbar authentische Zahlungsanweisung vor.

Bei der anschließenden Untersuchung stehen plötzlich die Aussagen der Beteiligten gegen die vermeintlich eindeutige Dokumentation des Systems. Die Angreifer haben damit nicht nur eine betrügerische Nachricht platziert, sondern auch die Grundlage für Verwirrung und gegenseitiges Misstrauen geschaffen.

Calendar Warfare: Manipulierte Termine als Angriffswerkzeug

Noch schwieriger wird die Erkennung, wenn Cyberkriminelle unterschiedliche Kommunikationskanäle miteinander kombinieren.

Rapid7 beschreibt in seiner Untersuchung ein Szenario namens „Calendar Warfare“. Dabei können Angreifer unter bestimmten Voraussetzungen Kalendereinträge verändern oder löschen, ohne die üblichen Benachrichtigungen auszulösen. Auch Teilnahmebestätigungen lassen sich manipulieren.

Für Unternehmen entsteht dadurch eine zusätzliche Angriffsfläche, die klassische Phishing-Schutzmechanismen nur eingeschränkt berücksichtigen.

Während Mitarbeitende mittlerweile häufig darauf trainiert sind, unerwartete E-Mails kritisch zu hinterfragen, genießen Kalendereinträge meist einen höheren Vertrauensvorschuss.

Eine angeblich dringende Vorstandssitzung, die bereits seit zwei Tagen im Kalender steht und durch eine automatische Erinnerung angekündigt wird, wirkt zunächst weniger verdächtig als eine plötzlich eintreffende E-Mail mit einer dringenden Handlungsaufforderung.

Enthält der Termin zusätzlich einen manipulierten Videokonferenz-Link oder verweist auf ein gefälschtes Dokument im Unternehmenslaufwerk, entsteht ein glaubwürdiger Gesamtkontext.

Besonders problematisch ist dabei das Zusammenspiel der einzelnen Elemente. Eine gefälschte E-Mail bestätigt den vermeintlich legitimen Kalendereintrag. Ein manipuliertes Dokument liefert die passende Begründung. Die Informationen erscheinen konsistent, obwohl sämtliche Bestandteile möglicherweise vom Angreifer kontrolliert werden.

NIS2 erhöht den Druck auf die Sicherheitsorganisation

Für deutsche Unternehmen hat diese Entwicklung auch eine regulatorische Dimension. Mit den Anforderungen aus der NIS2-Umsetzung müssen zahlreiche Organisationen ihre Prozesse zur Erkennung, Bewertung und Meldung erheblicher Sicherheitsvorfälle entsprechend ausrichten.

Angriffe, die digitale Spuren verändern, Informationen gezielt manipulieren und widersprüchliche Beweislagen erzeugen, erschweren genau diese Aufgaben. Wenn nicht mehr eindeutig nachvollziehbar ist, welche Nachricht tatsächlich versendet, welcher Termin verändert oder welches Dokument manipuliert wurde, steigt der Aufwand für die forensische Analyse erheblich.

Hinzu kommt, dass insbesondere öffentliche Einrichtungen und andere Organisationen Kollaborationsplattformen teilweise in eigener Infrastruktur betreiben. Damit liegt die Verantwortung für Sicherheitsupdates, Systemhärtung und die Überwachung verdächtiger Aktivitäten unmittelbar bei den Betreibern.

Ein konsequentes Patch-Management ist deshalb unverzichtbar. Ebenso wichtig sind eine nachvollziehbare Protokollierung sicherheitsrelevanter Änderungen und die Möglichkeit, verdächtige Vorgänge anhand unabhängiger Informationen zu überprüfen.

Warum klassische Phishing-Erkennung nicht mehr ausreicht

Die Untersuchung macht deutlich, dass sich Unternehmen bei der Abwehr von BEC-Angriffen nicht ausschließlich auf die Erkennung verdächtiger E-Mails verlassen können.

Wenn die zugrunde liegende Kollaborationsplattform manipuliert wurde, erscheinen selbst gefälschte Nachrichten, Kalendereinträge oder Dokumente unter Umständen vollkommen glaubwürdig.

Technische Schutzmaßnahmen bilden weiterhin die erste Verteidigungslinie. Dazu gehören zeitnahe Sicherheitsupdates, die Absicherung privilegierter Konten, die Überwachung ungewöhnlicher Aktivitäten und eine systematische Analyse des Kommunikationsverhaltens.

Moderne Lösungen für E-Mail- und Kollaborationssicherheit setzen deshalb zunehmend auf verhaltensbasierte Verfahren. Sie prüfen nicht nur technische Merkmale einer Nachricht, sondern berücksichtigen auch, ob Absender, Empfänger, Zeitpunkt und Inhalt zum gewohnten Kommunikationsmuster passen.

Entsprechende Sicherheitsansätze verfolgt auch KnowBe4. Gleichzeitig müssen Unternehmen sicherstellen, dass verdächtige Aktivitäten schnell gemeldet, bewertet und untersucht werden können. Entscheidend ist jedoch, dass technische Erkennung und organisatorische Sicherheitsprozesse ineinandergreifen.

Menschliches Verhalten bleibt ein entscheidender Sicherheitsfaktor

Gerade weil Angreifer immer glaubwürdigere digitale Szenarien konstruieren können, gewinnt das Sicherheitsbewusstsein der Mitarbeitenden weiter an Bedeutung.

Allerdings muss sich auch Security Awareness weiterentwickeln. Klassische Phishing-Simulationen, bei denen Beschäftigte verdächtige Links oder ungewöhnliche Absender erkennen sollen, bilden die tatsächlichen Angriffsmöglichkeiten nicht mehr vollständig ab. Künftig müssen Trainings verstärkt Situationen berücksichtigen, in denen mehrere scheinbar vertrauenswürdige Informationsquellen gleichzeitig manipuliert wurden.

Dazu gehören gefälschte interne Dokumente, kompromittierte Kollegenkonten, veränderte Kalendereinladungen oder ungewöhnliche Freigabeanforderungen, die technisch zunächst authentisch erscheinen.

Besonders wichtig ist dabei die konsequente Absicherung geschäftskritischer Prozesse. Zahlungsfreigaben, Änderungen von Bankverbindungen oder außergewöhnliche Anweisungen der Geschäftsführung sollten grundsätzlich über einen zweiten, unabhängigen Kommunikationskanal bestätigt werden.

Das gilt ausdrücklich auch dann, wenn alle Informationen innerhalb der verwendeten Plattform plausibel erscheinen. Ergänzend können kontextbezogene Schulungen und gezieltes Coaching Mitarbeitende unmittelbar in riskanten Entscheidungssituationen unterstützen. Ziel ist es, kritische Anfragen rechtzeitig zu erkennen und angemessen darauf zu reagieren.

Cybersecurity muss die Integrität der digitalen Arbeitswelt schützen

Die aktuellen Erkenntnisse verdeutlichen einen grundlegenden Wandel: Business E-Mail Compromise entwickelt sich von der Manipulation einzelner Kommunikationsvorgänge hin zur möglichen Kompromittierung ganzer Entscheidungsgrundlagen.

Unternehmen müssen deshalb nicht nur verhindern, dass Angreifer auf Informationen zugreifen. Sie müssen ebenso sicherstellen, dass geschäftskritische Informationen, Kommunikationsverläufe und Freigabeprozesse nicht unbemerkt verändert werden können. Das erfordert technische Schutzmechanismen, verlässliche Kontrollprozesse und Mitarbeitende, die auch scheinbar eindeutige digitale Informationen im richtigen Moment hinterfragen.

Die entscheidende Frage lautet künftig nicht mehr allein, ob eine Nachricht vertrauenswürdig erscheint. Unternehmen müssen auch sicherstellen können, dass die Systeme, die dieses Vertrauen begründen, tatsächlich vertrauenswürdig sind.