Der Angriff ohne Schadsoftware: Warum Zahlungsprozesse zur Sicherheitslücke werden
Gefälschte Rechnungen und geänderte Bankverbindungen richten in Unternehmen Schäden an, ohne dass ein Virenscanner je Alarm schlägt. Die Angriffsfläche entsteht dort, wo Digitalisierung und Automatisierung Zahlungsfreigaben beschleunigt haben – und die Kontrolle mit der Geschwindigkeit nicht mitgewachsen ist.
In der Diskussion über Cybersicherheit dominieren Verschlüsselungstrojaner und stillgelegte Produktionsstraßen. Der Schadenstyp, der Buchhaltungen in der Praxis am häufigsten trifft, kommt dagegen unauffällig daher: eine Rechnung, die aussieht wie jede andere, mit einer Kontonummer, die nicht stimmt. Fachlich läuft das unter Business E-Mail Compromise – ein Angriff, bei dem keine Schadsoftware zum Einsatz kommt und entsprechend kein technisches Schutzsystem anschlägt.
Der Angriff zielt auf den Prozess, nicht auf die Technik
Das Muster ist in Varianten seit Jahren bekannt. Angreifer verschaffen sich Zugang zu einem E-Mail-Postfach – im Zweifel nicht einmal beim eigenen Unternehmen, sondern bei einem Lieferanten – und lesen mit. Sie lernen, wie oft abgerechnet wird, in welcher Größenordnung, mit welchen Formulierungen, über welche Ansprechpartner. Erst danach greifen sie ein: mit einer Mitteilung über eine geänderte Bankverbindung, einer Rechnung im vertrauten Layout oder einer Zahlungsanweisung, die scheinbar aus der Geschäftsleitung kommt.
Der Schaden entsteht dabei nicht durch eine Sicherheitslücke im technischen Sinne, sondern durch einen korrekt ausgeführten Geschäftsvorfall. Genau das macht die Abwehr schwierig: Es gibt nichts zu blockieren. Die Überweisung ist freigegeben worden, die Freigabe war formal berechtigt, das Geld ist innerhalb weniger Stunden über mehrere Konten weitergeleitet. Rückholaktionen gelingen, wenn überhaupt, nur in einem sehr engen Zeitfenster.
Wie groß das Problem ist, lässt sich nur eingrenzen
Belastbare Einzelzahlen sind schwer zu bekommen, weil viele Fälle nicht angezeigt werden. Der Branchenverband Bitkom beziffert den Gesamtschaden der deutschen Wirtschaft durch Spionage, Sabotage und Datendiebstahl in seiner Wirtschaftsschutz-Studie 2025 auf rund 289 Milliarden Euro – gegenüber knapp 267 Milliarden im Vorjahr. Diese Summe umfasst alle Schadensarten, von Produktionsausfall bis Erpressung, und lässt sich nicht auf Zahlungsbetrug herunterrechnen. Anbieter aus dem Sicherheitsumfeld berichten für das erste Halbjahr 2025 von einer Verdopplung der BEC-Vorfälle; solche Zahlen stammen aus dem eigenen Kundenbestand der jeweiligen Dienstleister und sind entsprechend nicht repräsentativ.
Was sich aus den verfügbaren Daten mit einiger Sicherheit ableiten lässt, ist die Richtung: Angriffe, die auf den Menschen und den Ablauf zielen statt auf die Infrastruktur, gewinnen an Gewicht – auch, weil technische Abwehr in vielen Betrieben inzwischen ordentlich funktioniert.
Automatisierung schneidet zwei Wege ab
Der Umbau der Rechnungsverarbeitung wirkt in beide Richtungen. Strukturierte E-Rechnungsformate und automatisierte Workflows nehmen dem Angreifer die einfachste Manipulationsfläche: Ein maschinenlesbarer Datensatz, der aus einem geprüften Kanal kommt, lässt sich nicht so beiläufig verändern wie ein PDF im Mailanhang. Zugleich fällt mit der Automatisierung genau die Instanz weg, die Unstimmigkeiten früher zufällig bemerkt hat – der Mensch, der die Rechnung tatsächlich gelesen hat.
Die üblichen organisatorischen Gegenmittel sind unspektakulär und seit Jahrzehnten bekannt: Stammdatenänderungen nur über einen zweiten, vorher vereinbarten Kanal bestätigen, niemals über die Kontaktdaten aus der auslösenden Nachricht selbst. Vier-Augen-Prinzip ab definierten Beträgen. Feste Freigabewege, die auch bei Zeitdruck aus der Chefetage gelten – Dringlichkeit ist in fast allen dokumentierten Fällen ein Bestandteil des Angriffs, kein Zufall. Und eine Kultur, in der Rückfragen bei ungewöhnlichen Anweisungen nicht als Misstrauen gelten.
Bemerkenswert ist, wie wenig davon in den IT-Bereich fällt. Die Angriffsfläche liegt in der Ablauforganisation des Rechnungswesens, die Zuständigkeit meist in der kaufmännischen Leitung. Betriebe, die Cybersicherheit vollständig an die IT delegiert haben, decken damit den Teil ihres Risikos gerade nicht ab, der ohne Schadsoftware auskommt.
Redaktionelle Einordnung eines Branchentrends. Keine Rechts- oder Steuerberatung; Haftungsfragen im Einzelfall – etwa bei Zahlung auf ein falsches Konto – bedürfen fachlicher Prüfung.