Business-E-Mail-Compromise (BEC) folgt seit Jahren einem bekannten Muster. Angreifer verschaffen sich Zugang zu einem Postfach, beobachten still die Kommunikation, rekonstruieren Freigabeprozesse und nutzen dieses Wissen schließlich, um Zahlungen umzuleiten oder sensible Daten abzugreifen. Neue Untersuchungen zeigen nun, dass sich dieses Muster grundlegend verschiebt.
Im Rahmen einer gemeinsamen Untersuchung mit dem Hersteller Zimbra hat das Sicherheitsunternehmen Rapid7 im September mehr als 50 Schwachstellen in der Zimbra-Collaboration-Suite identifiziert. Einige davon erlauben es Angreifern E-Mails ohne Zugangsdaten im Namen anderer zu versenden, die Sichtbarkeit von Nachrichten im Posteingang zu steuern sowie geteilte Dokumente und Kalender zu verändern. Solche Kollaborationsplattformen sind ein attraktives Ziel. Die US-Behörde CISA hat in den vergangenen drei Jahren wiederholt aktiv ausgenutzte Zimbra-Lücken in ihren Katalog bekannter Schwachstellen aufgenommen, zuletzt im August 2026 die Lücke CVE-2026-73570. Shadowserver zählte in diesem Zusammenhang mehr als 260 kompromittierte Instanzen.
Vertrauen als Angriffsfläche
Die Erkenntnisse der Sicherheitsforscher markieren einen Wendepunkt im Verständnis von BEC. Bislang zielten solche Angriffe vor allem darauf ab, das Vertrauen zwischen zwei Personen auszunutzen, etwa zwischen einer Geschäftsführerin und ihrem Buchhalter. Inzwischen rücken die Werkzeuge ins Visier, mit denen Menschen überhaupt entscheiden, wem sie vertrauen. E-Mail-Postfächer, Kalender und geteilte Laufwerke sind längst zu den eigentlichen Aufzeichnungssystemen eines Unternehmens geworden. Wer dort schreiben kann, statt nur mitzulesen, kann die Wahrnehmung einer ganzen Organisation steuern.
Besonders deutlich wird das am Beispiel einer gefälschten Nachricht im Namen des Finanzvorstands. Angenommen, ein Angreifer kann E-Mails als CFO verschicken, ohne dessen Passwort zu kennen, und behält danach die Kontrolle über das Postfach. Damit hat er alles in der Hand, was er für einen überzeugende Betrugsmethode braucht. Er kann die Nachricht nachträglich löschen und so seine Spuren verwischen. Oder er lässt sie bewusst im Ordner „Gesendete Elemente“ stehen. Dann findet der CFO dort eine E-Mail, an die er sich nicht erinnern kann, und beginnt möglicherweise an sich selbst zu zweifeln. Die Finanzabteilung wiederum hält eine scheinbar eindeutige Anweisung in den Händen. Bei der Aufarbeitung steht damit Aussage gegen vermeintlichen Beleg, und die Klärung dieses Widerspruchs kostet Zeit, die eigentlich für die Eindämmung des Angriffs gebraucht wird.
Die Sicherheitsforscher von Rapid7 beschreiben in dem Bericht zudem ein Szenario, das sie als „Calendar Warfare“ bezeichnen. Termine lassen sich demnach verändern oder löschen, ohne dass die üblichen Benachrichtigungen entstehen, und auch Teilnahmestatus können manipuliert werden. Für die Awareness-Arbeit ist das besonders heikel. Seit Jahren lernen Mitarbeitende, bei einer unerwarteten E-Mail innezuhalten. Eine angebliche außerordentliche Vorstandssitzung, die seit zwei Tagen im Kalender steht und mit einer Erinnerung aufpoppt, löst diesen Reflex jedoch nicht aus. Liegt dann noch ein gefälschtes Dokument im Firmenlaufwerk, auf das eine E-Mail einer vertrauten Führungskraft verweist, stützen sich die einzelnen Bausteine gegenseitig. Keiner von ihnen muss die Täuschung allein tragen.
Für Unternehmen in Deutschland hat diese Entwicklung auch eine regulatorische Dimension. Mit dem NIS2-Umsetzungsgesetz sind deutlich mehr Organisationen verpflichtet, Sicherheitsvorfälle schnell zu erkennen, zu bewerten und zu melden. Ein Angriff, der gezielt widersprüchliche Spuren hinterlässt, erschwert genau diese Bewertung. Hinzu kommt, dass viele Organisationen, gerade im öffentlichen Sektor, ihre Kollaborationsplattformen selbst betreiben. Konsequentes Patch-Management ist hier keine Option, sondern Grundvoraussetzung.
Menschliches Verhalten bleibt entscheidend
Die Untersuchung zeigt, dass sich die Abwehr von BEC nicht mehr allein auf das Erkennen verdächtiger E-Mails stützen kann. Wenn die Plattform selbst die Glaubwürdigkeit liefert, braucht es mehrere ineinandergreifende Schutzebenen.
Technische Maßnahmen bleiben die erste Verteidigungslinie. Kollaborationssysteme zeitnah patchen, privilegierte Konten absichern und Anomalien im E-Mail-Verkehr systematisch auswerten. Lösungen für E-Mail- und Kollaborationssicherheit, wie sie auch KnowBe4 anbietet, setzen dabei zunehmend auf Verhaltensanalyse. Sie prüfen nicht nur, ob eine Nachricht technisch korrekt aussieht, sondern auch, ob sie zum üblichen Kommunikationsverhalten von Absender und Empfänger passt. Ebenso wichtig ist es, verdächtige Meldungen von Mitarbeitenden schnell zu sichten und Vorfälle strukturiert zu bearbeiten.
Entscheidend ist jedoch, Prozesse unabhängig von einzelnen Kanälen abzusichern. Zahlungsfreigaben, Änderungen an Bankverbindungen oder kurzfristig angesetzte Krisentermine sollten grundsätzlich über einen zweiten, unabhängigen Kanal bestätigt werden, auch wenn alle Spuren im System stimmig wirken. Security-Awareness-Trainings müssen deshalb über die klassische Phishing-Mail hinausgehen und auch manipulierte Kalendereinladungen, gefälschte interne Dokumente und kompromittierte Kollegenkonten realistisch simulieren. Ergänzend hilft Coaching im Moment des Risikos, also genau dann, wenn Mitarbeitende eine auffällige Anfrage erhalten. Am Ende geht es um die Absicherung der digitalen Arbeitswelt als Ganzes. Mitarbeitende sollen nicht jedem System misstrauen, sondern wissen, an welchen Stellen eine kurze Rückfrage den Unterschied machen kann.
Von Dr. Martin J. Krämer, CISO Advisor bei KnowBe4
