Eine E-Mail vom Geschäftsführer, Freitagnachmittag: „Bitte überweise noch heute 48.000 € an diesen neuen Lieferanten, ich bin in einem Termin und nicht erreichbar." Die Buchhaltung führt aus. Das Geld ist weg. Kein Trojaner, kein Exploit, keine Schwachstelle im klassischen Sinn — nur eine clever gefälschte E-Mail. Das ist Business Email Compromise (BEC), in der Sonderform CEO-Fraud, und es ist eine der teuersten Angriffsarten überhaupt: Das FBI beziffert die weltweiten BEC-Schäden auf zweistellige Milliardenbeträge, der durchschnittliche Einzelschaden liegt im fünf- bis sechsstelligen Bereich.
Das Tückische: Standard-Anti-Spam fängt diese Mails oft nicht, weil sie technisch sauber aussehen. Wer Microsoft 365 vor Phishing schützen will, muss tiefer ansetzen — bei Anti-Impersonation, E-Mail-Authentifizierung und der Erkennung übernommener Postfächer. In diesem Guide zeige ich Dir, wie ein BEC-Angriff in M365 konkret abläuft und mit welchen Defender-, DMARC- und Conditional-Access-Einstellungen Du ihn technisch unterbindest. Das ergänzt die Microsoft 365 Security-Empfehlungen um die E-Mail-Betrugsschicht.
Alles Wichtige auf einen Blick
Wie ein BEC-/CEO-Fraud-Angriff in Microsoft 365 abläuft
CEO-Fraud ist die Betrugsmasche, bei der sich ein Angreifer per E-Mail als CEO, Chef oder Geschäftsführer ausgibt, um einen Mitarbeiter im Unternehmen zu einer eiligen Überweisung oder zur Herausgabe vertraulicher Informationen zu bewegen. Die gefälschte Nachricht imitiert den Schreibstil des Chefs und kombiniert Autorität mit Zeitdruck — „dringend und vertraulich, bitte sofort". Business Email Compromise (BEC) ist dabei der technische Oberbegriff, CEO-Fraud die bekannteste Spielart; daneben zielen Angreifer mit denselben Methoden auf Lieferanten- und Rechnungsbetrug. Allen gemeinsam ist: Es geht um Geld oder um Informationen, und der Hebel ist nicht eine technische Lücke, sondern das Vertrauen der Mitarbeiter in eine scheinbar legitime Nachricht.
Um die richtigen Schutzmaßnahmen zu setzen, musst Du einen CEO-Fraud-Angriff aus Sicht des Täters verstehen. Ein BEC-Angriff läuft fast immer in einer dieser drei Varianten:
Oft kombiniert: Der Täter übernimmt ein Postfach (Variante 3), beobachtet wochenlang die Lieferantenkommunikation und schlägt im richtigen Moment mit einer geänderten Bankverbindung zu (Rechnungs-/Lieferantenbetrug). Diese Geduld unterscheidet einen CEO-Fraud-Angriff von breit gestreuten Massen-Angriffen.
In einem Fall aus meiner Praxis lief genau dieses Muster: Ein Angreifer hatte über ein per AiTM-Phishing erbeutetes Session-Cookie Zugang zu einem Postfach im Einkauf — die Standard-MFA hatte ihn nicht aufgehalten. Statt sofort zuzuschlagen, legte er eine unauffällige Posteingangsregel an, die alle Mails eines bestimmten Lieferanten in einen Unterordner verschob, und kommunizierte dann selbst mit dem Lieferanten. Aufgefallen ist es erst, als die echte Buchhalterin sich wunderte, warum der Lieferant „nicht antwortet". Der Schaden war zu dem Zeitpunkt schon angewiesen. Die Lehre: BEC ist selten ein einzelner Klick — es ist eine Kette aus Identitäts-, E-Mail- und Prozesslücke. Genau diese Kette zerlegen wir in den folgenden Abschnitten.
Warum Standard-Anti-Spam nicht genügt
Exchange Online Protection (EOP) ist die Basis-Hygieneschicht in jedem M365-Tenant: Sie filtert Massen-Spam, bekannte Malware und Mails von schlecht beleumundeten Servern. Das ist notwendig — aber es ist Mengenfilterung, keine Betrugserkennung. BEC-Mails sind gezielt, niedrigvolumig und enthalten oft keinen schädlichen Anhang oder Link, nur Text. Für einen reinen Reputations- und Signaturfilter sehen sie harmlos aus.
Wichtig ist daher die saubere Abgrenzung zweier Schichten: EOP sichert den Mailfluss gegen Spam und Malware (die Grundlagen dazu stehen auch in den 7 Schritten für Exchange-Online-Sicherheit). Defender for Office 365 legt die Anti-Phishing-Intelligenz darüber: Impersonation-Erkennung, Mailbox Intelligence, Safe Links und Safe Attachments. Erst diese obere Schicht adressiert BEC. Den Funktionsumfang beschreibt unser Beitrag zu Microsoft Defender for Office 365.
Defender for Office 365: Anti-Phishing & Impersonation konfigurieren
Das Herzstück gegen CEO-Fraud ist die Anti-Phishing-Richtlinie in Defender for Office 365. Standardmäßig ist sie aktiv, aber der Impersonation-Schutz ist nicht vorkonfiguriert — Du musst Deine schützenswerten Personen und Domänen selbst eintragen. Navigiere im Microsoft Defender-Portal zu E-Mail & Zusammenarbeit → Richtlinien & Regeln → Bedrohungsrichtlinien → Anti-Phishing.
Diese Stellschrauben sind entscheidend:
Microsoft beschreibt die Funktionsweise im Detail unter Anti-Phishing-Richtlinien in Defender for Office 365; die konkrete Einrichtung Schritt für Schritt steht im Artikel Anti-Phishing-Richtlinien konfigurieren.
Zwei weitere Defender-Bausteine gehören in jede BEC-Härtung, weil moderne Angriffe Text und Schadlinks mischen: Safe Links schreibt URLs zur Klickzeit um und prüft sie dynamisch — wichtig, weil ein Link beim Mailversand noch sauber sein und erst Stunden später bösartig werden kann. Safe Attachments öffnet Anhänge in einer Sandbox, bevor sie zugestellt werden. Beide solltest Du über die voreingestellten Sicherheitsrichtlinien („Standard" oder „Strikt") aktivieren, statt jede Einstellung von Hand zu pflegen — die Preset-Policies werden von Microsoft laufend an die aktuelle Bedrohungslage angepasst und ersparen Dir Konfigurationsdrift. Wer maximale Kontrolle braucht, baut benutzerdefinierte Richtlinien darüber; für die meisten KMU ist „Strikt" für die VIP-Gruppe und „Standard" für den Rest der pragmatischste Weg.
SPF, DKIM und DMARC korrekt scharfschalten
Gegen die erste BEC-Variante — jemand fälscht Deine eigene Domain — ist E-Mail-Authentifizierung der Hebel. Alle drei Standards werden als DNS-TXT-Einträge Deiner Domain veröffentlicht; empfangende Mailserver lesen diese Einträge aus und entscheiden anhand der Regeln, ob eine Nachricht echt ist. Die drei greifen ineinander:
Der entscheidende und am häufigsten halb fertige Punkt ist DMARC. Viele Tenants stehen auf p=none — das überwacht nur und blockiert nichts. Der Fahrplan:
So sieht ein DMARC-TXT-Eintrag im Zielzustand konkret aus. Du legst ihn als DNS-TXT-Eintrag auf dem Host _dmarc.deinedomain.de an:
v=DMARC1; p=reject; rua=mailto:[email protected]; pct=100; adkim=s; aspf=sDie wichtigsten Felder: p=reject ist die Durchsetzungs-Richtlinie, rua die Adresse für die aggregierten Berichte, pct=100 wendet die Regel auf alle Mails an, und adkim=s/aspf=s schalten den strengen Abgleich-Modus scharf. Genauso werden SPF und DKIM als eigene DNS-TXT-Einträge veröffentlicht — der SPF-Eintrag listet die erlaubten Sendeserver, der DKIM-Eintrag den öffentlichen Signaturschlüssel. Wichtig: Pflege diese Einträge sauber, denn ein fehlerhafter SPF- oder DMARC-Eintrag ist ein häufiger Fehler, der legitime Mails ausbremst. Microsofts vollständige Anleitung steht unter DMARC konfigurieren für Microsoft 365.
Den Authentication-Results-Header lesen: Ob diese Kette greift, siehst Du im Authentication-Results-Header jeder eingehenden Mail (in Outlook über „Nachrichtenoptionen → Internetkopfzeilen"). Microsoft 365 schreibt dort das aggregierte Compound-Authentication-Ergebnis (compauth) sowie die Einzelresultate für SPF, DKIM und DMARC hinein. Ein sauber authentifizierter Absender sieht so aus:
Authentication-Results: spf=pass (sender IP is …) smtp.mailfrom=lieferant.de;
dkim=pass (signature was verified) header.d=lieferant.de;
dmarc=pass action=none header.from=lieferant.de; compauth=pass reason=100Steht hier dmarc=fail oder compauth=fail, hat die Mail die Authentifizierung nicht bestanden — ein hartes Signal, das in jede Vorfalls-Analyse gehört. Bei einer verdächtigen „Geschäftsführer"-Mail ist der compauth-Wert der schnellste forensische Check: ein fail bei einer angeblich internen Adresse entlarvt Domain-Spoofing sofort.
Wichtige Ehrlichkeit: DMARC schützt nur Deine eigene Domain vor Missbrauch. Gegen Display-Name-Spoofing und Look-alike-Domains (Varianten 1 und 2 oben) hilft es nicht — dafür brauchst Du den Defender-Impersonation-Schutz aus dem vorherigen Abschnitt. Erst beide Schichten zusammen decken das BEC-Spektrum ab.
Conditional Access & Mailbox-Auditing gegen Kontoübernahme
Die gefährlichste BEC-Variante ist die echte Kontoübernahme — und die verhinderst Du nicht in der Mail-, sondern in der Identitätsschicht. Der wirksamste Einzelhebel ist phishing-resistente MFA: Wenn der Angreifer das Passwort hat, aber keinen Passkey, kommt er nicht ins Postfach. Wie Du das umsetzt, beschreibt unser Schwester-Guide Phishing-resistente MFA in Microsoft 365 erzwingen im Detail.
Darüber hinaus:
Diese Identitätsmaßnahmen sind kein BEC-Sonderweg, sondern Teil einer soliden Grundhärtung — der Beitrag Microsoft MFA-Bypass verhindern und unsere Härtungs-Tipps im Identity-Management gehen auf die einzelnen Stellschrauben näher ein. Der Grundsatz dahinter: Wer das Postfach nicht übernehmen kann, kann auch keinen glaubwürdigen CEO-Fraud aus der echten Adresse fahren.
Kompromittierte Postfächer erkennen
Selbst bei guter Härtung gilt: Erkennung ist Teil des Schutzes. Das verräterischste Signal einer Kontoübernahme sind bösartige Posteingangsregeln. Der Angreifer legt eine Regel an, die Mails mit Stichworten wie „Rechnung", „Überweisung" oder „Bank" automatisch in einen unscheinbaren Ordner verschiebt oder als gelesen markiert — damit der echte Postfachbesitzer die laufende Betrugskommunikation nicht bemerkt.
Worauf Du achten und was Du überwachen solltest:
Mach dieses Monitoring nicht zur Einmal-Aktion: Richte im Defender-Portal Alert-Policies für neue Weiterleitungsregeln und auffällige Anmeldungen ein, damit das Monitoring Dich aktiv benachrichtigt, statt darauf zu warten, dass jemand zufällig nachsieht.
Eine strukturierte Reaktion auf ein übernommenes Konto beschreibt Microsoft unter Reaktion auf ein kompromittiertes E-Mail-Konto.
Notfallplan & Self-Check
Wenn der Verdacht da ist — die Reihenfolge zählt:
Die letzte Verteidigungslinie ist ein Prozess, kein Produkt. Auch der beste technische Stack lässt eine kleine Restmenge gut gemachter Mails durch. Deshalb gehört zu jeder BEC-Härtung eine harte organisatorische Regel: Zahlungen ab einer definierten Schwelle und jede Änderung einer Bankverbindung werden über einen zweiten Kanal verifiziert — ein Rückruf unter der bekannten, nicht aus der Mail entnommenen Telefonnummer. Diese Vier-Augen-Regel kostet nichts und stoppt genau den Angriff, den keine Technik vollständig abfangen kann. Technik reduziert die Zahl der Versuche, der Prozess fängt den Rest.
Dazu gehört auch Security Awareness: Deine Mitarbeiter sind bei BEC nicht das Problem, sondern die letzte Kontrollinstanz. Ein kurzes, regelmäßiges Security-Awareness-Training — woran man eine Impersonation-Mail erkennt, warum ein „dringend und vertraulich" zur Geschäftszeit ein Warnsignal ist, und an wen ein verdächtiger Fall sofort gemeldet wird — verwandelt einen potenziellen Fehler in einen gemeldeten Vorfall. Diese organisatorischen Maßnahmen sind kein Ersatz für die technische Härtung, aber ihre notwendige Ergänzung: Erkennt der Mensch die Mail nicht, fängt die Vier-Augen-Regel bei der Zahlung sie ab — und meldet die Buchhaltung den Vorfall, schließt Du die Lücke, bevor sie zum Schaden wird.
Phishing-resistente Identitäten, scharf gestellte DMARC-Policy und aktiver Impersonation-Schutz machen aus diesem Notfall einen unwahrscheinlichen Ausnahmefall. Mehr zum organisatorischen Rahmen — inklusive Dokumentations- und Meldepflichten — findest Du in unserem Beitrag Microsoft 365 DSGVO-konform einrichten. Wie gut Dein Tenant insgesamt aufgestellt ist, spiegelt sich außerdem im Microsoft Secure Score, und die Identitäts-Grundlagen vertieft unser Beitrag zu den Entra ID Best Practices.
Self-Check in vier Fragen:
Jedes „Nein" ist eine offene Tür für CEO-Fraud.
Häufige Fragen zu CEO-Fraud
Woran erkenne ich eine CEO-Fraud-Mail?
Typische Warnzeichen: eine Nachricht, die angeblich vom CEO oder Chef stammt, aber von einer fremden E-Mail-Adresse kommt — kombiniert mit Zeitdruck, Vertraulichkeit und einer ungewöhnlichen Bitte um eine Überweisung oder die Herausgabe vertraulicher Informationen. Prüfe immer die echte Absender-E-Mail-Adresse, nicht nur den Anzeigenamen; gerade auf dem Smartphone zeigen viele Mail-Apps nur den Namen, nicht die dahinterliegende E-Mail-Adresse.
Was unterscheidet CEO-Fraud von einem breiten Phishing-Angriff?
Ein Massenangriff geht an viele Empfänger und will Zugangsdaten abgreifen. CEO-Fraud ist gezielt: Der Angreifer recherchiert das Unternehmen, kennt die Namen von Geschäftsführung und Buchhaltung und verschickt wenige, sehr glaubwürdige Nachrichten. Es geht direkt um Geld — eine einzige erfolgreiche E-Mail kann fünf- bis sechsstelligen Schaden im Unternehmen anrichten.
Was mache ich bei Verdacht auf eine CEO-Fraud-Mail?
Nicht antworten, nichts überweisen. Verifiziere die Anweisung über einen zweiten Kanal — ein kurzer Anruf beim CEO oder Chef unter der bekannten Telefonnummer, nicht unter der aus der Mail. Melde die verdächtige Nachricht an Deine IT, damit sie die Absenderadresse blockieren und prüfen kann, ob weitere Mitarbeiter dieselbe E-Mail erhalten haben. Solche gemeldeten Nachrichten sind zugleich wertvolle Informationen, um die Schutzregeln im Unternehmen nachzuschärfen.
Bereit, Microsoft 365 gegen E-Mail-Betrug zu härten?
Ich bin Aaron Siller, Microsoft MVP für Security und Gründer von siller.consulting. In meinen Projekten ist BEC der Angriff, der am häufigsten echten finanziellen Schaden anrichtet — und fast immer war eine der vier Self-Check-Fragen mit „Nein" zu beantworten. Meistens steht DMARC auf p=none und der Impersonation-Schutz ist nie eingerichtet worden.
Unser Microsoft 365 Hardening Check prüft genau das: Wir kontrollieren Deine Anti-Phishing-Policies, die DMARC-Durchsetzung und Deine Postfach-Konfiguration auf die typischen BEC-Lücken — und zeigen Dir konkret, wo Geld und Daten gefährdet sind. Keine generische Checkliste, sondern eine Analyse Deines echten Tenants.
In einem persönlichen Workshop gehen wir Deine E-Mail-Sicherheit gemeinsam durch — von Defender-Impersonation über DMARC bis zur Erkennung übernommener Postfächer. Hands-on, an Deinem System. Hol Dir vorab unser eBook zur E-Mail- und Identitätssicherheit als Einstieg. Melde Dich bei mir — bevor die nächste „dringende Überweisung" hereinkommt.
