BEC-Kalibrierung: Warum 49.225 Dollar kein Zufall sind
Die Zahl, die erst auf den zweiten Blick auffällt
49.225 Dollar. Wer diesen Betrag zum ersten Mal liest, denkt vielleicht an einen unrunden Rechnungsbetrag oder eine Projektpauschale. Genau das ist die Absicht.
Laut dem Cloudforce One Cyber Threat Report 2026 hat Cloudflare im Jahr 2025 BEC-Versuche (Business Email Compromise) im Gesamtwert von 123 Millionen Dollar abgefangen. Der durchschnittliche Einzelversuch lag dabei bei 49.225 Dollar. Cloudflare bezeichnet das ausdrücklich als deliberate calibration — bewusste Kalibrierung.
Was steckt hinter “deliberate calibration”?
In den meisten mittelständischen Unternehmen und Konzernen gibt es interne Freigabegrenzen: Überweisungen oder Zahlungsanweisungen bis zu einem bestimmten Betrag kann ein Abteilungsleiter oder Finanzverantwortlicher allein genehmigen. Erst darüber greift das Vier-Augen-Prinzip — oft mit Geschäftsführer-Beteiligung.
Diese Schwelle liegt häufig bei 50.000 Dollar, 50.000 Euro oder einem ähnlichen runden Betrag. Angreifer kennen diese Strukturen. Sie setzen ihre gefälschten Zahlungsanweisungen bewusst knapp darunter an — bei 49.225 Dollar rutscht eine Anfrage durch, ohne dass ein zweiter Genehmiger eingeschaltet wird.
Das ist keine Vermutung. Es ist eine statistisch belegbare Musteraussage aus Millionen abgefangener Versuche.
Warum E-Mail-Authentifizierung hier direkt greift
BEC-Angriffe funktionieren fast immer über eine von zwei Methoden:
- Domain-Spoofing: Die Absenderadresse sieht aus wie
[email protected], kommt aber von einer fremden Infrastruktur. - Look-alike-Domains: Eine Domain wie
ihrunternehmen-gmbh.deoderihr-unternehmen.dewird registriert und für den Angriff genutzt.
Gegen Domain-Spoofing ist DMARC das direkteste Gegenmittel. Wer eine DMARC-Policy auf p=reject gesetzt hat und SPF sowie DKIM korrekt konfiguriert, verhindert, dass E-Mails im Namen der eigenen Domain zugestellt werden, wenn sie nicht von autorisierten Servern stammen.
Das klingt technisch — ist aber genau der Mechanismus, der verhindert, dass ein Angreifer eine E-Mail mit dem Absender [email protected] an Ihre Buchhaltung schickt und eine Überweisung über 49.000 Euro anfordert.
Was eine schwache DMARC-Policy konkret bedeutet
Viele Domains haben DMARC zwar eingerichtet, aber auf p=none belassen. Das bedeutet: Berichte werden gesammelt, aber gefälschte E-Mails werden trotzdem zugestellt. Für einen Angreifer ist das kein Hindernis.
Typische Schwachstellen im Zusammenhang mit BEC:
- DMARC auf
p=none— keine Schutzwirkung, nur Monitoring - SPF mit zu vielen
include-Einträgen und+allam Ende — faktisch wirkungslos - DKIM fehlt oder ist nur für einen Mailpfad konfiguriert, nicht für alle sendenden Systeme (CRM, ERP, Newsletter-Tool)
Jede dieser Lücken ist eine potenzielle Eintrittspforte für genau die Art von Angriff, die Cloudflare beschreibt.
Was IT-Verantwortliche jetzt prüfen sollten
Die technische Seite lässt sich in wenigen Schritten überprüfen:
- Welche DMARC-Policy ist aktiv —
none,quarantineoderreject? - Sind alle sendenden Systeme im SPF-Record erfasst?
- Ist DKIM für alle ausgehenden Mailpfade konfiguriert?
- Werden DMARC-Aggregate-Reports ausgewertet — oder landen sie ungelesen in einem Postfach?
Der letzte Punkt ist entscheidend. DMARC-Reports zeigen, welche Server im Namen Ihrer Domain E-Mails versenden. Wenn dort unbekannte IP-Adressen auftauchen, ist das ein frühes Warnsignal — bevor ein Angreifer erfolgreich eine Zahlung auslöst.
Der organisatorische Aspekt
Technik allein reicht nicht. Wer interne Freigabegrenzen hat, sollte diese nicht öffentlich kommunizieren — weder in Stellenanzeigen (“Sie genehmigen Ausgaben bis 50.000 Euro eigenverantwortlich”) noch in Prozessdokumentationen, die nach außen gelangen könnten.
Gleichzeitig lohnt es sich, Zahlungsprozesse so zu gestalten, dass eine Rückbestätigung über einen zweiten Kanal — Telefon, internes Chat-System — bei ungewöhnlichen Anfragen Standard ist. Nicht als bürokratische Hürde, sondern als kurze Plausibilitätsprüfung.
49.225 Dollar ist kein zufälliger Betrag. Wer das einmal verstanden hat, schaut auf Freigabeprozesse und E-Mail-Authentifizierung mit anderen Augen.
Prüfen Sie jetzt, ob Ihre Domain gegen Spoofing geschützt ist: Kostenloser Domain-Check auf DMARCPulse