DIGITAL BUSINESS Transformation Leaders Podcast Business Email Compromise: So stoppen KMU die neue Phishing-Generation

Anbieter zum Thema

ADLON Intelligent Solutions GmbH

FIS Informationssysteme und Consulting GmbH

Kendox AG

xSuite Group GmbH

Tizian Kohler, Head of Security bei Adlon Intelligent Solutions erklärt im Gespräch, warum Identitätsschutz, genau definierte Prozesse und SOC-Erkennungen von Business Email Compromise entscheidend sind – und welche drei Schritte Mittelständler sofort angehen sollten.

Wie ist die aktuelle Bedrohungslage rund um Business Email Compromise – und wo gelingt Angreifern noch der Erstzugang?

Tizian Kohler: Die Lage ist konstant hoch. Angreifer passen ihre Verteidigungsmechanismen schnell an, nutzen KI für authentische Sprache und täuschend echte Layouts und verlagern ihre Taktiken zunehmend außerhalb der „Schutzzone“ des Unternehmens. Der Erstzugang erfolgt meist über Phishing – besonders dort, wo Multifaktor-Authentifizierung (MFA) fehlt oder nur für Administratoren aktiviert ist. Ohne robuste Identitätssicherung werden kompromittierte Konten zur Drehscheibe für weitere Schritte.

Können Sie ein anonymisiertes Beispiel skizzieren – vom initialen Phishing bis zur gefälschten Rechnung?

Tizian Kohler: Typisch ist Massenversand. Ein Klick führt auf eine täuschend echte Microsoft-Login-Seite. Nach der Eingabe von Anmeldedaten – teils inklusive zweitem Faktor – übernehmen die Täter das Postfach, lesen mit, kartieren Zahlungs- und Projektkommunikation und richten Weiterleitungsregeln ein. Antworten von Dritten verschwinden in Unterordnern; das Opfer merkt die Parallelkommunikation nicht. Im passenden Moment verschicken die Täter manipulierte Rechnungen im Namen des Opfers. Fehlen technische und organisatorische Kontrollen, werden diese bezahlt – vom Start-up bis zum Konzern.

Wie oft sehen Sie diese Abläufe?

Tizian Kohler: Phishing täglich. Bis zur erfolgreichen Rechnungsmanipulation braucht es mehrere Schritte, doch ohne wirksame Abwehr ist das weiterhin häufig. Professionalisiert wird vor allem die Vorbereitung: besseres Social Engineering, präzisere Timing-Fenster, mehr Gedud beim Ausspähen.

Hören Sie sich das ausführliche Interview mit Tizian Kohler in unserem DIGITAL BUSINESS Transformation Leaders Podcast an

Was sind Ihre Sofortmaßnahmen für KMU – die Must-haves und ein pragmatischer Start?

Tizian Kohler: Erstens: MFA für alle Konten, nicht nur für Administratoren. Identitäten sind das primäre Einfallstor. Zweitens: kontinuierliche Sensibilisierung – kurze, wiederkehrende Trainings, simulierte Phishing-Kampagnen, klare Meldewege. Drittens: ein E-Mail-Security-Gateway bzw. Microsoft Defender for Office 365, das Phishing früh abfängt. Viertens: klare Reaktionsverantwortung – wer prüft Alarme, wer entscheidet, wer informiert? Diese Basis senkt das Risiko drastisch und ist schnell umsetzbar.

Der Gesprächspartner

Tizian Kohler ist Head of Security bei der Adlon Intelligent Solutions GmbH in Ravensburg. Zuvor war er Cyber-Ermittler bei der Polizei sowie Leiter von Security Operations Center und Cloud Security in verschiedenen Unternehmen. Seine Schwerpunkte: Cyberdefense in Microsoft-Cloud-Umgebungen, Managed Security Services, Awareness-Programme.

Business Email Compromise mit Managed SOC erkennen

Wie erkennen und stoppen Sie mehrstufige Phishing-Strecken in einem Managed SOC?

Tizian Kohler: Wir kombinieren Telemetrie aus Microsoft-Sicherheitsprodukten mit kundenspezifischen Erkennungsregeln. Beispiel: Eine E-Mail mit auffälligem Betreff enthält einen Link zu legitimen Diensten wie OneDrive oder Dropbox. Klickt der Nutzer binnen kurzer Zeit, korrelieren wir Betreff, Linkziel, User-Kontext und weitere Log-Muster. Trifft die UND-Verknüpfung zu, wird alarmiert und automatisiert eingedämmt – etwa durch Session-Invalidierung oder Blockieren der Regelanlage im Postfach. Eigene Use-Cases bringen uns vor die reinen Standarderkennungen.

Und was können Unternehmen ohne eigenes SOC realistisch tun?

Tizian Kohler: Ein E-Mail-Security-Gateway ist Pflicht, um Phishing vor Zustellung zu filtern. Nutzen Sie das integrierte Alerting konsequent: Benennen Sie Verantwortliche, die Alarme zeitnah bewerten, Playbooks anwenden und Maßnahmen auslösen. Kombiniert mit flächendeckender MFA, Basishärtung und Schulungen ist das für kleine Unternehmen ein wirksamer und bezahlbarer Ansatz.

Ein E-Mail-Security-Gateway ist Pflicht, um Phishing vor Zustellung zu filtern. Nutzen Sie das integrierte Alerting konsequent: Benennen Sie Verantwortliche, die Alarme zeitnah bewerten, Playbooks anwenden und Maßnahmen auslösen.

Tizian Kohler

Reicht Technik aus – oder braucht es mehr Organisation in der Rechnungsprüfung?

Tizian Kohler: Es braucht das Dreieck aus Technik, Mensch und Prozess. Technik blockiert viel, aber Prozesse sichern den „letzten Meter“: Vier-Augen-Prinzip ab definierten Betragsschwellen, Rückruf beim bekannten Ansprechpartner unter verifizierter Nummer, Abgleich sauber geführter Lieferantenstammdaten (Empfänger, IBAN, Zahlungsadresse). Bei Änderungen gilt: keine Freigabe ohne unabhängige Verifikation. So werden selbst gut gemachte Ketten beim Business Email Compromise ausgebremst.

Viele Business Email Compromise-Kampagnen spielen auf Microsoft-Ökosysteme. Was bedeutet „Identitäten zuerst“ konkret?

Tizian Kohler: Konsequente MFA, Schutz riskanter Legacy-Protokolle, bedingter Zugriff nach Risiko, strenge Richtlinien für Regelanlagen im Postfach, Logging und Alarme für ungewöhnliche Sign-in-Muster, Schutz vor Weiterleitungsregeln nach extern und ein E-Mail-Schutz, der Links und Anhänge dynamisch prüft. Identität ist derneue Perimeter – alles ordnet sich darum.

Warum setzen Sie im Schwachstellenmanagement auf Risiko statt nur CVSS?

Tizian Kohler: CVSS bewertet die generelle Schwere, aber nicht die Relevanz im Unternehmenskontext. Wir gewichten zusätzlich Asset-Kritikalität (zum Beispiel Domain Controller vs. Testsystem) und Ausnutzungswahrscheinlichkeit (vorhandene Exploits, aktive Ausnutzung, Hersteller-Telemetrie). So kann eine Lücke  mit dem CVSS von 5.0 auf einem kritischen System dringender sein als eine Lücke mit dem Score von 9.0 auf einem Rand-Asset. Das erhöht Wirkung pro investierter Stunde.

Welche KPIs helfen Mittelständlern, wirksam zu bleiben?

Tizian Kohler: Drei Kennzahlen haben sich bewährt: Erstens die Anzahl kritischer Findings über Zeitraum X – mit Trend möglichst abnehmend. Zweitens die Patch-Quote kritischer Lücken innerhalb von 14/30 Tagen. Und drittens die Mean Time to Remediate (MTTR) je Kritikalität. Diese Trias misst Tempo, Disziplin und Priorisierung. Wichtig ist dabei, die Zuständigkeiten, Fristen und Ausnahmen zu dokumentieren.

Welche Meldepflichten gelten nach Vorfällen?

Tizian Kohler: DSGVO: Sind personenbezogene Daten betroffen, binnen 72 Stunden an die Aufsichtsbehörde melden – mit Erstbewertung, betroffenen Datenkategorien und Sofortmaßnahmen.
NIS2: Für betroffene, sektorrelevante Unternehmen gilt eine Erstmeldung binnen 24 Stunden und eine Detailmeldung nach 72 Stunden. Grundlage sind belastbare Logs, klare Verantwortlichkeiten und vorbereitete Vorlagen.

Und was droht, wenn Unternehmen nicht melden?

Tizian Kohler: Bußgelder, Auflagen und – unter NIS2 – verbindliche Umsetzungspläne mit Fristen. In gravierenden Fällen drohen Haftungsrisiken für Geschäftsleiter. Wer transparent meldet, sauber dokumentiert und zügig Maßnahmen ergreift, steht deutlich besser da – fachlich wie regulatorisch.

Welche Trends prägen die nächsten zwölf bis 18 Monate?

Tizian Kohler: KI-gestütztes Spear-Phishing wird kontextgenauer und sprachlich perfekter. Wir sehen erste Multi-Agent-Ansätze, die Aufklärung und Einbruchschritte automatisieren. Parallel nehmen QR-Phishing und Session Hijacking zu. Trotz neuer Spielarten bleibt der Erstzugang über Identitäten zentral – daher haben MFA, Anomalieerkennung und saubere Prozesse die höchste Rendite.

Was sind Ihre drei priorisierten Schritte für 2026 – besonders für kleinere KMU?

Tizian Kohler: 1. MFA flächendeckend ausrollen: Pilotgruppe starten, Stolpersteine beheben, dann gestuft bis zur vollständigen Abdeckung. 
2. KI sinnvoll nutzen: etablierte Produkte mit KI-Funktionen einsetzen, Richtlinien gegen Datenabfluss festlegen und Mitarbeitende qualifizieren.
3. Incident Readiness: Erkennungsmechanismen, Rollen, Eskalationswege, Kontaktlisten und Meldevorlagen definieren – und regelmäßig üben. Übung schlägt Theorie.

Abschließend: Warum gibt es keine Ausflüchte, um Cybersicherheit konsequent zu betreiben?

Tizian Kohler: Cybersicherheit ist für Unternehmen kein Bremsklotz, sondern ein Enabler. Wer pragmatisch startet, konsequent priorisiert und dranbleibt, reduziert Risiken spürbar – ohne die Organisation zu lähmen.

Eins, zwei, barrierefrei

Barrierefreiheitsstärkungsgesetz: So ermöglichen Websites und Apps die digitale Teilhabe