Finanzielle Reaktion und technische Prüfung parallel koordinieren
Bei einer bereits ausgelösten verdächtigen Zahlung sollte die zuständige Finanzstelle unverzüglich den etablierten Bankkontakt einbeziehen. Technische Untersuchungen dürfen diesen betrieblichen Schritt nicht unnötig verzögern. Ob eine Zahlung gestoppt oder zurückgeholt werden kann, entscheidet sich im konkreten Zahlungsprozess und lässt sich nicht garantieren.
Bestätigen Sie ungewöhnliche Zahlungsanweisungen über einen bekannten unabhängigen Kontaktweg. Eine Antwort innerhalb derselben verdächtigen Mailkette kann erneut beim Angreifer landen. Neue Telefonnummern oder Kontaktdaten aus der fraglichen Nachricht sind dafür keine verlässliche Grundlage.
Den tatsächlichen Manipulationsweg finden
Für die Analyse werden Originalnachrichten, Kopfzeilen, verwendete Domains und zeitliche Abläufe benötigt. Im betroffenen Postfach können Weiterleitungen, Regeln, gelöschte Nachrichten und ungewöhnliche Anmeldungen relevant sein. Dabei wird unterschieden, ob eine Nachricht lediglich gefälscht oder über einen tatsächlich übernommenen Zugang versendet wurde.
Wenn ein Geschäftspartner betroffen ist, braucht es eine abgestimmte Untersuchung an beiden Seiten. Der eigene Mailserver kann nicht sämtliche Vorgänge in dessen System nachweisen. Der Bericht sollte daher offenlegen, welche Feststellungen aus eigenen Logs stammen und welche Informationen vom Partner übernommen wurden.
Technische und kaufmännische Lücken gemeinsam schliessen
Nach einer Kontowiederherstellung werden sensible Zahlungsprozesse geprüft. Ein zweiter Freigabeschritt und die unabhängige Bestätigung geänderter Bankdaten können gezielter helfen als eine allgemeine Warnmail. Gleichzeitig müssen legitime Rechnungsabläufe weiterhin funktionieren und Zuständigkeiten für Rückfragen klar sein.
Für eine Anfrage sind betroffene Mailadressen, Zeitpunkt, Zahlungsstatus und vorhandene Originalnachrichten wichtig. Bank- und Kundendaten werden erst über einen geeigneten geschützten Kanal ausgetauscht. Die technische Untersuchung liefert Belege; finanzielle und rechtliche Entscheidungen bleiben mit den zuständigen Stellen abgestimmt.
Ihre Checkliste für den nächsten Schritt
- Bei verdächtiger Zahlung die zuständige Finanzstelle einschalten.
- Ungewöhnliche Anweisungen unabhängig rückbestätigen.
- Originalmails, Mailregeln und Anmeldespuren erhalten.
Häufige Fragen
Beweist eine echte Absenderadresse einen echten Auftrag?
Nein. Auch ein legitimes Konto kann missbraucht werden. Geschäftsinhalt und Freigabeweg müssen zusätzlich geprüft werden.
Ist ein Geldrückruf Teil der technischen Bereinigung?
Er ist ein eigener betrieblicher Vorgang mit Bank und Finanzverantwortlichen. Die technische Arbeit kann notwendige Informationen dafür liefern.
Quellen & weiterführende Informationen
Microsoft: Mailkontomissbrauch und BEC ↗Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.