Im August 2024 teilte Orion S.A., ein in Luxemburg ansässiges Chemieunternehmen, das Reifen- und Gummihersteller weltweit mit Ruß beliefert, der US-Börsenaufsichtsbehörde SEC mit, dass ein Mitarbeiter – kein leitender Angestellter – dazu verleitet wurde, über mehrere Wochen hinweg mehrere Überweisungen in Höhe von insgesamt rund 60 Millionen Dollar auf Konten von Angreifern zu autorisieren (Orion S.A. Form 8-K, sec.gov, 12. August 2024). Kein Konto wurde gehackt. Es war keine Schadsoftware im Spiel. Jemand glaubte, eine Nachrichtenfolge stamme aus einer vertrauenswürdigen Quelle, und handelte entsprechend.
Aus dem Bericht von Orion geht hervor, dass das Unternehmen keine Beweise für einen unbefugten Zugriff auf seine Systeme oder Daten gefunden hat. Dieses Detail ist wichtiger, als es auf den ersten Blick scheint. Die meisten Unternehmen bauen ihre Verteidigung auf der Annahme auf, dass ein großer Verlust bedeutet, dass etwas kaputtgegangen ist: eine Firewall hat versagt, ein Passwort wurde gestohlen, ein System hatte eine Sicherheitslücke. Hier ist nichts kaputtgegangen. Eine Person traf eine normale Entscheidung, genehmigte eine Zahlung, die wie jede andere Zahlung aussah, die sie zuvor genehmigt hatte, und tat dies mehrmals, bevor jemand Verdacht schöpfte.
Darüber sollte man kurz nachdenken, denn es ist kein schwieriger Trick. Angreifer, die ein Ziel ausspähen, müssen nichts hacken, um zu erfahren, wer Zahlungen genehmigt und wie das abläuft. Die eigene Website eines Unternehmens, LinkedIn-Profile und Pressemitteilungen verraten meist, wer die Finanzen leitet, wer an wen berichtet und wie eine normale Anfrage aussieht. Dieses Muster überzeugend nachzuahmen, gleicht eher dem Schreiben eines guten Anschreibens als dem Hacken eines Systems – genau deshalb ist es so gut skalierbar.
MFA hat genau wie vorgesehen funktioniert
Der Anteil der BEC-Angriffe auf Unternehmen ohne MFA sank von 58 % im Jahr 2023 auf 25 % Anfang 2024 (ArcticWolf, State of Cybersecurity 2024 Trends Report UK, arcticwolf.com). Das ist ein echter Erfolg für die Sicherheit. Die Übernahme von Konten, bei der sich ein Angreifer mit gestohlenen Zugangsdaten in ein echtes Postfach einloggt, wurde deutlich schwieriger.
Wenn BEC hauptsächlich davon abhinge, in Konten einzudringen, müssten Fälle wie der von Orion mit zunehmender MFA-Verbreitung seltener werden. Das sind sie aber nicht. Orion ist kein Einzelfall, und es ist nicht einmal der einzige in diesem Jahr: Ein britisches Energieunternehmen und eine US-Gewerkschaft verloren beide vergleichbare Summen durch dasselbe Muster – kein Einbruch, keine Schadsoftware, nur eine überzeugende Nachricht, die über den richtigen Kanal im richtigen Moment ankam.
Der Geldfluss riss nicht ab
Der Internet Crime Report 2025 des FBI verzeichnete 24.768 BEC-Beschwerden und gemeldete Verluste in Höhe von 3,05 Milliarden Dollar, ein Anstieg gegenüber 21.442 Beschwerden und 2,77 Milliarden Dollar im Jahr 2024 (FBI IC3 2025 Annual Report, ic3.gov). Die Beschwerden stiegen um etwa 16 %, die Verluste um etwa 10 % – im selben Zeitraum, in dem die MFA-Einführung die Lücke bei der Kontoübernahme schloss.
Die Association for Financial Professionals stellte fest, dass BEC im Jahr 2025 74 % der Unternehmen betraf, ein deutlicher Anstieg gegenüber 2023 und 2024 (AFP 2026 Payments Fraud and Control Survey, financialprofessionals.org). Dem Microsoft Digital Defense Report 2025 zufolge war BEC für 21 % der Angriffe mit klarem Ergebnis verantwortlich und lag damit vor Ransomware mit 16 % (Microsoft Digital Defense Report 2025, microsoft.com). Die Verteidigung wurde besser darin, einen spezifischen Mechanismus zu stoppen. Die Kategorie der Angriffe, die sie verhindern sollte, schrumpfte jedoch nicht; sie verlagerte sich lediglich an der Tür vorbei, die MFA bewachte.
Für Identitätsdiebstahl braucht man keine offene Tür
Klassischer Identitätsdiebstahl bei Führungskräften wurde 2024 immer noch von 49 % der Unternehmen gemeldet, während die Nachahmung von Anbietern und Dritten zunahm und von 45 % bzw. 24 % der Unternehmen berichtet wurde (AFP 2025 Payments Fraud and Control Survey, financialprofessionals.org).
Nichts davon erfordert ein kompromittiertes Konto, und zunehmend beschränkt es sich auch nicht mehr nur auf E-Mails. Ein Live-Telefonanruf nach Erhalt der Nachricht bewirkt etwas, das eine E-Mail allein nicht kann: Er ermöglicht es dem Ziel, eine Frage zu stellen und in Echtzeit eine beruhigende Antwort zu erhalten. Dieser eine Austausch – eine Stimme, die vertraut klingt und genau das bestätigt, was in der E-Mail stand – reicht oft aus, um jegliche aufkommende Skepsis zu überwinden. Es ist dasselbe Verstärkungsmuster, das wahrscheinlich die mehreren Überweisungen von Orion über mehrere Wochen hinweg aufrechterhielt.
Die Verteidigung, die die Kontoübernahme stoppte, kann keine Nachricht stoppen, die nie eine solche benötigte
MFA schützt einen Vermögenswert: das Konto. Identitätsdiebstahl greift eine Beziehung an: das Vertrauen, das jemand einem bekannten Namen entgegenbringt. Authentifizierungsprotokolle wurden nie dafür entwickelt, dies zu bewerten.
Dies ist die neue Perspektive, über die man nachdenken sollte: Ein CISO, der auf die MFA-Einführungszahlen blickt, hat einen echten, vertretbaren Grund, Fortschritte zu sehen, während sich das finanzielle Risiko stillschweigend in eine Kategorie verlagert, die von keiner Authentifizierungsmetrik erfasst wird. Orions 60-Millionen-Dollar-Bericht zeigt genau, wie weit dieses Risiko reichen kann, bevor es jemand bemerkt.
Wie ein Test für dieses Szenario tatsächlich aussieht
Das Testen auf dieses Versagen bedeutet, die Sequenz selbst nachzubilden, nicht nur die erste Nachricht. Das bedeutet, die Reaktion auf eine Phishing-E-Mail, gefolgt von einem Vishing-Anruf, innerhalb einer einzigen Kampagne zu trainieren, die sich je nach tatsächlicher Reaktion des Mitarbeiters anpasst – nicht zwei separate Tests ohne Verbindung. Genau das ermöglicht Multiattack Simulations. Wenn jemand die simulierte E-Mail öffnet, wird als Nächstes der Anruf ausgelöst – dieselbe verstärkende Nachbereitung, die die echte Version so effektiv macht. Wenn jemand die E-Mail stattdessen meldet, wird ein anderer Pfad aktiviert, sodass die Übung die beiden Kanäle niemals isoliert bewertet.
Der resultierende Bericht zeigt genau den Punkt in der Sequenz, an dem die Überprüfung standhielt, und den Punkt, an dem sie versagte. Das sind Informationen, die ein einkanaliger Phishing-Test einfach nicht liefern kann – und genau die Informationen, die Orion hätten sagen können, bevor die zweite Überweisung getätigt wurde, dass die erste bereits durchgegangen war.
Was das in der Praxis bedeutet
Sicherheitsverantwortliche sollten aufhören, die MFA-Einführung als Indikator für die Reduzierung des BEC-Risikos zu betrachten. Sie schließt zwar die Teilmenge der Kontoübernahmen bei BEC, lässt aber die Teilmenge des Identitätsdiebstahls – mittlerweile die größere und kostspieligere – weitgehend ungeprüft.
Das bedeutet auch, dass die Lösung nicht allein bei der IT-Sicherheit liegt. Die Umfrage der AFP ergab, dass die Finanzabteilung 83 % der Betrugsversuche und 55 % der tatsächlichen Betrugsfälle aufdeckt – mehr als jede andere Abteilung, da Zahlungen direkt dort abgewickelt werden (AFP 2026 Payments Fraud and Control Survey, financialprofessionals.org). Jedes Programm zur Verringerung des BEC-Risikos muss diese Abteilung direkt einbeziehen und darf nicht bei einem Phishing-Meldebutton stehen bleiben, den die Finanzabteilung ohnehin nie nutzt.
MFA hat ein echtes Problem gelöst, und die Daten belegen das. Aber es hat den Betrug per Geschäfts-E-Mail (BEC) nicht gelöst, und das zeigt auch der Bericht von Orion. Die Unternehmen, die ihr Risiko künftig senken werden, sind diejenigen, die aufhören, die Kontosicherheit für ein Risiko verantwortlich zu machen, das sich in einen Bereich verlagert hat, den die Kontosicherheit nicht einsehen kann.
.png)
.png)
.png)
.png)
