Vendor Email Compromise (VEC)

Vendor Email Compromise (VEC) beschreibt Angriffe, bei denen legitime E-Mail-Konten von Lieferanten, Dienstleistern oder Partnern missbraucht werden, um betrügerische Kommunikation in laufende Geschäftsprozesse einzuschleusen. Die Nachrichten wirken glaubwürdig, weil sie aus echten Geschäftsbeziehungen heraus erfolgen – häufig geht es um Rechnungsbetrug, geänderte Kontodaten oder die gezielte Anforderung sensibler Informationen.

Der Angriff beginnt typischerweise mit der Kompromittierung eines echten Kontos beim Lieferanten, etwa per Phishing. Anschließend beobachten die Angreifer die Kommunikation, lernen Abläufe, Ansprechpartner und Rechnungszyklen kennen und greifen im passenden Moment ein. VEC ist damit eine Sonderform von Business Email Compromise: Die Täuschung erfolgt nicht über gefälschte, sondern über echte, übernommene Absender – klassische Prüfungen der Absenderauthentizität greifen deshalb ins Leere.

Schutz erfordert verhaltensbasierte Analyse von Kommunikationsmustern, definierte Verifikationsprozesse für Stammdatenänderungen (etwa Rückruf über bekannte Kanäle) und Transparenz über riskante Lieferantenbeziehungen. Für Einkauf, Finance und Lieferkettenprozesse gehört VEC zu den relevantesten E-Mail-Risiken.