CEO-Fraud: Was ist das und wie schützen sich Mitarbeitende?

Bei CEO-Fraud geben sich Kriminelle gekonnt als Vorgesetzte aus, um hohe Geldbeträge oder sensible Geschäftsdaten zu stehlen. Wie die Polizei berichtet, wurden durch CEO Fraud allein in Deutschland bereits mehrere Millionen erbeutet mit zum Teil erheblichen Folgen für die Unternehmen und die getäuschten Mitarbeitenden.

Was ist CEO-Fraud?

Das Bundeskriminalamt beschreibt CEO Fraud als Betrugsmasche, bei der Täter nach intensiver Informationssammlung über ein Unternehmen Mitarbeitende dazu veranlassen, größere Geldbeträge auf Täterkonten zu überweisen. Für Unternehmen ist CEO Fraud besonders gefährlich, weil der Angriff nicht nur technische Schwachstellen ausnutzt, sondern vor allem menschliche Faktoren: Vertrauen, Hilfsbereitschaft, Respekt vor Autorität, Zeitdruck und Unsicherheit.

Die Täter haben sich in der Regel bereits gut über das Unternehmen und die Person informiert. Sie kennen die Organisationsstrukturen und wissen, welche Mitarbeitenden Zugriff und Befugnisse auf Geschäftskonten haben. Beliebte Informationsquellen sind dabei Wirtschaftsberichte des Unternehmens, die Unternehmenswebseite, Broschüren sowie die sozialen Netzwerke, in denen die Mitarbeitenden ihre Jobposition häufig veröffentlichen. Durch den Einsatz von KI können mittlerweile auch täuschend echte Sprach- und Videonachrichten von Führungskräften erzeugt werden, da häufig Aufzeichnungen von Vorträgen oder Podcasts im Internet existieren, mit denen die KI trainiert werden kann.

CEO-Fraud ist eine Variante des Social Engineerings. Aus technischer Sicht wird diese Betrugsmasche dem sogenannten Spear-Phishing zugeordnet, bei dem nur eine einzige Person oder ein kleiner Personenkreis gezielt und persönlich kontaktiert wird.

Warum ist CEO Fraud für Unternehmen so relevant?

CEO Fraud ist eine reale Bedrohung für Unternehmen jeder Größe. Besonders betroffen sind Mitarbeitende in Buchhaltung, Rechnungswesen, Controlling, Assistenz, Einkauf und Geschäftsführung. Täter sprechen gezielt Personen an, die Zahlungen vorbereiten, Rechnungen prüfen, Bankdaten ändern oder sensible Informationen verarbeiten. Das BKA weist darauf hin, dass Angreifer bevorzugt zahlungsberechtigte Mitarbeitende kontaktieren und sich dabei als hochrangige Personen des Unternehmens ausgeben.

Die Gefahr liegt darin, dass CEO Fraud häufig wie ein normaler Geschäftsvorgang aussieht. Es gibt nicht zwingend Schadsoftware, keinen Systemausfall und keine technische Warnmeldung. Stattdessen erhält der Mitarbeitende eine scheinbar glaubwürdige E-Mail oder einen Anruf mit einer dringenden Zahlungsaufforderung. Die Angreifer üben häufig extremen Zeitdruck aus, fordern absolute Geheimhaltung und weichen von üblichen Zahlungsabläufen ab. CEO Fraud ist ein Beispiel dafür, dass Angriffsfläche nicht nur aus Servern, E-Mail-Systemen oder Cloud-Diensten besteht, sondern auch aus Prozessen, Rollen, Kommunikationswegen und öffentlich verfügbaren Unternehmensinformationen.

Wie funktioniert CEO Fraud?

Ein CEO Fraud Angriff beginnt meist mit einer ausführlichen Recherche. Täter sammeln öffentlich verfügbare Informationen über das Zielunternehmen: Namen der Geschäftsführung, Zuständigkeiten, E-Mail-Adressen, Abteilungsstrukturen, Geschäftspartner, Investitionen, Messeauftritte, Pressemitteilungen oder Hinweise aus sozialen Netzwerken. Anschließend wählen die Angreifer eine Zielperson aus. Die erste Nachricht wirkt oft harmlos: „Sind Sie gerade verfügbar?“ oder „Ich benötige Ihre Unterstützung bei einer vertraulichen Angelegenheit.“ Danach wird der Druck erhöht. Die angebliche Geschäftsführung verweist auf eine dringende Zahlung, eine vertrauliche Übernahme, eine Steuerprüfung, eine wichtige Transaktion oder eine neue Bankverbindung.

Typisch ist, dass Täter absolute Vertraulichkeit verlangen und Rückfragen verhindern wollen. Laut BKA verwenden Angreifer häufig Formulierungen wie „dringend“, „vertraulich“, „die Firma vertraut Ihnen“ oder „ich bin momentan nicht verfügbar“. Genau diese Kombination aus Autorität, Eile und Geheimhaltung macht CEO Fraud so wirksam.

Am Ende steht meist eine konkrete Handlung: eine Überweisung, die Änderung einer Bankverbindung oder die Weitergabe sensibler Informationen. Die Polizei Hessen informiert auf ihrer Webseite, dass Täter häufig Auslandsüberweisungen veranlassen und eine Rückabwicklung solcher Transaktionen schwierig oder sogar unmöglich sein kann.

Woran erkennen Mitarbeitende den CEO-Betrug?

Das Perfide am CEO-Betrug ist, dass die Täter absolut professionell vorgehen und ihre Nachrichten sehr authentisch wirken. Nichtsahnende Kollegen sind deswegen leichte Opfer. CEO Fraud lässt sich nicht immer an einem einzelnen Merkmal erkennen. Entscheidend ist die Kombination mehrerer Auffälligkeiten. Typische Warnsignale für CEO Fraud sind:

• eine angebliche Anweisung der Geschäftsführung außerhalb normaler Prozesse
• ungewöhnlich hoher Zeitdruck
• Forderung nach absoluter Vertraulichkeit
• Bitte, keine weiteren Personen einzubeziehen
• neue oder geänderte Bankverbindung
• Zahlung auf ein ausländisches Konto
• ungewohnter Schreibstil der angeblichen Führungskraft
• leicht abweichende oder angeblich private E-Mail-Adresse
• Kontaktaufnahme durch eine angebliche Kanzlei, Bank oder externe Beratung
• Aufforderung, interne Freigabeprozesse zu umgehen

Wie können Unternehmen sich vor CEO Fraud schützen

CEO Fraud ist kein reines IT-Security Thema. Es betrifft Finance, Compliance und Management gleichermaßen. Die IT kann E-Mail-Sicherheit, Identitätsschutz, Multifaktor-Authentifizierung und Monitoring bereitstellen. Doch wenn Zahlungsprozesse unklar sind oder Führungskräfte informell Ausnahmen zulassen, bleibt das Unternehmen verwundbar.

Deshalb ist CEO Fraud ein Governance-Thema. Die Geschäftsführung muss klar festlegen, dass Sicherheitsprozesse immer gelten – auch dann, wenn eine angebliche Anweisung von der Chefetage kommt. Mitarbeitende müssen ausdrücklich ermutigt werden, Rückfragen zu stellen. Das BKA empfiehlt Unternehmen, klare interne Kontrollmechanismen einzuführen, Mitarbeitende zu sensibilisieren und Zahlungsaufforderungen vor Ausführung zu verifizieren. Gerade bei CEO Fraud ist eine kritische Nachfrage oft die letzte und wichtigste Verteidigungslinie.

CEO-Betrug: Maßnahmen für Unternehmen

Wie alle Betrüger, die Social Engineering-Methoden nutzen, handeln Kriminelle beim CEO-Fraud gemäß dem Motto: „Amateure hacken Systeme, Profis hacken Menschen.“ Technisch lässt sich solchen Betrugsmaßnahmen deswegen wenig entgegensetzen.

Umso wichtiger ist deshalb die Sensibilisierung der Mitarbeitenden zu diesem Thema und das Schaffen von klaren internen Kommunikationsrichtlinien:

• Führen Sie regelmäßig Security Awareness Schulungen durch. So werden Ihre Mitarbeitenden sensibilisiert und achtsam im Arbeitsalltag.
• Schaffen Sie klare Prozesse und Zuständigkeiten (an wen wende ich mich wann und wie).
• Vereinbaren Sie einen alternativen Kommunikationsweg bei Abwesenheit, an den sich alle zu halten haben.
• Achten Sie darauf, welche Informationen über Ihr Unternehmen öffentlich sind (z.B. sollte ein Organigramm niemals öffentlich einsehbar sein).
• Fördern Sie eine offene Unternehmenskultur und Kommunikation (Ihre Angestellten sollen im Zweifelsfall lieber noch einmal nachfragen, als blind einer Aufforderung zu folgen).
• Sichern Sie Finanztransaktionen durch Freigabeprozesse ab, indem mindestens eine weitere Person in den Prozess mit eingebunden wird. (Vieraugenprinzip einhalten)
• Kontrollieren Sie Änderungen an Stammdaten von Lieferanten und Partner-Unternehmen
• Etablieren Sie eine Sicherheitskultur in Ihrem Unternehmen.

Was tun im Ernstfall?

Wenn eine verdächtige CEO-Fraud-Nachricht eingeht, sollte keine Zahlung ausgelöst und nicht weiter mit dem mutmaßlichen Täter kommuniziert werden. Die Nachricht sollte intern an IT-Security, Finance und die zuständige Führungskraft gemeldet werden. Wichtig ist, die E-Mail inklusive Header und Anhängen zu sichern.

Wenn bereits eine Zahlung erfolgt ist, muss sofort die Bank informiert werden. Je schneller reagiert wird, desto größer ist die Chance, eine Transaktion zu stoppen oder zurückzuholen. Die Polizei Hessen weist darauf hin, dass die Rückabwicklung von Zahlungen bei CEO Fraud häufig schwierig ist. Das BKA und die Polizeibehörden empfehlen, sich bei Auffälligkeiten, Fragen oder Betrugsverdacht an die örtliche Polizeidienststelle oder das zuständige Landeskriminalamt zu wenden.

Zudem sollte die IT prüfen, ob ein Postfach kompromittiert wurde. Dazu gehören Login-Daten, Weiterleitungsregeln, geänderte Passwörter, verdächtige Zugriffe und mögliche Folgeangriffe. Nach dem Vorfall sollte das Unternehmen eine strukturierte Nachbereitung durchführen und Prozesse verbessern.

Security Awareness Trainings schützen Unternehmen vor CEO-Fraud

Security Awareness ist bei CEO Fraud unverzichtbar. Geschäftskommunikation findet hauptsächlich über digitale Kanäle statt und gerade in Zeiten von KI entwickeln Cyber-Kriminelle immer neue Taktiken für Cyber Attacken. Deshalb ist es wichtig, dass Unternehmen ihre Mitarbeitenden kontinuierlich schulen und die Trainings regelmäßig an die aktuelle Bedrohungslage angepasst werden. Mitarbeitende müssen wissen, wie CEO Fraud funktioniert, welche Warnsignale typisch sind und wie sie im Verdachtsfall handeln sollen.

Besonders wichtig sind zielgruppenspezifische Trainings. Die Buchhaltung benötigt andere Beispiele als die Geschäftsführung, Assistenz oder der Einkauf. Ein gutes Training zeigt reale Szenarien: eine angeblich vertrauliche Überweisung, eine geänderte Lieferantenbankverbindung, eine angebliche Akquisition oder eine dringende Nachricht vom CFO.

Um die Mitarbeitenden für CEO-Fraud und seine Gefahren zu sensibilisieren, empfehlen sich Security Awareness Kampagnen. Idealerweise beinhalten diese Kampagnen eine theoretische und eine praxisbezogene Komponente.

Security Awareness: Der beste Schutz ist Prävention

• Per Online-Training oder E-Learning bekommen Ihre Mitarbeitenden das theoretische Wissen rund um CEO-Fraud und andere Betrugsmaschen vermittelt. Das Wissen kann im Anschluss per Quiz getestet und verfestigt werden.
• In einem simulierten Phishing-Angriff (Phishing-Tests) werden Ihre Angestellten dann mit realistischen Szenarios konfrontiert. Das Erlernte kann so realitätsnah angewendet werden.

So bilden IT Security Verantwortliche Ihre Mitarbeitenden zur Human Firewall aus und minimieren dadurch maßgeblich das Risiko Opfer eines Angriffs zu werden.