CEO-Fraud: Wie die Masche funktioniert und wie Sie sich schützen

CEO-Fraud braucht keine Schadsoftware und keinen Link. Eine gut geschriebene Mail, ein bisschen Recherche und der richtige Moment reichen. Genau deshalb ist die Masche so erfolgreich, auch in großen Unternehmen. Der Autozulieferer Leoni meldete 2016 einen Schaden von rund 40 Millionen Euro durch gefälschte Zahlungsanweisungen.

So läuft ein CEO-Fraud ab

1. Recherche: Die Täter sammeln Informationen aus Website, Handelsregister, LinkedIn und Pressemitteilungen. Wer ist Geschäftsführer, wer macht Zahlungen, wann ist der Chef auf Reisen?
2. Kontakt: Eine Mail scheinbar von der Geschäftsführung geht an die Buchhaltung. Oft ist es eine Domain zum Verwechseln oder ein Freemail-Konto mit dem richtigen Namen.
3. Druck und Geheimhaltung: „Wir übernehmen gerade eine Firma. Das ist streng vertraulich. Bitte überweisen Sie heute noch, ich bin im Termin und nicht erreichbar.“
4. Verstärkung: Manchmal meldet sich zusätzlich ein angeblicher Anwalt oder Berater, per Mail oder Telefon.
5. Überweisung: Das Geld geht auf ein Konto im In- oder Ausland und wird schnell weitergeleitet.

CEO-Fraud, BEC und Spear-Phishing

• Business Email Compromise (BEC): Oberbegriff für Betrug mit gefälschten oder gekaperten Geschäftsmails. Dazu gehören auch gefälschte Lieferantenrechnungen und geänderte Bankdaten.
• CEO-Fraud: Eine BEC-Variante, bei der die Täter die Geschäftsleitung vortäuschen.
• Spear-Phishing: Gezielte Phishing-Mails an einzelne Personen. CEO-Fraud ist oft das Ergebnis einer solchen Vorarbeit.
• Whaling: Spear-Phishing, das sich gegen die Geschäftsführung selbst richtet.

Warnzeichen

• Eine Zahlungsanweisung, die vom üblichen Ablauf abweicht.
• Zeitdruck und die Bitte um absolute Vertraulichkeit.
• Die angebliche Person ist „nicht erreichbar“, bittet aber um sofortiges Handeln.
• Ein neues Empfängerkonto, oft im Ausland.
• Eine Absenderadresse, die nur fast stimmt, oder ein Freemail-Konto mit bekanntem Namen.
• Eine Antwortadresse, die sich von der Absenderadresse unterscheidet.

Neu: CEO-Fraud mit Deepfakes

Täter fälschen inzwischen auch Stimmen und Gesichter. Ein Anruf klingt wie der Geschäftsführer, eine Videokonferenz zeigt scheinbar den Finanzvorstand. Wie diese Fälschungen entstehen und wie Sie sich wappnen, steht im Eintrag Deepfake-Bedrohung für Unternehmen. Die wichtigste Regel bleibt gleich: Ungewöhnliche Anweisungen immer über einen zweiten, bekannten Kanal bestätigen.

So schützen Sie Ihr Unternehmen

Abläufe

• Vier-Augen-Prinzip: Zahlungen ab einer festgelegten Höhe gibt immer eine zweite Person frei.
• Rückruf über bekannte Nummer: Neue Bankverbindungen und ungewöhnliche Anweisungen werden telefonisch bestätigt, immer unter der hinterlegten Nummer.
• Klare Regel von oben: Die Geschäftsführung erklärt ausdrücklich, dass sie nie per Mail um vertrauliche Eilüberweisungen bittet.

Technik

• Absenderprüfung: Mit SPF, DKIM und DMARC und einer strengen Policy kann niemand Ihre exakte Domain fälschen.
• Gateway-Regeln: Ein Secure Email Gateway erkennt Domains zum Verwechseln und Anzeigenamen, die eine Person aus der Geschäftsführung vorgeben.
• Externe Mails markieren: Ein Hinweis bei Mails von außen macht eine angebliche Chef-Mail von einer fremden Adresse sichtbar.

Menschen

• Schulungen: Buchhaltung, Assistenz und Personalabteilung sind die häufigsten Ziele. Sie sollten die Masche kennen. Mehr dazu in unseren Awareness-Trainings.
• Fehlerkultur: Wer nachfragt oder einen Fehler meldet, wird nicht bestraft. Sonst traut sich niemand, die Geschäftsführung zu hinterfragen.

Was tun, wenn Geld schon überwiesen wurde?

1. Sofort die eigene Bank anrufen und einen Rückruf der Zahlung veranlassen. Je schneller, desto größer die Chance.
2. Anzeige bei der Polizei erstatten. Jedes Bundesland hat dafür eine Zentrale Ansprechstelle Cybercrime (ZAC) für Unternehmen.
3. Mails, Kontodaten und Gesprächsnotizen sichern.
4. Prüfen, ob ein Postfach kompromittiert ist. Bei Bedarf hilft ein Incident-Response-Team.

CEO-Fraud und das SecTepe Mail Security Gateway

Der Phishing-Schutz des SecTepe Mail Security Gateway prüft den Anzeigenamen gegen geschützte Personen wie Geschäftsführung oder Finanzleitung. Er erkennt Domains zum Verwechseln, auch mit Zeichen aus fremden Alphabeten. Ist ein Sprachmodell angebunden, bewertet es zusätzlich den Text, etwa eine eilige Bitte um Überweisung oder Gutscheinkarten. Das Modell kann auf einem eigenen GPU-Server laufen, dann bleibt der Mailtext im eigenen Netz. Eine optionale Verhaltensanalyse meldet, wenn sich ein bekannter Absender plötzlich anders verhält.

Fazit

CEO-Fraud setzt auf Autorität, Zeitdruck und Geheimhaltung, nicht auf Technik. Den besten Schutz bieten feste Abläufe für Zahlungen, ein Rückruf über bekannte Nummern und geschulte Mitarbeitende. Technik im Mailfluss fängt viele Versuche vorher ab, ersetzt diese Regeln aber nicht.