Nicht jeder Angriff auf ein Unternehmen kommt mit Schadsoftware. Die gefährlichsten – und teuersten – Betrugsmaschen kommen ganz ohne Virus aus: Sie zielen auf den Menschen. Bei CEO-Fraud und Business E-Mail Compromise (BEC) geben sich Kriminelle als Geschäftsführer, Kollege oder Lieferant aus und bringen Mitarbeitende dazu, Geld zu überweisen oder sensible Daten herauszugeben. Weil dabei keine Technik im klassischen Sinn angegriffen wird, laufen viele Sicherheitssysteme ins Leere. Dieser Artikel erklärt die Masche und wie Sie sich wappnen.
CEO-Fraud ist eine besonders gezielte Form des Phishings. Die allgemeinen Erkennungsmerkmale betrügerischer E-Mails behandeln wir in Phishing erkennen – hier geht es um die raffinierteren, personalisierten Angriffe auf Ihre Zahlungsprozesse.
Was ist CEO-Fraud und BEC?
Beide Begriffe beschreiben Angriffe, bei denen sich Täter als vertrauenswürdige Person ausgeben, um eine Handlung auszulösen – fast immer eine Zahlung. Die häufigsten Varianten:
Der falsche Chef (CEO-Fraud)
Eine E-Mail scheinbar vom Geschäftsführer bittet die Buchhaltung um eine dringende, streng vertrauliche Überweisung – oft mit dem Hinweis, gerade nicht erreichbar zu sein.
Die manipulierte Rechnung
Angreifer geben sich als bekannter Lieferant aus und teilen eine „neue Bankverbindung" mit. Die nächste reguläre Zahlung landet dann auf dem Konto der Betrüger.
Das gekaperte Postfach
Verschaffen sich Täter Zugang zu einem echten E-Mail-Konto, schreiben sie aus dem echten Postfach – täuschend echt und schwer zu erkennen.
Die Gehaltsumleitung
Im Namen eines Mitarbeiters wird die Personalabteilung gebeten, die Bankverbindung für die Gehaltszahlung zu ändern.
⚠️ Wichtig: Das macht diese Angriffe so gefährlich: Sie enthalten oft keinen bösartigen Anhang und keinen verdächtigen Link – nur Text. Damit rutschen sie an Virenscannern und Spamfiltern vorbei. Die einzige wirksame Verteidigung ist ein aufmerksamer Mensch und ein sicherer Prozess.
Warum die Masche so oft funktioniert
CEO-Fraud nutzt gezielt menschliche Reflexe und die Hierarchie im Unternehmen aus:
- Autorität: Eine Anweisung „vom Chef" wird selten hinterfragt – genau darauf setzen die Täter.
- Zeitdruck: „Es muss sofort raus" lässt keine Zeit zum Nachdenken oder Nachfragen.
- Vertraulichkeit: „Bitte mit niemandem besprechen" verhindert, dass sich das Opfer absichert.
- Gute Vorbereitung: Täter recherchieren im Vorfeld – Namen, Zuständigkeiten, Urlaubszeiten, Schreibstil. Oft aus öffentlich verfügbaren Quellen und sozialen Netzwerken.
- KI-Unterstützung: Moderne Angriffe nutzen KI für fehlerfreies Deutsch und im Extremfall sogar täuschend echte Stimm-Imitationen am Telefon.
Die Warnsignale
Bei diesen Anzeichen sollten Sie misstrauisch werden
- Ungewöhnliche Dringlichkeit und Druck, sofort zu handeln
- Bitte um Vertraulichkeit oder Umgehung der üblichen Wege
- Eine geänderte oder neue Bankverbindung
- Eine ungewöhnliche Zahlungsart oder ein ungewöhnliches Zielland
- Der angebliche Absender ist „gerade nicht erreichbar" für Rückfragen
- Eine leicht abweichende Absenderadresse (z. B. vertauschte Buchstaben in der Domain)
- Die Anfrage weicht vom normalen Ablauf oder der üblichen Formulierung ab
So schützen Sie Ihr Unternehmen
Der wirksamste Schutz ist eine Kombination aus klaren Regeln und Technik. Das Herzstück sind feste Prozesse, die auch dem angeblichen Chef keine Ausnahme erlauben:
Vier-Augen-Prinzip
Zahlungen ab einem festgelegten Betrag werden immer von einer zweiten Person freigegeben. Keine Ausnahme – auch nicht auf „Anweisung von oben".
Rückruf auf bekanntem Weg
Bei jeder ungewöhnlichen Zahlungsanweisung oder Änderung einer Bankverbindung: über eine bereits bekannte Nummer zurückrufen – niemals über die Kontaktdaten aus der verdächtigen E-Mail.
Bankverbindungen verifizieren
Eine geänderte Kontonummer eines Lieferanten wird grundsätzlich telefonisch beim bekannten Ansprechpartner bestätigt, bevor gezahlt wird.
Klare Zahlungsprozesse
Feste, dokumentierte Abläufe für Freigaben nehmen den Druck aus der Situation – jeder weiß, was gilt, egal wie dringend es scheint.
Technische Absicherung
E-Mail-Schutzmechanismen (SPF, DKIM, DMARC) erschweren das Fälschen der Absenderadresse; eine Warnmarkierung für externe E-Mails hilft, den falschen Chef zu entlarven.
Mitarbeitende schulen
Alle, die mit Zahlungen zu tun haben, müssen die Masche kennen und wissen: Nachfragen ist ausdrücklich erwünscht, nicht peinlich.
Was tun, wenn es passiert ist?
Sollte eine Überweisung bereits rausgegangen sein, zählt jede Minute:
- Sofort die eigene Bank kontaktieren und versuchen, die Zahlung zu stoppen oder zurückzuholen
- Bei Auslandsüberweisungen auch die Empfängerbank informieren lassen
- Anzeige bei der Polizei erstatten
- Alle Beweise sichern: E-Mails, Header, Kontodaten, Kommunikationsverlauf
- Internen Vorfall prüfen: Wurde ein Postfach kompromittiert? Passwörter ändern, Zugänge prüfen
Fazit: Prozesse schlagen Bauchgefühl
CEO-Fraud und BEC sind keine technischen, sondern menschliche Angriffe – und genau deshalb so wirksam. Kein Virenscanner der Welt hält eine höfliche, dringende E-Mail auf, die zur Überweisung auffordert. Der Schutz liegt in einer Kultur des berechtigten Misstrauens und in festen Prozessen, die auch unter Druck greifen: Vier-Augen-Prinzip, Rückruf auf bekanntem Weg und die Verifizierung jeder Bankänderung. Wer diese Regeln fest verankert und seine Mitarbeitenden sensibilisiert, macht sein Unternehmen für diese Masche praktisch unangreifbar.