CEO-Fraud (BEC): So schützt man sich davor

Die häufigsten Varianten

Über das klassische Szenario der dringenden Überweisung hinaus haben sich mehrere Varianten entwickelt:

• Die gefälschte Lieferantenrechnung — der Angreifer gibt sich als gewohnter Lieferant aus und teilt eine Änderung der Bankverbindung mit, wodurch er künftige legitime Zahlungen umleitet.
• Die Anforderung sensibler Daten — statt einer Überweisung verlangt die E-Mail vertrauliche Informationen (Gehaltsabrechnungen, Steuerdaten von Mitarbeitern), die anschließend für weitere Betrügereien ausgenutzt werden.
• Der HR-Notfall — eine E-Mail, die scheinbar von einer Führungskraft kommt und die Personalabteilung bittet, diskret die Bankverbindung für die Gehaltsüberweisung eines „Mitarbeiters" zu ändern — in Wahrheit die des Angreifers.

Jede Variante greift auf dasselbe psychologische Fundament zurück — Dringlichkeit, Vertraulichkeit, Autorität — angewandt auf einen anderen Kontext. Das erklärt, warum die wirksamste Schulung lehrt, dieses Fundament zu erkennen, statt eine starre Liste von Szenarien auswendig zu lernen.

Die technischen Abwehrmaßnahmen

DMARC in einer durchsetzenden Policy (p=quarantine oder p=reject) eliminiert die direkteste Variante: die E-Mail, die exakt die Domain des imitierten Unternehmens verwendet. Wenn der Angriff auf einem gefälschten From: geschaeftsleitung@beispiel-unternehmen.de beruht, blockiert DMARC die Nachricht, bevor sie das Opfer erreicht. Das ist eine strukturelle Abwehr, nicht bloß individuelle Wachsamkeit — siehe sich vor E-Mail-Spoofing schützen für den vollständigen Stack technischer Abwehrmaßnahmen.

Aber DMARC deckt weder ähnlich aussehende Domains noch kompromittierte Konten ab — die beiden anderen häufigen Vektoren von CEO-Fraud. Deshalb reichen technische Abwehrmaßnahmen allein gegen diesen speziellen Angriff nie vollständig aus; sie verkleinern die Angriffsfläche, ohne sie vollständig zu beseitigen, was die weiter unten beschriebenen organisatorischen Abwehrmaßnahmen ebenso unverzichtbar macht.

Die organisatorischen Abwehrmaßnahmen

Hier entscheidet sich das Wesentliche des Schutzes gegen die Varianten, die DMARC nicht abdeckt:

• Die systematische Überprüfung über einen zweiten Kanal. Jede ungewöhnliche Überweisungsanfrage oder Änderung der Bankverbindung muss über einen anderen Kanal bestätigt werden als den, über den die Anfrage kam — ein Telefonanruf an eine vorab bekannte Nummer, niemals die in der verdächtigen E-Mail selbst angegebene.
• Die Schwelle zur Doppelfreigabe. Ab einem bestimmten Betrag sollte keine Überweisung von einer einzelnen Person ausgeführt werden können, egal wie groß der ausgeübte Druck ist.
• Die gezielte Schulung der Finanz- und Verwaltungsteams zu den genauen Warnsignalen: künstliche Dringlichkeit, Bitte um Vertraulichkeit, plötzliche Änderung der Bankverbindung, ungewöhnliche Stilfehler bei einem sonst sorgfältigen Absender oder die ausdrückliche Aufforderung, ein bestehendes Freigabeverfahren zu umgehen.
• Eine Kultur, die Überprüfung wertschätzt, statt einer Kultur, in der eine Rückfrage an eine Führungskraft als Vertrauensbruch wahrgenommen wird. Das ist oft die am schwersten umzusetzende Veränderung, weil sie die Führungskultur der Organisation berührt, aber auch die auf Dauer entscheidendste.

Die tatsächlichen Kosten eines erfolgreichen Betrugs

Die Summen, um die es geht, rechtfertigen die Investition in diese Abwehrmaßnahmen bei Weitem. Ein erfolgreicher CEO-Fraud kostet einen Mittelständler häufig Zehntausende Euro und kann bei einem Großunternehmen weit höhere Beträge erreichen — einige öffentlich gewordene Fälle überstiegen mehrere Millionen. Über den direkten finanziellen Verlust hinaus kommen die Kosten der Ermittlung hinzu, die Auswirkung auf das interne Vertrauen (der Mitarbeiter, der die Überweisung ausgeführt hat, trägt oft eine unverhältnismäßige psychische Last) und mitunter rechtliche Folgen, wenn Sorgfaltspflichten nicht eingehalten wurden — insbesondere gegenüber Versicherern, die für die Deckung dieser Art von Schaden oft den Nachweis angemessener Kontrollverfahren verlangen.

Ein typischer Fall, zerlegt

Um diese Prinzipien zu verankern, hier wie ein typischer Fall in einem mittelgroßen Unternehmen abläuft. An einem Freitagnachmittag erhält die Buchhaltung eine E-Mail, unterzeichnet mit dem Namen des Finanzchefs, der gerade auf Geschäftsreise ist (eine Information, die einige Tage zuvor auf LinkedIn abgegriffen wurde). Die Nachricht erklärt, dass gerade eine vertrauliche Übernahme abgeschlossen wird und dass eine Überweisung über 45.000 € vor Börsenschluss auf ein in der Nachricht angegebenes Konto raus muss. Der Ton ist professionell, greift Formulierungen auf, die der echte Finanzchef gewöhnlich verwendet, und die Absenderadresse ähnelt der echten genug, um bei flüchtigem Lesen nicht aufzufallen — ein ersetztes Zeichen, auf den meisten Bildschirmen unsichtbar.

Die Buchhalterin, die gewohnt ist, Anfragen ihrer Vorgesetzten ohne Hinterfragen zu bearbeiten, bereitet die Überweisung vor. Ein Detail lässt sie dennoch zögern: Diese Art von Vorgang läuft normalerweise über eine Freigabe mit zwei Unterschriften — ein Verfahren, das die E-Mail ausdrücklich zu umgehen bittet, „um schneller zu sein, ausnahmsweise". Genau dieses Umgehen des Verfahrens — präsentiert als eine durch die Dringlichkeit gerechtfertigte Ausnahme — ist das zuverlässigste Warnsignal in einem solchen Szenario. Eine klare, dem gesamten Team bekannte Richtlinie, die besagt, dass niemals eine Verfahrensausnahme per E-Mail akzeptiert wird, hätte diesen Versuch gestoppt, noch bevor überhaupt die Absenderadresse geprüft wurde.

In diesem Beispiel hätte ein einfacher Anruf beim Finanzchef auf seiner gewohnten Nummer — nicht der in der E-Mail angegebenen — die Unstimmigkeit in weniger als einer Minute aufgedeckt. Genau dieser einfache und schnelle Prüfschritt fehlt am häufigsten in den betroffenen Organisationen — nicht aus individueller Nachlässigkeit, sondern weil kein Verfahren ihn systematisch vorschreibt.

Was tun, wenn ein Unternehmen zum Opfer wird

Wenn gerade ein CEO-Fraud entdeckt wurde, zählt die Handlungsschnelligkeit enorm:

1. Sofort die überweisende Bank kontaktieren, um einen Rückruf der Überweisung zu versuchen — die Erfolgschancen sinken drastisch mit der Zeit, oft innerhalb weniger Stunden, bevor die Gelder endgültig außer Reichweite sind.
2. Zügig Anzeige erstatten, was mitunter Verfahren internationaler Zusammenarbeit zwischen Banken auslöst.
3. Den Vorfall detailliert dokumentieren (E-Mails, Zeitstempel, Beträge) für die Ermittlung und etwaige Versicherungsschritte.
4. Die Schwachstelle analysieren, die den Angriff ermöglicht hat — welche Domain wurde imitiert, über welchen Kanal, welches interne Verfahren wurde umgangen — um sie zu beheben, bevor sie sich in leicht abgewandelter Form wiederholt.

Warum die Schulung allein nicht reicht

Viele Organisationen begegnen dem CEO-Fraud mit einer jährlichen Sensibilisierungskampagne und halten das Thema damit für abgehakt. Das ist ein Irrtum. Eine Schulung, die einmal im Jahr stattfindet, verblasst innerhalb weniger Wochen, und der Angreifer wählt seinen Moment gerade dann, wenn die Aufmerksamkeit am geringsten ist — am späten Freitagnachmittag, während einer Urlaubsphase, kurz vor einem Quartalsabschluss. Wirksam wird die Abwehr erst, wenn sie nicht mehr vom individuellen Erinnerungsvermögen abhängt, sondern in einem Verfahren verankert ist, das auch ein müder oder unter Druck stehender Mitarbeiter mechanisch befolgt. Eine gute Faustregel: Wenn die einzige Barriere zwischen dem Angreifer und der Überweisung die Wachsamkeit einer einzelnen Person in einem stressigen Moment ist, ist die Barriere zu dünn. Die Verfahren — zweiter Kanal, Doppelfreigabe, keine Ausnahme per E-Mail — sind es, die halten, wenn die Wachsamkeit versagt. Die Schulung erklärt, warum diese Verfahren existieren; die Verfahren selbst sind es, die den Angriff stoppen.

Ein weiterer oft übersehener Punkt: Der Angreifer testet manchmal zuerst mit einer harmlosen Nachricht („Kurz erreichbar?"), um zu prüfen, ob das Konto reagiert und ob das Opfer ansprechbar ist, bevor er die eigentliche Überweisungsanfrage schickt. Diese Vorabkontaktnahme ist selbst ein Warnsignal, wenn sie von einer unerwarteten oder leicht abweichenden Adresse kommt. Ein Team, das gelernt hat, jede ungewöhnliche Kontaktaufnahme von einer Führungskraft über einen zweiten Kanal gegenzuprüfen, entwaffnet den Angriff schon in dieser Aufklärungsphase, lange bevor Geld ins Spiel kommt.

Zusammengefasst

CEO-Fraud gedeiht auf hierarchischem Vertrauen und künstlicher Dringlichkeit, nicht auf technischer Raffinesse. Die wirksamste Abwehr kombiniert zwei Schichten: DMARC in Durchsetzung, um die direkte Imitation der Domain zu eliminieren, und rigorose organisatorische Verfahren — Überprüfung über einen zweiten Kanal, Doppelfreigabe, gezielte Schulung — um das abzudecken, was die Technik allein nicht erreichen kann.

Ob eine Domain der direktesten Form dieses Betrugs ausgesetzt ist, klärt eine Eingabe in den kostenlosen DMARC-Analyzer. Das ist die erste Verteidigungslinie, kostenlos und schnell umgesetzt, noch vor der Überarbeitung der internen Verfahren — beide Baustellen verstärken sich gegenseitig, aber diese eine kostet nichts und lässt sich heute beginnen.