CEO-Fraud im Unternehmen: Wie ein gehacktes Postfach 90.000 Euro kostet

Freitagnachmittag, kurz vor Feierabend. In der Buchhaltung geht eine E-Mail des Geschäftsführers ein. Ein vertraulicher Zukauf, die Zahlung muss heute noch raus, bitte keine Rückfragen über die üblichen Kanäle, er sitze gerade in Verhandlungen. Absender, Signatur und Tonfall stimmen. Wer würde da zögern?

Genau so beginnt CEO-Fraud, auch Chef-Betrug oder Zahlungsumleitungsbetrug genannt. Es ist nach einer aktuellen Befragung unter kleinen und mittleren Unternehmen die häufigste erfolgreiche Angriffsart überhaupt: 45 Prozent der erfolgreichen Angriffe entfallen auf Finanzbetrug durch umgeleitete Zahlungen. Und das Tückische daran ist, dass dafür weder ein Virus noch eine verschlüsselte Festplatte nötig ist. Ein einziges übernommenes E-Mail-Postfach reicht.

Wir bei Oeconomia haben uns im Oktober in einer Fachschulung mit Schadenspezialisten und IT-Forensikern intensiv mit diesen Fällen beschäftigt. Dieser Beitrag zeigt Ihnen, wie die Masche funktioniert, warum selbst erfahrene Mitarbeiter darauf hereinfallen und wie Sie sich organisatorisch und versicherungsseitig schützen.

Wie funktioniert CEO-Fraud Schritt für Schritt?

Am Anfang steht fast immer ein Klick. Eine Führungskraft erhält eine täuschend echte E-Mail, etwa eine Aufforderung, sich wegen einer angeblichen Sicherheitsumstellung neu anzumelden. Der Link führt auf eine Kopie der bekannten Anmeldeseite. Wer dort sein Passwort eingibt, übergibt es direkt an die Täter.

Dann folgt die stille Phase. Die Angreifer loggen sich mit den echten Zugangsdaten ein und lesen mit, oft über Wochen. Sie sehen Kalender, Verträge, laufende Projekte und vor allem Zahlungsläufe. Sie lernen, wie der Chef schreibt, wann er auf Reisen ist und wer im Haus Überweisungen freigibt.

Erst danach schlagen sie zu. Entweder schreiben sie direkt aus dem echten Postfach an die Buchhaltung, oder sie manipulieren laufende Rechnungen und tauschen die Bankverbindung aus. Weil die Nachricht tatsächlich vom richtigen Konto kommt, schlägt kein Filter Alarm. Und weil die Täter den Zeitpunkt gezielt wählen, ist der echte Geschäftsführer oft gerade nicht erreichbar.

Warum fallen selbst erfahrene Mitarbeiter darauf herein?

Die Masche nutzt drei Mechanismen, die in jedem Menschen wirken. Der erste ist Autorität: Eine Anweisung von ganz oben hinterfragt man ungern. Der zweite ist Zeitdruck: Wer glaubt, dass ein wichtiges Geschäft an seiner Überweisung hängt, will nicht derjenige sein, der es aufhält. Der dritte ist Vertrautheit: Alles sieht so aus wie immer, also gibt es scheinbar keinen Grund für Misstrauen.

In unserer Beratung hören wir oft den Satz: „Das würde bei uns keiner machen.“ Die Fälle aus der Schadenpraxis zeigen etwas anderes. Es trifft nicht die Unaufmerksamen, sondern gerade die Zuverlässigen, die schnell und loyal handeln wollen.

Wenn Sie wissen möchten, ob Ihr Unternehmen gegen diese Masche abgesichert ist, schauen wir uns das gemeinsam an. Vereinbaren Sie hier einen kostenlosen Beratungstermin.

Ein Fall aus der Praxis: 90.000 Euro in die Schweiz

In der Fachschulung stellte ein Schadenregulierer einen anonymisierten Fall vor, der das Muster lehrbuchhaft zeigt. Eine Buchhalterin erhielt eine E-Mail ihres Geschäftsführers mit der dringenden Bitte, 90.000 Euro auf ein Konto in der Schweiz zu überweisen. Absender, Signatur und Schreibstil passten. Der Zeitdruck verhinderte die sonst übliche Rückfrage, sie überwies.

Aufgefallen ist der Betrug erst am nächsten Tag, ganz beiläufig auf dem Flur. Die Buchhalterin erwähnte, das Geld sei unterwegs, und der Geschäftsführer wusste von nichts. Die Untersuchung ergab, dass er einige Zeit vorher auf einen Link geklickt und seine Zugangsdaten auf einer gefälschten Seite eingegeben hatte. Die Täter hatten die Zahlungsanweisung direkt aus seinem echten Postfach verschickt.

Das Geld war weg. Nach Erfahrung der Schadenspezialisten gelingt es in solchen Fällen nur sehr selten, Überweisungen noch zurückzuholen, selbst wenn Bank und Polizei schnell eingeschaltet werden. Die Cyberversicherung des Unternehmens erstattete die 90.000 Euro, weil die Übernahme des Postfachs als Angriff auf die eigene IT galt. Hinzu kamen acht Sitzungen psychologischer Betreuung für die Mitarbeiterin, die schwer an dem Vorfall trug. Gesamtschaden: 91.200 Euro.

Welche Rolle spielt künstliche Intelligenz beim Chef-Betrug?

Früher verrieten sich solche E-Mails oft durch holpriges Deutsch oder eine merkwürdige Anrede. Diese Warnzeichen fallen zunehmend weg. Mit KI-Werkzeugen lassen sich Nachrichten fehlerfrei, im passenden Firmenjargon und zugeschnitten auf echte Anlässe formulieren.

Wie weit das gehen kann, zeigt ein international bekannt gewordener Fall beim Ingenieurkonzern Arup. Ein Mitarbeiter in Hongkong überwies nach mehreren Videokonferenzen rund 25 Millionen US-Dollar an Betrüger. Die vermeintlichen Kollegen und Vorgesetzten in den Konferenzen waren mit KI erzeugte Fälschungen. Was der Mitarbeiter als Bestätigung empfand, war Teil der Täuschung.

Wie schützen Sie Ihr Unternehmen organisatorisch?

Die wirksamste Maßnahme kostet kein Geld: eine feste Regel für Zahlungen. Jede Änderung einer Bankverbindung und jede ungewöhnlich eilige oder vertrauliche Überweisung wird telefonisch bestätigt, und zwar über eine Nummer, die Sie bereits kennen, niemals über eine Nummer aus der E-Mail. Ein kurzer Anruf hätte im Fall oben 90.000 Euro gespart.

Dazu gehört das Vier-Augen-Prinzip für Zahlungen ab einer festgelegten Grenze. Es muss ausdrücklich auch dann gelten, wenn die Anweisung vom Chef selbst kommt. Genau das sollten Geschäftsführer ihren Teams aktiv sagen, denn nur dann trauen sich Mitarbeiter im Ernstfall, nachzufragen.

Technisch ist die Anmeldung mit einem zweiten Faktor der wichtigste Schutz. Selbst wenn ein Passwort auf einer gefälschten Seite landet, kommen die Täter ohne den zweiten Faktor in aller Regel nicht ins Postfach. Ergänzend helfen regelmäßige Schulungen und simulierte Phishing-Mails, damit das Team die typischen Muster kennt.

Welche Versicherung zahlt bei CEO-Fraud?

Hier wird es entscheidend, und hier liegen die meisten Missverständnisse. Ob eine Versicherung zahlt, hängt davon ab, wo der Angriff stattgefunden hat.

Wurde wie im Beispiel Ihr eigenes System kompromittiert, etwa das Postfach Ihres Geschäftsführers, greift bei vielen Tarifen die Eigenschadendeckung der Cyberversicherung für Unternehmen. Wichtig ist, dass der Tarif solche betrügerisch veranlassten Zahlungen ausdrücklich einschließt, denn nicht jeder tut das.

Kommt die gefälschte Nachricht dagegen von einem gehackten Lieferanten oder von einem Täter, der sich nur als Ihr Chef ausgibt, ohne in Ihre Systeme eingedrungen zu sein, zahlt eine reine Cyberversicherung häufig nicht. Für diese Konstellation braucht es eine Vertrauensschadenversicherung. Den Unterschied und ein Urteil dazu erklären wir ausführlich im Beitrag Fake-Rechnung vom Lieferanten: Cyber- oder Vertrauensschadenversicherung?.

Häufige Fragen zu CEO-Fraud

Kann ich eine Überweisung nach CEO-Fraud zurückholen?
Nur, wenn Sie extrem schnell sind. Informieren Sie sofort Ihre Bank und bitten Sie um einen Rückruf der Zahlung. In der Praxis ist das Geld aber meist schon weitergeleitet, wenn der Betrug auffällt.

Haftet die Mitarbeiterin, die überwiesen hat?
Im Arbeitsverhältnis haften Mitarbeiter nur eingeschränkt, abhängig vom Grad des Verschuldens. Viel wichtiger ist, dass Betroffene nach einem solchen Vorfall Unterstützung bekommen. Manche Cyberversicherungen übernehmen dafür sogar psychologische Betreuung.

Muss ich CEO-Fraud der Polizei melden?
Ja, eine Anzeige ist sinnvoll und wird von Versicherern in der Regel erwartet. Wer eine Cyberversicherung hat, ruft aber zuerst deren Notfall-Hotline an, die das weitere Vorgehen koordiniert.

Zahlt die Betriebshaftpflicht bei CEO-Fraud?
Nein. Die Betriebshaftpflicht deckt Schäden, die Sie Dritten zufügen. Eigene Vermögensschäden durch Betrug sind dort nicht versichert.

Fazit: Ein Anruf ist billiger als jede Police

CEO-Fraud funktioniert, weil er menschliche Stärken ausnutzt: Loyalität, Tempo und Vertrauen. Deshalb ist die wichtigste Gegenmaßnahme eine klare Regel, die jeder im Unternehmen kennt und die ausdrücklich auch für Anweisungen der Geschäftsführung gilt. Für den Fall, dass trotzdem Geld abfließt, sollte die Absicherung sauber stehen, und zwar so, dass Angriffe auf die eigene IT ebenso erfasst sind wie Täuschungen von außen.

Als Versicherungsmakler sind wir an keine Gesellschaft gebunden und prüfen für Sie, ob Ihre Cyberversicherung Zahlungsbetrug wirklich abdeckt und ob eine Vertrauensschadenversicherung die verbleibende Lücke schließen sollte. Kostenlos und ohne Verpflichtung. Hier vereinbaren Sie Ihren Beratungstermin. Oder rufen Sie uns an unter 040 603 1081.