CEO-Fraud

CEO-Fraud ist eine Form des Social Engineering, bei der Betrüger vorgeben, die Geschäftsführung oder eine andere leitende Person im Unternehmen zu sein. Meist per E-Mail, teils auch per Telefon oder Messenger, wird unter Zeitdruck und mit Verweis auf Vertraulichkeit eine dringende Überweisung, die Herausgabe von Zugangsdaten oder die Weitergabe vertraulicher Unterlagen gefordert. Anders als klassisches Phishing, das breit gestreut Zugangsdaten möglichst vieler Empfänger abgreifen will, zielt CEO-Fraud sehr gezielt auf eine bestimmte Person im Betrieb, meist in der Buchhaltung oder im Büro.

In Handwerksbetrieben mit klaren, überschaubaren Hierarchien ist das Risiko real: Angreifer recherchieren Namen von Inhaber und Buchhaltung häufig öffentlich, etwa über die Firmenwebsite, das Impressum oder soziale Netzwerke, und geben sich dann als Chef aus, der angeblich gerade unterwegs oder in einem wichtigen Termin ist und eine schnelle Überweisung an einen neuen Lieferanten braucht. Die Buchhaltung oder ein Mitarbeiter mit Zahlungsvollmacht gerät so unter Druck, ohne die im Betrieb sonst übliche Rücksprache zu halten, weil die Nachricht scheinbar von der eigenen Führungsperson stammt.

Bezug zur Digitalisierung

Je mehr Informationen über Struktur, Ansprechpartner und Abläufe eines Betriebs öffentlich einsehbar sind, etwa auf der Website oder in Stellenanzeigen, desto leichter fällt Angreifern eine glaubwürdige Fälschung. Digitale Kommunikationswege wie E-Mail und Messenger erleichtern zudem gefälschte Absenderadressen, die auf den ersten Blick echt wirken und selbst aufmerksamen Mitarbeitenden nicht sofort auffallen.

Wirksamer Schutz liegt weniger in Technik als in Organisation: Ein klares Rollenkonzept mit definierten Freigabegrenzen für Überweisungen, etwa eine feste Regel für Rückrufe bei ungewöhnlichen Zahlungsanweisungen über einen bekannten, unabhängig recherchierten Kanal, entzieht dieser Masche die Grundlage. Ergänzend hilft eine wiederkehrende Sicherheitsunterweisung Mitarbeiter, damit Buchhaltung und Bürokräfte solche Anfragen erkennen und bewusst hinterfragen, statt aus Respekt vor der vermeintlichen Führungsperson vorschnell zu handeln.

Ein einfacher Grundsatz schützt in der Praxis viele Betriebe: Zahlungsanweisungen per E-Mail oder Chat werden grundsätzlich telefonisch über eine bekannte Nummer bestätigt, bevor Geld überwiesen wird, unabhängig davon, wie dringend die Nachricht klingt oder wie überzeugend sie formuliert ist. Diese kleine Hürde kostet im Alltag nur wenige Minuten, verhindert im Ernstfall aber einen finanziellen Schaden, der für einen kleineren Betrieb schnell erheblich sein kann und im Nachhinein kaum noch rückgängig zu machen ist.