CEO-Fraud und Chef-Imitation: wie Social Engineering auf Zahlungen zielt

CEO-Fraud ist eine Betrugsmasche, bei der sich Kriminelle als hochrangige Führungskraft ausgeben, meist als Geschäftsführer oder Finanzchef, und einen Mitarbeiter auffordern, eine Zahlung auszuführen, Geschenkkarten zu kaufen oder sensible Daten zu senden. Es ist eine Variante von Business Email Compromise (BEC) und funktioniert, weil sie sich die Autorität der Person an der Spitze leiht und Druck aufbaut: Eile, Geheimhaltung und ein plausibler Grund.

Das Internet Crime Complaint Center des FBI verzeichnete 2025 insgesamt 24.768 Beschwerden zu Business Email Compromise mit gemeldeten Verlusten von 3.046.598.558 $ (IC3 2025 Internet Crime Report). Derselbe Bericht hält fest, dass KI-Werkzeuge in kurzer Zeit offiziell klingende E-Mails erzeugen können, die den CEO eines Unternehmens imitieren, und dass Voice Cloning genutzt werden kann, um Überweisungen anzufordern.

Die Abwehr hängt weniger an Technik als an wenigen festen Regeln, unterstützt durch E-Mail-Einstellungen, die das Fälschen Ihrer Führungskräfte erschweren.

Wie ein typischer Versuch aussieht

Das Drehbuch ändert sich selten:

1. Der Vorwand. „Ich sitze mit den Anwälten wegen einer Übernahme zusammen. Bitte kümmern Sie sich heute um eine Überweisung und behalten Sie das vorerst für sich.“
2. Der Kanal. Eine E-Mail von einer Adresse, die richtig aussieht, eine SMS von einer unbekannten Nummer („mein neues Handy“) oder eine Sprachnachricht, die nach der Führungskraft klingt.
3. Der Druck. Fristen, Vertraulichkeit und die Andeutung, dass Rückfragen unerwünscht wären.
4. Die Zahlung. Eine Überweisung auf ein neues Konto, ein Stapel Geschenkkarten oder eine Anfrage nach Lohn- oder Steuerdaten.

Ziel ist meist jemand aus Finanzen, Buchhaltung oder Assistenz der Geschäftsführung, weil diese Personen Geld bewegen dürfen und gewohnt sind, Anweisungen der Leitung schnell umzusetzen.

Warum es funktioniert

Kriminelle studieren, was ein Angreifer von außen sehen kann: Namen und Funktionen von der Website und aus beruflichen Netzwerken, in sozialen Medien angekündigte Reisen, das Format Ihrer E-Mail-Adressen und wer wem berichtet. Damit muss eine Nachricht nur noch klingen wie der Chef an einem hektischen Tag.

3 technische Lücken machen es leichter:

• Ihre Domain lässt sich fälschen. Ohne durchgesetzte DMARC-Richtlinie kann eine Nachricht mit From: ceo@yourcompany.com im Posteingang landen, obwohl Ihre Server sie nie versendet haben. Siehe SPF, DKIM und DMARC erklärt.
• Es gibt eine ähnliche Domain. yourcornpany.com (mit „rn“ statt „m“) besteht die Authentifizierung, weil sie dem Kriminellen gehört. Mehr dazu in ähnliche Domains und Typosquatting.
• Anzeigenamen wird vertraut. Viele Mail-Apps zeigen nur „Jane Smith, CEO“ und verbergen die echte Adresse dahinter, besonders auf dem Smartphone.

Sprach- und Textnachrichten

Die Imitation beschränkt sich nicht mehr auf E-Mails. Im Mai 2025 warnte das FBI vor einer Kampagne, die mit SMS und KI-generierten Sprachnachrichten hochrangige US-Beamte imitierte, und riet, nicht davon auszugehen, dass eine solche Nachricht echt ist (FBI IC3 PSA I-051525-PSA). Dieselben Techniken funktionieren bei Führungskräften, deren Stimme aus Interviews, Webinaren oder Konferenzvorträgen bekannt ist.

Die praktische Folge: Eine vertraute Stimme am Telefon ist für sich allein kein Identitätsnachweis.

Regeln, die es stoppen

Halten Sie diese Regeln schriftlich fest und sorgen Sie dafür, dass jede Führungskraft sie offen mitträgt:

• Keine Zahlung und keine Bankdatenänderung wird über nur einen Kanal freigegeben. Eine Anfrage per E-Mail wird telefonisch bestätigt, eine telefonische Anfrage per Nachricht im internen Chat, immer über Kontaktdaten, die Sie bereits haben.
• Führungskräfte verlangen bei Zahlungen nie Geheimhaltung. Sagen Sie das laut in einer Teambesprechung. Sobald das Team weiß, dass der Geschäftsführer nie verlangt, den Prozess zu umgehen, wird der Satz „Behalten Sie das für sich“ zum Warnsignal.
• 2 Personen geben neue Zahlungsempfänger und hohe Überweisungen frei.
• Anfragen der Leitung nach Geschenkkarten werden immer abgelehnt.
• Wer innehält, um zu prüfen, bekommt Dank, nie Kritik, auch wenn sich die Anfrage als echt herausstellt.

E-Mail-Einstellungen, die Sie prüfen sollten

dig +short TXT _dmarc.yourcompany.com

1. Setzen Sie DMARC mit p=quarantine oder p=reject durch, damit gefälschte E-Mails von Ihrer eigenen Domain nicht zugestellt werden.
2. Aktivieren Sie in Ihrem Mailsystem die Kennzeichnung externer Absender, damit Nachrichten von außerhalb des Unternehmens klar markiert sind.
3. Aktivieren Sie den Schutz vor Imitation für die Namen Ihrer Führungskräfte, falls Ihre E-Mail-Sicherheitslösung das unterstützt.
4. Verlangen Sie Multi-Faktor-Authentifizierung für die Postfächer von Geschäftsführung und Finanzabteilung, denn ein tatsächlich kompromittiertes Postfach ist der überzeugendste Absender überhaupt.
5. Führen Sie eine Liste von Domains, die Ihrer ähneln, und prüfen Sie, welche davon MX-Einträge haben.

Wenn bereits jemand gezahlt hat

Kontaktieren Sie sofort Ihre Bank und beantragen Sie einen Rückruf der Überweisung, dann reichen Sie eine Beschwerde bei ic3.gov ein. Das FBI betont, dass Zeit entscheidend ist und das IC3 Finanzinstituten und Strafverfolgungsbehörden womöglich beim Sichern der Gelder helfen kann (IC3 PSA I-091124-PSA). Bewahren Sie die Originalnachrichten mit vollständigen Headern für die Ermittler auf.

Eine kurze Checkliste

• Prüfung über 2 Kanäle bei jeder Zahlung und jeder Änderung von Bankdaten.
• Eine klare Aussage der Leitung, dass Geheimhaltungswünsche ein Warnsignal sind.
• DMARC durchgesetzt, Kennzeichnung externer Absender aktiv.
• Multi-Faktor-Authentifizierung für Postfächer von Finanzabteilung und Führungskräften.
• Ähnliche Domains identifiziert und beobachtet.

Wie Datahorses hilft

Datahorses beobachtet Ihr Unternehmen von außen, so wie ein Angreifer es tun würde: neue Domains, die Ihrer ähneln, ob diese E-Mails versenden können, gefälschte Login-Seiten und Änderungen an Ihren SPF-, DKIM- und DMARC-Einträgen. Jeder Fund wird von einem Menschen geprüft, und Sie erhalten konkrete Schritte. Wie das funktioniert, sehen Sie unter was wir überwachen, oder Sie werfen einen Blick auf das Beispiel-Dashboard. Die verwandte Rechnungsmasche erklären wir in gefälschte Rechnungen im Namen Ihres Unternehmens.