Fachbereich · CEO Fraud
Eine Weisung „von ganz oben“, vertraulich und eilig – und niemand aus der Geschäftsführung hat sie geschrieben.
CEO Fraud nutzt nicht Technik, sondern Hierarchie. Eine Nachricht im Namen der Geschäftsführung kündigt eine vertrauliche Transaktion an, bittet um Diskretion gegenüber Kolleginnen und Kollegen und drängt auf eine sofortige Zahlung. Wer sie ausführt, hält sich für loyal. Bemerkt wird der Vorgang häufig erst beim nächsten regulären Kontakt – oft Tage später.
Erstkontakt
innerhalb von 24 Stunden
Hebel
Autorität, Zeitdruck und Vertraulichkeit
Rückholung
je nach Zahlungsweg fristgebunden
Aufarbeitung
Prozess prüfen, nicht Personen vorverurteilen
Soforthilfe
Was sofort zu veranlassen ist
Die ersten Stunden entscheiden über die Rückholung, die ersten Tage über die Qualität der Aufarbeitung. Beides sollte parallel und geordnet ablaufen.
Zahlung telefonisch zurückrufen lassen
Wenden Sie sich unverzüglich telefonisch an Ihre Bank und verlangen Sie ausdrücklich den Rückruf der Überweisung sowie die Einschaltung der Empfängerbank. Lassen Sie Datum und Uhrzeit der Meldung schriftlich bestätigen. Für Rückholverfahren gelten Fristen, die kurz sein können und sofort zu erfragen sind.
Alle offenen und terminierten Aufträge anhalten
Stoppen Sie weitere Zahlungen an dieselbe Verbindung und prüfen Sie, ob in denselben Tagen weitere Anweisungen eingegangen sind. In vielen Fällen bleibt es nicht bei einer Überweisung; die zweite folgt, während die erste noch geprüft wird.
Die Weisung über einen unabhängigen Kanal verifizieren
Rufen Sie die angeblich anweisende Person unter einer intern hinterlegten Nummer an – nicht unter der Nummer aus der Nachricht und nicht per Antwort auf die E-Mail. Nutzen Sie dafür eine Verbindung, die nicht über das möglicherweise kompromittierte Postfach läuft.
Nachricht und Freigabespuren vollständig sichern
Sichern Sie die Nachricht mit vollständigen Kopfzeilen, etwaige Sprachnachrichten, die Verbindungsdaten des Anrufs, den Zahlungsbeleg mit Referenz und die Protokolle des Freigabeprozesses. Löschen Sie nichts und geben Sie keine Endgeräte zur Neuinstallation, bevor sie gesichert sind.
Systeme auf Mitlesen prüfen
Lassen Sie Anmeldungen, Weiterleitungsregeln und Berechtigungen in den betroffenen Postfächern kontrollieren. Ist ein Zugriff erfolgt, wird auch die interne Abstimmung über die Reaktion mitgelesen; die Aufarbeitung sollte dann zunächst außerhalb der betroffenen Systeme organisiert werden.
Anzeige erstatten und die interne Kommunikation ordnen
Erstatten Sie Anzeige und legen Sie zugleich fest, wer intern informiert wird, wer mit Behörden und Bank spricht und wie mit den beteiligten Mitarbeitenden umgegangen wird. Schuldzuweisungen in dieser Phase erschweren die Aufklärung, weil sie die Bereitschaft zur vollständigen Schilderung senken.
Überblick
Warum diese Nachrichten funktionieren
Der Angriff beginnt mit Recherche. Aus Handelsregister, Website, Fachpresse und beruflichen Netzwerken lassen sich Vorstände, Prokuristen, Zeichnungsbefugnisse und die Namen in der Buchhaltung zusammentragen. Häufig kommt Wissen aus einem mitgelesenen Postfach hinzu: laufende Projekte, interne Anreden, der Umstand, dass die Geschäftsführung gerade auf Reisen ist. Die Nachricht, die dann eintrifft, passt in einen realen Kontext.
Inhaltlich folgt sie einem festen Aufbau: eine vertrauliche Angelegenheit – eine Beteiligung, eine Abfindung, ein Anwalts- oder Notaranderkonto –, die Bitte, ausnahmsweise vom üblichen Freigabeweg abzuweichen, und ein enger Zeitrahmen. Rückfragen werden im Voraus entwertet, indem Diskretion gegenüber allen anderen erbeten wird. Zunehmend werden Nachrichten durch einen Anruf oder eine Sprachnachricht gestützt, deren Stimme der bekannten ähnelt.
Die Zahlung geht typischerweise an ein Konto in einem anderen Land, oft im Namen einer Kanzlei oder einer Beteiligungsgesellschaft, und wird binnen kurzer Zeit weiterverteilt. Für das Unternehmen entstehen daraus drei Themen zugleich: die Rückholung, die Frage nach der Sicherheit der eigenen Systeme und die interne Aufarbeitung – die häufig unter erheblichem Druck auf einzelne Mitarbeitende geführt wird und deshalb sorgfältig geordnet werden sollte.
Erkennen
Woran eine gefälschte Weisung erkennbar ist
Die Merkmale sind auffällig konstant. Wer sie einmal benannt hat, erkennt den Aufbau auch dann, wenn die Nachricht sprachlich einwandfrei ist.
- Die Nachricht verlangt Vertraulichkeit gegenüber Kolleginnen, Kollegen oder Vorgesetzten und begründet das mit einer laufenden Transaktion.
- Der übliche Freigabeweg soll ausnahmsweise übersprungen werden, weil es angeblich eilt.
- Die Antwortadresse weicht von der bekannten ab oder ist auf eine externe Adresse umgeleitet.
- Die Zahlung soll an ein Konto in einem Land gehen, zu dem das Unternehmen keine Geschäftsbeziehung unterhält.
- Der angebliche Absender ist gerade nachweislich nicht erreichbar – auf Reisen, in einem Termin, im Ausland.
- Ein Anruf oder eine Sprachnachricht bestätigt die Anweisung, weicht Rückfragen aber aus und drängt auf Ausführung.
- Nach der ersten Zahlung folgt kurzfristig eine zweite, höhere Anweisung mit derselben Begründung.
Mögliche Maßnahmen
Mögliche Maßnahmen
Wir trennen die Rückholung, die technische Aufklärung und die haftungsrechtliche Aufarbeitung, weil sie unterschiedliche Fristen und unterschiedliche Adressaten haben.
Begleitung der Rückholung
Wir formulieren die Anfragen an die beteiligten Institute, wahren die Fristen und dokumentieren den Ablauf für die spätere Verwendung. Ein Auskunftsanspruch gegenüber dem Zahlungsdienstleister kann in Betracht kommen, um den Empfänger zu identifizieren.
Strukturierte Sachverhaltsaufnahme im Unternehmen
Wir nehmen den Ablauf mit den Beteiligten auf, ohne die Situation zu einem Disziplinarverfahren zu machen. Ziel ist eine belastbare Chronologie, die gegenüber Bank, Versicherer und Behörden verwendbar ist.
Prüfung der Verantwortlichkeit im Innenverhältnis
Ob eine Pflichtverletzung von Mitarbeitenden oder Organen vorliegt, hängt von den bestehenden Vorgaben, ihrer Kommunikation und dem konkreten Ablauf ab. Eine vorschnelle Festlegung schadet regelmäßig – auch weil sie Deckungsfragen gegenüber Versicherern präjudizieren kann.
Meldung an Versicherer und Aufsicht
Vertrauensschadens- und Cyber-Deckungen sehen kurze Anzeigefristen vor. Sind personenbezogene Daten oder aufsichtsrechtliche Pflichten berührt, kommt zusätzlich eine Meldung in Betracht. Wir prüfen beides und übernehmen die Korrespondenz.
Strafanzeige und Abstimmung mit den Ermittlungen
Wir bereiten den Zahlungsweg für die Ermittlungsbehörden auf. Da dieselben Strukturen mehrere Unternehmen ansprechen, kann eine Anknüpfung an laufende Verfahren möglich sein; ein Ergebnis folgt daraus nicht zwingend.
Nachschärfung der Freigabeprozesse
Sinnvoll ist häufig eine schriftliche Regel, die Ausnahmen vom Freigabeweg ausdrücklich ausschließt, eine Rückrufpflicht über hinterlegte Nummern und eine Betragsgrenze mit Vier-Augen-Prinzip. Wir formulieren solche Vorgaben auf Wunsch aus.
Aussichten
Was sich realistisch erreichen lässt
Ob die Zahlung ganz oder teilweise zurückgeführt werden kann, hängt davon ab, wohin sie geflossen ist und wer sie in diesem Moment hält. Wird der Vorgang am selben Tag bemerkt, ist gelegentlich noch ein Teilbetrag greifbar; nach Weiterleitung über mehrere Konten und Staaten ist das selten. Ein Ergebnis können wir nicht zusagen, und die Rückholung ist der Teil des Falls, der sich am schnellsten schließt.
Länger offen bleiben die anderen Ebenen: die Auseinandersetzung mit dem Versicherer, mögliche Ansprüche gegen Dienstleister, deren Pflichten verletzt wurden, und die Frage der Verantwortlichkeit im Innenverhältnis. Diese Themen entscheiden über den wirtschaftlichen Ausgang häufig stärker als der Rückruf, verlangen aber eine sorgfältige Dokumentation, die in den ersten Tagen angelegt werden muss.
Aus unserer Sicht ist der schwerwiegendste vermeidbare Fehler nach einem solchen Vorfall nicht die Zahlung selbst, sondern eine hastige interne Festlegung auf eine Schuldfrage, bevor der Ablauf geklärt ist. Die gemeinsamen Grundlagen zu Beweissicherung, Zahlungsverfolgung und Verfahrenswegen sind im Fachbereich Betrug & Scam dargestellt.
Häufige Fragen
Häufige Fragen zu CEO Fraud
Die Antworten beschreiben typische Konstellationen im Unternehmen. Was in Ihrem Fall gilt, hängt von den internen Vorgaben, vom Ablauf und vom technischen Befund ab.
Verwandte Fachbereiche
Häufig zusammen auftretende Muster
Betrugsfälle folgen selten genau einem Muster. Wenn Ihr Fall nur teilweise passt, hilft häufig ein Blick auf die benachbarten Fachbereiche.
Fake Invoice
Manipulierte Rechnungen und geänderte Bankverbindungen im Zahlungslauf – Rückholung, Haftungsfragen und Prozesssicherung.
Mehr erfahrenPhishing
Gefälschte Bank- und Behördennachrichten, die Zugangsdaten abgreifen – und was nach einer Freigabe zu tun ist.
Mehr erfahrenCybercrime
Datendiebstahl, Ransomware und Angriffe auf Unternehmensnetzwerke – Beweissicherung, Meldewege und mögliche Ansprüche.
Mehr erfahren
Weiterlesen
Passende Seiten
Mandat anfragen
Schildern Sie uns, was passiert ist.
Sie erhalten eine Einordnung, mögliche Maßnahmen und eine offene Einschätzung der Aussichten und Risiken – bevor Kosten entstehen. Je früher ein Sachverhalt geprüft wird, desto mehr Wege stehen in der Regel noch offen.
- Antwort in der Regel innerhalb von 24 Stunden
- Keine Kosten ohne Ihre ausdrückliche Freigabe
- Vertraulich und anwaltlich verschwiegen