CEO Fraud funktioniert nicht über Technik, sondern über Hierarchie und Zeitdruck. Genau deshalb greifen technische Schutzmaßnahmen allein zu kurz.
Bei CEO Fraud – auch Business E-Mail Compromise – erhält die Buchhaltung eine Zahlungsanweisung, die von der Geschäftsführung zu kommen scheint. Sie ist dringend, vertraulich und plausibel. Die Schwachstelle ist nicht die Technik, sondern die Erwartung, einer Weisung von oben ohne Rückfrage zu folgen.
Die Vorbereitung nutzt, was ohnehin zugänglich ist: Namensschema der E-Mail-Adressen, Zuständigkeiten aus dem Impressum, Handelsregisterdaten, Pressemeldungen zu Übernahmen sowie Abwesenheiten aus sozialen Netzwerken. Der Zeitpunkt wird bewusst gewählt – Freitagnachmittag, Ferienzeit, laufende Transaktionen.
Technisch reicht häufig eine ähnliche Domain oder ein manipuliertes Antwortfeld. In schwereren Fällen ist ein Postfach tatsächlich kompromittiert; dann wird in echte Konversationen hineingeschrieben, was die Erkennung erheblich erschwert.
Die meisten Schäden entstehen nicht, weil Regeln fehlen, sondern weil sie im Ausnahmefall umgangen werden können. Ein Vier-Augen-Prinzip, das bei Dringlichkeit entfällt, schützt genau dann nicht, wenn es gebraucht wird. Wirksam sind Regeln ohne Ausnahmetatbestand: Rückruf an eine hinterlegte Nummer bei jeder Änderung von Bankverbindungen, unabhängig von Betrag und Absender.
Für die Beurteilung eines Schadensfalls ist zusätzlich relevant, ob diese Prozesse dokumentiert waren. Sowohl bei Versicherungsdeckung als auch bei möglichen Ansprüchen kommt es darauf an, was intern vorgesehen war und ob es eingehalten wurde.
Zeitkritisch sind der Rückruf über die eigene Bank und die Information der Empfängerbank. Parallel sollten die E-Mail-Kopfzeilen im Original exportiert, die Zugriffe auf das betroffene Postfach geprüft und die interne Freigabekette dokumentiert werden. Je nach Sachverhalt kommen eine Strafanzeige, Auskunftsansprüche gegenüber Banken und die Prüfung von Versicherungsdeckung in Betracht.
Häufige Fragen
Die Antworten geben den allgemeinen Rahmen wieder. Was in Ihrem Fall gilt, hängt vom Sachverhalt ab.
Weiterlesen
BetrugsartenUnseriöse Anlageplattformen wirken heute professionell. Erkennbar sind sie meist nicht am Auftritt, sondern am Ablauf – besonders dann, wenn zum ersten Mal Geld ausgezahlt werden soll.
Beitrag lesen
BetrugsartenRechtschreibfehler und krude Anreden taugen längst nicht mehr als Erkennungsmerkmal. Was bleibt, sind der Anlass der Nachricht und der Weg, den sie Ihnen vorgibt.
Beitrag lesen
BetrugsartenDie Rechnung ist echt, die Leistung erbracht, der Betrag korrekt. Geändert wurde nur die IBAN – und genau deshalb fällt es oft erst Wochen später auf.
Beitrag lesenMandat anfragen
Schildern Sie uns den Sachverhalt. Wir prüfen die Ausgangslage, benennen mögliche Maßnahmen und sagen Ihnen offen, wie wir Aussichten und Risiken einschätzen – bevor Kosten entstehen.
