Was ist CEO-Fraud?

Kurz erklärt

CEO-Fraud ist ein Betrug, bei dem sich Täter als Geschäftsführung oder Vorgesetzte ausgeben, um Mitarbeitende zu dringenden, vertraulichen Überweisungen zu bewegen. Die Masche wird auch „Fake President“ oder Business E-Mail Compromise genannt. Sie richtet sich längst nicht nur an Konzerne, sondern auch an kleine Unternehmen mit überschaubaren Freigabeprozessen.

Wie funktioniert CEO-Fraud?

CEO-Fraud ist eine gezielte Form des Social Engineering. Die Täter recherchieren vorab, wer im Unternehmen Zahlungen durchführt, wie die Geschäftsführung schreibt und wann sie schwer erreichbar ist, etwa auf einer Messe oder auf Urlaub. Dann kommt eine Nachricht, die drei Merkmale vereint: Autorität, Dringlichkeit und Geheimhaltung. Oft ist von einer vertraulichen Firmenübernahme, einer offenen Steuernachzahlung oder einem wichtigen Lieferanten die Rede.

Technisch gibt es mehrere Wege:

• Gefälschter Absender: Die E-Mail zeigt den Namen der Geschäftsführung, kommt aber von einer fremden Adresse.
• Verwechselbare Domain: Statt „firma.at“ wird „flrma.at“ oder „firma-gmbh.at“ verwendet.
• Übernommenes Postfach: Nach einem erfolgreichen Phishing-Angriff schreiben die Täter direkt aus dem echten Konto.
• Anruf zur Bestätigung: Ergänzend ruft ein angeblicher Anwalt oder die Chefin selbst an, um den Druck zu erhöhen.

Eine eng verwandte Variante ist der Rechnungs- oder Lieferantenbetrug: Ein vermeintlicher Geschäftspartner teilt mit, dass sich seine Bankverbindung geändert hat, und offene Rechnungen landen auf dem Konto der Betrüger.

Ein typisches Beispiel aus dem KMU-Alltag

Die Büroleiterin eines Onlineshops für Sportartikel erhält am Freitagnachmittag eine E-Mail mit dem Namen des Geschäftsführers, der gerade auf einer Fachmesse ist. Er schreibt knapp: Man stehe kurz vor der Übernahme eines Mitbewerbers, die Anzahlung müsse heute noch raus, und bis zur Unterzeichnung dürfe niemand davon erfahren. Kontakt bitte nur per E-Mail, er sitze in Besprechungen. Die IBAN führt zu einer Bank im Ausland. Die Absenderadresse unterscheidet sich nur durch einen Buchstaben von der echten Firmendomain.

Woran Sie CEO-Fraud erkennen

• Ungewöhnliche Zahlungsanweisung außerhalb der üblichen Abläufe
• Betonte Vertraulichkeit und die Bitte, niemanden einzubinden
• Zeitdruck, oft kurz vor Wochenende oder Feiertagen
• Kontaktaufnahme nur über einen Kanal erwünscht, Rückrufe werden abgewehrt
• Neue oder ausländische Bankverbindung, leicht abweichende Absenderadresse

So schützen Sie Ihr Unternehmen

• Feste Freigaberegeln: Überweisungen ab einem bestimmten Betrag nur mit zweiter Unterschrift.
• Rückruf bei Kontoänderungen: Neue Bankdaten von Lieferanten immer telefonisch über eine bekannte Nummer bestätigen.
• Ausdrückliche Erlaubnis zum Nachfragen: Die Geschäftsführung stellt klar, dass Rückfragen immer erwünscht sind.
• Domain absichern: DMARC verhindert, dass Ihre exakte Absenderadresse gefälscht wird.
• Postfächer schützen: Zwei-Faktor-Authentifizierung erschwert die Übernahme echter Konten.
• Externe E-Mails kennzeichnen: Ein Hinweis „Externer Absender“ im Mailprogramm macht Fälschungen sichtbarer.

Was tun im Ernstfall?

1. Rufen Sie sofort Ihre Bank an. Je schneller Sie reagieren, desto eher lässt sich eine Überweisung noch stoppen oder zurückholen.
2. Erstatten Sie Anzeige bei der Polizei, etwa über against-cybercrime@bmi.gv.at, und sichern Sie alle E-Mails samt Kopfzeilen.
3. Prüfen Sie, ob ein echtes Postfach übernommen wurde, und ändern Sie die Passwörter.
4. Informieren Sie gegebenenfalls Ihre Cyberversicherung.

Xcubitor wird künftig verdächtige Anmeldungen in Microsoft-365- und Google-Konten erkennen und Sie per WhatsApp warnen, damit ein übernommenes Postfach möglichst früh auffällt.