Was ist CEO-Fraud?
Eine Nachricht vom Chef: Übernahme läuft, streng vertraulich, heute müssen 80.000 Euro raus. Würdest du zurückfragen? Genau auf dieses Zögern zielt CEO-Fraud.
Bei dieser Masche geben sich Täter als Geschäftsführung oder Finanzleitung aus. Sie bringen Beschäftigte dazu, Geld ins Ausland zu überweisen. Meist trifft es die Buchhaltung. Die Polizei rät deshalb auch kleineren Betrieben zur Vorsicht, denn das nötige Wissen liegt offen herum: im Handelsregister, auf der Website und in Social Media.
CEO-Fraud ist laut Europol eine Unterform des Business E-Mail Compromise, kurz BEC. Das ist der Oberbegriff für Betrug über gefälschte Geschäftskommunikation. Dazu gehören auch falsche Rechnungen, bei denen der Lieferant imitiert wird statt des Chefs.
So läuft die Masche ab
Das Muster ist immer ähnlich. Europol beschreibt es in vier Schritten:
- Kontakt: Jemand meldet sich als CEO oder Finanzchef, Absender und Rufnummer sind gefälscht.
- Auftrag: Eine dringende Überweisung, dazu absolute Vertraulichkeit. Der Vorwand ist eine Übernahme oder Steuerprüfung.
- Druck: Das normale Freigabeverfahren soll diesmal umgangen werden.
- Abfluss: Das Geld wandert über Konten in mehreren Ländern und ist schwer zurückzuholen.
Oft wechseln die Täter auch den Kanal und schreiben plötzlich über WhatsApp. Das ist ein Warnsignal. Genauso wie die Bitte, mit niemandem darüber zu sprechen.
Was ändert KI am CEO-Fraud?
KI schreibt fehlerfreie Mails im Ton deines Chefs und klont seine Stimme. Das BSI nennt die Stimmfälschung ausdrücklich als Weg für CEO-Fraud. Für hohe Qualität brauchen Täter laut BSI mehrere Stunden Audio, mit vortrainierten Hilfsdaten wenige Minuten. Ein paar öffentliche Videos reichen also oft.
Europol sieht in seinem Lagebericht 2026 durch generative KI mehr Realismus bei diesen Betrugsformen. Trotzdem bitte nicht übertreiben: Das FBI meldet für 2025 in den USA rund 3,05 Mrd. Dollar Schaden durch BEC. Davon hatten nur rund 30 Mio. Dollar einen gemeldeten KI-Bezug, also etwa 1 %. Die Dunkelziffer ist unbekannt, aber der klassische Trick mit der gefälschten Mail bleibt das Hauptproblem.
Echte Fälle
Drei Zahlen zeigen die Spanne, von teuer bis abgewehrt:
Fall
Ergebnis
Französische Firma, 2021
Fast 38 Mio. € in wenigen Tagen weg
Deepfake-Audio
Gegenwert von 35 Mio. € erbeutet
Ferrari, 2024
Kein Schaden dank einer Kontrollfrage
Die ersten beiden Fälle nennt Europol. Der dritte ist der lehrreichste: Eine Führungskraft bei Ferrari bekam WhatsApp-Nachrichten und einen Anruf mit der gefälschten Stimme von CEO Benedetto Vigna. Der Klang passte, doch etwas fühlte sich falsch an. Also fragte der Manager nach dem Buch, das Vigna ihm kürzlich empfohlen hatte. Der Anruf brach sofort ab, berichtete Bloomberg.
Das ist die ganze Kunst: Eine Frage, die nur der Echte beantworten kann.
Häufige Fehler
Fehler 1 · Dem eigenen Ohr vertrauen
„Ich kenne doch die Stimme.“ Eben das ist nicht mehr genug. Eine vertraute Stimme ist kein Freigabeverfahren.
Fehler 2 · Vertraulichkeit akzeptieren
Die Schweigepflicht ist das wichtigste Argument der Täter. Sie schneidet dich von jeder Gegenprüfung ab. Keine Überweisung ist so geheim, dass sie niemand gegenzeichnen darf.
Fehler 3 · Über die genannte Nummer zurückrufen
Die Nummer in der Nachricht gehört den Tätern. Ruf nur über die Nummer zurück, die bei dir längst gespeichert ist.
Fehler 4 · Sich für zu klein halten
In der Bitkom-Studie 2025 meldeten 4 % der befragten Unternehmen Schäden durch Deepfakes. 21 % erlebten häufig Versuche von Social Engineering, also Täuschung von Menschen statt Technik. 28 % erlebten sie vereinzelt. Das trifft den Alltag, nicht nur Konzerne.
So schützt du dein Unternehmen
Technik hilft, aber der Schutz sitzt im Ablauf. Doppelt genäht hält besser. Polizei und FBI raten zu genau diesen Punkten:
- Vier-Augen-Prinzip: Ungewöhnliche Zahlungen gibt immer eine zweite Person frei, auch im Online-Banking.
- Rückruf-Regel: Prüfe jede Anweisung über einen zweiten, bekannten Kanal.
- Kontrollfrage oder Code: Vereinbart intern etwas, das nie öffentlich war.
- Kontoänderungen prüfen: Neue Bankdaten von Lieferanten nie allein per Mail übernehmen.
- Schulung: Sag allen klar, dass Nachfragen beim Chef nie ein Fehler ist.
- Weniger Interna: Zuständigkeiten und Reisepläne müssen nicht öffentlich sein.
Häufige Fragen
Was tun, wenn das Geld schon überwiesen ist?
Ruf sofort deine Bank an und verlange den Rückruf der Überweisung. Jede Stunde zählt, denn das Geld wandert schnell weiter. Erstatte danach Anzeige bei der Polizei oder dem Landeskriminalamt und sichere alle Nachrichten.
Wie erkenne ich einen falschen Anruf vom Chef?
Am sichersten gar nicht am Klang. Achte auf Eile, Geheimhaltung und einen neuen Kanal. Stell eine Frage, die nur der Echte kennt, und ruf über die gespeicherte Nummer zurück.
Ist CEO-Fraud das Gleiche wie Phishing?
Nein. Phishing zielt meist auf Zugangsdaten. CEO-Fraud zielt direkt auf eine Überweisung und setzt auf die Autorität des Chefs. Eine gezielte Phishing-Mail kann aber die Vorstufe sein, um an Interna zu kommen.
Wie viele Stimmproben braucht ein Täter?
Laut BSI gibt es für hohe Qualität mehrere Stunden Audio, mit Hilfsdaten wenige Minuten. Wenige Sekunden gehen nur mit Qualitätsverlust. Interviews oder Webinare liefern das oft frei Haus.
Haften Beschäftigte für den Schaden?
Das hängt vom Einzelfall ab und ist eine Frage für den Anwalt. Sicher ist: Klare Abläufe schützen auch die Person an der Überweisung, denn sie muss dann nichts allein entscheiden.
