CEO-Fraud bringt Unternehmen in Gefahr

CEO-Fraud ist eine perfide Betrugsmasche, bei der sich Kriminelle als Führungspersonen eines Unternehmens ausgeben, um Mitarbeiter zu Geldüberweisungen zu verleiten. Immer wieder führt die Masche zu Erfolg.

Wir erklären, wie diese Angriffe funktionieren und welche Sicherheitsmaßnahmen Unternehmen ergreifen sollten, um sich effektiv zu schützen.

Cybercrime: Schäden in Milliardenhöhe

Cyberangriffe haben in den vergangenen Jahren massiv zugenommen und hinterlassen immer größere wirtschaftliche Schäden. Laut der Bitkom-Studie „Wirtschaftsschutz 2024“ summierte sich der Schaden für deutsche Unternehmen im Jahr 2023 auf erschreckende 267 Milliarden Euro – ein enormer Anstieg gegenüber den 206 Milliarden Euro im Vorjahr. Fast jedes Unternehmen ist dabei betroffen: 81 Prozent aller Firmen wurden Opfer von Datendiebstahl, Industriespionage oder Sabotage. Ein Drittel der Unternehmen fühlt sich als Folge daraus durch Cyberangriffe existenziell bedroht.

Vor allem digitale Angriffe werden immer raffinierter, wobei besonders häufig Ransomware, Phishing und Passwortdiebstahl als bewährte Methoden zum Einsatz kommen. Aber auch analoge Attacken wie der Diebstahl physischer Dokumente und das Abhören von Besprechungen haben deutlich zugenommen​. Cyberkriminalität wird also immer vielseitiger​.

Als besonders tückisch gilt auch der CEO-Fraud. Diese Betrugsmasche hat ein gewaltiges Schadenspotenzial und macht aufgrund der fast schon filmreifen Umsetzung immer wieder Schlagzeilen. Sie möchten mehr dazu erfahren, was CEO-Betrug ist? Dann lesen Sie weiter!

Was ist CEO-Fraud?

CEO-Fraud, auch bekannt als Business Email Compromise (BEC) oder auch als „Chef-Masche“, ist eine perfide Betrugsmasche, bei der sich Kriminelle als Geschäftsführer oder Vorstand eines Unternehmens (Chief Executive Officer = CEO) ausgeben. Es können aber auch andere Führungskräfte für solche Angriffe missbraucht werden. Ziel ist es, Mitarbeiter – häufig aus der Buchhaltung oder dem Finanzwesen – so zu täuschen und zu manipulieren, dass sie große Geldbeträge auf betrügerische Konten überweisen. Die Masche zielt somit auf die Befehlsstruktur innerhalb eines Unternehmens ab.

Diese Form des Angriffs ist eine Variante des sogenannten Social Engineerings, bei dem durch gezielte Täuschung menschliche Schwächen ausgenutzt werden. Die Täter gehen dabei äußerst geschickt vor. Sie sammeln öffentlich zugängliche Informationen über das Unternehmen, die Struktur und die Mitarbeiter, etwa aus sozialen Netzwerken oder der Unternehmenswebsite, um ihre E-Mails mit zahlreichen Details ausstatten zu können und den Eindruck zu erwecken, als käme der Auftrag direkt vom CEO. Um die Täuschung besonders glaubhaft zu gestalten, nutzen die Täter oft auch gefälschte E-Mail-Adressen, die auf den ersten Blick legitim erscheinen.

CEO-Betrug: So gehen die Angreifer vor

Die Kriminellen hinter einem CEO-Fraud-Angriff arbeiten äußerst systematisch und nutzen verschiedene Methoden, um ihr Ziel zu erreichen. Ihre Vorgehensweise lässt sich in mehreren Schritten zusammenfassen – hier unsere Übersicht:

• Informationsbeschaffung: Zunächst sammeln die Täter so viele Informationen wie möglich über das Unternehmen. Dazu gehören Details über die Geschäftsstruktur, Führungskräfte und Mitarbeiter, die in sozialen Netzwerken, in öffentlichen Datenbanken (zum Beispiel Handelsregister), in Wirtschafsberichten, in Werbebroschüren oder auf Unternehmenswebseiten zu finden sind. Besonders interessiert sind die Angreifer an E-Mail-Adressen, Geschäftspartnern und geplanten Investments​.
• Gefälschte Identität: Mit den gesammelten Informationen erstellen die Kriminellen gefälschte E-Mail-Adressen, die den echten Adressen der Führungskräfte täuschend ähnlich sehen. Häufig nutzen Unternehmen bei der E-Mail-Vergabe feste Schemata, die durch die Angreifer nur geringfügig abgeändert werden. Manchmal verwenden sie auch abgefangene oder kompromittierte E-Mail-Konten, um die Legitimität noch weiter zu erhöhen​.
• Kontaktaufnahme: Sobald genügend Informationen vorliegen, nehmen die Täter per E-Mail oder Telefon Kontakt mit Mitarbeitern auf, die für Zahlungsanweisungen zuständig sind. Häufig sind Buchhalter oder Angestellte in der Finanzabteilung die Zielperson​. Die Kriminellen erzeugen hierbei ein Gefühl der Dringlichkeit, indem sie behaupten, es handele sich um eine eilige, vertrauliche Transaktion, die schnell und unauffällig erledigt werden muss. Durch diesen psychischen Druck zögern die Mitarbeiter oft nicht lange und überweisen die angeforderten Gelder​​.
• Verschleierung: Die Überweisungen gehen in der Regel auf ausländische Konten, oft in Ländern wie China oder Russland, was die Rückverfolgung der Gelder erschwert und die Täter schwer fassbar macht​.

Durch die geschickte Kombination dieser Methoden gelingt es den Tätern oft, selbst erfahrene Mitarbeiter zu täuschen. Der Schaden, der dabei entsteht, kann für Unternehmen verheerend sein und im schlimmsten Fall die gesamte Existenz bedrohen. Zwei konkrete Beispiele aus der jüngeren Vergangenheit wollen wir kurz in den Blick nehmen.

Beispiel 1: fast Rekordsumme ergaunert

Im Juli 2024 wurde ein Unternehmen in Singapur zum Opfer eines CEO-Fraud-Angriffs und verlor dabei fast 42,3 Millionen US-Dollar. Die Kriminellen hatten in diesem Beispielfall eine gefälschte E-Mail im Namen eines vermeintlichen Zulieferers verschickt. Diese E-Mail sah täuschend echt aus: Die Absenderadresse enthielt zwar einen Buchstabendreher, dies fiel aber nicht so deutlich auf; auch der Inhalt der E-Mail wirkte aufgrund der gründlichen Recherchen legitim, sodass es zu der Überweisung der gewaltigen Summe kam. Das Unternehmen bemerkte den Betrug erst, als der echte Zulieferer vier Tage nach der Zahlung meldete, dass bei ihm kein Geld eingegangen war.

Glücklicherweise handelte das betroffene Unternehmen schnell und schaltete umgehend die Polizei in Singapur ein, die wiederum Interpol alarmierte. Dank der raschen Reaktion der Ermittlungsbehörden konnte ein Großteil der überwiesenen Summe – rund 39 Millionen US-Dollar – beschlagnahmt werden. Wenige Tage später wurden mehrere Verdächtige festgenommen und weitere 2 Millionen US-Dollar sichergestellt. Dieser Fall zeigt, dass schnelles Handeln und internationale Zusammenarbeit entscheidend sein können, um die finanziellen Verluste eines CEO-Frauds zu minimieren und die Betrüger zur Rechenschaft zu ziehen.

Beispiel 2: CEO-Fraud trifft auf Deepfake

Ebenfalls im Juli 2024 geriet auch Ferrari in das Visier von Cyberkriminellen: In diesem Fall reicherten die Angreifer ihre CEO-Fraud-Attacke mit Hilfe von KI an. Der raffinierte Angriff begann mit einer WhatsApp-Nachricht an einen Ferrari-Manager, die angeblich von CEO Benedetto Vigna selbst stammte. In der Nachricht ging es um eine vertrauliche Übernahme, die dringende finanzielle Transaktionen erforderlich machte. Der Betrüger nutzte dabei ein gefälschtes Profilbild und schickte schließlich eine KI-generierte Stimme, die Vignas süditalienischen Akzent täuschend echt nachahmte – diese Methode nennt sich im Fachjargon „Deepfake“.

Der Manager wurde glücklicherweise misstrauisch, als subtile Unstimmigkeiten in der Stimme auftauchten und die E-Mail-Adresse des vermeintlichen CEOs nicht stimmte. Durch eine geschickte Frage nach einer persönlichen Buchempfehlung, die der echte CEO kürzlich gegeben hatte, enttarnte der Manager den Betrug. Damit verlief dieser Angriff zwar ins Leere, nichtsdestotrotz verdeutlicht er, wie Cyberkriminelle zunehmend auf KI-gestützte Technologien setzen, um Unternehmen zu täuschen und hohe Geldbeträge zu erbeuten.

Diese Tipps schützen vor CEO-Fraud!

Unternehmen können sich durch gezielte Maßnahmen effektiv vor CEO-Fraud schützen. Diese Sicherheitsvorkehrungen helfen dabei, Betrugsversuche frühzeitig zu erkennen und zu verhindern. Hier sind unsere Tipps:

• Gehen Sie mit öffentlichen Informationen sorgsam um!
  Achten Sie darauf, welche Informationen über das Unternehmen und dessen Mitarbeiter öffentlich zugänglich sind. Insbesondere Angaben auf der Unternehmenswebsite, in sozialen Netzwerken oder in Werbematerialien können von Kriminellen für Betrugsversuche genutzt werden​.
• Sorgen Sie für klare Abwesenheitsregelungen!
  Stellen Sie sicher, dass Abwesenheitszeiten und Vertretungsregelungen im Unternehmen klar definiert sind. Dies verhindert, dass Kriminelle die Abwesenheit von Führungskräften ausnutzen, um unberechtigte Zahlungsanweisungen durchzusetzen​.
• Machen Sie sich Kontrollmechanismen zunutze!
  Finanztransaktionen sollten durch interne Kontrollmechanismen abgesichert sein. Bei ungewöhnlichen Zahlungsanweisungen ist es entscheidend, die E-Mail-Adressen genau zu prüfen und über Rückruf oder schriftliche Rückfragen die Echtheit der Zahlungsaufforderung zu verifizieren​.
• Sensibilisieren Sie Ihre Mitarbeiter!
  Sie sollten Ihre Mitarbeiter regelmäßig zu aktuellen Betrugsmaschen schulen und in diesem Zuge auch auf die Gefahr von CEO-Fraud hinweisen. Mitarbeiter sollten lernen, E-Mails sorgfältig zu überprüfen, insbesondere die Absenderadresse, um auch geringfügige Abweichungen zu erkennen. Auch bei ungewöhnlichen Anfragen gilt: Immer Rücksprache mit Vorgesetzten halten.
• Reagieren Sie im Ernstfall so schnell wie möglich!
  Sollte es Anzeichen für Betrug geben, wenden Sie sich unverzüglich an die Polizei oder das zuständige Landeskriminalamt. Ein schnelles Eingreifen kann oft größere finanzielle Verluste verhindern​ und dazu beitragen, dass den Tätern möglicherweise sogar das Handwerk gelegt werden kann.

Mit der Umsetzung dieser Tipps können Unternehmen das Risiko eines CEO-Fraud-Angriffs deutlich verringern. Aber: Die genannten Schutzmaßnahmen sind nur ein Auszug aller Möglichkeiten, mit denen Unternehmen Cybercrime begegnen.

IT-Dienstleister bewahren vor dem Chef-Trick!

Um sich effektiv gegen Cybercrime im Allgemeinen und dem gefährlichen Chef-Trick im Besonderen zu wappnen, können Unternehmen auf die Unterstützung spezialisierter IT-Dienstleister zählen. Die Experten aus dem IT-SERVICE.NETWORK bieten maßgeschneiderte Sicherheitslösungen, die gezielt auf die Abwehr von CEO-Fraud und anderen Cyberangriffen ausgerichtet sind. Durch die Implementierung moderner Sicherheitstechnologien und den Einsatz von fortschrittlichen Authentifizierungsmechanismen wird das Risiko solcher Betrugsversuche deutlich gesenkt.

Neben der technischen Absicherung ist die Sensibilisierung der Mitarbeiter entscheidend. IT-Dienstleister bieten daher auch Security-Awareness-Trainings an und schulen Ihre Belegschaft regelmäßig zu aktuellen Cyberbedrohungen. So können Unternehmen sicherstellen, dass ihre Mitarbeiter gut vorbereitet sind und auch komplexe Betrugsversuche wie CEO-Fraud schnell erkennen. Mit einem starken Partner an der Seite wird das Risiko von finanziellen Schäden durch den Chef-Trick minimiert und Ihr Unternehmen bleibt optimal geschützt!

---

Weiterführende Informationen:
Bundesamt für Verfassungsschutz, Polizei NRW, golem, SZ, it-daily, heise
Zur besseren Lesbarkeit verwenden wir im Text die männliche Form. Gemeint sind jedoch immer alle Geschlechter und Geschlechtsidentitäten.