CEO-Fraud

Was ist CEO-Fraud?

Beim CEO-Fraud geben sich Betrüger laut Polizeilicher Kriminalprävention (ProPK) als Führungskräfte aus, etwa als Geschäftsführer oder Vorstand. Sie schreiben gezielt Mitarbeitende an, meist in der Finanzabteilung, und wollen eine Überweisung auslösen. Im deutschsprachigen Raum heißt die Masche auch Fake President oder „Chef-Masche“.

Die Täter brauchen dafür keinen Zugang zu Ihren Systemen. Sie nutzen Autorität, Zeitdruck und Vertraulichkeit, also menschliche Reaktionen, die in jedem Unternehmen vorkommen. Deshalb gehört CEO-Fraud zum Social Engineering, bei dem Menschen manipuliert werden.

International läuft die Masche unter dem Oberbegriff Business E-Mail Compromise (BEC). Das FBI zählte 2025 in seinem Internet-Crime-Bericht 24.768 BEC-Beschwerden mit gemeldeten Verlusten von rund 3,05 Milliarden US-Dollar. Für Deutschland veröffentlicht das BKA im Bundeslagebild Cybercrime keine eigene Fallzahl zum CEO-Fraud.

Wie läuft ein CEO-Fraud ab?

Die Fälle unterscheiden sich im Detail. Aus den Beschreibungen von Polizei, BSI und Europol ergibt sich ein Muster in vier Schritten.

1. Ausspähen

   Die Täter sammeln öffentliche Angaben über Geschäftsführung, Zuständigkeiten und Abläufe. Das BSI nennt Unternehmenswebsite und soziale Medien als Grundlage für personalisierte Angriffe.

2. Kontakt als Chef

   Eine Mail, ein Anruf oder eine Einladung zur Videokonferenz kommt scheinbar von der Geschäftsführung. Die Absenderadresse weicht oft nur um ein Zeichen ab, etwa ein „m“ statt „rn“.

3. Druck und Geheimhaltung

   Es geht um dringende Firmenangelegenheiten oder eine streng vertrauliche Rechnung. Niemand soll davon erfahren, und die Zahlung muss sofort raus.

4. Überweisung ins Ausland

   Die Zahlung geht auf ein Konto, das die Täter kontrollieren, oft im Ausland. Bemerkt das Unternehmen den Betrug nicht schnell, ist das Geld meist verloren.

Welche Varianten gibt es?

Das Landeskriminalamt Baden-Württemberg beschreibt neben dem falschen Geschäftsführer weitere Formen des E-Mail-Betrugs, die nach demselben Prinzip funktionieren. Für die Abwehr lohnt es sich, alle zu kennen, weil sie unterschiedliche Abteilungen treffen.

CEO-Fraud Beispiele: dokumentierte Fälle

Arup, Hongkong 2024: Ein Mitarbeiter der Finanzabteilung im Hongkonger Büro des britischen Ingenieurkonzerns erhielt eine Nachricht, angeblich vom Finanzvorstand in Großbritannien, über eine geheime Transaktion. Er hielt sie zunächst für Phishing. Nach einer Videokonferenz, in der laut Hongkonger Polizei alle anderen Teilnehmer Deepfakes waren, überwies er insgesamt 200 Millionen Hongkong-Dollar, rund 25,6 Millionen US-Dollar. Arup bestätigte im Mai 2024 gegenüber CNN, dass gefälschte Stimmen und Bilder eingesetzt wurden.

Der Fall zeigt, was ein Videocall heute als Beweis taugt: wenig. Der Mitarbeiter hatte den richtigen Verdacht, ließ sich aber von bekannten Gesichtern und Stimmen beruhigen. Aufgefallen ist der Betrug erst, als er bei der Konzernzentrale nachfragte. Wie solche Fälschungen entstehen und woran man sie erkennt, beschreibt die Seite Deepfakes erkennen.

Leoni, Deutschland 2016: Der Nürnberger Autozulieferer meldete im August 2016 einen Abfluss von rund 40 Millionen Euro. Laut Unternehmen nutzten die Täter gefälschte Dokumente und Identitäten sowie elektronische Kommunikationswege, die IT-Systeme waren nicht betroffen. Leoni senkte daraufhin seine Gewinnprognose von 105 auf 65 Millionen Euro. Die Presse ordnete den Fall als Chef-Masche ein, das Unternehmen selbst bestätigte die genaue Methode nicht.

Was ändert KI am CEO-Fraud?

Früher scheiterten viele Versuche an holprigem Deutsch. Das BSI schreibt bereits 2024, dass Sprachmodelle auch ohne Fremdsprachenkenntnisse überzeugende, personalisierte Nachrichten erzeugen und die Prüfung auf Rechtschreibfehler deshalb nicht mehr ausreicht. Im Juni 2026 warnt es zusätzlich vor Angriffen mit Deepfake-Video in Online-Meetings und gefälschten Stimmen am Telefon, die schwer zu erkennen sind.

Europol stellt im Lagebericht IOCTA 2026 fest, dass generative KI Business E-Mail Compromise und CEO-Fraud realistischer macht. Das FBI meldet für 2025 BEC-Verluste von über 30 Millionen US-Dollar in Fällen mit KI-Bezug und nennt das Klonen von Stimmen ausdrücklich als Werkzeug. Wie Täter eine Stimme aus wenigen Aufnahmen nachbauen, erklärt die Seite Voice Cloning.

In der KI-Sicherheitsstudie 2026 von TÜV-Verband und BSI berichteten 17 Prozent der über 500 befragten Unternehmen von KI-bezogenen Angriffen oder Betrugsversuchen in den letzten zwölf Monaten. Davon nannten 11 Prozent Deepfakes, die Studie führt gefälschte Stimmen von Führungskräften für Überweisungsbetrug als Beispiel an.

Ein bekanntes Gesicht im Video und eine vertraute Stimme am Telefon belegen keine Identität mehr. Prüfen Sie Zahlungsanweisungen immer über einen zweiten, von Ihnen gewählten Kanal.

Woran erkennen Mitarbeitende einen CEO-Fraud?

Die Polizei nennt typische Warnzeichen. Schon eines davon reicht, um die Zahlung anzuhalten und nachzufragen:

• Zeitdruck: Die Zahlung muss heute raus, Rückfragen kosten angeblich den Deal.
• Geheimhaltung: Kollegen, Vorgesetzte oder die Bank sollen nichts erfahren.
• Ein ungewohnter Weg: Der Chef meldet sich etwa plötzlich per Messenger.
• Die Absenderadresse weicht ab, oder Wortwahl und Anrede passen nicht zur Person.
• Ein neues Konto, oft im Ausland, oder der Wunsch nach Gutscheinkarten.

Laut LKA Baden-Württemberg kommen betrügerische Mails teils auch von den echten Adressen der eigenen Vorgesetzten oder von Geschäftspartnern, deren Postfach gekapert wurde. Eine korrekte Absenderadresse ist also kein Beleg.

Was Ihr Team konkret tut

Gegen CEO-Fraud helfen vor allem Abläufe, die nicht vom Bauchgefühl einzelner Mitarbeitender abhängen. Die Empfehlungen von ProPK und LKA Baden-Württemberg lassen sich in vier Regeln fassen. Wie Sie solche Regeln im ganzen Team verankern, zeigt die Seite zur Security-Awareness-Schulung.

1. Daten schützen

   Prüfen Sie, was über Zuständigkeiten, Abwesenheiten und Zahlungswege öffentlich steht. Je weniger die Täter wissen, desto schwerer wird die Inszenierung.

2. Zweiten Kanal nutzen

   Jede ungewöhnliche Zahlungsanweisung wird über eine Nummer aus dem eigenen Verzeichnis bestätigt, nie über Kontaktdaten aus der Mail oder dem Anruf.

3. Ergebnisse prüfen

   Ab einer festgelegten Summe und bei jeder Kontoänderung prüft eine zweite Person. Dokumentieren Sie, wer die Änderung wie bestätigt hat.

4. Vorfälle melden

   Verdächtige Anfragen gehen sofort an IT-Sicherheit oder Geschäftsführung, auch wenn nichts passiert ist. So warnen Sie Kollegen, die dieselbe Mail bekommen.

Was tun, wenn das Geld schon überwiesen ist?

Jetzt zählt Zeit. Das LKA Baden-Württemberg empfiehlt, diese Schritte vorab als ausgedruckte Checkliste mit allen internen und externen Ansprechpartnern bereitzulegen.

1. Bank anrufen

   Melden Sie die Zahlung sofort Ihrer Hausbank und bitten Sie um Stornierung und Rückholung.

2. Anzeige erstatten

   Wenden Sie sich an die Zentrale Ansprechstelle Cybercrime (ZAC) Ihres Landes. Die Polizei kann Maßnahmen zur Vermögenssicherung einleiten.

3. Angaben bereithalten

   Datum, Summe, Zielkonto und eigenes Abgangskonto. Leiten Sie die betrügerische Mail im Original als Anlage an die Polizei weiter.

4. Postfächer prüfen

   Die IT sucht nach fremden Zugriffen sowie unbekannten Weiterleitungs- und Filterregeln und sperrt betroffene Konten.

Wenn Sie Buchhaltung, Assistenz und Führungskräfte gezielt auf diese Abläufe vorbereiten wollen: Training für Ihr Team anfragen.

Häufige Fragen