CEO-Fraud: So schützen Unternehmen sich vor Chef-Betrug

Was ist CEO-Fraud?

CEO-Fraud – auch bekannt als Business Email Compromise (BEC) oder "Chef-Masche" – ist eine gezielte Betrugsform, bei der Angreifer die Identität einer Führungskraft imitieren. Per E-Mail fordern sie Mitarbeiter auf, dringend Geld zu überweisen, Zugangsdaten preiszugeben oder vertrauliche Informationen zu versenden.

Das Perfide: Anders als bei gewöhnlichem Spam sind CEO-Fraud-Angriffe hochgradig personalisiert. Angreifer recherchieren vorab über LinkedIn, Unternehmenswebsites und soziale Medien – wer ist der CEO? Wer ist für Finanzen zuständig? Wann ist die Führungskraft im Urlaub oder auf Reisen?

$50 Mrd. weltweiter BEC-Schaden seit 2013 (FBI) 2,9 Mrd.$ BEC-Schaden allein 2023 in den USA #1 teuerste Cyberbetrugsform laut FBI IC3 ~277 Tage durchschnittliche Zeit bis zur Entdeckung

So funktioniert CEO-Fraud – typische Angriffsvarianten

VARIANTE 1

Gefälschte Absenderadresse (Domain Spoofing)

Die häufigste und technisch einfachste Variante. Der Angreifer versendet eine E-Mail, bei der der Absender täuschend echt aussieht – obwohl die Mail nie über Ihren Server lief.

Von: Thomas Müller <thomas.mueller@ihr-unternehmen.de> An: buchhaltung@ihr-unternehmen.de Betreff: Dringende Überweisung – streng vertraulich Ich bin gerade im Ausland in einem wichtigen Meeting. Bitte überweisen Sie sofort 47.500 EUR auf folgendes Konto: [IBAN]. Kein Rückruf – vertraulich. Bestätigung per E-Mail genügt.

Technische Ursache: Die Domain hat kein DMARC mit p=reject. Externe Angreifer können beliebige Absenderadressen verwenden.

VARIANTE 2

Look-alike Domain (Typosquatting)

Angreifer registrieren eine ähnliche Domain und versenden von dort. Auf den ersten Blick kaum zu erkennen.

Echte Domain: ihr-unternehmen.de Fake Domain: ihr-unternehmen.net · ihr-unternehmen.de · ihruntemehmen.de VARIANTE 3

Kompromittiertes echtes Postfach

Der Angreifer hat durch Phishing oder einen Passwort-Leak Zugang zu einem echten E-Mail-Konto erhalten – oft das eines Mitarbeiters oder Partners. E-Mails kommen dann von einer echten, vertrauenswürdigen Adresse.

VARIANTE 4

Lieferanten-Betrug (Vendor Impersonation)

Angreifer geben sich als bekannter Lieferant oder Partner aus und melden eine "neue Bankverbindung" für ausstehende Rechnungen. Betrifft besonders Unternehmen mit internationalen Zahlungsbeziehungen.

Warnsignale: Diese Merkmale haben CEO-Fraud-Mails

🚨

Extremer Zeitdruck

"Sofort", "heute noch", "innerhalb der nächsten Stunde" – künstliche Dringlichkeit verhindert das Nachdenken.

🤫

Vertraulichkeitsgebot

"Niemanden informieren", "nur zwischen uns" – soll verhindern, dass Kollegen oder Vorgesetzte befragt werden.

📵

Chef nicht erreichbar

Angeblich im Ausland, in einem Meeting oder ohne Handyempfang – telefonische Rückfrage gezielt unmöglich gemacht.

💸

Ungewöhnlicher Zahlungsweg

Neue IBAN, unbekanntes Land, Kryptowährung oder Eilüberweisung außerhalb normaler Prozesse.

✉️

Leicht abweichende Absenderadresse

Ein Buchstabe anders, eine andere TLD, ein Bindestrich mehr oder weniger – auf schnellem Blick unsichtbar.

🎯

Persönliche Details als Vertrauensbeweis

Angreifer nennen Mitarbeiternamen, laufende Projekte oder Kundennamen – recherchiert über LinkedIn und Social Media.

Branchen und Unternehmensgrößen im Fokus

Profil	Warum besonders gefährdet	Typisches Angriffsszenario
Mittelstand (50–500 MA)	Oft ohne dediziertes Security-Team, Entscheidungen per E-Mail üblich	CFO-Anfrage an Buchhaltung wegen M&A-Transaktion
Internationaler Handel	Zahlungen an neue Konten im Ausland alltäglich	Gefälschte Lieferanten-Bankdaten vor Fälligkeit
Immobilien / Anwaltskanzleien	Große Einzelüberweisungen, komplexe Transaktionen	Fake-Notarmail mit "neuer Treuhandkontonummer"
NGOs / Stiftungen	Flache Hierarchien, hohe Vertrauenskultur	Gefälschter Vorstandsvorsitz-Auftrag
Personalwesen / HR	Zugang zu Gehaltsdaten und Bankverbindungen	Anfrage auf Änderung von Gehaltskonten der Mitarbeiter

Was einen CEO-Fraud-Angriff ermöglicht: die technische Seite

Viele Unternehmen wissen nicht, dass die häufigste CEO-Fraud-Variante – das vollständige Fälschen der Absenderadresse – technisch verhindert werden kann. Voraussetzung ist eine korrekte E-Mail-Authentifizierungskonfiguration der eigenen Domain.

Technologie	Was sie verhindert	Status ohne Konfiguration
DMARC p=reject	Externe Angreifer können Ihre Domain nicht als Absender verwenden	Jeder kann im Namen Ihrer Domain E-Mails senden
SPF	Definiert autorisierte Mailserver für Ihre Domain	Keine Einschränkung welche Server senden dürfen
DKIM	Digitale Signatur verhindert Manipulation auf dem Übertragungsweg	E-Mail-Inhalte könnten manipuliert werden
MTA-STS / DANE	Verschlüsselte Übertragung erzwingen, Man-in-the-Middle verhindern	Übertragung kann abgefangen werden

🛡️

Gute Nachricht: Domain Spoofing – die häufigste CEO-Fraud-Variante – lässt sich durch einen korrekt konfigurierten DMARC-Eintrag mit p=reject vollständig unterbinden. Prüfen Sie jetzt, wie Ihre Domain geschützt ist.

Organisatorische Schutzmaßnahmen

Technischer Schutz alleine reicht nicht – insbesondere für Varianten, bei denen echte Konten kompromittiert wurden oder Look-alike-Domains eingesetzt werden. Diese Prozesse schützen zusätzlich:

✅Vier-Augen-Prinzip bei Überweisungen
Jede Überweisung ab einem definierten Betrag braucht zwei Genehmiger – unabhängig vom Absender der Anfrage.
✅Telefonische Rückbestätigung
Bei ungewöhnlichen Zahlungsanfragen per E-Mail: Rückruf über eine bekannte, gespeicherte Nummer – nicht über eine in der E-Mail genannte.
✅Schulung der Mitarbeiter
Buchhaltung, HR und Assistenz müssen CEO-Fraud kennen und wissen, wie sie im Zweifel reagieren.
✅Klare Prozesse für Bankdaten-Änderungen
Änderungen von Lieferanten-Bankverbindungen nur nach schriftlicher Bestätigung auf offiziellem Weg – niemals per E-Mail allein.
✅Misstrauisch bei "Vertraulichkeit"
Eine echte Führungskraft fordert keine geheimen Überweisungen. Vertraulichkeit als Argument für Prozessumgehung ist ein Warnsignal.
✅Incident-Response-Plan
Was tun wenn es passiert ist? Wer wird informiert? Welche Bank? Jede Minute zählt beim Rückbuchen.

Was tun wenn CEO-Fraud passiert ist?

Sofortmaßnahme	Details	Zeitfenster
1. Bank sofort anrufen	Überweisung stoppen lassen – SWIFT-Recall einleiten	Innerhalb von Minuten bis Stunden möglich
2. Polizei erstatten	Anzeige bei lokaler Polizei und beim BKA (Cybercrime-Hotline)	Sofort
3. BSI / CERT.bund informieren	Unterstützung bei Analyse und weiteren Schutzmaßnahmen	Innerhalb 24h
4. Interne IT alarmieren	Betroffene Konten analysieren, prüfen ob weitere Konten kompromittiert	Sofort
5. Dokumentation sichern	Alle E-Mails, Gesprächsprotokolle, Zeitstempel sichern	Vor jeder weiteren Aktion
6. Versicherung kontaktieren	Cyber-Versicherung oder D&O-Police prüfen	Innerhalb 48h

⚠️

Kritische Zeitspanne: Überweisungen können oft noch gestoppt werden, wenn die Bank innerhalb weniger Stunden informiert wird. Jede Verzögerung reduziert die Chance auf Rückbuchung drastisch. Im Zweifel: sofort anrufen, nicht erst intern abstimmen.

Ist Ihre Domain vor CEO-Fraud geschützt?

Domain Spoofing – die häufigste CEO-Fraud-Variante – lässt sich durch DMARC verhindern. Prüfen Sie jetzt den Schutzstatus Ihrer Domain oder kontaktieren Sie uns für eine vollständige Sicherheitsanalyse.

Domain kostenlos prüfen → Beratung anfragen

Häufige Fragen zu CEO-Fraud

Was ist CEO-Fraud? CEO-Fraud ist eine Betrugsmasche, bei der Angreifer die Identität einer Führungskraft per E-Mail fälschen und Mitarbeiter zu dringenden Überweisungen oder sensiblen Datenfreigaben veranlassen. Die E-Mails wirken täuschend echt und sind hochgradig personalisiert. Was ist der Unterschied zwischen CEO-Fraud und Business Email Compromise? Business Email Compromise (BEC) ist der Oberbegriff für alle Arten gefälschter Geschäfts-E-Mails. CEO-Fraud ist die häufigste BEC-Variante – Angreifer geben sich als Unternehmenschef aus. Weitere Varianten sind Lieferanten-Betrug oder kompromittierte echte Konten. Wie erkenne ich CEO-Fraud E-Mails? Typische Merkmale: extremer Zeitdruck, Vertraulichkeitsgebot, Chef angeblich nicht erreichbar, ungewöhnliche Zahlungsaufforderung, leicht abweichende Absenderadresse. Immer: Rückruf über bekannte Nummer bevor gehandelt wird. Wie viel Schaden verursacht CEO-Fraud weltweit? Das FBI schätzt den weltweiten BEC-Schaden auf über 50 Milliarden USD seit 2013. Allein 2023 meldete das FBI IC3 über 2,9 Milliarden USD Schaden durch BEC – Platz 1 unter allen Cybercrime-Kategorien. Kann technischer Schutz CEO-Fraud verhindern? Ein korrekt konfigurierter DMARC-Eintrag mit p=reject verhindert, dass externe Angreifer E-Mails mit Ihrer echten Domain als Absender versenden – das eliminiert die häufigste CEO-Fraud-Variante vollständig. Was soll ich tun wenn ich Opfer von CEO-Fraud geworden bin? Sofort: Bank anrufen und Überweisung stoppen lassen (SWIFT-Recall), Polizei informieren, interne IT alarmieren, alle E-Mails dokumentieren. Jede Minute zählt – die Chance auf Rückbuchung sinkt mit der Zeit rapide. Wer ist besonders von CEO-Fraud betroffen? Mittelständische Unternehmen mit internationalen Geschäftsbeziehungen, Immobilien- und Finanzbranche, NGOs, HR-Abteilungen. Besonders gefährdet: Organisationen ohne klare Prozesse für Zahlungsfreigaben. Ist CEO-Fraud strafbar? Ja. CEO-Fraud erfüllt in Deutschland mehrere Straftatbestände: Betrug (§ 263 StGB), Computerbetrug (§ 263a StGB) und ggf. Urkundenfälschung. Die Täter agieren meist aus dem Ausland, was die Strafverfolgung erschwert – aber keinen Schutz bietet.

CEO-Fraud – wenn Betrüger Ihren Chef fälschen