So erkennen und verhindern Sie CEO-Fraud

Eine E-Mail der Geschäftsführung, eine dringende Überweisung, absolute Vertraulichkeit. Wenige Tage später ist das Geld weg. CEO-Fraud, auch Chef-Betrug genannt, gehört zu den teuersten Formen des Social Engineering. Das Perfide daran: Die Angreifer:innen überwinden keine Firewall, sondern die Hilfsbereitschaft und den Respekt Ihrer Mitarbeitenden. Mit klaren Prozessen und trainierter Aufmerksamkeit lässt sich diese Masche aber zuverlässig stoppen.

So läuft eine typische CEO-Fraud-Attacke ab

CEO-Fraud ist kein Zufallstreffer, sondern das Ergebnis sorgfältiger Vorbereitung. Ein typischer Angriff folgt immer wieder demselben Muster:

1. Recherche: Die Angreifer:innen sammeln öffentlich verfügbare Informationen: Namen der Geschäftsführung auf der Website, Zuständigkeiten auf LinkedIn, Pressemitteilungen zu Übernahmen oder Expansionen. Oft wissen sie genau, wer in der Buchhaltung Überweisungen freigeben darf.
2. Tarnung: Anschließend wird eine Absenderadresse vorbereitet, die der echten täuschend ähnlich sieht, etwa mit vertauschten Buchstaben in der Domain. In manchen Fällen wird sogar ein echtes E-Mail-Konto kompromittiert.
3. Erstkontakt: Eine kurze, unverfängliche Nachricht, scheinbar vom CEO: „Sind Sie gerade am Platz? Ich brauche Ihre Hilfe in einer vertraulichen Angelegenheit.“ Wer antwortet, signalisiert Erreichbarkeit und wird zum Ziel.
4. Druckaufbau: Jetzt folgt die eigentliche Forderung: eine dringende Überweisung, angeblich für eine geheime Übernahme, eine Anzahlung oder eine Anwaltskanzlei. Rückfragen seien nicht möglich, die Geschäftsführung sitze im Flieger oder im Meeting.
5. Abschluss: Wird überwiesen, ist das Geld meist rasch über Auslandskonten weitergeleitet und nur schwer zurückzuholen.

Längst beschränken sich die Täter:innen dabei nicht mehr auf E-Mails: Auch Anrufe, SMS und Messenger-Nachrichten kommen zum Einsatz, teils mit KI-generierten Stimmen.

Die drei psychologischen Hebel

Technisch ist CEO-Fraud oft banal. Seine Wirkung entfaltet er über drei psychologische Hebel:

• Autorität: Eine Anweisung „von ganz oben“ stellt kaum jemand infrage. Genau darauf setzen die Täter:innen: Der Respekt vor der Hierarchie ersetzt die kritische Prüfung.
• Dringlichkeit: Enge Fristen und Formulierungen wie „muss heute noch raus“ schalten das Nachdenken aus. Wer unter Zeitdruck steht, prüft weniger genau.
• Vertraulichkeit: Die Bitte um absolute Geheimhaltung isoliert das Opfer. Wer mit niemandem sprechen darf, kann auch niemanden um eine zweite Meinung bitten.

Diese Kombination ist so wirksam, weil sie eigentlich wünschenswertes Verhalten ausnutzt: Loyalität, Hilfsbereitschaft und Diskretion.

Rote Flaggen, die Sie stutzig machen sollten

Einzelne Merkmale beweisen noch keinen Betrug. In Kombination sind sie jedoch ein deutliches Warnsignal:

• Eine Zahlungsaufforderung weicht vom üblichen Prozess ab oder kommt über einen ungewohnten Kanal.
• Die Absenderadresse unterscheidet sich minimal von der echten: ein Buchstabe, eine andere Endung.
• Dringlichkeit und Geheimhaltung treten gemeinsam auf: „sofort“ und „mit niemandem darüber sprechen“.
• Das Empfängerkonto ist neu, unbekannt oder liegt im Ausland.
• Rückfragen per Telefon werden aktiv abgeblockt, kommuniziert werden soll nur schriftlich.
• Tonfall, Anrede oder Sprache passen nicht zur Person, die angeblich schreibt.

Viele dieser Merkmale kennen Sie vielleicht schon aus Phishing-Mails. Kein Zufall, denn CEO-Fraud ist eine gezielte Spielart davon. Welche Merkmale eine Phishing-Mail generell verraten, lesen Sie in unserem Artikel Phishing-Mails erkennen.

Vier-Augen-Prinzip und klare Prozesse

Gegen CEO-Fraud helfen vor allem Prozesse, die Einzelentscheidungen unter Druck unmöglich machen:

• Vier-Augen-Prinzip: Überweisungen ab einer definierten Höhe gibt nie eine Person allein frei. Ohne Ausnahme, auch nicht auf Anweisung der Geschäftsführung.
• Rückruf über bekannte Nummer: Ungewöhnliche Zahlungsaufträge werden immer über einen zweiten Kanal verifiziert, und zwar über die intern hinterlegte Nummer, nie über Kontaktdaten aus der verdächtigen Nachricht.
• Verifizierte Stammdaten: Änderungen von Lieferanten-Bankverbindungen werden grundsätzlich bei der bekannten Kontaktperson gegengeprüft.
• Klare Meldewege: Wer einen Verdacht hat, kennt die zuständige Stelle und wird für eine Meldung nie kritisiert, auch wenn es falscher Alarm war.

Die Geschäftsführung muss diese Regeln selbst vorleben. Wer in der Chefetage echte Eilaufträge an den Prozessen vorbei anweist, trainiert dem eigenen Team genau das Verhalten an, das die Kriminellen ausnutzen.

Training macht aus Mitarbeitenden eine Schutzschicht

Prozesse wirken nur, wenn Menschen sie im entscheidenden Moment anwenden, also unter Zeitdruck und gegenüber einer vermeintlichen Autorität. Genau das lässt sich trainieren: Awareness-Trainings machen die psychologischen Tricks bewusst, und regelmäßige Simulationen üben den souveränen Umgang mit solchen Situationen, bevor der Ernstfall eintritt. Auch regulatorisch ist das Thema angekommen: Die NIS2-Richtlinie, die in Österreich seit 1. Oktober 2026 in Kraft ist, verlangt von betroffenen Unternehmen unter anderem Schulungen im Bereich Cybersicherheit. Mehr dazu auf unserer NIS2-Seite.

Im Protectly-Kurskatalog finden Sie eigene CEO-Fraud-Trainings, die Ablauf, Hebel und rote Flaggen praxisnah vermitteln, kompakt genug für den Arbeitsalltag. Werfen Sie einen Blick in den Kurskatalog oder vereinbaren Sie eine Demo, um zu sehen, wie Sie Ihr Team gezielt gegen Chef-Betrug wappnen.