CEO-Fraud: So schützen sich österreichische KMU

Eine dringende Zahlungsanweisung der Geschäftsführung kann die Buchhaltung in eine schwierige Lage bringen, wenn zugleich Vertraulichkeit verlangt wird und keine Zeit für Rückfragen bleiben soll. Beim CEO-Fraud nutzen Kriminelle genau diesen Druck, indem sie sich als Führungskraft ausgeben und Beschäftigte zu einer Überweisung oder zur Weitergabe vertraulicher Daten bewegen wollen. In diesem Artikel erfahren Sie, woran Sie solche Anfragen erkennen können und welche Prüfungen österreichischen KMU helfen, einen Betrugsversuch rechtzeitig zu stoppen.

Was ist CEO-Fraud?

Bei CEO-Fraud täuschen Kriminelle die Identität einer Führungskraft vor, um deren Autorität für ihre Zwecke zu nutzen. Eine Nachricht soll beispielsweise von der Geschäftsführerin stammen, obwohl sie tatsächlich von jemandem verschickt wurde, der Geld auf ein eigenes Konto lenken möchte. Angesprochen werden dabei Personen, die Zahlungen vorbereiten, freigeben oder auf vertrauliche Unterlagen zugreifen können.

CEO-Fraud gehört zum sogenannten Business Email Compromise (BEC). Dieser Oberbegriff umfasst auch andere Täuschungen in der geschäftlichen Kommunikation, etwa eine angeblich geänderte Bankverbindung eines Lieferanten. Die Unterscheidung hilft bei der Prüfung einer Anfrage. Beim CEO-Fraud steht eine vermeintliche Anweisung der Führungskraft im Vordergrund; beim Lieferantenbetrug wird eine bestehende Geschäftsbeziehung ausgenutzt (Bundeskriminalamt Österreich).

In einem kleineren Betrieb, in dem Geschäftsführung und Buchhaltung eng zusammenarbeiten, kann eine persönlich formulierte Bitte zunächst plausibel erscheinen. Gerade deshalb sollten alle Beteiligten wissen, wie sie eine ungewöhnliche Anweisung bestätigen lassen können. Wer nachfragt, muss sich dabei auf die Unterstützung der Geschäftsführung verlassen können.

Wie läuft ein CEO-Fraud-Versuch ab?

Damit die Anfrage glaubwürdig wirkt, sammeln Kriminelle zunächst Informationen über das Unternehmen. Teamseiten, berufliche Netzwerke und öffentliche Unternehmensinformationen können ihnen verraten, wer die Geschäfte führt und wer für Zahlungen zuständig ist. Wie beim Spear Phishing verwenden sie diese Angaben, um eine bestimmte Person gezielt anzusprechen. Die polizeiliche Kriminalprävention beschreibt diese Vorbereitung als Teil der Betrugsmasche.

Ein mögliches Beispiel ist eine E-Mail an die Buchhaltung, in der die vermeintliche Geschäftsführung um eine Überweisung für ein noch nicht bekannt gegebenes Projekt bittet. Der Name passt, die Signatur sieht vertraut aus und die Nachricht bezieht sich auf das Unternehmen. Gleichzeitig soll die Zahlung noch am selben Tag erfolgen, ohne weitere Personen einzubeziehen.

Die behauptete Vertraulichkeit liefert damit einen Vorwand, die übliche Freigabe auszulassen. Folgt zusätzlich ein Anruf einer angeblich beteiligten Person, kann das die Geschichte glaubwürdiger machen, obwohl auch dieser Kontakt zum Betrugsversuch gehört. Entscheidend ist daher, die Anweisung unabhängig von den Angaben in der Nachricht zu überprüfen, bevor Geld überwiesen wird.

Welche Warnsignale sollten Sie ernst nehmen?

Auffällige Absenderadressen können einen Betrugsversuch verraten. Eine korrekt geschriebene Nachricht ohne erkennbare Fehler ist jedoch keine Bestätigung dafür, dass die Anweisung tatsächlich von der Geschäftsführung stammt. Achten Sie deshalb auch darauf, was von Ihnen verlangt wird und ob die Anfrage von den vereinbarten Abläufen abweicht.

Die folgenden Hinweise sind ein Anlass, eine Zahlung oder Datenweitergabe vorerst zurückzustellen und die Anfrage zu prüfen.

• Ungewöhnlicher Zeitdruck. Die Zahlung soll sofort erfolgen, obwohl notwendige Unterlagen oder Freigaben fehlen.
• Geheimhaltung gegenüber zuständigen Personen. Die Nachricht verlangt, weder die Buchhaltung noch andere normalerweise beteiligte Personen einzubeziehen.
• Ausnahmen von vereinbarten Regeln. Eine vermeintliche Führungskraft fordert Sie auf, eine Kontrolle für diesen Auftrag zu überspringen.
• Unbekannte Zahlungsempfänger oder neue Bankdaten. Die angegebene Kontoverbindung passt nicht zu den vorhandenen Unterlagen oder wurde nur per E-Mail mitgeteilt.
• Abweichende Kontaktdaten. Der angezeigte Name ist vertraut, aber die vollständige E-Mail-Adresse oder die vorgeschlagene Rückrufnummer unterscheidet sich von den bekannten Angaben.

Ein einzelner Hinweis beweist noch keinen Betrug. Er reicht aber aus, um vor der Ausführung nachzufragen. So müssen Beschäftigte nicht allein anhand einer E-Mail entscheiden, ob die Person am anderen Ende vertrauenswürdig ist.

Wie schützen sich KMU vor CEO-Fraud?

Wenn eine Anweisung dringend und glaubwürdig wirkt, fällt es schwerer, auf einer zusätzlichen Prüfung zu bestehen. Verbindliche Regeln nehmen Beschäftigten diese Entscheidung ab, weil sie auch für Aufträge der Geschäftsführung gelten. Die folgenden Maßnahmen helfen dabei, solche Prüfungen im Arbeitsalltag zu verankern.

• Anweisungen unabhängig bestätigen lassen. Rufen Sie bei einer ungewöhnlichen Zahlungsaufforderung die betreffende Person über eine bereits gespeicherte Telefonnummer an. Eine Antwort auf die verdächtige E-Mail oder ein Anruf bei der darin genannten Nummer würde wieder bei den möglichen Betrügern landen.
• Zahlungen durch eine zweite Person prüfen lassen. Legen Sie fest, wer Zahlungen vorbereitet und wer sie freigibt. Die prüfende Person sollte Empfänger, Betrag und Zahlungsgrund mit den zugrunde liegenden Unterlagen abgleichen können.
• Änderungen von Bankdaten gesondert bestätigen. Bevor die Buchhaltung eine neue Kontoverbindung übernimmt, sollte sie beim Geschäftspartner über bekannte Kontaktdaten nachfragen. Erst nach dieser Bestätigung darf die Änderung für eine Zahlung verwendet werden.
• Vertretungen vorab festlegen. Ist eine freigabeberechtigte Person im Urlaub oder nicht erreichbar, braucht es eine benannte Vertretung. Fehlende Erreichbarkeit darf nicht dazu führen, dass die Prüfung entfällt.
• Rückfragen ausdrücklich unterstützen. Die Geschäftsführung sollte klarstellen, dass Beschäftigte auch ihre vermeintlichen Anweisungen überprüfen dürfen. Besprechen Sie im Team, an wen sich Mitarbeitende bei einem Verdacht wenden und wie sie die Nachricht zur Prüfung weitergeben.
• Den Ablauf regelmäßig üben. Gehen Sie mit den beteiligten Personen eine beispielhafte Zahlungsanfrage durch. Dabei wird sichtbar, ob alle die zuständige Ansprechperson finden und wissen, welche Angaben sie vor einer Freigabe prüfen müssen.

Diese organisatorischen Maßnahmen ergänzen den technischen Schutz der E-Mail-Konten. Mehr-Faktor-Authentifizierung erschwert die Übernahme eines Kontos; E-Mail-Filter können verdächtige Nachrichten bereits vor der Zustellung abfangen. Erreicht eine betrügerische Anfrage trotzdem das Postfach, muss die Prüfung vor einer Zahlung weiterhin greifen. Auch das österreichische Bundeskriminalamt empfiehlt, technische Schutzmaßnahmen, Schulungen und verbindliche Freigaben miteinander zu verbinden.

Was tun, wenn bereits Geld überwiesen wurde?

Wenn Sie den Betrug erst nach der Überweisung bemerken, kontaktieren Sie sofort Ihre Bank. Teilen Sie mit, dass ein Betrugsverdacht besteht, und lassen Sie prüfen, ob die Zahlung noch gestoppt oder zurückgerufen werden kann. Halten Sie dafür Zahlungsbeleg, Betrag, Empfängerkonto und Zeitpunkt der Überweisung bereit.

Parallel sollten Geschäftsführung und IT informiert werden, damit sie weitere Zahlungen prüfen und einen möglichen Zugriff auf E-Mail-Konten untersuchen können. Die Empfehlungen des Bundeskriminalamts sehen außerdem vor, Beweise zu sichern und bei der nächsten Polizeidienststelle Anzeige zu erstatten. Bewahren Sie die ursprünglichen E-Mails, Gesprächsnotizen und Zahlungsunterlagen auf, damit der Ablauf nachvollziehbar bleibt.

Nachdem die unmittelbaren Schritte eingeleitet wurden, sollten die Beteiligten gemeinsam klären, wie die Anfrage bis zur Überweisung gelangen konnte. Fehlte eine Freigabe, war die Vertretung unklar oder stand keine bekannte Telefonnummer zur Verfügung? Aus dieser Prüfung lässt sich ableiten, welche Stelle im Ablauf geändert werden muss und was das Team künftig üben sollte.

Häufige Fragen zu CEO-Fraud

Ist CEO-Fraud dasselbe wie Phishing?

Die Begriffe überschneiden sich, beschreiben aber unterschiedliche Aspekte eines Angriffs. Phishing bezeichnet betrügerische Nachrichten, die Menschen etwa zur Preisgabe von Daten oder zu einer Zahlung bewegen sollen. Beim CEO-Fraud geben sich Kriminelle gezielt als Führungskraft aus. Dafür können sie E-Mails nutzen, aber auch telefonisch Kontakt aufnehmen.

Sind auch kleine Unternehmen von CEO-Fraud betroffen?

Auch kleine Unternehmen können angesprochen werden. Entscheidend ist, ob Kriminelle eine Person erreichen, die Geld überweisen oder vertrauliche Daten weitergeben kann. Wenn wenige Beschäftigte mehrere Aufgaben übernehmen, sollten Zahlungsfreigaben und Vertretungen besonders eindeutig vereinbart sein.

Was ist die wichtigste Sofortmaßnahme bei Verdacht?

Führen Sie die Zahlung oder Datenweitergabe vorerst nicht aus. Lassen Sie die Anweisung von der angeblich anfragenden Person über eine bereits bekannte Telefonnummer bestätigen. Ist bereits Geld überwiesen worden, kontaktieren Sie sofort Ihre Bank.

Reicht es, die Absenderadresse zu prüfen?

Die vollständige Absenderadresse zu prüfen ist sinnvoll, weil Abweichungen auf eine Fälschung hinweisen können. Sie allein bestätigt jedoch keine Zahlungsanweisung, etwa wenn ein echtes E-Mail-Konto übernommen wurde. Bei ungewöhnlichen Anfragen braucht es deshalb zusätzlich eine Bestätigung über bekannte Kontaktdaten.

Klare Freigaben geben Beschäftigten Sicherheit

Ein wirksamer Schutz vor CEO-Fraud beginnt damit, dass Buchhaltung und Geschäftsführung dieselben Regeln anwenden. Wenn feststeht, wer eine Anweisung bestätigt und wer bei Abwesenheit übernimmt, können Beschäftigte auch unter Zeitdruck auf der vereinbarten Prüfung bestehen. Gehen Sie diesen Ablauf gemeinsam an einem konkreten Beispiel durch und halten Sie die benötigten Kontaktdaten dort bereit, wo Zahlungen bearbeitet werden.