CEO Fraud: Erkennen, Abwehren und Schützen

CEO Fraud ist eine der häufigsten und teuersten Formen von Identitätsdiebstahl im Unternehmensumfeld. Kriminelle geben sich als Führungskraft aus, erzeugen Zeitdruck und Vertraulichkeit und steuern Zahlungen oder Datenänderungen. In diesem Beitrag zeige ich, wie Sie CEO Fraud zuverlässig erkennen und abwehren.

Sie erfahren, wie typische Angriffe ablaufen, welche Varianten es gibt, woran Sie Warnsignale in E-Mail, Telefon und Messenger erkennen, welche Systeme und öffentlich verfügbaren Informationen Täter ausnutzen und welche Prozesse, Kontrollen und Schulungen Ihr Unternehmen jetzt einführen sollte. Praxisnah. Kompakt. Umsetzbar.

Ich arbeite seit Jahren an der Schnittstelle von Forensic Analytics, Cybersecurity und Prävention. Die Beispiele stammen aus Projekten und Trainings mit Finance, Einkauf, IT und Interner Revision. Ziel ist ein klarer Fahrplan, der ohne Sonderwege auskommt und im Alltag funktioniert. Wir sprechen auch darüber, wie Datenanalysen und Anomalieerkennung unterstützen können und wo die Grenzen von Echtzeitanalysen liegen.

Der CEO Fraud ist keine einzigartige Betrugsmasche

Es gibt verschiedene ähnliche Betrugsmaschen, die in ähnlicher Weise wie der CEO Fraud darauf abzielen, Unternehmen oder Einzelpersonen finanziell zu schädigen; zB. beim Vorschuss-, Rechnungs-, Bestell-, Investment- & Mietbetrug.

Verallgemeinert gilt, dass es sich bei diesen Betrugsmaschen oft um eine Form des Identitätsdiebstahl handelt, bei dem Verbrecher:innen die Identität einer Person oder Firma stiehlt, um betrügerische Aktivitäten auszuführen oder vorzubereiten.

Im Zusammenhang treten dann auch Cybercrime Delikte auf, wie zB. Social Engineering und Phishing.

Varianten des CEO Fraud

In der Praxis treten mehrere Muster auf. Die wichtigsten Varianten im Überblick:

• Interne fiktive Geschäftsvorfälle: Aufforderung zu Überweisungen im Zusammenhang mit angeblichen Akquisitionen, Geschäftsabschlüssen oder Anschaffungen wie Patenten, Immobilien oder Maschinen.
• Rückzahlung angeblicher Überzahlungen: Forderung einer Erstattung, weil Kundenzahlungen vermeintlich doppelt oder zu hoch erfolgt seien.
• Dringende Intercompany-Zahlungen: Verweis auf angebliche Notfälle oder Liquiditätsengpässe innerhalb des Konzerns, oft gestützt durch plausibel wirkende Belege.
• Missbrauch externer Geschäftspartner:innen: Namen realer Kunden, Lieferanten oder Dienstleister werden genutzt, um Waren, Daten oder Zahlungen in laufenden oder neu konstruierten Vorgängen anzufordern.
• Anzahlungen und Vorauszahlungen: Bitte um Vorabzahlungen für vermeintliche Großbestellungen oder „Beschleunigungsgebühren“.
• Gefälschte Bestellungen: Fiktive Orders mit echten Ansprechpartnern und täuschend echten Dokumenten, um Ware oder Geld zu erlangen.
• Änderung von Bankdaten: Aufforderung zur Aktualisierung von Kontoverbindungen bei Lieferanten oder Kunden, um Zahlungen auf neue IBANs umzuleiten.
• Vortäuschung behördlicher Zuständigkeit: Schreiben mit Zahlungsaufforderungen für Steuern, Gebühren oder angebliche Strafen.

Kurz gesagt: CEO Fraud ist Identitätsdiebstahl in vielen Ausprägungen und betrifft Finance, Einkauf, Stammdaten, HR, IT und Management.

Der übliche Ablauf des CEO Fraud

1. Recherche und Vorbereitung: Täter sammeln offene Informationen über Unternehmen, Rollen, Abläufe und Kontaktwege. Quellen sind Website, Social Media, Handelsregister, Presse, Abwesenheitsnotizen und öffentlich sichtbare E-Mail-Muster.
2. Kontaktaufnahme per E-Mail, Telefon oder Messenger: Es folgen personalisierte Nachrichten an Finanzbereich, Einkauf oder Leitung. Absender wirken legitim, oft mit sehr ähnlichen Domains oder Display-Namen. Häufig wird schriftliche Kommunikation durch Anrufe gestützt.
3. Manipulation: Dringlichkeit und Vertraulichkeit sollen Rückfragen verhindern. Gefälschte Dokumente, angebliche Verträge oder PO-Nummern erhöhen die Glaubwürdigkeit. Aufforderungen zielen auf Prozessumgehungen und schnelle Entscheidungen.
4. Zahlungsfreigabe oder Stammdatenänderung: Verlangt werden Überweisungen auf neue Konten, Splitting in Teilbeträge oder die Änderung von Lieferanten-IBANs. Zweitkanal-Bestätigungen werden gezielt umgangen.
5. Verdeckung: Gelder fließen auf Auslands- oder Mule-Konten, werden weitergeleitet und abgezogen. Spuren werden gelöscht, Kommunikation wird beendet.

Präventionsmaßnahmen

Betrüger springen nur so hoch, wie sie müssen. Heben Sie die Latte an.

• Prozesse absichern: Vier-Augen-Prinzip und Zweitkanal-Freigabe ab definierten Betragsgrenzen. Keine Ausnahmen ohne schriftliche Dokumentation.
• Stammdaten schützen: Änderungen von Bankdaten nur nach Rückruf über bekannte Nummern aus dem ERP. Erste Zahlung nach neuer IBAN mit 24-Stunden-Wartezeit und zusätzlicher Freigabe.
• E-Mail-Sicherheit aktivieren: SPF, DKIM und DMARC auf Durchsetzung. Externe Absender kennzeichnen. Anzeige des vollständigen Absenders aktivieren. Anhänge in einer sicheren Umgebung prüfen.
• Öffentliche Informationen begrenzen: Abwesenheiten von Führungskräften nicht offen publizieren. Interne Durchwahlen, Organigramme und Rollenprofile nur wo nötig veröffentlichen.
• Anomalien erkennen: Zahlungs- und Stammdatenänderungen kontinuierlich per Datenanalyse überwachen. Regeln für untypische Beträge, neue Empfänger, Zahlungen kurz nach IBAN-Wechsel und ungewöhnliche Uhrzeiten.
• Schulen und testen: Regelmäßige Awareness-Trainings für Management, Finance, Einkauf, IT und Stammdatenpflege. Quartalsweise Phishing- und Social-Engineering-Tests mit Feedback.
• Vorbildfunktion des Managements: Keine Sonderwege bei Freigaben. Wenn Führungskräfte Prozesse umgehen, wirkt identisches Verhalten durch Täter glaubwürdig.
• Kommunikation und Notfallplan: Über aktuelle Maschen intern informieren. Klarer Ablauf bei Verdacht: Zahlstopp, Rückruf über Zweitkanal, Bank kontaktieren, Beweise sichern, Forensik einbinden.

CEO Fraud Blog - Ihr Ratgeber im Kampf gegen den raffinierten "Enkeltrick für Unternehmen".

➛

Zum CEO Fraud Blog