Wenn der Chef plötzlich Geld will: Was ist CEO Fraud?
Eine E-Mail vom Chef. Kurz, dringlich, glaubwürdig:
„Bitte überweisen Sie schnell 4.900 Euro auf dieses Konto. Das Projekt darf nicht verzögert werden! Ich bin gerade in einem wichtigen Termin.“
Kein ungewöhnlicher Betrag und die E-Mail kommt auch auf dem ersten Blick vom Chef. Die Überweisung wird veranlasst und wenige Minuten später ist das Geld weg. Erst Stunden später fällt auf: Die Nachricht kam gar nicht vom Chef.
Dieses Szenario nennt man CEO Fraud – auch bekannt als Chef-Betrug. Dabei geben sich Cyberkriminelle als Geschäftsführer, leitende Angestellte oder Geschäftspartner aus, um Mitarbeitende zu täuschen und zu Überweisungen oder zur Herausgabe vertraulicher Informationen zu bewegen.
Typisch sind scheinbar kleine Beträge, die unterhalb interner Freigabegrenzen liegen und deshalb besonders schnell überwiesen werden. Doch es gibt auch Fälle, in denen Betrüger mit viel Aufwand und Vorbereitung hohe Summen erbeuten – teils im sechsstelligen Bereich.
Das Heimtückische daran: CEO Fraud nutzt keine technischen Sicherheitslücken, sondern Social Engineering – also gezielte Manipulation von Menschen. Mit Autorität, Druck und glaubwürdigem Auftreten schaffen es die Täter, Vertrauen auszunutzen und Handlungsdruck zu erzeugen.
Beispiele:
- Eine Nachricht bittet um die vertrauliche Weitergabe von Mitarbeiterdaten für eine „interne Prüfung“.
- Eine gefälschte Mail scheinbar vom „CEO“ fordert die Buchhaltung auf, „dringend“ Geld auf ein ausländisches Konto zu überweisen.
- Ein angeblicher Geschäftsführer verlangt per E-Mail den Kauf und Versand von Geschenkkarten für „wichtige Kunden“.
Wie funktioniert CEO Fraud?
Beim CEO Fraud gehen Kriminelle äußerst gezielt vor. Zunächst sammeln sie Informationen über das Unternehmen – zum Beispiel über Mitarbeitende, Strukturen oder aktuelle Projekte. Anschließend nehmen sie Kontakt auf, oft per E-Mail oder Telefon, und geben sich überzeugend als Geschäftsführung oder leitende Person aus.
Die Nachricht klingt glaubwürdig, ist meist sehr dringend und fordert eine Überweisung oder die Herausgabe vertraulicher Daten. Typisch ist der Hinweis auf Vertraulichkeit oder Zeitdruck: „Bitte erledigen Sie das sofort, ich bin gerade in einem wichtigen Termin.“
Psychologisch setzen die Täter auf drei Hebel: Autorität, Dringlichkeit und Vertrauen. Gerade kleinere Beträge – etwa 4.900 Euro – werden so oft ohne Rückfrage überwiesen, weil sie unterhalb interner Freigabegrenzen liegen.
Im Falle von E-Mails nutzen die Angreifer oft als Anzeigenamen den Namen des Geschäftsführers. Die Absenderadresse stimmt zwar nicht überein, aber auf den ersten Blick gelingt die Täuschung so. Insbesondere weil die genaue Adresse auf Geräten mit kleinerem Bildschirm (z.B. Smartphone, Tablet) standardmäßig ausgeblendet ist.
Präventionsmaßnahmen: Was schützt vor CEO Fraud?
1. Technische Absicherung der E-Mail-Domain
Richten Sie Sicherheitsstandards wie SPF, DKIM und DMARC ein. Diese verhindern, dass Kriminelle E-Mails unter Ihrer Firmenadresse fälschen und so täuschend echte Nachrichten im Namen Ihres Unternehmens versenden können.
2. Klare Prozesse und Kontrollmechanismen
Führen Sie das Vier-Augen-Prinzip bei sensiblen Zahlungen ein. Kein Mitarbeiter sollte allein Überweisungen freigeben können – egal, wie dringend eine Anfrage wirkt. Ergänzend helfen Awareness-Schulungen und regelmäßige Phishing-Tests, damit Mitarbeitende verdächtige Nachrichten schneller erkennen.
3. Bonus-Tipp: Zeitlich sicher überweisen
Führen Sie Überweisungen nur während der üblichen Geschäftszeiten durch. Sollte sich eine Transaktion später als betrügerisch herausstellen, besteht dann zumindest die Chance, die Zahlung über die Bank noch zu stoppen.
4. Identitätsschutz mit Microsoft 365-Regeln
Auch in der Cloud lassen sich Schutzmechanismen einbauen: In Microsoft 365 können Identitätsrichtlinien, Anomalieerkennung und Kommunikationsregeln helfen, verdächtige Anmeldeversuche oder ungewöhnliche E-Mail-Muster frühzeitig zu erkennen.
CEO fraud mit Impersonation protection vorbeugen
Diese Präventionsmaßnahme erfordert eine Lizenz für den Microsoft Defender für Office 365. In Microsoft 365 Business Standard ist diese Lizen nicht enthalten und muss als Add-on hinzugefügt werden. In Microsoft 365 Business Premium ist sie bereits enthalten.
Die Impersonation protection wird in einer Antiphishing-Richtlinie aktiviert und nennt sich dort Schutz vor Identitätsdiebstahl.
Solche Richtlinien können hier verwaltet werden: https://security.microsoft.com/antiphishing
Nicht vergessen, festzulegen, was mit erkannten Mails passieren soll:
- Extrem schnell implementiert.
- Der Algorithmus zur Erkennung einer Impersonation ist gut und wird von Microsoft gepflegt.
Nachteile dieser Maßnahme:
- E-Mails werden direkt geblockt oder in den Junk-Ordner geschoben. Ein einfacher Hinweis im Betreff und / oder Body der Nachricht ist nicht möglich.
- Höhere Lizenzkosten
CEO fraud mit einfacher E-Mail-Fluss-Regel vorbeugen
Diese Präventionsmaßnahme erfordert keine besondere Lizenz - E-Mail-Fluss-Regeln funktionieren in jeder Exchange Online Umgebung. Diese Maßnahme ist das Mittel der Wahl, wenn die Nutzer nur über eine Exchange Online Lizenz oder eine Microsoft 365 Business Standard Lizenz verügen.
Im Wesentlichen definieren wir Namen, die als Absendername (From-Field) nur dann verwendet werden dürfen, wenn die Mail auch wirklich von einer verifizierten E-Mail-Adresse versendet wurde. E-Mails, die durch die Regel erkannt werden, werden mit einem Hinweis im Betreff und Body der E-Mail markiert:
Eine solche Regel kann hier angelegt werden: https://admin.cloud.microsoft/exchange#/transportrules
Der HTML-Code für einen solchen Banner sieht so aus:
<table border=0 cellspacing=0 cellpadding=0 align="left" width="100%">
<tr>
<td></td>
<td width="100%" cellpadding="7px 6px 7px 15px">
<div>
<span> Achtung: Verdacht auf CEO Fraud / Phishing!</span>
Die E-Mail zeigt den Namen einer wichtigen Person, aber wurde nicht von der verifizierten E-Mail-Adresse versendet.
Es besteht hohe Wahrscheinlichkeit, dass es sich um eine betrügerische Nachricht handelt.<br><br>
Kontaktieren Sie den angeblichen Absender über einen alternativen Kanal (z. B. telefonisch oder persönlich), um die
Echtheit der Nachricht zu bestätigen.
</div>
</td>
</tr>
</table>
<br/>Vorteile dieser Maßnahme:
- Es sind keine besonderen Lizenzen erforderlich
Nachteile dieser Maßnahme:
- Es gibt Wege, wie Angreifer das Textmuster aus der E-Mail-Regel umgehen können. Beispielsweise könnten zwei aufeinanderfolgende Leerzeichen genutzt werden, um Vor- und Nachname zu trennen. Darum macht es unter Umständen sinn, auch den Nachnamen als seperates Textmuster aufzunehmen.
- Die Pflege von CEOs / VIPs ist etwas aufwändiger.
Mit Awareness-Trainings & Phishing-Simulationen CEO Fraud vorbeugen
Technische Schutzmaßnahmen sind wichtig – aber der beste Schutz bleibt ein wachsames Team. Mit unseren Awareness-Trainings und realistischen Phishing-Simulationen sensibilisieren wir Ihre Mitarbeitenden nachhaltig für Betrugsversuche wie CEO Fraud. So entsteht eine Sicherheitskultur, die Angreifern keine Chance lässt – einfach, praxisnah und vollständig betreut im Rundum-sorglos-Paket.
Jetzt handeln - bevor es zu spät ist
Ob in Hannover, Leipzig oder deutschlandweit: Wir unterstützen Unternehmen dabei, ihre IT sicherer zu machen – technisch, organisatorisch und menschlich. Wenn Sie Fragen zu IT-Sicherheit, E-Mail-Schutz oder Awareness-Strategien haben, sprechen Sie uns an.
Kontaktieren Sie uns – wir helfen Ihnen gern weiter, bevor aus einer verdächtigen E-Mail ein echter Schaden entsteht.
