CEO-Fraud 2.0: So schützen sich Unternehmen vor KI-Betrug

Das Wichtigste in Kürze

• CEO-Fraud zielt auf Zahlungs- und Freigabeprozesse sowie auf das Vertrauen in bekannte Personen und Hierarchien.
• KI erhöht die Glaubwürdigkeit gefälschter Nachrichten. Dokumente, Stimmen und Videos können überzeugend nachgebildet werden, weshalb Sprache und Form einer Weisung nicht mehr genügen, um den Ursprung der Nachricht zu verifizieren.
• Mehrere Bestätigungen bieten keinen Schutz, wenn sie aus derselben manipulierten Quelle stammen.
• Neue Zahlungsempfänger, hoher Zeitdruck und Abweichungen vom Standardprozess sind zentrale Warnsignale.
• Risikominimierend wirken klare Zuständigkeiten, unabhängige Prüfungen und verbindliche Eskalationswege.

CEO-Fraud erkennen: So baut sich die Täuschung auf

CEO-Fraud richtet sich insbesondere an Personen, die Zahlungen vorbereiten, veranlassen oder freigeben können. 

Der Angriff beginnt häufig harmlos: mit einer kurzen Nachricht per Messenger, scheinbar von ganz oben. Man arbeite an einer streng vertraulichen Transaktion und benötige kurzfristig Unterstützung. Ein Name, den man kennt. Ein Ton, der vertraut wirkt. Dann folgt möglicherweise die Weiterleitung an eine renommierte Kanzlei. Der genannte Partner existiert tatsächlich und lässt sich in Sekunden im Netz finden. Alles wirkt echt. Nur die Person am anderen Ende ist es nicht.

Was anschließend folgt, ist der eigentliche Trick: ein sanfter Wechsel des Kommunikationskanals. Weg von den regulären Unternehmenssystemen, hinein in eine vermeintlich sichere Umgebung, die täuschend echt aussieht, in Wahrheit aber von den Tätern kontrolliert wird. Eine Vertraulichkeitsvereinbarung vermittelt das Gefühl, in einen kleinen, exklusiven Kreis eingeweiht zu sein. Diskretion und Zeitdruck sollen verhindern, dass weitere Personen einbezogen oder etablierte Abstimmungswege genutzt werden.

Besondere Aufmerksamkeit ist deshalb geboten, wenn eine Nachricht Vertraulichkeit und Dringlichkeit mit einer Ausnahme vom üblichen Vorgehen verbindet. Weitere Warnsignale sind neue oder für den Vorgang ungewöhnliche Zahlungsempfänger, kurzfristig geänderte Bankverbindungen und die Aufforderung, nicht zurückzurufen oder auf einen externen Kanal zu wechseln.

Am Ende steht eine Zahlung, die innerhalb des inszenierten Kommunikationsverlaufs plausibel und autorisiert erscheint. Die Täuschung beruht nicht auf einem einzelnen gefälschten Element, sondern auf einer in sich stimmigen Kommunikationskette. Gerade deshalb fühlt sie sich möglicherweise zu keinem Zeitpunkt wie ein Betrugsversuch an.

Warum mehrere Bestätigungen noch keine Sicherheit schaffen

Der entscheidende Punkt wird häufig übersehen Jede vermeintliche Bestätigung, die Sicherheit gab, kam aus derselben Quelle. Der „Chef“, der „Anwalt“, die „Dokumente“, die „sichere Plattform“ waren allesamt der Täter.

Mehrere Bestätigungen erhöhen die Sicherheit nur, wenn sie unabhängig voneinander erfolgen. Bestätigt eine angebliche Führungskraft eine Zahlung über den Link, die Plattform oder die Kontaktdaten aus der verdächtigen Nachricht, bleibt die Prüfung Teil derselben Täuschung.

Die entscheidende Frage lautet daher nicht: „Liegt eine Bestätigung vor?“ Sie lautet: „Wurde die Anweisung über einen wirklich unabhängigen und bekannten Kanal bestätigt?“ Ein Rückruf über eine im Unternehmensverzeichnis hinterlegte Nummer oder eine persönliche Rückfrage über einen etablierten Kommunikationsweg durchbricht die vom Täter aufgebaute Kette.

Dieser Grundsatz gilt auch für Stimmen, Videobilder und formal korrekte Dokumente. Sie können eine Anfrage plausibel erscheinen lassen, ersetzen jedoch keine unabhängige Verifizierung. Wie überzeugend solche Elemente heute gestaltet werden können, hängt eng mit der Verbindung öffentlich verfügbarer Informationen und KI-gestützter Werkzeuge zusammen.

Wie OSINT und KI die Qualität von CEO-Fraud verändern

Das Betrugsmuster selbst ist nicht neu; verändert haben sich jedoch durch technische Möglichkeiten Qualität, Geschwindigkeit und die Skalierbarkeit der Umsetzung. Zwei Entwicklungen greifen dabei ineinander:

Zum einen nutzen Täter Open-Source-Intelligence, kurz OSINT, um geleakte Dokumente aus dem Darknet, Inhalte von öffentlich zugänglichen Profilen in sozialen Netzwerken und Unternehmenswebsites in ein erstaunlich genaues Bild von Personen, Hierarchien und internen Abläufen in Unternehmen zu übersetzen.

Zum anderen erleichtert künstliche Intelligenz die Umsetzung solcher Angriffe: Sie hilft Tätern, E-Mails im Stil bekannter Personen zu formulieren, Unterlagen glaubwürdig zu gestalten sowie Stimmen oder Videoanrufe nachzuahmen.

Hinzu kommt ein zunehmend arbeitsteiliges Betrugsökosystem. Daten, Angriffswerkzeuge und spezialisierte Dienstleistungen können auch von Tätern ohne tiefgehende technische Kenntnisse genutzt werden. Das Betrugsmuster bleibt im Kern bestehen, seine professionelle und skalierbare Umsetzung kann jedoch die Abwehr erschweren.

Wie Unternehmen Zahlungs- und Freigabeprozesse absichern können

Der Schutz vor CEO-Fraud sollte nicht allein davon abhängen, dass einzelne Mitarbeitende einen Angriff rechtzeitig erkennen. Entscheidend ist, welche Kontrollen bei ungewöhnlichen oder risikoreichen Vorgängen automatisch greifen.

• Risikofälle definieren: Neue Empfänger, geänderte Bankverbindungen, ungewöhnliche Beträge und Abweichungen vom Standardprozess sollten zusätzliche Kontrollen auslösen.
• Vier-Augen-Prinzip: Die zweite Person sollte Empfänger, Zahlungsgrund und Kontodaten eigenständig prüfen, statt eine vorbereitete Zahlung nur formal freizugeben.
• Zulässige Wege und Zuständigkeiten verbindlich dokumentieren: Legen Sie fest, welche Kanäle für welche Zahlungsanweisungen verwendet werden dürfen. Ein kurzer Leitfaden mit Ansprechpartnern erleichtert das richtige Handeln im Verdachtsfall.
• Ausnahmen verbindlich regeln: Auch bei dringenden oder vertraulichen Vorgängen müssen klare Vertretungs- und Eskalationswege gelten.
• Zahlungsstopps ermöglichen: Mitarbeitende müssen wissen, wer eine verdächtige Transaktion kurzfristig unterbrechen kann.

Technische Sicherheitsmaßnahmen bleiben dabei ein wichtiger Baustein. Sie können etwa verdächtige E-Mails erkennen, Zugriffe absichern oder ungewöhnliche Zahlungsaktivitäten sichtbar machen. Sie ersetzen jedoch keine klar geregelten Freigabe- und Eskalationsprozesse.

CEO-Fraud-Verdacht: So können Unternehmen Schäden begrenzen

Wenn aus einem unguten Gefühl ein konkreter Verdacht wird, zählt vor allem eines: keine Zeit verlieren und dennoch koordiniert handeln. Ist die Zahlung noch nicht ausgeführt, sollte sie zunächst angehalten und der Vorgang über die vorgesehenen internen Wege eskaliert werden. Dem vermeintlichen Auftraggeber über den verdächtigen Kanal weiter zu folgen, wäre jetzt der falsche Reflex. Stattdessen gilt es, die Kommunikationskette zu verlassen und die Anweisung über einen bekannten Kontaktweg zu prüfen.

Ist das Geld bereits überwiesen, beginnt ein Wettlauf gegen die Zeit. Das Unternehmen sollte umgehend seine Bank kontaktieren und klären, ob sich die Transaktion noch stoppen oder zurückrufen lässt. Gleichzeitig müssen die zuständigen Stellen aus Finance, Compliance, Legal und Cybersecurity beziehungsweise Incident Response zusammenkommen. Je klarer Rollen und Meldewege im Vorfeld definiert sind, desto schneller kann das Unternehmen reagieren.

Ebenso wichtig ist es, Spuren zu sichern. E-Mails, Messenger-Verläufe, Rufnummern, Links, zugesandte Dokumente, Zahlungsbelege und relevante Systemprotokolle können helfen, den Ablauf nachzuvollziehen. Dabei ist eine zentrale Frage zu klären: Haben die Täter lediglich die Identität einer Führungskraft imitiert – oder tatsächlich ein E-Mail-Konto beziehungsweise einen anderen Zugang kompromittiert?

Der Blick darf sich nicht auf die einzelne Zahlung beschränken. Möglicherweise wurden weitere Transaktionen vorbereitet, Bankverbindungen verändert oder zusätzliche Mitarbeitende kontaktiert. Abhängig vom Sachverhalt kann es erforderlich sein, Forensik-Spezialist:innen, Versicherungen oder Ermittlungsbehörden einzubeziehen.

Ist die akute Gefahr eingedämmt, folgt die Aufarbeitung: Welche Kontrolle wurde umgangen und welche Anpassung kann verhindern, dass dieselbe Täuschung erneut funktioniert?

Wie Führungskräfte eine wirksame Sicherheitskultur etablieren

Awareness ist bei CEO-Fraud vor allem eine Führungs- und Governance-Aufgabe. Mitarbeitende wenden festgelegte Kontrollen nur konsequent an, wenn Geschäftsführung und Finanzleitung deutlich machen, dass Rückfragen auch bei dringenden oder vertraulichen Vorgängen ausdrücklich erwünscht sind.

Eine wirksame Sicherheitskultur bedeutet nicht, jede Anfrage grundsätzlich infrage zu stellen. Sie gibt Mitarbeitenden vielmehr die Sicherheit, einen Vorgang bei begründeten Zweifeln zu unterbrechen und ohne negative Konsequenzen zu eskalieren.

Führungskräfte sollten deshalb selbst keine informellen Ausnahmen einfordern oder Zahlungsanweisungen über nicht vorgesehene Kanäle erteilen. Andernfalls entsteht eine Praxis, die Täter gezielt nachahmen können.

Praxisnahe Übungen sollten typische Entscheidungssituationen aufgreifen: eine kurzfristige Transaktion, eine geänderte Bankverbindung, einen vermeintlichen Anruf der Geschäftsführung oder die Aufforderung zum Wechsel auf einen privaten Messenger. Dabei sollte nicht nur das Erkennen eines möglichen Angriffs trainiert werden, sondern auch die richtige Reaktion. Die Ergebnisse können genutzt werden, um Rollen und Abläufe gezielt weiterzuentwickeln.

Häufig gestellte Fragen