CEO-Fraud ist Betrug, bei dem sich Täter als Geschäftsführung ausgeben und eine eilige Überweisung verlangen. Neu ist, dass die Stimme am Telefon dank KI täuschend echt klingen kann. Der wirksamste Schutz ist deshalb kein technischer, sondern ein organisatorischer: Keine Zahlung ohne Rückruf über eine bekannte Nummer und ohne Vier-Augen-Prinzip, egal wie dringend es klingt.
Wie der Betrug heute abläuft
Die Täter sammeln vorab Informationen: Namen aus dem Impressum, Stimmen aus Videos und Podcasts, Abwesenheiten aus sozialen Netzwerken. Dann meldet sich der vermeintliche Geschäftsführer per E-Mail oder Anruf bei der Buchhaltung: Eine vertrauliche Übernahme, eine dringende Anzahlung, bitte diskret und sofort. Der Druck ist Teil der Masche. In KI-gestützten Varianten ruft eine geklonte Stimme an oder erscheint sogar in einer Videokonferenz. Wenige Sekunden Sprachmaterial reichen dafür heute aus.
Fünf Warnzeichen, die fast immer dabei sind
Erstens Zeitdruck: Es muss heute noch passieren. Zweitens Geheimhaltung: Bitte mit niemandem sprechen. Dritten ein neuer Zahlungsweg: Eine unbekannte Kontonummer, oft im Ausland. Viertens ein ungewöhnlicher Kanal: Der Chef, der sonst persönlich kommt, schreibt plötzlich von einer privaten Adresse. Fünftens Abweichungen im Detail: Anrede, Tonfall oder Signatur passen nicht ganz. Jedes dieser Zeichen allein ist harmlos, zwei zusammen sind ein Stoppsignal.
Was gegen Deepfakes wirklich hilft
Technische Erkennung von Deepfakes ist heute unzuverlässig, deshalb setzen wir bei unseren Kunden auf Verfahren, die auch bei perfekter Fälschung greifen. Rückruf über eine bekannte Nummer, niemals über die Nummer aus der Nachricht selbst. Ein vereinbartes Kennwort für Zahlungsfreigaben, das nur intern bekannt ist. Vier-Augen-Prinzip ab einem festgelegten Betrag, ohne Ausnahme für die Geschäftsführung. Und die klare Ansage von oben: Wer eine verdächtige Anweisung hinterfragt, bekommt Lob, keinen Ärger.
Die technische Seite: Was Ihre IT beitragen muss
Viele CEO-Fraud-Fälle beginnen mit einem gekaperten E-Mail-Konto oder einer gefälschten Absenderadresse. Mehrfaktor-Anmeldung für alle Postfächer, korrekt eingerichtete E-Mail-Authentifizierung (SPF, DKIM, DMARC) und eine Warnung bei externen Absendern im Posteingang nehmen den Tätern die einfachsten Wege. Auch das Sperren von automatischen Weiterleitungen nach außen gehört dazu, denn damit lesen Angreifer oft wochenlang mit, bevor sie zuschlagen.
Was Sie im Verdachtsfall tun
Zahlung stoppen oder, falls schon ausgeführt, sofort die Bank anrufen: In den ersten Stunden lassen sich Überweisungen manchmal noch zurückholen. Das betroffene E-Mail-Konto sperren und Passwörter ändern. Anzeige bei der Polizei erstatten, in Niedersachsen über die Zentrale Ansprechstelle Cybercrime. Und den Vorfall intern offen besprechen, damit die nächste Kollegin nicht in dieselbe Falle läuft.
Häufige Fragen
Kann man Deepfake-Stimmen am Telefon erkennen?
Nicht zuverlässig. Deshalb sind Rückruf über eine bekannte Nummer und das Vier-Augen-Prinzip die entscheidenden Schutzmaßnahmen, nicht das Erkennen der Fälschung.
Sind kleine Unternehmen überhaupt betroffen?
Ja, sogar besonders. Die Täter suchen Firmen, in denen wenige Personen Zahlungen freigeben und die Geschäftsführung häufig unterwegs ist.
Was ist, wenn die Anweisung wirklich vom Chef kam?
Dann kostet der Rückruf zwei Minuten. Kein Geschäftsführer wird sich beschweren, dass seine Buchhaltung eine Überweisung geprüft hat.
Welche technischen Maßnahmen sind Pflicht?
Mehrfaktor-Anmeldung für alle Konten, E-Mail-Authentifizierung mit SPF, DKIM und DMARC, gesperrte Weiterleitungen nach außen und regelmäßige Mitarbeiterschulung.
Schutz vor CEO-Fraud einrichten
Wir prüfen Ihre E-Mail-Absicherung, richten Mehrfaktor-Anmeldung ein und schulen Ihr Team mit echten Beispielen. Team Data GmbH, IT-Security aus Osnabrück.
