CEO-Fraud einfach erklärt
Der Name verbindet die englische Abkürzung für die Person an der Unternehmensspitze (Chief Executive Officer) mit dem Wort „fraud“ für Betrug. Im Deutschen heißt die Masche auch Chef-Masche, international ist zudem „Fake President Fraud“ verbreitet. Gemeint ist jeweils dasselbe: Eine Person, die Zahlungen ausführen darf, erhält eine Anweisung, die scheinbar von ganz oben kommt, und soll sie ohne die üblichen Prüfschritte umsetzen.
Technisch ist an der Masche wenig raffiniert. Zum Beispiel genügt eine Absenderadresse, die der echten ähnelt, oder ein Anzeigename, der nur „Geschäftsführung“ lautet. Ihre Wirkung beruht auf Respekt vor der Hierarchie und auf Zeitdruck. CEO-Fraud gehört damit zum Social Engineering und ist eng mit dem Phishing verwandt, zielt aber nicht auf Passwörter, sondern unmittelbar auf Geld.
Woran sich die Masche verrät
Die Nachrichten unterscheiden sich im Wortlaut, folgen aber einem wiederkehrenden Muster:
- Vertraulichkeit: Es geht angeblich um eine Firmenübernahme, eine Behördenangelegenheit oder ein heikles Geschäft, über das niemand sprechen darf, auch nicht mit der eigenen Vorgesetzten.
- Ausnahme vom Ablauf: Die zweite Unterschrift soll diesmal entfallen, das Zielkonto ist unbekannt, etwa bei einer Bank im Ausland.
- Druck und Lob: Die Zahlung muss heute noch raus, verbunden mit dem Hinweis, man verlasse sich gerade auf genau diese Person.
- Wechsel des Kanals: Nach der ersten E-Mail meldet sich ein angeblicher Anwalt oder Berater per Telefon, damit keine schriftliche Spur entsteht.
Vorbereitet wird der Angriff mit öffentlich zugänglichen Angaben. Aus dem Handelsregister geht hervor, wer zur Geschäftsführung gehört; Impressum, Pressemitteilungen und Online-Profile zeigen, wer Rechnungen bearbeitet. Den Zeitpunkt liefert manchmal eine automatische Antwort, die jedem externen Absender mitteilt, dass die Chefin bis auf Weiteres nicht erreichbar ist.
Falscher Lieferant und gefälschte Stimme
Eine weitere Variante setzt nicht bei der Geschäftsführung an, sondern bei einem Lieferanten. Eine Nachricht kündigt eine neue Bankverbindung an, manchmal aus dem echten, aber gekaperten Postfach des Geschäftspartners. Die nächste Rechnung landet dann auf dem Konto der Täter.
Mit künstlicher Intelligenz kommt eine neue Ebene hinzu. Das BSI, die Cybersicherheitsbehörde des Bundes, hat dazu am 22. Juni 2026 eine Sicherheitsinformation veröffentlicht. Darin nennt es gefälschte Stimmen bei Anrufen und Deepfake-Videos in Onlinebesprechungen und stuft solche Angriffe als schwer erkennbar ein (Stand: Oktober 2026). Eine vertraute Stimme ist deshalb kein Beweis mehr dafür, dass wirklich die Chefin anruft.
Die Geschäftsführerin ist verreist, die Anweisung kommt trotzdem
Angenommen, ein Hersteller von Messebau-Systemen mit 45 Mitarbeitenden schickt seine Geschäftsführerin für zwei Wochen in den Urlaub. Ihre Abwesenheitsnotiz nennt Zeitraum und Vertretung. Drei Tage später erhält ein Sachbearbeiter im Rechnungswesen eine E-Mail mit ihrem Namen. Man stehe kurz vor dem Kauf eines Wettbewerbers, er möge eine Anzahlung an eine Kanzlei überweisen und vorerst mit niemandem darüber sprechen. Kurz darauf ruft ein Mann an, der sich als zuständiger Rechtsanwalt vorstellt und die Kontodaten durchgibt.
Der Sachbearbeiter zögert, weil die Zahlung die Grenze überschreitet, ab der eine zweite Person freigeben muss. Er ruft die Geschäftsführerin auf ihrer Mobilnummer aus dem internen Telefonverzeichnis an. Sie weiß von nichts. Danach stellt das Unternehmen die Abwesenheitsnotizen so ein, dass externe Absender nur einen allgemeinen Hinweis ohne Namen der Vertretung erhalten.
Abläufe, an denen der Betrug scheitert
Gegen CEO-Fraud wirken vor allem feste Regeln, die auch dann gelten, wenn die Anweisung scheinbar von oben kommt:
- Ab einem vorher bestimmten Betrag braucht eine Überweisung zusätzlich die Zustimmung einer zweiten Person, ohne Ausnahme für „vertrauliche“ Vorgänge.
- Neue oder geänderte Bankverbindungen werden über eine Nummer bestätigt, die schon vorher bekannt war, nicht über Kontaktdaten aus der Nachricht selbst.
- Die Geschäftsführung erklärt ausdrücklich, dass sie solche Sonderwege nicht verlangt. Das nimmt dem Team die Sorge, sich mit einer Rückfrage unbeliebt zu machen.
- Abwesenheitsnotizen und öffentliche Angaben über Zuständigkeiten verraten nach außen nur das Nötigste.
Technik ergänzt diese Regeln. Filter vor dem Postfach und die Absenderprüfung mit SPF, DKIM und DMARC helfen, Mails abzuweisen, die Ihre eigene Domain fälschen. Kommt die angebliche Chef-Mail von einer Adresse mit vertauschtem oder zusätzlichem Buchstaben, greift die Absenderprüfung nicht. Dann zeigt ein sichtbarer Hinweis, dass die Nachricht von außen stammt.
Gegen Anrufe wirkt keine dieser Maßnahmen. Regelmäßige Auffrischungen unter dem Stichwort Security Awareness halten die Rückfrage im Alltag präsent. Weitere Schutzbausteine ordnet unsere Übersicht IT-Sicherheit für Unternehmen ein.
Ist eine Überweisung bereits ausgeführt, kommt es auf Tempo an: Informieren Sie umgehend Ihre Bank, damit sie einen Rückruf der Zahlung versucht, und erstatten Sie Anzeige bei der Polizei. Ob das Geld zurückkommt, lässt sich nicht vorhersagen. Praktische Prüfschritte für verdächtige Nachrichten finden Sie im Ratgeber Phishing erkennen.
Wie ProNet unterstützt
Für Ihre Domain richten wir vorgelagerte Filter und die Prüfung der Absender ein, auf Wunsch auch Warnhinweise für Nachrichten von außen. In einer kurzen Einweisung zeigen wir Ihren Mitarbeitenden, woran sie gefälschte Zahlungsaufforderungen erkennen. Was dazugehört, beschreibt unsere Seite zur E-Mail-Sicherheit für Unternehmen.