CEO-Fraud und Social Engineering: Warum Ihre Exposition das Einfallstor ist

Die meisten Awareness-Trainings behandeln die letzte Sekunde des Angriffs: den Moment, in dem jemand in der Buchhaltung auf „Überweisen" klickt. Der Angriff selbst beginnt Wochen vorher, ohne eine einzige Mail an Ihr Unternehmen, mit frei verfügbaren Informationen. Wer diese Vorbereitung versteht, erkennt den wirksamsten und am meisten vernachlässigten Hebel der Prävention: dem Angreifer das Material zu entziehen, bevor die erste Nachricht geschrieben ist.

Wie ein Angriff tatsächlich abläuft

1. Zielauswahl: Interessant sind Unternehmen mit erkennbarer Zahlungsfähigkeit und erkennbaren Strukturen: Pressemitteilungen über Zukäufe, Stellenanzeigen der Buchhaltung, Registerdaten. Die Auswahl ist Fleißarbeit, keine Kunst.
2. Recherche: Über Wochen entsteht ein Dossier: Wer entscheidet, wer zahlt an, wer vertritt wen, wann ist der Chef nicht greifbar, wie klingt er, wie schreibt er. Alles dafür Nötige liegt in offenen Quellen.
3. Vorwand: Aus dem Dossier wird eine Geschichte gebaut, die zur Lage des Unternehmens passt: eine vertrauliche Firmenübernahme, eine dringende Anzahlung an einen realen Lieferanten, eine Steuersache mit angeblicher Kanzlei.
4. Timing: Angegriffen wird, wenn Verifikation schwer ist: während der Konferenzreise des Geschäftsführers, am Freitagnachmittag, vor Feiertagen, im Urlaub der Buchhaltungsleitung. Die Termine dafür liefert oft das Unternehmen selbst.
5. Ausführung: Eine Anweisung mit Autorität, Zeitdruck und Vertraulichkeitsgebot: „Das bleibt zwischen uns, es geht um eine börsenrelevante Sache, die Zahlung muss heute raus." Rechtlich ist das schlicht Betrug (§ 263 StGB). Praktisch ist es angewandte Psychologie mit gründlicher Vorbereitung.

Die Chef-Masche ist dabei nur die bekannteste Variante einer Familie von Angriffen, die alle nach demselben Muster funktionieren. Beim Bestellerbetrug und der gefälschten Lieferantenrechnung wird nicht der Vorstand imitiert, sondern ein realer Geschäftspartner, meist verbunden mit einer angeblich geänderten Bankverbindung. Bei der Anwalts-Variante meldet sich eine angebliche Kanzlei im Auftrag der Geschäftsführung, gern im Kontext einer erfundenen Übernahme. Und bei der Gehaltsumleitung bittet ein vermeintlicher Mitarbeiter die Personalabteilung, das Gehaltskonto zu ändern. In allen Fällen gilt: Die Qualität der Vorab-Recherche entscheidet über den Erfolg, nicht die Technik.

Welches Material die Angreifer nutzen und wo es herkommt

• Organigramm und Zuständigkeiten: LinkedIn-Profile („Accounts Payable", „Assistenz der Geschäftsführung"), Teamseiten, Pressemitteilungen. Wer anweisen darf und wer ausführt, ist meist vollständig rekonstruierbar.
• Abwesenheiten und Reisen: Konferenz-Speakerlisten, Messeauftritte, Social-Media-Posts vom Flughafen, automatische Abwesenheitsnotizen mit Vertretungsregelung. Der Satz „Ich bin bis Freitag in Singapur" ist für den Angreifer ein Startsignal.
• Sprach- und Schreibmuster: Interviews, Podcasts, Konferenzvideos, Grußworte. Daraus lernt der Angreifer Tonfall, Anrede und Formulierungen; zunehmend dienen sie auch als Rohmaterial für Stimm- und Videoimitate.
• Lieferanten- und Kundenbeziehungen: Referenzlisten, gemeinsame Pressemitteilungen, Ausschreibungsdatenbanken. Eine gefälschte Rechnung eines realen Lieferanten ist ungleich glaubwürdiger als eine erfundene.
• Technische Nebenspuren: Mail-Konventionen aus Impressum und Signaturen, Namen und Pfade in Dokument-Metadaten, private Kontaktdaten der Entscheider aus Leaks und Verzeichnissen.

Nicht alles davon ist vermeidbar, und das ist auch nicht das Ziel. Die Sichtbarkeit der Geschäftsführung ist gewollt; ein Unternehmen ohne Außenauftritt gibt es nicht. Vermeidbar ist die zweite Hälfte des Dossiers: Reise-Ankündigungen in Echtzeit, detailverliebte Zuständigkeitsangaben in Profilen, Abwesenheitsnotizen mit Hierarchieinformationen, offene private Kontaktpfade der Entscheider. Genau diese Hälfte unterscheidet den plumpen Versuch, der im Spamfilter endet, vom maßgeschneiderten Angriff, der durchgeht.

Die Zahlen: Was sich belegen lässt und was nicht

Seriös belegen lässt sich die Größenordnung des Umfelds. Die Bitkom-Studie Wirtschaftsschutz 2025 beziffert den jährlichen Gesamtschaden durch Datendiebstahl, Spionage und Sabotage auf 289,2 Milliarden Euro, davon 202,4 Milliarden durch Cyberangriffe; 87 Prozent der befragten Unternehmen waren betroffen. Das BKA registrierte im Bundeslagebild Cybercrime 2024 rund 131.000 in Deutschland verübte Cybercrime-Straftaten, dazu über 200.000 aus dem Ausland oder von unbekannten Orten verübte Taten. Eine eigene amtliche Statistik nur für CEO-Fraud gibt es nicht; kursierende Einzelzahlen dazu sind meist Hochrechnungen von Anbietern. Für die Budgetdiskussion reicht die belegte Aussage: Die Angriffsform ist etabliert, die Schäden im Einzelfall erreichen Millionenhöhe und die Vorbereitung läuft über offene Quellen.

Stimme und Video: nüchtern eingeordnet

Der bislang bekannteste dokumentierte Fall zeigt, wohin sich die Masche entwickelt hat: Beim britischen Ingenieurkonzern Arup überwies Anfang 2024 ein Mitarbeiter der Niederlassung Hongkong nach einer Videokonferenz rund 200 Millionen Hongkong-Dollar (etwa 25,6 Millionen US-Dollar) in 15 Transaktionen. Die Gesprächsteilnehmer, darunter der vermeintliche Finanzvorstand, waren nach Angaben der Hongkonger Polizei Deepfakes, erstellt aus öffentlich verfügbarem Videomaterial der echten Personen.

Zwei nüchterne Schlüsse daraus. Erstens: Öffentlich verfügbares Sprach- und Videomaterial von Führungskräften ist Rohmaterial für Imitate; je mehr davon kursiert, desto leichter fällt die Fälschung. Vollständig entziehen lässt es sich bei einer öffentlichen Rolle nicht, reduzieren und im Risikobild berücksichtigen schon. Zweitens und wichtiger: Die Verteidigung darf nicht auf dem Erkennen der Fälschung beruhen. Wer von Mitarbeitern erwartet, ein Stimmimitat am Klang zu enttarnen, verlangt etwas, das im Ernstfall unter Zeitdruck unzuverlässig ist. Ein Rückruf über eine unabhängig bekannte Nummer schlägt jede Echtheitsprüfung nach Gehör.

Die eigentliche Zielgruppe: Vorzimmer und Buchhaltung

Der Angriff trägt den CEO im Namen, gerichtet ist er an andere: an die Assistenz, die Termine und Erreichbarkeiten kennt, und an die Buchhaltung, die Zahlungen ausführt. Dort entscheidet sich in Minuten, ob Wochen der Vorbereitung sich auszahlen. Diese Mitarbeiter brauchen keine Ermahnung zur Wachsamkeit, sondern Regeln, die auch unter Druck tragen: was nie am Telefon beauskunftet wird, wann zwingend zurückgerufen wird und dass kein Vertraulichkeitsgebot einen Freigabeprozess außer Kraft setzt. Wie ein solches Briefing aussieht, beschreibt der Artikel Die Assistenz als Schutzschild.

Maßnahmen auf drei Ebenen

1. Informationsreduktion: Reise- und Terminkommunikation erst nach der Rückkehr, Abwesenheitsnotizen ohne Vertretungsdetails nach außen, Zuständigkeitsangaben in Profilen auf das Nötige begrenzt, Metadaten-Hygiene bei veröffentlichten Dokumenten, Bereinigung privater Kontaktpfade der Entscheider. Was die private Auffindbarkeit betrifft, ist das ein Baustein der Executive Exposure.
2. Prozess: Vier-Augen-Prinzip ab definierter Schwelle ohne jede Ausnahme, Rückruf-Verifikation über eine selbst herausgesuchte, vorher bekannte Nummer (nie über die Rufnummer oder Antwortadresse aus der Anfrage), feste Kanäle für Zahlungsfreigaben und die ausdrückliche Regel, dass „auf Anweisung von oben" keinen Prozess ersetzt. Der beste Schutz ist ein Prozess, der Autorität nicht als Freigabe akzeptiert.
3. Training: kurze, wiederkehrende Formate für Vorzimmer und Buchhaltung mit realistischen Szenarien statt Jahresfolien. Entscheidend ist die Kultur dahinter: Wer einen Verdacht meldet oder eine „Anweisung des Vorstands" hinterfragt, wird gelobt, nicht gerügt. Angst vor der Rückfrage ist genau der Hebel, mit dem die Masche arbeitet.

Damit die Prozessregeln den Alltag überleben, brauchen sie zwei Dinge. Erstens Schriftform: eine Freigabematrix, die Schwellen, Freigeber und Vertretungen eindeutig regelt, damit im Urlaubsfall nicht improvisiert wird; Improvisationsphasen sind die bevorzugten Angriffsfenster. Zweitens Rückendeckung von oben, glaubwürdig vorgelebt: Die Geschäftsführung erklärt ausdrücklich, dass sie selbst nie eine Zahlung unter Umgehung des Prozesses anweisen wird und dass jede Rückfrage erwünscht ist. Ein kurzer, angekündigter Testlauf pro Jahr zeigt, ob die Regeln unter realistischem Druck halten.

Was ein Exposure Assessment in diesem Kontext liefert

Ein Exposure Assessment beantwortet für eine konkrete Führungskraft die Frage, die hinter allen drei Ebenen steht: Welches Dossier könnte ein Angreifer heute über diese Person zusammenstellen, in welcher Zeit und aus welchen Quellen? Der Befund macht die abstrakte Gefahr überprüfbar: welche Reisemuster öffentlich nachvollziehbar sind, wie viel Sprach- und Videomaterial kursiert, welche privaten Kontaktdaten in Leaks stehen, welche Registerpfade zur Wohnadresse führen. Daraus entsteht eine priorisierte Maßnahmenliste; die Prozess- und Trainingsbausteine setzen dann dort an, wo das Assessment die größte Angriffsfläche zeigt. Aufbau und Preise: Executive Privacy.

• Ein erster Selbsttest mit drei Fragen: Lässt sich Ihre nächste Auslandsreise heute aus öffentlichen Quellen ablesen (Speakerliste, Social Media, Abwesenheitsnotiz)?
• Könnte ein Fremder aus LinkedIn und Ihrer Website rekonstruieren, wer bei Ihnen Zahlungen anweist und wer sie ausführt?
• Würde Ihre Buchhaltung eine dringliche, vertrauliche Anweisung mit Ihrer Stimme am Telefon ohne Rückruf ausführen? Wenn Sie eine der Fragen nicht sicher verneinen können, kennen Sie Ihre nächste Baustelle.

Der Ernstfall: Wenn die Zahlung raus ist

1. Sofort die eigene Bank anrufen und den Zahlungsrückruf veranlassen: Bei schnellem Handeln lässt sich eine Überweisung mitunter noch anhalten oder zurückholen, mit jeder Stunde sinkt die Chance, weil Angreifer die Beträge rasch weiterleiten.
2. Strafanzeige erstatten, bei der örtlichen Polizei oder der Zentralen Ansprechstelle Cybercrime des jeweiligen Landeskriminalamts. Die Anzeige ist auch Voraussetzung für Versicherungs- und Bankprozesse.
3. Beweise sichern: Mails mit vollständigem Header, Rufnummern, Gesprächsnotizen, Zahlungsdaten. Nichts löschen, nichts „aufräumen".
4. Intern klären, ohne zu beschämen: Wer den Vorfall meldet, hat dem Unternehmen genützt. Ein Umfeld, in dem der Fehler vertuscht wird, kostet die Stunden, die für den Zahlungsrückruf entscheidend sind.
5. Versicherung und Kanzlei einbinden: Vertrauensschaden- oder Cyberversicherung fristgerecht informieren; zivilrechtliche Schritte und die Kommunikation mit Banken im Streitfall gehören in die Hände der kooperierenden Fachkanzlei.

Und danach gehört der Fall ins Lagebild: Ein erfolgreicher oder auch nur gut vorbereiteter Versuch zeigt, dass Ihr Unternehmen bereits ausrecherchiert wurde. Die Prozesslücke zu schließen ist der erste Schritt; der zweite ist die Frage, welches Material den Angriff möglich gemacht hat und wie viel davon sich entziehen lässt. Für den Fall, dass ein Angriff in Bedrohungen oder Veröffentlichungen umschlägt, lohnt der Blick ins Doxxing-Krisen-Playbook.