CEO-Fraud und Business E-Mail Compromise: Wie Unternehmen Zahlungen schützen

Zwei Begriffe, ein Muster

CEO-Fraud (auch Fake-President-Fraud oder Chef-Betrug) beschreibt eine Strategie: Täter geben sich als Geschäftsführung oder Vorgesetzte aus und bringen Beschäftigte dazu, eine Zahlung auszulösen oder Informationen preiszugeben. Business E-Mail Compromise ist der weitere Begriff für den Missbrauch geschäftlicher E-Mail-Kommunikation, auch gegenüber Kunden, Lieferanten und Partnern.

Die Begriffe überschneiden sich. CEO-Fraud kann ein Fall von BEC sein, muss es aber nicht: Er kann auch telefonisch oder über Messenger stattfinden. Und BEC umfasst mehr als den Chef-Betrug, etwa die Umleitung von Rechnungszahlungen (Rechnungsbetrug).

Drei technische Konstellationen

Für die Aufklärung ist wichtig, welche Konstellation vorliegt, denn sie bestimmt, welche Spuren existieren und welche Maßnahmen nötig sind.

Eine Kontoübernahme ist also keine Voraussetzung. Eine Nachricht kann täuschend echt wirken, ohne dass ein einziges Konto kompromittiert wurde. Umgekehrt kann ein übernommenes Konto unbemerkt Wochen genutzt werden, bevor ein Betrug erfolgt.

Wie ein typischer Ablauf aussieht

Das folgende Beispiel ist schematisch und beschreibt keinen konkreten Fall.

1. Vorbereitung: Die Täter sammeln Informationen: Namen, Rollen, Lieferanten, Abläufe, Abwesenheiten.
2. Kontakt: Eine Nachricht erreicht eine Person mit Zahlungsbefugnis, etwa mit Bezug auf ein laufendes Projekt.
3. Druck: Dringlichkeit und Vertraulichkeit werden betont, Rückfragen werden erschwert.
4. Zahlung: Eine Überweisung geht an ein Konto der Täter, oft über mehrere Stationen weitergeleitet.
5. Entdeckung: Der Betrug fällt auf, wenn die echte Stelle nachfragt oder die Rechnung gemahnt wird.

Je früher die Entdeckung, desto eher besteht die Möglichkeit, bei der Bank Maßnahmen anzustoßen. Ob Gelder zurückgeholt werden können, hängt vom Einzelfall ab und lässt sich nicht zusagen.

Welche Spuren sich untersuchen lassen

Eine Untersuchung klärt typischerweise:

• Herkunft der Nachricht: Über die E-Mail-Header-Analyse lassen sich Übertragungsweg, Authentifizierungsergebnisse und Zeitpunkte prüfen.
• Kontoaktivität: Anmeldungen aus ungewöhnlichen Netzen, neue Geräte, geänderte Sicherheitsangaben, auffällige Postfachregeln wie automatische Weiterleitungen oder Verschieben von Nachrichten.
• Zahlungsprozess: Wer hat die Zahlung vorbereitet, geprüft und freigegeben? Wurden Stammdaten geändert?
• Zeitlinie: Alle Ereignisse werden zusammengeführt (Timeline-Analyse), um Abfolge und Zusammenhänge zu erkennen.

Die Aussagekraft hängt von der Protokollierung ab. Fehlen Anmelde- oder Audit-Daten, lässt sich eine Kontoübernahme weder bestätigen noch ausschließen. Ein Befund wird dann so formuliert, dass das erkennbar bleibt. Hintergründe zu den Quellen liefert der Artikel Logdateien als digitale Spuren: Was sich daraus rekonstruieren lässt.

Wie Unternehmen Zahlungen schützen

Die Maßnahmen lassen sich in drei Ebenen ordnen.

Prozesse

• Änderungen von Bankdaten werden nur nach Rückbestätigung über einen bereits bekannten Kanal umgesetzt (Out-of-Band-Validierung).
• Freigaben erfolgen nach dem Vier-Augen-Prinzip, mit Schwellenwerten und ohne Ausnahme für „dringende, vertrauliche“ Anweisungen.
• Vertretungen werden klar geregelt, damit nicht eine Person beide Rollen übernimmt.

Technik

• Zwei-Faktor-Authentifizierung für alle Postfächer, für Konten mit weitreichenden Rechten möglichst phishing-resistent.
• Kennzeichnung externer Absender und Warnungen bei ähnlichen Domains.
• Überwachung von Postfachregeln und ungewöhnlichen Anmeldungen.
• Richtig konfigurierte Absenderauthentifizierung für die eigenen Domains.

Menschen

• Schulung mit schematischen Beispielen aus dem eigenen Alltag.
• Eine Kultur, in der Rückfragen erwünscht sind, auch bei Anweisungen von der Geschäftsleitung.
• Ein einfacher Meldeweg für Verdachtsfälle.

Häufige Missverständnisse

„Es muss ein Konto gehackt worden sein.“ Nicht zwingend. Auch ohne Kontoübernahme lässt sich ein Betrug durchführen. Umgekehrt ist „kein Hinweis auf Kontoübernahme“ nur dann belastbar, wenn die nötigen Protokolle vorliegen.

„Die Mail kam von der echten Adresse.“ Das schließt ein übernommenes Konto nicht aus; es schließt aber die reine Nachahmung des Absenders aus. Welche Variante vorliegt, zeigt die Untersuchung.

„Wir haben eine Versicherung, das reicht.“ Ob und in welchem Umfang eine Versicherung greift, hängt von den Bedingungen ab und sollte mit der Versicherung geklärt werden. Prävention bleibt unabhängig davon sinnvoll.

Die Rolle der Bank und der Zeit

Bei Zahlungen ist der Zeitfaktor ungewöhnlich wichtig. Banken können in bestimmten Fällen prüfen, ob eine Zahlung zurückgerufen oder ein Empfängerkonto geprüft werden kann. Ob und in welchem Umfang das möglich ist, hängt davon ab, wie lange die Zahlung zurückliegt, über welche Banken sie lief und ob Gelder bereits weitergeleitet wurden. Ein Erfolg lässt sich nicht zusagen. Praktisch bedeutet das: Sobald ein Verdacht besteht, sollte die Bank unverzüglich informiert werden, bevor die interne Aufarbeitung abgeschlossen ist. Die technische Untersuchung kann parallel laufen.

Fragen zur Prüfung der eigenen Prozesse

Die folgenden Fragen helfen, die Widerstandsfähigkeit gegenüber diesem Betrugsmuster einzuschätzen. Sie sind als Anregung gedacht und ersetzen keine Beratung.

• Wer darf Zahlungen auslösen und freigeben, und wer vertritt wen?
• Gibt es einen festgelegten Weg, Änderungen von Bankverbindungen zu prüfen?
• Wird die Rückbestätigung über einen bereits bekannten Kanal tatsächlich durchgeführt und dokumentiert?
• Können Beschäftigte eine Anweisung der Geschäftsleitung ohne Nachteile infrage stellen?
• Werden Anmeldungen, Postfachregeln und neue Geräte in E-Mail-Konten überwacht?
• Wie lange werden die dazugehörigen Protokolle aufbewahrt?

Einordnung

Der Beitrag ist eine allgemeine Information. Er bewertet keinen Einzelfall, ersetzt keine Rechtsberatung und sagt nichts über die Erfolgsaussichten einer Rückholung. Die Strafverfolgung liegt bei den zuständigen Behörden.