CEO-Fraud verhindern: Warum Freigabeprozesse wichtiger sind als perfekte Erkennung
Geschrieben von: Thorben Steenmanns
Eine Zahlungsanweisung scheint vom Geschäftsführer zu kommen, ist dringend und soll vertraulich behandelt werden. Genau diese Kombination macht CEO-Fraud gefährlich: Der Angriff zielt nicht nur auf ein Postfach, sondern auf die Stelle, an der Autorität in eine Überweisung übersetzt wird. Wer ausschließlich auf auffällige Formulierungen oder eine verdächtige Absenderadresse achtet, schützt deshalb nur einen Teil des Prozesses.
Für CISOs und Awareness-Verantwortliche folgt daraus eine klare Priorität. Mitarbeitende müssen Täuschungsmerkmale einordnen können. Entscheidend ist aber, ob der Freigabeprozess auch dann trägt, wenn eine Nachricht sprachlich überzeugend wirkt, intern plausibel erscheint oder über einen kompromittierten Account kommt.
CEO-Fraud greift den Freigabeprozess an
Die Polizeiliche Kriminalprävention beschreibt CEO-Fraud als Vorgehen, bei dem Täter vorgeben, eine Führungskraft zu sein, und Beschäftigte zur Überweisung hoher Geldbeträge bewegen. Für die Vorbereitung nutzen sie öffentlich verfügbare Informationen über Unternehmen und Beschäftigte. Als typische Zielgruppe nennt die Polizei Personen mit Zahlungsbefugnissen, etwa in Buchhaltung und Rechnungswesen.
Europol ordnet CEO-Fraud dem Business Email Compromise zu. Im Bericht Online fraud schemes: a web of deceit wird das Muster als dringliche Zahlungsaufforderung im Namen einer Führungskraft beschrieben. Der Bericht zeigt zugleich, dass Täter nicht auf eine einzelne Technik angewiesen sind: Neben manipulierten Absenderangaben können auch kompromittierte E-Mail-Konten und gezieltes Phishing eine Rolle spielen.
Das verändert die Sicherheitsfrage. „Ist diese E-Mail echt?“ reicht nicht aus. Selbst eine Nachricht aus einem echten Konto beweist weder, dass der Auftrag legitim ist, noch dass die verlangte Transaktion den internen Regeln entspricht.
Autorität, Eile und Geheimhaltung sollen Ausnahmen erzeugen
Die Täuschung nutzt organisatorische Reibungspunkte. Europol beschreibt bei CEO-Fraud wiederkehrende Elemente wie Dringlichkeit, Vertraulichkeit und den Druck, etablierte Autorisierungswege zu umgehen. Diese Merkmale sind keine bloßen Warnwörter. Sie sollen eine Ausnahme plausibel machen: Ein normalerweise verpflichtender Rückruf erscheint plötzlich zu langsam, eine zweite Freigabe angeblich unpassend oder eine Rückfrage wegen der vermeintlichen Vertraulichkeit unerwünscht.
Damit wird CEO-Fraud zu einem Test der Governance. Ein Prozess ist nur belastbar, wenn er auch gegenüber Hierarchie funktioniert. Führungskräfte müssen deshalb sichtbar akzeptieren, dass Beschäftigte eine dringliche Anweisung verzögern oder zurückweisen, sobald der vorgesehene Prüfpfad fehlt. Ohne dieses Mandat bleibt jede Awareness-Botschaft schwächer als der soziale Druck einer angeblichen Vorstandsanweisung.
Vier Prüfobjekte getrennt behandeln
Ein tragfähiger Kontrollprozess trennt vier Fragen, die in der Praxis leicht vermischt werden:
Identität: Stammt die Kommunikation tatsächlich von der behaupteten Person oder einem autorisierten Stellvertreter?
Auftrag: Ist die konkrete Zahlung oder Änderung von Zahlungsdaten sachlich bekannt und nachvollziehbar?
Berechtigung: Darf die anweisende Person diesen Auftrag in dieser Höhe und unter diesen Bedingungen erteilen?
Transaktion: Stimmen Empfänger, Kontodaten, Betrag und Freigaben im zahlungsführenden System mit dem bestätigten Auftrag überein?
Eine bestandene Prüfung ersetzt die anderen nicht. Ein korrekt dargestellter Name bestätigt keine Kontodaten. Ein bekanntes Projekt legitimiert keine abweichende Empfängerbank. Und ein authentischer Kommunikationskanal hebt keine Freigabegrenzen auf. Für die Kontrollarchitektur bedeutet das: Identitätsprüfung, fachliche Bestätigung und Transaktionsfreigabe brauchen getrennte Belege.
Rückbestätigung muss wirklich unabhängig sein
Die Polizei empfiehlt bei ungewöhnlichen Zahlungsanweisungen die Rückfrage bei der vermeintlich anweisenden Person und die Nutzung bereits bekannter Kontaktdaten. Dieser zweite Punkt ist entscheidend. Wer eine Telefonnummer aus der verdächtigen Nachricht verwendet oder auf demselben Nachrichtenverlauf antwortet, bleibt in dem Kanal, den der Angreifer möglicherweise kontrolliert.
Ein unabhängiger Bestätigungsweg greift auf vorher gepflegte Kontaktdaten und festgelegte Zuständigkeiten zurück. Auch Änderungen von Bankverbindungen verdienen einen eigenen Prüfpfad. Die Kontrolle muss festlegen, wer bestätigen darf, wie die Bestätigung dokumentiert wird und was bei Nichterreichbarkeit geschieht. „Dringend“ darf dabei kein Ersatz für eine fehlende Bestätigung sein.
Das gleiche Prinzip gilt bei anderen kanalübergreifenden Täuschungen. Der Beitrag Quishing im Unternehmen erkennen zeigt, warum ein Wechsel vom Bildschirm zum Smartphone noch keine unabhängige Verifikation schafft. Entscheidend ist nicht die Zahl der genutzten Geräte, sondern ob der zweite Weg außerhalb der vom Angreifer vorgegebenen Informationen liegt.
Finance, Security und Führung brauchen klare Rollen
CEO-Fraud lässt sich nicht allein an die IT-Sicherheit delegieren. Finance verantwortet Zahlungs- und Freigabelogik. Security bewertet Identitäts- und Kommunikationsrisiken. Die Unternehmensleitung schafft die Voraussetzung dafür, dass Kontrollen auch gegenüber ranghohen Absendern gelten.
Für CISOs ergibt sich daraus eine konkrete Prüfaufgabe: Wo kann eine einzelne Person aufgrund einer Nachricht Stammdaten ändern, eine Zahlung vorbereiten und zugleich die Ausnahme begründen? Je stärker diese Schritte zusammenfallen, desto wertvoller ist eine überzeugende Identitätstäuschung. Sinnvolle Kontrollen setzen daher an der Prozesskonzentration an: getrennte Zuständigkeiten, definierte Freigabegrenzen, protokollierte Änderungen und ein klarer Eskalationsweg bei Abweichungen.
Technische Signale bleiben wichtig. Schutzmechanismen für E-Mail, Konten und Identitäten können Manipulationen erschweren oder sichtbar machen. Sie entscheiden jedoch nicht, ob eine konkrete Überweisung geschäftlich gewollt ist. Diese Entscheidung muss im Geschäftsprozess verankert bleiben.
Awareness muss das Recht zur Unterbrechung stärken
Awareness zu CEO-Fraud sollte nicht bei einer Liste verdächtiger Formulierungen enden. Sprache, Tonfall und Absenderdarstellung können sich ändern. Beständig bleibt das Ziel, eine kontrollierte Entscheidung durch eine Ausnahme unter Druck zu ersetzen.
Für Verantwortliche ist deshalb relevant, ob Beschäftigte den vorgesehenen Prüfweg kennen und ohne Nachteile nutzen können. Dazu gehören klare Antworten auf praktische Fragen: Welche Anweisung muss unabhängig bestätigt werden? Welche Kontaktdaten gelten als vertrauenswürdig? Wer übernimmt bei Abwesenheit? Wo wird ein Verdacht gemeldet? Und wer trägt die Entscheidung, wenn eine Zahlung wegen fehlender Bestätigung wartet?
Die Awareness-Plattform von What The Hack! unterstützt die Beschäftigung mit Sicherheitsszenarien im Teamformat, in dem Mitarbeitende gemeinsam diskutieren und sich auf eine Antwort einigen. Zusätzlich stehen ein Solo-Modus und auswählbare Themenkampagnen zur Verfügung. Für CEO-Fraud ist diese gemeinsame Entscheidungsfähigkeit besonders relevant, weil der Schutz nicht allein aus Erkennung entsteht, sondern aus dem konsequenten Einhalten vereinbarter Kontrollwege.
Fazit: Prozessintegrität schlägt Absendervertrauen
CEO-Fraud verhindern heißt, Autorität nicht mit Freigabe gleichzusetzen. Die entscheidende Konsequenz aus den Behördenempfehlungen ist kein Versprechen perfekter Erkennung. Es ist ein Prozess, der Identität, Auftrag, Berechtigung und Transaktion getrennt prüft und einen unabhängigen Bestätigungsweg auch unter Zeitdruck durchsetzt.
CISOs sollten das Thema deshalb gemeinsam mit Finance und Unternehmensleitung bearbeiten. Wenn Rückfragen erwünscht, Ausnahmen eng begrenzt und Kontrollen gegenüber jeder Hierarchiestufe verbindlich sind, verliert die glaubwürdig inszenierte Anweisung einen großen Teil ihrer organisatorischen Wirkung.
Quellen
Ihr Ansprechpartner
Thorben Steenmanns
Chief Gaming Officer & Head of Sales
Was wäre, wenn Ihre nächste Awareness-Schulung als positives Erlebnis in den Köpfen Ihrer KollegInnen verbleibt?
Lebendige Sicherheitskulturen sind das mächtigste Mittel gegen Hacker. Ich helfe Ihnen, ihre aufzubauen - mit unserem Serious Business Gaming What The Hack! für die Themen Cybersecurity, Datenschutz und Compliance.
