CEO-Fraud und Business E-Mail Compromise erkennen und abwehren

Eine Buchhalterin erhält eine E-Mail, die scheinbar vom Geschäftsführer stammt. Er bittet um eine eilige Überweisung für ein wichtiges Geschäft. Anrede und Signatur wirken stimmig, doch die Nachricht ist gefälscht, und nach der Überweisung ist das Geld verloren. Mit diesem Beispiel beschreibt die Polizei den CEO-Fraud ^[1]. Beim CEO-Fraud geben sich Betrüger als Führungskräfte aus und wollen Beschäftigte zu Zahlungen oder zur Herausgabe vertraulicher Daten bewegen ^{[1, 3]}.

Der Begriff Business E-Mail Compromise, kurz BEC, ist weiter gefasst. Das FBI versteht darunter Betrug gegen Unternehmen und Personen, die regelmäßig mit Lieferanten arbeiten oder Überweisungen ausführen. Die Täter übernehmen dafür E-Mail-Konten oder andere Kommunikationswege wie Telefonnummern und Videokonferenzen, durch Täuschung oder durch Einbruch in Computersysteme, und lösen damit nicht autorisierte Überweisungen aus ^[4].

Wie CEO-Fraud abläuft

Die Opfer sind nach der Polizei meist Beschäftigte aus Buchhaltung oder Rechnungswesen, die Überweisungen veranlassen dürfen ^[2]. Der Kontakt läuft meist per E-Mail oder Telefon. Dabei verfälschen die Täter E-Mail-Adressen und verschleiern Telefonnummern ^[2].

Vorbereitung

Vor dem ersten Kontakt sammeln die Täter Informationen. Die Polizei nennt Wirtschaftsberichte, das Handelsregister, Broschüren und die Website des Unternehmens. Besonders interessieren sie sich für Geschäftspartner, geplante Investitionen und die E-Mail-Adressen der Beschäftigten. Auch soziale Netzwerke dienen als Quelle, wenn Beschäftigte dort ihre Tätigkeit oder Persönliches zeigen ^[2]. Die Industrie- und Handelskammer Ostthüringen ergänzt Zuständigkeiten, Kommunikationswege und laufende Vorhaben. Je genauer die Täter das Unternehmen kennen, desto normaler wirkt die Anweisung ^[3].

Kontakt und Druck

Die erste Nachricht scheint von der Geschäftsführung zu kommen, oft mit täuschend echter Signatur oder leicht veränderter Absenderadresse. Weitere E-Mails oder Anrufe sollen sie glaubwürdig machen ^[3]. Als Vorwand nennt die Polizei etwa eine angebliche Unternehmensübernahme oder geänderte Bankverbindungen ^[2]. Die Beschäftigten sollen dringend, vertraulich und unauffällig handeln ^[3].

Was die Täter verlangen

Die IHK Ostthüringen nennt Eilüberweisungen ins Ausland, die Umleitung von Rechnungszahlungen auf neue Konten, den Kauf von Gutscheincodes und die Abfrage vertraulicher Daten ^[3]. Wenn Zahlungen an einen bekannten Lieferanten plötzlich auf ein neues Konto gehen sollen, verschwimmt die Grenze zum Rechnungs- und Lieferantenbetrug; mehr dazu unter Lieferantenbetrug.

Warum die Masche funktioniert

Die IHK Ostthüringen beschreibt fünf Angriffspunkte. Anweisungen des Chefs werden selten hinterfragt. Zeitdruck verhindert Rückfragen und Kontrollen. Die Geheimhaltung umgeht das Vier-Augen-Prinzip. Stress und Loyalität können auch erfahrene Beschäftigte zu Fehlern verleiten. Und je mehr Detailwissen die Täter haben, desto normaler wirkt ihre Anweisung ^[3].

Gefälschte Stimmen und Videoanrufe

Die Täter nutzen inzwischen künstliche Intelligenz. Das BSI nennt den CEO-Fraud ausdrücklich als Beispiel für Angriffe, bei denen die Stimme einer Führungskraft imitiert wird ^[5]. Die Polizei beschreibt einen Fall, in dem ein angeblicher Chef per Videoanruf dringend eine Zahlung fordert; die Stimme wirkt glaubwürdig, ist aber künstlich erzeugt ^[6]. Nach dem FBI können Textgeneratoren E-Mails im Ton der Geschäftsführung schreiben, und geklonte Stimmen können Überweisungen anfordern. In den USA meldeten Unternehmen 2025 Verluste von mehr als 30 Millionen US-Dollar durch BEC-Betrug mit KI-Bezug ^[7].

In Deutschland bemerken viele Unternehmen diese Entwicklung. In der Bitkom-Studie Wirtschaftsschutz 2026 stellen 31 Prozent der befragten Unternehmen sicher fest, dass bei Angriffen auf sie verstärkt KI eingesetzt wird, weitere 51 Prozent vermuten es ^[8]. Das BSI setzt bei Deepfakes auf Schulung: Wer die Angriffe und die typischen Fehler gefälschter Aufnahmen kennt, erkennt sie besser und achtet stärker darauf, woher eine Aufnahme stammt. Bei Stimmen nennt das BSI etwa einen metallischen Klang, eine monotone Betonung und Verzögerungen ^[5]. Auch ein Anruf mit der vertrauten Stimme der Chefin ersetzt deshalb nicht den Rückruf über die bekannte Nummer. Wie Fälschungen von Stimmen entstehen und woran du sie erkennen kannst, steht unter Betrug mit KI-Stimmen und Deepfakes.

Warnzeichen

Bei ungewöhnlich dringenden Zahlungsanfragen, die nicht dem üblichen Ablauf entsprechen, rät die Polizei innezuhalten und über bekannte Kontaktwege nachzufragen. Dazu gehört die Frage, ob solche Anweisungen per E-Mail im Unternehmen überhaupt üblich sind und ob der Stil zu früheren Nachrichten passt ^[1]. Auf diese Merkmale achtest du besonders:

• Die Nachricht kommt angeblich von der Chefetage, baut starken Zeitdruck auf und verlangt Stillschweigen ^[1].
• Es geht um eine angeblich dringende Firmenangelegenheit oder eine Rechnung, die sofort bezahlt werden soll ^[1].
• Die Absenderadresse wirkt echt, weicht aber bei genauem Hinsehen ab, etwa ein "m" statt "rn" ^[1].
• Wortwahl oder Schreibstil passen nicht zum angeblichen Absender ^[1].
• Die Anweisung weicht vom üblichen Ablauf ab, etwa bei einem neuen Empfänger, einer Zahlung ins Ausland oder einer Eilüberweisung ^{[1, 3]}.

Schutz im Unternehmen

Gegen CEO-Fraud helfen feste Abläufe, die auch unter Druck gelten. Die IHK Ostthüringen fasst es so zusammen: Eine E-Mail vom Chef darf nie alleinige Grundlage für eine Zahlung sein ^[3].

Freigabe und Rückruf

Ungewöhnliche Zahlungen, etwa hohe Beträge, neue Empfänger, Zahlungen ins Ausland oder Eilüberweisungen, gehören ins Vier-Augen-Prinzip und werden dokumentiert ^[3]. Auffällige Zahlungsanweisungen oder Kontowechsel werden über eine Nummer aus dem eigenen System geprüft, nie über Kontaktdaten aus der E-Mail ^[3]. Die Polizei rät, die betreffende Person über eine bekannte, selbst gewählte Nummer persönlich zu kontaktieren, egal wie eilig es scheint ^[1]. Die Geschäftsführung sollte intern festlegen und mitteilen, dass sie keine geheimen Eilüberweisungen per E-Mail verlangt ^[3]. Dazu gehören laut Polizei klare Regeln für Abwesenheiten und interne Kontrollen ^[2]. Wie sich Freigaben praktisch aufteilen lassen, zeigt die Seite Vier-Augen-Prinzip.

Informationen und Schulung

Prüfe, welche Informationen über das Unternehmen öffentlich zugänglich sind ^[2]. Die IHK nennt Organigramme, Zuständigkeiten, Reisepläne, Projektdetails und Durchwahlen auf der Website und in sozialen Medien ^[3]. Beschäftigte in Buchhaltung, Assistenz, Einkauf und Projektleitung sollten regelmäßig kurz geschult werden, mit Übungen zu Absender-Tricks und typischen Formulierungen, die Druck aufbauen ^[3]. Ideen für solche Schulungen stehen unter Beschäftigte für Betrug sensibilisieren.

Technik als Ergänzung

Technische Maßnahmen erschweren gefälschte Absender. Nach dem BSI schützt die Authentifizierung von E-Mails vor Angriffen, bei denen Absender vorgetäuscht werden, etwa durch Spoofing und Phishing ^[9]. Die nötigen DNS-Einträge für die eigene Domain erklärt domain-root.de unter SPF, DKIM und DMARC im Zusammenspiel. Gegen eine leicht veränderte Domain der Täter hilft das nur begrenzt, weil diese Domain ihre eigenen Einträge haben kann. Seit dem 09.10.2025 gleichen Banken bei Echtzeitüberweisungen und normalen Überweisungen außerdem die angegebene IBAN mit dem Namen des Empfängers ab und teilen das Ergebnis vor der Freigabe mit. Für Unternehmen gibt es unter bestimmten Voraussetzungen die Möglichkeit, sich von der Prüfung abzumelden; frag deshalb bei deiner Bank nach, ob sie bei euch aktiv ist. Die Prüfung ersetzt nach der Bundesbank nicht die eigene Sorgfalt ^[10].

Notfallplan vorbereiten

Die IHK rät zu einem Notfallplan, bevor etwas passiert. Er legt fest, wie Vorfälle intern gemeldet werden, wie Beweise gesichert werden und wer die Ansprechpartner sind ^[3]. Dazu gehören die Nummer der eigenen Bank für eilige Rückrufe und die Kontaktdaten der Zentralen Ansprechstelle Cybercrime des eigenen Bundeslands, die die Polizei für Unternehmen veröffentlicht ^[11]. Bei Auffälligkeiten oder Fragen können sich Unternehmen nach der Polizei auch schon vorher an die örtliche Polizeidienststelle oder das zuständige Landeskriminalamt wenden ^[2].

Wenn das Geld schon überwiesen ist

Die IHK Ostthüringen nennt in ihrem Notfallplan diese Schritte: den Vorfall intern melden, sofort die Bank oder den Zahlungsdienstleister kontaktieren, um die Zahlung zurückzuholen oder zu sperren, Beweise sichern und die Zentrale Ansprechstelle Cybercrime der Polizei einschalten ^[3]. Diese Stellen gibt es in jedem Bundesland. Sie geben Unternehmen eine erste Einschätzung, beraten und leiten bei einem Angriff die Strafverfolgung ein. Zuständig ist die Stelle des Landes, in dem der Firmensitz oder der Tatort liegt ^[11].

Auf eine gesetzliche Erstattung durch die Bank kann ein Unternehmen in diesem Fall nicht setzen. Die Pflicht der Bank, Beträge unverzüglich zu erstatten, gilt nach § 675u BGB für nicht autorisierte Zahlungen ^[12]. Hat ein Beschäftigter die Überweisung selbst freigegeben, war sie autorisiert. Die europäischen Aufsichtsbehörden beobachten genau diese Entwicklung: Betrugsarten, bei denen Zahlende manipuliert werden und die Transaktion selbst autorisieren, nehmen zu, und bei Überweisungen im Europäischen Wirtschaftsraum trugen die Zahlenden 2024 rund 85 Prozent der Betrugsverluste selbst ^[13]. Ob eine Versicherung einspringt, hängt vom Vertrag ab; mehr dazu unter Cyberversicherung für Unternehmen.

Wie groß die Schäden sind

Die Polizei spricht beim CEO-Fraud von Schäden in Höhe von mehreren Millionen Euro ^[2]. Genauer sind die Zahlen des FBI für die USA: 2025 gingen dort 24.768 Beschwerden zu Business E-Mail Compromise ein, mit gemeldeten Verlusten von rund 3,05 Milliarden US-Dollar. 2024 waren es rund 2,77 Milliarden US-Dollar ^[14]. Damit verursachte BEC nach dem Anlagebetrug die zweithöchsten gemeldeten Verluste im Netz ^[15].

1. Behörde Online-Betrug: CEO-Fraud. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
2. Behörde CEO-Fraud: Betrüger legen Unternehmensmitarbeiter herein. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
3. Organisation CEO-Fraud. Industrie- und Handelskammer Ostthüringen zu Gera. Stand 02.01.2026. abgerufen am 29.10.2026
4. Behörde 2025 IC3 Annual Report, Anhang B (Definitionen), Seite 59. Federal Bureau of Investigation, Internet Crime Complaint Center. Stand 2026. abgerufen am 29.10.2026
5. Behörde Deepfakes: Gefahren und Gegenmaßnahmen. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
6. Behörde Online-Betrug: Deepfake-Betrug. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
7. Behörde 2025 IC3 Annual Report, Seite 39. Federal Bureau of Investigation, Internet Crime Complaint Center. Stand 2026. abgerufen am 29.10.2026
8. Organisation Wirtschaftsschutz 2026 (Präsentation), Folie 13. Bitkom e.V.. Stand 26.08.2026. abgerufen am 29.10.2026
9. Behörde BSI TR-03182 E-Mail-Authentifizierung. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
10. Behörde Fragen und Antworten zu Echtzeitüberweisungen und Empfängerüberprüfung. Deutsche Bundesbank. Stand ohne Datum. abgerufen am 29.10.2026
11. Behörde Zentrale Ansprechstellen Cybercrime der Polizeien für Wirtschaftsunternehmen und Behörden. Polizei, polizei.de. Stand ohne Datum. abgerufen am 29.10.2026
12. Gesetz § 675u BGB: Haftung des Zahlungsdienstleisters für nicht autorisierte Zahlungsvorgänge. Bundesministerium der Justiz. Stand ohne Datum. abgerufen am 29.10.2026
13. Behörde Gemeinsamer Bericht von EBA und EZB über Betrug im Zahlungsverkehr: starke Authentifizierung nach wie vor wirksam, aber Betrüger passen sich an (Pressemitteilung). Europäische Zentralbank. Stand 15.12.2025. abgerufen am 29.10.2026
14. Behörde 2025 IC3 Annual Report, Seiten 25 und 26. Federal Bureau of Investigation, Internet Crime Complaint Center. Stand 2026. abgerufen am 29.10.2026
15. Behörde 2025 IC3 Annual Report, Seite 9. Federal Bureau of Investigation, Internet Crime Complaint Center. Stand 2026. abgerufen am 29.10.2026

Zuletzt geprüft am 30.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.