CEO Fraud: Wie gefälschte Weisungen in die Buchhaltung gelangen

Die Vorbereitung nutzt, was ohnehin zugänglich ist: Namensschema der E-Mail-Adressen, Zuständigkeiten aus dem Impressum, Handelsregisterdaten, Pressemeldungen zu Übernahmen sowie Abwesenheiten aus sozialen Netzwerken. Der Zeitpunkt wird bewusst gewählt – Freitagnachmittag, Ferienzeit, laufende Transaktionen.

Technisch reicht häufig eine ähnliche Domain oder ein manipuliertes Antwortfeld. In schwereren Fällen ist ein Postfach tatsächlich kompromittiert; dann wird in echte Konversationen hineingeschrieben, was die Erkennung erheblich erschwert.

Die meisten Schäden entstehen nicht, weil Regeln fehlen, sondern weil sie im Ausnahmefall umgangen werden können. Ein Vier-Augen-Prinzip, das bei Dringlichkeit entfällt, schützt genau dann nicht, wenn es gebraucht wird. Wirksam sind Regeln ohne Ausnahmetatbestand: Rückruf an eine hinterlegte Nummer bei jeder Änderung von Bankverbindungen, unabhängig von Betrag und Absender.

Für die Beurteilung eines Schadensfalls ist zusätzlich relevant, ob diese Prozesse dokumentiert waren. Sowohl bei Versicherungsdeckung als auch bei möglichen Ansprüchen kommt es darauf an, was intern vorgesehen war und ob es eingehalten wurde.

Zeitkritisch sind der Rückruf über die eigene Bank und die Information der Empfängerbank. Parallel sollten die E-Mail-Kopfzeilen im Original exportiert, die Zugriffe auf das betroffene Postfach geprüft und die interne Freigabekette dokumentiert werden. Je nach Sachverhalt kommen eine Strafanzeige, Auskunftsansprüche gegenüber Banken und die Prüfung von Versicherungsdeckung in Betracht.