CEO-Fraud: Der falsche Chef will eine Überweisung

Stell dir folgende Situation vor. Eine Mitarbeiterin in der Buchhaltung bekommt eine Mail von der Geschäftsführung. Es geht um eine vertrauliche Übernahme, die Zahlung muss heute raus, die Kontonummer steht in der Mail.

Die Mail sieht echt aus. Der Name stimmt, die Anrede stimmt, der Ton passt zum Chef. Sie ist trotzdem gefälscht.

Diese Masche heißt CEO-Fraud, auf Deutsch „Chef-Betrug“ oder „Betrug mit dem falschen Chef“. CEO ist die englische Abkürzung für den Geschäftsführer. Oft brauchen die Täter dafür keinen Zugang zu euren Systemen. Sie brauchen Informationen über eure Firma, eine glaubwürdige Mail und jemanden, der zahlen darf.

Gegen den Betrug helfen vor allem feste Regeln für Zahlungen, die Polizei, Banken und Versicherer fast gleichlautend empfehlen. Technik macht den Tätern einen Teil ihres Weges schwerer. Wir halten uns an Primärquellen und nennen bei jeder Zahl, woher sie stammt.

Für wen dieser Artikel ist: Geschäftsführung, Buchhaltung und alle, die in eurer Firma Überweisungen auslösen oder freigeben, dazu IT-Verantwortliche, die Postfächer und Absenderadressen schützen.

Die erste Stunde nach dem Vorfall

Ist das Geld schon überwiesen oder geht eine verdächtige Zahlung gerade raus, entscheidet die Zeit⁶. Geh die Schritte der Reihe nach durch.

1. Halte die Zahlung an, wenn sie noch nicht raus ist. Wer Zweifel hat, darf eine Zahlung anhalten und muss dafür keine Begründung liefern. Bestätige die Anweisung über einen zweiten Weg, etwa per Rückruf an die Nummer aus deinem Adressbuch¹.
2. Ruf deine Bank an. Nenne Zahlungsdaten und die Kontonummer des Empfängers (IBAN), verlange eine Rückforderung und bitte darum, die Empfängerbank einzubinden⁶¹³.
3. Halte jeden Kontakt schriftlich fest. Dokumentiere den Vorfall und bestätige der Bank jeden Anruf schriftlich⁵.
4. Sichere die Original-Mail. Bewahre sie samt vollständiger Kopfzeile auf, also mit den technischen Angaben, die jede Mail im Hintergrund mitführt¹³.
5. Erstatte Anzeige. Als Firma wendest du dich an die Zentrale Ansprechstelle Cybercrime (ZAC) der Polizei deines Bundeslandes¹⁶.
6. Bezieh deine IT ein. Dein IT-Team oder IT-Dienstleister prüft, ob Postfächer in fremder Hand sind, ändert Passwörter und schaltet die Zwei-Faktor-Anmeldung ein⁵.
7. Hol dir Hilfe, wenn du keinen IT-Dienstleister hast. Die Transferstelle Cybersicherheit im Mittelstand bietet eine kostenfreie Notfallhilfe für Hackerangriffe und IT-Ausfälle¹⁹.
8. Informiere deine Versicherung, falls du eine hast. Der GDV nennt die Vertrauensschadenversicherung als wesentliche Deckung, wenn Täter Mitarbeitende zu Überweisungen verleiten³.

Ruf zuerst die Bank an. Je schneller sie Bescheid weiß, desto größer ist die Chance, das Geld einzufrieren.

Was ist CEO-Fraud, und wie läuft der Betrug ab?

Wie die Polizei den Betrug beschreibt

Laut Polizei-Beratung geben sich die Täter als leitende Angestellte, Geschäftsführer oder Handelspartner aus. Sie fordern Mitarbeitende per gefälschter Mail auf, größere Summen ins Ausland zu überweisen. Als Vorwand nennen sie zum Beispiel eine Unternehmensübernahme oder geänderte Bankverbindungen¹.

Die Täter sammeln vorher Informationen aus Wirtschaftsberichten, dem Handelsregister, Werbematerial, der Homepage und sozialen Netzwerken¹.

Wie der Betrug Schritt für Schritt abläuft

Die Täter schreiben auch über WhatsApp und rufen an

Die Täter wechseln den Kanal. Das BACS, das Bundesamt für Cybersicherheit der Schweiz, berichtet, dass CEO-Betrug „auch über WhatsApp oder Telefon“ stattfindet².

Das BSI, das Bundesamt für Sicherheit in der Informationstechnik, beobachtet einen ähnlichen Trend für Phishing allgemein, also für Betrugsmails, die Daten oder Geld abgreifen sollen. Es schreibt im Lagebericht 2025, Angriffe per E-Mail seien spürbar zurückgegangen.

Als möglichen Hintergrund nennt das BSI die Verlagerung der Kommunikation auf Social Media und Messenger, die Angreifer seit Jahren zunehmend für Phishing-Mails nutzen¹⁷. Über CEO-Fraud im Besonderen sagt das BSI dazu nichts, und die Zusammenfassung nennt für diese Aussage keine Zahl.

Die Täter fälschen mit KI Stimmen und Videokonferenzen

Die Täter nutzen außerdem künstliche Intelligenz (KI). Sie imitieren den Schreibstil des echten Vorgesetzten und klonen Stimmen per Deepfake-Audio, also mit einer künstlich nachgebauten Stimme².

Der Versicherungsverband GDV schildert den Fall Arup. Ein Mitarbeiter der Hongkonger Niederlassung hatte zunächst Zweifel, nahm dann aber an einer Videokonferenz teil, in der alle Teilnehmer Fälschungen waren. Er überwies in 15 Transaktionen über eine Woche rund 23 Millionen Euro³.

Die Täter geben sich als Chef aus, setzen die Buchhaltung unter Zeitdruck und schicken das Geld sofort weiter. Sie schreiben per Mail oder WhatsApp oder rufen mit gefälschter Stimme an.

Warum landet der Betrug bei der Buchhaltung?

Die Täter suchen die Stelle, die Geld freigeben darf

Die Polizei-Beratung nennt als typische Opfer Mitarbeitende aus Buchhaltung oder Rechnungswesen¹. Dort liegt die Unterschrift, und dort liegen die Kontodaten der Lieferanten.

Vertrauen, Zeitdruck und Autorität setzen Mitarbeitende unter Druck

Das Muster aus Vertrauen, Dringlichkeit und Autorität nutzt menschliche Gewohnheiten. Die Commerzbank beschreibt diese drei Hebel⁵. Eine Anweisung vom Chef stellt kaum jemand in Frage, und eine kurze Frist lässt wenig Raum zum Nachdenken.

Der GDV ergänzt einen vierten Hebel. Die Täter stellen die Rückruf- oder Freigabekontrolle als geschäftlich unmöglich dar³.

Auch kleine und mittlere Firmen geraten ins Visier

Das BACS nennt den Betrug für 2025 „einen Dauerbrenner für KMU“, also für kleine und mittlere Unternehmen². Das BSI stellt im Lagebericht 2025 für Angriffe insgesamt fest, dass Angreifer kleine und mittlere Unternehmen sehr häufig angreifen und viele es ihnen weiterhin zu leicht machen¹⁷.

In welchen Firmen die Masche besonders gut gelingt

Die Transferstelle Cybersicherheit im Mittelstand ist ein kostenloses Angebot, das das Bundesministerium für Wirtschaft und Energie fördert¹⁹.

Sie beschreibt eine Lage, in der die Masche besonders gut gelingt. Gemeint ist ein mittleres Unternehmen ohne strikte Hierarchie, in dem alle Mitarbeitenden direkt mit der Geschäftsleitung sprechen könnten. Zugleich ist es zu groß, um schnell nachzufragen, ob eine Nachricht echt ist¹⁸.

Das ist eine Einschätzung ohne Zahl. Als Köder nennt die Transferstelle neben Überweisungen auch Gutscheinkarten und Zugangsdaten zu internen Systemen¹⁸. Prüfe, ob diese Beschreibung auf deine Firma passt.

Was ihr selbst veröffentlicht, hilft den Tätern

Auch Informationen, die ihr selbst veröffentlicht, helfen den Tätern. Die Polizei-Beratung nennt Handelsregister, Homepage und soziale Netzwerke ausdrücklich als Quellen der Täter. Sie rät, darauf zu achten, welche Informationen ihr über euer Unternehmen preisgebt¹. Prüf deshalb, welche Namen, Zuständigkeiten und Termine dort stehen.

Die Täter schreiben die Person an, die Geld überweisen darf, meist in der Buchhaltung. Was ihr über Namen, Zuständigkeiten und Termine veröffentlicht, hilft ihnen dabei.

Wie gefährlich ist CEO-Fraud? Was sagen die Zahlen?

Für Deutschland fehlt eine eigene Zahl

Das Bundeslagebild Cybercrime 2025 des BKA (Bundeskriminalamt) nennt 333.922 Fälle von Cybercrime im engeren Sinne in der Polizeilichen Kriminalstatistik. Die Statistik zählt dabei Taten aus dem In- und Ausland zusammen.

Dazu nennt es 382.470 Phishing-Mails, die die Verbraucherzentrale NRW erfasst hat. Eine eigene Zahl für CEO-Fraud oder Business Email Compromise enthält der Bericht nicht⁷.

Der Digitalverband Bitkom nennt für 2026 einen Schaden von 211 bis 270,8 Milliarden Euro durch Datendiebstahl, Industriespionage und Sabotage. Die obere Zahl zählt auch Firmen mit, die einen Angriff nur vermuten. Auch dort fehlt eine eigene Kategorie für CEO-Fraud⁸.

Die Polizei-Beratung spricht von einem Schaden von „mehreren Millionen Euro“, ohne Jahr¹.

Die Schweiz und die USA melden mehr Fälle

Zahlen gibt es aus der Schweiz und aus den USA. Die Veränderung zum Vorjahr haben wir selbst nachgerechnet.

Was eine Meldung in den USA im Schnitt kostet

Teilt man den Schaden durch die Meldungen, kommt man beim FBI auf rund 123.000 Dollar je Meldung (eigene Rechnung aus 3.046.598.558 Dollar und 24.768 Meldungen). Das ist ein Durchschnitt über alle gemeldeten Fälle. Einen typischen Fall oder einen Betrag für deine Firma beschreibt er nicht.

Warum du die Zahlen der beiden Länder nicht direkt vergleichen kannst

• Die Länder zählen Verschiedenes. Die Schweizer Zahl zählt gemeldete Fälle, die US-Zahl zählt Beschwerden bei der FBI-Meldestelle. Ob Versuche ohne Verlust enthalten sind, nennen die Mitteilungen nicht. Beide Zahlen sind deshalb nicht direkt vergleichbar.
• Die Länder verwenden eigene Begriffe. Das FBI zählt unter Business Email Compromise jeden Betrug an Firmen, die regelmäßig Überweisungen tätigen, wenn die Täter dafür E-Mail-Konten oder andere Kommunikationswege wie Telefon und Videokonferenz missbrauchen⁶. Die US-Zahl umfasst damit mehr als den falschen Chef. Wie viele Meldungen genau CEO-Fraud betreffen, weist der Bericht nicht aus.
• Beide Meldesysteme zeigen nur die gemeldeten Fälle. Fachleute nennen das Hellfeld. Das BKA weist ausdrücklich auf ein hohes Dunkelfeld bei Cyberkriminalität hin, also auf viele Taten, die nie jemand meldet⁷.

Trotzdem zeigen zwei unabhängige Behörden in zwei Ländern dieselbe Richtung. Die Zahlen stiegen 2025 gegenüber 2024. Für Deutschland ist das ein Hinweis. Beweisen können die beiden Länder die Entwicklung hierzulande nicht.

Für Deutschland gibt es keine amtliche Zahl zum Betrug mit dem falschen Chef. Die Schweiz und die USA melden für 2025 deutlich mehr Fälle als 2024.

Was sagen Suchverhalten und Klickpreise über das Problem?

Auch die Suche bei Google liefert Hinweise. Wir haben die Nachfrage in Deutschland gemessen (eigene Auswertung Google Keyword Planner, Vogler Marketing, Abruf 31.10.2026). Die letzte Spalte zeigt, wie viel Werbetreibende für einen Klick auf ihre Anzeige bei diesem Suchbegriff bieten.

Die Deutungen in den folgenden Absätzen sind unsere Einschätzung.

Betroffene suchen das Wort, das sie aus Warnungen kennen

Wer die Mail bekommt, beschreibt sein Erlebnis bei Google kaum in eigenen Worten. Begriffe wie „chef will überweisung per mail“, die den eigentlichen Ablauf beschreiben, kommen auf null Suchen. Vermutlich lernen Betroffene das Wort „CEO-Fraud“ aus Warnungen von Polizei, Presse und Bank.

Wer den Fachbegriff kennt, arbeitet vermutlich in der IT

Der englische Fachbegriff „business email compromise“ hat weniger Suchen, aber höhere Klickpreise als „ceo fraud“. Hohe Gebote zeigen, dass Werbetreibende einen Kontakt mit diesem Interesse hoch bewerten. Wer das Wort kennt, gehört vermutlich zu einer anderen Gruppe als der Geschäftsführer, nämlich zu IT und Compliance, also zu den Leuten, die im Unternehmen auf die Einhaltung von Regeln achten.

Viele Firmen fragen, ob der Schaden versichert ist

„Vertrauensschadenversicherung“ kommt auf 590 Suchen im Monat und Gebote bis 8,19 Euro. Offenbar prüfen Firmen, ob ein solcher Schaden versichert ist.

Kaum jemand beschreibt das Erlebnis bei Google in eigenen Worten. Die meisten suchen das Wort „CEO-Fraud“ aus den Warnungen, und viele Firmen fragen, ob eine Versicherung zahlt.

Woran erkennt die Buchhaltung einen falschen Chef?

Warum Rechtschreibfehler als Warnzeichen kaum noch taugen

Die Täter machen es der Buchhaltung schwer, denn die Mail sieht echt aus. Die Quellen nennen deshalb Prüffragen. Eine Liste von Rechtschreibfehlern führen sie nicht.

Das BKA stützt diese Linie. Nach dem Bundeslagebild Cybercrime 2025 sorgt künstliche Intelligenz bei Phishing-Mails für fehlerfreie Texte und ahmt Darstellung und Stil bekannter Unternehmen glaubhafter nach. Empfänger finden dadurch weniger Anhaltspunkte für Zweifel an der Echtheit⁷.

Worauf Polizei, BACS und Banken achten

Die Polizei-Beratung rät, vor ungewöhnlichen Überweisungen zu klären, ob die Absenderadresse stimmt und ob die Zahlungsaufforderung wirklich vom genannten Auftraggeber stammt, etwa per Rückruf¹.

Das BACS nennt als Warnzeichen minimale Buchstabendreher in der Domain². Die Commerzbank nennt den Druck („sofort überweisen“) als Merkmal⁵.

Prüffragen für die Person, die zahlen darf

1. Ist der Zahlungsweg ungewöhnlich? Neue Kontonummer, Empfänger im Ausland, Zahlung außerhalb des üblichen Ablaufs.
2. Stimmt die Absenderadresse buchstabengenau? Prüf den Teil hinter dem @-Zeichen. Ein Buchstabendreher reicht den Tätern.
3. Steht eine Frist im Raum? Die Commerzbank nennt Zeitdruck als Hebel der Täter⁵.
4. Kam die Anweisung auf einem Weg, der sonst nie vorkommt? Das BACS beschreibt WhatsApp und Telefon als neue Kanäle².
5. Hast du die Anweisung über einen zweiten Weg bestätigt? Ruf den Auftraggeber über die Nummer aus deinem Adressbuch an, bevor du zahlst.

Wer die Mitarbeitenden schult

Schulungen helfen, diese Fragen zu verinnerlichen. Sie gehören nicht zu unserem Umfang. Die Commerzbank empfiehlt regelmäßige Trainings zu Cyberrisiken und Social Engineering, also zur gezielten Täuschung von Menschen⁵.

Das BSI nennt die Schulung potenziell Betroffener eine zentrale Maßnahme gegen Deepfake-Angriffe, also gegen Angriffe mit gefälschten Stimmen und Videos¹¹. Dafür ist dein IT-Dienstleister oder ein Schulungsanbieter zuständig.

Am Text erkennt die Buchhaltung den falschen Chef kaum noch. Sie prüft deshalb Zahlungsweg, Absenderadresse, Frist und Kanal und bestätigt jede ungewöhnliche Anweisung über einen zweiten Weg.

Welche Regeln stoppen den falschen Chef?

Am besten wirken Regeln, die ein Mensch einhält. Mehrere Quellen nennen sie fast gleichlautend, und das macht sie belastbar.

Welche Regeln Polizei, Banken und Versicherer empfehlen

Wie gut die einzelnen Regeln belegt sind

Rückruf, zweiter Weg, Vier-Augen-Prinzip und keine Ausnahme stützen sich auf mindestens zwei Quellen. Abwesenheitsregeln und das Begrenzen veröffentlichter Informationen nennt nur die Polizei-Beratung, die Markierung „EXTERNAL“ nur das BACS und Codewörter nur der GDV.

Die Markierung „EXTERNAL“ setzt außerdem der Mailserver, also der Rechner, der eure Mails annimmt. Ein Mensch muss dafür im Alltag nichts tun.

Ein Entwurf für eure Zahlungsregel

Geschäftsführung und Buchhaltung können die Regel gemeinsam festlegen, zum Beispiel so.

• Jede Überweisung über einen Betrag, den ihr festlegt, gibt eine zweite Person frei.
• Jede neue oder geänderte Bankverbindung eines Lieferanten bestätigt die Buchhaltung per Rückruf an die bisher bekannte Nummer.
• Anweisungen per Mail, Messenger oder Telefon, die vom üblichen Ablauf abweichen, führt niemand aus, bevor ein zweiter Weg sie bestätigt hat.
• Wer Zweifel hat, darf die Zahlung anhalten. Niemand muss dafür eine Begründung liefern.

Der Entwurf fasst die Regeln aus den Quellen zusammen. Wir sind keine Rechtsberatung und keine Revision, also keine interne Prüfstelle. Lass die Regel von deinem Steuerberater oder Wirtschaftsprüfer auf deine Abläufe anpassen.

Der Rückruf wirkt, weil er den Weg wechselt. Du wählst eine Nummer, die du schon vorher hattest, etwa aus deinem Adressbuch.

Wie fälschen Täter den Absender: mit eurer Adresse, einer ähnlichen Adresse oder nur mit eurem Namen?

Täter fälschen einen Absender mit eurer genauen Adresse, mit einer ähnlich geschriebenen Adresse oder nur mit eurem Namen. Ein technischer Schutz hilft nicht gegen jeden dieser Wege.

Welche Fälschung der Schutzeintrag DMARC aufhält

DMARC ist ein Eintrag in den Einstellungen eurer Domain. Er sagt Empfängern, was sie mit Mails tun sollen, die eure Adresse fälschen. Die Einordnung in der Tabelle stützt sich auf den Standard DMARC, das Regelwerk RFC 9989.

Nach eigener Aussage kann der Standard nur bestimmte Formen der Fälschung genau derselben Domain direkt bekämpfen. Die Verwendung optisch ähnlicher Domainnamen und den Missbrauch des Anzeigenamens behandelt er nicht. Angriffe über den Anzeigenamen nennt er ausdrücklich außerhalb seines Geltungsbereichs⁹.

Warum ähnliche Domains jede Prüfung bestehen

Microsoft bestätigt das aus Sicht des Mailsystems. Nachahmung könne die Prüfungen von SPF, DKIM und DMARC bestehen, wenn der Angreifer eine ähnliche Domain registriert und gültige DNS-Einträge für sie veröffentlicht¹⁰.

SPF ist die Liste der Rechner, die für eine Domain Mails verschicken dürfen. DKIM ist eine digitale Unterschrift der Mail. DNS-Einträge sind die Einstellungen einer Domain, die jeder im Netz abfragen kann. Das BACS beschreibt für die Schweiz diese Masche mit Buchstabendrehern².

Wenn ein Buchstabe aus einem anderen Alphabet stammt

Manche Täter tauschen in einer Adresse einen Buchstaben gegen ein Zeichen, das fast gleich aussieht. Ein kyrillisches „а“ sieht zum Beispiel aus wie ein lateinisches „a“. Fachleute sprechen vom Homograph-Angriff, also einem Angriff mit gleich aussehenden Schriftzeichen. Das BSI beschrieb die Masche 2019 am Beispiel einer kyrillisch geschriebenen Adresse, die wie apple.com aussah²².

Für .de-Adressen zieht die DENIC, die Registrierungsstelle für .de, enge Grenzen. Eine .de-Domain darf nur Ziffern, Bindestriche, die Buchstaben A bis Z und 93 weitere Buchstaben aus einer festen Liste enthalten²⁰²¹. Kyrillische und griechische Buchstaben stehen nicht auf dieser Liste. Dafür steht dort zum Beispiel „ı“, ein i ohne Punkt. Ein Täter kann also neben beispiel-firma.de die Adresse beispiel-fırma.de anmelden. Microsoft nennt ein ähnliches Beispiel, ćóntoso.com statt contoso.com¹⁰. Auch „ć“ und „ó“ erlaubt die DENIC-Liste.

Unter .com lehnt die Registrierungsstelle Verisign Namen ab, die Schriften mischen²³. Chrome zeigt verdächtige Mischungen in einer Ersatzschreibweise mit „xn--“ am Anfang, dem Punycode²⁴. Diese Prüfung betrifft die Adresszeile des Browsers. Wie Outlook und Gmail solche Adressen im Absender zeigen, haben wir bei Microsoft und Google nicht beschrieben gefunden.

• Antworte über die Adresse aus deinem Adressbuch. Bei Zahlungen rufst du unter der Nummer zurück, die du schon vorher hattest.
• Lass deinen IT-Dienstleister den Schutz vor ähnlichen Domains einschalten. Mit Defender for Office 365 zeigt Outlook für geschützte Personen den Hinweis, die Adresse enthalte unerwartete Buchstaben oder Zahlen¹⁰. Google Workspace warnt bei Domains, die euren optisch ähneln, mit einem gelben Kasten in Gmail im Browser²⁵.
• Lass uns nach solchen Adressen suchen. Das Werkzeug dnstwist probiert gezielt gleich aussehende Zeichen durch¹².

Wenn der Täter ein echtes Postfach gekapert hat

Ein Spezialfall ist das gehackte Postfach. Meldet sich ein Täter am echten Postfach der Geschäftsführung oder eines Lieferanten an, besteht jede Prüfung, denn die Mail stammt wirklich von diesem Konto. Das ist eine Ableitung aus dem Prüfmodell.

Das FBI zählt auch diesen Weg zu Business Email Compromise. Seine Definition schließt Betrug über gekaperte E-Mail-Konten ausdrücklich ein⁶. Gegen diesen Weg hilft die Absicherung der Anmeldung. Wie Zugangsdaten in fremde Hände geraten, erklärt der Artikel Passwörter eurer Leute sind im Netz.

Die Fachbegriffe Business Email Compromise und Spear-Phishing

Business Email Compromise (BEC), auf Deutsch etwa Betrug über Geschäfts-E-Mails, ist das Wort des FBI für diese Art Betrug. Spear-Phishing (von englisch „spear“, Speer) nennt das BSI Phishing, das sich gezielt gegen bestimmte Firmen oder Organisationen richtet¹¹. Der falsche Chef kann ein Fall davon sein.

Fälscht ein Täter eure genaue Adresse, kann der Empfänger die Mail dank eines Schutzeintrags in eurer Domain (DMARC) abweisen. Ähnlich geschriebene Adressen, falsche Namen und gekaperte Postfächer kommen trotzdem an.

Was kann Technik tun, und was nicht?

Technik ersetzt die Regeln für Zahlungen nicht. Sie macht es den Tätern schwerer und der Buchhaltung leichter.

Was jede Maßnahme abfängt und wer sie einrichtet

Was der Schutz vor Nachahmung bei Microsoft leistet

Die Funktion heißt bei Microsoft Impersonation Protection, auf Deutsch Schutz vor Nachahmung. Laut der Microsoft-Dokumentation gehört sie zu Microsoft Defender for Office 365 und nicht zur Grundausstattung aller Postfächer.

Du trägst geschützte Personen und Domains ein, höchstens 350 Personen und 50 Domains je Richtlinie. Von sich aus trägt Microsoft niemanden ein¹⁰.

Die Mailbox-Intelligenz, eine Funktion, die die üblichen Kontakte jedes Empfängers lernt, schränkt den Schutz zusätzlich ein. Haben Absender und Empfänger schon Mails getauscht, greift der Schutz dann nicht¹⁰. Welche Lizenz du hast, steht im Microsoft-365-Verwaltungsbereich. Dein IT-Dienstleister kennt sie.

Was wir prüfen und was beim IT-Dienstleister bleibt

Wir prüfen die Außenseite. Wir schauen, ob jemand eure exakte Domain fälschen kann, und wir suchen Domains, die eurer ähnlich sehen. Beides erledigt unser Sicherheits-Check von außen.

Die Schulung der Mitarbeitenden, die Filter im Postfach und die Einrichtung des Schutzes vor Nachahmung im Mailprogramm gehören nicht zu unserem Umfang. Dafür bleibt dein IT-Dienstleister zuständig. Wie die schrittweise Umstellung auf DMARC funktioniert, erklärt der Artikel E-Mail-Adresse missbraucht.

Technik fängt einen Teil der Fälschungen ab, bevor sie die Buchhaltung erreichen. Die Regeln für Zahlungen braucht ihr trotzdem.

Verändert KI den Betrug: gefälschte Stimmen und Videokonferenzen?

Was Behörden über KI im Betrug berichten

Ja, und die Quellen sind sich darin einig. Das BSI beschreibt als Gefahr für Unternehmen, dass ein Angreifer mit der Stimme der Führungskraft anruft, um eine Geldtransaktion auszulösen¹¹. Das BACS meldet KI-Werkzeuge, die den Schreibstil imitieren, und geklonte Stimmen².

Das FBI nennt für 2025 mehr als 30 Millionen Dollar Verlust durch Betrug über Geschäfts-E-Mails mit KI-Anteil⁶. Das BKA schreibt im Bundeslagebild 2025, dass es bisher keine polizeilichen Kennzahlen zum konkreten KI-Einsatz in Cybercrime-Delikten gibt⁷. Die Einschätzung der Behörden beruht deshalb nicht auf einer polizeilichen Zählung.

Wie du dich gegen gefälschte Stimmen und Videos schützt

Gegen gefälschte Stimmen und Videos helfen dieselben Regeln wie beim klassischen Betrug, nur strenger angewandt. Der GDV empfiehlt dafür diese Regeln³.

• Rückruf über eine bereits bekannte Nummer
• Bestätigung über einen zweiten, unabhängigen Kommunikationsweg
• Vier-Augen-Prinzip bei Zahlungen und Änderungen von Bankdaten
• Codewörter für kritische Vorgänge
• kein Verzicht auf Freigabeprozesse wegen Zeitdrucks

Verlass dich nie allein auf Stimme oder Gesicht.

Mit KI fälschen Täter inzwischen Stimmen und ganze Videokonferenzen. Jede Zahlung braucht deshalb eine Bestätigung über einen zweiten Weg, auch wenn du den Chef zu hören oder zu sehen glaubst.

Was tust du, wenn das Geld schon überwiesen ist?

Warum jede Minute zählt

Handle sofort. Das FBI schreibt für den Fall einer betrügerischen Überweisung, dass Zeit entscheidend ist. Kontaktiere sofort deine Bank und verlange eine Rückforderung der Gelder samt nötiger Freistellungsunterlagen, also der Erklärungen, mit denen deine Bank die Empfängerbank von Ansprüchen freistellt⁶.

Die Commerzbank empfiehlt dasselbe. Das Unternehmen soll die Bank umgehend informieren, den Vorfall dokumentieren, bei der Polizei Anzeige erstatten und bei Postfächern in fremder Hand die IT einbeziehen⁵.

Die Schritte in der richtigen Reihenfolge

1. Ruf deine Bank an und bestätige schriftlich. Nenne Zahlungsdaten und Empfänger-IBAN und verlange eine Rückforderung. Bitte darum, die Empfängerbank einzubinden. Halte jeden Kontakt schriftlich fest¹³⁵.
2. Sichere die Beweise. Bewahre die Original-Mail samt vollständiger Kopfzeile auf¹³.
3. Erstatte Anzeige. Die Polizei-Beratung verweist dafür auf die örtliche Polizeidienststelle oder das zuständige Landeskriminalamt¹. Eine Übersicht der Online-Wachen der Polizei je Bundesland führt das Portal der Polizei. Als Firma kannst du dich zusätzlich an die Zentrale Ansprechstelle Cybercrime (ZAC) der Polizei deines Bundeslandes wenden. Die Polizei nennt sie ihren Kontaktpunkt für Cybercrime in akuten Fällen und zur Beratung. Sie schätzt den Vorfall ein, berät dich und leitet die nötigen Schritte der Strafverfolgung ein. Zuständig ist die ZAC am Sitz deiner Firma oder am Ort des Vorfalls. Die Polizei betont, dass bei einem Cyberangriff schnelles Handeln entscheidend ist¹⁶.
4. Bezieh sofort dein IT-Team ein. Es prüft, ob Postfächer in fremder Hand sind⁵¹³. War ein echtes Konto beteiligt, ändert es die Passwörter und schaltet die Zwei-Faktor-Anmeldung ein, also die Anmeldung mit einem zweiten Nachweis neben dem Passwort. Die Commerzbank empfiehlt die Zwei-Faktor-Anmeldung für wichtige Konten ohnehin⁵. Hast du keinen IT-Dienstleister an der Hand, bietet die Transferstelle Cybersicherheit im Mittelstand eine kostenfreie Notfallhilfe für Hackerangriffe und IT-Ausfälle. Sie gibt dir eine erste Orientierung und Handlungsempfehlungen und stellt auf Wunsch Kontakt zu privaten IT-Dienstleistern her. Deren Leistungen können Geld kosten¹⁹.
5. Informiere deine Versicherung, falls du eine hast. Frag deinen Makler, welche Police den Schaden deckt.

Wie viel Geld das FBI einfrieren konnte

Wie groß die Chance ist, Geld einzufrieren, hängt von der Geschwindigkeit ab. Das FBI-Programm für Einfrierungen, die Financial Fraud Kill Chain, bearbeitete 2025 insgesamt 3.900 Vorfälle mit versuchtem Diebstahl von 1,16 Milliarden Dollar.

Davon fror das FBI 679 Millionen Dollar ein, das sind 58 Prozent⁶. Die Zahl gilt für alle Betrugsarten, die der Dienst bearbeitet hat, also auch für andere Maschen als CEO-Fraud. Sie gilt für die USA. Sie zeigt aber, warum Minuten zählen.

Haftet die Bank für den Schaden?

Ob die Bank den Schaden ersetzt, hängt vom Einzelfall ab. Eine Zahlung ist nach § 675j BGB (Bürgerliches Gesetzbuch) wirksam, wenn der Zahler ihr zugestimmt hat. Das Gesetz nennt das Autorisierung. Nur bei einer nicht autorisierten Zahlung muss die Bank nach § 675u BGB den Betrag erstatten¹⁴.

Nach Angaben einer Fachanwältin für Bank- und Kapitalmarktrecht haftet die Bank deshalb nicht automatisch, nur weil eine gefälschte Anweisung der Geschäftsführung vorlag. Hat eine berechtigte Person die Zahlung freigegeben, spricht viel für eine autorisierte Überweisung. Eine Haftung kann die Prüfung trotzdem ergeben, etwa bei ungewöhnlichen Zahlungsumständen¹³.

Wie Gerichte einen CEO-Fraud-Fall einordnen, haben wir nicht geprüft. Das ist keine Rechtsberatung. Frag bei einem Schaden einen Fachanwalt.

Ruf sofort die Bank an, sichere die Mail und erstatte Anzeige. Ob die Bank den Schaden ersetzt, hängt vor allem davon ab, ob eine berechtigte Person die Zahlung freigegeben hat.

Welche Versicherung greift bei CEO-Fraud?

Vertrauensschadenversicherung oder Cyberversicherung

Der GDV nennt als wesentliche Deckung bei Betrug mit gefälschter Stimme die Vertrauensschadenversicherung. Sie ersetzt in solchen Fällen das verlorene Geld.

Eine Cyberversicherung spielt laut GDV nur in Ausnahmefällen eine Rolle. Ein durch einen gefälschten Anruf verratenes Passwort ist für sich genommen noch kein Cyberschaden. Die Cyberversicherung greift, wenn Angreifer mit den Zugangsdaten Systeme schädigen, und deckt dann die technischen Folgen³.

Der GDV beschreibt außerdem, dass externe Täter KI nutzen, um falsche Identitäten vorzutäuschen, und dass Mitarbeitende manchmal auf Anweisung des vermeintlichen Vorgesetzten große Summen überweisen⁴.

Was du deinen Makler fragst

Prüfe deine Police, bevor etwas passiert, und stell deinem Versicherungsmakler diese Fragen.

• Ist der Schaden durch einen externen Täter gedeckt, der meine Mitarbeitenden täuscht?
• Welche Höchstgrenze gilt?
• Welche Pflichten habe ich nach einem Vorfall?

Wir beraten nicht zu Versicherungen.

Wer sich um was kümmert

• Die Regeln für Zahlungen legen Geschäftsführung, Buchhaltung und Steuerberater fest.
• Schulung, Postfach-Filter und Versicherung liegen bei deinem IT-Dienstleister und deinem Makler.
• Wir prüfen von außen, ob jemand eure exakte Domain fälschen kann und welche ähnlichen Domains es gibt.

Diese Aufteilung halten wir für sinnvoll. Unseren Teil bekommst du im Sicherheits-Check von außen mit einem Befund je Punkt.

Das verlorene Geld ersetzt laut GDV vor allem die Vertrauensschadenversicherung. Die Cyberversicherung deckt die technischen Folgen, wenn Angreifer mit gestohlenen Zugangsdaten Systeme schädigen.

Das kannst du heute tun

Geh die Aufgaben von oben nach unten durch und hak ab, was erledigt ist. In der Spalte „Wer“ steht, wer die Aufgabe in der Regel übernimmt.

FAQ

Quellen

1. Polizei-Beratung: „CEO-Fraud“ (2026), https://www.polizei-beratung.de/themen-und-tipps/gefahren-im-internet/ceo-fraud/, Abruf 31.10.2026
2. BACS: „Woche 4: Dringende Überweisung, CEO-Betrug bleibt ein Dauerbrenner für KMU“ (2026), https://www.bacs.admin.ch/de/26w4-de, Abruf 31.10.2026
3. GDV: „Voice-Cloning und KI-Avatare: Digitale Betrugsmöglichkeiten werden professioneller“ (2026), https://www.gdv.de/gdv/themen/digitalisierung/voice-cloning-und-ki-avatare-digitale-betrugsmoeglichkeiten-werden-professioneller-205926, Abruf 31.10.2026
4. GDV: „White-collar crime: The most dangerous perpetrators come from within companies“ (2024), https://www.gdv.de/gdv-en/media/fidelity-insurance-statistic-white-collar-crime-182226, Abruf 31.10.2026
5. Commerzbank: „Cybercrime im Unternehmen, CEO-Fraud: Anweisungen durch falsche Chefs“ (2026), https://www.commerzbank.de/hilfe/sicherheit-onlinebanking/ceo-fraud/, Abruf 31.10.2026