Riskmanagement & IKS News

Sie geben sich als CEO aus, drängen zur schnellen Zahlung und erzeugen maximalen Druck – Täter beim sogenannten CEO-Fraud. Seit bald zehn Jahren ist diese Masche bekannt, in der Schweiz wie international. Und trotzdem: Es kommt immer wieder zu schweren finanziellen Schäden. Der jüngste Fall aus Deutschland zeigt: Eine Firma überwies 2 Millionen Euro, angewiesen durch eine perfekt gefälschte Kommunikation zwischen „Chef“, „Anwalt“ und Buchhaltung.

1. CEO-Betrug ist nicht neu – aber wird immer raffinierter

Die Masche ist eigentlich einfach: Ein Täter oder ein Netzwerk beobachtet über Wochen oder Monate ein Unternehmen. Die nötigen Informationen (Organigramme, Ansprechpartner, Lieferanten, Investitionen) sind oft öffentlich zugänglich – auf der Website, in Medien oder auf LinkedIn.

Anschliessend wird eine gefälschte Kommunikation aufgebaut: Zwischen dem CEO, einem (ebenfalls fingierten) externen Akteur – etwa einer Anwältin – und einer real existierenden Person aus der Buchhaltung. Der Angriff erfolgt über täuschend echte E-Mail-Adressen, neuerdings sogar via KI-generierte Deepfake-Anrufe.

Typisch für die Vorgehensweise:

• Grosse Dringlichkeit („heute noch überweisen!“)
• Geheimhaltung („nur Sie sind eingeweiht“)
• Hierarchie-Druck („Sie tun das im Auftrag der Geschäftsleitung“)

Besonders gefährdet sind Unternehmen in den Sommermonaten, wenn viele Führungskräfte abwesend sind und Stellvertretungen greifen.

2. Warum funktionieren solche Angriffe immer noch?

Der typische Wirtschaftskriminelle ist laut KPMG-Studie kein glamouröser Hacker, sondern ein unauffälliger Insider – oft jemand mit Buchhaltungskenntnissen oder Zugang zu vertraulichen Prozessen. Diese Menschen denken in Prozessen – und genau dort setzen die Täter an. Sie wissen, wie Buchhaltung funktioniert, welche Formulierungen glaubwürdig wirken – und welche Stressfaktoren Entscheidungen beschleunigen.

Gleichzeitig fehlt in vielen Organisationen ein klares, wiederkehrendes Messaging: Was ist in einem solchen Fall zu tun? Und vor allem: Was darf nicht getan werden – egal, wie dringlich es klingt?

3. Was CEOs jetzt tun müssen – konkret

Der wirksamste Schutz gegen CEO-Betrug ist nicht technische Abschottung, sondern kulturelle Klarheit und kommunikative Wiederholung. Folgende Massnahmen gehören auf die CEO-Agenda:

1. Das Thema sichtbar machen

• Jährlich (z.  im Sommer) ein CEO-Statement zum Thema „Fake-Zahlungen“ an alle mit Zahlungsbefugnis senden
• Beispiele realer Fälle intern zirkulieren
• Schulungen (z.  Lunch & Learn) mit echten Mails & Szenarien durchführen
  
  

2. Grenzen klar kommunizieren >

• Maximalbeträge für Überweisungen ohne mündliche (!) Rückbestätigung
• „Nie ohne Rückruf“-Prinzip einführen bei verdächtigen Anweisungen
• Erreichbarkeiten sicherstellen (z.  Notfallkanal für CEO-Freigaben in den Ferien)
  
  

3. Digitale Hygiene verbessern >

• Keine Abwesenheitsnotizen bei Mitarbeitenden mit Zahlungszugriff
• Keine Funktionsbeschreibungen auf LinkedIn für kritische Rollen
• E-Mail-Alias-Schutz & Abwehr gegen Domain-Spoofing einrichten
  
  

4. Verantwortung delegieren – aber nie abgeben

• Klare Verantwortlichkeiten für Zahlungskontrollen und Ausnahmefreigaben
• Stellvertretungsregelungen kritisch prüfen: Wer darf was – und wann?
  
  

4. CEO-Fraud im IKS verankern

Viele Unternehmen verfügen über ein Internes Kontrollsystem (IKS), doch das Thema CEO-Fraud ist dort nicht explizit verankert. Das sollte sich ändern:

IKS-Massnahme	Beschreibung
Kontrollpunkt „Zahlungen > X CHF“	Mündliche Bestätigung bei Sonderfällen
Awareness-Reminder vor Sommerferien	An alle Finanz- und GL-Stellvertretungen
Stichproben-kontrollen	durch CFO oder interne Revision bei Sonderzahlungen
Rollen-kritikalität bewerten	Wer ist exponiert und braucht stärkeren Schutz?

Fazit: Der CEO ist nicht Opfer, sondern Teil der Lösung

CEO-Betrug ist nicht nur eine IT-Angelegenheit. Es ist ein Führungsproblem. Wenn Kommunikation fehlt, entsteht Unsicherheit. Und genau die nutzen Täter aus. Klare Kommunikation, robuste Regeln und gelebte Vorbilder sind der beste Schutz – kein Spamfilter der Welt kann ersetzen, was eine gute Führungskraft mit einer klaren Botschaft tun kann.