CEO Fraud erklärt: So funktioniert die Chef-Masche und so schützen sich Unternehmen

Im Januar 2024 überwies ein Mitarbeiter des Ingenieurbüros Arup nach einer Videokonferenz 25,6 Millionen US-Dollar an Kriminelle. Sämtliche Teilnehmer des Calls, der vermeintliche Finanzvorstand und mehrere Kollegen, waren KI-generierte Deepfakes (World Economic Forum). Der Fall steht für eine alte Betrugsmasche in neuer Qualität. CEO Fraud, auch Chef-Masche genannt, kostet Unternehmen seit Jahren Millionen, und mit Voice-Cloning sowie Deepfake-Videocalls wird die Täuschung technisch nahezu perfekt. Das Bundeskriminalamt warnt Unternehmen ausdrücklich vor dieser Masche. Wir zeigen den Ablauf, reale Fälle und die Schutzmaßnahmen, die wirklich helfen.

Was ist CEO Fraud

CEO Fraud, auch Chef-Masche oder Fake President genannt, ist eine Betrugsmasche, bei der sich Kriminelle als Geschäftsführung oder Vorstand ausgeben. Sie weisen Mitarbeitende per E-Mail, Anruf oder Videocall an, dringend hohe Beträge zu überweisen. Technisch ist CEO Fraud ein Subtyp des Business Email Compromise. Methodisch zählt die Masche zum Spear Phishing, denn die Täter recherchieren ihre Opfer vorab genau und sprechen sie persönlich an.

So läuft ein CEO-Fraud-Angriff ab

Wie bei jeder gut vorbereiteten Betrugsmasche steht am Anfang die Recherche und nicht der Angriff selbst. CEO-Fraud lässt sich in die folgenden vier Phase unterteilen:

• Informationsbeschaffung Die Täter durchforsten Handelsregister, Unternehmenswebseite, Geschäftsberichte und soziale Netzwerke wie LinkedIn. Sie ermitteln Zahlungsbefugte, Abwesenheiten der Geschäftsleitung und laufende Projekte.
• Identitätsaufbau Per E-Mail-Spoofing oder über eine ähnliche Absenderadresse imitieren die Täter die Führungskraft. In fortgeschrittenen Fällen kommen geklonte Stimmen und Deepfake-Videos hinzu.
• Druckaufbau Die Anweisung kombiniert Autorität mit Dringlichkeit und Geheimhaltung. Häufig wird ein vertrauliches Geschäft vorgeschoben, über das mit niemandem gesprochen werden darf.
• Auszahlung Das Geld geht meist ins Ausland und wird sofort weitertransferiert. Bis der Betrug auffällt, sind Konten und Spur oft schon verschwunden.

Gefährlich wird es, wenn die Täter zuvor ein echtes E-Mail-Postfach übernommen haben. Der Zugang dient dann nicht nur dem Chefbetrug, sondern kann auch zum Ausgangspunkt für Lateral Movement und im schlimmsten Fall für Ransomware werden.

Warum CEO Fraud funktioniert

CEO Fraud hackt keine Systeme, sondern Menschen. Vier psychologische Hebel greifen ineinander.

• Autorität Eine Anweisung von ganz oben wird selten hinterfragt, gerade in hierarchischen Strukturen.
• Dringlichkeit Zeitdruck verhindert das ruhige Nachdenken und die übliche Prüfung.
• Geheimhaltung Das Verbot, mit Kollegen zu sprechen, schaltet die wirksamste Kontrolle aus, die zweite Meinung.
• Schmeichelei Das Gefühl, persönlich ausgewählt und besonders vertraut zu sein, senkt die Wachsamkeit.

Der Mittelstand ist dabei besonders exponiert. Kurze Entscheidungswege sind im Tagesgeschäft eine Stärke, bei CEO Fraud werden sie zur Schwachstelle, weil eine schnelle Freigabe ohne Gegenkontrolle möglich ist.

Deepfake CEO-Fraud und Unterschiede zur klassischen Variante

Während klassischer Chefbetrug früher als Hauptkanal das Telefon und später dann E-Mails nutzte, eröffnet die rasante KI-Entwicklung Cyberkriminellen aktuell große Türen. Deepfakes werden immer häufiger Teil von Chefbetrugskampagnen, da sie durch KI-Tools immer echter aussehen und vor allem auch live funktionieren. Im Unterschied zur klassischen CEO-Fraud-Variante, können Betrüger jetzt also auch Videocalls in den Angriff integrieren.

CEO Fraud Beispiele und ihre Lehren

Mehrere dokumentierte CEO-Fraud-Fallbeispiele zeigen, dass die Masche für hohe Schadenssummen sorgen kann und auch dass große, gut aufgestellte Organisationen betroffen sein können. Hier eine Liste mit prominenten CEO Fraud Beispielen:

• Arup, 2024 Ein Mitarbeiter in Hongkong überwies nach einem Deepfake-Videocall mit gefälschtem Finanzvorstand 25,6 Millionen US-Dollar in fünfzehn Transaktionen.
• Ferrari und WPP, 2024 Beide Konzerne wurden mit geklonten Stimmen und gefälschten Messenger-Profilen angegriffen. In beiden Fällen wurde der Betrug rechtzeitig erkannt und verhindert.
• Leoni, 2016 Der Automobilzulieferer verlor rund 40 Millionen Euro, die auf Konten in China und Hongkong transferiert wurden.
• FACC, 2016 Beim österreichischen Zulieferer entstand ein Schaden von rund 50 Millionen Euro, zwei Vorstände verloren in der Folge ihre Posten.

Bei Arup wurde kein einziges IT-System kompromittiert. Menschen wurden getäuscht, im Glauben, eine legitime Transaktion auszuführen. So beschreibt Arup-CIO Rob Greig den Vorfall als technisch verstärktes Social Engineering.

CEO Fraud in Zahlen

Die Schäden einzelner CEO Fraud Fälle erreichen zweistellige Millionenhöhe. Gleichzeitig steigt die technische Qualität der Angriffe rasant. Voice-Phishing-Angriffe nahmen 2024 deutlich zu, und Deepfake-Betrugsversuche gegen deutsche Unternehmen stiegen 2025 spürbar. Das BSI weist in seinem Lagebericht ausdrücklich auf die Deepfake-Bedrohung für Unternehmen hin. Den Gesamtkontext dieser Entwicklung behandelt unsere Analyse zur Cybersicherheit in Deutschland 2026 .

CEO Fraud erkennen

Eine einzelne Auffälligkeit muss kein Betrug sein, mehrere zusammen sind ein klares Stoppsignal. Zu den wichtigsten Warnzeichen von Chef-Betrug gehören:

• Hoher Zeitdruck Die Zahlung soll sofort und unter Umgehung der üblichen Wege erfolgen.
• Geheimhaltung Es wird ausdrücklich verlangt, mit niemandem über den Vorgang zu sprechen.
• Ungewöhnliche Anweisung Eine Überweisung passt nicht zu den bekannten Abläufen oder Beträgen.
• Abweichende Absenderadresse Die Domain ähnelt dem Original, weicht aber leicht ab.
• Kanalwechsel Die Kommunikation wechselt auf WhatsApp, SMS oder eine unbekannte Mobilnummer.
• Druck bei Rückfragen Wer nachfragt, wird unter Druck gesetzt oder mit Konsequenzen bedroht.

Schutzmaßnahmen gegen CEO Fraud

Da CEO Fraud eine Form von Social Engineering ist und auf den Menschen zielt, liegt der Schwerpunkt für Schutzmaßnahmen auf Prozessen und Awareness. Technische Mittel werden zwar immer besser und können bei der Abwehr unterstützen, am wichtigsten ist jedoch gut geschultes Personal.

Organisatorische Maßnahmen

Klare Regeln nehmen der Chef-Masche die Grundlage. Ein Vier-Augen-Prinzip ab einem festen Schwellenwert, eine verbindliche Rückruf-Verifikation über eine hinterlegte Nummer und ein vorab vereinbartes Codewort für Eilzahlungen stoppen den Angriff zuverlässig. Grundsatz bleibt, dass keine Zahlung allein auf Basis eines Anrufs, einer Mail oder eines Videocalls ausgelöst wird.

Technische Maßnahmen

E-Mail-Authentifizierung über SPF, DKIM und DMARC erschwert das Fälschen der eigenen Domain. Der Sophos DMARC Manager verwaltet diese Richtlinien zentral. Eine sichtbare Kennzeichnung externer Mails und eine moderne E-Mail-Security-Lösung wie Sophos Email fangen viele Imitationsversuche bereits vor dem Posteingang ab. Die Grundlagen dazu fasst unser Leitfaden zur E-Mail-Sicherheit zusammen.

Awareness und C-Level-Hygiene

Mitarbeitende müssen die Masche kennen, um sie zu erkennen. Regelmäßige Security Awareness Schulungen und simulierte Angriffe über Sophos Phish Threat trainieren genau das. Ergänzend sollten Führungskräfte bewusst mit öffentlichem Audio- und Videomaterial umgehen, denn jede Aufnahme liefert Rohstoff für Stimm- und Gesichtsklone. Weitere Grundlagen vermittelt unser Phishing-Leitfaden.

Mitarbeitende schulen →

Was tun im Schadensfall

Ist eine Überweisung bereits ausgelöst, zählt jede Minute. Die folgenden Schritte erhöhen die Chance, Schaden zu begrenzen.

• Bank kontaktieren Sofort die Hausbank informieren und einen Rückruf der Zahlung beantragen, solange das Geld noch nicht weitertransferiert ist.
• Intern melden Geschäftsleitung und IT-Sicherheit unverzüglich einbinden und betroffene Konten prüfen.
• Anzeige erstatten Den Vorfall bei der Polizei oder beim zuständigen Landeskriminalamt melden.
• Meldepflichten prüfen Unternehmen im Anwendungsbereich von NIS 2 prüfen ihre Meldefristen, mehr dazu in unserer NIS 2 Umsetzung. Sind personenbezogene Daten betroffen, greift zusätzlich die Meldepflicht nach DSGVO.

Fazit: CEO Fraud ist alte Betrugsmasche in neuem Gewand

CEO Fraud ist eine alte Masche, die mit künstlicher Intelligenz eine neue Schlagkraft erreicht. Deepfake-Videocalls und geklonte Stimmen hebeln die letzte menschliche Kontrolle aus, die akustische und visuelle Verifikation. Technische Erkennung allein wird dieses Wettrüsten nicht gewinnen. Entscheidend sind robuste Prozesse, die so gestaltet sind, dass kein einzelner Anruf und kein einzelner Videocall eine Zahlung auslösen kann. Wer Vier-Augen-Prinzip, Rückruf-Verifikation und Awareness konsequent umsetzt, macht den überzeugendsten Deepfake wirkungslos.