Freitagnachmittag, zehn vor fünf. Die Buchhalterin eines Mittelständlers will gerade die Woche abschließen, da klingelt das Telefon. Der Geschäftsführer. Er klingt gehetzt, fast verschwörerisch. Eine Übernahme laufe, sagt er, streng vertraulich, die Anwälte schickten die Kontodaten in wenigen Minuten, und die Überweisung müsse heute noch raus, sonst platze der Deal. Lange reden könne er nicht, er sitze zwischen zwei Terminen. „Ich verlasse mich auf Sie. Besprechen Sie das mit niemandem.”

Nichts an diesem Anruf ist ungewöhnlich, und genau das ist das Problem. Die Stimme klingt richtig. Die Mail danach trägt den Briefkopf einer Kanzlei. Der Betrag ist hoch, aber plausibel für Ihr Unternehmen. Jedes Signal, das Ihr Finanzteam zu prüfen gelernt hat, steht auf Grün, weil jedes Signal gefälscht wurde.

Ich baue beruflich Verifikationswerkzeuge, und wenn mich die Betrugsfälle eines lehren, dann dies: Zahlungsbetrug gegen Unternehmen ist selten eine Hacker-Geschichte. Es ist eine Vertrauens-Geschichte. Niemand knackt die Bank. Jemand überzeugt einen einzigen Menschen mit Zahlungsvollmacht davon, dass die Anweisung vor ihm echt ist.

Wie CEO-Fraud im Unternehmen ankommt

Vier Türen, ungefähr in der Reihenfolge, in der sie in den Fallberichten auftauchen.

Der gekaperte Mailverlauf. Das Postfach eines Lieferanten wird Wochen im Voraus still kompromittiert. Sobald eine echte Rechnung in Abstimmung ist, antwortet der Betrüger mitten im echten Verlauf: „Bitte beachten Sie unsere neue Bankverbindung.” Die Historie stimmt, die Namen stimmen, die Projektnummern stimmen. Nur die IBAN ist neu. Diese Variante fängt gerade die Sorgfältigen, denn alles, was sie prüfen, ist tatsächlich echt, bis auf das eine Feld, auf das es ankommt.

Die vertrauliche Übernahme. Der Anruf von oben, oder sein Zwilling per Mail: eine Nachricht von der Adresse des Chefs (oder einer, die sich um einen Buchstaben unterscheidet) an die Buchhaltung, getarnt als Geheimprojekt. Die Geschichte wechselt, die Zutaten nie: Autorität, Zeitdruck, Verschwiegenheit. Die Polizei führt diese Chef-Masche unter dem Stichwort CEO-Fraud und beschreibt auf polizei-beratung.de, wie die Täter vorher Handelsregister, Geschäftsberichte und Firmenwebsites auswerten, um glaubwürdig zu wirken.

Der Lieferantenbrief. Ein sauberes PDF auf überzeugendem Briefpapier: „Wir haben die Bank gewechselt, bitte überweisen Sie künftig auf das unten stehende Konto.” Dafür braucht es kein gehacktes Postfach, nur Ihre Lieferantenliste und etwas Geduld.

Das Deepfake-Meeting. Im Januar 2024 erhielt ein Mitarbeiter des Ingenieurkonzerns Arup in Hongkong eine Nachricht über eine vertrauliche Transaktion, angeblich vom Finanzchef in Großbritannien. Er war misstrauisch, wie er später sagte. Dann trat er einer Videokonferenz bei, mit ebenjenem Finanzchef und mehreren Kollegen, die er erkannte. Jeder andere Teilnehmer dieses Gesprächs war ein KI-Deepfake, gebaut aus öffentlich verfügbarem Material. Er führte 15 Überweisungen auf fünf Konten aus, insgesamt rund 25,6 Millionen US-Dollar, bevor eine Rückfrage in der Zentrale den Betrug aufdeckte (CNN hat den Fall rekonstruiert). Seit diesem Fall beweist „ich habe ihn doch selbst im Call gesehen” genauso wenig wie „ich habe ihre Stimme erkannt”.

Warum Hierarchie und Zeitdruck jede Richtlinie schlagen

Wer glaubt, so etwas treffe nur schlecht organisierte Firmen, sollte sich einen deutschen Fall merken. Im Sommer 2016 überwiesen Mitarbeiter der rumänischen Tochter des Nürnberger Automobilzulieferers Leoni auf Basis gefälschter Mails, die angeblich von hochrangigen Managern stammten, rund 40 Millionen Euro auf ausländische Konten, verteilt auf mehrere Zahlungen innerhalb weniger Wochen (Golem berichtete). Ein börsennotierter Konzern mit Konzernrevision. Wenn es dort funktioniert, ist „unsere Leute fallen darauf nicht herein” keine Strategie, sondern eine Hoffnung.

Warum funktioniert es? Drei Hebel. Autorität: Eine Sachbearbeiterin ruft nicht beim Vorstand an, um zu fragen, ob er wirklich er selbst ist. In den meisten Unternehmenskulturen fühlt sich das wie Insubordination an. Zeitdruck: Der Deal muss heute schließen, und auffällig oft ist es Freitagnachmittag oder der Tag vor einem Brückentag, wenn Freigebende fehlen und alle nach Hause wollen. Verschwiegenheit: „Sagen Sie es niemandem” tarnt sich als Diskretion, aber seine eigentliche Funktion ist es, die Kollegin auszuschalten, die sonst laut „komisch” gesagt hätte.

Und hier ist die Asymmetrie, auf die ich als Gründer immer wieder stoße: Ihr Geschäftsführer kann eine Sachbearbeiterin in zehn Sekunden verifizieren. Die Sachbearbeiterin hat keinerlei Möglichkeit, den Geschäftsführer zu verifizieren. Jede Masche in diesem Artikel lebt in dieser Einbahnstraße.

Das Freigabeprotokoll für Zahlungen

Das Gegenmittel ist nicht Wachsamkeit. Wachsamkeit ist eine Stimmung, und Stimmungen verlieren gegen Profis. Das Gegenmittel ist ein mechanisches Protokoll, das an einem ruhigen Dienstag exakt so abläuft wie an einem panischen Freitag. Schreiben Sie es auf, passen Sie die Schwellen an Ihre Größe an, und machen Sie es zur Regel:

Vier-Augen-Prinzip für jede Zahlung oberhalb einer festen Schwelle und für jede erste Zahlung an einen neuen Empfänger. Zwei Personen, unabhängig, keine kann allein freigeben.
Rückruf über einen anderen Kanal für jede Anweisung, die per Mail, Telefon oder Video eingeht. Verifiziert wird über einen anderen Weg als den, über den die Anfrage kam, unter einer Nummer, die bereits in Ihren Stammdaten stand. Niemals die Nummer aus der Nachricht, der Signatur oder dem Brief: Damit rufen Sie den Betrüger zurück.
Jede IBAN-Änderung gilt als neuer Empfänger. Rufen Sie Ihren bekannten Ansprechpartner beim Lieferanten unter der hinterlegten Nummer an. Bis er bestätigt: altes Konto oder gar keine Zahlung.
Keine Ausnahmen für die Führungsebene. Nicht für den CEO, nicht für den Beirat, nicht für „den Anwalt der Transaktion”. Je größer der Name, desto strenger die Prüfung.
Erste Zahlungen an neue Konten 24 Stunden liegen lassen, wo das Geschäft es erlaubt. Betrug hat es eilig; echte Rechnungen nicht.

Mehr ist es nicht. Es kostet ein paar Anrufe im Monat. Es verhindert eine Überweisung, die Sie nie wiedersehen.

Ablehnen muss sicher sein, im Voraus

Das Protokoll hat genau eine Sollbruchstelle: den Moment, in dem ein überzeugender Chef live dagegen drückt. „Für Ihren Rückruf habe ich keine Zeit. Ist Ihnen klar, was hier auf dem Spiel steht?” Eine Regel, die ein wütender Chef wegwischen kann, ist keine Regel, sondern ein Vorschlag.

Das fehlende Stück ist also politisch, nicht technisch. Der Geschäftsführer muss das Protokoll vorab segnen, schriftlich und vor versammeltem Team, mit einem Satz wie: „Wenn irgendjemand, mich eingeschlossen, Sie jemals drängt, den Verifikationsrückruf zu überspringen, dann ist dieser Druck selbst das stärkste Betrugssignal, das Sie je bekommen werden. Ablehnen ist Ihr Job, und ich stelle mich jedes Mal öffentlich hinter Sie.” Das dreht die Psychologie um: Dem Chef widersprechen ist ein Karriererisiko; die stehende Anweisung des Chefs befolgen ist Karrieresicherheit. Der Arup-Mitarbeiter hatte Zweifel, bevor er in den Videocall ging. Zweifel brauchen einen sicheren Landeplatz, und nur die Spitze der Hierarchie kann ihn bauen.

Die erste Stunde nach der Überweisung

Ist das Geld weg, schlägt Geschwindigkeit jede Beratung. Rufen Sie sofort die Betrugsstelle Ihrer Bank an und verlangen Sie den Rückruf der Überweisung (Recall) samt Warnung an die Empfängerbank; die Summe liegt oft noch Stunden auf dem ersten Zwischenkonto, bevor sie verteilt wird. Erstatten Sie umgehend Anzeige, bei jeder Polizeidienststelle oder über die Online-Wache Ihres Bundeslands; für Unternehmen gibt es zudem in jedem Bundesland eine Zentrale Ansprechstelle Cybercrime (ZAC) der Polizei, in Österreich läuft die Anzeige über jede Polizeiinspektion. Sichern Sie alles: vollständige Mail-Header, die gefälschte Rechnung, Anruflisten. Und machen Sie die Mitarbeiterin nicht zur Schuldigen der Geschichte. Wer die getäuschte Person bestraft, bringt dem nächsten Opfer bei, den Betrug eine Woche zu verschweigen, genau die Woche, in der eine Rückholung noch Chancen hatte.

Den Menschen verifizieren, nicht den Kanal

Jede Kontrolle oben ist ein Umweg um einen fehlenden Baustein: Zwei Kollegen am Telefon können einander nicht beweisen, wer sie sind. Diese Lücke schließen wir mit Hongi. Zwei Menschen koppeln sich einmal persönlich, danach zeigt die App jedem von beiden ein rotierendes Codewort, alle 30 Sekunden erneuert und offline auf dem Gerät berechnet; ein Betrüger kann, so gut Stimme oder Bild auch sind, niemals beide Seiten kennen. Ein CFO und ein Geschäftsführer, die gekoppelt sind, haben eine Zwei-Sekunden-Prüfung für genau den Freitagsanruf, mit dem dieser Artikel begann: kein Codewort, keine Zahlung. Das ersetzt weder Vier-Augen-Prinzip noch Rückruf, und das behaupte ich auch nicht. Es schließt die eine Lücke, die beide offen lassen: die Stimme am Telefon. Derselbe Mechanismus ist die Richtung unserer Arbeit mit Organisationen.

Bis dahin gilt die unspektakuläre Version: Rückruf unter bekannter Nummer, vier Augen, keine Ausnahmen. Die Überweisung kann bis Montag warten. Der Betrug nicht.