CEO-Fraud per Telefon: die vier Warnsignale

Inhalt in Kürze

• CEO-Fraud am Telefon greift keine Technik an, sondern den Gehorsam. Deshalb hilft keine Firewall, sondern eine Regel.
• Vier Muster tauchen fast immer zusammen auf: Autorität, Zeitdruck, Geheimhaltung und die Abweichung vom vereinbarten Prozess.
• Das vierte Signal ist das beste. Eine echte Anweisung hält den Freigabeweg aus. Eine falsche will an ihm vorbei.
• Die Gegenmaßnahme ist ein Satz, den jede Person sagen darf, ohne unhöflich zu wirken — und eine Übung, in der sie ihn einmal gesagt hat.

Es ist kurz vor elf, der Anruf kommt mit unterdrückter Nummer. Die Stimme klingt gehetzt: zwischen zwei Terminen, ganz kurz, eine Zahlung muss heute noch raus. Achtundvierzigtausend, neuer Lieferant, bis zwölf Uhr. Und bitte nicht über die Buchhaltung, das läuft diesmal direkt.

So klingt CEO-Fraud. Kein Schadprogramm, kein Link, kein Anhang — nur eine Stimme und eine Frist.

Warum ausgerechnet das Telefon funktioniert

Eine verdächtige E-Mail können Sie eine Minute liegen lassen. Sie können den Absender prüfen, mit der Kollegin nebenan reden, den Link mit der Maus überfahren, ohne zu klicken. Am Telefon fällt all das weg.

Es kommt ein zweiter Effekt dazu, den man selten ausspricht: Wer den Chef aufhält, fühlt sich unhöflich. Genau darauf ist die Masche gebaut. Sie zielt nicht auf Unwissen, sondern auf Höflichkeit und Gehorsam — zwei Eigenschaften, die im Arbeitsalltag sonst erwünscht sind.

Strafrechtlich ist die Sache klar: Es handelt sich um Betrug nach § 263 StGB. Das nützt in dem Moment nur nichts, in dem die Überweisung freigegeben wird.

Die vier Warnsignale

1. Autorität. Der Anrufer steht angeblich über Ihnen. Geschäftsführung, Bereichsleitung, in anderen Spielarten eine Behörde. Er nennt Sie beim Namen, kennt die Abteilung und manchmal ein laufendes Projekt — Informationen, die auf jeder Website und in jedem Netzwerkprofil stehen. Vertrautheit ist kein Echtheitsmerkmal.

2. Zeitdruck. Auffällig ist nicht die Eile, sondern ihre Form: eine Uhrzeit als Frist, kein Datum. „Bis zwölf“ lässt sich nicht mit einer Rückfrage vereinbaren, „bis Freitag“ schon. Die Frist ist kein Sachzwang, sondern ein Werkzeug.

3. Geheimhaltung. „Bitte nicht über die Buchhaltung.“ „Darüber sprechen wir intern noch nicht.“ Damit fällt genau die Person weg, die den Betrug bemerken würde. Vertraulichkeit ist im Geschäftsleben normal — Vertraulichkeit, die eine Kontrolle ersetzen soll, ist es nicht.

4. Abweichung vom Prozess. Der vereinbarte Weg soll einmalig verlassen werden: neue Bankverbindung ohne Prüfung, Freigabe ohne zweite Unterschrift, Zahlung an der Freigabekette vorbei. Das ist das verlässlichste Signal von allen, und man muss dafür nichts über Betrugsmaschen wissen.

Die Stimme ist kein Beweismittel mehr

Früher lautete der Rat: Wenn Sie unsicher sind, achten Sie auf die Stimme. Der Rat ist überholt. Synthetische Stimmen sind heute unauffällig, und für eine brauchbare Nachbildung genügt Material, das viele Führungskräfte selbst veröffentlichen — ein Podcast, ein Webinar, eine Videobotschaft.

Das ändert nichts an den vier Signalen. Es ändert nur, welches Merkmal Sie zur Prüfung heranziehen dürfen: nicht mehr den Klang, sondern den Weg. Woran man einen technisch gut gemachten Anruf trotzdem erkennt, steht in der Checkliste für Deepfake-Anrufe; die Hintergründe zur Masche insgesamt im Beitrag zu Deepfake und CEO-Fraud.

Was in dem Moment zu tun ist

1. Nicht widersprechen, sondern verlagern. „Ich rufe Sie über Ihre Durchwahl zurück.“ Das ist kein Vorwurf, sondern eine Absprache — und beendet fast jeden Fall.
2. Die Nummer selbst wählen. Aus dem internen Verzeichnis, nicht aus dem Display und nicht aus der Mail, die dazu angekündigt wurde.
3. Eine zweite Person einbeziehen. Auch dann, wenn Geheimhaltung erbeten wurde. Gerade dann.
4. Melden, auch wenn nichts passiert ist. Der abgewehrte Anruf ist die Warnung für alle anderen — die Kollegin in der Buchhaltung bekommt denselben Anruf oft am selben Tag.

Warum ein Codewort selten die Antwort ist

Der Vorschlag kommt in fast jedem Workshop: ein geheimes Wort für telefonische Zahlungsanweisungen. In der Praxis hält das selten. Codewörter werden vergessen, weitergegeben, im Chat notiert oder von der Urlaubsvertretung nicht gekannt — und wer das Wort nicht parat hat, steht plötzlich als Bremser da.

Eine Prozessregel ist robuster: Zahlungsanweisungen werden über den bekannten Rückrufweg bestätigt, unabhängig davon, wer anruft. Sie muss niemand auswendig können, und sie funktioniert auch bei einem Anrufer, den es im Haus gar nicht gibt.

Aus der Praxis

Viele Unternehmer denken, ich bin doch zu klein für das ganze Thema Datenschutz. Wir haben Mandanten mit drei, vier, fünf Mitarbeitern – die arbeiten für große Kunden mit enormen Ansprüchen an den Datenschutz.

Nils OehmichenDatenschutzberater bei frag.hugo

Dasselbe gilt für CEO-Fraud. Die Masche braucht keinen Konzern, sondern eine Person, die überweisen darf, und eine, die sie unter Druck setzen kann. Beides gibt es ab drei Mitarbeitern.

Vom Wissen zur Übung

Die vier Signale zu kennen ist der erste Schritt. Der zweite ist, sie einmal unter Druck erkannt zu haben. Genau dafür gibt es Anruf-Drills: eine rund vierminütige Szene im Browser, in der das Telefon klingelt, eine synthetische Stimme drängt und man selbst entscheiden muss — ohne dass jemand wirklich angerufen wird. Der größere Zusammenhang steht im Überblicksartikel Vishing und Deepfake-Anrufe trainieren.

Häufige Fragen (FAQ)

Was ist CEO-Fraud am Telefon?

Beim CEO-Fraud gibt sich ein Täter als Geschäftsführung oder Bereichsleitung aus und weist eine eilige Zahlung an, die am üblichen Freigabeweg vorbeilaufen soll. Am Telefon wirkt die Masche besonders gut, weil sozialer Druck in Echtzeit entsteht und keine Zeit zum Prüfen bleibt. Strafrechtlich ist das Betrug nach § 263 StGB.

Woran erkenne ich CEO-Fraud am Telefon?

An vier Mustern, die fast immer zusammen auftreten: Autorität, Zeitdruck in Form einer Uhrzeit, Geheimhaltung gegenüber der Buchhaltung und die Abweichung vom vereinbarten Freigabeweg. Das vierte Signal ist das verlässlichste, weil man dafür nichts über Betrugsmaschen wissen muss.

Was tue ich, wenn ich einen solchen Anruf bekomme?

Auflegen und selbst zurückrufen — über eine Nummer, die Sie kennen, nicht über eine, die Ihnen genannt wurde. Danach die Meldung an die IT oder den vereinbarten Meldeweg, auch wenn nichts passiert ist. Erst die Meldung macht aus einem Einzelfall eine Warnung für alle anderen.

Hilft ein Codewort gegen CEO-Fraud?

Nur begrenzt. Ein Codewort ist schnell vereinbart und ebenso schnell vergessen oder weitergegeben. Verlässlicher ist eine Prozessregel: Zahlungsanweisungen werden ausschließlich über den bekannten Rückrufweg bestätigt, und niemand bekommt Ärger, wenn er darauf besteht.

Wie übt man den Ernstfall, ohne wirklich anzurufen?

Mit einer Übungsszene im Browser: Das Telefon klingelt auf dem Bildschirm, eine synthetische Stimme setzt unter Druck, die Person wählt zwischen mehreren Reaktionen und sieht danach die Auflösung mit den Warnsignalen. Dafür braucht es keine Rufnummer, kein Mikrofon und keine Aufzeichnung.