CEO-Fraud kommt ohne Schadsoftware aus und greift stattdessen die Entscheidungswege einer Organisation an; Malware-Schutz greift deshalb nicht, wohl aber DMARC-Durchsetzung, die Erkennung \u00e4hnlich geschriebener Domains und eine Kontrolle bei \u00c4nderungen der Bankverbindung. CEO-Fraud ist eine Form von Business Email Compromise<\/strong>, bei der eine F\u00fchrungskraft imitiert wird. Gegen\u00fcber Whaling ist die Abgrenzung nicht in allen Quellen einheitlich; h\u00e4ufig bezeichnet Whaling Angriffe, bei denen hochrangige F\u00fchrungskr\u00e4fte selbst Ziel sind. Die T\u00e4ter setzen dabei gef\u00e4lschte Absenderadressen, kompromittierte E-Mail-Konten oder andere Kommunikationskan\u00e4le ein, um glaubw\u00fcrdig als CEO, CFO oder andere Entscheidungstr\u00e4ger aufzutreten.<\/p>\n Finanzabteilungen von Versicherern wickeln im Tagesgesch\u00e4ft hohe Einzelbetr\u00e4ge ab, etwa f\u00fcr Schadenzahlungen, R\u00fcckversicherungsabrechnungen oder Kapitalanlagen, wodurch eine betr\u00fcgerische Anweisung im sechsstelligen Bereich<\/strong> nicht sofort auff\u00e4llt. In der Schadenregulierung wechseln Zahlungsempf\u00e4nger von Fall zu Fall, sodass ein unbekanntes Konto f\u00fcr sich genommen kein Warnsignal darstellt. T\u00e4ter st\u00fctzen sich dabei auf reale Namen und bestehende Gesch\u00e4ftsbeziehungen, etwa zu R\u00fcckversicherern oder Vermittlern, statt Identit\u00e4ten frei zu erfinden. Ein verbindliches Vier-Augen-Prinzip mit R\u00fcckruf \u00fcber eine unabh\u00e4ngig bekannte Telefonnummer bleibt eine wirksame Gegenma\u00dfnahme, auch wenn die Anweisung scheinbar von der Gesch\u00e4ftsf\u00fchrung stammt.<\/p>\n CEO-Fraud arbeitet mit drei Bausteinen<\/strong>: einer glaubw\u00fcrdigen Absenderidentit\u00e4t, einem Anlass, der Vertraulichkeit erzwingt, und einem Zahlungsweg, der sich nicht zur\u00fcckholen l\u00e4sst. Die Identit\u00e4t entsteht durch eine gef\u00e4lschte Absenderadresse, eine abgewandelte Domain oder ein \u00fcbernommenes Postfach der F\u00fchrungskraft.<\/p>\n Vorbereitet wird der Anlass mit Angaben, die au\u00dferhalb des Unternehmens verf\u00fcgbar sind: Wer zeichnet Zahlungen, wer vertritt im Urlaub, welche Transaktion steht an. Die Anweisung kommt dann zu einem Zeitpunkt, an dem eine R\u00fcckfrage schwerf\u00e4llt, etwa vor einem Feiertag oder w\u00e4hrend einer Reise der genannten Person. Weil die Nachricht ohne Schadsoftware auskommt, greift kein technischer Schutz: Sie enth\u00e4lt weder Anhang noch Link<\/strong>, nur eine Bitte, die im Rahmen der Rolle plausibel wirkt. Nach der Freigabe folgt der Zeitfaktor: Die Betr\u00e4ge werden z\u00fcgig weitergeleitet<\/strong>, weshalb ein R\u00fcckruf vor der Ausf\u00fchrung mehr bewirkt als jede Pr\u00fcfung danach. Genau darauf zielt der aufgebaute Zeitdruck. Wo eine feste R\u00fcckrufregel gilt, verliert der Zeitdruck seine Wirkung, weil die Pr\u00fcfung Teil des Ablaufs ist.<\/p>\nWie funktioniert CEO-Fraud?<\/h2>\n
CEO-Fraud vs. Rechnungsbetrug<\/h2>\n