Das Bundesamt für Cybersicherheit (BACS) warnt aktuell vor einer Zunahme von sogenannten CEO-Betrugsfällen. Auch wir stellen eine steigende Anzahl solcher Betrugsversuche bei unseren Kunden fest. Doch was ist CEO-Betrug? Wie funktioniert die Masche? Und vor allem: Wie kann man sich schützen?

Das Wichtigste in Kürze

  • CEO-Betrug ist eine Betrugsmasche, bei der sich Täter als Führungspersonen ausgeben.
  • Ziel ist es, Mitarbeitende zu Zahlungen oder dem Kauf von Geschenkkarten zu bewegen.
  • Besonders Kirchen, Schulen, Vereine und politische Organisationen sind betroffen.
  • Öffentlich verfügbare Informationen auf Websites werden von Betrügern genutzt.
  • Achtsamkeit, Kontrollmechanismen und klare Prozesse sind essenzielle Schutzmassnahmen.

„Kannst du mir bitte Geschenkkarten besorgen? Ich habe leider gerade keine Zeit.“

Am 10.12.2024 hat das Bundesamt für Cybersicherheit (BACS) einen Bericht veröffentlicht, wonach es in den letzten Wochen vermehrt Meldungen über CEO-Betrug erhalten hat. Laut BACS sind derzeit vor allem Kirchen, Schulen, Vereine und politische Parteien im Visier der Betrüger. Auch wir stellen bei unseren Kunden eine Zunahme solcher Betrugsversuche fest.

Häufig fragen die Betrüger im Namen einer Führungsperson per Mail nach Geschenkkarten, die so schnell wie möglich besorgt werden müssten. Sie selbst hätten leider gerade keine Zeit und sässen in wichtigen Meetings. Deshalb sollen die Empfänger die Codes dann auch direkt als Antwort auf die Mail zurückschicken.

Aber: Wie genau funktioniert der Betrug und woran lässt er sich erkennen? Lassen Sie uns dazu von ganz vorne beginnen:

Was ist CEO-Betrug?

CEO-Betrug ist eine ausgeklügelte Betrugsmasche, bei der sich Kriminelle als Führungspersonen, wie z. B. Geschäftsführung, Schulleitung oder Vereinsvorsitzende, ausgeben. Sie nehmen in der Regel per E-Mail Kontakt zu Mitarbeitenden auf und täuschen dringende Situationen vor. Ziel der Betrüger ist es, dass die Empfänger Zahlungen auslösen oder Geschenkkarten erwerben und die Codes übermitteln.

In den vergangenen Wochen verzeichnete das Bundesamt für Cybersicherheit (BACS) eine auffällige Zunahme solcher Fälle. Kirchen, Schulen, Vereine und politische Parteien stehen besonders im Fokus, da sie oft viele Informationen über ihre Verantwortlichen und Strukturen auf ihren Websites veröffentlichen. Diese Daten machen es für die Täter einfacher, glaubwürdige Betrugsversuche zu inszenieren.

Wie gehen die Betrüger vor?

Der Ablauf folgt einem klaren Muster:

  1. Erster Kontakt: Die Täter senden eine E-Mail im Namen einer bekannten Führungsperson, z. B. eines Schulleiters, einer Vereinspräsidentin oder von Parteivorsitzenden. Meist beginnen die Nachrichten mit der Frage, ob man kurz Zeit hätte, um eine dringende Aufgabe zu erledigen. Ein Anruf wird vermieden, um keinen Verdacht zu erregen.
  2. Glaubwürdige Tarnung: Bei den Absenderadressen handelt es sich oft um Outlook-Adressen, die auf den ersten Blick täuschend echt aussehen, z. B. vorname.nachname.organisation@outlook.com. Viele Empfänger bemerken diesen kleinen, aber entscheidenden Unterschied nicht.
  3. Konkretisierung: Auf die erste E-Mail folgt dann in der Regel eine Aufforderung, Geschenkkarten (z. B. Apple, Google Play oder Steam) zu kaufen und die Codes per E-Mail zu übermitteln. Alternativ wird zu überhasteten Zahlungen gedrängt.
  4. Druck und Eile: Die Nachrichten setzen das Opfer unter Zeitdruck oder drohen mit Konsequenzen bei Nichtausführung. Dieses taktische Vorgehen soll verhindern, dass die Forderung hinterfragt wird.

Warum sind Kirchen, Schulen und Vereine besonders betroffen?

Kirchen, Schulen, Vereine und politische Parteien veröffentlichen oft viele Informationen über ihre Organisationen. Dazu gehören Namen von Verantwortlichen, Telefonnummern und manchmal auch E-Mail-Adressen. Diese öffentlich zugänglichen Daten dienen Betrügern als Grundlage für ihre Täuschungen.

Wie können Sie sich und Ihre Organisation schützen?

Um sich vor CEO-Betrug zu schützen, sind sowohl technische als auch organisatorische Massnahmen notwendig. Nachfolgend finden Sie einige Empfehlungen:

E-Mail-Adressen sorgfältig prüfen

  • Kontrollieren Sie die Absenderadresse genau, vor allem bei unbekannten Aufforderungen.

Sensibilisierung der Mitarbeitenden

  • Schulen Sie Angestellte, Vorstandsmitglieder und Personen in Schlüsselpositionen regelmässig.
  • Informieren Sie darüber, wie Betrugsversuche ablaufen und wie sie zu erkennen sind.

Reduktion öffentlicher Informationen

  • Veröffentlichen Sie nur unbedingt notwendige Informationen zu Verantwortlichen und Mitarbeitenden.

Gesundes Misstrauen

  • Seien Sie bei ungewöhnlichen Zahlungsaufforderungen skeptisch.
  • Lassen Sie sich nicht unter Druck setzen und hinterfragen Sie die Forderung.

Klare Prozesse etablieren

  • Implementieren Sie klare Richtlinien für Zahlungen (z. B. das Vier-Augen-Prinzip).
  • Führen Sie Freigabeschritte und Kontrollmechanismen für finanzielle Transaktionen ein.

Wachsamkeit ist der beste Schutz

CEO-Betrug ist eine ernstzunehmende Bedrohung, die für Betroffene erhebliche finanzielle Risiken birgt. Durch regelmässige Schulungen, gezielte Sensibilisierung und klare Prozesse können Sie sich und Ihre Organisation vor dieser perfiden Masche schützen.

Das Bundesamt für Cybersicherheit und auch wir beobachten eine deutliche Zunahme solcher Fälle. Gemeinsam können wir aber dazu beitragen, dass Betrüger keinen Erfolg haben. Gehen Sie achtsam vor, hinterfragen Sie Aufforderungen und sensibilisieren Sie Ihre Mitarbeitenden – denn Vorsicht ist besser als Nachsicht.