8 Beispiele für CEO-Betrug: echte Fälle, die dahinterstehenden E-Mails und wie man sie verhindert

Kurz gesagt: Bei einem CEO-Betrug, auch als „Business Email Compromise“ (BEC) bezeichnet, gibt sich ein Angreifer als Führungskraft aus, um einen Mitarbeiter dazu zu bringen, Geld oder Daten zu überweisen. Es handelt sich dabei mit großem Abstand um die kostspieligste Form der Cyberkriminalität: Allein im Jahr 2025 verzeichnete das FBI gemeldete BEC-Verluste in Höhe von rund 2,8 Milliarden US-Dollar. Die folgenden acht Beispiele sind real, reichen von 37.000 € bis 70 Millionen € und weisen alle ein gemeinsames Muster auf: Autorität, Dringlichkeit, Geheimhaltung und einen Mitarbeiter, der nicht ans Telefon gegangen ist. Jedes Beispiel zeigt die Nachricht, mit der alles begann; im letzten Abschnitt werden die fünf Regeln vorgestellt, die jeden einzelnen dieser Vorfälle hätten verhindern können.

So sieht Betrug durch den CEO aus

Die klassische Variante ist eine E-Mail. „Sitzen Sie gerade an Ihrem Schreibtisch? Ich möchte, dass Sie heute eine vertrauliche Zahlung abwickeln.“ Es kann sich auch um eine WhatsApp-Nachricht, einen Anruf mit einer manipulierten Stimme oder einen Videoanruf mit einem Deepfake handeln. Das Ziel ist in der Regel jemand aus dem Finanzbereich, eine Assistenz der Geschäftsleitung oder eine Person aus der Personalabteilung oder dem Einkauf, die über Geld oder Daten verfügen kann. Zur Definition und zum rechtlichen Aspekt siehe „Was ist CEO-Betrug?“; für die E-Mail selbst siehe Beispiel 5 in unseren Beispielen für Phishing-E-Mails.

Die 8 Beispiele für Betrugsfälle durch Geschäftsführer

1. Pathé Niederlande (2018): 19 Millionen Euro für eine „vertrauliche Übernahme“

Was geschah: Die niederländische Niederlassung der Kinokette Pathé erhielt E-Mails, die scheinbar von der französischen Zentrale stammten und eine vertrauliche Übernahme in Dubai betrafen. Über mehrere Wochen hinweg genehmigten der Geschäftsführer und der Finanzvorstand Überweisungen in Höhe von insgesamt rund 19,2 Millionen Euro. Beide wurden entlassen; das Gericht befand die Entlassung des Finanzvorstands später für rechtmäßig.

Die Nachricht: „Dies ist streng vertraulich. Sprechen Sie mit niemandem in der Organisation darüber. Die erste Rate muss noch heute überwiesen werden.“

Warum es funktioniert hat: Durch die Geheimhaltungsklausel wurden alle Kollegen ausgeschlossen, die Fragen gestellt hätten, und das Geschäft klang nach etwas, das die Zentrale tun würde.

2. FACC (2016): 52 Millionen Euro und die Entlassung des Vorstandsvorsitzenden

Was geschah: Der österreichische Luft- und Raumfahrtzulieferer FACC, der Teile für Airbus und Boeing herstellt, überwies rund 52,8 Millionen Euro, nachdem E-Mails eingegangen waren, in denen sich der Absender als CEO ausgab und ein Übernahmeprojekt thematisierte. Das Unternehmen konnte einen Bruchteil der Summe zurückerhalten, der CEO und der CFO wurden entlassen, und der Fall wurde zum europäischen Maßstab für Konsequenzen auf Vorstandsebene.

Die Nachricht: Eine E-Mail-Kette von einer Adresse, die der des Geschäftsführers ähnelt, in der die Finanzabteilung angewiesen wird, Zahlungen für ein geheimes Projekt zu veranlassen.

Warum es funktioniert hat: eine Abfolge plausibler E-Mails über einen längeren Zeitraum hinweg, keine einzelne Anfrage und keine Rückrufregel.

3. Crelan (2016): 70 Millionen Euro bei einer belgischen Bank

Was geschah: Die belgische Bank Crelan erlitt durch einen Betrug ihres Vorstandsvorsitzenden einen Verlust von rund 70 Millionen Euro, der im Rahmen einer internen Prüfung aufgedeckt wurde. Der Angriff richtete sich gegen Mitarbeiter, die zur Durchführung von Überweisungen befugt waren.

Die Nachricht: Anweisungen, die der Geschäftsleitung zugeschrieben werden und die eine Umschichtung von Geldern betreffen, mit den üblichen Vertraulichkeitshinweisen.

Warum das funktionierte: Selbst eine Bank, deren Kontrollmechanismen auf die Abwehr von Betrug von außen ausgelegt waren, verfügte über keinen Überprüfungsschritt für Anweisungen, die scheinbar aus dem eigenen Haus stammten.

4. Ubiquiti Networks (2015): 46,7 Millionen US-Dollar über eine Tochtergesellschaft

Was geschah: Der US-amerikanische Hersteller von Netzwerkausrüstung gab bekannt, dass Mitarbeiter einer Tochtergesellschaft in Hongkong durch E-Mails, die vorgeben, von Führungskräften und Anwälten zu stammen, dazu verleitet wurden, 46,7 Millionen US-Dollar auf Konten im Ausland zu überweisen. Rund 8 Millionen US-Dollar konnten wiederbeschafft werden.

Die Botschaft: Anfragen von „externen Rechtsberatern“ und „der Geschäftsleitung“ bezüglich dringender Überweisungen im Zusammenhang mit einem Geschäft.

Warum es funktionierte: Die Angreifer hatten es auf eine Tochtergesellschaft abgesehen, in der die Mitarbeiter die Führungskräfte nicht persönlich kannten.

5. Toyota Boshoku (2019): 37 Millionen Dollar in einer einzigen Überweisung

Was geschah: Die europäische Tochtergesellschaft des Sitz- und Innenausstattungslieferanten von Toyota überwies rund 4 Milliarden Yen (37 Millionen US-Dollar), nachdem ein Dritter, der sich als Geschäftspartner ausgab, die Zahlungsdaten geändert hatte.

Die Botschaft: eine überzeugende Aufforderung zur Zahlung auf ein neues Bankkonto im Rahmen einer bestehenden Lieferantenbeziehung.

Warum es funktioniert hat: Die Variante, bei der der „Chef“ durch einen vertrauenswürdigen Lieferanten ersetzt wird – dieselbe Technik, ein anderer Absender.

6. Arup (2024): Der 25-Millionen-Dollar-Deepfake-Videoanruf

Was geschah: Ein Mitarbeiter der Finanzabteilung in der Hongkonger Niederlassung des Ingenieurbüros Arup nahm an einem Videoanruf mit dem „CFO“ und mehreren „Kollegen“ teil, die alle von einer KI generiert worden waren, und tätigte 15 Überweisungen in Höhe von insgesamt 200 Millionen HK$ (etwa 25,6 Millionen $).

Die Botschaft: Eine E-Mail über eine vertrauliche Transaktion, gefolgt von einer Einladung zu einem Videoanruf, der die Zweifel des Mitarbeiters ausräumte.

Warum es funktioniert hat: Ein Gesicht und eine Stimme wurden als Beweis gewertet. Im Schulungsprogramm zum Thema Deepfakes finden Sie das Verifizierungsprotokoll, mit dem sich dies verhindern lässt.

7. Ferrari und WPP (2024): Die gescheiterten Versuche

Was geschah: Bei Ferrari erhielt ein Führungskraft WhatsApp-Nachrichten und einen Anruf mit der nachgebildeten Stimme von CEO Benedetto Vigna bezüglich einer vertraulichen Übernahme; er stellte eine Frage, die nur der echte CEO beantworten konnte, woraufhin der Anrufer auflegte. Bei der Werbegruppe WPP richteten Angreifer ein Teams-Meeting mit einer nachgebildeten Stimme und öffentlich zugänglichen Bildern von CEO Mark Read ein; das Ziel wurde misstrauisch und meldete den Vorfall.

Warum sie gescheitert sind: Ein Mitarbeiter hat die Angaben überprüft, ein Mitarbeiter hat sie gemeldet. Das ist der einzige Unterschied zwischen Beispiel 6 und Beispiel 7.

8. Der KMU-Fall: 37.000 € für Geschenkgutscheine

Was passiert ist: die Variante, die die meisten Unternehmen tatsächlich erleben. Eine Büroleiterin in einem Unternehmen mit 60 Mitarbeitern erhielt eine WhatsApp-Nachricht vom „Geschäftsführer“: Er sei in einer Besprechung, brauche Geschenkkarten für einen Kunden, sie solle ihm die Codes schicken und das Ganze geheim halten. Sie kaufte innerhalb von zwei Tagen Geschenkkarten im Wert von 37.000 Euro, bevor ein Kollege nachfragte, warum. Dieser fiktive Fall basiert auf Berichten der Polizei und von Versicherern; die Zahlen variieren, das Szenario bleibt jedoch immer dasselbe.

Die Nachricht: „Hast du Zeit? Ich brauche schnell einen Gefallen, aber ich sitze den ganzen Nachmittag in Besprechungen fest.“

Warum es funktioniert hat: eine kleine, glaubwürdige Bitte von jemandem, dem man helfen möchte, mit einem Grund, nicht zurückzurufen.

Die Beispiele auf einen Blick

Das Muster in jedem Fall

1. Autorität: Die Aufforderung kommt von jemandem, dessen Autorität man nicht in Frage stellt.
2. Dringlichkeit: heute, noch vor Ablauf der Frist, noch bevor der Vertrag abgeschlossen wird.
3. Vertraulichkeit: vertraulich, nicht darüber sprechen, das bleibt unter uns.
4. Ein Grund, nicht anzurufen: in Besprechungen, auf Reisen, im Ausland, bei schlechter Verbindung.
5. Ein neues Ziel für das Geld: ein neues Konto, ein neues Land, Geschenkkarten.

Wenn zwei dieser fünf Punkte in einer Mitteilung vorkommen, ist das ein Warnsignal. Bei drei Punkten handelt es sich um Betrug durch den CEO, solange nicht das Gegenteil bewiesen ist.

Fünf Regeln, die alle acht verhindert hätten

1. Jeder Zahlungsauftrag wird telefonisch unter einer bereits im Telefonbuch eingetragenen Nummer überprüft, niemals unter einer in der Nachricht angegebenen Nummer. Auch für Führungskräfte gibt es keine Ausnahmen; diese bekräftigen die Regel öffentlich.
2. Jede Überweisung, die einen bestimmten Schwellenwert überschreitet, sowie jede Änderung der Bankverbindung wird von vier Augen geprüft. Eine Person allein kann die Transaktion nicht ausführen; ein zweiter Genehmiger stellt die Frage, die der erste nicht gestellt hat.
3. Ein Codewort für dringende Anfragen zwischen Führungskräften, der Finanzabteilung und Assistenten, das niemals in E-Mails oder Chats verwendet wird.
4. Geheimhaltung ist wie ein Stoppschild. „Sag es niemandem“ bedeutet: Informiere sofort deinen Vorgesetzten und die Finanzabteilung.
5. Schulen und testen Sie die Mitarbeiter, die über Geldmittel verfügen. Die Mitarbeiter aus den Bereichen Finanzen, Assistenz, Personalwesen und Einkauf durchlaufen alle vier bis sechs Wochen eine gezielte Phishing-Simulation, die genau dieses Szenario nachstellt, sowie eine drei Minuten lange Schulung zur Sensibilisierung für Sicherheitsfragen pro Woche. Ferrari und WPP wurden durch geschulte Mitarbeiter gerettet, nicht durch Technologie.

Was tun, wenn es bereits passiert ist?

• Rufen Sie innerhalb einer Stunde die Betrugsabteilung Ihrer Bank an, um eine Rückbuchung zu veranlassen; nach 24 Stunden sinken die Chancen auf eine Rückerstattung drastisch.
• Noch am selben Tag: Anzeige bei der Polizei erstatten und, sofern personenbezogene Daten betroffen sind, die Meldepflicht gemäß DSGVO prüfen.
• Noch in derselben Woche: Bewahren Sie die E-Mails und Kopfzeilen auf, informieren Sie Ihren Versicherer und informieren Sie das gesamte Unternehmen, ohne dem Mitarbeiter die Schuld zu geben. Der nächste Versuch landet in der Regel schon wieder im Posteingang von jemandem.

Häufig gestellte Fragen

Was ist ein Beispiel für Betrug durch einen CEO?

Eine E-Mail oder Nachricht, die scheinbar vom Geschäftsführer stammt und in der ein Mitarbeiter aufgefordert wird, eine dringende, vertrauliche Zahlung zu tätigen oder Geschenkkarten zu kaufen. Der Fall Pathé (19 Millionen Euro) und die Variante mit den Geschenkkarten (einige Tausend Euro) sind die beiden Extreme desselben Betrugs.

Wie häufig kommt Betrug durch Geschäftsführer vor?

Im Jahr 2025 war „Business Email Compromise“ zum fünften Mal in Folge die Kategorie mit den höchsten Kosten im Internetkriminalitätsbericht des FBI, wobei allein in den Vereinigten Staaten Verluste in Höhe von rund 2,8 Milliarden US-Dollar gemeldet wurden. Die meisten Fälle werden nie öffentlich gemeldet.

Kann ein „CEO-Betrug“ per Telefon oder Video stattfinden?

Ja. Geklonte Stimmen und Deepfake-Videoanrufe (Arup, Ferrari, WPP) sind die Varianten des Jahres 2024. Die Regel zur Überprüfung ist dieselbe: Rufen Sie unter einer bekannten Nummer zurück.

Wer haftet, wenn ein Betrug durch den Vorstandsvorsitzenden erfolgreich ist?

Das Unternehmen trägt den Verlust, und die Vorstandsmitglieder müssen mit Konsequenzen rechnen: Bei FACC und Pathé wurden Führungskräfte entlassen. Gemäß NIS2 ist die Unternehmensleitung ausdrücklich für Cybersicherheitsmaßnahmen einschließlich Schulungen verantwortlich.