Was ist CEO Fraud? Und was Sie als Organisation gegen CEO Fraud tun können.

Was tun CEO-Betrüger?

CEO Fraud — auch bekannt als Business Email Compromise (BEC) — ist eine Art von Social Engineering-Angriff, bei dem Kriminelle sich als hochrangige Führungskraft ausgeben, um Mitarbeiter dazu zu bringen, Geld zu überweisen oder sensible Informationen preiszugeben. Es ist eine der finanziell schädlichsten Formen der Cyberkriminalität, wobei das FBI jährlich Milliarden von Dollar an weltweiten Verlusten meldet.

In diesem Artikel erklären wir, wie CEO-Betrug funktioniert, zeigen Beispiele aus der Praxis und teilen praktische Schritte zum Schutz Ihrer Organisation.

Wie funktioniert CEO Fraud?

CEO-Betrüger missbrauchen Autorität. Zum Beispiel sendet der Betrüger eine E-Mail im Namen einer hochrangigen Person innerhalb des Unternehmens. Daher stammt der Begriff CEO Fraud. Beispielsweise wird ein betrügerischer Zahlungsauftrag an einen Verwaltungsmitarbeiter Ihres Unternehmens gesendet, in dem darum gebeten wird, vom regulären Zahlungsprozess abzuweichen, da es eine Ausnahme oder einen Notfall gibt. Der Betrüger kann auch die Änderung einer bestimmten Kontonummer anfordern. Betrüger suchen oft per E-Mail oder Telefon Kontakt.

Wie führen Kriminelle Betrug durch?

Cyberkriminelle führen oft gründliche Untersuchungen durch, bevor sie tatsächlich betrügerische Aktivitäten begehen. Dabei nutzen sie häufig verschiedene Techniken, darunter Social Engineering. Diese Technik versucht, das schwächste Glied (den Menschen) in der Computersicherheit zu knacken.

Phishing

Im Falle von Phishing versuchen Cyberkriminelle, relevante Informationen über Ihr Unternehmen zu sammeln. Diese Kriminellen versuchen, Mitarbeiter dazu zu verleiten, private Informationen per E-Mail, SMS oder Telefonanruf preiszugeben. Zum Beispiel geben sie sich möglicherweise als Bank oder seriöse Regierungsbehörde aus. Cyberkriminelle erstellen manchmal auch gefälschte Websites, die echten Websites zum Verwechseln ähnlich sehen. Wichtige private Daten gelangen so an die Cyberkriminellen, die diese nutzen können, um einen CEO-Betrugsangriff erfolgreich durchzuführen.

Spear Phishing

Spear Phishing ist eine gezielte Phishing-Methode, die ein bestimmtes Unternehmen oder einen bestimmten Mitarbeiter ins Visier nimmt. Spear Phishing wird daher häufiger von CEO-Betrügern eingesetzt. Oft senden Cyberkriminelle eine Nachricht per E-Mail von einem legitimen Absender. Dies können sie tun, indem sie die E-Mail-Adressen von Mitarbeitern hacken.

Pretexting

Eine weitere gängige Methode von Cyberkriminellen ist das Pretexting. Der Angreifer konstruiert falsche Umstände, um das Opfer dazu zu bringen, auf sensible Informationen oder geschützte Systeme zuzugreifen.

CEO Fraud-Beispiele

CEO Fraud kann an mehreren Merkmalen erkannt werden. In diesem Abschnitt besprechen wir einige Beispiele für CEO Fraud.

Missbrauch der Hierarchie

CEO Fraud missbraucht die Autorität eines CEO. Der Betrüger platziert einen Zahlungsauftrag bei einem Mitarbeiter. Wird dieser nicht ausgeführt, droht der sogenannte CEO mit erheblichen Konsequenzen.

Manchmal erhält der Mitarbeiter auch Komplimente vom Betrüger. Der Betrüger weist darauf hin, dass der Mitarbeiter außergewöhnliche Qualitäten besitzt und daher die Aufgabe im Geheimen ausführen darf.

Betonung der Vertraulichkeit

Der sogenannte CEO weist in diesem Fall darauf hin, dass es sich um eine vertrauliche Transaktion handelt und diese mit niemandem innerhalb des Unternehmens geteilt werden darf. Strenge Datenschutzgesetze werden missbraucht. Der sogenannte CEO betont, dass die Aufgabe nicht mit anderen Kollegen geteilt werden darf. Das Hauptziel ist es, die betrügerischen Aktivitäten so lange wie möglich geheim zu halten.

Phishing-E-Mails

Oft werden die E-Mails mit einer gefälschten E-Mail-Adresse versendet. Die E-Mail-Adresse ähnelt der echten E-Mail-Adresse sehr, weicht aber oft geringfügig ab. In einigen Fällen kann der Betrüger Nachrichten von einer verifizierten E-Mail-Adresse senden. Durch Phishing erlangen Kriminelle Passwörter, die sie nutzen, um sich bei E-Mail-Adressen anzumelden und dann betrügerische Nachrichten zu versenden.

Schützen Sie Ihr Unternehmen vor CEO-Betrug

CEO Fraud kann verheerende Folgen haben — von erheblichen finanziellen Verlusten bis hin zu Reputationsschäden. Die gute Nachricht ist, dass die meisten CEO Fraud-Angriffe mit den richtigen Maßnahmen verhindert werden können.

Schulen Sie Ihre Mitarbeiter darin, Social Engineering zu erkennen.

Die effektivste Verteidigung gegen CEO-Betrug ist Security Awareness Training. Wenn Mitarbeiter verstehen, wie Social Engineering funktioniert und Warnzeichen erkennen können, ist die Wahrscheinlichkeit, dass sie auf eine betrügerische Anfrage hereinfallen, wesentlich geringer. Das Training sollte Phishing, Pretexting und autoritätsbasierte Manipulation abdecken.

Phishing-Simulationen durchführen

Regelmäßige Phishing-Simulationen helfen Ihnen zu testen, ob Mitarbeiter das Gelernte anwenden können. Besonders effektiv sind Simulationen, die CEO-Betrugsszenarien nachahmen – wie dringende Zahlungsaufforderungen von einer gefälschten Führungskraft.

Implementieren Sie ein Verifizierungsverfahren für Zahlungen

Bearbeiten Sie niemals ungewöhnliche Zahlungsanfragen, die auf einer einzelnen E-Mail oder einem Telefonanruf basieren. Fordern Sie eine zweite Person zur Überprüfung jeder Zahlung an, die vom normalen Prozess abweicht, insbesondere wenn Dringlichkeit oder Vertraulichkeit betont werden. Ein einfacher Rückruf beim vermeintlichen Absender unter Verwendung einer bekannten Telefonnummer kann die meisten CEO-Betrugsversuche verhindern.

Achten Sie auf unregelmäßige Zahlungsaufforderungen

Stellen Sie sicher, dass alle Mitarbeitenden wissen, wie verdächtige Anfragen zu erkennen sind. Warnsignale sind unter anderem: Anfragen zur Umgehung normaler Genehmigungsverfahren, Betonung der Geheimhaltung, ungewöhnliche Dringlichkeit und unbekannte Bankkontonummern. Neue Mitarbeitende sollten während des Onboardings über diese Risiken informiert werden.

Seien Sie vorsichtig bei der Offenlegung von Unternehmensinformationen

CEO-Betrüger führen oft umfassende Recherchen durch, bevor sie einen Angriff starten. Informationen, die auf Ihrer Website veröffentlicht werden – wie Namen, Rollen und E-Mail-Formate von Mitarbeitern – können gegen Sie verwendet werden. Seien Sie wählerisch, was Sie öffentlich teilen, insbesondere hinsichtlich Ihrer Organisationshierarchie und Finanzprozeduren.

Durch die Kombination von Mitarbeiterschulungen, klaren Verifizierungsverfahren und sorgfältigem Informationsmanagement können Sie das Risiko von CEO-Betrug in Ihrem Unternehmen erheblich reduzieren.

Schützen Sie sich besser mit einem virtuellen privaten Netzwerk

Mit einem Virtual Private Network sind Sie weniger sichtbar im Internet. Alle Mitarbeiter Ihres Unternehmens hinterlassen Spuren im Internet. Dies können auch unternehmenssensible Informationen sein. Aus diesem Grund ist es keine schlechte Idee, ein VPN zu nutzen. Dies ist eine verschlüsselte Verbindung zwischen Ihrem Computer und dem Internet. Mit einer VPN-Verbindung können Sie anonym auf das Internet zugreifen.

Was sollten Sie tun, wenn Ihr Unternehmen Opfer von CEO-Betrug wird?

Ist Ihr Unternehmen unerwartet Opfer von CEO-Betrug geworden? Dann ist es wichtig, so schnell wie möglich zu handeln. Benachrichtigen Sie umgehend die Cyber-Abteilung Ihrer Bank. In einigen Fällen kann eine Transaktion noch storniert werden. Kontaktieren Sie außerdem die Polizei und die Betrugs-Hotline.

Es ist auch ratsam, innerhalb des Unternehmens selbst Maßnahmen zu ergreifen. Informieren Sie alle Mitarbeiter über die Umstände und setzen Sie ein Krisentreffen an. Es ist dann wichtig, Maßnahmen zu ergreifen, um weitere betrügerische Aktivitäten zu verhindern.

Möchten Sie auch besser vor CEO-Fraud geschützt sein? Melden Sie sich jetzt für die kostenlose 14-tägige Testphase bei Guardey an.