CEO-Fraud

CEO-Fraud, auch Geschäftsführer-Betrug oder „Fake-President“-Fall genannt, ist eine beliebte Spear Phishing-Masche. Dabei werden Mitarbeiter in gefälschten E-Mails von Ihren angeblichen Vorgesetzten z. B. zur Überweisung einer bestimmten Geldsumme aufgefordert oder auch zur Preisgabe von sensiblen Daten.

Beim CEO-Fraud steht die Imitation alltäglicher Berufssituationen im Vordergrund. In hierarchisch und von Schnelligkeit geprägten Unternehmenskulturen sind dringende Anforderungen seitens der Geschäftsführung meist keine Seltenheit. Die Bitte, schnell eine größere Geldsumme zu überweisen, wird von den Mitarbeitern häufig umgesetzt.

Aufgrund der direkten und persönlichen Kommunikation und imitierten Rhetorik, liegt es einzig an dem Mitarbeiter den Angriff zu erkennen und darauf zu reagieren. Ein weitere Brisanz des CEO-Frauds ist, dass aufgrund der Einfachheit der Angriffe Nachahmungen möglich sind. Anti-Virenprogramme oder Firewalls sind hier wirkungslos, da es sich nicht um einen technischen Angriff handelt. Hier helfen nur eine dauerhafte Sensibilisierung und permanente Wachsamkeit.

Das tückische am CEO-Fraud ist, dass Vor-und Zuname einer E-Mail zwar als erstes vom Leser registriert werden. E-Mail-Adressen, die man erst nach Öffnen der Detailansicht sieht, werden jedoch selten wahrgenommen, auch wenn sie der Haupthinweis für einen CEO-Fraud sind. Achten Sie daher bereits beim Öffnen einer E-Mail auf bestimmte Merkmale:

1. Schreibstil

Als Mitarbeiter kennt man den Schreibstil der Vorgesetzten. Grußformel, Anrede (Du/Sie), Wortwahl oder Signatur – jeder hat seine Vorlieben.

2. Kommunikationsart

Die digitale Kommunikation eröffnet eine große Auswahl an Kommunikationswegen und -mitteln. Ob per E-Mail, Smartphone-Messenger, soziale Netzwerke, SMS, Audionachrichten – jeder hat den einen Kanal, für die eine Situation. Wenn hier ein abweichendes Verhalten vorherrscht, sollte man die Echtheit der E-Mail in Frage stellen.

3. Versand-Situation

Die Einschätzung der Situation ist meist der kritischste Punkt. In Unternehmen mit einer unzureichenden oder intransparenten internen Kommunikation ist oft nicht klar, welche Verpflichtungen anstehen. Seien es reguläre Geschäftstermine oder Besorgungen. Gerade auf Management-Ebene ergeben sich Termine oft spontan und Arbeitsaufträge werden gerne auf Zuruf vergeben– gerne auch während des Urlaubs. Wenn man als Mitarbeiter keine 100-prozentige Gewissheit darüber hat, ob der Vorgesetzte wirklich in einem Termin war, sollten sie sich immer über einen anderen, sicheren und gewohnten Kommunikationskanal rückversichern. Im Zweifel gilt es die internen Regularien zu beachten. Hier stehen auch Führungskräfte in der Pflicht ihre Mitarbeiter zu einem sicheren Verhalten zu ermutigen.

Schutzmaßnahmen

Um die Mitarbeiter – aber auch die Geschäftsführer – vor Betrügern zu schützen, ist es wichtig Schutzmaßnahmen einzuführen. Neben internen Regelungen, wie etwa Freigabeprozesse für Zahlungen oder Vertretungsregelungen, sollten Aufklärungsmaßnahmen dazugehören. Sensibilisierungstrainings und interne Informationen über aktuelle Gefahren sollten zur IT-Sicherheitskultur im Unternehmen gehören.

Zudem sollten Führungskräfte sich mit Ihren Mitarbeitern auf bestimmte Kommunikationswege verständigen. Dies gilt insbesondere dann, wenn sie in öffentlichen oder zentralen Positionen mit direkten Kontakt zur Geschäftsführung arbeiten (Finanzen, Personal, Kommunikation, Marketing).

CEO-Fraud ist eine besonders gefährliche Masche von Online-Betrügern. Anders als bei Viren und Trojanern gibt es hier keine technischen Maßnahmen nur in Form von Spam-Filtern, die einen schützen könnten. Schafft es eine solche E-Mail in das Postfach des Mitarbeiters, helfen hier nur dessen Sensibilität für Cybergefahren und interne Vorsorgemaßnahmen, die schlimmere Folgen verhindern.