Kurz: CEO-Fraud (auch Business Email Compromise) ist Täuschung mit dem Ziel, Geld zu überweisen — oft über gefälschte Mails der Geschäftsführung, manipulierte Lieferantenrechnungen oder kompromittierte Postfächer. Die Betriebshaftpflicht zahlt den entgangenen Betrag in der Regel nicht. Cyberversicherung kann helfen, wenn ein Cyber-Betrugs- oder Social-Engineering-Baustein vereinbart ist — mit Sublimits und Obliehenheiten. Prävention (4-Augen-Prinzip, IBAN-Rückruf) bleibt Pflicht.
Begriffe: CEO-Fraud, BEC, Vendor Fraud
In Presse und Alltagssprache heißt es oft CEO-Fraud oder Fake-President-Fraud: Jemand gibt sich als Geschäftsführung, Inhaber oder vertrauenswürdige Führungskraft aus und fordert eine dringende Überweisung.
Fachlich eng verwandt ist BEC (Business Email Compromise) — die Kompromittierung oder Imitation geschäftlicher E-Mail-Kommunikation, um Zahlungen umzuleiten oder sensible Informationen zu erhalten. Das FBI und europäische Strafverfolgungsbehörden ordnen BEC seit Jahren zu den eintragsstärksten Cybercrime-Kategorien; allein die Methoden wechseln — von einfachen Phishing-Mails bis zu übernommenen Postfächern und zunehmend KI-generierten Inhalten.
Vendor Fraud (Lieferantenbetrug) ist eine Variante: Statt der Chef-Mail wird eine Rechnung oder Zahlungsaufforderung eines bestehenden Partners manipuliert — neue IBAN, gleicher Briefkopf, plausibler Betrag. In der Praxis verschwimmen die Grenzen: Oft startet Vendor Fraud mit einem gehackten Lieferantenpostfach.
Gemeinsam ist allen Formen: Der Schaden ist ein finanzieller Eigenverlust durch Täuschung — nicht klassischer Personen- oder Sachschaden an Dritten. Das ist entscheidend für die Versicherungsfrage.
Typischer Ablauf — Schritt für Schritt
CEO-Fraud ist selten ein Ein-Klick-Vorfall. Häufiger läuft er über Tage oder Wochen — still, bis die Überweisung raus ist:
- Beobachtung: Täter recherchieren Organigramm, Projekte, Reisepläne der GF — oft aus öffentlichen Quellen oder LinkedIn.
- Einstieg: Phishing-Mail an Mitarbeiter, Schwachstelle im Webmail — oder reine Imitation ohne echten Hack.
- Vertrauen aufbauen: E-Mails im Stil der Führung, korrekte Anrede, passender Kontext („Projekt X“, „Vertraulich“, „noch vor Feierabend“).
- Druck: Dringlichkeit, Geheimhaltung, Abwesenheit des echten Chefs — alles, was den normalen Freigabeprozess aushebelt.
- Überweisung: Buchhaltung oder Assistenz überweist auf ein ausländisches oder neues Konto — oft im fünf- bis sechsstelligen Bereich.
- Erkennung: Erst beim Rückruf des echten Partners oder bei der nächsten echten Rechnung wird klar: Das Geld ist weg.
In kompromittierten Postfächern kann der Täter auch Weiterleitungsregeln setzen und echte Mails löschen — damit die Buchhaltung die Warnung des echten Lieferanten nie sieht. Deshalb zählt CEO-Fraud fachlich oft als IT-Sicherheitsvorfall und als organisatorischer Kontrollverlust zugleich.
Warum KMU besonders betroffen sind
Große Konzerne haben getrennte Freigabestufen, Compliance-Abteilungen und teure Filter. Im Mittelstand entscheidet häufig eine Person — Inhaber, Buchhalterin, Projektleiter — und genau das nutzen Täter aus.
Laut HDI Cyberstudie 2026 waren 7 % der befragten Unternehmen bereits mit CEO-Fraud oder Zahlungsbetrug konfrontiert; 27 % sehen das als relevantes Risiko. Parallel warnen die Autoren vor KI-gestützter Täuschung — Deepfake-Angriffe nannten 4 % der Befragten als erlebt, 24 % als relevant. Der Trend geht zu überzeugenderen, schneller produzierten Angriffen, nicht zu weniger.
Phishing bleibt das Einfallstor: In derselben Studie nannten 64 % Phishing-Mails als Angriffsvektor in den letzten zwölf Monaten. CEO-Fraud ist oft die zweite Stufe — nach dem Zugang oder parallel zur reinen Manipulation.
Schadenhöhen sind schwer pauschal zu benennen. Öffentlich dokumentierte Fälle in Europa reichen von fünfstelligen Beträgen bis zu Schäden im Millionenbereich bei größeren Überweisungen. Für den typischen Mittelstandsbetrieb ist der unmittelbare Verlust der überwiesene Betrag — plus interner Aufwand und oft nur teilweise Chancen auf Bank-Rückholung, wenn rechtzeitig gehandelt wird.
Branchen: Wo es am häufigsten wehtut
Handwerk & Baugewerbe
Viele Handwerksbetriebe haben keine IT-Abteilung, aber laufende Material- und Subunternehmer-Zahlungen. Gefälschte Rechnungen mit geänderter IBAN oder Mails „vom Bauleiter“ treffen die Buchhaltung direkt. Der Schaden ist sofort liquiditätswirksam — mitten in laufenden Projekten.
Kanzleien & Steuerberatung
In Kanzleien laufen Zahlungen, Mandantenkommunikation und vertrauliche Informationen über E-Mail. Ein kompromittiertes Postfach kann Mandanten auffordern, auf ein falsches Konto zu überweisen — doppelter Schaden: finanziell und reputationspolitisch.
Produktion & Industrie
Hohe Rechnungsvolumina an Lieferanten, internationale Zahlungsströme, komplexe Freigaben — in der Produktion reichen schon kleine Prozesslücken für große Beträge. Vendor Fraud mit manipulierten Lieferantenrechnungen ist hier besonders häufig.
E-Commerce & Agenturen
Shops und Dienstleister mit schnellen Zahlungszyklen, Freelancer-Freigaben und „dringenden“ Überweisungen an Agenturen sind ebenfalls Zielgruppe. Mehr Kontext: Cyberversicherung für E-Commerce.
Versicherung: Was greift — was nicht
Die zentrale Frage lautet nicht „Haben wir Cyberversicherung?“, sondern: Ist Geldverlust durch Täuschung ausdrücklich mitversichert?
Betriebshaftpflicht
Die Betriebshaftpflicht deckt in der Regel Haftpflicht gegenüber Dritten wegen Personen- oder Sachschäden — nicht den eigenen Verlust, weil Ihre Buchhaltung auf ein falsches Konto überwiesen hat. Fall 2 in unserem BHV-Vergleich beschreibt genau dieses Szenario.
Cyberversicherung: Cyber-Betrug / Social Engineering
Viele Cyber-Policen fokussieren Forensik, Betriebsunterbrechung und Datenschutz. Reiner Zahlungsbetrug ohne IT-Eindringling ist oft nicht automatisch dabei. Entscheidend ist ein Baustein wie:
- Cyber-Betrug / Cyber-Crime
- Social Engineering / Täuschung
- Manipulation von Zahlungsanweisungen (Formulierungen je Versicherer unterschiedlich)
Selbst wenn der Baustein existiert, gilt fast immer:
- Sublimit: Oft niedriger als die Haupt-Cyber-Summe — z. B. 50.000–250.000 €. Prüfen, ob das zu Ihren typischen Überweisungsgrößen passt.
- Obliegenheiten: Vier-Augen-Prinzip, Rückruf bei IBAN-Änderung, MFA für E-Mail — Verstöße können zur Leistungsfreiheit führen.
- Ausschlüsse: Grober Fahrlässigkeit, interner Täuschung, manchmal Verluste ohne nachweisbare Manipulation des IT-Systems — Vertrag lesen, nicht Marketing.
- Abgrenzung Kriminalitätsversicherung: Manche Tarife koppeln oder trennen Cyber- und klassische Kriminalitätsdeckung. Lücken entstehen zwischen beiden Policen.
Cyberversicherung ersetzt keine sauberen Freigabeprozesse — sie kann im Ernstfall aber den Unterschied machen, ob ein six-stelliger Verlust das Unternehmen trifft oder abgefedert wird.
| Schaden | Betriebshaftpflicht | Cyber (ohne Betrugsbaustein) | Cyber mit Social Engineering |
|---|---|---|---|
| Überweisung auf falsches Konto (CEO-Fraud) | Meist nicht | Meist nicht | Teils ja — Sublimit/Obliegenheiten |
| Forensik nach kompromittiertem Postfach | Meist nicht | Oft ja | Oft ja |
| Haftung gegenüber getäuschtem Mandanten/Kunden | Teils über Erweiterung | Teils | Teils — Einzelfall |
| Entgangener Gewinn / BU durch IT-Ausfall | Meist nicht | Kernbaustein BU | Kernbaustein BU |
Prävention ohne Panikmache
Kein Prozess macht Sie unangreifbar — aber viele Angriffe scheitern an einfachen Kontrollen. Unsere Cyber-Checkliste fasst das strukturiert zusammen; die wichtigsten Punkte gegen CEO-Fraud:
- 4-Augen-Freigabe ab definierter Summe — keine Ausnahme für „der Chef hat angerufen“.
- IBAN-Änderungen immer per Rückruf auf bekannte Nummer verifizieren — nie nur per E-Mail.
- MFA für E-Mail und Remote-Zugang — Pflicht, nicht Kür.
- Schulung für Buchhaltung, Assistenz, Projektleitung — konkrete Muster, nicht abstrakte Folien.
- Regeln prüfen in Microsoft 365 / Google Workspace: Weiterleitungen, externe Auto-Forward, unbekannte Login-Ort Meldungen.
- Notfallkontakt festlegen — wer stoppt Zahlungen, wenn der Verdacht besteht?
Versicherer werten diese Maßnahmen bei Schadenfragen aus. Wer sie dokumentiert, steht im Ernstfall oft deutlich besser da — unabhängig davon, ob am Ende reguliert wird.
Im Ernstfall: Erste Schritte
- Stoppen: Weitere Zahlungen sofort sperren, betroffene Konten sichern, Passwörter ändern.
- Bank informieren: Je schneller nach der Überweisung, desto höher die Chance auf Rückholung (Recall) — realistisch, aber nicht garantiert.
- Anzeige: Polizei / Cybercrime-Einheit — für Versicherer und Dokumentation relevant.
- Versicherer & Makler: Meldefristen aus Police beachten — oft kurze Fristen (z. B. 24–72 Stunden).
- Forensik: Bei kompromittiertem Postfach IT-Forensik einplanen — oft versichert, wenn Cyber-Police greift.
- Kommunikation: Betroffene Partner, Mandanten oder Lieferanten — je nach Fall rechtlich begleiten.
Mehr zum Schadenfall-Ablauf allgemein: Schadenfall in 72 Stunden (übertragbar auf Nicht-Shop-Betriebe).
Häufige Fragen
Deckt die Cyberversicherung CEO-Fraud?
Nur wenn ein passender Baustein (Cyber-Betrug, Social Engineering o. Ä.) vereinbart ist und Sie Obliehenheiten einhalten. Standard-Cyber ohne diesen Baustein zahlt bei reinem Zahlungsbetrug typischerweise nicht.
Was ist der Unterschied zu Phishing?
Phishing ist oft der Einstieg (Zugangsdaten, Schadsoftware). CEO-Fraud zielt auf die Überweisung — mit oder ohne vorherigen Hack, oft mit Druck und Imitation der Führung.
Reicht die Betriebshaftpflicht?
In der Regel nein — der entgangene Betrag ist kein klassischer Dritt-Haftungsschaden. Siehe unseren BHV-Vergleich.
Was kostet CEO-Fraud?
Primär der überwiesene Betrag — häufig fünf- bis sechsstellig im Mittelstand. Zusätzlich interner Aufwand und ggf. Forensik. Pauschale „Durchschnittsschäden“ sind für Einzelfälle wenig hilfreich.
Hilft KI in der Abwehr?
KI kann Filter und Erkennung verbessern — nutzen Täter aber auch für überzeugendere Texte und Deepfakes. Technik ersetzt keine Freigabeprozesse. Die HDI-Studie sieht KI mehrheitlich als Chance für die Abwehr, warnt aber vor steigender Täuschungsqualität.
Nächster Schritt: Wir prüfen, ob Ihre Cyber-Police Zahlungsbetrug abdeckt — und ob Sublimits und Obliehenheiten zu Ihrem Betrieb passen. Unverbindlich, ohne Online-Abschluss.