Wie Sie Ihr Unternehmen vor CEO-Betrug, Zahlungsumleitung und fingiertem Käuferbetrug schützen können

Social-Engineering-basierter Betrug – wie CEO-Betrug, Zahlungsumleitung und fingierter Käuferbetrug – kann selbst in gut geführten Unternehmen erheblichen finanziellen und operativen Schaden verursachen. Dieser Artikel stellt die wichtigsten Arten von Social-Engineering-Betrug vor und bietet praktische Maßnahmen, um diese Angriffe zu erkennen, zu verhindern und Ihr Unternehmen finanziell davor zu schützen.

Moderner Betrug richtet sich zunehmend gegen Menschen statt gegen Systeme. Kriminelle nutzen Social-Engineering-Taktiken, um vertrauenswürdige Mitarbeiter dazu zu bringen, Entscheidungen zu treffen, die sie normalerweise vermeiden würden – etwa dringende Zahlungen zu genehmigen, Bankverbindungen zu ändern oder Waren auf Kredit freizugeben.

In diesem Artikel betrachten wir drei gängige Beispiele für Social-Engineering-Betrug, mit denen viele Unternehmen konfrontiert sind:

• CEO-Betrug (Fake-President-fraud): Angreifer geben sich als Führungskräfte (z. B. CEO, CFO) aus, um Mitarbeiter dazu zu drängen, vertrauliche, dringende Zahlungen zu leisten oder „ausnahmsweise“ Bankverbindungen zu ändern.
• Zahlungsumleitung (Rechnungs- / Mandatsbetrug): Betrüger geben sich als legitime Lieferanten oder Geschäftspartner aus und geben „aktualisierte“ Bankverbindungen an, sodass echte Rechnungen auf ihre eigenen Konten bezahlt werden.
• „Fake buyer fraud“: Kriminelle geben sich als echte Kunden oder bekannte Marken aus, platzieren große Bestellungen auf Kredit und verschwinden mit der Ware, ohne zu bezahlen.

Diese Betrugsmaschen mögen oberflächlich unterschiedlich erscheinen, doch sie beruhen alle auf demselben Prinzip: der Manipulation von Vertrauen und routinemäßigen Prozessen.

In den folgenden Abschnitten erfahren Sie, wie Sie frühe Warnsignale erkennen, Ihre Kontrollen stärken und Ihre Teams unterstützen können – und warum viele Unternehmen zusätzlich auf finanziellen Schutz setzen, um die Auswirkungen zu begrenzen, wenn Betrüger  trotz aller Vorsichtsmaßnahmen erfolgreich sind.

Auch wenn diese Betrugsmaschen ausgefeilt sein können, weisen viele von ihnen ähnliche Warnsignale auf. Mitarbeiter sollten innehalten und überprüfen, wenn sie auf Folgendes stoßen:

• Ungewöhnliche Dringlichkeit: „Das muss heute erledigt werden“, „Keine Zeit für den Standardprozess.“
•  Aufforderungen, normale Prüfungen zu umgehen: „Nur dieses eine Mal“, „Die Formalitäten klären wir später.“
•  Vertraulichkeitsanweisungen: „Sprechen Sie mit niemand anderem darüber“, „Das bleibt unter uns.“
•  Änderungen von Bankverbindungen: Insbesondere in Kombination mit Dringlichkeit oder hohen Zahlungsbeträgen.
•  Leichte Abweichungen bei E-Mail-Adressen oder Domains: Ein zusätzlicher Buchstabe, eine andere Schreibweise oder eine andere Top-Level-Domain.
•  Ungewöhnliche Zahlungsziele: Neue Banken, neue Länder oder Konten mit Namen, die nicht eindeutig zur Gegenpartei passen.
•  Große oder untypische Bestellungen von „bekannten“ Kunden: Besonders, wenn sie von neuen E-Mail-Adressen stammen oder ungewöhnliche Lieferorte enthalten.

1. Stärken Sie Ihren Zahlungsfreigabeprozess

Wenden Sie das Vier-Augen-Prinzip an für:

• Zahlungen mit hohen Beträgen,
• neue Zahlungsempfänger,
• alle Änderungen bestehender Bankverbindungen.

Setzen Sie klare Limits für Freigaben und verhindern Sie, dass sie von einer einzelnen Person außer Kraft gesetzt werden können.

Verlangen Sie eine unabhängige Überprüfung für:

• Änderungen von Bankdaten bei Lieferanten oder Kunden,
• ungewöhnliche oder dringende Überweisungen auf neue Konten.

Unabhängige Überprüfung bedeutet die Nutzung eines vertrauenswürdigen Kanals, z. B. einen Anruf über eine bekannte Telefonnummer aus Ihren internen Unterlagen, anstatt sich auf Kontaktdaten in einer E-Mail zu verlassen.

2. Behandeln Sie Änderungen von Bankdaten als Hochrisiko

Führen Sie eine Richtlinie ein: Keine Änderung von Bankverbindungen ohne eine zweite Prüfung.

• Überprüfen Sie Änderungen durch direkten Kontakt mit Ihrer bekannten Ansprechperson oder über einen separaten Kommunikationskanal.
• Führen Sie eine zentrale, kontrollierte Liste validierter Bankverbindungen und aktualisieren Sie diese ausschließlich über formale und abgesicherte Prozesse.

3. Schützen Sie Ihre Vertriebs- und Kreditprozesse

Bei großen oder ungewöhnlichen Bestellungen auf Kredit – insbesondere von neuen Domains oder Kontakten:

• Prüfen Sie die E-Mail-Domain und Kontaktdaten des Kunden sorgfältig.
• Bestätigen Sie bei Ihrer bekannten Kontaktperson des Kunden, wenn sich die Bestellung auf einen vertrauten Namen bezieht.
• Seien Sie vorsichtig bei neuen Lieferadressen, die von den üblichen abweichen.
• Wenden Sie Kreditprüfungen und interne Genehmigungen konsequent an – auch bei bekannten Markennamen.

4. Schulen Sie die Personen, die Genehmigungen erteilen

Fokussieren Sie Schulungen auf Funktionen, die besonders anfällig für Social Engineering sind:

• Finanzen, Buchhaltung und Treasury,
• Einkauf und Supply Chain,
• Vertrieb und Kreditmanagement,
• Assistenz der Geschäftsleitung.

Nutzen Sie konkrete Fallbeispiele – CEO-Betrug, Zahlungsumleitung, fingierter Käuferbetrug, BEC-Fälle – damit Mitarbeitende sehen, wie solche Situationen in der Praxis entstehen.

Fördern Sie eine „Stop-and-check“-Kultur:

• Machen Sie deutlich, dass das Hinterfragen ungewöhnlicher Anweisungen erwartet und unterstützt wird.
• Signalisieren Sie, dass sorgfältige Prüfung wichtiger ist als schnelles Handeln ohne Kontrolle.

5. Unterstützen Sie Ihre Mitarbeitenden durch Technologie

Implementieren Sie E-Mail-Sicherheitslösungen, die:

• externe Absender kennzeichnen,
• vor ähnlich aussehenden Domains und gefälschten Anzeigenamen warnen,
• helfen, Phishing und gehackte Konten zu erkennen.

Nutzen Sie Multi-Faktor-Authentifizierung für E-Mails und kritische Systeme. Überwachen Sie:

• neue Zahlungsempfänger oder häufige Änderungen von Bankdaten,
• Zahlungen, die von normalen Mustern abweichen (Beträge, Zeitpunkte, Ziele).

Regelmäßige Phishing-Simulationen und interne Übungen helfen, das Bewusstsein aufrechtzuerhalten und Schwachstellen in Prozessen zu erkennen.

Selbst bei robusten Prozessen, gut geschulten Mitarbeitenden und fortschrittlicher Technologie gibt es Grenzen:

• Eine sehr überzeugende E-Mail oder ein Anruf kann selbst erfahrene Mitarbeitende täuschen.
• Menschen machen Fehler, wenn sie gestresst, müde oder unter Zeitdruck stehen.

Betrüger verfeinern kontinuierlich ihre Methoden und nutzen neue Technologien, einschließlich KI, um authentischer zu wirken und neue Wege für Betrug zu finden.

Wenn Betrug erfolgreich ist, können die Folgen erheblich sein:

• Überwiesene Gelder in beträchtlicher Höhe, die nicht zurückgeholt werden können,
• versendete Waren, die niemals bezahlt werden,
• vertragliche Strafzahlungen gegenüber Lieferanten oder Kunden,
• Kosten für Untersuchungen und rechtliche Maßnahmen,
• Schäden an Beziehungen und Reputation,
• Belastungen für Cashflow und Umlaufvermögen

Für viele Unternehmen kann ein einzelner Vorfall ausreichen, um Monate an Gewinnen zunichte zu machen oder geplante Investitionen zu gefährden.

Deshalb kombinieren viele Unternehmen ihre internen Kontrollen, Prozesse und Tools mit einer Vertrauensschadenversicherung.

Die Vertrauensschadenversicherung ist darauf ausgelegt, Ihr Unternehmen vor direkten finanziellen Verlusten zu schützen, die durch interne Betrugsfälle sowie bestimmte externe Bedrohungen entstehen – einschließlich vieler durch Social Engineering getriebener Betrugsmaschen, wie zum Beispiel:

• CEO-Betrug und betrügerische Zahlungsanweisungen,
• Zahlungsumleitung durch manipulierte Bankverbindungen,
• fingierter Käuferbetrug, der zu unbezahlten Waren führt.

Durch die Übertragung eines Teils des finanziellen Risikos können Sie:

• Ihren Cashflow nach einem Vorfall stabilisieren,
• verhindern, dass ein einzelner Betrugsfall zu einem umfassenderen Liquiditäts- oder Solvenzproblem führt,
• einen potenziell verheerenden Verlust in ein besser beherrschbares finanzielles Ereignis umwandeln

Eine Vertrauensschadenversicherung ersetzt nicht Ihre internen Kontrollen, Prozesse oder technischen Lösungen. Sie ergänzt diese vielmehr und bietet eine entscheidende zusätzliche Schutzschicht, wenn ein ausgeklügelter Betrug trotz aller Vorsichtsmaßnahmen erfolgreich ist.

Darüber hinaus hilft sie, spezifische Lücken in anderen Versicherungsprodukten – wie beispielsweise Cyber-Versicherungen, die häufig Social-Engineering-Fälle ausschließen oder nur begrenzt abdecken – zu schließen.

CEO-Betrug, Zahlungsumleitung, fingierter Käuferbetrug und weiter gefasste BEC-Betrugsmaschen zeigen, wie leicht Social Engineering den menschlichen Faktor selbst in gut geführten Unternehmen ausnutzen kann. Solange Menschen Entscheidungen treffen und Zahlungen freigeben, werden Betrüger versuchen, sie zu manipulieren.

Sie können:

• Ihre Freigabeprozesse stärken,
• Ihre Teams schulen und eine gesunde Kultur des Hinterfragens fördern,
• in E-Mail-Sicherheit und Monitoring investieren.

Da sich das Risiko jedoch nie vollständig eliminieren lässt, bauen viele Unternehmen ein umfassendes Sicherheitsnetz auf, indem sie starke Präventionsmaßnahmen mit finanzieller Absicherung durch eine Vertrauensschadenversicherung kombinieren.

Um zu erfahren, wie die Vertrauensschadenversicherung von Allianz Trade Ihr Unternehmen vor den finanziellen Auswirkungen von CEO-Betrug, Zahlungsumleitung, fingiertem Käuferbetrug und anderen Formen von Unternehmensbetrug und Wirtschaftskriminalität schützen kann, besuchen Sie bitte unsere Produktseite und kontaktieren Sie unser lokales Team.