Phishing, Social Engineering und Betrugs-Kommunikation

Oktober 27 2026

Brand Impersonation

Brand Impersonation bezeichnet die unbefugte Nachahmung einer Unternehmens- oder Markenidentität im Internet. Betrüger treten dabei unter dem Namen einer fremden Organisation auf, kopieren Logos, richten täuschend ähnliche Domains ein oder erstellen gefälschte Profile. Damit können sie Kunden zu Zahlungen bewegen, Zugangsdaten abfragen oder Geschäftspartner über die Herkunft einer Nachricht täuschen.

Die technische Nachahmung und die rechtliche Bewertung müssen getrennt werden: Nicht jede Erwähnung oder bildliche Wiedergabe einer Marke ist rechtswidrig. Für die Einordnung sind die konkrete Verwendung, bestehende Kennzeichenrechte und eine mögliche Täuschung über die Identität des Anbieters zu prüfen.

Wie funktioniert Brand Impersonation?

Täter verwenden öffentlich zugängliche Informationen wie Unternehmensnamen, Anschriften, Logos, Produktbilder oder Namen von Ansprechpartnern. Daraus erstellen sie einen scheinbar offiziellen Auftritt. Ein gefälschtes Social-Media-Konto kann beispielsweise Kunden eine angebliche Rückerstattung anbieten und anschließend Zahlungsdaten verlangen. Eine ähnlich geschriebene Domain kann auf eine nachgebaute Anmeldeseite führen.

Ein solcher Angriff erfordert nicht zwingend die Übernahme der echten Website. Bei einer tatsächlich kompromittierten Unternehmensseite oder einem übernommenen E-Mail-Konto liegen dagegen zusätzliche Sicherheitsprobleme vor, die getrennt untersucht werden müssen.

Typische Formen der Marken- und Identitätsnachahmung

Gefälschte Websites und Fake-Shops

Nachgebaute Internetseiten verwenden häufig dieselben Farben, Logos und Produktdarstellungen wie der echte Anbieter. Bestellungen und Zahlungen können an Unbekannte umgeleitet werden. Ein gültiges HTTPS-Zertifikat bestätigt lediglich Eigenschaften der verschlüsselten Verbindung, nicht die Geschäftsidentität des Betreibers.

Imitierte Social-Media-Profile

Falsche Profile übernehmen Unternehmensnamen, Bilder und Beschreibungen. Über Kommentare, Direktnachrichten oder Anzeigen können sie Nutzer auf betrügerische Seiten führen. Die Nachahmung lässt sich teilweise über abweichende Nutzernamen, veränderte Kontaktadressen oder fehlende Verlinkungen von der offiziellen Website erkennen.

Gefälschte Geschäftskommunikation

Bei E-Mail- und Nachrichtenbetrug kann ein fremder Markenname als sichtbarer Absender erscheinen. Zu unterscheiden sind gefälschte Absenderangaben, ähnlich registrierte Domains und tatsächlich übernommene Konten. Die jeweiligen Gegenmaßnahmen unterscheiden sich deutlich.

Nachahmung von Führungskräften

Kriminelle geben sich mitunter als Geschäftsführung, Vertriebsleitung oder Kundendienst aus. Sie fordern Zahlungen, Dokumente oder Zugangsinformationen an. Bei ungewöhnlichen Weisungen sollten Empfänger über einen unabhängig bekannten Kontaktweg nachfragen.

Woran können Unternehmen den Missbrauch erkennen?

Hinweise liefern Kundenbeschwerden über unbekannte Bestellungen, Aufforderungen zur Bestätigung fremder Nachrichten, neue ähnliche Domains oder Profile, die eine offizielle Verbindung behaupten. Ein einzelnes Merkmal beweist keinen absichtlichen Angriff. Eine Prüfung muss berücksichtigen, ob es sich um einen autorisierten Vertriebspartner, journalistische Berichterstattung, erlaubte Kritik oder eine tatsächlich irreführende Darstellung handelt.

Für eine Untersuchung sollten vollständige Webadressen, Profilkennungen, Screenshots mit Zeitangaben, nachgebildete Kennzeichen, Kontakt- und Zahlungsinformationen sowie die Originaldateien verdächtiger E-Mails gesichert werden. E-Mail-Header und DNS-Einträge können technische Hinweise liefern, bestimmen aber für sich genommen nicht die Identität eines Täters.

Was tun bei einem gefälschten Unternehmensauftritt?

Betroffene sollten Belege sichern, die verwendete Domain und den jeweiligen Plattformbetreiber ermitteln und vorhandene Rechtsverletzungen genau beschreiben. Plattformen bieten oftmals Meldewege für Markenrechtsverletzungen oder Identitätsnachahmung. Bei Hostingdiensten können für rechtswidrige Inhalte die Meldeverfahren nach Artikel 16 der Verordnung (EU) 2022/2065 (Digital Services Act) in Betracht kommen. Die Meldung muss den betreffenden Inhalt hinreichend genau bezeichnen und begründen.

Geschädigte Kunden können über offizielle Kanäle vor einer nachgewiesenen Fälschung gewarnt werden. Dabei sollten keine ungesicherten Behauptungen über angebliche Täter veröffentlicht werden. Bestehen Hinweise auf Betrug, kommen auch eine Strafanzeige und eine unverzügliche Kontaktaufnahme mit betroffenen Zahlungsdienstleistern in Betracht.

Welche Rechtsvorschriften können einschlägig sein?

Bei der Verwendung geschützter Marken können Ansprüche aus § 14 Markengesetz entstehen; geschäftliche Bezeichnungen unterliegen unter den gesetzlichen Voraussetzungen dem Schutz des § 15 MarkenG. Irreführende geschäftliche Handlungen können § 5 UWG verletzen. Für eine betrügerisch veranlasste Zahlung kommt § 263 StGB in Betracht. Ob die Voraussetzungen vorliegen, hängt vom Einzelfall ab.

Auch Rechte an kopierten Bildern und Texten sind gesondert zu prüfen. Für urheberrechtlich geschützte Inhalte können Ansprüche nach dem Urheberrechtsgesetz bestehen. Eine Meldung garantiert weder die Entfernung der Seite noch die Feststellung des verantwortlichen Täters.

Wie lässt sich Brand Impersonation vorbeugen?

Unternehmen sollten ihre offiziellen Domains und Social-Media-Konten öffentlich nachvollziehbar benennen. Für sensible Vorgänge wie Änderungen von Kontoverbindungen sind feste Prüfverfahren sinnvoll. E-Mail-Authentifizierung mit SPF, DKIM und DMARC erschwert bestimmte Formen direkter Absenderfälschung, schützt aber nicht zuverlässig gegen jede ähnlich geschriebene Domain.

Eine regelmäßige Beobachtung auffälliger Domains, Profile und Markenanzeigen kann neu auftretende Nachahmungen sichtbar machen. Wie weit diese Prüfung reichen soll, hängt vom Markenportfolio, den angesprochenen Kundengruppen und der tatsächlichen Bedrohungslage ab.

Wie BRANDPROTECTIONNOW bei Brand Impersonation unterstützt

BRANDPROTECTIONNOW untersucht verdächtige Domains, nachgebaute Unternehmensauftritte und Hinweise auf Identitätsmissbrauch. Dazu können die Dokumentation technischer Spuren, die Einordnung von Angriffsmustern und die Vorbereitung geeigneter Meldungen gehören. Bei Bedarf erfolgt die Abstimmung mit spezialisierten Security- oder Rechtspartnern. Die Zuordnung eines unbekannten Täters und die Entfernung fremder Inhalte lassen sich nicht garantieren.

Informationen zu Markenschutz und digitalem Identitätsmissbrauch

Welche Unterschiede bestehen zwischen Markenimitation und zulässiger Markennennung?

Eine fremde Marke kann in einer rechtmäßigen Produktbeschreibung, einem Testbericht oder beim Verkauf kompatibler Waren erwähnt werden. Eine solche Nennung bedeutet nicht automatisch, dass der Markeninhaber die Verwendung untersagen kann. Brand Impersonation beschreibt dagegen die Nachahmung einer Markenidentität mit dem Ziel oder der Wirkung, über die tatsächliche Herkunft eines Angebots, Profils oder einer Nachricht zu täuschen.

Bei der rechtlichen Prüfung kommt es auf die konkrete Benutzung des Zeichens, die angebotenen Waren oder Dienstleistungen und mögliche Verwechslungsgefahr an. Die geschäftliche Verwendung eines identischen Logos für gefälschte Zahlungsaufforderungen hat eine andere Bedeutung als eine sachliche Kritik an einem Unternehmen. Ein Name allein kann noch nicht den gesamten Rechtsverstoß belegen.

Welche technischen Angriffspunkte haben gefälschte Markenauftritte?

Ähnlich geschriebene Domains

Ein Angreifer kann eine Domain verwenden, die dem echten Unternehmensnamen ähnelt. Ein zusätzlicher Buchstabe, eine andere Domain-Endung oder eine veränderte Wortreihenfolge kann bei flüchtigem Lesen übersehen werden. Solche Adressen können auf gefälschte Shops, Anmeldeformulare oder Kontaktseiten führen. Der genaue Domainname ist deshalb für eine Untersuchung wichtiger als das bloß angezeigte Logo.

Die Informationsangebote des BSI behandeln unter anderem betrügerische Webseiten und die technische Prüfung digitaler Angriffe. Eine ähnliche Domain ist nicht allein wegen der Ähnlichkeit rechtswidrig; bei der Prüfung zählen ihre Verwendung und mögliche entgegenstehende Rechte.

Nachgeahmte Social-Media-Profile

Ein Profil kann Firmenlogo, Anschrift oder Mitarbeiterbilder übernehmen und sich als offizieller Kundendienst darstellen. Kunden werden möglicherweise zur Zahlung oder zur Übersendung persönlicher Daten aufgefordert. Eine solche Nachahmung muss von Fanprofilen, unabhängigen Kritikeraccounts und berechtigten Vertriebspartnern unterschieden werden.

Die Meldung an die Plattform sollte den konkreten Fake-Account, die täuschende Darstellung und das echte Unternehmensprofil bezeichnen. Die Sperrung eines nachgeahmten Profils behebt nicht automatisch eine möglicherweise parallel angelegte Phishing-Domain.

Gefälschte Rechnungs- und Support-E-Mails

Eine Nachricht kann einen echten Unternehmensnamen verwenden, obwohl sie von einem anderen technischen Absender verschickt wurde. Teilweise werden scheinbar passende Adressen oder bereits kompromittierte legitime Konten eingesetzt. Die angezeigte Absenderbezeichnung und das verwendete Logo sind keine sicheren Herkunftsnachweise.

Technische Verfahren wie SPF, DKIM und DMARC können die Authentifizierung legitimer E-Mail-Domains absichern und bestimmte Arten der Absenderfälschung erschweren. Sie verhindern jedoch nicht, dass ein Täter eine eigene ähnlich aussehende Domain registriert oder über ein tatsächlich kompromittiertes Konto schreibt. Die vorhandenen Mail-Header und Kontoprotokolle müssen im Einzelfall beurteilt werden.

Gefälschte Angebote auf Marktplätzen

Ein Verkäufer kann mit fremden Markenbildern oder nachgeahmten Produktinformationen auftreten. Ob das Angebot ein Plagiat, ein zulässiges Originalprodukt im Wiederverkauf oder ein betrügerischer Fake-Shop ist, muss anhand der tatsächlichen Waren und der Darstellung geprüft werden. Eine Markenbeschwerde sollte keine rechtmäßigen unabhängigen Händler pauschal erfassen.

Wie lässt sich eine betroffene Marke technisch überprüfen?

Ein belastbarer Vorfallbericht enthält die genaue Domain oder Profil-URL, den sichtbaren Unternehmensnamen, die angebotenen Leistungen und die konkreten Elemente der Täuschung. Bei einem gefälschten Shop können beispielsweise Logo, Impressumsangaben und Zahlungsaufforderungen auffällig sein. Ein unvollständiges Impressum ist für sich noch kein Nachweis, wer die Seite betreibt.

Bei E-Mails können eigene Originalnachrichten und ihre technischen Header Hinweise auf den tatsächlichen Übertragungsweg geben. Ein sichtbarer Absendername reicht nicht aus. Auch eine IP-Adresse oder ein Domainregistrierungseintrag belegen nicht sicher die natürliche Person, die den Betrug veranlasst hat.

Die Dokumentation sollte die ursprüngliche Fundstelle mit Datum und gegebenenfalls eine spätere Änderung erfassen. Ein Screenshot einer gefälschten Startseite kann für die Beschreibung hilfreich sein. Auch bestätigte Kundenhinweise, betrügerische Zahlungsforderungen oder konkret beobachtete Loginformulare die Einschätzung stützen. Es sollten keine unberechtigten Zugriffe auf fremde Systeme durchgeführt werden.

Welche Sofortmaßnahmen können bei einem gefälschten Markenprofil helfen?

Betroffene können die genaue Fundstelle über den offiziellen Meldeweg des betreffenden Dienstes beanstanden. Die Meldung sollte erklären, welche geschützte Identität verwendet wird und welche konkrete Irreführung stattfindet. Ein selbst erfundener Tätername oder eine pauschale Behauptung, sämtliche Kunden seien bereits geschädigt, ist dafür nicht erforderlich.

Eine sachliche Mitteilung über die eigenen offiziellen Kontaktwege kann Kunden warnen, sofern eine konkrete täuschende Darstellung besteht. Dabei sollte die echte Domain klar benannt werden. Die Warnung darf keine fremden Kontodaten oder betroffenen Kundenlisten unnötig öffentlich machen.

Bei einem bestehenden technischen Sicherheitsvorfall, beispielsweise wenn ein echtes Geschäftskonto übernommen wurde, kann eine Kontosicherung notwendig sein. Ein bloß nachgeahmtes Profil erfordert dagegen nicht automatisch die Neuinstallation sämtlicher Unternehmensrechner. Die Gegenmaßnahmen richten sich nach dem bestätigten Angriff.

Was können Hostingdienst und Domainregistrar unternehmen?

Der Betreiber einer gefälschten Website und der technische Hostingdienst können für bestimmte Inhalte unterschiedliche Verantwortlichkeiten besitzen. Eine begründete Meldung an einen Hostingdienst kann sich auf konkrete rechtswidrige Seiten oder Dateien beziehen. Bei Diensten im Anwendungsbereich des Digital Services Act enthält Artikel 16 Vorgaben für elektronische Melde- und Abhilfeverfahren.

Ein Domainregistrar verwaltet die Registrierung einer Domain, speichert aber nicht zwingend die betreffenden Webseiten. Der Antrag, eine Marke nachzuahmen, bedeutet nicht automatisch, dass der Registrar jede gleichartig geschriebene Domain ohne Prüfung sperren darf. Die ICANN-Regeln zu DNS Abuse behandeln bestimmte Missbrauchskategorien und Mitwirkungspflichten von Registraren und Registries im jeweiligen Vertragsrahmen, etwa bei gut belegtem Phishing. Sie sind kein allgemeines Löschrecht für sämtliche unliebsamen Domains.

Eine Domain kann in einer anderen Rechtsordnung registriert oder von einem anderen Hostinganbieter betrieben werden. Deshalb müssen die Rollen und Zuständigkeiten vor einer Meldung geklärt werden. Die Entfernung eines Phishingformulars beim Hoster und eine mögliche rechtliche Maßnahme gegen die Domain können voneinander abweichen.

Welche Vorschriften des deutschen Markenrechts sind einschlägig?

§ 14 MarkenG schützt den Inhaber einer Marke unter den dort geregelten Voraussetzungen gegen bestimmte unbefugte Zeichenbenutzungen im geschäftlichen Verkehr. Bei der Verwechslungsgefahr sind unter anderem Zeichenähnlichkeit, Kennzeichnungskraft und die betroffenen Waren oder Dienstleistungen zu berücksichtigen. Der bloße Einsatz eines bekannten Wortes ohne entsprechenden Markenkontext erfüllt die Norm nicht automatisch.

Für geschäftliche Bezeichnungen kann § 15 MarkenG gelten. Unter den gesetzlichen Voraussetzungen kommen Unterlassungs- und Schadensersatzansprüche in Betracht. Ob ein registrierter Name, eine Firma oder ein Domainbestandteil geschützt ist und wie weit der Schutz reicht, muss für den konkreten Fall beurteilt werden.

Welche Bedeutung hat das Wettbewerbsrecht?

§ 5 UWG regelt irreführende geschäftliche Handlungen. Eine Nachahmung kann eine Täuschung über die betriebliche Herkunft von Waren oder Leistungen erzeugen. Eine geschäftliche Handlung mit Verwechslungsgefahr kann unter den gesetzlichen Voraussetzungen unlauter sein. Die bloße Existenz einer ähnlich gestalteten Seite beweist jedoch nicht automatisch, dass alle Merkmale erfüllt sind.

Bei einer bewusst falschen Werbung mit Umwelt- oder Sozialmerkmalen sind die zusätzlichen Anforderungen des UWG zu berücksichtigen. Für die Prüfung eines gefälschten Markenauftritts sollte die tatsächlich geäußerte Behauptung dokumentiert werden. Ein unbelegter allgemeiner Vorwurf „Greenwashing“ ersetzt keine rechtliche Bewertung.

Wie unterscheiden sich Markenmissbrauch und Identitätsdiebstahl?

Eine gefälschte Unternehmensseite kann ein geschütztes Zeichen missbrauchen, ohne zuvor ein echtes Unternehmenssystem gehackt zu haben. Bei einer Account-Übernahme wird dagegen ein bestehendes Konto unberechtigt genutzt. Bei Identity Theft können personenbezogene oder geschäftliche Identitätsangaben für weitere Täuschungshandlungen verwendet werden.

Die Handlungen können sich überschneiden, beispielsweise wenn ein Angreifer einen echten Firmenaccount übernimmt und dort gefälschte Zahlungsinformationen veröffentlicht. Für eine Sicherheitsanalyse müssen der Kontozugriff, die möglicherweise betroffenen Kundendaten und die irreführenden Veröffentlichungen getrennt erfasst werden.

Welche Grenzen hat ein Domain-Monitoring?

Ein Monitoring kann neue Registrierungen auffinden, deren Zeichenfolge einer Marke ähnelt. Eine Ähnlichkeit ist ein Anlass zur Prüfung, keine automatische Feststellung eines Angriffs. Viele Domains können rechtmäßig registriert sein, etwa weil der Begriff beschreibend verwendet wird oder eine andere Berechtigung besteht.

Auch eine registrierte Domain kann lange ungenutzt bleiben, während ein Angriff über eine ganz andere Adresse stattfindet. Ein Monitoringsystem sollte deshalb zwischen reinen Registrierungen, aktiv genutzten Webseiten und konkret beobachteten Missbrauchshandlungen unterscheiden. Eine absolute vollständige Erkennung sämtlicher neu angelegter Täuschungsseiten ist nicht erreichbar.

Fiktives Fallbeispiel eines nachgeahmten Kundendienstes

Ein Hersteller erfährt, dass Kunden Zahlungsaufforderungen von einem scheinbar offiziellen Supportkonto erhalten. Das Profil verwendet das echte Logo, verlinkt aber auf eine andere Domain. Die dortige Seite nennt eine fremde Bankverbindung. Eine Prüfung dokumentiert die genaue Profiladresse, die Zahlungsnachricht und die tatsächlich angegebene Domain.

Der Hersteller kann den Plattform- und Hostingdienst auf den konkreten Missbrauch hinweisen und seine Kunden über den offiziellen Kanal informieren. Ob eine Markenrechtsverletzung, ein Betrugsversuch oder weitere Ansprüche vorliegen, muss anhand der tatsächlichen Handlung geprüft werden. Die Eigentümerschaft einer Domain allein identifiziert noch nicht die natürliche Person hinter der Täuschung.

Häufige Fragen zu Brand Impersonation

Ist Brand Impersonation immer strafbar?

Nein. Der Fachbegriff allein entscheidet nicht über die Strafbarkeit. Es müssen konkrete Handlungen und die jeweiligen gesetzlichen Voraussetzungen geprüft werden.

Kann ein Fake-Profil entfernt werden?

Unter bestimmten Voraussetzungen können Plattformen Profile entfernen oder einschränken. Über die Bearbeitung entscheiden die Regeln des Dienstes, die vorgelegten Belege und die Rechtslage.

Wie erkennt man offizielle Firmenprofile?

Hilfreich sind Verlinkungen von der bestätigten Unternehmenswebsite, übereinstimmende Kontaktdaten und die Prüfung, ob der Account tatsächlich von der Organisation genannt wird. Eine optische Ähnlichkeit allein genügt nicht.

Ist die Nennung einer fremden Marke bereits ein Rechtsverstoß?

Nein. Eine sachliche Bezugnahme, Kritik oder Berichterstattung kann zulässig sein. Die Art der Verwendung und die geltenden Schutzrechte bestimmen die Beurteilung.

Fachquellen für die Prüfung von Markenimitation

Wie Unternehmen konkret vorgehen, zeigt die Seite Fake-Shop mit Ihrem Markennamen.

Oktober 27 2026

Business Email Compromise – Rechnungsbetrug über geschäftliche E-Mails

admin

Eine Rechnung eines langjährigen Lieferanten wird zur Zahlung freigegeben. Betrag, Rechnungsnummer und Ansprechpartner stimmen. Nur die Kontoverbindung wurde in einer E-Mail kurz vor dem Fälligkeitstermin geändert. Wenige Tage später erklärt der Lieferant, er habe keine neue Bankverbindung mitgeteilt. Ein solches Vorgehen kann Business Email Compromise (BEC) sein: Betrug durch die täuschende Nutzung geschäftlicher E-Mail-Kommunikation, häufig mit dem Ziel einer unberechtigten Zahlung oder der Offenlegung vertraulicher Informationen.

Ein BEC-Vorfall benötigt nicht immer eine kompromittierte Mailbox. Angreifer können auch täuschend ähnliche Domains verwenden und sich als bekannte Geschäftspartner ausgeben. Umgekehrt muss eine echte E-Mail aus einem bekannten Konto nicht zwingend berechtigt sein, wenn dieses Konto zuvor übernommen wurde. Die technische Herkunft und die inhaltliche Zahlungsanweisung sind daher getrennt zu prüfen.

Wie läuft Business Email Compromise ab?

Ein Angreifer versucht, sich in einen bestehenden Geschäftsablauf einzuschalten. Dazu kann er Informationen aus öffentlichen Quellen, abgefangener Korrespondenz oder einem übernommenen Postfach verwenden. Die Nachricht bezieht sich möglicherweise auf eine tatsächlich vorhandene Bestellung, ein Projekt oder eine fällige Rechnung. Gerade die Übereinstimmung realer Details kann eine falsche Anweisung glaubwürdig wirken lassen.

CERT.at beschreibt in einer Veröffentlichung vom August 2026 Betrugsversuche, bei denen Angreifer echte geschäftliche Mailverläufe beobachten und im passenden Moment falsche Zahlungsdaten einfügen. Die Täter können dabei die Original-Mailbox verwenden oder eine ähnliche Absenderdomain einsetzen. Ein bekanntes Firmenlogo allein ist deshalb kein sicherer Herkunftsnachweis.

Der eigentliche finanzielle Schaden entsteht erst, wenn die Zahlungsanweisung ausgeführt wird. Schon zuvor kann aber ein Sicherheitsvorfall bestehen, etwa durch die unberechtigte Lektüre vertraulicher Nachrichten.

Welche Varianten von BEC sind bekannt?

Manipulierte Lieferantenrechnung

Ein Unternehmen erhält zu einer echten Leistung eine Rechnung mit veränderter IBAN. Die neue Kontoverbindung kann in einer gefälschten Nachricht behauptet oder innerhalb eines echten kompromittierten Mailverlaufs eingefügt werden. Nicht jede geänderte Bankverbindung ist verdächtig; die Berechtigung der Änderung muss unabhängig bestätigt werden.

Vorgegebene Anweisung der Geschäftsführung

Bei CEO Fraud behauptet eine Nachricht, von einem Geschäftsführer oder Vorstand zu stammen. Sie kann eine ungewöhnliche Zahlung wegen einer angeblich vertraulichen Übernahme oder eines anderen dringlichen Geschäfts verlangen. Eine echte Führungsanweisung kann ebenfalls vertraulich sein, muss aber die geltenden Freigabewege durchlaufen.

Übernommene Lieferanten-Mailbox

Angreifer verwenden ein tatsächlich bestehendes Mailkonto des Lieferanten. Der Empfänger sieht eine bekannte Adresse und möglicherweise eine vollständige frühere Korrespondenz. E-Mail-Authentisierungsmechanismen wie SPF, DKIM und DMARC können bei einer solchen Nachricht technisch korrekt funktionieren, ohne die geschäftliche Berechtigung der Anweisung zu belegen.

Gefälschte Domänen eines Geschäftspartners

Eine Lookalike Domain ähnelt der echten Adresse, enthält aber einen abweichenden Buchstaben oder ein anderes Domainende. Die Nachricht kann einen vertrauten Namen verwenden, obwohl sie über einen fremden Server versendet wurde.

Datendiebstahl statt Zahlungsbetrug

Ein falscher Geschäftsführer kann die Personalabteilung auffordern, Gehaltslisten, Steuerunterlagen oder andere vertrauliche Dateien zu senden. Hier steht der mögliche Abfluss von Daten im Vordergrund. Welche Pflichten aus der DSGVO entstehen, hängt vom tatsächlichen Dateninhalt und der Sicherheitsverletzung ab.

Änderung von Zahlungsempfängern im Kundengeschäft

Auch eine echte Forderung des Unternehmens gegen einen Kunden kann betroffen sein. Ein Angreifer behauptet gegenüber dem Kunden, der Lieferant verwende fortan eine neue Bankverbindung. Der Betrug kann in diesem Fall beide Unternehmen treffen und zu einem zivilrechtlichen Streit über die Zahlung führen.

BEC, Phishing und Spoofing unterscheiden

Phishing bezeichnet die täuschende Gewinnung von Zugangsdaten oder anderen Handlungen. Ein BEC-Vorfall kann mit einer Phishing-Mail beginnen, muss es aber nicht. Ein Angreifer kann einen falschen Zahlungsauftrag auch ohne zuvor gestohlene Zugangsdaten versenden.

Spoofing betrifft die falsche Herkunftsangabe einer Nachricht. BEC kann Spoofing verwenden, doch ein tatsächlich übernommenes Mailkonto benötigt keine gefälschte Absenderdomain. Die Begriffe beschreiben verschiedene Teile einer möglichen Angriffskette.

Spear-Phishing kann gegen bestimmte Mitarbeiter gerichtet sein. Der Bezug zu einer tatsächlich erwarteten Rechnung macht eine solche Nachricht besonders schwer erkennbar. Ein identischer öffentlicher Name im Absenderfeld ist für sich kein Beweis für die Übernahme des Originalkontos.

Welche Folgen entstehen für Unternehmen?

Wird eine Zahlung auf eine unberechtigte Kontoverbindung vorgenommen, kann das Unternehmen einen finanziellen Verlust erleiden. Der Umfang hängt davon ab, ob und in welchem Umfang die Zahlung noch zurückgeholt werden kann und welche rechtlichen Ansprüche gegen Beteiligte bestehen.

Bei einer kompromittierten Mailbox können weitere Geschäftsbeziehungen betroffen sein. Angreifer könnten Kundenlisten, Vertragsunterlagen oder künftige Rechnungsdaten sehen. Welche Informationen tatsächlich gelesen oder entwendet wurden, muss anhand der verfügbaren Protokolle untersucht werden.

Auch eine nachgeahmte Firmendomain kann Kundenbeschwerden auslösen, obwohl das eigentliche Unternehmensnetz nicht kompromittiert wurde. Das Risiko für die Reputation ist gesondert von einer bestätigten Kontosicherheitsverletzung zu beurteilen.

Ein fiktiver Fall einer geänderten IBAN

Ein Maschinenbauunternehmen erwartet eine größere Rechnung für eine gelieferte Produktionsanlage. Eine Woche vor dem vereinbarten Zahlungsdatum erscheint im bisherigen Mailverlauf eine Nachricht des Lieferanten. Sie nennt die richtige Rechnungsnummer und bittet wegen einer angeblichen Bankumstellung um Überweisung auf ein neues Konto.

Die Mitarbeiterin der Buchhaltung bestätigt die Änderung nicht anhand dieser E-Mail, sondern ruft über die schon länger bekannte Telefonnummer des Lieferanten an. Dort ist keine Umstellung bekannt. Die Unternehmen sichern die Originalnachricht und prüfen auf beiden Seiten die betroffenen E-Mail-Konten.

Erst die weitere Untersuchung kann zeigen, ob die Nachricht aus einer übernommenen Mailbox stammt oder ob ein ähnlich aussehender Absender verwendet wurde. Die Wiederholung echter Rechnungsdaten belegt nicht automatisch, welches der beteiligten Unternehmen den ursprünglichen Sicherheitsvorfall erlitten hat.

Welche Warnsignale verdienen eine Prüfung?

Bankverbindung: Zu einer bestehenden Rechnung werden neue Zahlungsdaten genannt.
Ungewöhnliche Freigabe: Eine normale Kontrolle soll wegen angeblicher Dringlichkeit entfallen.
Vertraulichkeitsforderung: Die Nachricht untersagt Rückfragen bei bekannten Ansprechpartnern.
Absenderdomain: Die technische Adresse weicht von der bisherigen Lieferantenadresse ab.
Echte Korrespondenz: Vertraute Rechnungsdaten erscheinen in einer nicht bestätigten Anweisung.
Kontoaktivität: Es gibt unbekannte Anmeldungen, Weiterleitungsregeln oder geänderte Berechtigungen.

Eine Kontenänderung oder eine E-Mail außerhalb üblicher Arbeitszeiten ist allein kein Betrugsnachweis. Für Zahlungsfreigaben sollte die unabhängige Bestätigung ohnehin vorgesehen sein, auch wenn die Nachricht sonst unauffällig aussieht.

Was ist bei einem bestätigten BEC-Vorfall zu tun?

Wurde bereits überwiesen, sollte die betroffene Bank unverzüglich über die tatsächliche Transaktion informiert werden. Ob ein Rückruf oder eine andere Sicherung möglich ist, hängt vom Zahlungsvorgang ab. Parallel muss die IT den Mail- und Kontenzustand prüfen. Eine Zahlungskorrektur behebt nicht automatisch eine weiterhin kompromittierte Mailbox.

Originalnachrichten mitsamt technischen Headerinformationen sichern.
Betroffene Rechnungen, Bankdaten und Überweisungsbelege dokumentieren.
Die tatsächlichen Geschäftspartner über bestätigte Kontaktwege einbeziehen.
Mailbox-Anmeldungen, Weiterleitungsregeln und administrative Rechte prüfen.
Bei kompromittierten Konten aktive Sitzungen und Zugangswege kontrolliert absichern.
Mögliche weitere Empfänger falscher Rechnungen anhand der festgestellten Fakten informieren.

Bei nachgewiesenen Datenverletzungen muss auch der Datenschutzverantwortliche einbezogen werden. Die bloße Fälschung einer E-Mail ohne Zugriff auf personenbezogene Informationen löst nicht automatisch eine Meldung nach Artikel 33 DSGVO aus.

Wie lassen sich solche Zahlungsverluste begrenzen?

Die Polizei empfiehlt bei CEO-Fraud unabhängige Rückfragen und dokumentierte Freigaben für außergewöhnliche Zahlungsanweisungen. Dieser Schutz greift auch bei einer echten übernommenen Mailbox. Der Rückruf muss an eine bereits bestätigte Nummer gehen, nicht an eine neue Nummer aus der verdächtigen Nachricht.

Technisch können zusätzliche Authentisierung und die Kontrolle ungewöhnlicher Postfachregeln die Kontosicherheit stärken. SPF, DKIM und DMARC erschweren bestimmte Absenderfälschungen, ersetzen aber nicht die Prüfung einer echten übernommenen E-Mail-Identität.

Auch der Berechtigungskreis für Zahlungsfreigaben und der Umgang mit Lieferantenstammdaten sollten festgelegt sein. Eine Änderung des Zahlungsempfängers ist ein eigener kontrollpflichtiger Geschäftsvorgang, selbst wenn die eigentliche Rechnung korrekt ist.

Welche Rechtsfragen entstehen?

Das vorsätzliche Erschleichen einer Überweisung kann unter den Voraussetzungen von § 263 StGB als Betrug strafbar sein. Ein unberechtigter Zugriff auf besonders gesicherte Maildaten kann § 202a StGB betreffen. Welche zivilrechtlichen Folgen eine auf ein falsches Konto überwiesene Zahlung hat, richtet sich nach den konkreten Vertrags- und Zahlungsumständen.

Ein BEC-Verdacht reicht nicht aus, um eine bestimmte Person oder einen Geschäftspartner öffentlich einer Straftat zu bezichtigen. Die Täteridentität, der tatsächliche Kontozugriff und die ausgeführte Zahlung sind getrennt zu untersuchen.

Wie wird die Übernahme eines echten Postfachs nachgewiesen?

Eine BEC-Nachricht aus einer bekannten Absenderdomain kann über einen regulären Mailserver zugestellt worden sein. Wenn ein Angreifer ein echtes Konto verwendet, können SPF und DKIM korrekt sein. Die technische Mailauthentisierung beantwortet deshalb nicht die Frage, ob der tatsächliche Kontoinhaber die Zahlungsänderung beauftragt hat.

Für die IT-Sicherheit sind bei einem bestätigten Verdacht die vorhandenen Loginereignisse, aktive Sitzungen und Veränderungen an Postfach- oder Weiterleitungsregeln bedeutsam. Auch eingeräumte Berechtigungen für andere Anwendungen oder Administratoren können überprüft werden. Die Untersuchung muss die tatsächliche Umgebung berücksichtigen: Nicht jeder Maildienst protokolliert dieselben Angaben oder bewahrt sie gleich lange auf.

Ein ungewohnter Loginstandort genügt nicht als Beweis. Mobilfunknetze, Reisen und VPN-Verbindungen können die Standortzuordnung verändern. Für eine belastbare Rekonstruktion müssen weitere Informationen wie die konkrete Postfachaktion, der zeitliche Verlauf und tatsächlich nicht autorisierte Änderungen hinzukommen.

Was Lieferant und Rechnungsempfänger getrennt prüfen müssen

Bei einer gefälschten Bankverbindungsänderung können sowohl der zahlende Kunde als auch der beliefernde Vertragspartner betroffen sein. Die IT des Kunden kann untersuchen, ob eigene Mitarbeiter die Nachricht erhalten und eine Zahlung vorgenommen haben. Der Lieferant kann klären, ob sein Originalpostfach missbraucht oder nur seine Identität von außen nachgeahmt wurde.

Die beiden Unternehmen sollten jeweils die unveränderte Originalkorrespondenz sichern und einen bestätigten unabhängigen Kontakt verwenden. Ein Vergleich der Rechnungsnummer, des ursprünglichen Vertrags und des tatsächlich genannten Empfängerkontos hilft bei der Rekonstruktion. Die Tatsache, dass die Ware oder Dienstleistung real ist, beweist keine Berechtigung für eine plötzlich abweichende IBAN.

Wenn bereits Geld überwiesen wurde, ist der Zeitpunkt der bankseitigen Meldung für die Prüfung eines möglichen Zahlungsrückrufs wichtig. Ein technischer Bericht allein ersetzt den Kontakt zum Finanzinstitut nicht. Umgekehrt kann eine Zahlungskorrektur die Ursache eines kompromittierten Postfachs unberührt lassen. Beide Teile des Vorfalls benötigen eigene Maßnahmen.

Häufige Fragen zu Business Email Compromise

Kann BEC ohne gehacktes E-Mail-Konto stattfinden?

Ja. Eine ähnlich aussehende fremde Domain kann eine falsche geschäftliche Identität erzeugen.

Schützt eine bestandene DKIM-Prüfung vor BEC?

Nein. Ein echtes kompromittiertes Konto kann technisch korrekt authentifizierte Nachrichten versenden.

Ist jede geänderte Lieferanten-IBAN betrügerisch?

Nein. Bankverbindungen können sich rechtmäßig ändern. Die Änderung sollte unabhängig von der betreffenden E-Mail bestätigt werden.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei verdächtigen Rechnungs- und Geschäftspartnernachrichten sollten Unternehmen die Originalmails, tatsächlichen Zahlungsdaten und möglichen Kontozugriffe prüfen. BRANDPROTECTIONNOW begleitet Unternehmen bei der Analyse nachgeahmter Unternehmensidentitäten, der Dokumentation missbräuchlicher Domains und der Abstimmung technischer Gegenmaßnahmen mit spezialisierten Security-Partnern. Ist die öffentliche Marken- oder Lieferantenidentität betroffen, bietet BRANDPROTECTIONNOW zum digitalen Markenschutz einen passenden Einstieg.

Fachquellen

CERT.at – BEC-Warnung (August 2026): übernommene Mailverläufe und Rechnungsbetrug.
Polizeiliche Kriminalprävention – CEO-Fraud: Zahlungsanweisungen und Kontrollmaßnahmen.
Deutsche Bank – BEC und manipulierte Rechnungen: Zahlungsverifizierung.
§ 263 StGB und § 202a StGB: mögliche strafrechtliche Vorschriften.

Oktober 27 2026

CEO Fraud – gefälschte Anweisungen der Geschäftsführung

admin

Eine Mitarbeiterin der Finanzabteilung erhält eine dringende Nachricht vom angeblichen Geschäftsführer. Sie soll eine Überweisung für einen vertraulichen Unternehmenskauf ausführen und keine weiteren Kollegen informieren. Die Nachricht verwendet Namen, Anrede und Projektangaben, die tatsächlich zum Betrieb passen. Ein solcher Betrugsversuch wird als CEO Fraud bezeichnet. Täter geben sich als Geschäftsführung oder andere leitende Personen aus, um Zahlungen oder vertrauliche Informationen zu erschleichen.

Die Nachricht muss nicht aus einem gehackten Geschäftskonto stammen. Eine täuschend ähnliche E-Mail-Adresse, ein manipuliertes Rufnummerndisplay oder ein fremdes Messengerprofil kann für die falsche Identität verwendet werden. Umgekehrt können Angreifer ein echtes Unternehmenspostfach übernehmen. Die technische Herkunft und die behauptete Berechtigung müssen daher getrennt überprüft werden.

Warum greifen Täter die Autorität einer Führungskraft auf?

In vielen Unternehmen entscheidet die Geschäftsleitung über besondere Zahlungen, vertrauliche Projekte und Änderungen geschäftlicher Abläufe. Eine angebliche Anweisung von oben kann Beschäftigte unter Druck setzen, bestehende Kontrollen abzukürzen. Besonders betroffen sind Abteilungen, die tatsächlich Banküberweisungen oder sensible Dokumentenfreigaben auslösen können.

Die Polizei Berlin erklärt in ihrer aktuellen Präventionsinformation, dass Angreifer öffentlich verfügbare Informationen aus Handelsregistern, Unternehmenswebsites oder sozialen Netzwerken auswerten können. Damit lassen sich real wirkende Nachrichten vorbereiten. Die Verwendung echter Personennamen beweist jedoch keinen vorherigen technischen Einbruch.

Der vermeintliche Vorgang kann eine Übernahme, ein Grundstücksgeschäft oder eine dringende Lieferantenzahlung betreffen. Es kommt nicht auf eine feste Legende an, sondern auf die Täuschung über die tatsächliche Anweisungsbefugnis.

Welche Formen von CEO Fraud gibt es?

Gefälschte Zahlungsanweisung per E-Mail

Die Buchhaltung bekommt eine Nachricht im Namen des Vorstands mit der Anweisung, sofort Geld zu überweisen. Die E-Mail kann eine fremde ähnliche Domain verwenden. Eine eindeutige Kontoverbindung zum tatsächlichen Absender muss überprüft werden; Name und Signatur allein reichen nicht aus.

Messenger-Nachrichten mit Chefprofil

Ein Profil verwendet das Foto und den Namen eines Vorgesetzten. Der Angreifer behauptet, momentan nicht telefonieren zu können, und fordert eine dringliche Handlung. Auch hier ist eine unabhängige Bestätigung über den etablierten Geschäftskanal nötig.

Fake-Anwalt und vertrauliche Transaktion

Der vermeintliche Geschäftsführer kündigt eine geheime Transaktion an. Anschließend meldet sich eine weitere Person, die angeblich als externe Kanzlei die Zahlungsabwicklung betreut. Die Bayerische Polizei beschreibt solche mehrteiligen Varianten in ihrer Warnung vom Juli 2026.

Missbrauch einer tatsächlichen Mailbox

Bei einem echten Business Email Compromise kann die Nachricht aus einem zuvor übernommenen Firmenpostfach stammen. Der sichtbare Absender und technische E-Mail-Authentisierung können in diesem Fall normal wirken. Das ändert nichts daran, dass die konkrete Zahlungsanweisung unberechtigt sein kann.

Stimmklone und Videobotschaften

Bei einem Deepfake Scam kann eine künstliche Stimme oder ein manipuliertes Videobild eine Führungskraft nachahmen. Ob eine konkrete Aufnahme synthetisch hergestellt wurde, muss technisch untersucht werden. Für die Zahlungsfreigabe darf das bloße Wiedererkennen einer Stimme nicht genügen.

Vertrauliche Daten statt einer Überweisung

Ein angeblicher Geschäftsführer fordert von Personalabteilung oder Assistenz Gehaltslisten, Steuerdaten oder andere vertrauliche Dokumente. Solche Vorgänge können neben der Identitätstäuschung auch datenschutzrechtliche Pflichten auslösen, falls tatsächlich personenbezogene Informationen offengelegt werden.

CEO Fraud, Whaling und Spear-Phishing unterscheiden

Whaling richtet sich gezielt an Führungskräfte als Empfänger eines Angriffs. Beim CEO Fraud wird die Identität einer leitenden Person dagegen häufig gegenüber anderen Beschäftigten nachgeahmt. Die Führungskraft kann selbst betroffen sein, obwohl ihr eigenes Konto nicht übernommen wurde.

Spear-Phishing beschreibt eine individuell zugeschnittene täuschende Nachricht. CEO Fraud kann eine solche Nachricht verwenden, ist aber stärker durch die vorgetäuschte Anweisungsautorität gekennzeichnet. Auch ein Telefonanruf kann zum Ablauf gehören.

Diese Abgrenzung hilft bei der Beweissicherung: Wurde die echte Mailbox kompromittiert, wurde nur eine fremde Domain benutzt oder war das eigentliche Ziel eine direkte Zahlungsmanipulation?

Welche wirtschaftlichen Folgen können entstehen?

Wenn eine Überweisung ausgeführt wird, kann ein Unternehmen einen erheblichen Geldbetrag verlieren. Die tatsächlich mögliche Rückholung hängt von Bank, Zahlungsweg und Zeitpunkt der Meldung ab. Eine nachgewiesene falsche Nachricht bedeutet jedoch noch keinen eingetretenen Vermögensschaden, wenn die Zahlung gestoppt wurde.

Werden geschäftliche Konten übernommen, können weitere Kommunikation und Rechnungen betroffen sein. Die rechtliche Einordnung eines eventuellen Datenabflusses muss gesondert erfolgen. Auch die Reputation der nachgeahmten Führungskraft kann leiden, wenn die falschen Nachrichten Kunden und Partner erreichen.

Ein fiktiver Fall eines mittelständischen Betriebs

Der Finanzleiter eines produzierenden Unternehmens erhält eine E-Mail, die angeblich vom Geschäftsführer stammt. Darin wird wegen eines vertraulichen Unternehmenskaufs eine ungewöhnlich hohe Zahlung an eine neue IBAN angeordnet. Eine zweite Person meldet sich telefonisch als Anwalt und bestätigt angeblich die Frist.

Der Finanzleiter prüft die Anweisung nicht anhand der neuen Kontaktdaten, sondern ruft den Geschäftsführer über die seit Langem gespeicherte interne Nummer an. Dieser hat keine Zahlung angeordnet. Die originale E-Mail und die Informationen über den Anruf werden dokumentiert.

Die genaue technische Herkunft wird erst danach untersucht. Weder der verwendete Firmenname noch der angebliche Anruf der Kanzlei beweisen den Zugriff auf das tatsächliche Mailkonto des Geschäftsführers.

Welche Warnsignale verdienen Aufmerksamkeit?

Dringliche Ausnahme: Normale Zahlungsfreigaben sollen wegen eines vermeintlich wichtigen Projekts entfallen.
Ungewöhnliche Vertraulichkeit: Der Empfänger soll keine bekannten Kollegen oder Verantwortlichen fragen.
Neue Bankdaten: Eine größere Zahlung geht an einen nicht zuvor bestätigten Empfänger.
Ähnliche Absenderdomain: Die Mailadresse unterscheidet sich in einzelnen Zeichen von der echten Firmenadresse.
Fremder Messenger: Eine Führungsanweisung stammt von einer neuen Nummer oder einem neu erstellten Profil.
Unabhängige Prüfung: Der tatsächliche Vorgesetzte bestätigt die konkrete Anweisung nicht.

Auch rechtmäßige vertrauliche Unternehmensprojekte können Zeitdruck auslösen. Das Freigabeverfahren sollte trotzdem gelten. Eine geschäftlich plausible Geschichte ist kein Beweis für die Berechtigung des Absenders.

Wie wird ein CEO-Fraud-Verdacht untersucht?

Die originale Nachricht, vollständige Adressen, mögliche Anhänge und Gesprächsnotizen sollten gesichert werden. Bei einer bereits ausgeführten Zahlung sind Bankunterlagen und die tatsächlichen Kontodaten von Bedeutung. Eine technische Prüfung kontrolliert gegebenenfalls Mailkonto-Anmeldungen, Weiterleitungsregeln und neu erteilte Berechtigungen.

Die Darstellung eines falschen Vorgesetzten allein identifiziert den Täter nicht. Auch eine angeblich ausländische Kontoverbindung begründet keine sichere Täterzuordnung. Für rechtliche und behördliche Schritte müssen bestätigte Fakten von Vermutungen getrennt bleiben.

Welche Maßnahmen schützen vor falschen Chef-Anweisungen?

Die wichtigste betriebliche Kontrolle ist ein klarer Freigabeprozess, der auch bei vermeintlichen Sonderfällen eingehalten wird. Die polizeiliche Kriminalprävention empfiehlt die unabhängige Rückfrage bei ungewöhnlichen Zahlungen, etwa über einen bereits bekannten Kommunikationsweg. Ein Rückruf an die neue Nummer aus einer betrügerischen Nachricht wäre dafür nicht ausreichend.

Für ungewöhnliche Überweisungen eine unabhängige Bestätigung festlegen.
Änderungen an Lieferanten-Bankverbindungen getrennt kontrollieren.
Privilegierte Mailkonten mit geeigneter zusätzlicher Authentisierung sichern.
Beschäftigte zur Prüfung vermeintlich vertraulicher Sonderanweisungen ermutigen.
Öffentlich sichtbare Kontakt- und Zuständigkeitsinformationen bewusst verwalten.
Nach einem konkreten Vorfall weitere betroffene Geschäftspartner prüfen.

SPF, DKIM und DMARC können bestimmte Domainfälschungen erschweren, schützen aber nicht vollständig vor übernommenen echten Mailkonten oder falschen Messengerprofilen. Auch ein vereinbartes Codewort kann zuvor bekannt geworden sein und ersetzt keine echte Rückbestätigung.

Was ist bei einer bereits ausgeführten Zahlung zu tun?

Die zuständige Bank sollte unverzüglich über den tatsächlichen Vorgang informiert werden. Ob eine Zahlung noch gestoppt oder zurückgerufen werden kann, hängt vom konkreten Verfahren ab. Daneben sollten interne IT-Sicherheit, Geschäftsleitung und bei begründetem Strafverdacht die zuständigen Ermittlungsbehörden einbezogen werden.

Die Kommunikation mit Lieferanten und Kunden muss an den nachweisbaren Vorfall angepasst werden. Eine vorschnelle öffentliche Täterbehauptung ist weder erforderlich noch hilfreich, solange die Herkunft ungeklärt ist.

Welche rechtlichen Fragen entstehen?

Wer durch vorsätzliche Täuschung eine unberechtigte Zahlung erwirkt, kann unter den Voraussetzungen von § 263 StGB strafbar handeln. Bei einer tatsächlichen Kontoübernahme können weitere Straftatbestände zur Prüfung stehen. Ein gescheiterter Angriff hat andere rechtliche Folgen als eine bereits ausgeführte Zahlung.

Bei einer tatsächlichen Offenlegung personenbezogener Daten kann eine DSGVO-Risikobewertung erforderlich sein. Eine gefälschte Chef-Mail allein belegt noch keine Datenverletzung der Originalfirma.

Wie lassen sich Zahlungsfreigaben ohne unpraktische Verzögerung absichern?

Unternehmen müssen auch dringende Zahlungen ausführen können. Ein verlässliches Verfahren kann für außergewöhnliche Empfänger oder Bankverbindungsänderungen eine zweite berechtigte Person vorsehen. Dabei wird nicht jede normale Rechnung vollständig neu verhandelt; vielmehr wird die konkrete Abweichung zur bekannten Lieferanten- oder Zahlungsbeziehung geprüft.

Für den Rückruf sollte eine schon zuvor im Unternehmen bestätigte Telefonnummer verwendet werden. Eine in der verdächtigen Nachricht genannte neue Nummer ist für diese Prüfung ungeeignet. Die bestätigende Person dokumentiert anschließend, mit wem sie gesprochen hat und welche Kontoverbindung freigegeben wurde. Dadurch bleibt die Entscheidung auch später nachvollziehbar.

Eine vertrauliche Transaktion kann tatsächlich erforderlich sein. Vertraulichkeit bedeutet jedoch nicht, dass sämtliche autorisierten Kontrollen entfallen müssen. Die Geschäftsführung sollte in ihren internen Regeln selbst festlegen, wie ein ungewöhnlicher Eilfall überprüft wird. Führt ein Chef häufig nicht dokumentierte Ausnahmen ein, wird es für Mitarbeiter schwerer, eine gefälschte Anweisung von einer echten zu unterscheiden.

Was eine WhatsApp-Nachricht über den Absender aussagt

Die Bundesnetzagentur weist auf Nachrichten hin, in denen Täter Namen und Fotos von Führungskräften übernehmen. Ein solches Profil kann mit einer bislang unbekannten Mobilfunknummer betrieben werden. Der tatsächliche Account des Geschäftsführers muss dafür nicht kompromittiert worden sein.

Für eine spätere Meldung sind die konkrete Nummer, der sichtbare Profilname, die vollständige Nachrichtenfolge und der Zeitpunkt hilfreich. Ein Screenshot mit nur der letzten Zahlungsaufforderung kann den vorausgehenden Identitätswechsel oder den behaupteten Projektbezug nicht zeigen. Die Daten sollten ohne unnötige Weiterverbreitung personenbezogener Angaben gesichert werden.

Aus dem Profilbild lässt sich keine verantwortliche natürliche Person bestimmen. Auch ein bekannter Name und eine passende Geschäftsangabe belegen nicht, dass der tatsächliche Absender Zugang zu den internen Systemen hatte. Die Ursache der Täuschung und eine etwaige Kontoübernahme müssen getrennt geprüft werden.

Was nach einer verhinderten Zahlung weiterhin offenbleibt

Auch wenn ein Mitarbeiter die Überweisung nicht ausgeführt hat, kann die Angriffskampagne andere Beschäftigte oder Geschäftspartner erreicht haben. Die IT-Sicherheit kann daher prüfen, ob weitere Nachrichten unter derselben falschen Identität eingegangen sind. Dazu benötigt sie konkrete Anhaltspunkte; eine pauschale Kontrolle sämtlicher privater Kommunikation ist weder technisch notwendig noch ohne Weiteres zulässig.

Die interne Aufklärung sollte nicht auf eine vorschnelle persönliche Schuldzuweisung hinauslaufen. Für den Schutz sind die tatsächlichen Freigabewege, die nachgeahmte Identität und mögliche technische Folgerisiken entscheidend. Ein Mitarbeiter, der eine ungewöhnliche Anweisung nach dem vorgesehenen Verfahren überprüft, hat gerade einen relevanten Kontrollschritt umgesetzt.

Häufige Fragen zu CEO Fraud

Muss die E-Mail des Geschäftsführers gehackt sein?

Nein. Eine fremde ähnliche Domain oder ein gefälschtes Messengerprofil können denselben falschen Anschein erzeugen.

Sind vertrauliche Zahlungsanweisungen immer Betrug?

Nein. Auch echte Sonderprojekte existieren. Die Identität und Berechtigung sollten jedoch über die festgelegten Freigaben bestätigt werden.

Kann eine bekannte Stimme im Telefonat gefälscht sein?

Ja. Für eine Zahlung sollte das bloße Wiedererkennen der Stimme deshalb keinen Ersatz für die unabhängige Prüfung darstellen.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei CEO Fraud sollten Unternehmen die falschen Nachrichten, Kontaktdaten und möglichen Zahlungsfolgen sichern. BRANDPROTECTIONNOW begleitet Unternehmen und Führungskräfte bei der Untersuchung nachgeahmter digitaler Identitäten, der Dokumentation möglicher Reputationsfolgen und der Abstimmung von Kontosicherungen mit spezialisierten Security-Partnern. Für persönlich betroffene Leitungspersonen ist BRANDPROTECTIONNOW zum digitalen Personenschutz der passende Einstieg.

Fachquellen

Polizei Berlin – Geschäftsführer-Schwindel: Methode und Prävention.
Bayerisches Landeskriminalamt – CEO-Fraud (Juli 2026): falsche vertrauliche Zahlungen.
Polizeiliche Kriminalprävention – CEO-Fraud: Prüf- und Zahlungsfreigaben.
§ 263 StGB: Betrugstatbestand.

Phishing, Social Engineering und Betrugs-Kommunikation

So funktioniert Agency Impersonation

Beispiel

Warnsignale und Schutz

So funktioniert Baiting

Beispiel

Warnsignale und Schutz

Wie funktioniert Brand Impersonation?

Typische Formen der Marken- und Identitätsnachahmung

Gefälschte Websites und Fake-Shops

Imitierte Social-Media-Profile

Gefälschte Geschäftskommunikation

Nachahmung von Führungskräften

Woran können Unternehmen den Missbrauch erkennen?

Was tun bei einem gefälschten Unternehmensauftritt?

Welche Rechtsvorschriften können einschlägig sein?

Wie lässt sich Brand Impersonation vorbeugen?

Wie BRANDPROTECTIONNOW bei Brand Impersonation unterstützt

Welche Unterschiede bestehen zwischen Markenimitation und zulässiger Markennennung?

Welche technischen Angriffspunkte haben gefälschte Markenauftritte?

Ähnlich geschriebene Domains

Nachgeahmte Social-Media-Profile

Gefälschte Rechnungs- und Support-E-Mails

Gefälschte Angebote auf Marktplätzen

Wie lässt sich eine betroffene Marke technisch überprüfen?

Welche Sofortmaßnahmen können bei einem gefälschten Markenprofil helfen?

Was können Hostingdienst und Domainregistrar unternehmen?

Welche Vorschriften des deutschen Markenrechts sind einschlägig?

Welche Bedeutung hat das Wettbewerbsrecht?

Wie unterscheiden sich Markenmissbrauch und Identitätsdiebstahl?

Welche Grenzen hat ein Domain-Monitoring?

Fiktives Fallbeispiel eines nachgeahmten Kundendienstes

Häufige Fragen zu Brand Impersonation

Ist Brand Impersonation immer strafbar?

Kann ein Fake-Profil entfernt werden?

Wie erkennt man offizielle Firmenprofile?

Ist die Nennung einer fremden Marke bereits ein Rechtsverstoß?

Fachquellen für die Prüfung von Markenimitation

Wie läuft Business Email Compromise ab?

Welche Varianten von BEC sind bekannt?

Manipulierte Lieferantenrechnung

Vorgegebene Anweisung der Geschäftsführung

Übernommene Lieferanten-Mailbox

Gefälschte Domänen eines Geschäftspartners

Datendiebstahl statt Zahlungsbetrug

Änderung von Zahlungsempfängern im Kundengeschäft

BEC, Phishing und Spoofing unterscheiden

Welche Folgen entstehen für Unternehmen?

Ein fiktiver Fall einer geänderten IBAN

Welche Warnsignale verdienen eine Prüfung?

Was ist bei einem bestätigten BEC-Vorfall zu tun?

Wie lassen sich solche Zahlungsverluste begrenzen?

Welche Rechtsfragen entstehen?

Wie wird die Übernahme eines echten Postfachs nachgewiesen?

Was Lieferant und Rechnungsempfänger getrennt prüfen müssen

Häufige Fragen zu Business Email Compromise

Kann BEC ohne gehacktes E-Mail-Konto stattfinden?

Schützt eine bestandene DKIM-Prüfung vor BEC?

Ist jede geänderte Lieferanten-IBAN betrügerisch?

Wo können betroffene Unternehmen Hilfe erhalten?

Fachquellen

Warum greifen Täter die Autorität einer Führungskraft auf?

Welche Formen von CEO Fraud gibt es?

Gefälschte Zahlungsanweisung per E-Mail

Messenger-Nachrichten mit Chefprofil

Fake-Anwalt und vertrauliche Transaktion

Missbrauch einer tatsächlichen Mailbox

Stimmklone und Videobotschaften

Vertrauliche Daten statt einer Überweisung

CEO Fraud, Whaling und Spear-Phishing unterscheiden

Welche wirtschaftlichen Folgen können entstehen?

Ein fiktiver Fall eines mittelständischen Betriebs

Welche Warnsignale verdienen Aufmerksamkeit?

Wie wird ein CEO-Fraud-Verdacht untersucht?

Welche Maßnahmen schützen vor falschen Chef-Anweisungen?

Was ist bei einer bereits ausgeführten Zahlung zu tun?

Welche rechtlichen Fragen entstehen?

Wie lassen sich Zahlungsfreigaben ohne unpraktische Verzögerung absichern?

Was eine WhatsApp-Nachricht über den Absender aussagt

Was nach einer verhinderten Zahlung weiterhin offenbleibt