Freitagnachmittag, kurz nach 16 Uhr. In der Buchhaltung liegt eine Mail des Geschäftsführers: vertraulich, eine Firmenübernahme stehe kurz vor dem Abschluss, die Anzahlung müsse heute noch raus, 48.000 Euro auf ein Konto in Litauen, Rückfragen bitte ausschließlich per Mail. Die Absenderadresse stimmt bis auf einen Buchstaben. Der Ton stimmt auch – die Täter haben wochenlang mitgelesen. Um 16:40 Uhr ist die Überweisung freigegeben. Am Montag ist das Geld weg.
Dieser Betrugstyp heißt „Fake President“ oder CEO-Fraud und trifft längst nicht mehr nur Konzerne. Die Fälle, die ich in der Region mitbekomme, betreffen Handwerksbetriebe, Speditionen und Planungsbüros mit fünfzehn bis achtzig Mitarbeitern. Der Grund ist einfach: Dort gibt es Geld, aber selten ein Vier-Augen-Prinzip.
Drei Maschen, die tatsächlich funktionieren
Der gefälschte Chef. Eine Mail oder ein Anruf, angeblich von der Geschäftsführung, mit Zeitdruck und Vertraulichkeitsgebot. Die Täter wissen aus dem Impressum, aus LinkedIn und aus abgefangener Kommunikation, wer wen wie anspricht. Mit KI-generierten Stimmen funktioniert das inzwischen auch am Telefon.
Die geänderte Bankverbindung. Ein langjähriger Lieferant schickt eine Rechnung wie immer – nur steht eine neue IBAN darauf, mit dem freundlichen Hinweis auf einen Bankwechsel. In Wahrheit hat jemand das Mailpostfach des Lieferanten übernommen und die Rechnung unterwegs manipuliert. Das ist die häufigste und unauffälligste Variante.
Die falsche Zahlungsaufforderung im Kundenkontakt. Umgekehrt bekommt dein Kunde eine Rechnung, die aussieht wie deine, aber auf ein fremdes Konto lautet. Er zahlt – und beharrt darauf, bezahlt zu haben. Der Streit darüber, wer den Schaden trägt, landet regelmäßig vor Gericht.
Warum die Bank in aller Regel nicht zahlt
Der entscheidende Unterschied zum Hackerangriff: Bei diesen Fällen wurde nichts technisch geknackt. Die Überweisung wurde von einem berechtigten Mitarbeiter mit gültigen Zugangsdaten korrekt freigegeben. Aus Sicht der Bank ist das eine autorisierte Zahlung. Ein Nachforschungsauftrag kann versucht werden, aber sobald das Geld weitergeleitet ist – und das passiert innerhalb von Stunden – ist es praktisch nicht mehr rückholbar.
Genau deshalb greifen viele Versicherungen hier nicht automatisch. Eine klassische Betriebshaftpflicht deckt Schäden, die du anderen zufügst. Eine Cyberversicherung in der Grundausstattung deckt technische Angriffe, Datenwiederherstellung und Betriebsunterbrechung. Der eigene Vermögensschaden durch eine selbst ausgelöste Überweisung ist etwas Drittes.
Welche Bausteine im Ernstfall greifen
- Vertrauensschadenversicherung. Ursprünglich für Untreue eigener Mitarbeiter gedacht, deckt sie in modernen Bedingungen auch Betrug durch Dritte, einschließlich Fake President und manipulierter Zahlungsanweisungen. Sie ist die passgenaueste Lösung für dieses Risiko.
- Cyberversicherung mit dem Baustein „Betrugsschäden“ beziehungsweise „Cyber-Betrug“. Viele Anbieter bieten diesen Zusatz mit eigener, meist niedrigerer Sublimit-Summe an. Wichtig ist zu prüfen, ob nur technisch verursachter Betrug oder auch reine Täuschung erfasst ist.
- Der Baustein für Zahlungsverkehrsschäden in Gewerbepolicen, teils unter der Bezeichnung „Social Engineering“. Häufig an organisatorische Auflagen geknüpft, etwa an ein dokumentiertes Vier-Augen-Prinzip ab einer bestimmten Betragsgrenze.
Was dagegen praktisch nie versichert ist: Zahlungen, bei denen die vereinbarten internen Kontrollen bewusst umgangen wurden. Wenn die Freigaberegel im Betrieb existiert und der Mitarbeiter sie ignoriert, wird es schwierig. Deshalb sind die organisatorischen Maßnahmen kein Beiwerk, sondern Voraussetzung für den Versicherungsschutz.
Die Prozesse, die den Angriff scheitern lassen
Kein technischer Schutz hilft gegen eine überzeugende Mail. Was hilft, sind wenige feste Regeln, die niemand brechen darf – auch der Chef nicht:
- Rückruf über die bekannte Nummer. Nicht über die Nummer aus der Mail, nicht per Antwortmail. Immer über die im System hinterlegte Nummer.
- Vier-Augen-Prinzip ab einer festen Grenze, zum Beispiel 5.000 Euro. Schriftlich festgehalten, technisch im Banking hinterlegt, ohne Ausnahmen.
- Kein IBAN-Wechsel ohne Verifikation. Jede Änderung einer Bankverbindung wird telefonisch beim bekannten Ansprechpartner bestätigt und im System protokolliert.
- Zeitdruck ist ein Alarmsignal, kein Argument. Wer Eile und Verschwiegenheit gleichzeitig verlangt, ist verdächtig – unabhängig davon, wer im Absender steht.
- Freitagnachmittag und die Tage vor Feiertagen sind die bevorzugten Zeitfenster der Täter. In dieser Zeit gilt die Regel doppelt.
- Mitarbeitende dürfen nachfragen, ohne sich zu blamieren. Das ist Kulturarbeit und wirkt besser als jede Software.
Was in den ersten Stunden nach dem Betrug zählt
Wenn das Geld raus ist, zählt jede Minute. Sofort die eigene Bank anrufen und einen Rückruf der Überweisung sowie einen Nachforschungsauftrag veranlassen. Danach Strafanzeige bei der Polizei, möglichst mit allen Mails im Original inklusive Kopfzeilen. Parallel den Versicherer informieren – viele Verträge sehen eine unverzügliche Meldung vor. Und: die betroffenen Postfächer prüfen und Passwörter ändern, denn in der Hälfte der Fälle lesen die Täter noch mit.
Häufige Fragen
Haftet der Mitarbeiter, der die Überweisung freigegeben hat? Nach den Grundsätzen der Arbeitnehmerhaftung nur eingeschränkt und bei leichter Fahrlässigkeit gar nicht. Praktisch bleibt der Schaden beim Betrieb – deshalb ist die Versicherungslösung wichtiger als die Schuldfrage.
Reicht eine gute IT-Sicherheit nicht aus? Sie verhindert den technischen Einbruch, nicht die Täuschung. Bei Fake President wird kein System kompromittiert, sondern ein Mensch. Technik und Prozess müssen zusammenkommen.
Wie hoch sollte die Deckungssumme sein? Als Orientierung dient die höchste Einzelzahlung, die im Betrieb realistisch vorkommt, multipliziert mit zwei. Bei den meisten mittelständischen Betrieben landet man zwischen 100.000 und 500.000 Euro.
Zahlt die Versicherung auch die Folgekosten? Gute Bedingungen übernehmen neben dem Vermögensschaden auch die Kosten für IT-Forensik, Rechtsberatung und die Wiederherstellung der Buchhaltung. Das ist ein spürbarer Teil des Gesamtschadens.
Was ist, wenn mein Kunde auf eine gefälschte Rechnung von mir gezahlt hat? Dann streiten sich zwei Geschädigte darüber, wer den Schaden trägt. Entscheidend ist meist, aus wessen Sphäre die Manipulation stammt. Für genau diesen Streit braucht es eine Firmen-Rechtsschutzversicherung – und im Idealfall eine Vertrauensschadendeckung, die auch Drittschäden umfasst.
Dieser Beitrag gibt allgemeine Hinweise und ersetzt keine individuelle Beratung. Was im Einzelfall sinnvoll ist, hängt von deiner konkreten Situation und den Bedingungen des jeweiligen Tarifs ab.
SCHON PASSIERT?
Wenn der Schaden schon eingetreten ist, zählt vor allem eins: ihn schnell und vollständig zu melden. Wir zeigen dir, welcher Weg der richtige ist und was du bereithalten solltest.
Schaden melden