"Falscher Chef am Telefon: So schützen Sie Ihren Betrieb"

Nicht jeder Angriff auf einen Betrieb läuft über eine Sicherheitslücke im Computer. Oft ist der einfachste Weg der über den Menschen. Ein Anruf, eine dringende E-Mail, ein wenig Zeitdruck – und schon überweist eine Mitarbeiterin mehrere tausend Euro auf ein fremdes Konto, im festen Glauben, im Sinne des Chefs zu handeln. Diese Masche heißt „Social Engineering", zu Deutsch etwa „soziale Manipulation". Sie zielt nicht auf Ihre Technik, sondern auf Ihr Vertrauen.

Wie funktioniert die Masche mit dem falschen Chef?

Ein bekanntes Beispiel ist der „CEO-Betrug", auch „Chef-Masche" genannt. Der Ablauf ist meist ähnlich:

• Eine Mitarbeiterin in der Buchhaltung erhält eine E-Mail oder einen Anruf, angeblich vom Geschäftsführer.
• Es gehe um eine streng vertrauliche, eilige Zahlung, etwa für einen Firmenkauf oder eine Anwaltsrechnung.
• Die Zahlung müsse sofort und ohne Rückfrage an ein neues Konto erfolgen.
• Rückfragen werden abgeblockt: Der Chef sei „gerade in einer Besprechung" und nicht erreichbar.

Die Täter haben vorher recherchiert – Namen aus dem Impressum, Zuständigkeiten aus sozialen Netzwerken, den Schreibstil aus veröffentlichten Texten. Dadurch wirkt die Anfrage erstaunlich echt.

Warum funktioniert das so oft?

Social Engineering nutzt keine technischen Lücken, sondern menschliche Reflexe. Drei Hebel kommen fast immer vor:

• Autorität: Eine Anweisung „von oben" hinterfragt man ungern.
• Zeitdruck: Wer sich beeilen muss, prüft weniger genau.
• Verschwiegenheit: Die Bitte um Vertraulichkeit verhindert, dass jemand nachfragt.

Gefährlich wird es, weil genau die hilfsbereiten, zuverlässigen Mitarbeiter besonders anfällig sind. Es ist also keine Frage von Dummheit, sondern von fehlenden klaren Regeln.

Welche Warnsignale sollten Sie kennen?

Hellhörig werden sollten Sie und Ihr Team bei dieser Kombination:

• Eine Zahlung ist ungewöhnlich dringend und streng vertraulich.
• Es wird auf ein neues oder ausländisches Konto überwiesen.
• Der übliche Weg (Vier-Augen-Prinzip, Freigabeprozess) soll einmalig umgangen werden.
• Die Kontaktperson ist nur schriftlich erreichbar oder drängt auf einen bestimmten Kanal.
• Die Absenderadresse weicht bei genauem Hinsehen minimal ab.

Dieselbe Vorsicht gilt bei gefälschten E-Mails allgemein – wie Sie diese erkennen, zeigt unser Beitrag Phishing erkennen.

Wie schützen Sie Ihren Betrieb konkret?

Der beste Schutz ist kein Programm, sondern eine feste Regel, die für alle gilt – auch für den Chef selbst:

• Rückruf über die bekannte Nummer: Bei jeder ungewöhnlichen Zahlungsanweisung rufen Sie die anweisende Person über die im Betrieb hinterlegte Nummer zurück – niemals über eine Nummer aus der verdächtigen Nachricht.
• Vier-Augen-Prinzip: Zahlungen ab einem festgelegten Betrag werden immer von zwei Personen freigegeben.
• Kein Ausnahmedruck: Machen Sie im Team klar, dass eine Rückfrage niemals ein Fehler ist – auch wenn die Anweisung echt gewesen sein sollte.
• Kontoänderungen prüfen: Eine geänderte Bankverbindung eines Lieferanten wird grundsätzlich telefonisch bestätigt.

Wichtig ist, dass diese Regeln vorher besprochen und aufgeschrieben sind. Im Moment des Anrufs ist es zu spät, um sie sich erst auszudenken. Legen Sie fest, wer im Betrieb Zahlungen freigeben darf und ab welchem Betrag zwingend eine zweite Person zustimmt. Halten Sie eine kurze Liste bekannter Ansprechpartner mit den richtigen Telefonnummern bereit, damit ein Rückruf im Ernstfall schnell geht.

Sinnvoll ist außerdem, die Maschen offen im Team anzusprechen, bevor etwas passiert. Wer die typischen Formulierungen einmal gehört hat – „streng vertraulich", „bitte sofort", „melden Sie sich bei niemandem" –, erkennt sie beim nächsten Mal deutlich schneller wieder.

Was tun, wenn es passiert ist?

Sollte doch eine Zahlung rausgegangen sein, zählt jede Minute:

• Sofort die eigene Bank informieren und versuchen, die Überweisung zurückzuholen.
• Anzeige bei der Polizei erstatten.
• Den Vorfall intern offen ansprechen, damit alle daraus lernen – ohne Schuldzuweisung.

Fazit

Gegen technische Angriffe helfen Updates und Sicherheitssoftware. Gegen die Chef-Masche hilft vor allem eine ruhige, verbindliche Regel: im Zweifel zurückrufen und nachfragen. Wer sein Team einmal für diese Muster sensibilisiert, nimmt den Betrügern ihr wichtigstes Werkzeug – die Überrumpelung.

Wenn Sie in der Region Reutlingen–Tübingen Ihr Team für solche Maschen schulen oder klare Freigaberegeln aufsetzen möchten, unterstützen wir Sie gern mit einer praxisnahen Sensibilisierung.