Was in Italien passiert ist
Laut Berichten von heise online wurde ein italienischer Bankier Opfer eines mehrstufigen Betrugs. Zunächst erhielt er WhatsApp-Nachrichten, die scheinbar vom Chef seines Konzerns stammten. Kurz darauf folgte ein Telefonanruf, bei dem sich jemand als Anwalt des Unternehmens ausgab. In der Kombination aus schriftlicher Anweisung und mündlicher Bestätigung wirkte die Anfrage offenbar glaubwürdig genug, dass der Bankier eine Freigabe über 95 Millionen Euro veranlasste.
Der Fall zeigt exemplarisch, wie Betrüger heute vorgehen: Sie kombinieren mehrere Kanäle, um Vertrauen aufzubauen. Eine einzelne gefälschte Nachricht lässt sich noch mit gesundem Menschenverstand hinterfragen. Wenn aber ein Chat mit einem Anruf zusammenpasst, in dem eine vertraute oder autoritätsträchtige Stimme genau das bestätigt, was in der Nachricht stand, sinkt die Hemmschwelle beim Opfer erheblich. Genau dieses Zusammenspiel aus mehreren, sich gegenseitig bestätigenden Kanälen macht den Betrug so wirksam, unabhängig davon, ob am Ende tatsächlich KI-Stimmenklonierung im Spiel war oder eine andere Form der Fälschung.
Warum das kein Einzelfall bleiben wird
CEO-Betrug, im Fachjargon auch Business E-Mail Compromise oder CEO-Fraud genannt, ist kein neues Phänomen. Seit Jahren geben sich Kriminelle per E-Mail als Geschäftsführer, Vorstände oder wichtige Geschäftspartner aus und bringen Mitarbeitende dazu, Geld zu überweisen oder sensible Daten preiszugeben. Neu ist die Qualität der Täuschung. Wo früher eine holprig formulierte E-Mail mit falscher Absenderadresse der Auslöser war, reicht heute technisch potenziell eine kurze Sprachaufnahme, um eine Stimme so nachzubilden, dass sie am Telefon überzeugend klingt. Öffentliche Auftritte, Podcasts, Videobotschaften oder sogar Voicemail-Ansagen liefern genug Material, um eine Stimme zu imitieren.
Für Kriminelle verändert das die Kalkulation grundlegend. Ein Anruf mit einer vermeintlich vertrauten Stimme wirkt automatisch glaubwürdiger als eine Textnachricht. Menschen sind es gewohnt, eine Stimme als Identitätsnachweis zu akzeptieren, gerade unter Zeitdruck. Genau dieser Zeitdruck ist Teil der Masche: Die Anfrage kommt meist kurzfristig, betrifft eine angeblich dringende und vertrauliche Angelegenheit, und die Möglichkeit zur Rückfrage wird bewusst eingeschränkt, etwa weil der "Chef" angeblich gerade in einem wichtigen Meeting sitzt oder im Ausland unterwegs ist.
Der Fall aus Italien zeigt zusätzlich, dass die Angreifer nicht bei einer einzelnen Methode stehen bleiben. Die Kombination aus Chat-Nachricht und Anruf ist eine bewusste Eskalationsstrategie. Wer nach der ersten Nachricht skeptisch bleibt, wird durch den bestätigenden Anruf in Sicherheit gewiegt. Diese mehrstufige Vorgehensweise dürfte sich als Standardmuster etablieren, weil sie schlicht funktioniert, wie der Millionenschaden in Italien belegt.
Warum kleinere Unternehmen sich nicht in Sicherheit wiegen sollten
Ein verbreiteter Irrtum ist die Annahme, solche Angriffe würden sich nur gegen große Konzerne oder Banken richten, weil dort die größten Summen zu holen sind. Tatsächlich sind mittelständische Betriebe ein besonders attraktives Ziel. Sie verfügen oft über beachtliche Zahlungsvolumina, etwa für Warenlieferungen, Investitionen oder Lohnzahlungen, haben aber selten die mehrstufigen Freigabeprozesse und die spezialisierten Sicherheitsteams einer Großbank. In vielen kleineren Betrieben kann eine einzelne Person, oft die Geschäftsführung selbst oder die Buchhaltung, eine größere Überweisung allein anstoßen, wenn die Anweisung glaubwürdig genug erscheint.
Hinzu kommt: Gerade in familiengeführten oder inhabergeführten Unternehmen ist die persönliche Beziehung zwischen Chef und Mitarbeitenden oft eng und von Vertrauen geprägt. Genau dieses Vertrauen wird beim CEO-Fraud gezielt ausgenutzt. Wer glaubt, die Stimme des Geschäftsführers am Telefon zweifelsfrei zu erkennen, prüft seltener nach. Diese Fehleinschätzung betrifft nicht nur die Finanzabteilung, sondern potenziell jeden, der Zugriff auf Überweisungen, Passwörter oder vertrauliche Unterlagen hat.
Auch die Angriffsfläche wächst. Wer als Unternehmen auf Social Media, YouTube, in Podcasts oder auf Messeauftritten öffentlich mit Bild und Ton präsent ist, liefert Angreifern unfreiwillig das Rohmaterial für eine Stimmimitation. Je bekannter eine Geschäftsführung in der eigenen Branche oder Region ist, desto mehr Sprachaufnahmen kursieren im Netz, und desto leichter lässt sich eine Stimme nachbilden. Das betrifft nicht nur Vorstände von Konzernen, sondern genauso den Inhaber eines Handwerksbetriebs, der ein Interview für die Lokalzeitung gegeben hat, oder die Geschäftsführerin, die auf einer Branchenmesse einen Vortrag gehalten hat.
Die eigentliche Schwachstelle sitzt selten in der Technik
Ein wichtiger Punkt bei diesem Angriffsmuster: Es zielt nicht primär auf eine technische Lücke in einer Firewall oder einem Server, sondern auf den Menschen und auf Prozesse. Selbst das beste technische Sicherheitskonzept hilft wenig, wenn am Ende eine einzelne Person aufgrund einer überzeugenden Stimme oder Nachricht eine Zahlung freigibt, ohne dass ein zweiter, unabhängiger Kontrollschritt dazwischengeschaltet ist. Genau hier liegt die zentrale Lehre aus dem Fall in Italien: Vertrauen in eine Stimme oder einen Chat darf niemals allein über eine Millionenzahlung entscheiden, egal wie überzeugend die Anfrage klingt.
Das bedeutet nicht, dass technische Absicherung überflüssig wäre, im Gegenteil. Eine solide Absicherung der Kommunikationskanäle, der E-Mail-Systeme und der Endgeräte bleibt die Grundlage, auf der organisatorische Maßnahmen erst wirken können. Wer hier Lücken hat, etwa weil E-Mail-Konten leicht zu kompromittieren sind oder Messenger-Apps auf Firmengeräten ungeschützt laufen, macht es Angreifern leichter, überhaupt an die nötigen Informationen für einen glaubwürdigen Betrugsversuch zu kommen. Eine strukturierte IT-Sicherheit im Unternehmen schafft die Basis, auf der Mitarbeitende überhaupt in der Lage sind, verdächtige Vorgänge zu erkennen, statt permanent im Krisenmodus zu reagieren.
Was ein KMU jetzt konkret tun sollte
Aus dem Fall lassen sich klare, umsetzbare Maßnahmen ableiten, die kein großes Budget erfordern, aber konsequent gelebt werden müssen.
Erstens: Zahlungsfreigaben ab einer bestimmten Summe dürfen nie von einer einzelnen Person allein auf Basis eines Anrufs oder einer Chat-Nachricht ausgelöst werden. Ein Vier-Augen-Prinzip mit einer zweiten, unabhängigen Person ist die wirksamste Einzelmaßnahme gegen diese Betrugsform. Wichtig ist, dass diese zweite Person nicht einfach die erste Anfrage bestätigt bekommt, sondern eigenständig prüft.
Zweitens: Für dringende, ungewöhnliche Zahlungsanweisungen sollte es einen festen, unternehmensintern bekannten Rückrufweg geben, etwa eine hinterlegte Telefonnummer, die unabhängig von der eingehenden Nachricht gewählt wird. Wer eine angeblich vom Chef stammende Anweisung erhält, ruft nicht die Nummer zurück, von der die Nachricht kam, sondern die im System hinterlegte, bekannte Nummer.
Drittens: Mitarbeitende, die mit Zahlungen, Überweisungen oder sensiblen Daten zu tun haben, sollten konkret für dieses Angriffsmuster sensibilisiert werden, nicht nur für klassisches Phishing per E-Mail. Es hilft, das Szenario einmal durchzuspielen: Was würde ich tun, wenn ich jetzt eine dringende Zahlungsanweisung per WhatsApp und Anruf erhalte? Wer sich diese Frage vorher gestellt hat, reagiert im Ernstfall besonnener.
Viertens: Ungewöhnlicher Zeitdruck, Geheimhaltungswünsche und die Bitte, von normalen Abläufen abzuweichen, sind klassische Warnsignale, unabhängig vom Kanal. Diese Muster sollten als feste Alarmzeichen im Unternehmen bekannt sein und dürfen nicht durch Respekt vor der vermeintlichen Autorität des Absenders übergangen werden.
Fünftens: Wer öffentlich mit Stimme und Bild auftritt, sollte sich bewusst machen, dass dieses Material potenziell missbraucht werden kann, und intern klare Regeln etablieren, wie mit ungewöhnlichen Anfragen umzugehen ist, die scheinbar von der eigenen Geschäftsführung kommen.
Sechstens: Die technische Basis muss stimmen. Kompromittierte E-Mail-Konten oder unsichere Zugänge liefern Angreifern oft die Vorarbeit, etwa Informationen über interne Abläufe, Ansprechpartner oder tatsächlich anstehende Geschäftsvorgänge, die einen Betrugsversuch erst glaubwürdig machen.
Was das für den Mittelstand bedeutet
Der Vorfall aus Italien ist in seiner Größenordnung außergewöhnlich, das Muster dahinter ist es nicht. Für den Mittelstand heißt das konkret: Prozesse zur Zahlungsfreigabe gehören auf den Prüfstand, bevor ein Schaden entsteht, nicht danach. Ein Unternehmen sollte klar dokumentieren, wer welche Summen freigeben darf, unter welchen Bedingungen eine zweite Prüfung zwingend ist, und über welchen Weg im Zweifel eine Rückfrage erfolgt. Diese Regeln müssen allen relevanten Mitarbeitenden bekannt sein, nicht nur auf dem Papier existieren.
Ebenso wichtig ist eine regelmäßige, realistische Überprüfung der eigenen Angriffsfläche. Ein Website-Audit deckt technische Schwachstellen auf, die Angreifern indirekt in die Karten spielen können, etwa veraltete Systeme oder ungesicherte Kontaktformulare, über die sich Informationen abgreifen lassen. Unternehmen, die zusätzlich regulatorisch stärker in der Pflicht stehen, etwa als Teil kritischer Lieferketten, sollten sich außerdem mit den Anforderungen aus NIS2 & IT-Sicherheit auseinandersetzen, da dort auch organisatorische Sicherheitsmaßnahmen und Meldepflichten eine Rolle spielen, die über reine Technik hinausgehen.
Wer die eigene IT-Infrastruktur nicht selbst rund um die Uhr überwachen kann, profitiert von einer professionellen Betreuung, etwa über Managed Hosting oder eine kontinuierliche Fernwartung, bei der verdächtige Aktivitäten frühzeitig auffallen, statt erst nach einem Schaden entdeckt zu werden. Unternehmen in der Region profitieren zusätzlich von lokalem Support, etwa über IT-Service Friesland, wenn es um die schnelle Absicherung von Systemen und die Beratung zu konkreten Sicherheitsmaßnahmen geht.
Am Ende bleibt die wichtigste Erkenntnis simpel, aber entscheidend: Keine Stimme, kein Chat und kein Anruf allein sollten jemals ausreichen, um eine größere Zahlung auszulösen. Diese eine Regel, konsequent gelebt und in klaren Prozessen verankert, hätte auch im italienischen Fall den Schaden verhindern können.
Häufige Fragen
Was ist CEO-Fraud genau?
CEO-Fraud bezeichnet eine Betrugsmasche, bei der sich Kriminelle als Geschäftsführung, Vorstand oder eine andere Vertrauensperson im Unternehmen ausgeben, um Mitarbeitende zu einer Geldüberweisung oder zur Preisgabe sensibler Informationen zu bewegen. Früher lief das meist über gefälschte E-Mails, heute kommen zunehmend auch Messenger-Nachrichten und Anrufe mit nachgeahmten Stimmen zum Einsatz.
Wie funktioniert eine KI-Stimmenklonierung?
Mit ausreichend Audiomaterial einer Person, etwa aus öffentlichen Reden, Interviews oder Videobotschaften, lässt sich eine Stimme technisch nachbilden, sodass sie am Telefon oder in einer Sprachnachricht täuschend echt klingt. Je mehr Audiomaterial öffentlich verfügbar ist, desto leichter wird eine überzeugende Nachbildung.
Sind nur große Unternehmen von solchen Betrugsversuchen betroffen?
Nein. Mittelständische Betriebe sind sogar besonders gefährdet, weil dort oft weniger mehrstufige Freigabeprozesse existieren als in Großunternehmen und einzelne Personen größere Zahlungen eigenständig auslösen können. Zudem ist das Vertrauensverhältnis zwischen Geschäftsführung und Mitarbeitenden in kleineren Betrieben oft enger, was Angreifer gezielt ausnutzen.
Welche Maßnahme schützt am wirksamsten vor CEO-Fraud?
Ein Vier-Augen-Prinzip bei allen größeren Zahlungsfreigaben, kombiniert mit einem festen, unabhängigen Rückrufweg über eine intern bekannte Nummer, ist die wirksamste Einzelmaßnahme. Keine Zahlungsanweisung sollte allein aufgrund eines Anrufs oder einer Chat-Nachricht ausgelöst werden, egal wie glaubwürdig sie wirkt.
Reicht technische IT-Sicherheit allein aus, um solche Betrugsfälle zu verhindern?
Nein. Technische Absicherung ist wichtig, weil kompromittierte Systeme Angreifern oft die Informationen liefern, die einen Betrugsversuch erst glaubwürdig machen. Den eigentlichen Betrug verhindern aber vor allem klare organisatorische Prozesse und geschulte Mitarbeitende, die ungewöhnliche Anfragen konsequent hinterfragen.
Quellen
Weiterführende Leistungen & Ratgeber
Sie möchten wissen, ob eine dieser Lücken Ihre Systeme betrifft? Wir prüfen Ihre IT und richten ein passendes Schutzkonzept ein. Fordern Sie einen Sicherheits-Check an oder rufen Sie direkt an: +49 1556 7039821.
Warten Sie!
Wie gut ist Ihre Website wirklich?
Finden Sie es in 30 Sekunden heraus, kostenlos.