Das Szenario
Die CNIL beschreibt die gefälschte Überweisungsanweisung, den sogenannten „CEO-Betrug“, in mehreren Phasen. Der Betrüger informiert sich über das Unternehmen: Organigramm, Kunden, Lieferanten. Er bereitet einen gefälschten Domainnamen vor, der dem des Unternehmens oder eines Lieferanten ähnelt, oder er gibt sich als Mitarbeiter aus. Dann schreibt oder ruft er an und gibt sich als Geschäftsführer oder Lieferant aus, mit einer Forderung, die als dringend und von ganz oben genehmigt dargestellt wird.
Die Varianten ähneln sich:
- eine unvorhergesehene, dringende und vertrauliche Überweisung, angefordert von einem falschen Geschäftsführer oder einem falschen Verantwortlichen der Unternehmensgruppe;
- ein Lieferant, der eine geänderte Bankverbindung für die nächsten Rechnungen ankündigt;
- eine gefälschte Rechnung mit dem richtigen Betrag im richtigen Format;
- eine angebliche Prüfung durch eine Behörde, die anschließend dazu dient, den Kunden des Unternehmens mit einem neuen Bankkonto zu schreiben – ein vom französischen Wirtschaftsministerium beschriebenes Szenario.
Der Hebel ist immer menschlich: Dringlichkeit, Geheimhaltung, Autorität. Das Wirtschaftsministerium rät, nicht überstürzt zu handeln, auch nicht gegenüber einem hartnäckigen Gesprächspartner, und während der Urlaubszeit besonders wachsam zu sein, wenn die Buchhaltung mit reduzierter Besetzung arbeitet.
Ein Beispiel zur Veranschaulichung. An einem Freitag am späten Nachmittag erhält die Buchhalterin eines KMU eine Nachricht vom „Geschäftsführer“: eine vertrauliche Übernahme, ein Anwalt, der anrufen wird, eine Überweisung, die vor Montag erfolgen muss. Die Nachricht enthält weder Anhang noch Link. Ihr Anzeigename stimmt, ihre Adresse nicht. Technisch ist nichts „infiziert“.
Vier Formen des Identitätsmissbrauchs, nicht eine
| Form | Wie sie aussieht | SPF, DKIM, DMARC | Was sie erkennen kann |
|---|
| Gefälschter Anzeigename | „Claire Martin, Geschäftsführerin“, geschrieben von einem kostenlosen E-Mail-Dienst | Gültig für die echte Domain des Absenders; DMARC behandelt den Anzeigenamen nicht | Abgleich zwischen angezeigtem Namen, Adresse und den Namen der Führungskräfte der Domain |
| Ähnliche Domain | Ein verdoppelter Buchstabe, ein Bindestrich, eine andere Endung | Können für die ähnliche Domain einwandfrei sein | Ähnlichkeit mit Ihrer Domain oder der eines Lieferanten, Alter der Domain, Reputation |
| Ihre exakte Domain, von anderswo versandt | Die angezeigte Adresse ist die echte | DMARC schlägt fehl; es stoppt die Nachricht, wenn die Richtlinie der Domain es verlangt | DMARC-Prüfung beim Eingang |
| Tatsächlich kompromittiertes Konto | Die Nachricht kommt aus dem echten Postfach des Geschäftsführers oder Lieferanten | Alles ist gültig | Verändertes Verhalten, Inhalt (neue Bankverbindung) und vor allem das Prüfverfahren |
Die DMARC-Spezifikation sagt es selbst: Sie behandelt weder optisch ähnliche Domains noch den Missbrauch des Anzeigenamens. Drei von vier Fällen entgehen also der Domain-Authentifizierung. Einzelheiten finden Sie in SPF, DKIM und DMARC, den Fall des gestohlenen Kontos in Spam, Phishing, Malware und kompromittiertes Konto.
Was die Technik stoppt
- Die exakt missbrauchte Domain, wenn die Domain eine DMARC-Richtlinie mit Quarantäne oder Ablehnung veröffentlicht.
- Die ähnliche Domain, durch Abgleich mit Ihrer Domain, denen Ihrer Lieferanten und bekannten Marken sowie über das Alter der Domain: Eine letzte Woche angelegte Domain, die Ihre imitiert, ist ein starkes Signal.
- Der irreführende Anzeigename, wenn der Filter weiß, wer die Führungskräfte des Unternehmens sind, und den angezeigten Namen mit der tatsächlichen Adresse vergleicht.
- Bekannte Szenarien: dringende Überweisungsanforderung, geänderte Bankverbindung, gefälschte Rechnung, Aufforderung zum Rückruf einer Nummer. Ein Filter kann diese Muster im Text erkennen, auch ohne Anhang oder Link.
- Die Anomalie: ein bekannter Lieferant, der plötzlich aus einem anderen Land, zu einer anderen Uhrzeit schreibt, mit einer Forderung, die er nie gestellt hat.
Ein oft vergessener Punkt: Ein Filter weiß standardmäßig nicht, wer Ihr Geschäftsführer ist oder wer Ihre Lieferanten sind. Ihm diesen Kontext zu geben, die Namen der Führungskräfte und die regelmäßigen Lieferanten, ist das, was ihn einen falschen Geschäftsführer erkennen lässt.
Was die Technik nicht entscheidet
Ein Filter verringert die Zahl der gefälschten Nachrichten, die ankommen. Er gibt keine Zahlung frei. Ein tatsächlich kompromittiertes Konto, eine plausible Forderung, eine den Listen unbekannte ähnliche Domain: Eine Nachricht kann durchkommen. Die letzte Hürde ist ein Verfahren.
Reflexe, die ins Verfahren gehören
- Jede Änderung einer Bankverbindung wird über einen bereits bekannten Kanal bestätigt: ein Anruf unter der Nummer des Lieferanten, die in Ihren Unterlagen steht, nie unter der in der Nachricht angegebenen. Die CNIL empfiehlt, bekannte Ansprechpartner telefonisch oder persönlich zu kontaktieren.
- Vier-Augen-Prinzip ab einem Schwellenwert, durch zwei Personen, davon eine außerhalb des Nachrichtenverlaufs.
- Dringlichkeit und Geheimhaltung sind Warnsignale, keine Gründe für mehr Tempo. Ein echter Geschäftsführer akzeptiert einen Rückruf.
- Aktuelle Liste der Lieferanten- und Kundenkontakte, wie von der CNIL empfohlen, um zu wissen, wen man anrufen muss.
- Erhöhte Wachsamkeit in Urlaubszeiten, beim Jahresabschluss oder bei organisatorischen Veränderungen.
- Reservierung ähnlicher Domainnamen wie Ihrer eigenen und Zwei-Faktor-Authentifizierung für das E-Mail-System, zwei von der CNIL genannte Maßnahmen.
Wer diese Regeln kennen muss
Nicht nur die Buchhaltung. Assistenzen der Geschäftsführung, Einkäufer, die Personen, die Lieferantenstammdaten pflegen, und Vertretungen bei Abwesenheit sind natürliche Ziele des Szenarios, weil sie Zugriff auf Zahlungen oder Bankverbindungen haben. Die CNIL empfiehlt, die Mitarbeiter dafür zu sensibilisieren, Domainnamen zu prüfen und ungewöhnlichen Forderungen zu misstrauen. Eine schriftliche, kurze, allen bekannte und regelmäßig in Erinnerung gerufene Regel ist besser als eine mündliche Anweisung: Sie erlaubt es einem Mitarbeiter, einem falschen Geschäftsführer „nein“ zu sagen, ohne fürchten zu müssen, im Stich gelassen zu werden.
Wenn eine betrügerische Überweisung ausgeführt wurde: sofort die Bank anrufen, um sie möglichst zu stornieren, die Nachrichten aufbewahren, Anzeige erstatten. Auch die Kunden oder Lieferanten informieren, deren Name verwendet wurde.
Häufige Fragen
Reicht DMARC gegen CEO-Betrug?
Nein. Es stoppt den exakten Missbrauch Ihrer Domain, nicht die ähnliche Domain und nicht den Anzeigenamen. Siehe SPF, DKIM und DMARC.
Kann eine Nachricht ohne Anhang oder Link gefährlich sein?
Ja. Überweisungsbetrug braucht nur einen glaubwürdigen Text und eine Person, die ihn ausführt.
Die Nachricht kommt von der echten Adresse des Lieferanten: Ist sie sicher?
Nicht unbedingt: Sein Konto kann gestohlen worden sein. Siehe kompromittiertes Konto. Die telefonische Überprüfung entscheidet.
Eine Betrugsnachricht wurde unter Quarantäne gestellt: Sollte ich sie zur Überprüfung freigeben?
Nein. Prüfen Sie beim bekannten Ansprechpartner nach, ohne freizugeben. Siehe Quarantäne, Fehlalarme und Meldungen.
Wo Klytic steht
Klytic MTA verteilt diesen Schutz auf seine beiden Angebote. Es funktioniert vor jedem beliebigen E-Mail-System, ohne Klytic Mail.
| Schutz | Basis | Erweitert |
|---|
| SPF-, DKIM- und DMARC-Prüfung, auch für weitergeleitete Nachrichten | Ja | Ja |
| Markenimitation, ähnliche Domains, Fälschung des Anzeigenamens | Ja | Ja |
| Ungewöhnliches Verhalten eines Absenders | Ja | Ja |
| CEO-Betrug | Nein | Ja |
| Gefälschte Rechnungen, falsche Überweisungen, Krypto, Rückerstattungen, Finanzierungen, Telefonanrufe | Nein | Ja |
| SMS-Benachrichtigung, wenn ein wichtiger Absender schreibt | Option | Option |
Der Betrugskontext der Domain (Namen der Führungskräfte, regelmäßige Lieferanten) wird vom Domain-Administrator eingestellt: siehe Wer den Filter in Klytic MTA einstellt.
Was Klytic MTA nicht tut: Es gibt keine Zahlung frei und ersetzt nicht Ihr Überweisungsverfahren. Einen direkten Telefonanruf sieht es nicht, nur Nachrichten, die zum Anrufen auffordern.
Diese Seite beschreibt allgemeine Maßnahmen. Sie ersetzt bei einem tatsächlichen Betrug weder die Ratschläge Ihrer Bank noch die der Behörden.
Quellen
Abgerufen im Oktober 2026.
- CNIL, „Le faux ordre de virement international ou fraude au président“ (Die gefälschte internationale Überweisungsanweisung oder CEO-Betrug): Ablauf des Angriffs (Auskundschaften, ähnliche Domain, dringende Forderung), Präventionsmaßnahmen (Rückruf bekannter Kontakte, Freigabeverfahren, Reservierung ähnlicher Domains, Zwei-Faktor-Authentifizierung). cnil.fr
- Französisches Wirtschaftsministerium, „Se prémunir contre l’escroquerie aux faux ordres de virement ou arnaque au président“ (Sich vor Betrug mit gefälschten Überweisungsanweisungen oder CEO-Betrug schützen): als dringend und vertraulich dargestellte Überweisung, Vortäuschung einer Behörde zur Ankündigung einer geänderten Bankverbindung, nicht überstürzt handeln, Wachsamkeit während der Urlaubszeit. economie.gouv.fr
- RFC 7489, DMARC: außerhalb des Anwendungsbereichs des Mechanismus liegen optisch ähnliche Domainnamen und der Missbrauch des Anzeigenamens. rfc-editor.org
- Klytic, Seite Klytic MTA: Aufteilung des Finanzbetrugsschutzes auf die Angebote Basis und Erweitert, Optionen, Bereitstellungsmodi, Inbetriebnahme über den MX. klytic.com
