CEO-Fraud: Wenn ein Manager für 50 Millionen Euro haftet
Was die Meldung sagt und was sie offenlässt
Die Nachricht ist kurz und deutlich: Nach einem CEO-Fraud muss ein Manager für 50 Millionen Euro haften, das LAG Köln hat die fristlose Kündigung bestätigt. Das ist der gesicherte Kern, und mehr sollten wir an dieser Stelle auch nicht behaupten. Wie genau der Betrug ablief, welche Pflichten verletzt wurden und wie sich die Haftung im Einzelnen begründet, steht in der Zusammenfassung nicht. Die vollständige Urteilsbegründung kennen wir hier nicht, und deshalb spekulieren wir auch nicht über Details.
Trotzdem lässt sich viel daraus lernen. Zwei Dinge fallen auf. Erstens die Größenordnung: 50 Millionen Euro sind ein Betrag, der selbst größere Unternehmen ins Wanken bringt, und für einen typischen Mittelständler wäre er existenzbedrohend. Zweitens die Konsequenz für die Person: Es geht um eine fristlose Kündigung, also um die schärfste arbeitsrechtliche Reaktion, die es gibt, und um eine Haftung in einer Höhe, die kein Angestellter jemals aus eigener Tasche stemmen könnte.
Wichtig ist uns die Einordnung. Ein einzelnes Urteil ist kein Gesetz, und jeder Fall liegt anders. Wer aus der Meldung ableitet, "jeder Mitarbeiter haftet künftig für jeden Betrug", liegt mit hoher Wahrscheinlichkeit falsch. Wer aber daraus ableitet, dass Zahlungsbetrug auch eine Frage persönlicher Verantwortung ist und dass Gerichte hier ernsthaft hinschauen, liegt richtig.
Wie CEO-Fraud funktioniert
Der Begriff klingt technisch, die Masche ist es meist nicht. Beim CEO-Fraud, auch Fake-President-Betrug genannt, gibt sich ein Täter als Chef, Geschäftsführer oder andere Führungsperson aus und bringt einen Mitarbeiter dazu, Geld zu überweisen. Das passiert meist per E-Mail, manchmal per Telefon, Messenger oder inzwischen auch mit nachgeahmten Stimmen. Der Auftrag kommt in der Regel mit Druck: vertraulich, eilig, eine geheime Übernahme, eine dringende Rechnung, über die "bitte niemand sonst" Bescheid wissen soll.
Die Täter setzen nicht auf Technikdurchbruch, sondern auf Psychologie. Sie nutzen drei Hebel:
- Autorität: Wer vermeintlich vom Chef eine Anweisung bekommt, hinterfragt sie ungern.
- Zeitdruck: Wer unter Druck steht, überspringt Kontrollschritte.
- Geheimhaltung: Wer glaubt, nicht nachfragen zu dürfen, verliert die Möglichkeit, den Betrug zu entdecken.
Vorbereitet werden solche Angriffe oft sorgfältig. Informationen über Organigramm, Urlaubszeiten, Lieferanten und Tonfall lassen sich aus Webseiten, Pressemitteilungen und Social-Media-Profilen zusammensuchen. Manchmal kommt ein zuvor erbeutetes E-Mail-Konto dazu, aus dem heraus echte Korrespondenz mitgelesen wird. Dann wirkt die gefälschte Anweisung besonders glaubwürdig, weil sie zum laufenden Vorgang passt.
Eng verwandt ist der Rechnungsbetrug: Ein Lieferant "ändert" angeblich seine Bankverbindung, und die nächste Zahlung geht auf ein fremdes Konto. Auch hier greifen dieselben Abwehrmaßnahmen, die wir weiter unten beschreiben.
Warum der Mittelstand besonders im Fadenkreuz steht
Man könnte meinen, Betrüger gingen vor allem auf Konzerne los. Für den Mittelstand gibt es aber Gründe, warum er ein attraktives Ziel ist.
Zum einen sind die Wege kurz. In einem Unternehmen mit 50 oder 200 Beschäftigten kennt jeder den Chef, und eine direkte Anweisung vom Geschäftsführer an die Buchhaltung ist nichts Ungewöhnliches. Genau das macht die Fälschung plausibel. In Konzernen gibt es dagegen oft feste Freigabestufen, an denen Betrüger scheitern.
Zum anderen fehlen im Mittelstand häufig formale Kontrollen. Die Buchhaltung ist klein, Vertretungen sind knapp, und der Geschäftsführer ist viel unterwegs. Vieles läuft auf Vertrauen und auf kurzem Dienstweg. Das ist im Alltag ein Vorteil, im Betrugsfall eine Schwachstelle.
Und schließlich ist das Bewusstsein oft geringer. Viele kleinere Firmen halten sich für zu unbedeutend, um angegriffen zu werden. Das stimmt nicht: Angreifer arbeiten automatisiert und breit. Ob ein Unternehmen interessant ist, entscheidet sich häufig erst, wenn die erste Täuschung funktioniert hat.
Die Summe von 50 Millionen Euro aus der Meldung ist sicher kein Maßstab für den Normalfall. Aber schon Beträge im fünf- oder sechsstelligen Bereich reichen, um Liquidität, Kreditlinien und Vertrauen von Kunden oder Banken ernsthaft zu beschädigen.
Haftung: Wer steht wofür ein?
Hier wird es für Führungskräfte konkret. Grundsätzlich gilt in Deutschland: Geschäftsführer einer GmbH haben Sorgfaltspflichten und können der Gesellschaft gegenüber haften, wenn sie diese verletzen. Dazu gehört auch, dass im Unternehmen angemessene Organisation und Kontrollen bestehen. Für Arbeitnehmer gelten im Grundsatz Haftungserleichterungen, die vom Grad des Verschuldens abhängen. Je grober die Pflichtverletzung, desto eher muss ein Beschäftigter für Schäden einstehen. Das ist ein allgemeiner Rahmen, keine Auslegung des Kölner Urteils, dessen Begründung wir nicht kennen.
Für die Praxis im Mittelstand folgen daraus drei Überlegungen:
Erstens: Die Leitungsebene ist nicht automatisch außen vor. Wer als Geschäftsführer weiß, dass Überweisungen per E-Mail-Zuruf möglich sind, und nichts dagegen unternimmt, kann sich später die Frage gefallen lassen, ob die Organisation angemessen war. Kontrollen einzuführen ist also nicht nur Technik, sondern auch Selbstschutz.
Zweitens: Wer Freigaben erteilt, trägt Verantwortung. Ein Prokurist, Leiter Finanzen oder Bereichsleiter mit Zahlungsbefugnis kann nicht auf "Der Chef hat es doch so gewollt" verweisen, wenn klare Regeln verlangen, dass ungewöhnliche Zahlungen zurückgerufen und bestätigt werden müssen.
Drittens: Regeln, die niemand kennt, helfen niemandem. Ein Zahlungsprozess auf dem Papier schützt weder die Firma noch den Mitarbeiter, wenn er nicht gelebt wird. Im Streitfall ist entscheidend, was tatsächlich galt und gelebt wurde.
Wir sind keine Juristen, und das hier ist keine Rechtsberatung. Wenn Sie wissen wollen, wie Ihre persönliche Haftung als Geschäftsführer oder Führungskraft aussieht, sprechen Sie mit einem Fachanwalt für Arbeits- und Gesellschaftsrecht. Dass Sie das Thema auf die Agenda setzen sollten, zeigt die Meldung aber deutlich.
Die fristlose Kündigung: Signal an alle Beteiligten
Dass das LAG Köln die fristlose Kündigung bestätigt hat, ist für sich genommen schon bemerkenswert. Eine fristlose Kündigung ist hohen Hürden unterworfen. Es braucht einen wichtigen Grund, der es dem Arbeitgeber unzumutbar macht, das Arbeitsverhältnis auch nur bis zum Ablauf der Kündigungsfrist fortzusetzen. Wenn ein Gericht das nach einem Betrugsfall bestätigt, heißt das: Die Pflichtverletzung wurde als gravierend gewertet.
Für Arbeitgeber ist das eine Information, aber keine Einladung, nach jedem Vorfall reflexhaft zu kündigen. Jeder Fall muss einzeln geprüft werden, mit Anhörung, Fristen und sauberer Dokumentation. Wer vorschnell handelt, riskiert einen verlorenen Prozess. Für Beschäftigte, besonders in Finanz- und Leitungsfunktionen, ist die Botschaft umgekehrt: Abkürzungen im Zahlungsprozess können das Arbeitsverhältnis kosten.
Daraus folgt für beide Seiten ein klares Interesse an eindeutigen Regeln. Ein Mitarbeiter, der weiß, dass er jede ungewöhnliche Zahlung zurückbestätigen lassen muss und dabei den Rücken frei hat, ist besser geschützt als einer, der im Zweifel allein entscheidet. Und eine Geschäftsführung, die solche Regeln vorgibt und durchsetzt, hat im Ernstfall eine deutlich bessere Position.
Technische Maßnahmen: Die erste Verteidigungslinie
CEO-Fraud ist im Kern ein Menschenproblem, aber Technik kann viele Angriffe abfangen oder zumindest erschweren. Folgendes gehört unserer Erfahrung nach zur Grundausstattung. Eine ausführliche Übersicht finden Sie auf unserer Seite zum Thema IT-Sicherheit.
Mail-Authentifizierung für die eigene Domain. Mit SPF, DKIM und DMARC lässt sich verhindern, dass Dritte problemlos E-Mails im Namen Ihrer Domain verschicken. Das schützt vor der plumpen Variante, bei der der Absender "chef@ihre-firma.de" einfach vorgetäuscht wird. Es schützt nicht vor ähnlich klingenden Domains, die Angreifer registrieren, aber es nimmt ihnen eine bequeme Möglichkeit.
Warnhinweise für externe Mails. Ein deutlich sichtbarer Hinweis "Externe E-Mail" bei Nachrichten von außen hilft, wenn eine angebliche Chef-Mail von einer fremden Adresse kommt, auch wenn der Anzeigename stimmt.
Zwei-Faktor-Anmeldung für alle Postfächer. Ein gekapertes Mailkonto ist das Einfallstor für besonders überzeugende Betrugsversuche, weil Angreifer echte Vorgänge mitlesen. Mit Mehrfaktor-Anmeldung wird das deutlich schwerer.
Weiterleitungsregeln überwachen. Ein typisches Zeichen eines übernommenen Postfachs sind versteckte Regeln, die Mails heimlich weiterleiten oder löschen. Solche Regeln sollten auffallen und regelmäßig geprüft werden.
Zahlungslimits und Bankfreigaben. Im Online-Banking lassen sich Limits, Freigaberollen und gemeinsame Zeichnung einrichten. Das ist technische Umsetzung des Vier-Augen-Prinzips und kostet fast nichts.
Aktuelle Systeme und Überwachung. Je besser Ihre Systeme gepatcht und überwacht sind, desto geringer ist die Chance, dass Angreifer überhaupt an die Informationen kommen, die den Betrug glaubwürdig machen. Wer das nicht selbst leisten kann, sollte es an einen verlässlichen Partner geben, etwa über einen laufenden IT-Service in Friesland oder eine vergleichbare Betreuung vor Ort.
Prozesse: Freigabe, Vier-Augen-Regel und Rückruf
Die wirksamste Maßnahme gegen CEO-Fraud ist ein Zahlungsprozess, der sich nicht durch Druck aushebeln lässt. Ein guter Prozess ist einfach genug, dass er im Alltag funktioniert. Das empfehlen wir:
1. Vier-Augen-Prinzip für jede Zahlung ab einer festgelegten Schwelle. Die Schwelle richtet sich nach Ihrer Größe. Wichtig ist, dass es sie gibt und dass sie niedriger liegt, als es sich zunächst bequem anfühlt.
2. Kein Zahlungsauftrag allein auf Zuruf. Anweisungen per E-Mail, Messenger oder Telefon reichen nicht als Freigabe. Die Freigabe läuft über das Buchhaltungs- oder Banksystem.
3. Rückruf über einen bekannten Kanal. Bei ungewöhnlichen Zahlungen, neuen Empfängern oder geänderten Bankverbindungen wird bei der anfragenden Person nachgefragt, und zwar über eine Telefonnummer aus dem eigenen Verzeichnis, nie über die Nummer aus der verdächtigen Mail.
4. Stammdatenänderungen separat prüfen. Ändert sich die IBAN eines Lieferanten, wird das dokumentiert und bestätigt, bevor die nächste Zahlung rausgeht.
5. Vertretungsregeln festlegen. Wenn der Geschäftsführer im Urlaub ist, gelten dieselben Regeln. Besonders in Urlaubs- und Reisezeiten lauern Betrüger.
6. Eskalationsweg ohne Gesichtsverlust. Jeder Beschäftigte muss wissen, dass Nachfragen ausdrücklich erwünscht ist, auch wenn die Anweisung angeblich vom Chef kommt. Dieser Satz gehört in die Betriebsanweisung, und die Geschäftsführung sollte ihn selbst ernst nehmen.
Der letzte Punkt ist der wichtigste. Betrüger setzen darauf, dass Mitarbeiter sich nicht trauen, einen vermeintlichen Vorgesetzten zu hinterfragen. Eine Führungskultur, in der ein Rückruf als Professionalität gilt und nicht als Misstrauen, ist der wirksamste Schutz.
Schulung: Menschen sind Teil der Lösung
Viele Unternehmen behandeln ihre Beschäftigten als Risiko. Wir sehen das anders: Wer informiert ist, wird zur wichtigsten Warnanlage. Eine gute Schulung zu Zahlungsbetrug muss nicht lang sein, aber sie muss konkret sein.
Sinnvoll sind kurze Einheiten, die an echten Beispielen zeigen, wie solche Mails und Anrufe aussehen. Besonders die Buchhaltung, das Sekretariat, die Assistenz der Geschäftsführung und alle Personen mit Bankzugang sollten regelmäßig geschult werden. Ergänzend helfen Übungen, bei denen eine harmlose Test-Mail verschickt wird, um zu sehen, wie das Team reagiert. Wichtig ist dabei ein fairer Umgang: Wer auf einen Test hereinfällt, wird nicht bloßgestellt, sondern bekommt eine kurze Erklärung.
Auch die Führungsebene gehört in die Schulung. Geschäftsführer sind die Identität, die Angreifer am häufigsten nachahmen. Sie sollten wissen, wie ihre öffentlichen Informationen missbraucht werden können, und selbst vorleben, dass Freigabeprozesse für alle gelten, auch für sie.
Wenn Sie wegen weiterer Vorgaben ohnehin Handlungsbedarf sehen, lohnt ein Blick auf NIS2 und IT-Sicherheit im Mittelstand. Regelmäßige Schulung und dokumentierte Sicherheitsprozesse sind dort ebenfalls ein Thema, und was Sie für den Betrugsschutz aufbauen, hilft Ihnen an mehreren Stellen gleichzeitig.
Wenn es passiert ist: Die ersten Stunden zählen
Trotz aller Vorsicht kann ein Betrug gelingen. Dann entscheidet die Geschwindigkeit. Nach allem, was man über solche Fälle allgemein weiß, sind die ersten Stunden die beste Chance, überwiesenes Geld zurückzuholen. Legen Sie deshalb vorab fest, wer im Ernstfall was tut, und hängen Sie die Liste dort auf, wo sie gebraucht wird:
- Sofort die Bank kontaktieren und um Rückruf beziehungsweise Sperrung der Zahlung bitten. Halten Sie Kontaktwege mit direkter Durchwahl bereit, nicht nur die allgemeine Hotline.
- Beweise sichern: Original-Mails mit Kopfzeilen, Telefonnotizen, Zahlungsbelege. Nichts löschen.
- Anzeige bei der Polizei erstatten, damit die Ermittlungen früh beginnen können.
- Versicherung informieren. Prüfen Sie schon heute, ob Ihre Cyber- oder Vertrauensschadenversicherung Betrugsfälle dieser Art abdeckt und welche Bedingungen sie an Ihre internen Kontrollen knüpft. Manche Policen setzen bestimmte Maßnahmen voraus.
- Mailkonten prüfen und Passwörter ändern, falls ein Kontoeinbruch möglich ist.
- Mitarbeiter schützen. Der Betroffene braucht Unterstützung, keine Vorverurteilung. Arbeitsrechtliche Schritte gehören in die Hände von Fachleuten, nicht in die ersten Stunden.
Auch die technische Aufarbeitung ist wichtig. Wenn ein Postfach kompromittiert wurde, muss geklärt werden, wie die Angreifer hineinkamen und was sie gesehen haben. Dabei hilft ein Partner, der Ihre Umgebung kennt. Für kleinere Teams kann auch eine Fernwartung im Notfall ein schneller Weg sein, die ersten Maßnahmen umzusetzen. Ob Sie sie nutzen oder nicht, sollten Sie vorher festlegen.
Was das für den Mittelstand bedeutet
Die Meldung zeigt: CEO-Fraud ist kein Randthema für IT-Abteilungen, sondern ein Haftungsrisiko mit persönlichen Folgen. Wir empfehlen Geschäftsführern und Führungskräften, in den nächsten Wochen diese Schritte anzugehen:
1. Zahlungsprozess aufschreiben. Wer darf was freigeben, ab welchem Betrag, über welchen Kanal? Wenn Sie das nicht in einer Seite beschreiben können, ist der Prozess zu unklar.
2. Vier-Augen-Prinzip einführen oder verschärfen, technisch im Online-Banking hinterlegt, nicht nur als Absichtserklärung.
3. Rückrufregel festschreiben für neue Empfänger, geänderte Bankdaten und ungewöhnliche Eilzahlungen.
4. Mail-Absicherung prüfen: SPF, DKIM, DMARC, Zwei-Faktor-Anmeldung, Warnhinweis für externe Mails.
5. Team schulen, vor allem Buchhaltung, Assistenz und Personen mit Bankzugang, und Nachfragen ausdrücklich erwünscht machen.
6. Notfallplan erstellen: Bankkontakte, Verantwortliche, Beweissicherung, Versicherung.
7. Versicherung und Verträge prüfen: Was ist gedeckt, welche Bedingungen gelten, wie sind Befugnisse im Anstellungsvertrag und in Vollmachten geregelt?
8. Rechtlichen Rat einholen, wenn Sie unsicher sind, wie Ihre eigene Haftung als Geschäftsführer oder die Ihrer Führungskräfte aussieht.
Wenn Sie nicht wissen, wo Sie anfangen sollen, ist ein neutraler Blick von außen oft der schnellste Weg. Wir schauen uns Ihre Mail-Konfiguration, Zugänge und Abläufe an und sagen Ihnen klar, wo die größten Lücken liegen. Das Ziel ist nicht Perfektion, sondern dass der nächste Betrugsversuch ins Leere läuft.
Häufige Fragen
Haftet jetzt jeder Mitarbeiter persönlich für Betrug per CEO-Fraud?
Nein, das lässt sich aus der Meldung nicht ableiten. Im Arbeitsrecht gelten grundsätzlich Haftungserleichterungen, die vom Grad des Verschuldens abhängen, und jeder Fall wird einzeln bewertet. Die Meldung zeigt aber, dass Gerichte Pflichtverletzungen bei Zahlungen ernst nehmen und dass bis hin zur fristlosen Kündigung Konsequenzen möglich sind.
Was genau ist CEO-Fraud?
Beim CEO-Fraud geben sich Betrüger als Geschäftsführer oder Vorgesetzte aus und veranlassen Mitarbeiter zu einer Überweisung, meist unter Zeitdruck und mit der Bitte um Verschwiegenheit. Das geschieht per E-Mail, Telefon oder Messenger. Die Täter nutzen dabei weniger technische Lücken als Autorität und Eile.
Reichen technische Maßnahmen allein aus?
Nein. Technik wie Mail-Authentifizierung, Zwei-Faktor-Anmeldung und Zahlungslimits nimmt Angreifern viele Möglichkeiten, ersetzt aber keine klaren Abläufe. Am besten wirken Technik, ein Vier-Augen-Prozess mit Rückruf und geschulte Mitarbeiter zusammen.
Was sollten wir tun, wenn ein Betrug bereits passiert ist?
Kontaktieren Sie sofort Ihre Bank und bitten Sie um Rückruf der Zahlung, denn die ersten Stunden sind entscheidend. Sichern Sie danach Beweise, erstatten Sie Anzeige und informieren Sie Ihre Versicherung. Prüfen Sie außerdem, ob Mailkonten kompromittiert wurden.
Lohnt sich das Vier-Augen-Prinzip auch für kleine Betriebe?
Ja, gerade dort. Kleine Teams arbeiten oft auf Zuruf und mit kurzen Dienstwegen, was Betrügern entgegenkommt. Schon eine einfache Regel, etwa die Freigabe durch eine zweite Person ab einem festgelegten Betrag im Online-Banking, senkt das Risiko spürbar und kostet kaum Aufwand.
Ist das ein Thema für die IT oder für die Geschäftsführung?
Für beide. Die IT sorgt für Mail-Sicherheit und Zugriffsschutz, aber über Zahlungsprozesse, Befugnisse und Kultur entscheidet die Geschäftsführung. Genau deshalb betrifft das Urteil nicht nur Fachabteilungen, sondern die Leitungsebene.