Der «CEO-Betrug», auch Chef-Betrugsmasche genannt, ist ein Klassiker der Wirtschaftskriminalität. Das Prinzip: Ein Betrüger gibt sich als Führungskraft des Unternehmens aus und weist einen Mitarbeitenden, oft in der Buchhaltung, an, eine dringende und vertrauliche Überweisung auszuführen. Bislang war die gefälschte E-Mail die wichtigste Waffe. Heute verändert die künstliche Intelligenz die Ausgangslage.

Das Nationale Zentrum für Cybersicherheit (NCSC) hat diese Bedrohung Anfang 2026 zum Thema einer seiner wöchentlichen Warnungen gemacht. Die von ihm veröffentlichten Zahlen verdienen die Aufmerksamkeit der Geschäftsleitungen von KMU.

Eine stark zunehmende Bedrohung

Laut NCSC gehört der CEO-Betrug zu den am häufigsten gemeldeten Betrugsarten in der Schweiz. Die Zahl der gemeldeten Fälle stieg von einem Jahr auf das andere von 719 auf 971, ein Anstieg um rund 35 %. Diese Entwicklung spiegelt sowohl eine Intensivierung der Angriffe als auch ein wachsendes Bewusstsein für das Phänomen wider.

Vor allem aber entwickelt sich die Methode weiter. Die Betrüger begnügen sich nicht mehr mit gefälschten E-Mails: Sie nutzen zunehmend den Messengerdienst WhatsApp oder das Telefon, Kanäle, auf denen die Überprüfung schwieriger und der psychologische Druck grösser ist.

Der Wendepunkt des Stimmenklonens

Am beunruhigendsten ist der Einsatz künstlicher Intelligenz. Ein Deepfake bezeichnet einen von künstlicher Intelligenz erzeugten Inhalt (Bild, Video oder Stimme), der eine reale Person täuschend echt nachahmt. Auf die Stimme angewendet, erlaubt das Verfahren, Klangfarbe und Betonung einer Führungskraft aus einigen wenigen Aufnahmen zu reproduzieren, etwa einem Interview, einer Online-Konferenz oder einer einfachen Sprachnachricht.

Das NCSC nennt einen konkreten Fall aus dem Kanton Schwyz: Dort verlor ein Unternehmen mehrere Millionen Franken infolge gefälschter Anrufe und Sprachnachrichten, die die Stimme eines Verantwortlichen nachbildeten. Der Mitarbeitende, der den Anruf erhält, hört eine Stimme, die er zu kennen glaubt, in einem Kontext der Dringlichkeit, und führt die Aufforderung aus, ohne etwas zu ahnen.

Das NCSC hatte bereits im Sommer 2025 vor dem Einsatz von KI gewarnt, um Bild und Stimme von Persönlichkeiten des öffentlichen Lebens in online verbreiteten Betrugsmaschen zu missbrauchen. Dieselbe Technologie dient nun dazu, Unternehmen direkt ins Visier zu nehmen.

Warum KMU besonders exponiert sind

Häufig wird angenommen, diese Art von Betrug ziele auf grosse Konzerne. Das ist ein Irrtum. In einem KMU sind die Entscheidungswege kurz und informell, die Beziehung zur Geschäftsleitung ist direkt, und es fällt einem Mitarbeitenden mitunter schwer, einen Befehl «von oben» in Frage zu stellen. Genau diese Merkmale nutzen die Betrüger aus: Autorität, Dringlichkeit und Vertraulichkeit, drei Hebel, die das Nachdenken kurzschliessen.

Zudem verfügt ein KMU nur selten über strenge schriftliche Verfahren zur Freigabe einer aussergewöhnlichen Zahlung. Es ist gerade das Fehlen eines Sicherheitsnetzes, das den Unterschied zwischen einem abgewehrten Versuch und einem reinen Verlust ausmacht.

Was Sie ab sofort tun können

Die gute Nachricht ist, dass die wichtigste Abwehrmassnahme nichts kostet und auf der Organisation beruht, nicht auf der Technik. Das NCSC empfiehlt das Vier-Augen-Prinzip (oder Zwei-Personen-Prinzip): Jede wichtige Zahlung und jede Änderung sensibler Daten, etwa eine Änderung der Bankverbindung eines Lieferanten, muss gemeinsam von zwei Personen freigegeben werden.

Hinzu kommen einige einfache Regeln. Überprüfen Sie eine dringende Anfrage stets über einen bekannten und anderen Kanal: Rufen Sie die Führungskraft auf ihrer üblichen Nummer zurück, und antworten Sie niemals auf die in der verdächtigen Nachricht angegebene Nummer. Legen Sie gegenüber Ihren Teams klar fest, dass kein Sicherheitsverfahren umgangen werden darf, auch nicht auf Anweisung der Geschäftsleitung. Eine Stimme beweist heute nicht mehr die Identität des Gegenübers.

Fazit

Der CEO-Betrug durch Stimmenklonen zeigt, dass Cybersicherheit nicht mehr allein eine Frage von Firewalls und Virenschutz ist, sondern auch von menschlichen Prozessen. Die Einführung des Vier-Augen-Prinzips und von Überprüfungsregeln liegt in der Reichweite jedes KMU und ist eine unverzichtbare erste Verteidigungslinie. Doch jedes Unternehmen hat seine eigenen Finanzflüsse, seine Ansprechpartner und seine Gewohnheiten. Verfahren zu definieren, die wirklich auf Ihre Organisation zugeschnitten sind, Ihre Teams in den richtigen Reflexen zu schulen und deren Belastbarkeit zu testen, erfordert eine massgeschneiderte Begleitung, denn genau dort entscheidet sich der Unterschied zwischen einer bloss ausgehängten Regel und einem Schutz, der wirklich funktioniert.