Es gibt eine Kategorie von Angriffen, gegen die Ihr Antivirenprogramm absolut nichts ausrichten kann. Sie nutzt keine Softwarelücke aus, legt keine verdächtige Datei ab und löst keinen Alarm aus. Sie nutzt etwas weit Schwierigeres aus: das Vertrauen, das ein Mitarbeitender einer Nachricht schenkt, die scheinbar von seinem Chef stammt.
CEO-Betrug und sein Verwandter, der Betrug durch falsche Lieferanten, zielen direkt auf die Buchhaltung von KMU. Das Ergebnis ist keine verschlüsselte Datei, sondern eine Überweisung, die freiwillig getätigt und von einer Person im Unternehmen freigegeben wurde, auf ein Konto, das innerhalb einer Stunde geleert wird.
Wie läuft der Angriff konkret ab?
Das Szenario ist fast immer dasselbe, und es beginnt lange vor der ersten Nachricht.
Der Betrüger untersucht zunächst Ihr Unternehmen. Ihre öffentliche Website liefert ihm den Namen der Geschäftsleitung, den der Finanzverantwortlichen, manchmal das vollständige Organigramm und das Format der E-Mail-Adressen. Berufliche Netzwerke vervollständigen das Bild. Eine Urlaubsankündigung, eine Fachmesse oder ein Beitrag über eine Geschäftsreise verraten ihm den richtigen Zeitpunkt.
Dann kommt die Nachricht. Sie stammt von einer Adresse, die der echten sehr ähnlich ist, mit einem geänderten Buchstaben oder einer leicht abweichenden Domain, oder aus einem tatsächlich gehackten Postfach. Der Ton ist der einer unter Druck stehenden Geschäftsleitung. Die Anfrage ist klar, der Betrag glaubwürdig, die Frist kurz.
Schliesslich baut sich der Druck auf. Zögert der Mitarbeitende, meldet sich der Betrüger erneut, beantwortet Einwände, fügt einen falschen Anwalt oder Notar in das Gespräch ein. Jeder Austausch dient demselben Ziel: die Überprüfung über einen anderen Kanal zu verhindern.
Die Buchhalterin erhält eine E-Mail, unterzeichnet von der Geschäftsleitung, die am Vortag auf Geschäftsreise gegangen ist. «Hallo Sandra, ich bin den ganzen Tag im Ausland in Sitzungen, ich kann nur schwer telefonieren. Wir schliessen die Übernahme eines Konkurrenten ab und ich muss heute eine Anzahlung leisten. Das ist streng vertraulich, der Verwaltungsrat ist noch nicht informiert, bitte sprechen Sie vorerst mit niemandem darüber. Unser Anwalt wird Ihnen die Daten übermitteln. Ich zähle auf Sie.» Die Adresse ähnelt der der Geschäftsleitung, bis auf einen Buchstaben. Zwanzig Minuten später schickt ein «Anwalt» eine ausländische IBAN und erinnert daran, dass die Frist um 17 Uhr abläuft. Alles ist vorhanden: eine Autorität, die man nicht anzweifelt, eine Dringlichkeit, die kein Warten erlaubt, ein Geheimnis, das verbietet, einen Kollegen um Bestätigung zu bitten.
Die unauffälligste Variante: der falsche Lieferant
Der Betrug durch falsche Lieferanten ist weniger spektakulär und oft wirksamer. Hier gibt sich der Betrüger nicht als Chef aus, sondern als ein Unternehmen, mit dem Sie seit Jahren zusammenarbeiten.
Die Nachricht kündigt eine Änderung der Bankverbindung an: neue Bank, interne Umstrukturierung, Wechsel der Factoring-Gesellschaft. Die Rechnung ist manchmal echt, aus einem gehackten Postfach abgefangen und dann mit nur einem geänderten Element erneut versendet: der IBAN.
Diese Variante ist aus drei Gründen gefährlich. Sie enthält keine ungewöhnliche Dringlichkeit, da es sich um eine Zahlung handelt, die Sie ohnehin erwartet haben. Sie betrifft oft übliche Beträge, die keinen Alarmschwellenwert auslösen. Und sie bleibt häufig wochenlang unentdeckt, bis der echte Lieferant seine erste Zahlungserinnerung schickt.
Das ist der Fehler, der die gesamte Überprüfung zunichtemacht. Die Telefonnummer in der E-Mail oder auf der geänderten Rechnung gehört dem Betrüger, der selbstsicher antworten und die Änderung bestätigen wird. Verwenden Sie ausschliesslich die Nummer, die Sie bereits hatten: die aus Ihrer Lieferantendatei, aus einem unterschriebenen Vertrag oder aus früherer Korrespondenz. Dieselbe Regel gilt für die Telefonnummer der Geschäftsleitung.
Warum funktioniert das? Autorität, Dringlichkeit, Geheimhaltung
Diese Angriffe gelingen nicht, weil Mitarbeitende nachlässig sind. Sie gelingen, weil sie drei Mechanismen aktivieren, die wir alle in uns tragen und die sich gegenseitig verstärken.
Autorität. Eine Nachricht der Geschäftsleitung wird nicht auf dieselbe Weise hinterfragt wie eine Anfrage eines Kollegen. Ablehnen bedeutet, ein persönliches Risiko einzugehen. Um eine Bestätigung zu bitten bedeutet implizit, das Wort des Chefs anzuzweifeln. In einem kleinen Unternehmen mit flacher Hierarchie wiegt das noch schwerer.
Dringlichkeit. Die kurze Frist nimmt die Zeit zum Nachdenken. Und genau in dieser Zeit entsteht der Zweifel. Eine Anfrage, die vor 17 Uhr erledigt sein muss, lässt keinen Raum für ein «ich prüfe das morgen früh».
Geheimhaltung. Das ist der wichtigste und aufschlussreichste Hebel. Die Anweisung zur Vertraulichkeit hat nur eine Funktion: die Zielperson zu isolieren. Solange sie mit niemandem sprechen kann, kann ihr auch niemand widersprechen. Eine legitime Anfrage verbietet es Ihnen nie, mit einem Bürokollegen darüber zu sprechen.
Diese drei Hebel gehören zum Social Engineering, derselben Familie von Techniken wie Phishing. Der Unterschied liegt im Grad der Vorbereitung: Hier kennt der Betrüger Ihr Unternehmen namentlich.
Was zeigen die Schweizer Zahlen?
Betrug ist keine Randerscheinung. Im zweiten Halbjahr 2025 machte er 52 % aller beim Nationalen Zentrum für Cybersicherheit eingegangenen Meldungen aus, das sind 15’090 Betrugsmeldungen. Die Gesamtzahl der freiwilligen Cybervorfall-Meldungen belief sich 2025 auf 64’733, gegenüber 62’954 im Jahr 2024. Diese Reihen und ihre Erhebungsmethode sind auf unserer Seite zur Cyberkriminalität in der Schweiz in Zahlen dargestellt.
Beim CEO-Betrug im Besonderen meldeten Schweizer Unternehmen im ersten Halbjahr 2025 605 Fälle an das NCSC, eine Rekordzahl, gefolgt von 366 Fällen im zweiten Halbjahr. Zusammengerechnet ergibt das für die beiden veröffentlichten Perioden 971 gemeldete Fälle für das Jahr. Diese Daten stammen aus dem Halbjahresbericht 2025/II des NCSC, veröffentlicht am 30. März 2026.
Was diese Zahlen einer KMU-Geschäftsleitung sagen, ist einfach. Betrug ist zur häufigsten Kategorie gemeldeter Vorfälle in der Schweiz geworden, weit vor den rein technischen Angriffen, über die häufiger gesprochen wird. Anders gesagt: Das heute am stärksten beanspruchte Glied ist nicht Ihre Firewall, sondern die Person, die Ihre Zahlungen vorbereitet. Und ein Punkt verdient Beachtung: Es handelt sich ausschliesslich um freiwillig gemeldete Fälle. Viele Unternehmen melden nichts, aus Verlegenheit oder aus Angst um ihren Ruf. Die tatsächliche Grössenordnung liegt daher höher.
Die organisatorischen Massnahmen, die den Angriff verhindern
Kein technisches Werkzeug löst dieses Problem allein. Ein Spamfilter verringert das Volumen, eine Zwei-Faktor-Authentifizierung begrenzt kompromittierte Postfächer, doch die letzte Nachricht bleibt technisch eine vollkommen legitime E-Mail. Der Schutz ist verfahrensbasiert.
| Massnahme | In der Praxis | Was sie verhindert |
|---|---|---|
| Doppelte Freigabe | Jede Überweisung oberhalb eines festgelegten Schwellenwerts erfordert zwei unterschiedliche Personen, davon eine, die die ursprüngliche Anfrage nicht erhalten hat | Die Manipulation einer einzelnen, isolierten Person |
| Rückruf unter bekannter Nummer | Jede ungewöhnliche Anfrage wird telefonisch bestätigt, unter der Nummer aus der internen Datei, nie der aus der Nachricht | Die Identitätstäuschung per E-Mail |
| Schriftlich festgelegter Betragsschwellenwert | Ein Höchstbetrag, ab dem automatisch das verstärkte Verfahren gilt, ohne persönlichen Ermessensspielraum | Die Verhandlung und der Druck auf den Mitarbeitenden |
| Kontrolle von IBAN-Änderungen | Jede Änderung der Bankverbindung folgt einem formellen Verfahren mit mündlicher Bestätigung und Validierung durch eine dritte Person | Der Betrug durch falsche Lieferanten |
| Recht, Nein zu sagen | Eine schriftliche, von der Geschäftsleitung kommunizierte Regel: Kein Mitarbeitender wird für eine Überprüfung sanktioniert | Der Autoritätshebel |
Diese letzte Zeile wird am häufigsten vergessen, und sie ist vielleicht die wirksamste. Solange die Überprüfung einer Anweisung des Chefs unhöflich wirkt, wird das Verfahren umgangen, sobald der Druck steigt. Es ist Aufgabe der Geschäftsleitung, und nur ihrer, diese soziale Hürde zu beseitigen. Der Satz, der verbreitet werden sollte, ist einfach: «Wenn Sie mich anrufen, um eine Zahlung zu überprüfen, machen Sie genau Ihre Arbeit.»
«Jede Zahlungsanforderung, die dringend, vertraulich oder an ein neues Konto gerichtet ist, wird vor der Ausführung telefonisch unter einer bekannten Nummer bestätigt.» Das Wort «vertraulich» muss zu einem Alarmsignal werden, nicht zu einem Grund zu schweigen. Eine kurze, ausgehängte Regel wird angewendet; ein zwölfseitiges Reglement in einem Ordner nicht.
Was tun, wenn die Überweisung schon getätigt wurde?
Die ersten Stunden entscheiden über alles. Handeln Sie in dieser Reihenfolge, ohne zu warten, bis Sie verstanden haben, was passiert ist.
Rufen Sie zuerst sofort Ihre Bank an und verlangen Sie den Rückruf der Gelder. Das ist die einzige Massnahme, mit der das Geld noch zurückgeholt werden kann, und ihr Zeitfenster ist auf Stunden begrenzt. Erstatten Sie anschliessend Anzeige bei der Kantonspolizei. Melden Sie den Fall dem NCSC über dessen Online-Formular, das die nationale Erkennung unterstützt. Prüfen Sie schliesslich, ob das Postfach eines Mitarbeitenden oder eines Lieferanten kompromittiert wurde, denn eine E-Mail-Kompromittierung bedeutet oft, dass weitere Betrugsfälle vorbereitet werden.
Ein Wort zur internen Haltung. Die Person, die die Überweisung freigegeben hat, ist ein Opfer, keine Schuldige. Fragen der individuellen Verantwortung hängen von internen Anweisungen, der erhaltenen Schulung und den konkreten Umständen ab; sie fallen in den Bereich des Arbeitsrechts und verdienen vor jeder Entscheidung den Rat einer Rechtsberatung. In der Praxis bewirkt eine strafende Reaktion vor allem eines: Das nächste Mal wird der Alarm zu spät kommen.
Womit diese Woche beginnen
Drei Massnahmen reichen aus, um das Risiko deutlich zu senken, und keine davon erfordert ein IT-Budget.
Schreiben Sie Ihr Zahlungsverfahren auf einer Seite nieder, mit einem festen Betragsschwellenwert und der Rückrufregel. Kommunizieren Sie es persönlich an die betroffenen Personen und betonen Sie dabei das Recht zur Überprüfung. Testen Sie es anschliessend: Senden Sie selbst eine ungewöhnliche Anfrage und beobachten Sie, ob jemand Sie zurückruft.
Aktivieren Sie parallel dazu die Zwei-Faktor-Authentifizierung für alle E-Mail-Konten des Unternehmens, wodurch der am häufigsten genutzte Zugangsweg für diese Angriffe unterbrochen wird, und planen Sie eine regelmässige Sensibilisierung Ihrer Teams. Beginnen Sie an der Spitze: Die Geschäftsleitung ist das primäre Ziel dieser Art von Betrug, und sie ist es auch, die ihren Mitarbeitenden die Überprüfung erlaubt, wie wir in die Geschäftsleitung zuerst schulen erläutern. Stellen Sie schliesslich sicher, dass Ihr Reaktionsplan vor dem Vorfall bereitsteht, wie in unserem Artikel zu den ersten Stunden nach einem Angriff beschrieben.
Um Ihre Gesamtexposition einzuschätzen, enthält der Cyber-Check-up mehrere Fragen zu Zahlungsverfahren. Die weiteren Angriffe, die auf Ihre Mitarbeitenden zielen, sind im Themenbereich Bedrohungen zusammengefasst, und der Schutz Ihrer Daten im Falle eines Vorfalls hängt auch von der 3-2-1-Backup-Regel sowie von Ihren nDSG-Pflichten ab.