Kapitel 73: Identitätsdiebstahl des Geschäftsführers: Wenn der Chef eine dringende Überweisung verlangt

Im Laufe der langjährigen Tätigkeit eines Rechtsanwalts, der Opfer komplexer Betrugsfälle vertritt, lassen sich viele Muster erkennen, doch kaum eines ist so raffiniert und demütigend wie der "CEO-Betrug" (CEO Fraud). Während wir uns in den vorangegangenen Kapiteln mit technologischen Hacks oder Verbraucherbetrug befasst haben, betreten wir hier die Arena der Organisationspsychologie. Dies ist der Bereich, in dem die Bürohierarchie, der Respekt vor Vorgesetzten und der Wunsch, Effizienz zu beweisen, zu Waffen in den Händen eines geschickten Betrügers werden.

Der CEO-Betrug erfordert nicht notwendigerweise einen ausgefeilten Computercode. Er stützt sich auf ein tiefes Verständnis der menschlichen Natur. Die Betrüger "hacken" nicht nur den Computer; sie versuchen, in das Bewusstsein des Mitarbeiters einzudringen. Sie nutzen Druck, künstliche Dringlichkeit und Autorität, um eine Person dazu zu bewegen, eine Handlung auszuführen, die das Unternehmen enorme Summen kosten kann. In Gesprächen mit Finanzmanagern nach einem solchen Vorfall ist der erste Satz meist: "Es sah so echt aus, ich hatte keinen Grund, misstrauisch zu sein."

Das folgende Szenario ist ein Lehrbeispiel, das auf gängigen Betrugsmustern basiert. Die Charaktere und Ereignisse dienen lediglich der Veranschaulichung.

Der Morgen, an dem für "Technologien der Zukunft" die Welt zusammenbrach

Donnerstag, 16:30 Uhr. Dana, Buchhalterin bei "Technologien der Zukunft" – einem mittelständischen Unternehmen, das Komponenten für die Automobilindustrie herstellt – hatte bereits begonnen, die Woche abzuschließen. Die Büros leerten sich allmählich und sie plante, früh Feierabend zu machen. Dana ist eine gründliche, scharfsinnige Mitarbeiterin, die die finanziellen Aktivitäten des Unternehmens bestens kennt.

Das "Ding" der E-Mail unterbrach ihre Gedanken. Absender: "Eitan - Geschäftsführer". Eitan ist der Gründer und Geschäftsführer des Unternehmens. Er hielt sich in dieser Woche auf einer Fachkonferenz in Deutschland auf.

Betreff: Geheim und dringend – Strategischer Zukauf.

"Dana", stand in der Mail, "ich stecke hier in Deutschland mitten in einer sehr sensiblen Verhandlung. Wir stehen kurz davor, ein Patent von einem kleinen lokalen Unternehmen zu erwerben, bevor unsere Konkurrenten zugreifen können. Die Angelegenheit muss bis Sonntag unter absoluter Geheimhaltung bleiben, selbst die stellvertretenden Geschäftsführer wissen nichts davon. Ich muss, dass du eine dringende Überweisung in Höhe von 280.000 Euro auf das Treuhandkonto der deutschen Anwälte tätigst. Das muss noch heute raus, damit der Deal nicht platzt. Ruf mich nicht an, ich bin in nicht-öffentlichen Sitzungen mit deren Vorstand. Bestätige mir, sobald es erledigt ist."

Dana zögerte. Einerseits hatte Eitan sie nie zuvor per E-Mail um so etwas gebeten. Andererseits entsprach es seinem Stil – prägnant und autoritär. Die E-Mail kam von einer Adresse, die identisch mit seiner zu sein schien, und die Details über die Konferenz in Deutschland waren korrekt. Sie wollte ihn anrufen, aber er hatte ausdrücklich geschrieben: "Ruf mich nicht an".

Sie gab die deutschen Kontodaten in das Banksystem ein. Die Bank verlangte eine Bestätigung. Sie schaute erneut auf die E-Mail und sah das bekannte Logo des Unternehmens. Sie klickte auf "Bestätigen".

Am Sonntagmorgen kam Eitan ins Büro. "Wie war es in Deutschland?", fragte Dana, "hat mit dem Zukauf alles geklappt?". Eitan sah sie mit verwirrtem Blick an. "Welcher Zukauf, Dana? Die Konferenz war rein fachlicher Natur."

In diesem Moment wurde der Betrug offenbar. "Das ist nicht meine E-Mail", sagte er. Die Adresse war nahezu identisch, aber ein Buchstabe fehlte. Die Signatur war ein Screenshot. Die Geldsumme war verschwunden.

Die Anatomie des Betrugs: Warum funktioniert das?

Die Analyse solcher Fälle zeigt eine Kombination aus Social Engineering und einfacher Technologie. Manchmal führen die Betrüger eine vorab Informationsbeschaffung durch: Sie verfolgen die sozialen Netzwerke der Führungskräfte, lernen deren Reisepläne, den Schreibstil und erwerben eine Domain (Webadresse), die nahezu identisch mit der des Unternehmens ist. Ein Unterschied von einem Buchstaben, den ein gestresstes menschliches Auge möglicherweise nicht erkennt.

Die entscheidende Komponente sind Autorität und Dringlichkeit. Psychologische Analysen zeigen, dass Menschen dazu neigen, ihr kritisches Urteilsvermögen auszusetzen, wenn sie eine Anweisung von jemandem erhalten, der als autoritär wahrgenommen wird. Wenn ein Geschäftsführer etwas als "dringend und geheim" einstuft, fühlt sich der Mitarbeiter möglicherweise als Eingeweihter und hat Angst, den Deal zu enttäuschen oder zu verzögern.

Der Zeitpunkt des Betrugs ist meist Donnerstagnachmittag oder vor Feiertagen. Dies sind Zeiten, in denen die Konzentration nachlässt und der Druck wächst, Aufgaben abzuschließen. Zudem können internationale Überweisungen am Wochenende den Betrügern wertvolle Zeit verschaffen, bevor das Unternehmen den Betrug bemerkt.

Die rechtliche Verantwortung: Analyse der Optionen

Wenn finanzieller Schaden entsteht, stellt sich die Frage der rechtlichen Verantwortung zwischen den beteiligten Parteien: dem Unternehmen, der Bank und dem Mitarbeiter.

1. Verantwortung der Bank: Sorgfaltspflicht

In Israel haben Banken eine Sorgfaltspflicht gegenüber ihren Kunden. In einer allgemeinen juristischen Analyse lässt sich bei einer extrem ungewöhnlichen Transaktion auf dem Konto – beispielsweise eine Überweisung eines hohen Betrags auf ein bisher unbekanntes Auslandskonto – prüfen, ob die Bank "rote Flaggen" hätte erkennen müssen.

Dennoch ist der Rechtsstreit gegen die Bank in diesen Fällen komplex. Die Bank könnte argumentieren, dass der Kunde die Überweisung freiwillig und unter Verwendung korrekter Identifikationsmittel autorisiert hat. Um die Möglichkeit einer Haftung der Bank zu prüfen, muss untersucht werden, ob es verdächtige Umstände gab, die die Bank ignorierte. Eine juristische Analyse ähnlicher Fälle zeigt, dass eine Bank verpflichtet ist einzugreifen, wenn ein konkreter Verdacht auf Betrug besteht, doch die Hürde für den Nachweis von Fahrlässigkeit bei ausdrücklicher Genehmigung ist ein gewichtiges juristisches Thema, und das Ergebnis hängt von den Umständen des Einzelfalls ab.

2. Verantwortung des Mitarbeiters

In vielen Fällen stellt sich die Frage, ob der Mitarbeiter, der die Überweisung getätigt hat, haftbar gemacht werden kann. Der vorherrschende Ansatz im Arbeitsrecht ist der Schutz der Arbeitnehmer vor Fehlern, die in gutem Glauben während der Arbeit begangen wurden. Ein Arbeitgeber darf in der Regel keine Geldbeträge vom Gehalt eines Arbeitnehmers wegen Fahrlässigkeit einbehalten, es sei denn, es wird nachgewiesen, dass der Mitarbeiter vorsätzlich oder in grob bösem Glauben handelte. In Fällen von Betrug, bei denen der Mitarbeiter getäuscht wurde, wird er meist als weiteres Opfer des Vorfalls angesehen.

Der Umgang mit der Versicherung

Während der rechtlichen Bearbeitung solcher Fälle werden die Versicherungspolicen des Unternehmens geprüft, wie zum Beispiel eine "Berufshaftpflicht-" oder "Cyber-Risiko-Versicherung". Versicherungsgesellschaften könnten mitunter argumentieren, dass es sich um einen menschlichen Fehler und nicht um ein durch die Police abgedecktes Cyber-Ereignis handele. Es gibt Policen, die eine ausdrückliche Klausel für "Social Engineering Fraud" enthalten. Die Fähigkeit, eine Entschädigung zu erhalten, hängt stark von der präzisen Formulierung der Police und den technologischen Umständen des Identitätsdiebstahls ab.

Was ist im Moment der Entdeckung zu tun? (Mögliche Maßnahmen)

Bei Verdacht auf Betrug kann jede Sekunde entscheidend sein:

1. Kontaktaufnahme mit der zahlenden Bank

Man kann versuchen, einen Widerruf (Recall) für die Überweisung zu beantragen. Wenn das Geld noch nicht die gesamte Kette der Korrespondenzbanken durchlaufen hat, besteht eine gewisse Chance, es zu stoppen.

2. Meldung an die Behörden

Die Erstattung einer Strafanzeige bei der Polizei ist ein notwendiger Schritt für den Umgang mit Banken und Versicherungsgesellschaften.

3. Kontaktaufnahme mit der empfangenden Bank im Ausland

In einigen Fällen kann eine direkte Kontaktaufnahme mit der Compliance-Abteilung der empfangenden Bank im Ausland und der Hinweis auf Betrug zu einer vorübergehenden Einfrierung des Kontos führen.

4. Dokumentation

Es ist wichtig, die E-Mail, ihre Header-Informationen und alle anderen digitalen Daten zu speichern, die für eine Untersuchung oder ein Gerichtsverfahren nützlich sein könnten.

Empfohlene Präventionsmaßnahmen

Um das Risiko, Opfer dieser Betrügereien zu werden, zu minimieren, empfiehlt es sich, klare Verfahren im Unternehmen einzuführen:

• "Telefonische Verifizierung": Festlegung einer Regel, nach der jede Überweisung über einen bestimmten Betrag oder Änderungen an Kontodaten eine telefonische Verifizierung durch einen Rückruf unter der bekannten Nummer des Antragstellers erfordern.
• Doppelte Unterschrift: Festlegung der Anforderung einer Genehmigung durch zwei verschiedene Zeichnungsberechtigte für jede Banküberweisung.
• Kennzeichnung externer E-Mails: Konfiguration des E-Mail-Systems so, dass es vor E-Mails warnt, die von außerhalb des Unternehmens stammen.
• Schulung und Übung: Sensibilisierung der Mitarbeiter für Betrugsarten und Durchführung regelmäßiger Übungen.

Fazit und juristischer Ausblick

Der CEO-Betrug veranschaulicht, wie psychologische Manipulation Technologie einsetzt, um kriminelle Ergebnisse zu erzielen. In Gerichtsverfahren in diesem Bereich taucht häufig die Frage des "Mitverschuldens" auf. Die Gerichte prüfen, ob das Unternehmen ein angemessenes Maß an Sorgfalt an den Tag gelegt hat und ob die Finanzinstitute gemäß den von ihnen erwarteten Standards gehandelt haben.

In vielen Fällen ist die vollständige Rückgewinnung der Gelder eine erhebliche Herausforderung, insbesondere bei internationalem Betrug. Der beste Schutz ist eine Kombination aus strengen organisatorischen Abläufen, angemessener Versicherung und ständiger Wachsamkeit. Im nächsten Kapitel werden wir die Geschäftswelt weiter untersuchen und uns auf weitere Bedrohungen für die E-Mail- und Zahlungssysteme von Unternehmen konzentrieren.

Warnsignale (Red Flags)

• Extreme Dringlichkeit: Druck, eine Handlung sofort auszuführen.
• Bitte um Geheimhaltung: Anweisung, keine weiteren Personen im Unternehmen einzubeziehen.
• Abweichung vom Verfahren: Direkte Ansprache, die die übliche Managementhierarchie umgeht.
• E-Mail-Adresse mit minimaler Abweichung: Kleine Änderungen in der Absenderadresse, die schwer zu erkennen sind.
• Besonderes Timing: Eine Anfrage, die erfolgt, wenn sich die Führungskraft außerhalb des Büros oder im Ausland befindet.

Was ist sofort zu tun?

1. Prozess stoppen: Nicht auf die verdächtige E-Mail antworten.
2. Telefonische Verifizierung: Ein initiierter Telefonkontakt mit der Führungskraft unter der bekannten Nummer.
3. Interne Meldung: Information der Sicherheits-, IT- und Finanzabteilungen im Unternehmen.

Juristischer Aspekt

Aus rechtlicher Sicht lässt sich die Sorgfaltspflicht des Finanzinstituts und der Versicherungsschutz des Unternehmens prüfen. In manchen Fällen kann die Kombination von rechtlichen Schritten gegen die Bank und gegen die Versicherungsgesellschaft in Betracht gezogen werden, um die Möglichkeiten zur Schadenswiedergutmachung auszuschöpfen, je nach den spezifischen Umständen des Falls.