Die Chef-Masche:
gefälschte Eil-Mails, die zur Überweisung drängen

Wie die Chef-Masche funktioniert

Am Anfang steht Recherche, nicht Technik. Die Täter sammeln öffentlich verfügbare Informationen: Wer leitet den Betrieb, wer arbeitet in der Buchhaltung, wie schreibt man dort, wann ist die Geschäftsführung erkennbar unterwegs? Vieles davon steht auf der eigenen Website, in sozialen Netzwerken oder in Pressemitteilungen — frei zugänglich für jeden.

Mit diesem Wissen wird die Nachricht gebaut: eine Mail, die aussieht, als käme sie von der Geschäftsführung, mit der richtigen Anrede, dem passenden Ton und einem glaubwürdigen Anlass. Oft trifft sie genau dann ein, wenn die echte Führungsperson tatsächlich schwer erreichbar ist — auf Reisen, im Urlaub, in einer Messewoche. Diese Lücke ist kein Zufall, sondern Teil der Vorbereitung.

Der Rest ist Inszenierung. Die Bitte ist dringend und vertraulich, der normale Freigabeweg wird mit einem Vorwand übersprungen, und auf jede Rückfrage folgt weiterer Druck. Geht das Geld einmal raus, ist es über mehrere Stationen oft schnell außer Reichweite. Genau deshalb setzt der Trick alles daran, die eine Sekunde des Zögerns zu verhindern.

Die drei psychologischen Hebel

Die Chef-Masche ist im Kern keine technische, sondern eine psychologische Methode. Sie zieht an drei Hebeln gleichzeitig — und ihre Wirkung entsteht aus der Kombination.

Autorität

Eine Bitte „von ganz oben" wird seltener hinterfragt. Wer eine Anweisung der Geschäftsführung bekommt, ist darauf trainiert, sie auszuführen, nicht zu prüfen. Die Täter nutzen diesen eingeübten Respekt aus — je steiler die Hierarchie, desto wirksamer.

Zeitdruck

Eile schaltet das ruhige Nachdenken aus. „Es muss heute noch raus" lässt keinen Raum für den Weg zur Kollegin, für die Rückfrage, für das Innehalten. Der Druck ist kein Beiwerk, sondern der eigentliche Wirkstoff: Er soll verhindern, dass die normale Sorgfalt greift.

Geheimhaltung

Die Bitte um Diskretion isoliert das Opfer. Wer glaubt, an einer vertraulichen, wichtigen Sache beteiligt zu sein, holt keine zweite Meinung ein — und genau das ist gewollt. Die Geheimhaltung schaltet die soziale Kontrolle aus, die den Betrug sonst sofort auffliegen ließe.

Wer diese drei Hebel kennt, hat den besten Schutz bereits verinnerlicht: Sobald eine Bitte gleichzeitig dringend, von oben und geheim ist, sollte nicht die Hilfsbereitschaft anspringen, sondern die Aufmerksamkeit. Diese Kombination ist im seriösen Alltag selten — bei der Masche ist sie die Regel.

Die häufigsten Varianten

Die Grundidee bleibt gleich, das Kostüm wechselt. Vier Varianten begegnen Betrieben besonders häufig.

• Die klassische Chef-Mail: die Geschäftsführung bittet vertraulich um eine eilige Überweisung
• Der falsche Lieferant: ein angeblich bekannter Partner meldet eine „neue Bankverbindung" für die nächste Rechnung
• Der Anruf als Verstärkung: ein vermeintlicher Anwalt oder Berater ruft an und bestätigt die Dringlichkeit der Mail
• Die Kurznachricht: eine SMS oder Messenger-Nachricht von einer neuen Nummer, angeblich der private Draht des Chefs

Besonders tückisch ist die Lieferanten-Variante, weil sie sich in einen echten, laufenden Geschäftsvorgang einklinkt. Die Rechnung ist real, nur die Bankverbindung wurde untergeschoben. Jede Änderung einer hinterlegten Kontoverbindung verdient deshalb dieselbe Vorsicht wie eine spontane Eil-Überweisung — sie ist eine der häufigsten Einfallstüren. Wie eng diese Maschen mit gefälschten Forderungen verwandt sind, zeigt der Beitrag zur Domain-Rechnung-Masche.

Die Warnsignale im Detail

Kein einzelnes Signal beweist einen Betrug — aber das Zusammenkommen mehrerer ist ein deutliches Alarmzeichen. Diese Punkte tauchen bei der Chef-Masche immer wieder auf.

Im Inhalt

Ungewöhnliche Dringlichkeit, die Bitte um Vertraulichkeit, das Umgehen des normalen Wegs, eine Mischung aus Druck und Schmeichelei („nur Ihnen vertraue ich das an"). Auffällig ist auch, wenn ausgerechnet der sonst übliche Rückfrage-Kanal als gerade nicht verfügbar dargestellt wird.

Im Absender

Eine Adresse, die der echten nur ähnelt — ein vertauschter Buchstabe, eine andere Endung, eine erst kürzlich angelegte Adresse. Manchmal stimmt der angezeigte Name, aber die dahinterliegende Adresse weicht ab. Ein Blick auf die tatsächliche Absenderadresse, nicht nur den angezeigten Namen, deckt viele Fälschungen auf.

Im Detail der Forderung

Eine neue, unbekannte Bankverbindung, ein ungewöhnliches Zielland, ein Betrag knapp unterhalb einer internen Freigabegrenze, eine Begründung, die jede genauere Nachfrage abschneidet. Wer diese Details ernst nimmt, statt sie unter Zeitdruck zu übergehen, hat die Masche meist schon erkannt.

Die Regel, die den Trick aushebelt

So vielfältig die Varianten sind — sie haben eine gemeinsame Schwachstelle: Sie funktionieren nur, solange eine einzelne Person allein und schnell entscheidet. Genau hier setzt die wirksamste Maßnahme an, und sie ist kein teures Werkzeug, sondern eine feste Regel.

Vier Augen über einen zweiten Kanal

Zahlungen ab einer festgelegten Höhe und jede Änderung einer Bankverbindung werden grundsätzlich von zwei Personen bestätigt — und die Bestätigung läuft über einen zweiten, unabhängigen Kanal. Nicht per Antwort auf dieselbe Mail, sondern per Rückruf an eine bekannte, vorher hinterlegte Nummer. Dieser Medienbruch ist der Kern: Der Täter kontrolliert die Mail, aber nicht den Telefonanschluss der echten Person.

Ausnahmslos, gerade bei Eile

Die Regel wirkt nur, wenn sie keine Ausnahmen kennt. „Diesmal ist es wirklich dringend" ist genau der Satz, mit dem die Masche die Regel aushebeln will. Eine gute Freigabe-Regel ist deshalb so formuliert, dass Eile sie nicht aufhebt, sondern bestätigt — je dringender, desto wichtiger die Gegenprüfung.

Rückendeckung von oben

Entscheidend ist, dass die Geschäftsführung selbst die Regel vorlebt und ausdrücklich wünscht, hinterfragt zu werden. Wer einmal klar sagt „Prüft jede solche Bitte nach, auch wenn sie von mir zu kommen scheint — ich nehme euch das nie übel", nimmt der Masche ihren stärksten Hebel: die Angst, eine Anweisung von oben zu hinterfragen.

Technische Flankierung

Der Prozess ist die Hauptverteidigung — Technik senkt die Zahl der Versuche, die überhaupt ankommen. Beides zusammen ergibt den robusten Schutz; eines allein bleibt lückenhaft.

E-Mail-Authentifizierung

Mit korrekt eingerichteten Authentifizierungs-Standards wird es für Täter schwer, exakt die echte Firmenadresse zu fälschen. Sie weichen dann auf ähnlich aussehende Adressen aus — was die Erkennung erleichtert, weil die Absenderadresse nicht mehr stimmt. Wie diese Standards funktionieren, vertieft der Beitrag zu Phishing mit der eigenen Firmen-Adresse.

Markierung externer Mails

Ein dezenter Hinweis, der jede von außen kommende Mail kennzeichnet, hilft enorm: Wenn die vermeintliche Chef-Mail sichtbar von außerhalb des Betriebs stammt, fällt die Fälschung sofort auf. Diese Einstellung ist mit wenig Aufwand umsetzbar und im Alltag erstaunlich wirksam.

Saubere Zugänge

Wo Täter ein echtes Postfach übernehmen, wirkt keine Absender-Prüfung mehr — dann kommt die Mail tatsächlich von der richtigen Adresse. Deshalb gehören abgesicherte Zugänge zur Grundausstattung; warum geteilte Passwörter dabei das größte Risiko sind, behandelt der Beitrag zu geteilten Passwörtern im Betrieb.

Wenn das Geld schon weg ist

Trotz aller Vorsicht kann es passieren — und dann zählt jede Minute. Wichtig ist, schnell und ohne Schuldzuweisung zu handeln. Wer einer professionell gemachten Masche aufsitzt, ist Opfer, nicht Täter.

1. Sofort die Bank kontaktieren: um Rückruf der Überweisung bitten — bei schnellem Eingreifen lässt sich der Betrag manchmal noch stoppen.
2. Intern melden: Geschäftsführung und gegebenenfalls die für Sicherheit verantwortliche Person umgehend informieren.
3. Dokumentieren: die betrügerische Mail, Zeitpunkte und alle Schritte festhalten — als Grundlage für Bank und Behörden.
4. Anzeige erstatten: bei der Polizei melden; spezialisierte Stellen können bei grenzüberschreitenden Fällen weiterhelfen.
5. Team warnen: den Versuch offen teilen, damit niemand sonst auf eine zweite, nachgeschobene Mail hereinfällt.

Der offene Umgang ist entscheidend. Wird ein Vorfall verschwiegen, lernt niemand daraus, und der nächste Versuch trifft auf dieselbe Lücke. Wer dagegen ruhig und transparent reagiert, schützt nicht nur das Geld, sondern auch das Vertrauen — wie wichtig der Außen-Eindruck dabei ist, zeigt der Beitrag zur eigenen Online-Reputation.

Die fünf Annahmen, die teuer werden

Nicht die Technik der Täter macht die Masche erfolgreich, sondern verbreitete Annahmen auf der Gegenseite. Diese fünf sind die gefährlichsten.

Annahme 2 und 4 sind die teuersten — sie schalten genau die Sorgfalt aus, die den Betrug sonst stoppen würde.