Jede Kontrolle hat funktioniert. Das Geld ist trotzdem weg.

Deine Governance kann einwandfrei funktionieren und das Geld trotzdem an einen Kriminellen schicken. Regeln prüfen, ob ein Prozess eingehalten wurde. Ob der Mensch, der ihn angestoßen hat, echt war, prüfen sie nicht.

Ein ganz normaler Dienstag

Der Finanzvorstand ist zwischen zwei Terminen, als das Telefon klingelt. Im Display steht die Nummer des CEO. Die Stimme ist ruhig, etwas gehetzt und klingt genau richtig. Der CEO ist im Ausland, die Verbindung ist schlecht, und eine vertrauliche Transaktion muss noch heute freigegeben werden. Die Gesellschafter haben bereits zugestimmt.

Nichts daran ist ungewöhnlich. Die Reise ist im Unternehmen bekannt, und eilige Entscheidungen hat es schon öfter gegeben. Der Finanzvorstand prüft die Unterlagen, holt die zweite Freigabe ein und gibt die Zahlung frei. Jeder Schritt des Prozesses wird eingehalten.

Tage später erfährt das Unternehmen, dass der CEO nie angerufen hat. Eine Software hatte die Stimme aus öffentlichen Aufnahmen erzeugt. Die Angreifer wussten von der Reise und kannten den Ton, in dem die beiden Führungskräfte miteinander sprechen.

Mit dieser Szene beginnt ein aktueller Beitrag zweier forensischer Prüfer von Rödl in Der Betrieb (Meinrad/Riexinger, DB 2026, 2408). Sie beruht auf einem realen Fall, über den öffentlich berichtet wurde.

Der Prozess war korrekt, die Prämisse falsch

Es lohnt sich, genau hinzusehen, was versagt hat. Das Vier-Augen-Prinzip hat nicht versagt, denn zwei Personen haben freigegeben. Die Kompetenzmatrix hat nicht versagt, denn der Finanzvorstand darf diesen Betrag freigeben. Auch der Freigabe-Workflow hat nicht versagt: Jedes Feld ist ausgefüllt, und jede Unterschrift liegt vor. Ein Prüfer würde nichts zu beanstanden finden.

Der Fehler lag vor dem ersten Schritt. Jede Kontrolle ging davon aus, dass der Auftrag vom CEO kam. Niemand hat diese Annahme überprüft, weil der Prozess an keiner Stelle danach fragt.

Die zweite Freigabe macht es noch schlimmer. Wer sie erteilt hat, hat nicht mit dem "CEO" gesprochen, sondern freigegeben, weil der Finanzvorstand darum gebeten hat, und dem vertraut man. Aus einer einzigen falschen Identität am Anfang werden so am Ende zwei echte Unterschriften. Das Vier-Augen-Prinzip prüft die Transaktion, aber nicht den Menschen dahinter.

Die Autoren von Rödl bringen es auf den Punkt: Interne Kontrollsysteme fragen, ob eine Handlung ordnungsgemäß autorisiert wurde. Deepfake-Angriffe setzen eine Ebene früher an, bei der Annahme, dass die Person, die man wahrnimmt, auch die Person ist, für die man sie hält. Klassische Kontrollrahmenwerke benennen das nicht als eigenes Kontrollziel, und deshalb taucht es oft auch in Risikoanalysen nicht auf.

Für einen Vorstand ist das der unangenehme Punkt. Nach einem solchen Schaden belegt die Dokumentation einen sauberen Prozess. Die Frage lautet dann nicht "Wer hat gegen die Regeln verstoßen?", sondern "Warum haben unsere Regeln das zugelassen?"

Was sich geändert hat: Vertrautheit ist kein Beweis mehr

CEO-Fraud ist nicht neu. Allein Business E-Mail Compromise verursachte zwischen Oktober 2013 und Dezember 2023 weltweit Schäden von rund 55,5 Mrd. US-Dollar. So viel wurde dem FBI, anderen Ermittlungsbehörden und Banken gemeldet.

Neu ist das Werkzeug. Eine Stimme, ein Gesicht im Videoanruf und ein vertrauter Schreibstil waren früher Beweis genug. Heute kann generative KI alle drei mit öffentlichem Material kopieren, etwa mit einer Keynote auf YouTube, einem Podcast oder einer Telefonkonferenz zu den Quartalszahlen. Der Angreifer braucht dafür keine besonderen Fähigkeiten und wenig Geld.

Der Beitrag von Rödl zählt die Sätze auf, an denen sich das Problem zeigt: "Ich hatte ihn doch selbst am Telefon." "Sie war doch im Videocall." In beiden Fällen wurde ein Gefühl von Vertrautheit wie eine geprüfte Identität behandelt.

Zahlungen sind nur das offensichtliche Ziel. Derselbe Trick funktioniert bei einer geänderten Bankverbindung, neuen Zugriffsrechten, vertraulichen Informationen, einer M&A-Entscheidung oder einer Personalentscheidung.

Die Schlussfolgerung der Autoren ist eindeutig: Governance, Compliance und interne Kontrollen bleiben notwendig, müssen aber erweitert werden. Die Verifizierung der Identität muss ein eigenes Kontrollziel werden, und zwar in jedem Prozess, in dem eine falsche Identität ernsthaften Schaden anrichten kann. Als neue Leitfrage für die Unternehmenskultur schlagen sie vor: nicht "Warum wurde der Auftrag hinterfragt?", sondern "Wie wurde die Identität verifiziert?"

Eine Kontrolle, die niemand nutzt, ist keine Kontrolle

Die übliche Antwort ist eine Rückrufregel: auflegen, die Nummer nachschlagen, zurückrufen. Auf dem Papier funktioniert das. In der Praxis versagt es genau in den Momenten, auf die es ankommt.

Jeder zusätzliche Schritt, der jemanden aus dem laufenden Gespräch herausholt, ist eine Unterbrechung. Der Finanzvorstand muss das Gespräch beenden, eine Nummer heraussuchen, einen beschäftigten CEO in einer anderen Zeitzone erreichen und ihm erklären, warum. Unter Zeitdruck und gegenüber einer ranghohen Person lassen die meisten diesen Schritt "nur dieses eine Mal" aus. Das wissen die Angreifer, und deshalb erzeugen sie den Zeitdruck mit Absicht.

Die Autoren von Rödl sehen es genauso: Entscheidend ist nicht, wie ausgefeilt ein Verfahren ist, sondern ob die Leute es im Alltag zuverlässig anwenden. Verfahren, die sich unpraktisch anfühlen, werden umgangen. Die Regel muss außerdem unabhängig von Rang, Rolle und Zeitdruck gelten, denn Ausnahmesituationen sind genau das, was Angreifer herbeiführen.

Ein CEO hat hier also zwei Aufgaben. Erstens muss er die Verifizierung der Identität in den kritischen Prozessen verbindlich machen. Zweitens muss er sie so einfach machen, dass niemand einen Grund hat, sie auszulassen. Wenn Leute eine Kontrolle auslassen, liegt der Fehler in der Gestaltung.

Verifizierung im laufenden Gespräch

Trusted Codes gibt zwei Menschen oder einem ganzen Team einen gemeinsamen Code aus drei Wörtern, der sich in einem festgelegten Abstand ändert. Nur die echten Mitglieder einer Verbindung haben ihn. Die Prüfung kostet einen Satz: "Wie lautet unser Code?"

Zurück zum Dienstag. Der "CEO" ruft an, und der Finanzvorstand fragt noch im selben Gespräch nach dem Code. Ein echter CEO liest drei Wörter vom Telefon ab. Ein Deepfake hat nichts, was er ablesen könnte. Die Zahlung ist gestoppt, bevor der Prozess überhaupt beginnt.

Die Prüfung funktioniert auf jedem Kanal, weil sie zwischen zwei Menschen stattfindet: im Telefonat, im Videoanruf, im Chat, per E-Mail und von Angesicht zu Angesicht. Die Wörter verraten dir außerdem, wer spricht. Gibst du ein, was du gehört hast, zeigt dir die App, zu welcher Verbindung sie gehören, zum Beispiel "CEO – Treasury-Freigaben". Worin sich das von einer Authenticator-App unterscheidet, erklärt ein eigener Artikel.

Zwei Beispiele, wie ein Unternehmen das einsetzt:

• Ein M&A-Projekt. Das Deal-Team, die Anwälte und die Bank teilen eine Verbindung. Wer wegen des Deals anruft, wird nach dem Code gefragt. Ist der Deal abgeschlossen, wird die Verbindung geschlossen.
• Zahlungen über 50.000 Euro. Die Finanzabteilung und alle, die solche Zahlungen anordnen oder freigeben können, teilen eine Verbindung. Das Unternehmen macht die Abfrage des Codes zu einem Pflichtschritt der Freigabe: ohne Code keine Freigabe. Das Verifizierungsprotokoll zeigt im Nachhinein, dass die Prüfung stattgefunden hat.

Der Nachweis, dass geprüft wurde

Eine Regel ist nur so gut wie der Nachweis, dass sie befolgt wird. Ein Rückruf hinterlässt keine Spur. Wochen später kann niemand mehr belegen, wer wen angerufen hat und was bestätigt wurde.

In den Business-Tarifen hält Trusted Codes jede Verifizierung in einem Protokoll fest: wer wen in welcher Verbindung wann verifiziert hat und ob der Code gestimmt hat. Die Wörter selbst werden nie gespeichert. Für einen Vorstand ändert das drei Gespräche:

• Mit dem Abschlussprüfer. Die Verifizierung der Identität wird zu einer dokumentierten Kontrollaktivität und ist nicht länger ein Versprechen in einer Richtlinie.
• Nach einem Vorfall. Die Untersuchung sieht sofort, wo eine Identität verifiziert und wo sie nur angenommen wurde. Die Autoren von Rödl nennen das die Schlüsselfrage jeder Untersuchung.
• Bei der Haftung. Die Geschäftsleitung muss zeigen, dass Organisation und Kontrollen den bekannten Risiken entsprachen. Ein Protokoll, das eine funktionierende und tatsächlich genutzte Identitätsprüfung belegt, ist dieser Nachweis.

Was in diesem Quartal zu tun ist

Behalte deine Governance und ergänze die eine Kontrolle, die ihr fehlt.

1. Liste die Prozesse auf, in denen eine falsche Identität teuer wird. Zahlungen über einem Schwellenwert, Änderungen von Bankverbindungen, Zugriffsrechte, M&A, Restrukturierungen, Personalentscheidungen.
2. Finde die informellen Abkürzungen. Wo ersetzt ein Anruf eine formale Bestätigung? Wo werden Aufträge von Führungskräften außerhalb des Workflows angenommen?
3. Mach die Verifizierung der Identität in diesen Prozessen zum Pflichtschritt. Sie gilt für alle, auch für den CEO, und gerade unter Zeitdruck.
4. Wähle eine Methode, die die Leute auch wirklich nutzen. Sie muss im laufenden Gespräch funktionieren, auf jedem Kanal, in Sekunden, und sie muss einen Nachweis hinterlassen.
5. Sag es selbst. Sag deinem Team, dass du erwartest, nach dem Code gefragt zu werden, und dass du es niemandem übel nehmen wirst. Dieser Satz vom CEO bewirkt mehr als jede Richtlinie.

Ohne Vertrauen unter Kollegen geht es weiterhin nicht. In kritischen Prozessen braucht es jetzt einen zweiten Faktor.

Quellen

• Alexander Meinrad und Jonas Riexinger, "Wenn Identität zur Schwachstelle wird: Deepfakes als Herausforderung für Compliance und Interne Kontrollsysteme", Der Betrieb 2026, 2408 (Heft 39).
• FBI Internet Crime Complaint Center, "Business Email Compromise: The $55 Billion Scam", Public Service Announcement vom 11. September 2024: ic3.gov