Zahlungsbetrug im Family Office: Warum ein Anruf jeden Filter schlägt

So funktioniert der Betrug

Zwei Muster machen die meisten Fälle aus. Beim CEO-Fraud gibt sich der Angreifer als Prinzipal oder Führungsperson aus und verlangt eine dringende, vertrauliche Überweisung — eine Übernahme, eine Charter-Anzahlung, eine Zahlung, die nicht bis Montag warten kann. Beim Rechnungsbetrug gibt er sich als echter Dienstleister aus — eine Werft, ein Broker, ein Architekt, ein Proviantlieferant — und kündigt kurz vor einer echten Rechnung eine neue Bankverbindung an.

Die Nachrichten überzeugen, weil sie auf echten Informationen beruhen: Namen von einer Website, ein Projekt aus Social Media, ein E-Mail-Verlauf aus dem Postfach eines Dienstleisters. Manchmal kommt die E-Mail tatsächlich von der Adresse des Dienstleisters — weil dessen Konto übernommen wurde.

Warum Filter und Schulungen nicht reichen

Spamfilter stoppen viel, aber keine gut geschriebene Nachricht aus einem echten, kompromittierten Postfach. Nachgeahmte Domains unterscheiden sich in einem einzigen Buchstaben. Mit generativer KI ist die Sprache fehlerfrei, und Stimmen und Gesichter lassen sich imitieren: 2024 überwies ein Mitarbeiter des Ingenieurbüros Arup in Hongkong rund 25 Millionen US-Dollar nach einem Videocall, in dem die „Kollegen“ Deepfakes waren.

Schulungen helfen, Druck und Dringlichkeit zu erkennen. Doch unter Stress — am Freitagabend, während der Prinzipal scheinbar wartet — machen auch sorgfältige Menschen Fehler. Zuverlässig wirkt keine Einzelfallentscheidung, sondern eine Regel, die jedes Mal gilt.

Die Rückruf-Regel

Jede Änderung einer Bankverbindung und jede ungewöhnliche oder eilige Zahlungsanforderung wird telefonisch bestätigt — über eine Nummer aus den eigenen Unterlagen oder dem bestehenden Vertrag, nie über eine Nummer aus der E-Mail, Rechnung oder Nachricht, die die Anforderung enthält.

Die Regel wirkt, weil sie die Prüfung auf einen Kanal verlegt, den der Angreifer nicht kontrolliert. Ein Betrüger kann eine E-Mail, einen Briefkopf und sogar eine Stimme bei einem eingehenden Anruf fälschen. Er kann aber nicht unter der Nummer abheben, die seit Jahren in Ihren Unterlagen steht.

Ob sie in der Praxis hält, entscheiden ein paar Details:

• ◆Keine Ausnahme nach Rang. Die Regel gilt gerade dann, wenn eine Anforderung scheinbar vom Prinzipal kommt.
• ◆Nur bekannte Nummern. Eine Nummer aus der E-Mail-Signatur oder auf der neuen Rechnung ist Teil des Angriffs.
• ◆Vier Augen bei großen Beträgen. Ab einer festgelegten Summe gibt eine zweite Person frei — eingerichtet im Online-Banking, nicht nur auf dem Papier.
• ◆Die erste Zahlung an eine neue Bankverbindung wartet, bis der Rückruf dokumentiert ist.
• ◆Schriftlich festhalten. Eine kurze Zahlungsrichtlinie gibt dem Personal das Recht, „nicht ohne Rückruf“ zu sagen — auch zum Prinzipal.

Die Konten hinter den Zahlungen schützen

Viele Fälle beginnen mit einem übernommenen E-Mail-Konto — dem eigenen oder dem eines Dienstleisters. Phishing-resistente Anmeldung mit Passkeys oder Hardware-Sicherheitsschlüsseln für E-Mail, Cloud und Banking schließt die häufigste Tür. Auf der eigenen Domain machen SPF, DKIM und eine strikte DMARC-Richtlinie es deutlich schwerer, E-Mails in Ihrem Namen zu versenden.

Wenn das Geld schon überwiesen ist

Tempo entscheidet. Rufen Sie sofort Ihre Bank an und beantragen Sie den Rückruf der Überweisung — je früher die Bank handelt, desto größer die Chance, das Geld zu stoppen oder einzufrieren. Erstatten Sie Anzeige bei der Polizei, sichern Sie die E-Mails samt Headern und prüfen Sie, ob ein Postfach kompromittiert ist. Sonst ist der nächste Versuch schon vorbereitet.

Das Programm Leeward Private setzt diese Regeln für Familie und Family Office um: Zahlungsrichtlinie, Rückruf-Prozess, Kontensicherheit und eine kurze Einweisung für alle, die Geld bewegen können.