Ein Anruf vom Vorgesetzten, ein dringendes Vorhaben, eine vertrauliche Überweisung: Beim CEO-Fraud nutzen Kriminelle solche Situationen, um Mitarbeitende zu Zahlungen zu bewegen. Besonders glaubwürdig wirkt die Täuschung, wenn auf dem Display die bekannte Nummer erscheint. Dahinter kann Caller-ID-Spoofing stecken – eine Technik, mit der die angezeigte Rufnummer manipuliert wird. Die Nummer mag vertraut sein. Ob tatsächlich der Chef anruft, beweist sie nicht.

Wie teuer dieses Vertrauen werden kann, zeigt ein Fall vor dem Landesarbeitsgericht Köln. Betrüger gaben sich gegenüber einem Head of Global Treasury als dessen Vorgesetzter aus und behaupteten, eine neue Gesellschaft in Asien gründen zu wollen.

Nach einem Anruf mit gefälschter Rufnummer folgten weitere Anweisungen per Messenger auf dem privaten Smartphone des Mitarbeiters. Innerhalb von 25 Tagen veranlasste er knapp 60 Überweisungen über insgesamt mehr als 50 Millionen Euro. Beim tatsächlichen Vorgesetzten bestätigte er die Aufträge kein einziges Mal.

Das Gericht bewertete die fehlende Rückfrage als grob fahrlässig und hielt auch die fristlose Kündigung für wirksam. Das heißt nicht, dass Beschäftigte für jeden Fehler im Beruf persönlich zahlen müssen: Bei leichter Fahrlässigkeit haften sie in der Regel nicht, bei mittlerer Fahrlässigkeit kann der Schaden zwischen Arbeitnehmenden und Arbeitgeber aufgeteilt werden. Bei grober Fahrlässigkeit kommt dagegen grundsätzlich eine volle Haftung in Betracht. Ob sie im Einzelfall begrenzt wird, hängt von den Umständen ab.

In diesem Fall berücksichtigte das Gericht auch eine vom Arbeitgeber abgeschlossene D&O-Versicherung mit einer Deckung von bis zu 150 Millionen US-Dollar. Gegen das Urteil wurde Revision beim Bundesarbeitsgericht eingelegt; zum Zeitpunkt der Podcastaufnahme war der Fall noch nicht endgültig entschieden.

Klare Freigabeprozesse für hohe Zahlungen sind wichtig. Sie reichen aber nicht, wenn Mitarbeitende sich nicht trauen, eine Anweisung der Geschäftsführung zu hinterfragen.

Gerade Dringlichkeit und Geheimhaltung sollten Anlass sein, einen Auftrag über einen unabhängigen, bereits bekannten Kontaktweg zu bestätigen – nicht über die Nummer oder den Chat aus der verdächtigen Nachricht.

Das gilt umso mehr, wenn nicht nur Rufnummern, sondern auch Stimmen und Videobilder manipuliert werden können. Scammer machen sich hierbei die rasante Entwicklung von KI zunutze. Auch Unternehmen schützen sich deshalb nicht allein mit Technik oder Versicherungen. Sie brauchen eine Unternehmenskultur, in der Nachfragen selbstverständlich ist – auch dann, wenn der vermeintliche Chef am anderen Ende der Leitung wartet.

Quellen:

Beck aktuell: “Vol­le Haf­tung nach 50 Mil­lio­nen Euro Über­wei­sun­gen”

Jura.cc: “Millionenhaftung nach CEO-Fraud: D&O-Versicherung kann die Begrenzung der Arbeitnehmerhaftung ausschließen”