CEO-Fraud nach NIS2: Wann die gefälschte Chef-Mail ans BSI muss – zwei Prüfstufen und die 500.000-Euro-Schwelle

Im August 2016 verlor der Autozulieferer Leoni rund 40 Millionen Euro an Betrüger, die mit gefälschten Dokumenten und Identitäten arbeiteten. Die Ad-hoc-Mitteilung enthielt einen Satz, der heute über die Meldepflicht entscheiden würde: „IT-Infrastruktur sowie Datensicherheit sind von den kriminellen Aktivitäten nicht betroffen.“ So zitiert sie Günter Born in seinem Bericht vom 17. August 2016.

Ob ein CEO-Fraud ans BSI gemeldet werden muss, prüfen Sie in zwei Stufen. Erstens: Liegt ein Sicherheitsvorfall im Sinne des BSI-Gesetzes vor? Nach deutschem Wortlaut hängt das davon ab, ob die Täter Ihre IT berührt haben, nicht von der Schadenshöhe. Zweitens: Ist er erheblich? Dafür reicht ein finanzieller Verlust, und die Durchführungsverordnung (EU) 2024/2690 liefert mit 500.000 Euro oder 5 % des Jahresumsatzes die einzige feste Zahl. Sind beide Stufen erfüllt, läuft die 24-Stunden-Frist.

Gilt die Meldepflicht für Ihr Unternehmen überhaupt?

Kurzfassung: Die BSI-Meldepflicht trifft nur besonders wichtige und wichtige Einrichtungen. Alle anderen Unternehmen melden einen CEO-Fraud bei der Polizei und gegebenenfalls bei der Datenschutzaufsicht, aber nicht nach § 32 BSIG.

Der Adressatenkreis steht in § 32 Absatz 1 BSIG: „Besonders wichtige Einrichtungen und wichtige Einrichtungen“. Ob Ihr Unternehmen dazugehört, richtet sich nach Sektor und Größe; die Kriterien erklärt unser Überblick zum Anwendungsbereich von NIS2.

Ihre Lage	Pflicht nach § 32 BSIG?	Was zusätzlich ansteht
Besonders wichtige oder wichtige Einrichtung	Ja, wenn beide Prüfstufen erfüllt sind	Strafanzeige, Rückrufauftrag an die Bank, ggf. DSGVO-Meldung
Eine der elf digitalen Einrichtungsarten (Cloud, Rechenzentrum, MSP, MSSP u. a.)	Ja, mit den Schwellen der DVO 2024/2690 als verbindlichem Maßstab	Wie oben
Nicht von NIS2 erfasst	Nein	Strafanzeige, Bank, ggf. DSGVO; freiwillige Meldung an das BSI möglich

Oft übersehen: Nach § 5 Absatz 2 BSIG nimmt das BSI Informationen zu „erfolgten oder versuchten Angriffen“, Sicherheitsvorfällen und Beinahevorfällen entgegen, auf Wunsch anonym.

Stufe 1: Ist die gefälschte Chef-Mail überhaupt ein Sicherheitsvorfall?

Kurzfassung: Die deutsche Definition des Sicherheitsvorfalls schützt drei Ziele, die europäische vier. Das fehlende Ziel ist die Authentizität, und genau die greift ein CEO-Fraud an. Ob Ihr Fall die deutsche Definition erfüllt, hängt deshalb davon ab, ob die Täter in Ihre Systeme gelangt sind.

Wir haben beide Definitionen Wort für Wort verglichen. § 2 Nummer 40 BSIG nennt als Sicherheitsvorfall ein Ereignis, das „die Verfügbarkeit, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der Dienste“ beeinträchtigt. Artikel 6 Nummer 6 der NIS2-Richtlinie nennt an derselben Stelle „die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit“. Auch die Definition des Beinahevorfalls in § 2 Nummer 1 BSIG kommt ohne Authentizität aus.

Eine Mail von geschaeftsfuehrung@firma-gmbh.co statt @firma-gmbh.de fälscht nur, wer der Absender ist. Ihr Mailserver hat sie korrekt zugestellt, niemand hat Daten verändert oder mitgelesen. Nach dem deutschen Wortlaut spricht viel dafür, dass keines der drei Schutzziele berührt ist. Man kann allenfalls argumentieren, die Zahlungsdaten in Ihrem Buchhaltungssystem seien in ihrer Integrität betroffen. Anders liegt es, sobald die Täter ein echtes Postfach übernommen haben: Dann lesen sie vertrauliche Korrespondenz mit und verändern Daten, etwa durch versteckte Weiterleitungsregeln.

Variante	Berührtes Schutzziel	Sicherheitsvorfall nach § 2 Nr. 40 BSIG?
A: Täuschend ähnliche Domain oder gefälschter Anzeigename, kein Systemzugriff	Nur Authentizität	Umstritten (fehlt im deutschen Wortlaut)
B: Echtes Postfach der Geschäftsführung übernommen (Account Takeover)	Vertraulichkeit, Integrität	Ja
C: Postfach eines Lieferanten kompromittiert, „neue Bankverbindung“ kommt von dessen echter Adresse	Bei Ihnen: nur Authentizität. Beim Lieferanten: Vertraulichkeit	Bei Ihnen umstritten, beim Lieferanten ja
D: Anruf mit geklonter Stimme der Geschäftsführung	Nur Authentizität	Umstritten
E: Täter erbeuten zusätzlich Daten, z. B. Lohnlisten oder Kundenlisten	Vertraulichkeit	Ja, dazu meist Art. 33 DSGVO

Variante D beschreibt das BSI auf seiner Seite zu Deepfakes: Ein Angreifer könnte „eine Person mit der Stimme von deren Führungskraft anrufen, um eine Geldtransaktion auszulösen“.

Für die umstrittenen Varianten gibt es zwei Lesarten. Nach dem Wortlaut des BSIG liegt kein Sicherheitsvorfall vor, also besteht keine Pflicht nach § 32. Dagegen spricht, dass das BSIG die NIS2-Richtlinie umsetzt und im Zweifel richtlinienkonform auszulegen ist, und die Richtlinie zählt die Authentizität ausdrücklich mit. Rechtsprechung oder eine Stellungnahme des BSI dazu haben wir nicht gefunden; es ist eine Lesart des Wortlauts, keine gesicherte Rechtslage. Die Lücke ist uns schon bei Phishing-Mails nach § 30 BSIG aufgefallen. Beim CEO-Fraud wird sie praktisch relevant, weil oft kein System kompromittiert wird.

Daraus folgt zweierlei. Erstens: Variante A dürfen Sie erst annehmen, wenn Sie Variante B ausgeschlossen haben, denn das Insiderwissen der Täter kann aus einem mitgelesenen Postfach stammen. Prüfen Sie deshalb sofort Weiterleitungs- und Posteingangsregeln, Anmeldungen aus ungewöhnlichen Regionen, neu erteilte App-Berechtigungen und den Ordner „Gesendete Elemente“ der betroffenen Konten. Zweitens: Wer nicht meldet, hält die Begründung schriftlich fest. Der nicht bindende Erwägungsgrund 31 der DVO 2024/2690 beschreibt genau diesen Schritt: ein verdächtiges Ereignis „zeitnah bewerten, um festzustellen, ob es sich um einen Sicherheitsvorfall handelt“.

Stufe 2: Ab welchem Schaden ist der Vorfall erheblich?

Kurzfassung: Für einen erheblichen Vorfall braucht es weder einen Betriebsausfall noch eine Mindestsumme im Gesetz. Ein finanzieller Verlust für die Einrichtung genügt. Die einzige feste Zahl ist die 500.000-Euro-Schwelle der DVO 2024/2690. Sie ist ausreichend, aber nicht notwendig.

Nach § 2 Nummer 11 BSIG ist ein Sicherheitsvorfall erheblich, wenn er „schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann“. Der Verlust ist ein eigenständiges Merkmal, und anders als die Betriebsstörung muss er nicht „schwerwiegend“ sein. Artikel 23 Absatz 3 der Richtlinie ist gleich gebaut. Eine Eurogrenze nennt das BSIG nicht; die Definition steht unter dem Vorbehalt einer Rechtsverordnung nach § 56 Absatz 5.

Die konkrete Zahl liefert Artikel 3 Absatz 1 Buchstabe a der DVO 2024/2690: ein direkter finanzieller Verlust von mehr als 500.000 Euro oder 5 % des Jahresgesamtumsatzes im vorangegangenen Geschäftsjahr, „je nachdem, welcher Wert niedriger ist“. Verbindlich ist das nur für die elf digitalen Einrichtungsarten. Für alle anderen Sektoren schreibt das BSI in seinem Infopaket zur Meldepflicht, es „kann davon ausgegangen werden, dass es sich um einen erheblichen Sicherheitsvorfall handelt“, wenn eines der Kriterien aus Artikel 3 Absatz 1 erfüllt ist.

Was zum Verlust zählt, erläutert der nicht bindende Erwägungsgrund 36 der DVO: neben dem abgeflossenen Betrag auch Personalkosten, Rechtsberatung, Forensik und Kommunikation. Geldbußen, Versicherungsprämien und Verbesserungen nach dem Vorfall zählen nicht. Ist der Verlust unklar, soll er geschätzt werden.

Fall (Annahmen)	Verlust inkl. Nebenkosten	DVO-Schwelle	Einordnung
Maschinenbauer, 8 Mio. € Umsatz, eine Überweisung von 380.000 €	380.000 € + 40.000 € Forensik und Anwalt = 420.000 €	5 % = 400.000 € (niedriger als 500.000 €)	Schwelle überschritten
Großhändler, 60 Mio. € Umsatz, Überweisung von 380.000 €	420.000 €	500.000 €	Unter der Schwelle, Einzelfallbewertung nach § 2 Nr. 11
Derselbe Großhändler, zweiter Fall vier Monate später über dasselbe kompromittierte Postfach, 150.000 €	zusammen ca. 590.000 € inkl. weiterer Nebenkosten	500.000 €, zusammengerechnet nach Art. 4 DVO	Zusammen ein erheblicher Vorfall
Bank holt 380.000 € per Rückruf zurück	Verbleibend nur Nebenkosten	—	Kein Entlastungsbeweis: maßgeblich ist auch der Verlust, den der Vorfall verursachen „kann“

Die dritte Zeile beruht auf Artikel 4 der DVO. Danach gelten Vorfälle, die einzeln unter der Schwelle bleiben, zusammen als ein erheblicher Vorfall, wenn sie innerhalb von sechs Monaten mindestens zweimal aufgetreten sind, dieselbe offensichtliche Ursache haben und zusammen die 500.000-Euro- bzw. 5-%-Grenze überschreiten. Für Einrichtungen außerhalb der elf digitalen Arten greift das nach unserer Lesart über die BSI-Vermutung, denn Artikel 3 Absatz 1 Buchstabe f verweist auf Artikel 4. Die vierte Zeile beruht auf dem Wort „verursachen kann“ in § 2 Nr. 11: Ein erfolgreicher Rückruf mindert den Schaden, aber er macht den Vorfall nicht nachträglich unerheblich.

Unterhalb der DVO-Werte bleibt es unscharf: Das BSIG kennt keine Bagatellgrenze, das BSI nennt keine eigene Zahl. Bei 150.000 Euro Verlust und 12 Millionen Euro Umsatz lässt sich beides vertreten. Das BSI gibt die Richtung vor: Im Allgemeinen gelte „Schnelligkeit vor Vollständigkeit“, und eine Meldung kann zwar nicht storniert, aber per Folgemeldung korrigiert werden. Eine unterlassene Meldung ist dagegen nach § 65 Absatz 2 Nummer 4 BSIG bußgeldbewehrt, für besonders wichtige Einrichtungen bis zu 10 Millionen Euro und für wichtige bis zu 7 Millionen Euro.

Drei Uhren laufen gleichzeitig, und die der Bank ist die kürzeste

Kurzfassung: Die Bank zählt in Stunden, das BSI in 24 und 72 Stunden, die Datenschutzaufsicht in 72 Stunden. Beginnen Sie mit der Bank, denn nur dort lässt sich Geld zurückholen.

Die BSI-Frist beginnt mit der Kenntniserlangung. Das BSI legt den Begriff weit aus: Gemeint sei der Zeitpunkt, „an dem eine Mitarbeiterin oder ein Mitarbeiter der Einrichtung (innerhalb der Arbeitszeit) Kenntnis über einen erheblichen Sicherheitsvorfall erlangt“. Beim CEO-Fraud ist das oft der Moment, in dem die echte Geschäftsführerin sagt, sie habe nichts angewiesen. Erwägungsgrund 31 der DVO setzt später an, bei „hinreichender Gewissheit“ nach einer Anfangsbewertung. Planen Sie mit der strengeren Lesart des BSI.

Frist	Rechtsgrundlage	Was verlangt wird	Ausnahme?
Sofort	Empfehlung der Polizei	Rückrufauftrag an die eigene Bank	—
24 Stunden	§ 32 Abs. 1 Nr. 1 BSIG	Frühe Erstmeldung: Verdacht auf rechtswidrige oder böswillige Handlung? Mögliche grenzüberschreitende Auswirkungen?	Keine
72 Stunden	§ 32 Abs. 1 Nr. 2 BSIG	Erste Bewertung mit Schweregrad und Auswirkungen; das BSI fragt zusätzlich nach Strafverfolgung	Keine
72 Stunden	Art. 33 DSGVO	Meldung an die Datenschutzaufsicht, wenn personenbezogene Daten betroffen sind (Varianten B und E)	Kein Risiko für Betroffene; Verspätung mit Begründung
1 Monat nach der 72-h-Meldung	§ 32 Abs. 1 Nr. 4 BSIG	Abschlussmeldung mit Ursache und Abhilfemaßnahmen	Fortschrittsmeldung, solange der Vorfall andauert

Die Erstmeldung ist leichter, als viele erwarten: Die erste Frage beantwortet der Fall selbst, denn Betrug ist rechtswidrig. Ob eine Überweisung ins EU-Ausland schon eine „grenzüberschreitende Auswirkung“ ist, ist ungeklärt; das Gesetz fragt nur nach dem Verdacht, und eine Folgemeldung kann ihn korrigieren. Wie die drei Meldungen im BSI-Portal ablaufen, beschreibt unser Leitfaden zur BSI-Meldung innerhalb von 24 und 72 Stunden.

Warum die Bank zuerst kommt, zeigen Zahlen des FBI. Laut dem Internet Crime Report 2025 des FBI gingen 24.768 Beschwerden zu Business E-Mail Compromise ein, mit gemeldeten Verlusten von rund 3,05 Milliarden US-Dollar. Über das Rückhol-Verfahren seines Recovery Asset Teams wurden in 3.900 Fällen 679 Millionen von 1,16 Milliarden US-Dollar eingefroren, eine Quote von 58 %. Das FBI schreibt dazu: „time is of the essence“. Die Zahlen stammen aus den USA und lassen sich nur begrenzt auf SEPA-Rückrufe übertragen. Dieselbe Reihenfolge empfiehlt aber die Polizei Berlin: Rückrufauftrag bei der Bank, Strafanzeige bei jeder Polizeidienststelle oder Internetwache und gegebenenfalls ein Anwalt im Land des Zielkontos.

Die ersten Stunden: Reihenfolge nach einem CEO-Fraud

1. Bank anrufen (Minuten): Rückruf der Überweisung beauftragen.
2. Postfächer sichern (erste Stunden): Anmeldeprotokolle, Weiterleitungsregeln und Mailverläufe der beteiligten Konten exportieren, bevor jemand sie bereinigt. Dieses Ergebnis entscheidet zwischen Variante A und B.
3. Zwei-Stufen-Prüfung dokumentieren: Sicherheitsvorfall ja oder nein mit Begründung, Verlustschätzung, Abgleich mit früheren Fällen nach Artikel 4.
4. Erstmeldung an das BSI (24 Stunden): Alle Fristen und Meldeinhalte bündelt unser Hub zur NIS2-Vorfallmeldung.
5. Strafanzeige erstatten: Das BSI fragt in der 72-Stunden-Meldung nach Angaben zur Strafverfolgung.
6. DSGVO prüfen: Bei Variante B oder E sind meist personenbezogene Daten betroffen; das ist ein eigenes Verfahren mit eigener Frist.

Was § 30 BSIG vorbeugend verlangt und wer haftet

Kurzfassung: Zwei der zehn Pflichtmaßnahmen treffen den CEO-Fraud direkt: Schulung und gesicherte Kommunikation. Fehlen sie, kann ein erfolgreicher Betrug zur Haftungsfrage für die Geschäftsleitung werden.

§ 30 Absatz 2 BSIG verlangt unter Nummer 7 „grundlegende Schulungen und Sensibilisierungsmaßnahmen“ und unter Nummer 10 die „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation“. Zahlungsfreigaben nennt die Vorschrift nicht. Für ein Rückrufverfahren über einen vorab hinterlegten Kanal ist Nummer 10 aber der naheliegende Bezugspunkt: Eine geklonte Stimme nützt dem Täter nichts, wenn die Buchhaltung über eine selbst hinterlegte Nummer zurückruft. MFA auf den Postfächern von Geschäftsführung und Buchhaltung erschwert zudem Variante B. Welche Verfahren als ausreichend gelten, zeigt unser Beitrag zu den MFA-Anforderungen nach NIS2.

Die Polizeiliche Kriminalprävention benennt die Zielgruppe genau: Opfer sind „in der Regel Mitarbeiter aus der Buchhaltung oder dem Rechnungswesen, die berechtigt sind, Überweisungen zu tätigen“. Typische Vorwände sind eine angebliche Unternehmensübernahme oder eine geänderte Bankverbindung. Eine Schulung, die diese Gruppe nicht gesondert anspricht, verfehlt das Risiko.

Nach § 38 Absatz 1 BSIG muss die Geschäftsleitung die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen. Nach Absatz 2 haftet sie der Einrichtung bei schuldhafter Pflichtverletzung nach den gesellschaftsrechtlichen Regeln. Ob ein Betrugsschaden darunter fällt, ist Einzelfallfrage; ein Postfach ohne MFA, über das ein sechsstelliger Betrag abfloss, ist aber ein naheliegender Anknüpfungspunkt. Mehr zur Managementhaftung unter NIS2 lesen Sie in unserem Beitrag.

Rolle	Vor dem nächsten Fall erledigen
Geschäftsführung	Rückrufverfahren und Freigabegrenzen beschließen, selbst nie Ausnahmen per Mail anweisen, Umsetzung überwachen
Finanzleitung / Buchhaltung	Rückruf über hinterlegte Nummer bei jeder Bankdatenänderung und „vertraulichen“ Sonderzahlung; klare Abwesenheitsregeln
ISB / IT	MFA für alle Postfächer der Zeichnungsberechtigten; Alarm bei neuen Weiterleitungsregeln; Export der Anmeldeprotokolle vorbereiten
Compliance / Datenschutz	Zwei-Stufen-Prüfung in die Vorfallrichtlinie aufnehmen; Vorlage für die Erstmeldung und die DSGVO-Prüfung vorhalten

Häufige Fragen

Muss ein abgewehrter CEO-Fraud-Versuch gemeldet werden? Nicht nach § 32 BSIG, denn ohne Zahlung und Systemzugriff fehlen in aller Regel Vorfall und Verlust. Freiwillig ist eine Meldung nach § 5 Absatz 2 BSIG möglich.

Die Bank hat das Geld zurückgeholt. Entfällt die Meldepflicht? Nicht automatisch. § 2 Nr. 11 BSIG erfasst auch den Verlust, den ein Vorfall verursachen „kann“, und die Nebenkosten bleiben.

Gilt die 500.000-Euro-Schwelle für unser Unternehmen? Verbindlich nur für die elf digitalen Einrichtungsarten; für alle anderen ist sie nach Auffassung des BSI eine Vermutung für Erheblichkeit. Darunter zu bleiben beweist nicht das Gegenteil.

Was ist, wenn sich nach der Meldung herausstellt, dass kein Postfach kompromittiert war? Das korrigieren Sie per Folgemeldung. Zurückziehen lässt sich eine Meldung nach Angabe des BSI nicht.

Erst die Forensik am Postfach klärt, ob ein Sicherheitsvorfall vorliegt, dann die Verlustrechnung, ob er erheblich ist. Legen Sie beides in Ihrer Vorfallrichtlinie fest, solange kein Fall auf dem Tisch liegt.

Dieser Artikel bietet allgemeine Informationen und stellt keine Rechts- oder Regulierungsberatung dar. Anforderungen können je nach Rechtsordnung und Art der Einrichtung variieren. Für auf Ihre Situation zugeschnittene Beratung wenden Sie sich an eine qualifizierte Juristin, einen qualifizierten Juristen oder eine Compliance-Fachkraft.

Quellen

1. Bundesministerium der Justiz: BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG, § 2 (Begriffsbestimmungen), § 5 (Allgemeine Meldestelle), § 30 (Risikomanagementmaßnahmen), § 32 (Meldepflichten), § 38 (Geschäftsleitung), § 65 (Bußgeldvorschriften).
2. Richtlinie (EU) 2022/2555 (NIS2), deutsche Amtsblattfassung: Artikel 6 Nummer 6, Artikel 23 Absatz 3.
3. Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024, deutsche Fassung: Artikel 3, Artikel 4, Erwägungsgründe 31 und 36.
4. BSI: NIS-2-Meldepflicht (Infopaket #nis2know).
5. BSI: Deepfakes – Gefahren und Gegenmaßnahmen.
6. Verordnung (EU) 2016/679 (DSGVO), deutsche Fassung: Artikel 33, Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde.
7. Polizei Berlin: Geschäftsführer-Schwindel (CEO-Fraud).
8. Polizeiliche Kriminalprävention der Länder und des Bundes: CEO-Fraud – Betrüger legen Unternehmensmitarbeiter herein.
9. Federal Bureau of Investigation, Internet Crime Complaint Center: 2025 Internet Crime Report.
10. Günter Born: Cyber-Crime: Autozulieferer Leoni um 40 Millionen erleichtert, Borncity, 17. August 2016 (zitiert die Ad-hoc-Mitteilung der Leoni AG vom 12. August 2016).