Organisation

Exponierte Führungskraft: das spezifische Bedrohungsmodell

Die spezifischen Bedrohungen für die medial oder finanziell exponierte Führungskraft, die realen Angriffsvektoren und die verhältnismäßigen Maßnahmen.

Veröffentlicht am 19. Februar 2026 16 Min. Lesezeit Kritisch

Zuletzt überprüft: 12. März 2026

Führungskraft in einer Besprechung, die auf Daten blickt

Der Finanzchef erhält eine Sprachnachricht vom Vorstandsvorsitzenden. Die Stimme stimmt, der Ton stimmt, die Dringlichkeit ist glaubwürdig: eine vertrauliche Übernahme, eine Anzahlung, die vor 17 Uhr zu überweisen ist, und vor allem rede mit niemandem darüber. Er überweist 340.000 Euro. Der Vorstandsvorsitzende hat diesen Anruf nie getätigt. Die Stimme war aus drei Minuten eines YouTube-Interviews synthetisiert. Diese Szene habe ich in achtzehn Monaten dreimal nachbesprochen.

Angle de lecture

Particulier RSSI / DSI CEO

Die übliche Falle

„Ich habe eine Unternehmenssicherheit.” Das ist die Antwort, die ich in neun von zehn Fällen erhalte, wenn ich die persönliche Sicherheit einer Führungskraft anspreche. Sie offenbart eine Perimeter-Verwechslung, die teuer kommt. Die Unternehmenssicherheit schützt das Unternehmen: die Infrastruktur, die Arbeitsplätze, die geschäftlichen E-Mails, die VPN-Zugänge. Sie schützt nicht die Führungskraft als Individuum — ihr Privatleben, ihre Familie, ihre persönlichen Vermögenswerte, ihr privates Telefon, ihren Ruf. Diese beiden Perimeter überschneiden sich kaum, und der tote Winkel zwischen ihnen ist genau dort, wo die Angreifer eindringen.

Die zweite Falle ist heimtückischer: Die Führungskraft hält sich für zu wichtig, um dumm angegriffen zu werden, und für zu schlau, um in eine plumpe Falle zu tappen. Beide Überzeugungen sind falsch. Eine Führungskraft wird gerade nicht dumm angegriffen: Sie wird sorgfältig angegriffen, mit Aufklärungszeit, mit Budget. Und sie tappt in die Falle nicht aus Dummheit, sondern aus Bandbreite — sie entscheidet schnell, unter Druck, zwischen zwei Besprechungen, auf ihrem Telefon, und genau das ist das Spielfeld des Angreifers.

Der vorherrschende Diskurs fügt eine Schicht Theater hinzu. Man bietet der Führungskraft Phishing-Sensibilisierungsschulungen an, die für den durchschnittlichen Mitarbeitenden konzipiert sind — den Rechtschreibfehler erkennen, die seltsame Adresse, den verdächtigen Anhang. Diese Signale existieren bei einem gezielten Angriff gegen eine Führungskraft nicht. Die Nachricht ist sauber, der Absender ist glaubwürdig, der Kontext ist exakt. Die Schulung für die breite Masse bereitet nicht auf das reale Bedrohungsmodell vor. Sie beruhigt, was schlimmer ist.

Die letzte Falle ist die Asymmetrie der Behandlung innerhalb der Organisation. Die Führungskraft ist die einzige, die eine Sicherheitsmaßnahme ablehnen kann, die alle anderen erleiden. Sie lehnt das einschränkende MFA ab, weil sie es eilig hat, reist ohne Vorbereitung in ein Risikoland, weil sie es gewohnt ist, nutzt ihr privates Telefon für kritische Entscheidungen, weil es praktisch ist. Jede Ausnahme, die sie sich gewährt, wird zum schwächsten und wertvollsten Glied der gesamten Kette.

Reales Bedrohungsmodell: warum eine Führungskraft ein eigenständiges Ziel ist

Ein Standard-Mitarbeitender bedeutet einen begrenzten Zugang und einen opportunistischen Gegner. Eine Führungskraft bedeutet etwas anderes auf mehreren Dimensionen gleichzeitig, und ihre Gegner sind nicht nur anonyme Hacker. Es sind auch Wettbewerber in M&A-Prozessen, Anwaltskanzleien in gegnerischen Rechtsstreitigkeiten, Journalisten bei der Due Diligence, Staaten, die Wirtschaftsspionage betreiben, und manchmal ein Ex-Partner oder ein Ex-Ehepartner mit Groll und Zeit.

Der Wert des Zugangs. Ein einziges kompromittiertes E-Mail-Konto eines Vorstandsvorsitzenden öffnet die Kommunikation über laufende M&A-Transaktionen, nicht öffentliche strategische Entscheidungen, den Austausch mit den Aktionären, sensible Verträge. Für einen Angreifer ist das eine Goldmine, die auf den richtigen Märkten Dutzende Millionen wert sein kann — Insiderhandel, Verhandlungsposition, Erpressung.

Der direkte Einfluss auf die Finanzströme. Das kompromittierte oder einfach nur usurpierte Konto einer Führungskraft erlaubt es, Überweisungen anzuordnen. Der CEO-Fraud — oder BEC, Business Email Compromise — ist die derzeit rentabelste Mechanik. Laut dem IC3 des FBI übersteigen die weltweiten Verluste durch BEC kumuliert über das letzte Jahrzehnt 55 Milliarden Dollar, mit mehreren Milliarden, die jedes Jahr gemeldet werden. Der deutschsprachige Raum bleibt nicht verschont: Die von den Strafverfolgungsbehörden dokumentierten Beträge belaufen sich auf Hunderte Millionen jährlich, und die Mehrheit der Fälle wird nie gemeldet.

Der identifizierbare persönliche Wohlstand. Öffentliche Register — Handelsregister, Unternehmensregister, Transparenzregister, Grundbuchdaten in vielen Ländern — erlauben es, die Vermögenswerte einer Führungskraft mit verblüffender Präzision zu kartieren. Diese Informationen nähren Erpressung, gezielten Identitätsbetrug und in Extremfällen körperliche Bedrohungen gegen Angehörige.

Die geopolitische Exposition. Für eine Führungskraft, die in China, Russland, bestimmten Ländern des Nahen Ostens oder in jeder wirtschaftlich angespannten Zone operiert, ist Spionage eine operative Realität. Die Wirtschaftsnachrichtendienste mehrerer Staaten zielen aktiv auf reisende Führungskräfte: Hotels, Telefone, im Zimmer zurückgelassene Computer, kontrollierte lokale Netze.

Die selbst konstruierte Medienpräsenz. Jeder LinkedIn-Post enthüllt die laufenden Themen, die Reisen, die Kontakte, die Projekte. Jedes Konferenzfoto liefert eine Geolokalisierung und ein Umfeld. Jedes Interview erläutert die Strategie — und liefert nebenbei die Stimmprobe, die dem Deepfake dienen wird. Diese Sichtbarkeit ist für das Geschäft konstruiert, aber sie nährt kostenlos und gleichzeitig das OSINT jedes, der sich für die Führungskraft interessiert.

Operative Anekdote

2024 führte ich das Oberflächen-Audit eines Vorstandsvorsitzenden eines mittelständischen Industrieunternehmens durch. In vier Stunden, ohne etwas Illegales: seine Privatadresse über eine familiäre Vermögensgesellschaft im Unternehmensregister, die Modelle seiner beiden Autos über ein von einem Handwerker gepostetes Foto seiner Garage, den Sportverein, in den er dienstagabends ging, den Namen und das Gesicht seiner Assistentin, seine drei letzten Geschäftsreisen über LinkedIn und das Pariser Hotel, das er systematisch buchte. Währenddessen hatte sein CISO gerade für 210 k€ EDR auf dem Gerätepark unterschrieben. Der Vorstandsvorsitzende selbst gab seine Überweisungen von seinem privaten Telefon frei, ohne Hardware-MFA, im Zug.

Die spezifischen Angriffsvektoren

BEC und CEO-Fraud

Das typische Szenario erfordert nicht einmal, ein Konto zu kompromittieren. Der Angreifer usurpiert die Domain — ein geändertes Zeichen, eine plausible Subdomain, ein identischer Anzeigename — und schreibt an die Finanzleitung mit einer „dringenden und vertraulichen” Überweisungsanfrage. Wenn das Konto tatsächlich kompromittiert ist (Phishing, Credential Stuffing, Leak-Datenbank mit wiederverwendetem Passwort), wird der Angriff nahezu unauffindbar: Die Nachricht geht vom echten Postfach aus, im echten Gesprächsverlauf, mit dem echten Stil.

Der zentrale Schutz ist nicht technisch, er ist prozedural: systematische Out-of-Band-Verifizierung für jede Überweisung oberhalb einer Schwelle, über einen anderen Kanal als den der Anfrage, an eine bereits bekannte Nummer. Diese Prozedur muss sogar — gerade dann — gelten, wenn die Anfrage scheinbar vom Vorstandsvorsitzenden selbst kommt. Die Führungskraft muss sie öffentlich verteidigen, sonst wird ihr Finanzteam sie umgehen, um sie nicht zu stören.

Gezieltes Spear-Phishing

Anders als das Massen-Phishing ist das Spear-Phishing gegen eine Führungskraft auf einer gründlichen Aufklärung aufgebaut: jüngster Terminkalender, abgeschöpft von LinkedIn, laufendes Projekt aus einer Pressemitteilung, Rednerliste einer Veranstaltung, imitierter Kommunikationston. Die Nachricht ist glaubwürdig, weil sie exakt ist. Sie verweist auf eine Besprechung, die tatsächlich stattgefunden hat, auf einen realen Gesprächspartner, auf ein laufendes Dossier.

Die Verteidigung ist verhaltensbezogen, nicht technisch. Ein Link in einer E-Mail darf, wie glaubwürdig er auch sei, nie eine sensible Handlung ohne Out-of-Band-Verifizierung auslösen. Der zu installierende Reflex: genau dann langsamer werden, wenn die Nachricht zur Eile drängt.

Audio- und Video-Deepfake

Die Stimmsynthese aus wenigen Minuten Audio ist heute zugänglich, schnell und kostengünstig. Der Echtzeit-Video-Deepfake, vor zwei Jahren noch unvollkommen, ist mittlerweile in einer Videokonferenz minderer Qualität nutzbar. Die dokumentierten Fälle häufen sich: Anrufe mit synthetisierter Stimme, die eine Überweisung anordnet, falsche Videoschalten der „Geschäftsführung”, die eine Operation freigibt. Die Stimmprobe stammt aus Ihren Interviews, aus Ihren Podcasts, aus Ihren öffentlichen Wortmeldungen. Sie haben sie selbst online gestellt.

Der Schutz kann nicht auf der Erkennung der Stimme oder des Gesichts beruhen. Er beruht auf einem mündlichen, Out-of-Band geteilten Passwort für sensible Operationen und auf der absoluten Regel, dass keine Finanz- oder Zugangsanweisung allein auf Grundlage eines Anrufs oder einer Videoschalte freigegeben wird.

Angriffe über das Umfeld

Die Assistenz, der Ehepartner, die erwachsenen Kinder, die üblichen Dienstleister — jeder ist ein indirekter Zugangsvektor, oft einfacher als die Führungskraft selbst. Das Telefon einer Assistenz zu kompromittieren liefert den Terminkalender, die Kontakte, die Reisegewohnheiten. Das Instagram-Profil eines Kindes liefert die Familienroutine, die Schule, das Ferienhaus. Der Angreifer nimmt den am wenigsten bewachten Weg, und dieser Weg umgeht fast immer die Führungskraft direkt.

Das persönliche Gerät als Einfallstor

Das private Telefon der Führungskraft konzentriert alles: heimlich synchronisierte geschäftliche E-Mails, Bankfreigaben, Messenger, geolokalisierte Fotos, schlecht gepflegte Anwendungen. Es wird weder vom MDM des Unternehmens verwaltet, noch vom EDR abgedeckt, noch in die kontrollierten Backups einbezogen. Es ist der wertvollste und am wenigsten geschützte Vermögenswert. Ein SIM-Swap auf die private Nummer, und der Angreifer fängt die TOTP-Codes per SMS von der Hälfte der Konten ab.

Der richtige Ansatz: rahmen, ohne zu kontrollieren

Der Umschwung passt in einen Satz: Man sichert eine Führungskraft nicht, indem man ihr die Regeln des Mitarbeitenden aufzwingt, man sichert sie, indem man einen Schutz konzipiert, der sich an ihre reale Bandbreiten-Einschränkung anschmiegt. Jede Maßnahme, die die Führungskraft ohne Grund verlangsamt, wird umgangen. Jede Maßnahme, die nach der Installation unsichtbar ist, wird eingehalten. Die Kunst besteht darin, die Reibung von der Nutzung in die Konfiguration zu verlagern.

Das Hardware-MFA statt des einschränkenden MFA. Die Führungskraft lehnt das TOTP per App ab, weil man das Telefon herausholen, die App öffnen, einen Code abtippen muss, sechsmal am Tag. Geben Sie ihr zwei Hardware-FIDO2-Schlüssel (YubiKey, einen Haupt-, einen Ersatzschlüssel). Eine Berührung, kein abzutippender Code, von Bauart aus phishing-resistent. Die Reibung verschwindet, sobald der Schlüssel registriert ist. Es ist das einzige MFA, das eine Führungskraft wirklich beibehält.

Die Kompartimentierung statt des Verbots. Der Führungskraft zu verbieten, ihr privates Telefon zu nutzen, scheitert immer. Ihr ein zweites, sensiblen Themen gewidmetes Gerät bereitzustellen — M&A, Rechtsstreitigkeiten, personenbezogene Daten — funktioniert, sofern es ebenso flüssig ist wie ihres. Das geschäftliche Gerät wird zum Kanal der kritischen Entscheidungen; das private bleibt für das Privatleben. Die Trennung schützt die Information, ohne von der Führungskraft zu verlangen, ihre grundlegenden Gewohnheiten zu ändern.

Die Prozeduren, die sich ohne sie auslösen. Die Führungskraft darf nicht die Hüterin der Prozeduren sein, sie muss deren Nutznießerin sein. Die Out-of-Band-Verifizierung der Überweisungen, der Zugangswiderruf im Falle eines Vorfalls, das automatische verschlüsselte Backup ihrer Geräte, all das läuft im Hintergrund, betrieben von jemand anderem. Die Führungskraft validiert einmal die Konzeption und denkt dann nicht mehr daran.

Das Briefing vor Risikoreisen, kurz und persönlich. Kein 40-Seiten-Dokument. Ein fünfzehnminütiger Austausch vor einer Reise in eine sensible Zone: jungfräuliches Reisegerät, Kommunikation über Signal, keine Verbindung zu den Systemen über das lokale Hotelnetz, Verhalten im Falle einer Beschlagnahme an der Grenze (Grenzdurchsuchung) oder einer Entsperrungsaufforderung (erzwungene Offenlegung). Fünfzehn Minuten verankern einen Reflex, den vierzig Seiten nicht schaffen.

Das persönliche Expositions-Audit, wie Aufklärung behandelt. Defensives OSINT über die Führungskraft selbst, ein- bis zweimal jährlich, durch einen Dritten, der bei null beginnt wie ein realer Gegner. Das Ergebnis ist fast immer alarmierender als erwartet, und genau das ist es, was die Zustimmung der Führungskraft zu den übrigen Maßnahmen freisetzt. Nichts überzeugt einen Vorstandsvorsitzenden so sehr, wie seine Privatadresse und das Gesicht seiner Assistentin in vier Stunden aufgetaucht zu sehen.

Was das konkret bedeutet

Angle de lecture

Particulier RSSI / DSI CEO

Für Sie als Privatperson

Ihre persönliche Exposition ist das Einfallstor jedes Angriffs gegen Ihre Organisation. Nicht Ihre Firewall: Sie. Der Angreifer baut seinen Ansatz aus dem auf, was über Sie öffentlich ist, und Sie sind die einzige Person, die entscheiden kann, diese Angriffsfläche zu verringern. Das Expositions-Audit ist keine Option, es ist Ihre Priorität.

Ihre drei Prioritäten, diese Woche:

Zwei Hardware-FIDO2-Schlüssel auf Ihren kritischen Konten. Haupt-E-Mail, Bank, wichtige geschäftliche Konten. Ein YubiKey kostet 50 bis 70 €, nehmen Sie zwei (Haupt- + Ersatzschlüssel). Eine Berührung, kein abzutippender Code, und es ist das einzige MFA, das dem Spear-Phishing widersteht. Geben Sie den Code per SMS auf, der für den SIM-Swap anfällig ist.
Die Regel „niemals allein auf Grundlage einer Nachricht”. Entscheiden Sie es und sagen Sie es Ihrer Finanzleitung und Ihrer Assistenz: keine Überweisung, keine Änderung der Bankverbindung, kein Zugang wird ohne einen Rückruf auf eine bereits bekannte Nummer freigegeben. Auch wenn die Anfrage scheinbar von Ihnen kommt. Das ist kostenlos und stoppt den CEO-Fraud.
Ein Selbst-Audit der Exposition an einem Abend. Suchen Sie sich im Handelsregister und im Unternehmensregister, prüfen Sie Ihre E-Mail-Adressen auf Have I Been Pwned, schauen Sie sich Ihr LinkedIn ausgeloggt an. Sie werden sehen, was ein Gegner sieht. Schalten Sie die Geolokalisierung Ihrer Posts ab. Bitten Sie Ihre Kinder, ihre Netzwerke abzuriegeln. Budget: null, abgesehen von den FIDO2-Schlüsseln.

Die realen Kosten dieser drei Prioritäten liegen unter 200 €. Die Kosten einer einzigen betrügerischen Überweisung belaufen sich auf Hunderttausende Euro.

Für Sie als CISO / IT-Leitung / Geschäftsführung

Die Führungskraft ist das am stärksten exponierte und am wenigsten geschützte Glied Ihrer Organisation. Sie lehnt das einschränkende MFA ab, reist ohne Vorbereitung, entscheidet auf ihrem privaten Telefon. Sie zu sichern ist kein technisches Problem, es ist ein Problem der Konzeption und der Governance. Der Umschwung organisiert Ihren Ansatz an fünf Punkten neu.

1. Behandeln Sie die individuelle Exposition der Führungskraft als organisatorischen Vermögenswert. Der Angreifer zielt nicht zuerst auf Ihre Infrastruktur, er zielt auf Ihren Vorstandsvorsitzenden, Ihren Finanzchef, Ihren Justiziar. Das OSINT über die natürliche Person ist die Vorbedingung des Angriffs auf die Organisation. Direkte Konsequenz: Integrieren Sie das Expositions-Audit der Schlüsselpersonen in Ihr Sicherheitsprogramm, auf demselben Rang wie ein Anwendungs-Pentest, ein- bis zweimal jährlich pro sensiblem Profil.

2. Konzipieren Sie die Reibung zum Zeitpunkt der Konfiguration, niemals zum Zeitpunkt der Nutzung. Eine Führungskraft umgeht jede Maßnahme, die sie in der Besprechung verlangsamt. Das Hardware-FIDO2, die Kompartimentierung durch ein dediziertes Gerät, die von einem Dritten betriebenen Prozeduren: All das verlagert den Aufwand in die Installation und befreit die Nutzung. Direkte Konsequenz: Verbannen Sie das TOTP per SMS für die exponierten Profile, rollen Sie zwei FIDO2-Schlüssel pro Führungskraft aus, und verlangen Sie nie von der Führungskraft, die Hüterin einer Prozedur zu sein.

3. Institutionalisieren Sie die Out-of-Band-Verifizierung und lassen Sie sie von der Führungskraft verteidigen. Die Anti-BEC-Prozedur taugt nur, wenn sie auf die Anfragen anwendbar ist, die von der Führungskraft selbst kommen, und wenn das Finanzteam keine Angst hat, sie auszulösen. Direkte Konsequenz: schriftliche Schwelle, vorgeschriebener Rückrufkanal und öffentliche Erklärung der Führungskraft, dass sie zurückgerufen werden will. Ohne diese ausdrückliche Schirmherrschaft wird die Prozedur beim ersten „es ist dringend” umgangen.

4. Decken Sie das persönliche Gerät ab, das außerhalb Ihres Perimeters, aber in Ihrem Risiko liegt. Das private Telefon der Führungskraft synchronisiert geschäftliche E-Mails, gibt Zugänge frei, geolokalisiert Fotos. Es entzieht sich dem MDM und dem EDR. Direkte Konsequenz: Stellen Sie ein sensiblen Entscheidungen gewidmetes geschäftliches Gerät bereit, sperren Sie die Nummer beim Betreiber gegen den SIM-Swap, und migrieren Sie die Bankfreigabe auf eine App oder einen Schlüssel, niemals die SMS.

5. Erweitern Sie die Standards auf das operative Umfeld. Die Vorstandsassistenz ist eine Verlängerung der Führungskraft: Terminkalender, Kontakte, Reisen, manchmal Zugang zu den Systemen. Sie zu ignorieren schafft eine offensichtliche Lücke. Direkte Konsequenz: Schulen und rüsten Sie die Assistenz nach denselben Standards aus wie die Führungskraft, und beziehen Sie sie in die Briefings und die Incident-Response-Prozeduren ein.

Für Sie als Geschäftsführung

Sie sind das am stärksten exponierte Glied Ihrer Organisation und das am wenigsten geschützte. Nicht aus Nachlässigkeit. Von Bauart. Sie sind ein wertvolles Ziel — ein Zugang, Finanzströme, eine Unterschrift — und Ihre persönliche Exposition ist der kürzeste Weg zu allem anderen. Der Angreifer durchbricht nicht Ihre Firewall. Er studiert Sie.

Was sich konkret ändert, ist nicht technisch. Es ist eine Frage der Priorität und der persönlichen Disziplin.

Auditieren Sie zuerst Ihre eigene Exposition. Vor der Infrastruktur, vor dem EDR, vor dem nächsten Werkzeug, das Ihr CISO kaufen will: das, was über Sie öffentlich auffindbar ist. Ihre Privatadresse, Ihre jüngsten Reisen, das Gesicht Ihrer Assistentin, Ihre E-Mail-Konten in den Lecks. Ein Dritter, der bei null beginnt, wie ein realer Gegner, ein- bis zweimal jährlich. Das Ergebnis wird Sie überraschen, und genau das wird Sie das Übrige akzeptieren lassen. Man schützt nicht, was man nicht angeschaut hat.

Setzen Sie einen physischen Schlüssel auf Ihre kritischen persönlichen Konten. Nicht Ihre geschäftlichen Konten, die die IT bereits verwaltet. Ihre eigenen: Ihre Bank, Ihr Haupt-Postfach, Ihre sozialen Netzwerke. Sie sind es, die als Umschlagpunkt zum Übrigen dienen. Zwei Hardware-Schlüssel, einer als Haupt-, einer als Ersatzschlüssel. Geben Sie den Code per SMS auf, der für ein lohnendes Ziel binnen eines Tages fällt. Sie sind immer lohnend.

Überwachen Sie, was Sie veröffentlichen. Jeder Post enthüllt einen Kalender, einen Standort, einen Gesprächspartner. Jedes Interview liefert die Stimmprobe, die dazu dienen wird, Ihre Stimme zu imitieren. Diese Sichtbarkeit konstruieren Sie für das Geschäft. Sie nährt kostenlos die Aufklärung jedes, der sich für Sie interessiert. Sie müssen nicht verschwinden. Sie müssen bewusst entscheiden, was Sie preisgeben.

Das schwache Glied ist nicht der Mitarbeitende, der auf den falschen Link klickt. Es ist die Führungskraft, die die Einschränkung ablehnt, weil sie der Chef ist. Die Ausnahme, die Sie sich gewähren — „ich habe es eilig, das machen wir später” — ist genau die, auf die der Angreifer wartet. Die Sicherheit beginnt bei Ihnen, oder sie beginnt nicht.

Fehler, die man ständig sieht

Glauben, die Unternehmenssicherheit decke die Führungskraft ab. Sie deckt die Infrastruktur ab, nicht die Person. Der tote Winkel zwischen den beiden Perimetern ist genau die Angriffszone.
Die Führungskraft wie einen Mitarbeitenden auf Phishing schulen. Die Signale des Massen-Phishings (Fehler, seltsame Adresse) existieren bei einem gezielten Angriff nicht. Die Schulung für die breite Masse beruhigt, ohne vorzubereiten.
Die MFA-Ausnahme der Führungskraft dulden. „Sie hat es eilig, das holen wir später nach”: Es ist diese Ausnahme, die die Führungskraft zum wertvollsten Glied für den Angreifer macht. Ein FIDO2-Schlüssel beseitigt die Reibung, keine Ausrede mehr.
Die SMS als zweiten Faktor behalten. Der SIM-Swap umgeht die SMS binnen eines Tages für ein lohnendes Ziel. Und eine Führungskraft ist immer lohnend.
Überweisungen allein auf Grundlage einer E-Mail oder eines Anrufs freigeben lassen. Das ist das Einfallstor des CEO-Fraud und des Stimm-Deepfakes. Die Out-of-Band-Verifizierung kostet zwei Minuten und stoppt den Angriff.
Die Assistenz und das Umfeld vergessen. Der am wenigsten bewachte Weg umgeht die Führungskraft. Die ungeschulte Assistenz, das Kind, das geolokalisiert, der Ehepartner in einem öffentlichen WLAN: lauter indirekte Eingänge.
In eine Risikozone ohne Reisegerät reisen. Das übliche Laptop, das in einem Hotelzimmer in Peking zurückgelassen wird, ist bei der Rückkehr nicht mehr Ihres. Ein jungfräuliches Gerät kostet 600 €, ein Vorfall von Wirtschaftsspionage kostet eine Strategie.
Ein Expositions-Audit nur einmal durchführen. Ein zwei Jahre altes Audit ist falsch: neue Lecks, neue Mandate, neue Fotos. Der Zyklus beträgt sechs Monate, drei für die sehr exponierten Profile.

Umsetzbare Checkliste

N1 Zwei Hardware-FIDO2-Schlüssel auf der E-Mail und den kritischen Konten (die SMS aufgeben)
N1 Die Geolokalisierung der öffentlichen Posts abschalten und das eigene LinkedIn ausgeloggt auditieren
N1 Schriftliche Regel: keine Überweisung und kein Zugang allein auf Grundlage einer E-Mail, eines Anrufs oder einer Videoschalte freigegeben
N2 Out-of-Band-Verifizierungsprozedur der Überweisungen, angewandt auch auf die Anfragen der Führungskraft
N2 Sensiblen Themen gewidmetes geschäftliches Gerät (M&A, Rechtsstreitigkeiten, personenbezogene Daten)
N2 Die persönliche Nummer beim Betreiber gegen den SIM-Swap sperren
N2 Vorstandsassistenz nach denselben Sicherheitsstandards geschult und ausgerüstet
N2 Mündliches, Out-of-Band geteiltes Passwort für sensible Operationen (Anti-Deepfake)
N3 OSINT-Audit der persönlichen Exposition, ein- bis zweimal jährlich, durch einen Dritten
N3 Jungfräuliches Reisegerät und 15-Minuten-Briefing vor jeder Risikozone
N3 Vierteljährliche Verfolgung der Quote der von den drei Grundmaßnahmen abgedeckten exponierten Profile

Zum Vertiefen

Die offiziellen Referenzen stehen im Frontmatter: Die BEC-Statistiken des IC3 des FBI liefern das reale Ausmaß des CEO-Fraud, die Empfehlungen des BSI rahmen die Mehr-Faktor-Authentisierung für die sensiblen Profile, und das Bedrohungspanorama der ENISA verortet die Führungskraft in der europäischen Landschaft.

Dieser Artikel deklinert ein breiteres Prinzip, angewandt auf ein besonderes Profil: Ihre externe Exposition geht jedem Angriff voraus, und die Führungskraft ist deren bevorzugtes Ziel. Um zu kartieren, was bereits über Sie öffentlich ist, beginnen Sie mit Das Expositions-Audit. Um Ihre Identitäten und Ihre Kanäle dauerhaft zu trennen, siehe Identitäts-Kompartimentierung. Und um die Reisen Ihrer exponierten Profile zu rahmen, ohne ins Dokumenten-Theater zu verfallen, lesen Sie Unternehmens-Reiserichtlinie.

Quellen und weiterführende Literatur

FBI IC3 — Business Email Compromise Statistics [official]
BSI — Empfehlungen zur Mehr-Faktor-Authentisierung [official]
ENISA Threat Landscape [official]