Inhalt in Kürze
- CEO-Fraud per Deepfake ist kein Hack, sondern eine vom eigenen Mitarbeiter freiwillig freigegebene, autorisierte Überweisung nach einer Täuschung. Genau diese Einordnung entscheidet, welche Police zahlt.
- Die Standard-Cyberpolice greift hier oft nicht: Sie setzt eine Verletzung des eigenen Netzwerks voraus und schließt den reinen Geldabfluss ausdrücklich aus.
- Der passende Schutz ist die Vertrauensschadenversicherung (VSV) — nicht die Cyber-Police. Ein Social-Engineering-Baustein in der Cyber-Police ist meist stark sublimitiert und nur ein Notnagel.
- Versicherer zahlen nur bei gelebten Freigabeprozessen: Rückruf-Verifikation und Vier-Augen-Prinzip sind zugleich Leistungsbedingung — und der beste Schutz, damit ein gefälschter Anruf ins Leere läuft.
Wenn ein gefälschter Anruf oder ein Deepfake-Videocall einen Mitarbeiter zu einer Überweisung verleitet, gehen viele Geschäftsführer im norddeutschen Mittelstand davon aus, dass die Cyberversicherung den Schaden trägt. Genau hier liegt der teuerste Irrtum. CEO-Fraud ist juristisch keine Hacking-Attacke. Es ist eine vom eigenen Mitarbeiter freiwillig freigegebene, autorisierte Überweisung nach einer Täuschung. Weil dabei kein Netzwerk kompromittiert wird, greift die Standard-Cyberpolice meist nicht — und der reine Geldabfluss ist sogar ausdrücklich ausgeschlossen.
Dieser Artikel dreht die Perspektive bewusst weg von der Technik des Deepfakes und hin zur Deckungsfrage: Welche Police zahlt eigentlich, wenn das Geld weg ist? Wir zeigen, warum die Cyber-Police hier oft passt wie der falsche Schlüssel ins Schloss, was ein deutsches Gericht dazu bereits entschieden hat und wie Sie als Geschäftsführer die Lücke schließen — mit dem richtigen Vertrag und mit Prozessen, die zugleich die Bedingung dafür sind, dass im Ernstfall überhaupt jemand zahlt.
Der Denkfehler: CEO-Fraud ist kein Hack
Beim CEO-Fraud — auch Fake President oder Business Email Compromise (BEC) genannt — wird kein System des Unternehmens kompromittiert. Ein autorisierter Mitarbeiter wird durch Täuschung dazu gebracht, eine Zahlung selbst und freiwillig freizugeben. Juristisch ist das Betrug nach Paragraf 263 StGB, kein technischer Angriff auf Ihre IT. Genau diese Unterscheidung entscheidet, welche Versicherung zahlt — und sie ist den meisten Geschäftsführern nicht bewusst.
Der Punkt ist heikel, weil moderne Angriffe technisch wirken. Eine täuschend echte E-Mail, ein per KI geklonter Stimm-Anruf (Deepfake-Vishing), ein täuschend echter Deepfake-Videocall mit dem vermeintlichen CFO: All das fühlt sich nach „Cyberangriff” an. Aus Sicht der Police war Ihr Netzwerk aber sauber. Es wurde kein Server verschlüsselt, kein Konto gehackt, keine Schwachstelle ausgenutzt. Manipuliert wurde ein Mensch — die Führungskraft wird imitiert, der Mitarbeiter unter Zeitdruck und mit künstlicher Dringlichkeit zur Zahlungsanweisung gedrängt. Und Schäden aus der Manipulation eines Menschen fallen in eine andere Versicherungssparte als Schäden aus der Verletzung einer Maschine. Das ist der Kern der Betrugsmasche: Die Angreifer brauchen nur wenige Sekunden Audiomaterial, um eine Stimme glaubhaft zu generieren, und setzen den Rest über Dringlichkeit, nicht über Technik durch.
Warum die Cyber-Police hier oft nicht greift
Die Cyber-Police definiert den Versicherungsfall typischerweise als eine Verletzung der Sicherheit des eigenen Netzwerks oder der eigenen IT-Systeme. Ohne diese Kompromittierung fehlt schlicht der Auslöser für die Leistung. Zusätzlich enthalten die Musterbedingungen einen Ausschluss für den Abfluss von Vermögenswerten der Versicherten — also genau für das Geld, das bei einer betrügerisch veranlassten Überweisung verloren geht. Diesen Ausschluss finden Sie in den Allgemeinen Versicherungsbedingungen für die Cyberrisiko-Versicherung des GDV in Abschnitt A1-17.8, eingebettet zwischen den Ausschlüssen für Finanzmarkttransaktionen und Vorsatz.
Damit treffen bei einem Deepfake-CEO-Betrug zwei Gründe zusammen, an denen die Cyber-Police scheitert: Es fehlt der Versicherungsfall (keine Netzwerksicherheitsverletzung), und selbst wenn man darüber streiten wollte, greift der Vermögensabfluss-Ausschluss. Die Spezialkanzlei Wirth Rechtsanwälte fasst die Tücken für den Mittelstand in ihrem Ratgeber zu BEC und Cyberversicherung zusammen: Wo kein eigenes System beeinträchtigt wird, fehlt der Anknüpfungspunkt für die Cyber-Deckung.
Das Urteil des Landgerichts Hagen
Dass dies kein theoretisches Risiko ist, zeigt ein deutsches Gerichtsurteil. Beim Landgericht Hagen klagte ein Unternehmen auf rund 85.000 Euro Schaden, der durch gefälschte E-Mails über einen kompromittierten Lieferanten-Server entstanden war. Das Gericht wies die Klage ab und stellte klar: Ein Cyberangriff im Sinne der Police liegt nur vor, wenn das eigene Netzwerk kompromittiert wird. Der reine Empfang gefälschter E-Mails ist kein Versicherungsfall. Den Fall dokumentiert das Portal Unternehmen Cybersicherheit zum Urteil des Landgerichts Hagen. Für Geschäftsführer ist das ein Weckruf: Wer auf die Cyber-Police vertraut, vertraut bei CEO-Fraud auf den falschen Vertrag.
Verlassen Sie sich nicht auf das Werbeblatt Ihrer Cyberversicherung, das „Social Engineering" oder „Cyber-Betrug" listet. Entscheidend ist, ob der Vermögensabfluss-Ausschluss greift und wie hoch das Sublimit für Betrugsdeckungen ist. Lassen Sie sich vom Makler den konkreten Klauseltext zeigen — nicht die Überschrift, sondern den Wortlaut samt Summe und Selbstbehalt.
Die drei Begriffe sauber getrennt
Damit die Diskussion mit Makler und Versicherer nicht im Nebel landet, lohnt es sich, drei Begriffe sauber auseinanderzuhalten:
- Cyber-Police: Deckt Eigen- und Drittschäden aus einer IT-Sicherheitsverletzung des eigenen Netzwerks — etwa Ransomware, Datenlecks, Betriebsunterbrechung. Schließt den reinen Geldabfluss aus.
- Vertrauensschadenversicherung (VSV): Deckt Vermögensschäden durch Vorsatztaten von Innen- und Außentätern, ausdrücklich auch den Fake-President-Betrug. Ersetzt den unmittelbaren Geldabfluss — also genau den Schaden, der bei CEO-Fraud entsteht.
- Cyber-Zusatzbaustein „Social Engineering”: Ein optionaler, meist stark sublimitierter Mini-Einschluss innerhalb der Cyber-Police. Ein Notnagel, kein vollwertiger Ersatz für eine VSV.
Wer diese drei Begriffe trennt, erkennt schnell, dass die Cyber-Police und die VSV unterschiedliche Risiken abdecken. Die Grundlagen zur Cyber-Deckung haben wir im Beitrag zur Cyber-Versicherung 2026 für den Hamburger Mittelstand beschrieben — dieser Artikel hier zeigt die Kehrseite: das Risiko, das die Cyber-Police gerade nicht trägt.
Was die Vertrauensschadenversicherung leistet
Die Vertrauensschadenversicherung ist historisch die Police gegen Untreue im eigenen Haus — gegen Diebstahl, Unterschlagung und Veruntreuung durch Innentäter. Moderne VSV-Verträge decken aber ausdrücklich auch strafbare Handlungen Dritter, darunter den Fake-President-Betrug. Das ist der entscheidende Punkt für die Deckungslücke: Die VSV ersetzt den unmittelbaren Vermögensschaden — also den eigentlichen Geldabfluss, der bei CEO-Fraud entsteht.
In den Side-by-Side-Beispielen der Versicherer ist die Rollenverteilung klar: Bei einem Fake-President-Betrug leistet die VSV, während die Cyberversicherung ablehnt — mit der Begründung, es liege keine Netzwerksicherheitsverletzung vor und Geldverluste seien ausgeschlossen. Das deutsche Beratungsportal finlex beschreibt die Vertrauensschadenversicherung als die unterschätzte Deckungslücke und bringt es für den deutschen Markt auf den Punkt: Lässt sich nicht beweisen, dass Täter unbefugt in das IT-System eingedrungen sind, greift die Cyber-Versicherung in der Regel nicht.
| Risiko | Standard-Cyber-Police | Vertrauensschadenversicherung (VSV) |
|---|---|---|
| Ransomware-Verschlüsselung des eigenen Netzwerks | typischerweise gedeckt | nicht das Kernrisiko |
| CEO-Fraud / Deepfake-Überweisung (autorisiert) | meist ausgeschlossen (Vermögensabfluss) | gedeckt (Fake President) |
| Reiner Geldabfluss nach Täuschung | ausdrücklich ausgeschlossen | unmittelbarer Schaden, gedeckt |
| Innentäter (Unterschlagung, Untreue) | nicht gedeckt | gedeckt |
| Datenleck / DSGVO-Drittschaden | typischerweise gedeckt | nicht das Kernrisiko |
Die Tabelle zeigt, warum beide Verträge nebeneinander gehören: Die Cyber-Police sichert die Maschine, die VSV den Geldabfluss durch Täuschung. Welcher Vertrag im konkreten Fall greift, entscheidet am Ende immer der genaue Bedingungstext Ihrer Police — die Übersicht sortiert nur, wo das Risiko grundsätzlich hingehört.
Der Social-Engineering-Baustein ist meist nur ein Notnagel
Manche Cyber-Policen bieten einen Zusatzbaustein „Cyber-Betrug” oder „Social Engineering” an. Das klingt nach Entwarnung, ist aber meist eine Mogelpackung. Solche Bausteine sind stark sublimitiert: Bei einem konkreten Beispiel-Anbieter sind sie auf 15 Prozent der Versicherungssumme gedeckelt, maximal 100.000 Euro. Bei einer Police über zwei Millionen Euro Deckungssumme bleiben für CEO-Fraud also nur 100.000 Euro übrig — bei oft höherem Selbstbehalt.
Setzen Sie das in Relation zum realen Schaden, ist die Lücke greifbar: Ein einzelner gelungener Deepfake-Betrugsversuch kann das Sublimit um ein Vielfaches sprengen. 100.000 Euro Deckung für einen Schaden, der schnell eine halbe Million erreicht, ist ein Notnagel — kein Ersatz für eine vollwertige Vertrauensschadenversicherung. Der Baustein kann sinnvoll sein, wenn Sie ihn als das verstehen, was er ist: eine erste Reserve, nicht der eigentliche Schutz. Der eigentliche Schutz gegen die manipulierte Überweisung sind ohnehin Ihre organisatorischen Maßnahmen — kein Versicherungsbaustein ersetzt einen sauberen Freigabeprozess.
Warum die Bedrohung gerade jetzt eskaliert
Die Deckungslücke wäre halb so wild, wenn das Risiko klein wäre. Es wächst aber rasant. Der Kreditversicherer Allianz Trade meldete Anfang 2026 eine Verdreifachung der Schäden durch Fake-President-Betrug für das Jahr 2024 und für 2025 einen weiteren Anstieg um rund 81 Prozent — und das, obwohl die reine Fallzahl sogar zurückging. Pro Fall wird also deutlich mehr Geld erbeutet. Treiber sind künstliche Intelligenz und Deepfakes: Die Betrüger formulieren makellose E-Mails, klonen Stimmen aus Sekunden Audiomaterial und erzeugen täuschend echte Videocalls. Die Betrugsmaschen werden dadurch nicht nur überzeugender, sondern auch skalierbar — ein einzelner Angreifer kann heute Dutzende Unternehmen parallel mit derselben Masche angehen.
Wie hoch ein Einzelschaden aus einem solchen Betrugsversuch ausfallen kann, zeigt der Fall des Ingenieurkonzerns Arup: Ein Finanzmitarbeiter in Hongkong überwies in mehreren Transaktionen rund 23 Millionen Euro, nachdem er in einer Videokonferenz vermeintlich den Finanzvorstand (CFO) und Kollegen gesehen hatte — alle per Deepfake-Video erzeugt. Den Vorfall beschreibt Capital zum Deepfake-Betrug bei Arup. Genau solche Einzelschäden aus einem Deepfake-CEO-Fraud fallen exakt in die Lücke zwischen Cyber- und Vertrauensschadenversicherung — und sie treffen längst nicht nur Konzerne.
Dass dabei der Mensch der Angriffspunkt ist und nicht die Technik, ist kein Zufall — es ist die Methode:
Beim Social Engineering handelt es sich um eine Technik zur gezielten Manipulation, die von Hackern eingesetzt wird. Die meisten Menschen sind in der Regel neugierig oder haben bestimmte Ängste und bauen manchmal zu schnell Vertrauen auf.
Philip KraatzGeschäftsführer, hagel IT-Services GmbH
Wie die Mechanik des Deepfake-CEO-Betrugs technisch funktioniert und mit welchen einfachen Regeln Sie sie ins Leere laufen lassen, vertiefen wir im Beitrag zum Deepfake-CEO-Betrug und Voice Cloning. Welche Spielarten Angreifer sonst nutzen, ordnet unsere Übersicht zu den gängigen Arten von Social Engineering ein.
Was Versicherer als Bedingung fordern
Ein Vertrag allein schützt nicht. Versicherer knüpfen die Leistung bei Betrugsdeckungen an Bedingungen, die Sie nachweisbar einhalten müssen — im Kern eine konsequente Verifizierung jeder Zahlung und die Schulung Ihrer Mitarbeiter gegen Manipulation. Wer diese Maßnahmen ignoriert, riskiert trotz passender Police die Leistungsverweigerung.
- Verpflichtender Rückruf vor jeder Zahlung. Vor einer ungewöhnlichen oder eiligen Überweisung muss der Auftrag über einen zweiten, bekannten Kanal verifiziert werden — Rückruf an die hinterlegte Nummer, nicht an die aus der E-Mail oder dem Anruf.
- Vier-Augen-Prinzip für Zahlungen. Keine relevante Überweisung wird von einer einzelnen Person allein freigegeben. Definierte Freigabeschwellen und ein zweiter Freigeber sind Pflicht.
- Klare, dokumentierte Freigaberichtlinien. Wer darf was bis zu welcher Höhe freigeben? Diese Regeln müssen schriftlich vorliegen — und im Schadenfall belegbar sein.
- Geschulte Mitarbeiter. Das Team muss Deepfake-Vishing und Fake-President-Muster kennen und wissen, dass ein Rückruf kein Misstrauen, sondern Vorschrift ist.
Diese Schutzmaßnahmen haben einen doppelten Wert. Sie sind die Bedingung dafür, dass die Versicherung im Ernstfall zahlt — und sie sind zugleich der wirksamste Schutz, damit der Schaden gar nicht erst entsteht. Eine gehärtete Zahlungsfreigabe lässt einen gefälschten Anruf oder Videocall schlicht ins Leere laufen. Wichtig zu verstehen: Es sind die organisatorischen Maßnahmen, die hier zählen, nicht eine technische Deepfake-Erkennung. Kein KI-Detektor ist so verlässlich wie ein konsequent gelebter Rückruf vor jeder ungewöhnlichen Zahlungsanweisung. Für regulierte Betriebe überschneiden sich diese Vorgaben ohnehin mit den technischen und organisatorischen Anforderungen der Informationssicherheit und der NIS2-Richtlinie — wer sie erfüllt, schlägt damit zwei Fliegen mit einer Klappe.
Wir sehen es jede Woche: Die Maßnahmen sind oft im Kopf vorhanden, aber nirgends festgehalten. Im Schadenfall zählt nur, was Sie belegen können — ein gelebter Rückruf-Prozess und ein Vier-Augen-Prinzip auf Papier sind mehr wert als jedes Versprechen am Telefon.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
So schließen Sie die Deckungslücke
Die gute Nachricht: Die Lücke ist schließbar, und der größte Teil davon liegt in Ihrer Hand. Es braucht zwei Bewegungen — eine versicherungstechnische und eine organisatorische.
- Police-Wortlaut prüfen. Lassen Sie sich den konkreten Klauseltext zeigen: Greift der Vermögensabfluss-Ausschluss? Wie hoch ist das Sublimit für Social Engineering, und wie hoch der Selbstbehalt?
- VSV gegen Baustein abwägen. Klären Sie mit Ihrem Makler, ob eine eigenständige Vertrauensschadenversicherung sinnvoller ist als ein kleiner, gedeckelter Cyber-Baustein — gemessen an Ihrem realen Schadenpotenzial.
- Zahlungsprozesse härten. Vier-Augen-Prinzip, fester Rückruf-Kanal, klare Freigaberichtlinien. Keine Überweisung allein auf Zuruf — auch nicht per Video.
- Team schulen. Mitarbeiter gegen Social Engineering und Deepfake-Vishing sensibilisieren, damit der Rückruf zur Selbstverständlichkeit wird.
- Jährlich abgleichen. Police und gelebte Prozesse einmal im Jahr nebeneinanderlegen, damit die Bedingungen im Schadenfall wirklich erfüllt sind.
Den ehrlichen Blick auf den Ist-Zustand beginnen wir bei jedem Kunden mit einer Cyber-Risikoanalyse gemeinsam mit der Geschäftsführung — nicht um Angst zu machen, sondern um zu sehen, wo Sie stehen und was als Erstes passieren muss. Wie eine solche Bestandsaufnahme in der Praxis aussieht, zeigt unsere Fallstudie zur Cyber-Risiko-Analyse im Mittelstand. Wer das große Bild sucht, findet die Einordnung in unserem Beitrag zum Cybersecurity-Risikomanagement für Geschäftsführer. Und falls bei Ihnen doch etwas passiert ist, hilft unser Leitfaden, was Sie bei einem Ransomware-Angriff tun können, statt vorschnell zu zahlen.
Würde ein gefälschter Anruf bei Ihnen eine Überweisung auslösen?
15 Minuten, kostenlos, ohne Vertriebsdruck. Wir prüfen mit Ihnen die Zahlungsfreigabe-Prozesse und richten Vier-Augen-Prinzip und Rückruf-Verifikation so ein, dass ein Deepfake ins Leere läuft — genau die Prozesse, die zugleich die Versicherung zahlen lassen.
Erstgespräch buchen →Vom Vertrag zum gelebten Prozess
Die Konsequenz dieser Lücke sehen wir in echten Schadenfällen — und sie trifft KMU genauso wie Konzerne:
Wir wären ein leichtes Opfer — das weiß ich. Da hätte ich gerne einen verlässlichen Partner, der davon mehr versteht als ich als Laie.
Die Kernbotschaft ist unbequem, spart Ihnen im Ernstfall aber einen sechsstelligen Betrag: Die Cyber-Police ist nicht die Vertrauensschadenversicherung. Verlassen Sie sich bei CEO-Fraud nicht auf den falschen Vertrag — und denken Sie daran, dass selbst der richtige Vertrag nur zahlt, wenn Ihre Freigabeprozesse nachweisbar gelebt werden. Nachweisbare Prozesse sind damit keine Empfehlung mehr, sondern die Eintrittskarte für die Deckung.
Ob Ihr Betrieb unter die NIS2-Pflichten fällt — und damit ohnehin dokumentierte technische und organisatorische Maßnahmen nachweisen muss —, klärt unser NIS2-Betroffenheits-Check in wenigen Minuten. Wir betreuen Unternehmen mit 5 bis 150 Mitarbeitern in Hamburg und Norddeutschland — vom ersten Geräte-Check bis zum laufenden Schutz. Unser Angebot für Managed IT Services startet bei rund 50 Euro pro Arbeitsplatz und Monat und sorgt dafür, dass Freigabeprozesse, MFA und Backups nicht nur existieren, sondern belegbar sind. Wenn Sie bereits eine eigene IT haben und nur die Sicherheitsschicht stärken wollen, ist unser Co-Managed IT-Modell der richtige Weg. Wie wir das technisch absichern, zeigt unsere Übersicht zu Cybersecurity aus Hamburg; einen Gesamtüberblick als IT-Dienstleister in Hamburg finden Sie auf der Standortseite.
Hinweis: hagel IT ist Ihr IT-Dienstleister, keine Versicherungsberatung. Die konkrete Wahl und Ausgestaltung Ihrer Cyber- und Vertrauensschadenversicherung klären Sie mit Ihrem Versicherungsmakler. Wir sorgen dafür, dass die technischen und organisatorischen Bedingungen erfüllt sind, die im Schadenfall über die Leistung entscheiden.
