Falsche Chef-Mails erfanden Rechnung, Freigabe und Mailverlauf

Im Postfach der Buchhaltung liegt eine Mail vom angeblichen CEO. Darin stehen eine ServiceNow-Rechnung über knapp 50.000 US-Dollar, eine Freigabe und ein weitergeleiteter Mailwechsel. Zwischen 3. und 5. August 2026 verschickte die Kampagne laut Microsoft mehr als eine Million solcher Nachrichten – für Finanzteams bleibt die Warnung akut.

Die Absender traten als CEO, CFO oder Präsident:in des jeweiligen Zielunternehmens auf und verlangten eine ACH-Zahlung. ACH ist ein in den USA verbreitetes System für elektronische Banküberweisungen. Die Mails kamen über Konten legitimer Drittanbieter-Maildienste. ServiceNow und die genannten Unternehmen waren laut Microsoft nicht kompromittiert.

Die Besonderheit ist die mitgelieferte Vorgeschichte. Die personalisierte Rechnung war gefälscht, der weitergeleitete Austausch vollständig erfunden. Dadurch wirkte der Kauf bereits geprüft und genehmigt – Rückfragen an die Führungskraft konnten unnötig erscheinen.

Microsoft fand ungewöhnlich ausführliche Kommentare im HTML-Code und auffallend einheitliche Strukturen. Diese Merkmale passen zu Vorlagen, die mit generativer KI erstellt wurden. Sie beweisen aber nicht, welche Teile tatsächlich von einem KI-Modell stammen.

87,7 Prozent der Nachrichten gingen an Empfänger:innen in den USA. Die knapp 50.000 US-Dollar waren die jeweilige Forderung und keine bestätigte Schadenssumme. Ob Unternehmen tatsächlich überwiesen haben, wissen wir nicht.

Die Kampagne zeigt, wie sich Rechnungsbetrug verändert. Gute Sprache und professionelles Design reichen nicht mehr als Echtheitsmerkmale. Eine erfundene Geschäftsgeschichte kann glaubwürdiger wirken als eine einzelne Zahlungsaufforderung, weil sie die vermeintlichen Belege gleich mitliefert.

Quellen

• Microsoft Security Research: Protecting organizations from AI-assisted executive impersonation and invoice fraud, 10.09.2026