Eind mei 2024 werkte een financieel manager mee aan een voorlichtingsvideo over CEO-fraude. Half juli begon hij zelf met overmaken. Negenenvijftig keer, in vier weken. Een Duitse rechter heeft hem daar nu persoonlijk aansprakelijk voor gehouden, en zijn D&O-verzekering (een aansprakelijkheidsverzekering voor bestuurders en managers) maakte het voor hem eerder erger dan beter.
Het is het soort zaak waar je eerst om moet glimlachen en daarna even stil van wordt. Want het vier-ogenprincipe stond gewoon op papier. De training was gegeven. WhatsApp was zelfs geblokkeerd op zakelijke telefoons.
Wat er gebeurde bij deze CEO-fraude
De feiten komen uit de uitspraak van het Landesarbeitsgericht Köln van 31 juli 2026 (8 SLa 603/25), waar Security.NL over berichtte.
- De werknemer was als financieel manager verantwoordelijk voor het internationale betalingsverkeer van de Duitse dochter van een internationaal industrieconcern.
- Oplichters deden zich voor als zijn leidinggevende. Er was een vertrouwelijk nieuw project waarvoor geld naar buitenlandse rekeningen moest.
- De communicatie liep via zijn privé-WhatsApp en privé-e-mail. WhatsApp was op bedrijfstoestellen juist geblokkeerd.
- Tussen 15 juli en 9 augustus 2024 deed hij 59 handmatige overboekingen, buiten het gebruikelijke SAP-proces. De eerste was 1.770.000 euro. Volgens Security.NL ging het in totaal om meer dan vijftig miljoen euro; de uitspraak zelf noemt geen totaal.
- Het interne vier-ogenprincipe vulde hij in met een ondergeschikte collega.
- In een WhatsApp-bericht schreef hij dat hij wist dat hij een SOX-tekortkoming niet kon vermijden.
Het hof oordeelde dat de werknemer volledig aansprakelijk is. De door de werkgever betaalde D&O-verzekering sluit volgens het hof de gebruikelijke beperking van werknemersaansprakelijkheid uit. Het laatste woord is nog niet gesproken: revisie is toegelaten en de zaak ligt bij het Bundesarbeitsgericht.
Waarom een vier-ogenprincipe met één paar ogen niet werkt
Een vier-ogenprincipe veronderstelt twee onafhankelijke beoordelaars. Als het tweede paar ogen rapporteert aan het eerste, heb je geen controle maar een getuige. Die getuige hoort bovendien dat het vertrouwelijk is en dat de details later komen. Dat is geen falen van de collega; dat is het ontwerp.
ISO 27002 noemt dit functiescheiding (control 5.3): conflicterende taken en verantwoordelijkheden scheiden. De vraag die een auditor zou moeten stellen is niet of er twee handtekeningen zijn, maar of de tweede ondertekenaar ‘nee’ kan zeggen zonder carrièrerisico. En of het systeem dat afdwingt, of alleen het beleidsdocument.
Het tweede lek zit in het woord ‘handmatig’. Het reguliere betaalproces liep via SAP, met de controles die daarin zitten. Deze 59 betalingen liepen eromheen. Elke organisatie heeft zo’n nooduitgang voor spoedbetalingen. De vraag is of die nooduitgang een alarm heeft.
Security awareness is geen beheersmaatregel
Deze man wist het. Hij had meegewerkt aan de video. Hij schreef zelf dat hij een SOX-tekortkoming veroorzaakte. Kennis ontbrak niet; de druk van een vermeende baas en een geheim project woog zwaarder.
Dat is de ongemakkelijke les voor iedereen die awareness als vinkje in het ISMS heeft staan. Bewustwording, opleiding en training (ISO 27002 control 6.3) zijn nodig, maar ze verlagen een kans, geen impact. Een goede aanvaller richt zich niet op wat mensen niet weten. Hij richt zich op het moment waarop ze besluiten het even te negeren.
Ook het kanaal verdient aandacht. WhatsApp blokkeren op de zakelijke telefoon is prima, tot het gesprek naar de privételefoon verhuist. Afspraken over informatieoverdracht (control 5.14) zijn pas sterk als ze ook zeggen wat je doet als iemand je via een ander kanaal benadert: terugbellen op een bekend nummer, nooit op het nummer uit het bericht. Het verhuizen van het gesprek was volgens de eerste rechter al verdacht. Dat is precies het signaal dat een proces moet vangen, niet een mens.
Wie betaalt de rekening: aansprakelijkheid na betaalfraude
In deze zaak draait het individu op voor een procesgat. Je kunt dat terecht vinden, gezien de rode vlaggen. Maar voor een organisatie is het een schrale troost: de schade is er al, en een werknemer verhalen is geen herstelplan.
Interessanter is de vraag die het bestuur zichzelf moet stellen. Wie heeft dit betaalproces goedgekeurd, inclusief de handmatige uitzondering? NIS2 (artikel 20) en de Cyberbeveiligingswet die deze richtlijn in Nederland invoert, leggen bij bestuurders van onder de wet vallende organisaties expliciet de taak om beveiligingsmaatregelen goed te keuren en op de uitvoering toe te zien, en om zelf training te volgen. Dat is een ander regime dan deze arbeidsrechtelijke zaak, maar de richting is dezelfde: wie het proces ontwerpt, wordt er ook op aangesproken.
En de D&O-polis? Die bleek hier geen schild maar een argument. Het is verstandig om met de verzekeraar en de jurist na te gaan wat jouw polis doet in een vergelijkbaar scenario, in plaats van dat na de 59ste overboeking te ontdekken.
Drie vragen voor maandagochtend
- Kan de tweede goedkeurder van een spoedbetaling hiërarchisch onafhankelijk ‘nee’ zeggen, en dwingt het systeem af dat het iemand anders is dan een ondergeschikte?
- Welke betalingen kunnen buiten het reguliere betaalproces om, en wie krijgt automatisch een melding als dat gebeurt?
- Wat is de afgesproken reactie als een ‘bestuurder’ via een privékanaal om een vertrouwelijke betaling vraagt, en is die reactie ooit geoefend in plaats van alleen uitgelegd?
De video was af. Het proces nog niet.
