Eine Mail kündigt eine neue Bankverbindung an. Absendername und Rechnung sehen vertraut aus, die Zahlung soll möglichst noch heute raus. In einer Schulung lässt sich schnell sagen: Erst prüfen, dann überweisen. Schwieriger wird es bei der nächsten Frage. Welche Nummer rufen wir dafür an?
Genau bis zu diesem Punkt sollte ein Sicherheitstraining gehen. Eine verdächtige Nachricht zu erkennen hilft wenig, wenn danach niemand weiß, wo der verlässliche Kontakt steht oder wer die Zahlung anhalten darf.
Eine verdächtige Rechnung gemeinsam prüfen
Mein Vorschlag: Das Team bekommt eine erfundene Rechnung mit einer geänderten Bankverbindung und bearbeitet den Vorgang mit den Hilfsmitteln, die es auch sonst benutzt. Alle wissen, dass es eine Übung ist. Es wird nichts überwiesen, und niemand gibt Zugangsdaten ein.
Die zuständige Person sucht den bereits bekannten Lieferantenkontakt heraus. Die Telefonnummer in der fraglichen Mail reicht dafür nicht aus – sie stammt schließlich aus derselben Nachricht, deren Angaben gerade geprüft werden sollen. Anschließend wird geklärt, wer die Änderung bestätigen muss und wo das Ergebnis festgehalten wird.
Schon dieser kurze Ablauf kann zeigen, wo etwas fehlt. Die Kontaktdaten liegen vielleicht nur im Postfach einer Kollegin. Die Kollegin ist im Urlaub. Oder die Buchhaltung darf einen Vorgang zwar zurückstellen, weiß aber nicht, ob die Leitung eine Verzögerung akzeptiert.
Dann braucht es eine Änderung im Arbeitsablauf. Noch einmal „Vorsicht vor Phishing“ auf eine Folie zu schreiben löst das Problem nicht.
Warum ein bekannter Kontakt wichtig ist
Das BSI beschreibt, wie sich Stimmen und Gesichter mit Deepfakes nachahmen lassen. Bei einer ungewöhnlichen Zahlungsanweisung sollte deshalb auch ein überzeugender Anruf durch einen unabhängig bekannten Kontakt geprüft werden.
Wie wenig selbstverständlich die Beschäftigung mit solchen Fragen ist, zeigt der Cybersicherheitsmonitor 2026 von BSI und Polizeilicher Kriminalprävention: 40 Prozent der Befragten beschäftigen sich erst mit Cybersicherheit, wenn ein Problem auftritt. Befragt wurden im Januar 2026 insgesamt 3.060 Personen ab 16 Jahren in Deutschland. Daraus lässt sich nichts über ein einzelnes Team ableiten. Für eine Schulung ist es aber ein guter Anlass, den Umgang mit einem Vorfall vorab durchzugehen.
Das Beispiel muss zur Einrichtung passen. Bei einer Stiftung geht es vielleicht um die Bankverbindung eines Projektpartners. In einer Beratungsstelle wäre eine angebliche IT-Anfrage ans Sekretariat näher am Alltag. Echte Zahlungs- oder Klientendaten braucht die Übung in beiden Fällen nicht.
Arne Allisat, Leiter für E-Mail-Sicherheit bei GMX und WEB.DE, sagt im Spam-Report vom 11. August 2026:
„Digitale Sicherheit ist kein zeitlich begrenztes Projekt, sondern eine Daueraufgabe“
Der Bericht von GMX und WEB.DE beschreibt unter anderem persönlich zugeschnittene Rechnungsfälschungen. Das ist die Einschätzung eines E-Mail-Anbieters auf Grundlage seiner Plattformdaten. Für eine Phishing-Schulung im Unternehmen spricht sie dafür, auch sorgfältig gestaltete Nachrichten zu verwenden. Rechtschreibfehler sind kein verlässlicher Trainingsplan.
Zuständigkeiten und Meldewege klären
Ich würde darauf achten, ob die Beteiligten einen verlässlichen Kontakt finden und ohne Umwege die richtige Person erreichen. Auch Wartezeiten gehören ins Protokoll. Wenn eine Freigabe nur durch jemanden möglich ist, der selten erreichbar ist, liegt das Problem nicht bei der Mitarbeiterin vor dem Bildschirm.
Die Leitung muss außerdem deutlich machen, dass eine begründete Rückfrage erwünscht ist. „Prüf das sorgfältig“ und „Das muss sofort erledigt werden“ passen schlecht zusammen, wenn für beides dieselben fünf Minuten vorgesehen sind.
Und falls jemand schon geklickt hat? Auch dann braucht es eine erreichbare Anlaufstelle. Eine schnelle Meldung sollte leichtfallen, statt erst eine lange Rechtfertigung zu verlangen.
Halten Sie die Antworten auf einem Blatt fest, das die Buchhaltung später tatsächlich findet:
| Vor einer Änderung der Bankverbindung | Eintrag Ihres Teams |
|---|---|
| Wo liegt der bereits bekannte Lieferantenkontakt? | System oder Ordner und zuständige Person eintragen. |
| Wer prüft die Änderung über diesen Kontakt? | Name oder Rolle mit Vertretung eintragen. |
| Wer darf den Vorgang bis zur Klärung anhalten? | Befugnis ausdrücklich festhalten. |
| Wer gibt die Änderung anschließend frei? | Freigaberolle und Ablage des Prüfergebnisses eintragen. |
Lassen Sie anschließend jemanden aus der Vertretung den Kontakt suchen. Muss diese Person erst herumfragen, ist das Blatt noch nicht brauchbar.
Bei einem späteren Termin lässt sich der Ablauf mit einer anderen Nachricht wiederholen. So wird sichtbar, ob der Prüfweg auch ohne das vertraute Beispiel funktioniert. Ein Nachweis für weniger Betrugsschäden ist das noch nicht. Es zeigt zunächst, ob das Team im entscheidenden Moment weiterkommt.
Über Medienkundig können Sie einen Security-Awareness-Pilot für Ihr Team anfragen. Mitarbeitende bearbeiten dort Beispielnachrichten und erhalten eine Erklärung zu ihrer Entscheidung. Schwerpunkt und Termine werden vorab vereinbart. Den eigenen Kontakt- und Freigabeweg ergänzt Ihre Organisation; das Blatt oben hilft beim Vorbereiten.
Recherche: 10. September 2026. Titelbild: Foto von SumUp / Unsplash. Symbolbild; es zeigt kein Projekt oder Training von Medienkundig.