Eine Mail kündigt eine neue Bankverbindung an. Absendername und Rechnung sehen vertraut aus, die Zahlung soll möglichst noch heute raus. In einer Schulung lässt sich schnell sagen: Erst prüfen, dann überweisen. Schwieriger wird es bei der nächsten Frage. Welche Nummer rufen wir dafür an?
Diese Frage gehört für mich in ein Sicherheitstraining. Eine verdächtige Nachricht zu erkennen hilft wenig, wenn danach niemand weiß, wo der verlässliche Kontakt steht oder wer die Zahlung anhalten darf.
Eine verdächtige Rechnung gemeinsam prüfen
Mein Vorschlag: Das Team bekommt eine erfundene Rechnung mit einer geänderten Bankverbindung und bearbeitet den Vorgang mit den Hilfsmitteln, die es auch sonst benutzt. Alle wissen, dass es eine Übung ist. Es wird nichts überwiesen, und niemand gibt Zugangsdaten ein.
Die zuständige Person sucht den bereits bekannten Lieferantenkontakt heraus. Die Telefonnummer in der fraglichen Mail reicht dafür nicht aus – sie stammt schließlich aus derselben Nachricht, deren Angaben gerade geprüft werden sollen. Anschließend wird geklärt, wer die Änderung bestätigen muss und wo das Ergebnis festgehalten wird.
Dabei fällt vielleicht auf, dass die Kontaktdaten nur im Postfach einer Kollegin liegen, die gerade im Urlaub ist. Oder die Buchhaltung darf einen Vorgang zwar zurückstellen, weiß aber nicht, ob die Leitung eine Verzögerung akzeptiert.
Die Übung hat dann eine konkrete Folge: Das Team braucht eine gemeinsam zugängliche Kontaktliste oder eine Absprache, wann Zahlungen zurückgestellt werden dürfen.
Warum ein bekannter Kontakt wichtig ist
Das BSI beschreibt, wie sich Stimmen und Gesichter mit Deepfakes nachahmen lassen. Bei einer ungewöhnlichen Zahlungsanweisung sollte deshalb auch ein überzeugender Anruf über bereits bekannte Kontaktdaten überprüft werden.
Wie wenig selbstverständlich die Beschäftigung mit solchen Fragen ist, zeigt der Cybersicherheitsmonitor 2026 von BSI und Polizeilicher Kriminalprävention: 40 Prozent der Befragten beschäftigen sich erst mit Cybersicherheit, wenn ein Problem auftritt. Befragt wurden im Januar 2026 insgesamt 3.060 Personen ab 16 Jahren in Deutschland. Daraus lässt sich nichts über ein einzelnes Team ableiten. Für eine Schulung ist es aber ein guter Anlass, den Umgang mit einem Vorfall vorab durchzugehen.
Das Beispiel muss zur Einrichtung passen. Bei einer Stiftung geht es vielleicht um die Bankverbindung eines Projektpartners. In einer Beratungsstelle wäre eine angebliche IT-Anfrage ans Sekretariat näher am Alltag. Echte Zahlungs- oder Klientendaten braucht die Übung in beiden Fällen nicht.
Arne Allisat, Leiter für E-Mail-Sicherheit bei GMX und WEB.DE, sagt im Spam-Report vom 11. August 2026:
„Digitale Sicherheit ist kein zeitlich begrenztes Projekt, sondern eine Daueraufgabe“
Der Bericht von GMX und WEB.DE beschreibt unter anderem persönlich zugeschnittene Rechnungsfälschungen. Das ist die Einschätzung eines E-Mail-Anbieters auf Grundlage seiner Plattformdaten. Für eine Phishing-Schulung im Unternehmen spricht sie dafür, auch sorgfältig gestaltete Nachrichten zu verwenden. Wer im Training nur nach Rechtschreibfehlern sucht, übersieht möglicherweise eine sprachlich einwandfreie Fälschung.
Zuständigkeiten und Meldewege klären
Ich würde darauf achten, ob die Beteiligten einen verlässlichen Kontakt finden und ohne Umwege die richtige Person erreichen. Auch Wartezeiten gehören ins Protokoll. Wenn eine Freigabe nur durch jemanden möglich ist, der selten erreichbar ist, liegt das Problem nicht bei der Mitarbeiterin vor dem Bildschirm.
Die Leitung muss außerdem deutlich machen, dass eine begründete Rückfrage erwünscht ist. „Prüf das sorgfältig“ und „Das muss sofort erledigt werden“ passen schlecht zusammen, wenn für beides dieselben fünf Minuten vorgesehen sind.
Und falls jemand schon geklickt hat? Auch dann braucht es eine erreichbare Anlaufstelle. Beschäftigte sollten einen Fehler schnell melden können, ohne sich erst ausführlich rechtfertigen zu müssen.
Halten Sie die Antworten auf einem Blatt fest, das die Buchhaltung später tatsächlich findet:
| Vor einer Änderung der Bankverbindung | Eintrag Ihres Teams |
|---|---|
| Wo liegt der bereits bekannte Lieferantenkontakt? | System oder Ordner und zuständige Person eintragen. |
| Wer prüft die Änderung über diesen Kontakt? | Name oder Rolle mit Vertretung eintragen. |
| Wer darf den Vorgang bis zur Klärung anhalten? | Befugnis ausdrücklich festhalten. |
| Wer gibt die Änderung anschließend frei? | Freigaberolle und Ablage des Prüfergebnisses eintragen. |
Lassen Sie anschließend jemanden aus der Vertretung den Kontakt suchen. Muss diese Person erst herumfragen, ergänzen Sie die fehlenden Angaben.
Bei einem späteren Termin lässt sich der Ablauf mit einer anderen Nachricht wiederholen. So wird sichtbar, ob der Prüfweg auch ohne das vertraute Beispiel funktioniert. Beobachtet wird dabei, ob das Team den Prüfweg findet und ausführt; eine Veränderung der Betrugsschäden wird damit nicht gemessen.
Über Medienkundig können Sie ein Security-Awareness-Pilotprojekt für Ihr Team anfragen. Mitarbeitende bearbeiten dort Beispielnachrichten und erhalten eine Erklärung zu ihrer Entscheidung. Schwerpunkt und Termine werden vorab vereinbart. Die Kontaktwege und Zuständigkeiten legt Ihre Organisation fest. Die Vorlage oben hilft dabei.
Recherche: 10. September 2026.