Die Finanzleiterin sitzt im Videocall, die Kamera zeigt den Geschäftsführer und zwei bekannte Kollegen. Alle bestätigen: Die Überweisung ist dringend und vertraulich. Was früher nach Science-Fiction klang, ist heute Realität. Deepfakes machen es möglich, Gesichter und Stimmen in Echtzeit zu fälschen, und Betrüger setzen sie gezielt gegen Unternehmen ein.

Dieser Beitrag erklärt, was Deepfakes sind, zeigt 6 typische Szenarien im Unternehmen und nennt 7 Warnsignale. Vor allem erfahren Sie, welche Regeln auch dann schützen, wenn eine Fälschung technisch nicht mehr zu erkennen ist.

Was sind Deepfakes?

Deepfakes sind mit künstlicher Intelligenz erzeugte oder veränderte Bilder, Videos und Tonaufnahmen, die echte Personen täuschend echt nachahmen. Der Begriff setzt sich aus „Deep Learning“ und „Fake“ zusammen. Die KI-Verordnung der EU beschreibt sie als Inhalte, die realen Personen, Gegenständen oder Ereignissen ähneln und fälschlicherweise echt erscheinen.

Für Unternehmen sind drei Formen relevant:

• Video: Ein fremdes Gesicht wird auf eine Person übertragen, inzwischen auch live in Videokonferenzen.
• Audio: Beim Voice Cloning reichen oft wenige Minuten Sprachaufnahme, etwa aus einem Interview oder Webinar, um eine Stimme nachzubilden.
• Bild: Gefälschte Fotos, Ausweise oder Dokumente, etwa für Identitätsprüfungen.

Deepfakes sind damit ein neues Werkzeug des Social Engineering: Die Manipulation bleibt dieselbe, aber das Vertrauen, das ein bekanntes Gesicht oder eine vertraute Stimme erzeugt, wird jetzt gefälscht.

Wie werden Deepfakes gegen Unternehmen eingesetzt? 6 Szenarien

Diese 6 Szenarien zeigen, wo Deepfake-Betrug Unternehmen trifft:

Die ersten beiden Szenarien sind die moderne Form des CEO Fraud. Wie Angriffe per Telefon allgemein ablaufen, beschreibt der Beitrag zum Vishing.

Was zeigt der Fall Arup?

Der bekannteste Fall eines Deepfake CEO Fraud traf Anfang 2024 die Hongkonger Niederlassung des britischen Ingenieurbüros Arup. Ein Beschäftigter der Finanzabteilung erhielt zunächst eine Nachricht des angeblichen Finanzchefs aus London. Er war misstrauisch, bis er an einer Videokonferenz teilnahm, in der der Finanzchef und mehrere Kollegen zu sehen und zu hören waren. Alle Teilnehmenden außer ihm waren Deepfakes. Er führte daraufhin 15 Überweisungen über insgesamt rund 25 Millionen US-Dollar aus.

Der Fall zeigt zwei Dinge: Erstens kann ein Videocall heute kein Beweis mehr für die Identität sein. Zweitens hat der Beschäftigte instinktiv richtig reagiert, als er der ersten Nachricht misstraute. Was fehlte, war ein Prozess, der unabhängig vom Gesprächskanal eine Bestätigung verlangt.

Wie erkennen Sie Deepfakes? 7 Warnsignale

Ein Deepfake erkennen Sie an technischen Fehlern, vor allem aber an den Umständen. Achten Sie auf diese 7 Warnsignale:

1. Unstimmige Gesichter: Unscharfe Ränder an Haaren und Gesicht, wenig Mimik, ungewöhnliches Blinzeln oder Zähne, die verschwimmen.
2. Licht und Schatten passen nicht: Das Gesicht ist anders beleuchtet als der Hintergrund.
3. Auffällige Stimme: Metallischer Klang, monotone Betonung, falsche Aussprache oder kurze Verzögerungen vor Antworten.
4. Kamera oder Ton „gestört“: Die Person schaltet bei Rückfragen die Kamera aus oder schiebt schlechte Verbindung vor.
5. Zeitdruck: Die Entscheidung muss sofort fallen, eine Rücksprache ist angeblich nicht möglich.
6. Geheimhaltung: Niemand sonst soll eingebunden werden, nicht einmal die Buchhaltungsleitung.
7. Ungewöhnlicher Ablauf: Die Anweisung kommt über einen Kanal oder in einer Form, die sonst nie genutzt wird.

Die ersten vier Signale werden mit besserer Technik seltener. Die letzten drei bleiben, egal wie gut die Fälschung ist. Darauf sollte Ihre Schulung deshalb den Schwerpunkt legen. Weitere Erkennungsmerkmale für Gesichter und Stimmen beschreibt das BSI zum Thema Deepfakes.

Wie schützen Sie Ihr Unternehmen vor Deepfake-Betrug?

Gegen eine perfekte Fälschung hilft kein geschultes Auge. Es hilft ein Ablauf, der unabhängig davon funktioniert, wie echt Gesicht und Stimme wirken.

Prozesse

• Kein Kanal reicht allein: Zahlungen, Bankdatenänderungen und Zugänge werden nie allein auf einen Anruf, eine Sprachnachricht oder einen Videocall hin freigegeben.
• Rückruf über bekannte Nummern: Bei ungewöhnlichen Anweisungen wird die Person über die interne Nummer zurückgerufen, nicht über die Verbindung, über die sie sich gemeldet hat.
• Vier-Augen-Prinzip: Überweisungen ab einer festgelegten Grenze brauchen eine zweite, unabhängige Freigabe.
• Kontrollfragen oder Codewort: Für besonders sensible Freigaben kann ein vereinbartes Codewort helfen, das nirgends digital gespeichert ist.
• Identität bei Bewerbungen prüfen: Bei Remote-Einstellungen gehört eine Ausweisprüfung vor Vertragsschluss dazu, im Zweifel ein persönliches Treffen.

Technik

• Phishing-resistente Anmeldung: Passkeys oder Sicherheitsschlüssel lassen sich weder am Telefon erfragen noch per Deepfake umgehen.
• Interne Kommunikationswege festlegen: Geschäftliche Videocalls laufen nur über das freigegebene Tool und mit verifizierten Konten.

Menschen

• Gefährdete Rollen schulen: Finanzen, Assistenz, Personal und IT-Helpdesk sollten Deepfake-Szenarien in der Phishing-Schulung konkret durchspielen.
• Erlaubnis zum Zweifeln: Wer die Geschäftsführung zurückruft, um eine Anweisung zu prüfen, handelt richtig. Das muss die Leitung selbst klar kommunizieren.
• Öffentliches Material bedenken: Vorträge, Podcasts und Videos der Geschäftsführung liefern Trainingsmaterial für Stimmklone. Das ist kein Grund, darauf zu verzichten, aber ein Grund für klare Freigaberegeln.

Was regelt das Recht zu Deepfakes?

Zwei Seiten sind zu unterscheiden. Wer Deepfakes zum Betrug einsetzt, macht sich strafbar, etwa wegen Betrugs nach § 263 StGB. Wer dagegen als Unternehmen selbst KI nutzt, um Deepfakes zu erstellen, etwa für Marketing oder Schulungsvideos, muss sie nach Art. 50 Abs. 4 der KI-Verordnung seit dem 2. August 2026 offenlegen.

Was genau gekennzeichnet werden muss und welche Ausnahmen gelten, erklärt der Beitrag zur KI-Kennzeichnungspflicht. Außerdem verlangt Art. 4 KI-Verordnung, dass Beschäftigte, die KI einsetzen, ausreichend geschult sind. Mehr dazu im Beitrag zur KI-Schulungspflicht.

Wie unterstützt reteach beim Schutz vor Deepfakes?

reteach ist eine deutsche Lernplattform (LMS) für den Mittelstand in der DACH-Region. Unternehmen erstellen, automatisieren und dokumentieren damit Pflichtschulungen, Unterweisungen und Onboarding revisionssicher. Zum Angebot gehören das reteach LMS, über 500 anpassbare E-Learning-Kurse, 59 interaktive Kurse als SCORM-Paket für bestehende Lernplattformen sowie reteach Phishing Awareness für automatisierte Phishing-Simulationen.

• Kurse zu KI und Informationssicherheit: Die Informationssicherheit-Schulungen vermitteln Social Engineering und Telefonbetrug, die KI-Kurse den sicheren Umgang mit KI.
• Phishing-Simulationen: reteach Phishing Awareness verschickt realistische Phishing-Mails im Rhythmus 14-tägig oder monatlich und zeigt im Klick-Moment eine Aufklärungsseite. Viele Deepfake-Angriffe beginnen mit genau so einer Nachricht.
• Nachweis: Abschlüsse und Auswertungen liefern einen auditfähigen Nachweisbeitrag, etwa für NIS2, ISO 27001 oder die KI-Kompetenzpflicht.
• Flexibel einsetzbar: Phishing Awareness gibt es als eigenständige Komplettlösung und ebenso zusammen mit dem reteach LMS, datenschutzfreundlich gestaltet.

Fazit: Vertrauen braucht einen zweiten Kanal

Deepfakes nehmen dem Gesicht und der Stimme ihre Beweiskraft. Das ist unbequem, aber beherrschbar: Unternehmen, die Freigaben nie an einen einzigen Kanal knüpfen, sind auch gegen perfekte Fälschungen gut geschützt. Entscheidend ist, dass alle die Regeln kennen und dass niemand Ärger bekommt, weil er die Geschäftsführung zurückgerufen hat.

Die nächsten Schritte:

1. Freigaberegeln für Zahlungen und Zugänge so festlegen, dass kein Kanal allein reicht.
2. Rückruf über bekannte Nummern zur Pflicht machen.
3. Finanzen, Assistenz, Personal und Helpdesk gezielt zu Deepfakes schulen.
4. Bei Remote-Einstellungen eine Identitätsprüfung einführen.

Häufig gestellte Fragen

Das Telefon klingelt, auf dem Display steht eine Nummer mit Ortsvorwahl, und am anderen Ende meldet sich freundlich „der IT-Support“: Es gebe ein Sicherheitsproblem, man müsse kurz per Fernwartung auf den Rechner zugreifen. Solche Anrufe sind Vishing, also Phishing per Telefon. Sie funktionieren erstaunlich gut, weil ein Gespräch mehr Vertrauen und mehr Druck erzeugt als jede E-Mail.

Dieser Beitrag erklärt, warum Vishing so wirksam ist, zeigt 7 typische Maschen aus dem Unternehmensalltag und nennt 7 Warnsignale. Außerdem erfahren Sie, wie Beschäftigte am Telefon richtig reagieren und wie Sie Ihr Unternehmen schützen.

Was ist Vishing?

Vishing steht für Voice Phishing. Gemeint sind betrügerische Anrufe, bei denen sich die Anrufenden als vertrauenswürdige Stelle ausgeben, um an Zugangsdaten, Zahlungen oder einen Zugriff auf Systeme zu kommen. Dazu zählen klassische Telefonate ebenso wie Anrufe über Messenger, Teams oder andere Videotools.

Vishing ist eine Form des Social Engineering, oft verbunden mit Pretexting: Die Anrufenden haben eine glaubwürdige Geschichte vorbereitet und kennen manchmal Namen, Abläufe oder interne Begriffe. Einen Überblick über die anderen Kanäle gibt der Beitrag zu den Phishing-Arten.

Warum funktioniert Vishing so gut?

Am Telefon fehlt die Zeit, die man bei einer E-Mail zum Nachdenken hat. Vier Faktoren machen Telefonbetrug besonders wirksam:

1. Echtzeit-Druck: Wer im Gespräch ist, will eine Antwort geben. Rückfragen fühlen sich unhöflich an, Auflegen noch mehr.
2. Die Stimme schafft Nähe: Eine freundliche, kompetente Stimme wirkt glaubwürdiger als jeder Text. Inzwischen lassen sich Stimmen auch mit KI nachahmen.
3. Gefälschte Rufnummern: Mit Call-ID-Spoofing erscheint eine beliebige Nummer im Display, etwa die der Hausbank oder des eigenen Unternehmens.
4. Gute Vorbereitung: Namen, Zuständigkeiten und Projekte stammen oft aus Karrierenetzwerken, Pressemitteilungen oder früheren Anrufen.

Seit 1. Dezember 2022 gilt zwar, dass bei Anrufen aus ausländischen Netzen keine deutsche Rufnummer mehr angezeigt werden darf. Die Bundesnetzagentur nennt aber Ausnahmen, etwa Mobilfunknummern im internationalen Roaming, und rät ausdrücklich, die Identität von Anrufenden zu prüfen. Die angezeigte Nummer bleibt also kein Beweis.

Vishing Beispiele: 7 typische Maschen

Diese Maschen treffen Unternehmen besonders häufig:

Die Masche „Chef am Telefon“ ist die telefonische Variante des CEO Fraud. Besonders unterschätzt wird der Anruf beim eigenen Helpdesk: Hier wird nicht der Beschäftigte getäuscht, sondern die IT, die ihm helfen will.

Wie erkennen Sie Vishing? 7 Warnsignale

Vishing erkennen Sie an diesen 7 Warnsignalen:

1. Unerwarteter Anruf: Sie haben kein Ticket eröffnet, keinen Rückruf erbeten und erwarten keinen Kontakt.
2. Dringlichkeit: „Das muss jetzt sofort passieren, sonst …“
3. Geheimhaltung: Sie sollen mit niemandem darüber sprechen, auch nicht mit der Führungskraft.
4. Bitte um Daten oder Codes: Passwörter, TANs oder Bestätigungscodes werden von seriösen Stellen nie am Telefon abgefragt.
5. Software installieren: Sie sollen ein Fernwartungsprogramm herunterladen oder einen Link öffnen.
6. Prozess umgehen: Eine Zahlung oder Änderung soll ausnahmsweise ohne die übliche Freigabe laufen.
7. Kein Rückruf erwünscht: Der Anrufer weicht aus, wenn Sie zurückrufen wollen, oder nennt eine eigene Rückrufnummer.

Wie reagieren Sie richtig bei einem verdächtigen Anruf?

Die wichtigste Regel ist einfach: Auflegen und zurückrufen. Rufen Sie die Person oder Stelle über eine Nummer zurück, die Sie selbst kennen, etwa aus dem Telefonverzeichnis, von der Bankkarte oder von der offiziellen Website. Nicht über die Nummer, die der Anrufer nennt.

Damit das im Ernstfall leichtfällt, helfen vorbereitete Sätze:

• „Ich rufe Sie gleich über unsere zentrale Nummer zurück.“
• „Das darf ich am Telefon nicht freigeben, bitte schicken Sie den Vorgang über das Ticketsystem.“
• „Dafür brauche ich die Freigabe meiner Führungskraft.“

Wurden schon Daten genannt oder Software installiert, informieren Sie sofort die IT. Bei Zahlungsdaten zusätzlich Bank oder Kartenanbieter. Auch ein Anruf ohne Schaden sollte gemeldet werden, denn oft werden mehrere Beschäftigte nacheinander angerufen.

Wie schützen Sie Ihr Unternehmen vor Vishing?

Prozesse

• Rückruf-Regel für alle: Zahlungen, Bankdatenänderungen und Zugänge werden nie allein auf einen Anruf hin freigegeben.
• Identitätsprüfung am Helpdesk: Vor jedem Passwort-Reset oder jeder neuen MFA-Registrierung wird die Identität über einen zweiten Weg bestätigt, etwa durch Rückruf auf der hinterlegten Nummer oder durch die Führungskraft.
• Vier-Augen-Prinzip: Überweisungen ab einer festgelegten Grenze brauchen eine zweite Freigabe.

Technik

• Fernwartung nur über freigegebene Wege: Die IT legt fest, welches Werkzeug genutzt wird. Alles andere wird technisch blockiert.
• Phishing-resistente Anmeldung: Passkeys oder Sicherheitsschlüssel lassen sich nicht am Telefon „durchgeben“.

Menschen

• Telefonrollen schulen: Empfang, Assistenz, Buchhaltung, Einkauf und Helpdesk telefonieren am meisten und brauchen eine eigene Einheit in der Phishing-Schulung.
• Erlaubnis zum Auflegen: Machen Sie klar, dass niemand Ärger bekommt, weil er die Geschäftsführung zurückgerufen hat. Diese Erlaubnis ist oft wirksamer als jede Technik.
• Verwandte Maschen kennen: Viele Angriffe kombinieren Kanäle, etwa eine SMS mit anschließendem Anruf. Lesen Sie dazu auch den Beitrag zum Smishing.

Wie unterstützt reteach beim Schutz vor Vishing?

reteach ist eine deutsche Lernplattform (LMS) für den Mittelstand in der DACH-Region. Unternehmen erstellen, automatisieren und dokumentieren damit Pflichtschulungen, Unterweisungen und Onboarding revisionssicher. Zum Angebot gehören das reteach LMS, über 500 anpassbare E-Learning-Kurse, 59 interaktive Kurse als SCORM-Paket für bestehende Lernplattformen sowie reteach Phishing Awareness für automatisierte Phishing-Simulationen.

• Eigener Kurs zum Thema: In den Informationssicherheit-Schulungen erklärt der Kurs „Telefonbetrug (Vishing) erkennen“ typische Maschen und das richtige Verhalten am Telefon, mit Wissenstest.
• Phishing-Simulationen: reteach Phishing Awareness verschickt realistische Phishing-Mails im Rhythmus 14-tägig oder monatlich und zeigt im Klick-Moment eine Aufklärungsseite. Das trainiert auch Rückruf-Phishing, das per E-Mail beginnt.
• Nachweis: Abschlüsse und Auswertungen liefern einen auditfähigen Nachweisbeitrag, etwa für NIS2 oder ISO 27001.
• Flexibel einsetzbar: Phishing Awareness gibt es als eigenständige Komplettlösung und ebenso zusammen mit dem reteach LMS, datenschutzfreundlich gestaltet.

Fazit: Lieber einmal zu oft zurückrufen

Vishing nutzt aus, dass Menschen am Telefon höflich und hilfsbereit sind und ungern auflegen. Gegen gefälschte Nummern und überzeugende Stimmen hilft keine Technik allein. Wirksam ist eine klare Regel, die alle kennen und anwenden dürfen: auflegen, über eine bekannte Nummer zurückrufen, nichts am Telefon freigeben.

Die nächsten Schritte:

1. Die Rückruf-Regel schriftlich festlegen und bekannt machen.
2. Eine feste Identitätsprüfung für den Helpdesk einführen.
3. Telefonrollen wie Empfang, Assistenz und Buchhaltung gezielt schulen.
4. Verdächtige Anrufe zentral melden lassen, damit andere gewarnt werden.

Häufig gestellte Fragen

„Hallo, hier ist Thomas, das ist meine neue Nummer. Bist du gerade erreichbar? Ich brauche kurz deine Hilfe.“ Nachrichten wie diese landen täglich auf Diensthandys. Hinter vielen steckt Smishing, also Phishing per SMS oder Messenger. Weil Kurznachrichten persönlich wirken und auf dem Smartphone schnell beantwortet werden, sind sie für Angreifer besonders erfolgreich.

Dieser Beitrag erklärt, wie Smishing funktioniert, zeigt 7 typische Maschen aus dem Unternehmensalltag und nennt 7 Warnsignale. Außerdem erfahren Sie, was nach einem Klick zu tun ist und wie Sie Ihr Unternehmen schützen.

Was ist Smishing?

Smishing setzt sich aus „SMS“ und „Phishing“ zusammen. Gemeint sind betrügerische Kurznachrichten, die zu einem Klick auf einen Link, zu einer Antwort, einem Rückruf oder der Installation einer App bewegen sollen. Heute laufen solche Angriffe nicht nur per SMS, sondern genauso über Messenger wie WhatsApp, Signal oder iMessage.

SMS-Phishing ist eine Variante des Social Engineering: Die Nachricht nutzt Neugier, Hilfsbereitschaft oder Angst aus, damit der Empfänger handelt, ohne zu prüfen. Wie sich Smishing von den anderen Varianten unterscheidet, zeigt der Überblick über die Phishing-Arten.

Warum ist Smishing für Unternehmen gefährlich?

Smartphones sind längst Arbeitsgeräte. Auf ihnen laufen E-Mail, Kalender, Messenger und die App für die Mehr-Faktor-Authentifizierung. Gleichzeitig sind sie oft schlechter geschützt als der Arbeitsrechner. Vier Gründe machen Smishing besonders wirksam:

1. Gefälschte Absender: Bei SMS lässt sich statt einer Nummer ein Name wie „DHL“ oder „Bank“ anzeigen. Solche Nachrichten landen dann im selben Verlauf wie echte Nachrichten des Absenders.
2. Wenig Kontrolle auf dem kleinen Bildschirm: Kurz-URLs verbergen das Ziel, und die Adresszeile im mobilen Browser ist schnell ausgeblendet.
3. Kein Mailfilter: Viele Schutzmechanismen des Unternehmens prüfen E-Mails, aber keine SMS und keine privaten Messenger.
4. Persönlicher Ton: Kurznachrichten wirken vertraut und verlangen nach einer schnellen Antwort. Wer unterwegs ist, prüft weniger.

Laut Bundesnetzagentur gingen 2025 über 85.000 Beschwerden zu Rufnummernmissbrauch ein, die meisten davon zu SMS- und Messenger-Spam sowie belästigenden Anrufen.

Smishing Beispiele: 7 typische Maschen

Diese Maschen begegnen Beschäftigten besonders häufig:

Die ersten beiden Maschen zielen direkt auf Unternehmen. Der „Chef mit neuer Nummer“ ist die Messenger-Variante des CEO Fraud. Die Bitte um einen Code ist besonders tückisch: Wer ihn weitergibt, hebelt die Mehr-Faktor-Authentifizierung selbst aus.

Wie erkennen Sie Smishing? 7 Warnsignale

Smishing erkennen Sie an diesen 7 Warnsignalen:

1. Unerwartete Nachricht: Sie erwarten kein Paket, haben keine Maut offen oder kennen die Nummer nicht.
2. Neue Nummer einer bekannten Person: Jemand schreibt, er habe eine neue Nummer, und bittet kurz darauf um etwas.
3. Zeitdruck: „Innerhalb von 24 Stunden“, „sofort“, „sonst wird gesperrt“.
4. Link in der Nachricht: Vor allem Kurz-URLs oder Adressen, die nicht zur offiziellen Domain des Absenders passen.
5. Bitte um Codes oder Daten: Seriöse Stellen fragen nie per SMS nach Passwörtern, PINs oder Bestätigungscodes.
6. App-Download: Sie sollen eine App über einen Link installieren statt aus dem offiziellen App-Store.
7. Ungewöhnlicher Kanal: Die Geschäftsführung oder die IT meldet sich plötzlich über einen privaten Messenger.

Wie Sie eine Adresse sicher prüfen, erklärt der Beitrag Phishing erkennen. Die Regeln für Links gelten für Kurznachrichten genauso.

Was tun nach einem Klick auf einen Smishing-Link?

Je nachdem, wie weit es gekommen ist, gilt:

• Nur geöffnet: Seite schließen, nichts eingeben. Die Nachricht trotzdem der IT melden und danach löschen.
• App installiert: Das Smartphone sofort in den Flugmodus schalten und die IT informieren. Beim Diensthandy entscheidet die IT, ob das Gerät zurückgesetzt wird.
• Zugangsdaten oder Code weitergegeben: Sofort die IT verständigen, das Passwort über den bekannten Weg ändern und aktive Sitzungen beenden lassen.
• Zahlungsdaten eingegeben: Bank oder Kartenanbieter kontaktieren und die Karte sperren lassen.

Spam-SMS und Messenger-Spam können Sie zusätzlich über das Beschwerdeportal der Bundesnetzagentur melden. Wichtig im Unternehmen: Wer schnell meldet, wird nicht bloßgestellt. Nur so erfährt die IT früh genug von einem Angriff.

Wie schützen Sie Ihr Unternehmen vor Smishing?

Schutz vor Smishing braucht klare Regeln, abgesicherte Geräte und geschulte Beschäftigte:

Prozesse

• Keine Anweisungen per Messenger: Zahlungsfreigaben und Änderungen von Bankdaten laufen nie über SMS oder private Messenger.
• Rückruf bei neuer Nummer: Meldet sich eine bekannte Person unter neuer Nummer, wird sie unter der alten oder internen Nummer zurückgerufen.
• Codes bleiben privat: Bestätigungscodes werden niemals weitergegeben, auch nicht an die IT.

Technik

• Diensthandys verwalten: Eine zentrale Geräteverwaltung sorgt für Updates und erlaubt Apps nur aus offiziellen Stores.
• Drittanbietersperre: Beim Mobilfunkanbieter verhindert sie, dass Kosten über die Handyrechnung abgebucht werden.
• Phishing-resistente Anmeldung: Passkeys oder Sicherheitsschlüssel ersetzen SMS-Codes dort, wo es möglich ist.

Menschen

• Smishing in die Schulung aufnehmen: Eine Phishing-Schulung sollte SMS und Messenger ausdrücklich behandeln, mit echten Beispielen wie dem Chef mit neuer Nummer.
• Regelmäßig üben: Eine Phishing-Simulation trainiert, Absender, Anliegen und Links kritisch zu prüfen. Diese Fragen entscheiden auch bei Kurznachrichten.
• Verwandte Maschen kennen: Wer Smishing kennt, sollte auch Quishing per QR-Code erkennen, denn beide verlagern den Angriff aufs Smartphone.

Wie unterstützt reteach beim Schutz vor Smishing?

reteach ist eine deutsche Lernplattform (LMS) für den Mittelstand in der DACH-Region. Unternehmen erstellen, automatisieren und dokumentieren damit Pflichtschulungen, Unterweisungen und Onboarding revisionssicher. Zum Angebot gehören das reteach LMS, über 500 anpassbare E-Learning-Kurse, 59 interaktive Kurse als SCORM-Paket für bestehende Lernplattformen sowie reteach Phishing Awareness für automatisierte Phishing-Simulationen.

• Kurse zur Informationssicherheit: Die Informationssicherheit-Schulungen vermitteln, wie Phishing über verschiedene Kanäle funktioniert, mit Wissenstest.
• Phishing-Simulationen: reteach Phishing Awareness verschickt realistische Phishing-Mails im Rhythmus 14-tägig oder monatlich und zeigt im Klick-Moment eine Aufklärungsseite.
• Nachweis: Abschlüsse und Auswertungen liefern einen auditfähigen Nachweisbeitrag, etwa für NIS2 oder ISO 27001.
• Flexibel einsetzbar: Phishing Awareness gibt es als eigenständige Komplettlösung und ebenso zusammen mit dem reteach LMS, datenschutzfreundlich gestaltet.

Fazit: Das Smartphone gehört zur Sicherheitsstrategie

Smishing funktioniert, weil Kurznachrichten persönlich wirken und auf dem Smartphone Schutzmechanismen fehlen, die am Arbeitsrechner selbstverständlich sind. Die Abwehr ist trotzdem einfach: Unerwartete Links nicht öffnen, Codes nie weitergeben und ungewöhnliche Bitten über einen zweiten Kanal prüfen.

Die nächsten Schritte:

1. Intern festlegen, dass Zahlungen und Freigaben nie per SMS oder Messenger angewiesen werden.
2. Diensthandys zentral verwalten und aktuell halten.
3. Smishing als festen Baustein in die Sicherheitsschulung aufnehmen.
4. Den Meldeweg für verdächtige Nachrichten klar kommunizieren.

Häufig gestellte Fragen

Der Einkaufsleiter soll einen neuen Dienstleister auswählen, und eine der Firmen gehört seinem Schwager. Die Vertriebsmitarbeiterin berät am Wochenende ein Start-up, das später Kunde werden könnte. Solche Situationen sind keine Seltenheit, und sie sind auch kein Fehlverhalten. Interessenkonflikte entstehen im Arbeitsalltag ständig. Riskant werden sie erst, wenn niemand davon weiß.

Dieser Beitrag erklärt, was ein Interessenkonflikt ist, zeigt 7 typische Beispiele und fasst die rechtlichen Grundlagen zusammen. Dazu erhalten Sie einen Ablauf in 5 Schritten, eine Vorlage zur Offenlegung und eine Checkliste für Ihre eigene Richtlinie.

Was ist ein Interessenkonflikt?

Ein Interessenkonflikt liegt vor, wenn private Interessen einer Person ihre Unvoreingenommenheit bei einer beruflichen Entscheidung beeinträchtigen können. Private Interessen können finanzieller Art sein, aber auch persönliche Beziehungen, Ehrenämter oder eigene berufliche Pläne betreffen.

In der Praxis werden drei Formen unterschieden:

• Tatsächlicher Interessenkonflikt: Die Person entscheidet bereits über eine Sache, an der sie privat beteiligt ist.
• Möglicher Interessenkonflikt: Der Konflikt kann entstehen, etwa wenn ein Unternehmen, an dem man beteiligt ist, sich demnächst um einen Auftrag bewirbt.
• Anschein eines Interessenkonflikts: Objektiv ist alles in Ordnung, aber Außenstehende könnten an der Neutralität zweifeln. Auch das schadet dem Vertrauen.

Wichtig ist die Abgrenzung zur Korruption: Ein Interessenkonflikt ist eine Situation, Korruption ist eine Handlung. Ein verschwiegener Interessenkonflikt ist allerdings oft der erste Schritt dorthin. Deshalb gehören beide Themen zusammen in die Korruptionsprävention.

Welche Interessenkonflikte gibt es? 7 Beispiele

Diese 7 Beispiele decken die häufigsten Interessenkonflikte am Arbeitsplatz ab:

Ein weiterer, oft übersehener Fall sind Geschäftschancen: Wer einen Auftrag, der eigentlich dem Unternehmen zusteht, privat oder über eine eigene Firma übernimmt, handelt gegen die Interessen des Arbeitgebers, auch ohne jede Bestechung.

Was regelt das Gesetz zu Interessenkonflikten?

Ein einheitliches Gesetz zu Interessenkonflikten in Unternehmen gibt es in Deutschland nicht. Die Pflichten ergeben sich aus mehreren Regelungen:

• Rücksichtnahmepflicht: Nach § 241 Abs. 2 BGB müssen Beschäftigte auf die Interessen des Arbeitgebers Rücksicht nehmen. Daraus folgt unter anderem, Interessenkonflikte, die dem Arbeitgeber schaden können, offenzulegen.
• Wettbewerbsverbot: Während des Arbeitsverhältnisses dürfen Beschäftigte ihrem Arbeitgeber keine Konkurrenz machen. Für kaufmännische Angestellte regelt das § 60 Abs. 1 HGB ausdrücklich, für andere Beschäftigte gilt es nach der Rechtsprechung entsprechend.
• Nebentätigkeit: Eine Nebentätigkeit ist grundsätzlich erlaubt. Der Arbeitgeber kann sie aber untersagen, wenn seine berechtigten Interessen beeinträchtigt sind. Viele Arbeitsverträge sehen deshalb eine Anzeigepflicht vor.
• Insichgeschäfte: Nach § 181 BGB darf eine vertretungsberechtigte Person grundsätzlich keine Geschäfte zwischen dem Unternehmen und sich selbst abschließen, sofern ihr das nicht gestattet ist.
• Vorstand einer AG: § 88 Abs. 1 AktG verbietet Vorstandsmitgliedern ohne Einwilligung des Aufsichtsrats Geschäfte im Geschäftszweig der Gesellschaft.
• Strafrecht: Führt ein Interessenkonflikt zu Vorteilsnahme oder Schaden, können Bestechlichkeit im geschäftlichen Verkehr nach § 299 StGB oder Untreue nach § 266 StGB im Raum stehen.
• Öffentliche Verwaltung: Für Behörden und Kommunen regeln §§ 20 und 21 VwVfG, wann Personen wegen Befangenheit nicht mitwirken dürfen.

Ergänzend beschreiben Normen wie ISO 37001 für Antikorruption und ISO 37301 für Compliance-Management-Systeme, wie Unternehmen Interessenkonflikte systematisch erfassen und steuern. Den Wortlaut von § 241 BGB finden Sie online.

Wie gehen Sie mit einem Interessenkonflikt um? 5 Schritte

Ein guter Prozess macht es Beschäftigten leicht, Konflikte zu melden, und Führungskräften leicht, sie fair zu bewerten:

1. Erkennen: Eine einfache Prüffrage hilft: Wäre es mir unangenehm, wenn Kolleginnen, Kunden oder die Presse von dieser Verbindung erfahren? Wenn ja, liegt vermutlich ein Interessenkonflikt vor.
2. Offenlegen: Die betroffene Person meldet den Konflikt schriftlich an die Führungskraft oder die Compliance-Stelle, bevor sie in der Sache tätig wird.
3. Bewerten: Die zuständige Stelle prüft, wie stark der Konflikt ist und welche Entscheidungen er berührt.
4. Maßnahmen festlegen: Typisch sind der Rückzug aus einer Entscheidung, ein Vier-Augen-Prinzip, Auflagen für eine Nebentätigkeit oder in seltenen Fällen deren Untersagung.
5. Dokumentieren und überprüfen: Offenlegung, Entscheidung und Maßnahmen werden festgehalten und regelmäßig, etwa jährlich, auf Aktualität geprüft.

Entscheidend ist der Ton: Wer einen Interessenkonflikt offenlegt, handelt vorbildlich und darf keine Nachteile haben. Verstöße liegen erst vor, wenn ein Konflikt bewusst verschwiegen wird. Wer Missstände beobachtet, sollte zudem den internen Meldeweg nach dem Hinweisgeberschutzgesetz kennen.

Vorlage: Interessenkonflikt offenlegen

Ein kurzes Formular senkt die Hemmschwelle für eine Meldung. Diese Felder sollten enthalten sein:

Viele Unternehmen kombinieren das Formular mit einer jährlichen Abfrage: Alle Führungskräfte und Beschäftigte in sensiblen Bereichen wie Einkauf, Vertrieb und Personal bestätigen dann einmal im Jahr, ob sich etwas geändert hat.

Was gehört in eine Richtlinie zu Interessenkonflikten?

Eine eigene Richtlinie oder ein Kapitel im Verhaltenskodex schafft Klarheit. Diese Punkte sollten geregelt sein:

• Geltungsbereich: Für wen gilt die Regel, auch für Geschäftsführung, Aushilfen und Freelancer?
• Begriff und Beispiele: Was zählt als Interessenkonflikt, erklärt an Fällen aus dem eigenen Unternehmen.
• Meldepflicht: Wann, wie und an wen wird gemeldet?
• Nebentätigkeiten: Welche sind anzeigepflichtig, welche genehmigungspflichtig?
• Geschenke und Einladungen: Wertgrenzen und Genehmigungswege, oft als eigene Regelung.
• Zuständigkeiten: Wer bewertet, wer entscheidet, wer dokumentiert?
• Folgen: Was passiert, wenn ein Konflikt verschwiegen wird?

Wie sich die Regelung in Ihre übrigen Compliance-Richtlinien einfügt, zeigt unser Überblick dazu.

Wie unterstützt reteach bei der Umsetzung?

reteach ist eine deutsche Lernplattform (LMS) für den Mittelstand in der DACH-Region. Unternehmen erstellen, automatisieren und dokumentieren damit Pflichtschulungen, Unterweisungen und Onboarding revisionssicher. Zum Angebot gehören das reteach LMS, über 500 anpassbare E-Learning-Kurse, 59 interaktive Kurse als SCORM-Paket für bestehende Lernplattformen sowie reteach Phishing Awareness für automatisierte Phishing-Simulationen. reteach ist DSGVO-konform.

• Passende Kurse: Die Compliance- und Datenschutz-Schulungen enthalten unter anderem Kurse zu Antikorruption sowie zu Compliance und Code of Conduct.
• Eigene Regeln einbinden: Kurse lassen sich um eigene Dateien ergänzen, etwa Ihre Richtlinie und das Offenlegungsformular.
• Automatisch zuweisen: Neue Beschäftigte erhalten die Schulung im Onboarding, sensible Bereiche jährlich mit Erinnerung.
• Nachweis: Abschlüsse und Bestätigungen werden revisionssicher dokumentiert, als Beleg für eine wirksame Compliance-Schulung.

Fazit: Transparenz schützt alle Beteiligten

Interessenkonflikte lassen sich nicht verhindern, aber gut steuern. Wer sie früh offenlegt, schützt sich selbst vor falschem Verdacht und das Unternehmen vor schlechten Entscheidungen, Schaden und Reputationsverlust. Voraussetzung ist eine Kultur, in der eine Meldung als Zeichen von Integrität gilt und nicht als Eingeständnis.

Die nächsten Schritte:

1. Eine Richtlinie mit Beispielen und klarer Meldepflicht festlegen.
2. Das Offenlegungsformular einführen und eine zuständige Stelle benennen.
3. Führungskräfte und sensible Bereiche jährlich abfragen.
4. Die Regeln schulen und die Kenntnisnahme dokumentieren.

Häufig gestellte Fragen

Die Personalakte liegt aufgeschlagen auf dem Schreibtisch, das Passwort klebt am Monitor, der Rechner ist während der Mittagspause entsperrt. Solche Alltagssituationen sind keine Kleinigkeit: Wer vorbeigeht, kann vertrauliche Informationen sehen, fotografieren oder mitnehmen. Eine Clean Desk Policy schließt diese Lücke mit wenigen, klaren Regeln.

Dieser Beitrag erklärt, was eine Clean Desk Policy umfasst, woraus sich die Pflicht dazu ergibt und welche 10 Regeln sich bewährt haben. Dazu erhalten Sie eine Vorlage, die Sie an Ihr Unternehmen anpassen können, und eine Anleitung für die Einführung.

Was ist eine Clean Desk Policy?

Eine Clean Desk Policy ist eine interne Richtlinie, die festlegt, dass Beschäftigte ihren Arbeitsplatz so hinterlassen, dass Unbefugte keine vertraulichen Informationen einsehen oder mitnehmen können. Im Deutschen spricht man auch vom „aufgeräumten Arbeitsplatz“.

Fast immer gehört eine zweite Regel dazu: Clear Screen. Sie verlangt, den Bildschirm zu sperren, sobald man den Platz verlässt, und vertrauliche Inhalte nicht offen sichtbar zu lassen, etwa in Besprechungen oder an Orten mit Publikumsverkehr. Zusammen decken beide Regeln die analoge und die digitale Seite des Arbeitsplatzes ab.

Es geht dabei nicht um Ordnung als Selbstzweck. Ziel ist der Schutz von Informationen vor neugierigen Blicken, vor Diebstahl und vor Angriffen von Personen, die sich unter einem Vorwand im Gebäude bewegen. Solche Täuschungen sind eine klassische Methode des Social Engineering.

Ist eine Clean Desk Policy Pflicht?

Ein Gesetz, das ausdrücklich einen aufgeräumten Schreibtisch vorschreibt, gibt es nicht. Die Pflicht ergibt sich aber aus mehreren Regelwerken, die den Schutz von Informationen verlangen:

Für die meisten Unternehmen ist die DSGVO der entscheidende Punkt: Liegen Bewerbungsunterlagen, Kundendaten oder Gehaltslisten offen herum und sieht sie eine unbefugte Person, kann das bereits eine meldepflichtige Datenpanne sein. Den Wortlaut von Art. 32 DSGVO finden Sie online. Wie die Regeln in Ihr Gesamtkonzept passen, beschreibt der Beitrag zur IT-Compliance.

Welche Regeln gehören in eine Clean Desk Policy? 10 Regeln

Eine gute Clean Desk Policy ist kurz und konkret. Diese 10 Regeln decken die typischen Risiken ab:

1. Unterlagen wegschließen: Vertrauliche Dokumente kommen beim Verlassen des Platzes und spätestens zum Feierabend in einen abschließbaren Schrank oder Container.
2. Bildschirm sperren: Wer den Platz verlässt, sperrt den Rechner, unter Windows mit Windows-Taste + L, am Mac mit Control + Command + Q. Zusätzlich greift eine automatische Sperre nach wenigen Minuten.
3. Keine Passwörter auf Papier: Notizzettel unter der Tastatur oder am Monitor sind tabu. Ein Passwortmanager ersetzt sie.
4. Datenträger sichern: USB-Sticks, externe Festplatten und Smartphones bleiben nicht unbeaufsichtigt liegen.
5. Drucker sofort leeren: Ausdrucke werden direkt abgeholt. Wo möglich, gibt eine PIN oder der Dienstausweis den Druckauftrag erst am Gerät frei.
6. Richtig entsorgen: Vertrauliches Papier gehört in den Aktenvernichter oder in verschlossene Datenschutztonnen, nie in den Papierkorb.
7. Besprechungsräume aufräumen: Whiteboards abwischen, Flipcharts mitnehmen, Bildschirmfreigaben beenden.
8. Sichtschutz beachten: Bildschirme mit vertraulichen Inhalten sind nicht zum Flur oder zum Fenster ausgerichtet, unterwegs hilft eine Blickschutzfolie.
9. Schlüssel und Ausweise verwahren: Büroschlüssel, Zugangskarten und Token liegen nicht offen auf dem Tisch.
10. Feierabend-Check: Zum Arbeitsende ist der Schreibtisch leer, der Rechner heruntergefahren oder gesperrt, Fenster und Schränke sind geschlossen.

Clean Desk Policy Vorlage zum Anpassen

Die folgende Vorlage enthält die wichtigsten Bausteine. Passen Sie Platzhalter in eckigen Klammern an Ihr Unternehmen an und stimmen Sie den Text mit Datenschutz, Informationssicherheit und gegebenenfalls dem Betriebsrat ab.

1. Zweck

Diese Richtlinie schützt vertrauliche Informationen von [Unternehmen], seinen Kundinnen und Kunden sowie seinen Beschäftigten vor unbefugter Einsichtnahme, Verlust und Diebstahl am Arbeitsplatz.

2. Geltungsbereich

Die Richtlinie gilt für alle Beschäftigten, Auszubildenden, Leiharbeitskräfte und externen Dienstleister, die an Arbeitsplätzen von [Unternehmen], im Homeoffice oder unterwegs mit Informationen des Unternehmens arbeiten.

3. Regeln am Arbeitsplatz

• Vertrauliche Unterlagen und Datenträger werden beim Verlassen des Arbeitsplatzes weggeschlossen.
• Zum Arbeitsende ist der Schreibtisch frei von Unterlagen mit vertraulichem Inhalt.
• Passwörter werden nicht notiert, sondern im freigegebenen Passwortmanager gespeichert.

4. Bildschirm und Geräte

• Der Bildschirm wird beim Verlassen des Arbeitsplatzes gesperrt. Die automatische Sperre greift nach [5] Minuten.
• Mobile Geräte werden nicht unbeaufsichtigt gelassen.

5. Drucker und Entsorgung

• Ausdrucke werden sofort abgeholt. Vertrauliche Dokumente werden nur über die gesicherte Druckfreigabe gedruckt.
• Vertrauliches Papier wird im Aktenvernichter oder in den Datenschutzbehältern entsorgt.

6. Homeoffice und unterwegs

• Die Regeln dieser Richtlinie gelten sinngemäß auch außerhalb der Büroräume.
• Unterlagen werden so aufbewahrt, dass Mitbewohnende und Besuch keinen Zugriff haben.

7. Verantwortung und Kontrolle

Führungskräfte achten auf die Einhaltung in ihrem Bereich. Stichprobenartige Rundgänge dienen der Sensibilisierung. Ansprechpartner für Fragen ist [Funktion, z. B. Informationssicherheitsbeauftragte].

8. Inkrafttreten

Die Richtlinie tritt am [Datum] in Kraft und wird [jährlich] überprüft.

Clean Desk im Homeoffice und beim Desk Sharing

Viele Arbeitsplätze sind heute nicht mehr fest zugeordnet. Damit wird die Clean Desk Policy wichtiger, nicht unwichtiger:

• Desk Sharing: Wenn mehrere Personen denselben Schreibtisch nutzen, muss er nach jedem Arbeitstag vollständig leer sein. Persönliche Fächer oder abschließbare Rollcontainer machen das praktikabel.
• Homeoffice: Auch zu Hause gilt die Vertraulichkeit. Unterlagen gehören in einen abschließbaren Schrank, der Bildschirm wird auch hier gesperrt, und Ausdrucke landen nicht im Hausmüll.
• Unterwegs: In Bahn, Café oder Hotellobby helfen eine Blickschutzfolie und die Regel, vertrauliche Telefonate und Videokonferenzen nicht in der Öffentlichkeit zu führen.

Welche weiteren Fragen mobiles Arbeiten für Unternehmen aufwirft, lesen Sie in unserem eigenen Beitrag dazu.

Wie führen Sie eine Clean Desk Policy ein?

Eine Richtlinie im Intranet ändert noch kein Verhalten. Diese Schritte haben sich bewährt:

1. Voraussetzungen schaffen: Abschließbare Schränke, Aktenvernichter oder Datenschutztonnen und eine automatische Bildschirmsperre müssen vorhanden sein, bevor Sie Regeln verlangen.
2. Richtlinie abstimmen: Datenschutz und Informationssicherheit prüfen den Text. Regeln zum Verhalten im Betrieb können mitbestimmungspflichtig sein. Binden Sie einen vorhandenen Betriebsrat deshalb früh ein.
3. Kommunizieren und schulen: Erklären Sie das Warum anhand konkreter Beispiele. Eine kurze Einheit in der DSGVO-Schulung oder im Security Awareness Training reicht oft aus.
4. Kenntnisnahme dokumentieren: Lassen Sie die Richtlinie bestätigen, idealerweise digital und für neue Beschäftigte automatisch im digitalen Onboarding.
5. Freundlich kontrollieren: Stichprobenartige Rundgänge mit einem Hinweiskärtchen statt einer Abmahnung wirken besser als Strafen. Ausgewertet wird nach Bereichen, nicht nach Personen.
6. Regelmäßig auffrischen: Erinnern Sie einmal im Jahr an die Regeln, etwa im Rahmen der jährlichen Unterweisung zur Informationssicherheit.

Wie unterstützt reteach bei der Umsetzung?

reteach ist eine deutsche Lernplattform (LMS) für den Mittelstand in der DACH-Region. Unternehmen erstellen, automatisieren und dokumentieren damit Pflichtschulungen, Unterweisungen und Onboarding revisionssicher. Zum Angebot gehören das reteach LMS, über 500 anpassbare E-Learning-Kurse, 59 interaktive Kurse als SCORM-Paket für bestehende Lernplattformen sowie reteach Phishing Awareness für automatisierte Phishing-Simulationen. reteach ist DSGVO-konform.

• Passende Kurse: Die Informationssicherheit-Schulungen vermitteln, wie Beschäftigte Informationen im Arbeitsalltag schützen, mit Wissenstest.
• Eigene Richtlinie einbinden: Kurse lassen sich um eigene Dateien ergänzen, etwa um Ihre Clean Desk Policy als PDF.
• Automatisch zuweisen: Neue Beschäftigte erhalten Richtlinie und Kurs automatisch, Bestandsbelegschaften im jährlichen Turnus mit Erinnerungen.
• Nachweis: Abschlüsse und Bestätigungen werden revisionssicher dokumentiert und stehen für Audits nach ISO 27001 oder Prüfungen durch die Datenschutzaufsicht bereit.

Fazit: Ordnung ist Informationssicherheit

Eine Clean Desk Policy ist eine der einfachsten und günstigsten Maßnahmen der Informationssicherheit. Sie verhindert Datenpannen, die ohne jede Technik entstehen, und erfüllt Anforderungen aus DSGVO, ISO 27001 und BSI IT-Grundschutz. Entscheidend ist, dass die Regeln kurz, praktikabel und bekannt sind und dass die Ausstattung dazu passt.

Die nächsten Schritte:

1. Die Vorlage an Ihr Unternehmen anpassen und abstimmen.
2. Schränke, Druckfreigabe und automatische Bildschirmsperre prüfen.
3. Die Richtlinie schulen und die Kenntnisnahme dokumentieren.
4. Mit Rundgängen und jährlicher Auffrischung verankern.

Häufig gestellte Fragen

Quishing ist Phishing über QR-Codes. Statt eines Links enthält die Nachricht einen Code, der beim Scannen auf eine gefälschte Anmeldeseite oder Bezahlseite führt. Weil QR-Codes im Alltag allgegenwärtig sind, vom Parkautomaten bis zur Speisekarte, scannen viele Menschen sie fast automatisch. Genau diese Gewohnheit nutzen Angreifer aus.

Dieser Beitrag erklärt, warum Quishing schwerer zu erkennen ist als eine klassische Phishing-Mail, zeigt typische Beispiele aus dem Unternehmensalltag und nennt 7 Warnsignale. Außerdem erfahren Sie, was nach einem Scan zu tun ist und wie Sie Ihr Unternehmen vorbeugend schützen.

Was ist Quishing?

Quishing ist ein Kunstwort aus „QR-Code“ und „Phishing“. Gemeint sind Angriffe, bei denen ein QR-Code die Rolle übernimmt, die sonst ein Link in einer Phishing-Mail spielt. Wer den Code mit dem Smartphone scannt, landet auf einer Seite, die echt aussieht, aber von Angreifern betrieben wird. Dort sollen Zugangsdaten, Zahlungsdaten oder ein Bestätigungscode eingegeben werden. Seltener startet der Code direkt einen Download.

Wie alle Varianten des Phishings ist QR-Code-Phishing eine Form des Social Engineering: Der Angriff gelingt nur, wenn ein Mensch handelt. Einen Überblick über die übrigen Varianten wie Smishing und Vishing gibt der Beitrag zu den Phishing-Arten.

Warum ist Quishing so gefährlich?

Ein QR-Code ist für Menschen nicht lesbar. Wer ihn sieht, kann das Ziel erst nach dem Scan beurteilen. Dazu kommen vier Gründe, warum Quishing im Unternehmen besonders wirksam ist:

1. Filter sehen weniger: Ein Link im Text einer Mail lässt sich automatisch prüfen. Ein QR-Code ist ein Bild, oft eingebettet in ein PDF. Nicht jeder Mailfilter wertet solche Bilder zuverlässig aus.
2. Der Angriff wechselt das Gerät: Die Mail kommt am Arbeitsrechner an, gescannt wird mit dem Smartphone. Damit verlässt der Angriff die geschützte Umgebung, und auf privaten Handys greifen Webfilter und Sicherheitsrichtlinien des Unternehmens meist nicht.
3. Kleiner Bildschirm, wenig Kontrolle: Auf dem Smartphone ist die Adresszeile kurz und wird schnell ausgeblendet. Gefälschte Domains fallen dort weniger auf als am großen Monitor.
4. QR-Codes gelten als harmlos: Seit Speisekarten, Tickets und Parkscheine per Code funktionieren, ist das Scannen Routine. Viele denken dabei nicht an ein Risiko.

Quishing Beispiele aus dem Unternehmensalltag

QR-Code-Betrug erreicht Beschäftigte digital und analog. Diese Szenarien sind typisch:

Die ersten beiden Szenarien sind im Unternehmen besonders verbreitet, weil sie an echte Abläufe anknüpfen. Werden sie gezielt an einzelne Personen geschickt, etwa an die Lohnbuchhaltung, gehen sie in Spear Phishing über. Weitere Fälle aus Briefen, Bus und Bahn sowie dem Straßenverkehr sammelt die Verbraucherzentrale zum Thema Quishing.

Wie erkennen Sie Quishing? 7 Warnsignale

Quishing erkennen Sie weniger am Code selbst als an den Umständen, unter denen er Ihnen begegnet. Seien Sie bei diesen 7 Warnsignalen vorsichtig:

1. Login per QR-Code: Sie sollen sich über einen Code aus einer Mail anmelden oder die Mehr-Faktor-Authentifizierung neu einrichten. Seriöse IT-Abteilungen gehen diesen Weg in der Regel nicht.
2. Code statt Link: Die Mail enthält kaum Text, nur einen QR-Code oder ein PDF mit Code. Warum sollte jemand ausgerechnet am Rechner einen Code zum Scannen schicken?
3. Druck und Frist: „Innerhalb von 24 Stunden“, „sonst wird der Zugang gesperrt“. Zeitdruck soll das Nachdenken verhindern.
4. Unerwartete Quelle: Der Code kommt per Post von einem Absender, mit dem Sie sonst nur digital kommunizieren, oder hängt an einer ungewohnten Stelle.
5. Aufkleber über dem Original: An Automaten, Ladesäulen oder Aushängen sitzt ein Code, der überklebt oder nachträglich angebracht wirkt.
6. Auffällige Adresse: Die Vorschau nach dem Scan zeigt eine Domain, die nicht zum angeblichen Absender passt, eine Kurz-URL oder einen Tippfehler im Namen.
7. Sofortige Datenabfrage: Die Zielseite verlangt direkt Passwort, Bestätigungscode oder Kartendaten, ohne dass Sie das erwartet haben.

Wie Sie eine Adresse sicher lesen, erklärt der Beitrag Phishing erkennen im Abschnitt zu gefährlichen Links. Die Regeln gelten für die Vorschau nach dem Scan genauso.

Was tun nach dem Scan eines verdächtigen QR-Codes?

Ein Scan allein öffnet in der Regel nur eine Vorschau der Adresse. Gefährlich wird es, wenn die Seite geöffnet und dort etwas eingegeben oder heruntergeladen wird. Je nachdem, wie weit es gekommen ist, gilt:

• Nur gescannt: Seite nicht öffnen oder sofort schließen. Den Fund trotzdem an die IT melden, damit andere gewarnt werden können.
• Seite geöffnet, nichts eingegeben: Seite schließen, nichts herunterladen, die IT informieren.
• Zugangsdaten eingegeben: Sofort die IT verständigen. Das Passwort über den bekannten Weg ändern und aktive Sitzungen beenden lassen. Wurde auch ein Bestätigungscode eingegeben, ist das Konto möglicherweise bereits übernommen.
• Zahlungsdaten eingegeben: Bank oder Kartenanbieter kontaktieren und die Karte sperren lassen, zusätzlich die zuständige Stelle im Unternehmen informieren.

Wichtig ist eine Kultur, in der niemand für einen Fehler bloßgestellt wird. Wer schnell meldet, verkürzt die Zeit, in der Angreifer einen Zugang nutzen können.

Wie schützen Sie Ihr Unternehmen vor Quishing?

Wirksamer Schutz vor Quishing setzt wie bei anderen Social-Engineering-Angriffen auf drei Ebenen:

Prozesse

• Klare Regel für Anmeldungen: Legen Sie fest und kommunizieren Sie, dass die IT niemals per QR-Code zur Anmeldung oder zur Einrichtung der Mehr-Faktor-Authentifizierung auffordert.
• Bankdaten nur auf bekanntem Weg ändern: Änderungen von Lieferanten-Bankverbindungen werden telefonisch über eine bekannte Nummer bestätigt, nie über einen Code in einem Schreiben.
• Einfacher Meldeweg: Ein fester Ansprechpartner oder ein Melde-Button sorgt dafür, dass Verdachtsfälle schnell ankommen.

Technik

• Mailfilter mit Bildanalyse: Prüfen Sie, ob Ihr Mailschutz QR-Codes in Bildern und PDF-Anhängen auslesen und bewerten kann.
• Dienstliche Smartphones absichern: Verwaltete Geräte mit Webschutz fangen bekannte Phishing-Seiten auch beim Scan ab.
• Phishing-resistente Anmeldung: Verfahren wie Passkeys oder Sicherheitsschlüssel nach FIDO2 lassen sich auf gefälschten Seiten nicht abgreifen.

Menschen

• Quishing in die Schulung aufnehmen: Eine Phishing-Schulung sollte QR-Codes ausdrücklich behandeln, mit echten Beispielen wie der angeblichen MFA-Erneuerung.
• Regelmäßig üben: Eine Phishing-Simulation trainiert das Prüfen von Absender, Anliegen und Zieladresse, also genau die Fragen, die auch bei einem QR-Code entscheiden.
• Gefährdete Rollen zuerst: Buchhaltung, Personalabteilung, Assistenz und Beschäftigte mit viel Außenkontakt erhalten besonders häufig solche Nachrichten.

Wie unterstützt reteach beim Schutz vor Quishing?

reteach ist eine deutsche Lernplattform (LMS) für den Mittelstand in der DACH-Region. Unternehmen erstellen, automatisieren und dokumentieren damit Pflichtschulungen, Unterweisungen und Onboarding revisionssicher. Zum Angebot gehören das reteach LMS, über 500 anpassbare E-Learning-Kurse, 59 interaktive Kurse als SCORM-Paket für bestehende Lernplattformen sowie reteach Phishing Awareness für automatisierte Phishing-Simulationen.

• Kurse zur Informationssicherheit: Die Informationssicherheit-Schulungen vermitteln, wie Phishing über verschiedene Kanäle funktioniert und wie Beschäftigte richtig reagieren, jeweils mit Wissenstest.
• Phishing-Simulationen: reteach Phishing Awareness verschickt realistische Phishing-Mails im Rhythmus 14-tägig oder monatlich und zeigt im Klick-Moment eine Aufklärungsseite.
• Nachweis: Abschlüsse und Auswertungen liefern einen auditfähigen Nachweisbeitrag, etwa für NIS2 oder ISO 27001.
• Flexibel einsetzbar: Phishing Awareness gibt es als eigenständige Komplettlösung und ebenso zusammen mit dem reteach LMS, datenschutzfreundlich gestaltet.

Fazit: Erst prüfen, dann scannen

Quishing funktioniert, weil QR-Codes vertraut wirken und der Angriff auf das Smartphone ausweicht, wo weniger Schutz greift. Die gute Nachricht: Die Warnsignale sind dieselben wie bei jeder Phishing-Mail. Ungewöhnliche Anfragen, Zeitdruck und eine unerwartete Datenabfrage verraten den Angriff, auch wenn der Link in einem Code versteckt ist.

Die nächsten Schritte:

1. Intern festlegen und bekannt machen, dass Anmeldungen nie per QR-Code aus einer Mail laufen.
2. Den Mailschutz auf die Analyse von QR-Codes in Bildern und PDFs prüfen.
3. Quishing als festen Bestandteil in die Sicherheitsschulung aufnehmen.
4. Den Meldeweg für verdächtige Codes und Nachrichten klar kommunizieren.

Häufig gestellte Fragen