Schulung zur Betrugsprävention für Mitarbeiter: 6 Betrugsarten, auf die man sich vorbereiten sollte

Schulungen zur Betrugsaufklärung vermitteln den Mitarbeitern, wie sie Betrugsversuche erkennen und unterbinden können, die sich persönlich gegen sie richten: eine gefälschte Anfrage des Geschäftsführers, eine Rechnung mit geänderten Bankverbindungen, ein Anruf eines „Lieferanten“, der noch heute eine Zahlung benötigt. Eine gute Schulung erklärt Betrug nicht nur abstrakt. Sie zeigt den Mitarbeitern genau die Nachrichten, die sie erhalten werden, lässt sie üben, diese zu erkennen, und gibt ihnen eine einfache Vorgehensweise an die Hand, wenn ihnen etwas seltsam vorkommt: innehalten, über einen bekannten Kanal überprüfen und melden.

Die meisten Zahlungsbetrugsfälle gegen Unternehmen führen nicht zu einer Systemstörung. Vielmehr wird eine Person dazu verleitet, etwas zu tun, wozu sie eigentlich befugt ist – beispielsweise eine Zahlung zu genehmigen oder einen Lieferanteneintrag zu ändern. Aus diesem Grund sind das Finanzteam, der Büroleiter und der neue Mitarbeiter in der Kreditorenbuchhaltung die eigentlichen Ziele, und deshalb lässt sich Betrug selten allein durch technische Maßnahmen aufdecken. Im Folgenden erfahren Sie, welche sechs Betrugsarten jedes Programm abdecken sollte, warum ein jährliches Schulungsmodul nicht ausreicht und wie man Schulungen gestaltet, die das Verhalten der Mitarbeiter tatsächlich verändern.

Die sechs Betrugsmaschen, die sich gegen Mitarbeiter richten

1. CEO-Betrug und Business Email Compromise. In einer Nachricht, die scheinbar von einem Geschäftsführer stammt, wird um eine dringende, vertrauliche Zahlung gebeten. Der Tonfall wirkt gehetzt, der Absender befindet sich „in einer Besprechung“ und ist telefonisch nicht erreichbar. Beim Business Email Compromise nutzt der Angreifer ein echtes, gekapertes E-Mail-Konto, was die Anfrage noch überzeugender macht. In unserem Artikel erklären wir, wie CEO-Betrug funktioniert und was Sie dagegen tun können.
2. Rechnungsbetrug. Eine gefälschte Rechnung oder eine echte Rechnung mit geänderten Angaben geht von einem scheinbar bekannten Lieferanten ein. Oft trifft sie am Monatsende ein, wenn das Team eine große Rechnungsmenge bearbeitet und die Prüfung weniger sorgfältig durchführt.
3. Betrug mit gefälschten Aufträgen. Jemand, der sich als Lieferant ausgibt, bittet Sie, seine Bankverbindung zu aktualisieren, „weil wir die Bank gewechselt haben“. Alle zukünftigen Zahlungen gehen dann an den Betrüger, oft über Monate hinweg, bevor der echte Lieferant eine unbezahlte Rechnung einfordert.
4. Betrug durch Zahlungsumleitung. Der Täter fängt einen laufenden E-Mail-Austausch über eine Zahlung ab – beispielsweise im Zusammenhang mit einem Immobiliengeschäft oder einem Großauftrag – und fügt genau im richtigen Moment neue Kontodaten ein.
5. Deepfakes und Telefonbetrug. Ein Anruf oder eine Sprachnachricht, die wie die Stimme eines Managers oder Finanzleiters klingt, bestätigt die gefälschte Anfrage. Durch das Klonen von Stimmen ist dies kostengünstig und schnell möglich geworden, weshalb wir dieses Thema in unseren Deepfake-Sensibilisierungsschulungen gesondert behandeln.
6. Betrugs-SMS und Kurierbetrug. Betrug macht nicht an der Bürotür Halt. Betrugs-SMS, die vorgeben, von einer Bank oder einem Lieferdienst zu stammen, sowie Kurierbetrug, bei dem ein Anrufer, der sich als Polizist oder Bankmitarbeiter ausgibt, jemanden dazu überredet, Karten oder Bargeld auszuhändigen, betreffen Mitarbeiter auch zu Hause. Dieselben Überredungstricks tauchen dann auch am Arbeitsplatz auf. Erfahren Sie mehr über Smishing.

Was diese Betrugsmaschen gemeinsam haben, ist nicht der Kanal, sondern der Druck: Dringlichkeit, Autorität und Geheimhaltung. Eine Schulung, die den Menschen beibringt, diese drei Signale zu erkennen, schützt sie vor Varianten, die es noch gar nicht gibt.

Warum ein jährliches Modul zum Thema Betrug nicht funktioniert

Viele Unternehmen behandeln das Thema Betrug einmal im Jahr in einem halbstündigen E-Learning-Modul. Damit ist die Pflicht erfüllt, doch die Wirkung lässt schon nach wenigen Wochen nach. Das Bewusstsein für Betrug ist kein Wissen, das man sich aneignet, sondern ein Reflex, den man sich antrainiert: das halbsekündige Zögern, bevor man auf „Genehmigen“ klickt. Reflexe müssen durch Wiederholung gefestigt werden.

Das zweite Problem ist das Timing. Betrüger orientieren sich am Kalender und an den Nachrichten: Zahlungen zum Jahresende, Urlaubsvertretungen in der Finanzabteilung, ein neues ERP-System, ein bekannter Lieferant in den Schlagzeilen. Ein Modul aus dem vergangenen Frühjahr kann das nicht vorhersehen. Kurze, wiederkehrende Schulungen können den Mitarbeitern das Szenario vor Augen führen, während es tatsächlich stattfindet.

Was eine gute Schulung zur Betrugsaufklärung umfasst

• Realistische Szenarien für jede Betrugsart. Die Mitarbeiter üben mit den Nachrichten, die sie tatsächlich erhalten werden: die dringende E-Mail des Geschäftsführers, das Schreiben mit den „neuen Bankdaten“, der Anruf eines Lieferanten. Die jeweilige Funktion spielt eine Rolle, daher gibt es für die Kreditorenbuchhaltung mehr Zahlungsszenarien als für das Lager.
• Simulationen statt bloßer Theorie. Phishing-Simulationen , die Rechnungs- und CEO-Betrug nachstellen, zeigen, wer auf eine gefälschte Anfrage reagieren würde – ohne dass dabei tatsächlicher Schaden entsteht.
• Eine klare Verifizierungsregel: Jede Änderung der Bankverbindung oder jede ungewöhnliche Zahlungsanforderung wird über einen Kanal bestätigt, den Sie bereits kennen, beispielsweise über die Telefonnummer in Ihrer Lieferantenakte – niemals über die in der E-Mail angegebene Nummer.
• Eine einfache Möglichkeit, etwas zu melden. Personen, die eine verdächtige Nachricht melden, sind Ihre früheste Warnung. Machen Sie es mit einem Klick möglich und bedanken Sie sich bei ihnen dafür – auch wenn sich die Nachricht als harmlos herausstellt.
• Erfassung im Zeitverlauf. Erfassen Sie, wie viele Mitarbeiter sich melden, wie viele auf die Simulationen hereinfallen und wie sich dies je nach Team verändert. So lässt sich erkennen, wo zusätzlicher Schulungsbedarf besteht, und den Auditoren werden Nachweise für NIS2 und ISO 27001 geliefert.

So richten Sie in fünf Schritten eine Schulung zur Betrugsprävention ein

1. Messen Sie Ihren aktuellen Stand. Beginnen Sie mit einer Bestandsaufnahme, damit Sie wissen, welche Teams und Betrugsarten zuerst Aufmerksamkeit erfordern.
2. Stellen Sie die Zahlungsprozesse dar. Wer kann Zahlungen genehmigen, Lieferantendaten ändern oder dringende Überweisungen freigeben? Diese Personen erhalten die intensivste Schulung.
3. Einigen Sie sich auf die Überprüfungsregel. Halten Sie die Rückrufregel schriftlich fest und sorgen Sie dafür, dass die Geschäftsleitung diese öffentlich unterstützt, damit sich niemand unbehaglich fühlt, wenn er die Anfrage eines Vorstandsmitglieds überprüft.
4. Trainieren Sie in kurzen, häufigen Einheiten. Ein paar Minuten pro Woche sind besser als ein Nachmittag im Jahr. Wechseln Sie die Betrugsarten ab, damit jedes Szenario regelmäßig wiederkehrt.
5. Testen, berichten und wiederholen. Führen Sie Simulationen durch, teilen Sie die Ergebnisse im Team mit, ohne einzelne Personen namentlich zu nennen, und passen Sie die Szenarien entsprechend den gewonnenen Erkenntnissen an.

Der Tipp: Schärfen Sie mit Guardey das Bewusstsein für Betrug im Zugverkehr

Guardey macht diesen Ansatz zu einer wöchentlichen Gewohnheit. Die Mitarbeiter erhalten auf ihrem Laptop oder in der mobilen App für iOS und Android eine etwa dreiminütige Aufgabe zu den Themen CEO-Betrug, Rechnungsbetrug, Phishing, Smishing und Deepfakes. Gamification mit Bestenlisten und Serien hält die Mitarbeiter bei der Stange, Phishing-Simulationen testen das Gelernte und auditfähige Berichte zeigen Ihren Fortschritt in Bezug auf NIS2 und ISO 27001. Mehr als 500 Organisationen, darunter das Europäische Parlament, nutzen Guardey bereits. Erfahren Sie, wie unser Sicherheitsbewusstseinstraining funktioniert.

Kümmert sich Ihr IT-Partner auch um die menschliche Seite?

Viele kleine Unternehmen lagern ihre IT an einen Managed Service Provider (MSP) aus – ein IT-Unternehmen, das gegen eine monatliche Gebühr den Betrieb ihrer Systeme und die Sicherheit übernimmt. Betrug ist dabei ein blinder Fleck: Die Firewall wird zwar verwaltet, aber niemand schult die Person, die die Rechnungen bezahlt. Es lohnt sich, Ihren MSP zu fragen, ob dies zusätzlich angeboten werden kann.

Für MSPs ist Guardey über Vertriebspartner wie den Cybersicherheits-Distributor e92plus erhältlich, der Partnern dabei hilft, neue Sicherheitsdienste mit vorgefertigten Marketingkampagnen und monatlicher Abrechnung pro Kunde auf den Markt zu bringen.

Häufig gestellte Fragen zur Schulung zur Betrugsprävention

Was ist eine Schulung zur Betrugsprävention?

In Schulungen zur Betrugsaufklärung lernen Mitarbeiter, Betrugsversuche zu erkennen, die sich gegen sie richten – wie beispielsweise CEO-Betrug, Rechnungsbetrug und gefälschte Anrufe –, und richtig darauf zu reagieren. Der Schwerpunkt liegt dabei eher auf praktischen Anhaltspunkten und einer festen Überprüfungsregel als auf Theorie. Die besten Programme kombinieren kurze Lerneinheiten mit realistischen Simulationen.

Wer benötigt Schulungen zur Betrugsprävention für Mitarbeiter?

Alle, aber nicht im gleichen Maße. Mitarbeiter, die Zahlungen genehmigen, Rechnungen bearbeiten oder Lieferantendaten ändern, sind die Hauptziele und benötigen die meisten Szenarien. Andere Mitarbeiter profitieren von den Grundlagen, da Betrüger auch sie nutzen, um Informationen zu sammeln oder die richtige Person zu erreichen.

Wie oft sollten Schulungen zur Betrugsprävention stattfinden?

Kurz und regelmäßig ist oft besser als lang und selten. Ein paar Minuten pro Woche halten den Reflex auf Trab und ermöglichen es Ihnen, auf neue Betrugsmaschen zu reagieren, sobald sie auftauchen. Ein einziges Modul pro Jahr gerät schnell in Vergessenheit.

Was ist der Unterschied zwischen Mandatsbetrug und Rechnungsbetrug?

Bei Rechnungsbetrug bezahlen Sie einmalig eine gefälschte oder manipulierte Rechnung. Bei einem Mandatsbetrug überredet der Täter Sie dazu, die Bankverbindung eines Lieferanten zu ändern, sodass alle zukünftigen Zahlungen auf das falsche Konto fließen, bis jemand dies bemerkt. Beides lässt sich durch dieselbe Regel verhindern: Überprüfen Sie Änderungen über einen Kanal, dem Sie bereits vertrauen.

Betrugsversuche gegen Unternehmen nehmen immer wieder neue Formen an, doch der dahinterstehende Druck bleibt derselbe. Teams, die darin geübt sind, Dringlichkeit, Autorität und Vertraulichkeit zu erkennen, und die wissen, dass es immer in Ordnung ist, zurückzurufen und nachzufragen, vereiteln die meisten Versuche, bevor überhaupt Geld fließt.