Warum Technik allein nicht reicht
Spamfilter und Virenschutz fangen viel ab, aber nicht alles. Gut gemachte Mails kommen aus echten, übernommenen Postfächern, nutzen bekannte Namen und echte Rechnungsnummern. Und viele Angriffe kommen gar nicht per Mail, sondern per Telefon, SMS oder Messenger. Am Ende entscheidet oft eine Person in wenigen Sekunden: klicken, zahlen, Code weitergeben oder nicht.
Eine Merkregel statt vieler Regeln
Lange Checklisten vergisst man im Alltag. Bewährt hat sich ein kurzer Ablauf, der für Mail, Telefon und Messenger gleich funktioniert, zum Beispiel Stopp. Prüfen. Melden.
- Stopp: Bei Druck, Eile oder ungewöhnlichen Bitten nicht sofort klicken, zahlen, eingeben oder weitergeben.
- Prüfen: über einen eigenen Weg, nie über Link oder Nummer aus der Nachricht. Nummer aus dem Adressbuch, Adresse selbst eintippen, im Team nachfragen.
- Melden: Verdächtiges und eigene Fehler sofort an die IT oder die zuständige Ansprechperson, auch abgewehrte Versuche.
Was eine Schulung abdecken sollte
- Warnzeichen erkennen: Absenderadresse, Druck und Eile, ungewöhnliche Bitten, Links und Anhänge, auch QR-Codes
- Zugänge schützen: gute Passwörter, Passwortmanager und Zwei-Faktor-Anmeldung, und warum man Codes nie weitergibt
- Betrugsanrufe und Chef-Masche: angebliche Vorgesetzte, Techniker oder Banken, geänderte Kontodaten auf Rechnungen
- Geräte und Daten: Updates, Sperrbildschirm, fremde USB-Sticks, Arbeiten unterwegs und im Homeoffice
- Vorfälle melden: was im Ernstfall zu tun ist, wer zuständig ist, und dass Melden erwünscht ist, auch nach einem eigenen Fehler
Beispiele aus dem eigenen Alltag
Eine Pflegekraft im Nachtdienst, eine Fachangestellte am Praxisempfang und ein Bauleiter mit dem Handy auf der Baustelle erleben Betrug unterschiedlich. Schulungen wirken besser, wenn die Beispiele zum Arbeitsalltag passen: der falsche Softwareanbieter am Telefon, die Schlussrechnung mit neuem Konto, die Mail vom angeblichen Vater in der Kita.
Melden ohne Angst
Wer nach einem Klick Ärger fürchtet, schweigt. Dann bleibt ein Angriff länger unentdeckt. Wichtig ist deshalb, dass Führungskräfte das Melden ausdrücklich wollen, auch bei eigenen Fehlern, und dass jede und jeder weiß, wohin. Eine Merkkarte mit der Ansprechperson am Arbeitsplatz hilft.
Wie oft auffrischen?
Betrugsmaschen ändern sich laufend. Bewährt hat sich eine Auffrischung einmal im Jahr, dazu eine Einweisung für neue Mitarbeitende in den ersten Wochen. Phishing-Simulationen können eine Schulung ergänzen, ersetzen aber nicht das Verständnis, warum eine Nachricht verdächtig ist.