Abläufe, die geklonten Stimmen den Zugriff nehmen

Warum die Erkennung am Ohr der falsche Ansatz ist

Jede Verteidigung, die auf dem Erkennen der Fälschung beruht, verliert mit der nächsten Modellgeneration. Ein Ablauf, der ohne Echtheitsprüfung auskommt, verliert nicht. Deshalb lautet die Leitfrage nicht „War das wirklich die Chefin?“, sondern „Kommt diese Anweisung über einen Weg, den ein Fremder nicht kontrollieren kann?“

Das hat einen angenehmen Nebeneffekt: Dieselben Regeln greifen auch bei Maschen ohne jede KI, beim gefälschten Lieferantenschreiben mit neuer Kontonummer ebenso wie beim klassischen Enkeltrick im Firmengewand. Du baust also keine Sonderlösung gegen ein Modethema, sondern schließt eine Lücke, die schon länger offen ist.

Der Rückruf, und warum die Nummer über alles entscheidet

Ein Rückruf wirkt nur, wenn die Nummer aus einer Quelle stammt, die der Angreifer nicht mitgeliefert hat. Die angezeigte Rufnummer taugt dafür nicht, denn sie lässt sich fälschen, und die Signatur einer Mail ebenso wenig. Verlässlich sind das interne Verzeichnis, die Telefonanlage und der Kontakt, den ihr selbst gepflegt habt.

Der häufigste Fehler ist bequem und unauffällig: Man drückt auf die Rückruftaste in der Anrufliste. Damit wählt man exakt die Nummer, von der der Angriff kam. Wer die Regel im Team erklärt, sollte diesen Punkt ausdrücklich nennen, sonst wird der Ablauf formal eingehalten und wirkt trotzdem nicht.

Bei externen Partnern gilt dasselbe für die Bankverbindung. Eine Änderung wird nie über den Kanal bestätigt, über den sie hereinkam, sondern über die Nummer, die schon vor der Anfrage im Stammsatz stand.

Das Codewort funktioniert nur, wenn es nirgends steht

Ein Codewort ist die Antwort auf die Fälle, in denen ein Rückruf nicht geht, etwa wenn jemand tatsächlich unterwegs und nur über eine fremde Leitung erreichbar ist. Vereinbart wird es persönlich, nicht per Mail und nicht im Chat, und es liegt weder im geteilten Laufwerk noch im Passwortmanager des Teams. Sobald ein Postfach übernommen ist, wäre es sonst mit dem ersten Suchlauf gefunden.

Sinnvoll ist ein Wort ohne Bezug zum Unternehmen, das sich niemand erschließen kann, und ein fester Anlass für den Wechsel, etwa wenn jemand die Abteilung verlässt. Wichtig ist außerdem, dass es in beide Richtungen gilt: Auch die Geschäftsführung darf danach gefragt werden, sonst wird es im entscheidenden Moment aus Höflichkeit weggelassen.

Zwei Augenpaare ab einer Grenze, die ihr selbst festlegt

Die Grenze für die zweite Freigabe muss zum Haus passen, nicht zu einer Empfehlung von außen. Setzt sie so, dass der Alltag sie nicht ständig auslöst, und so niedrig, dass ein einzelner Vorgang darunter kein ernsthaftes Loch reißt. Entscheidend ist weniger die Höhe als die Frage, ob die zweite Person tatsächlich ablehnen darf, ohne sich dafür zu rechtfertigen.

Der wichtigere Hebel liegt ohnehin nicht bei der einzelnen Zahlung, sondern bei den Stammdaten. Wer eine Bankverbindung ändern kann, braucht keinen einzelnen Betrug mehr, sondern kassiert die nächste reguläre Zahlung. Deshalb gehört jede Änderung an Kontodaten in dieselbe Freigabe wie eine Zahlung, unabhängig vom Betrag.

Eine Sperre bekommt ihr seit dem 9. Oktober 2025 von der Bank dazu. Seither müssen Zahlungsdienstleister im Euroraum bei Euro-Überweisungen vor der Freigabe abgleichen, ob Empfängername und IBAN zusammenpassen, und bei Abweichung warnen. Diese Warnung ist nur so viel wert, wie sie ernst genommen wird: Legt im Haus fest, dass eine Abweichung die Zahlung stoppt und nicht weggeklickt wird, und dass in diesem Fall die Kontodaten über den Stammdatenprozess geprüft werden.

Einführung ohne Projektaufwand

Der ganze Ablauf passt auf eine Seite. Eine längere Richtlinie liest niemand, und was niemand liest, greift im Ernstfall nicht. Nimm die Seite in die Einarbeitung neuer Beschäftigter auf, häng sie in der Buchhaltung aus und benenne eine Person, bei der man im Zweifel anruft, ohne sich dumm vorzukommen.

Den größten Unterschied macht eine Ansage von oben: Wer als Geschäftsführung öffentlich sagt, dass ein Rückruf ausdrücklich erwünscht ist und niemals als Misstrauen gilt, entwertet die Masche im Kern. Danach hilft eine angekündigte Übung im Jahr mehr als jede weitere Regel.