Was müssen Führungskräfte über KI-Betrug wissen?

Das Problem

Wenn Betrüger einen Betrieb angreifen, nutzen sie gern den Namen der Geschäftsführung. «Der Chef braucht dringend eine Überweisung, bitte diskret.» Diese Masche heisst Chefmasche oder CEO-Betrug. Mit KI wird sie gefährlicher: Stimmen lassen sich nachahmen, Mails klingen echt, und aus öffentlichen Quellen wie Webseite und Social Media sind genug Informationen verfügbar, um glaubwürdig zu wirken.

Das Opfer sind meist Mitarbeitende, aber das Risiko trägt der Betrieb, und die Verantwortung liegt bei der Leitung. Sie bestimmt, ob es Regeln gibt, ob sie gelten und ob sich Mitarbeitende trauen, Chefaufträge zu hinterfragen.

Viele Führungskräfte fühlen sich als Adressat von Schulungen nicht angesprochen, dabei haben sie die grösste Hebelwirkung. Diese Seite zeigt, welche Entscheidungen Sie treffen müssen und was Sie selbst tun können.

So lösen Sie es mit KI – Schritt für Schritt

1. Verstehen Sie die Masche. Betrüger imitieren Ihre Stimme, Ihren Schreibstil und Ihre Mailadresse. Sie nutzen Zeitdruck und Vertraulichkeit («sag es niemandem»). Siehe Deepfake-Zahlungsauftrag vom Chef.

1. Erlauben Sie Ihren Mitarbeitenden ausdrücklich, Ihnen zu misstrauen. Sagen Sie: «Wenn ich per Mail, Anruf oder Video eine Zahlung verlange, bestätigt bitte jemand das über meine bekannte Nummer. Das ist Pflicht, nicht Misstrauen.» Dieser Satz ist der wichtigste.

1. Legen Sie Freigaberegeln fest. Ab welchem Betrag braucht es zwei Personen? Wer vertritt, wenn jemand fehlt? Welche Zahlungswege sind erlaubt? Schreiben Sie es auf. Siehe Freigabeprozess für KI-Ergebnisse.

1. Machen Sie Ausnahmen nicht zur Gewohnheit. Wenn Sie selbst eine Regel umgehen («mach das jetzt einfach»), lernt das Team, dass sie nicht gilt. Wer Regeln ernst nimmt, braucht sie auch selbst.

1. Sorgen Sie für eine Meldekultur ohne Schuldzuweisung. Wer einen Fehler meldet, wird gelobt. Wer einen Chefauftrag hinterfragt, wird nicht gerügt. Siehe Kultur des Meldens.

1. Schützen Sie Ihre öffentliche Angriffsfläche. Welche Informationen über Sie und den Betrieb sind im Netz? Organigramm, Ferienmeldungen, Stimmproben in Videos? Sie müssen nicht verschwinden, aber Sie sollten wissen, was Betrüger nutzen können.

1. Schulen Sie sich selbst mit. Nehmen Sie an Übungen teil, und zwar nicht als Beobachter. Ihr Beispiel prägt die Haltung. Siehe Mitarbeitende zu Phishing schulen.

1. Legen Sie den Notfallplan fest. Wen rufen Sie bei Verdacht an? Bank, IT, Polizei? Wer entscheidet über Meldungen? Hängen Sie die Nummern aus.

Entscheidungen der Leitung:

Vorlage zum Kopieren

Mit diesem Prompt bereiten Sie eine kurze Mitteilung an Ihr Team vor. Verwenden Sie keine echten Zahlen aus internen Regeln, bevor Sie sie festgelegt haben:

Ich bin [Funktion] in einem Betrieb der Branche [Branche] mit [Anzahl] Mitarbeitenden. Schreibe eine kurze, persönliche Mitteilung an das Team (maximal 180 Wörter, Anrede «Sie», freundlicher und klarer Ton).
Inhalt: Es gibt Betrugsversuche, die meine Stimme und Mailadresse imitieren. Bitte bestätigt jede Zahlung, Änderung von Kontodaten und jeden Eilauftrag in meinem Namen über [bekannter Weg, z. B. meine Mobilnummer im Telefonbuch]. Das ist Pflicht und gilt auch für mich. Wer etwas Verdächtiges meldet, erhält Dank, keine Vorwürfe. Kontaktperson: [Name].
Erfinde keine Zahlen oder Regeln, die ich nicht genannt habe.

Ersetzen Sie Funktion, Branche, Weg und Kontaktperson. Verschicken Sie die Mitteilung erst nach Ihrer eigenen Prüfung.

Worauf Sie achten müssen

• Regeln ohne Vorbild wirken nicht: Sie können noch so gute Prozesse haben, wenn Sie selbst eine Eilzahlung ohne Prüfung anordnen, verliert das Team das Vertrauen.
• Hinweise auf Fälschungen sind unsicher: Stimme und Gesicht können täuschen. Die Rückbestätigung ist zuverlässiger als jedes Erkennungsmerkmal.
• Verantwortung der Leitung: Dass der Betrieb angemessene Schutzmassnahmen trifft, gehört zu den Aufgaben der Führung. Welche rechtlichen Folgen das im Einzelfall hat, klärt eine Fachperson.
• Datenschutz: Wer Meldungen und Vorfälle dokumentiert, speichert Personendaten. Halten Sie sich an Zweck und Aufbewahrungsfristen.
• Zeit für Schulung einplanen: Schulung ist Arbeitszeit. Ohne Zeit bleibt sie ein guter Vorsatz.

Ein Beispiel aus der Praxis

Ein Beispiel: Der Geschäftsführer eines Bauunternehmens in Aarau erfährt, dass Betrüger in seinem Namen eine Mitarbeiterin der Buchhaltung angeschrieben haben. Sie hatte zum Glück nachgefragt, weil sie eine ähnliche Übung erlebt hatte.

Vorher gab es keine schriftliche Regel. Nachher schreibt er dem Team: Aufträge in seinem Namen werden nur nach Rückruf auf seine Mobilnummer ausgeführt, ab CHF 5 000 prüfen zwei Personen. Er lobt die Mitarbeiterin im Teammeeting und hält sich selbst konsequent an die Regel, auch an stressigen Tagen.

So hilft Ihnen Alpasana

Für die Weiterbildung Ihrer Führungskräfte und Teams bietet die KI-Weiterbildung für Unternehmen von absofort Online-Kurse von den Grundlagen bis zum Executive-Diplomlehrgang. Sie behandeln den verantwortungsbewussten Umgang mit Unternehmensdaten und Datenschutz, mit Lernen im eigenen Tempo und verifizierbaren Abschlüssen. Für Firmenlösungen und Teambuchungen gibt es eine Kontaktmöglichkeit.

Eine individuelle Beratung zu Ihren Freigaberegeln ist nicht Teil dieses Kursangebots.

Häufige Fragen

Soll ich als Chef verbieten, dass ich Zahlungsaufträge per Telefon erteile?

Das ist eine gute Regel, wenn sie zu Ihrem Betrieb passt. Zumindest sollten solche Aufträge nie allein genügen, sondern immer durch einen zweiten Weg bestätigt werden.

Was, wenn ich unterwegs nicht erreichbar bin?

Dann bestimmt die Regel, wer vertritt. Dringende Zahlungen ohne Rückbestätigung gehören nicht dazu. Lieber eine Zahlung verzögern als einen Betrug riskieren.

Wie viel Technik muss ich verstehen?

Wenig. Sie müssen die Masche kennen, die Regeln festlegen und vorleben. Technische Einzelheiten übernimmt die IT.