Stimmenbetrug am Empfang: Wie prüfe ich Anfragen?

Das Problem

Frau Keller am Empfang einer Treuhandfirma nimmt einen Anruf entgegen. Der Anrufer klingt wie der Geschäftsführer, ruft von unterwegs an und sagt: «Schnell, ich brauche die Bankverbindung des Mandanten X und das Passwort für den Zugang, ich bin im Zug und komme nicht ins Netz.» Er klingt gehetzt, aber vertraut.

Solche Anrufe sind kein Spiel. Mit KI lassen sich Stimmen nachbilden, und Betrüger recherchieren Namen von Vorgesetzten aus Webseiten und Netzwerken. Im Sekretariat und am Empfang laufen viele Informationen zusammen, und dort steht die Person, die höflich und hilfsbereit sein will.

Das Problem ist nicht Frau Keller. Es ist, dass es keine klare Regel gibt, die sie schützt. Mit einem festen Ablauf wird aus dem unsicheren Bauchgefühl ein sicherer Handgriff.

So lösen Sie es mit KI – Schritt für Schritt

1. Legen Sie fest, was nie am Telefon geschieht. Zum Beispiel: Passwörter nennen, Zahlungen auslösen, Bankdaten ändern, Zugangscodes herausgeben, vertrauliche Mandats- oder Personaldaten preisgeben. Schreiben Sie die Liste auf.

1. Führen Sie ein Rückrufverfahren ein. Bei jeder Anfrage, die von der Liste betroffen ist oder ungewöhnlich wirkt: Anruf beenden, die Person über die intern bekannte Nummer zurückrufen (aus dem Telefonverzeichnis, nicht aus der Anrufliste), Rückfrage stellen.

1. Verwenden Sie eine Rückfrage, die nicht öffentlich ist. Etwas, das nur Eingeweihte wissen, nicht die Webseite. Ein vereinbartes Kennwort kann bei Zahlungen helfen. Vorsicht: Auch Antworten, die im Internet zu finden sind, taugen nicht als Beweis.

1. Verlangen Sie bei Geld oder Zugangsdaten das Vier-Augen-Prinzip. Eine zweite Person bestätigt, bevor etwas ausgelöst wird. Siehe Deepfake: Zahlungsauftrag vom Chef.

1. Erkennen Sie die Druckmuster. Dringlichkeit, Geheimhaltung, Autorität, Ausnahmen («nur dieses eine Mal»), schlechte Verbindung, Ablenkung. Jedes davon ist Grund, das Verfahren einzuhalten.

1. Geben Sie eine höfliche Standardantwort. «Ich verstehe, dass es eilt. Unsere Regel verlangt, dass ich Sie kurz zurückrufe. Das dauert zwei Minuten.» Ein Satz, den man auswendig kann, nimmt dem Gespräch die Spannung.

1. Unterstützen Sie Nein-Sagen. Die Geschäftsleitung bestätigt ausdrücklich: Wer das Verfahren anwendet, handelt richtig, auch wenn der Anrufer wirklich der Chef war. Sonst setzt sich bei Druck das Nachgeben durch.

1. Melden Sie jeden Versuch. Notieren Sie Zeit, Nummer, Inhalt und informieren Sie die zuständige Person. Ein einziger Versuch weist oft auf eine Serie hin. Siehe Fehlerkultur: Phishing melden.

1. Üben Sie im Team. Spielen Sie einen Testanruf durch. Besprechen Sie anschliessend ohne Vorwürfe, was gut lief.

1. Passen Sie die Regeln regelmässig an. Neue Maschen, neue Abläufe, neue Mitarbeitende.

Checkliste am Telefon:

Vorlage zum Kopieren

Dieser Prompt erstellt eine Telefonregel für Ihr Sekretariat. Nennen Sie keine echten Namen oder Nummern.

Erstelle auf Deutsch (Schweiz) eine einseitige Telefonregel «Auskünfte am Empfang absichern» für das Sekretariat von [Betrieb, z. B. Immobilienverwaltung mit 15 Personen].
Inhalt: 1. eine Liste von sechs Dingen, die nie am Telefon geschehen (z. B. Passwörter, Zahlungen, Änderung von Bankdaten),
2. das Rückrufverfahren in fünf Schritten,
3. drei höfliche Standardsätze, mit denen man Druck abfedert,
4. eine Liste von fünf Warnzeichen,
5. ein Formular zum Notieren verdächtiger Anrufe (Datum, Uhrzeit, Nummer, Anliegen, informierte Person),
6. einen Satz, in dem die Geschäftsleitung bestätigt, dass die Anwendung der Regel immer richtig ist.
Schreibe knapp, in einfacher Sprache.

Passen Sie die Beispiele an Ihre Branche an und lassen Sie die Regel von der Geschäftsleitung unterzeichnen.

Worauf Sie achten müssen

• Verfahren schlägt Gehör. Auch erfahrene Mitarbeitende erkennen KI-Stimmen nicht zuverlässig. Verlassen Sie sich nicht auf Gefühl.
• Anruferkennung kann gefälscht sein. Die angezeigte Nummer beweist nichts. Auch Anrufe von «intern» sind kein Beleg.
• Druck zum Nachgeben. Betrüger greifen die Hilfsbereitschaft an. Das Verfahren muss von der Leitung gestützt werden.
• Datenschutz. Auskünfte zu Personen oder Mandaten sind Personendaten. Nach dem Datenschutzgesetz (DSG) müssen Sie angemessene Massnahmen gegen unbefugte Weitergabe treffen; was angemessen ist, hängt vom Einzelfall ab.
• Schaden schnell melden. Versicherungen verlangen bei Schäden oft eine zeitnahe Meldung; prüfen Sie Ihre Police. Informieren Sie ausserdem die Polizei; siehe Betrug melden in der Schweiz.
• Stand Oktober 2026. Die Technik ändert sich; ein Verfahren, das nicht von Technik abhängt, bleibt gültig.

Ein Beispiel aus der Praxis

Ein Beispiel: Am Empfang einer Spedition in Pratteln ruft ein angeblicher Disponent an: «Hier ist Marco aus dem Lager. Ich bin ausgesperrt, gib mir bitte den Zugangscode für den Server.» Die Stimme klingt wie die von Marco, die Empfangsmitarbeiterin hat ihn schon oft gehört.

Vorher: Sie hätte vermutlich geholfen. Nachher: Sie sagt höflich: «Ich rufe dich kurz zurück, das ist bei uns Vorschrift.» Sie ruft Marco über die interne Nummer an, er geht ans Telefon und weiss von nichts. Sie notiert den Anruf, informiert die IT, und die Geschäftsleitung dankt ihr vor dem Team.

So hilft Ihnen Alpasana

Wenn Sie Ihr Team zu Betrugsmaschen und sicherem Umgang mit KI schulen möchten, bietet absofort die KI-Weiterbildung für Unternehmen. Laut Beschreibung sind Datenschutz als Lerninhalt und der verantwortungsbewusste Umgang mit Unternehmensdaten enthalten; Lernen ist im eigenen Tempo online möglich, mit Kontaktmöglichkeit für Firmenlösungen und Teambuchungen.

Eine konkrete Telefonregel für Ihr Sekretariat entwickeln Sie am besten gemeinsam mit Ihrem Team.

Häufige Fragen

Darf ich dem Chef «Nein» sagen, wenn er wirklich anruft?

Ja, wenn die Regel das vorsieht und die Geschäftsleitung sie unterstützt. Ein echter Chef versteht den Rückruf, ein Betrüger nicht.

Wie erkläre ich Kolleginnen die Regel?

Mit einem Beispiel und einer einfachen Formel: «Wenn es um Geld, Codes oder vertrauliche Daten geht, rufe ich zurück.» Üben Sie den Satz gemeinsam.

Was, wenn der Rückruf niemanden erreicht?

Dann geschieht nichts, bis die Person erreichbar ist. Ein Anliegen, das nicht warten kann und nicht rückprüfbar ist, ist verdächtig. Fragen Sie eine Vorgesetzte.

Reicht eine Schulung einmal pro Jahr?

Besser sind kurze, regelmässige Erinnerungen und Übungen; siehe Mitarbeitende im Erkennen von Phishing schulen.