Ist das wirklich eine SMS von deinem Chef oder Betrug?

32,4 % der Mitarbeitenden fallen ohne Schulung auf Phishing-Angriffe herein – und eine der häufigsten Varianten ist der Geschenkkartenbetrug per SMS oder E-Mail. Betrüger geben sich dabei als Vorgesetzte aus, erzeugen künstlichen Zeitdruck und nutzen gezielt menschliche Emotionen aus.

Dieser Artikel zeigt, wie solche Angriffe funktionieren, warum auch erfahrene Mitarbeitende darauf hereinfallen und was du konkret dagegen tun kannst.

Du gehst deinem Tag nach, als plötzlich eine SMS auftaucht. Dein Chef bittet dich um Hilfe. Er ist gerade auf Kundenbesuch, jemand hat vergessen, Geschenkkarten zu besorgen – und nur du kannst das jetzt schnell regeln. Sechs Karten im Wert von je ca. 200 Euro, die Codes sofort übermitteln.

Das Geld bekommst du natürlich bis zum Ende des Tages zurück. Telefonisch erreichbar ist er die nächsten zwei Stunden nicht – Besprechung. Und natürlich: höchste Priorität.

Würdest du bei einer solchen Aufforderung innehalten? Oder dem Wunsch möglichst schnell nachkommen?

Erstaunlich viele Arbeitnehmer fallen auf diesen Geschenkkarten-Betrug herein. Die Varianten sind zahlreich: Dein Chef hat kein Benzin mehr, steckt in einer Notlage – und nur du kannst helfen. Der ahnungslose Mitarbeitende kauft die Geschenkkarten und stellt danach fest, dass nicht der echte Geschäftsführer dahintersteckte, sondern ein Phishing-Betrüger. Das Geld ist weg.

Ohne entsprechende Schulung fallen 32,4 % der Angestellten auf einen Phishing-Betrug herein.

Wer einmal in der Stresssituation steckt, denkt nicht mehr nach – er handelt. Genau darauf setzen Betrüger.

– Christian Markus, Gründer pirenjo.IT

Warum fallen Mitarbeitende auf Phishing-Betrug herein?

Obwohl die Umstände seltsam wirken, fallen viele Arbeitnehmer auf diesen Geschenkkartenbetrug herein. Die Hacker verwenden Social-Engineering-Taktiken – sie manipulieren Emotionen, um Mitarbeitende dazu zu bringen, der Bitte nachzukommen.

Diese Taktiken erzeugen ganz konkrete Gefühle: die Angst, dem Vorgesetzten nicht gerecht zu werden, die Chance, den Chef in einer Notlage zu retten, und den Wunsch, das Unternehmen nicht im Stich zu lassen.

Die Botschaft ist so gestaltet, dass Mitarbeitende möglichst ohne Nachdenken handeln. Es wird Dringlichkeit erzeugt: Die Geschenkkarten werden sofort gebraucht. Außerdem steht in der Nachricht, dass die Führungskraft in Kürze nicht mehr erreichbar sein wird – damit sinkt die Wahrscheinlichkeit, dass jemand kurz anruft und die Echtheit prüft.

Ein realer Fall: 6.500 Dollar durch gefälschte CEO-E-Mail verloren

Variationen dieses Betrugs sind weit verbreitet und können zu erheblichen finanziellen Verlusten führen. Ein Unternehmen ist nicht dafür verantwortlich, wenn ein Mitarbeitender auf den Betrug hereinfällt und mit seinem eigenen Geld Geschenkkarten kauft.

In einem dokumentierten Fall hat eine Frau aus Palos Hills, Illinois über 6.000 Dollar verloren – nachdem sie eine E-Mail-Anfrage von jemandem erhalten hatte, den sie für den CEO ihres Unternehmens hielt.

Die E-Mail stammte angeblich vom Geschäftsführer und erklärte, er wolle ausgewählten Mitarbeitenden, die sich besonders verdient gemacht hätten, Geschenkkarten schicken. Der Abschluss der Nachricht lautete: „Kannst du mir helfen, heute einige Geschenkkarten zu kaufen?“ Der Chef war unter seinen Mitarbeitenden für seine Großzügigkeit bekannt – die E-Mail wirkte also nicht untypisch.

Die Frau kaufte Karten von Target und Best Buy. Dann kam eine weitere Aufforderung, ein Foto der Karten zu schicken. Der Wortlaut war freundlich und unauffällig: „Kannst du ein Foto machen, ich trage das alles in eine Tabelle ein.“ Sie kaufte schließlich Geschenkkarten im Wert von über 6.500 Dollar – und der Betrüger stahl sie.

Als sie ihren Chef kurze Zeit später traf, wusste er nichts von der Anfrage. Der Betrug war perfekt.

3 Tipps zur Vermeidung von kostspieligem Phishing-Betrug

Ein kurzer Anruf kostet 30 Sekunden. Ein Phishing-Betrug kostet Tausende.

– Christian Markus, Gründer pirenjo.IT

Ungewöhnliche Anfragen immer doppelt prüfen

Auch wenn eine Nachricht behauptet, die Person sei nicht erreichbar – ruf trotzdem an oder geh persönlich vorbei. Wenn es um Geld geht oder die Anfrage ungewöhnlich wirkt, nimm auf einem anderen Weg Kontakt auf. Ein kurzes Telefonat reicht, um Betrug zu entlarven.

Stress und Zeitdruck sind die besten Verbündeten von Betrügern. Wer kurz pausiert, schützt sich.

– Christian Markus, Gründer pirenjo.IT

Nicht emotional reagieren

Betrüger versuchen, ihre Opfer zum Handeln zu bewegen, bevor sie Zeit zum Nachdenken haben. Oft genügen ein paar Minuten Abstand, um eine Nachricht objektiv zu betrachten – und den Betrug zu erkennen.

Frag dich: Wirkt diese Nachricht wirklich echt? Würde mein Chef das so formulieren? Und warum ausgerechnet Geschenkkarten?

Eine zweite Meinung kostet nichts – ein Betrug schon.

– Christian Markus, Gründer pirenjo.IT

Zweitmeinung einholen

Bitte einen Kollegen oder den IT-Dienstleister deines Unternehmens, sich die Nachricht anzuschauen. Das Einholen einer zweiten Meinung bremst den Impuls, sofort zu reagieren – und kann teure Fehler verhindern.

Mehr darüber, wie du deine Mitarbeitenden gezielt auf solche Angriffe vorbereiten kannst, zeigt unser Artikel zum Awareness Training für Mitarbeiter. Und wer verstehen will, wie Phishing technisch funktioniert, findet eine verständliche Erklärung unter Was ist Phishing?

Phishing wird immer raffinierter – dein Team muss vorbereitet sein

Phishing-Angriffe entwickeln sich weiter. Wer heute nicht schult, riskiert morgen den Schaden. Ruf uns noch heute an und vereinbare ein Kennenlerngespräch, um die Sicherheit deines Teams zu stärken. Die IT-Sicherheitsprofis von pirenjo.IT helfen dir dabei, dein Unternehmen sicherer zu machen.