Die Mitarbeiterin in der Buchhaltung bereitete die Zahlung vor. Dann blieb sie an diesem einen Satz hängen. Hatte der Lieferant die Änderung schon angekündigt? Sie konnte sich nicht erinnern. Eigentlich wollte sie den Vorgang noch vor der Mittagspause abschließen. Stattdessen nahm sie die bereits hinterlegte Telefonnummer und rief an.

„Eine neue Bankverbindung? Nein“, sagte ihr Ansprechpartner. „Unsere ist noch dieselbe.“

Vertraut wirkt glaubwürdig

Bei einer verdächtigen E-Mail denken viele zuerst an merkwürdige Formulierungen, einen unbekannten Absender oder ein Angebot, das viel zu gut klingt. Das macht die Einordnung angenehm einfach: So etwas würde man selbst natürlich erkennen.

Schwieriger wird es, wenn eine Nachricht genau zu dem passt, was wir gerade tun. Eine Rechnung nach einer Lieferung. Eine Datei während eines gemeinsamen Projekts. Eine Rückfrage, auf deren Antwort wir warten. Dann müssen wir uns keinen Anlass erklären. Der Anlass ist schon da.

Auch die vertraute Gestaltung beruhigt. Wir erkennen einen Namen, ein Logo und einen üblichen Ablauf. Was wir dabei noch nicht wissen: Stammt die Nachricht tatsächlich von der Person, die wir dahinter vermuten?

Das lässt sich am Aussehen allein nicht zuverlässig erkennen. Trotzdem behandeln wir Vertrautheit im Alltag oft wie eine Bestätigung. Meistens kommen wir damit gut durch den Tag. Genau das macht solche Situationen schwierig.

Die kleine Abweichung verdient Aufmerksamkeit

In unserer Geschichte war die Rechnung selbst unauffällig. Die entscheidende Änderung steckte in einem Nebensatz. Gerade solche Abweichungen verdienen einen zweiten Blick: ein anderes Konto, ein neuer Übertragungsweg, die Bitte, ausnahmsweise auf eine sonst übliche Rückfrage zu verzichten.

Das bedeutet nicht, dass jede Änderung ein Betrugsversuch ist. Unternehmen wechseln tatsächlich ihre Bankverbindung. Ansprechpersonen werden vertreten, Abläufe angepasst. Wer bei jeder Abweichung sofort einen Angriff vermutet, macht die Zusammenarbeit unnötig schwer.

Hilfreich ist eine klare Vereinbarung, welche Änderungen unabhängig bestätigt werden müssen. Dann hängt die Entscheidung nicht davon ab, ob jemand gerade ein ungutes Gefühl hat. Eine neue Bankverbindung wird über einen bereits bekannten Kontakt geprüft. Das gehört zum Ablauf, auch wenn die E-Mail vollkommen überzeugend aussieht.

Darf die Rückfrage Zeit kosten?

An dieser Stelle wird aus einem technischen Thema eine Frage der Arbeitsorganisation. Die Mitarbeiterin muss wissen, dass sie für die Rückfrage Zeit verwenden darf. Auch dann, wenn eine Zahlung eilig ist oder jemand auf den Abschluss des Vorgangs wartet.

Steht in der Schulung „Bitte sorgfältig prüfen“, während im Tagesgeschäft jede Verzögerung erklärt werden muss, entsteht ein Widerspruch. Den müssen Mitarbeitende dann allein auflösen.

Ich finde, ein sicherer Ablauf sollte diese Entscheidung erleichtern. Wer etwas prüft, das nach den betrieblichen Regeln geprüft werden soll, braucht dafür keine zusätzliche Rechtfertigung. Eine kurze Rückfrage ist Teil der Arbeit.

Dafür müssen die nötigen Informationen erreichbar sein: Wo finde ich den bekannten Kontakt? Wer kann die Änderung bestätigen? An wen wende ich mich intern, wenn etwas nicht zusammenpasst?

Und wenn es erst später auffällt?

Vielleicht wird die Unstimmigkeit erst bemerkt, nachdem die Zahlung angestoßen wurde. Dann kommt zu der sachlichen Frage schnell eine persönliche: „Wie konnte mir das passieren?“

Wer in diesem Moment vor allem einen Vorwurf erwartet, zögert möglicherweise mit der Meldung. Erst noch einmal selbst nachsehen. Vielleicht klärt es sich. Vielleicht war doch alles richtig.

Damit geht Zeit verloren, in der die zuständigen Personen bereits reagieren könnten. Deshalb gehört zu einem brauchbaren Sicherheitskonzept auch ein klarer Meldeweg, den Mitarbeitende ohne lange Suche nutzen können. Eine Meldung darf zunächst knapp sein: Was ist passiert, wann war es, und welche Nachricht oder welcher Vorgang ist betroffen?

Die Ursachen lassen sich anschließend in Ruhe betrachten. Dafür braucht es auch die Bereitschaft hinzusehen, ob der Ablauf geholfen hat oder ob jemand mit seiner Unsicherheit allein geblieben ist.

Was eine Schulung dafür leisten kann

Eine gute Schulung kann den Blick für solche Situationen schärfen. Sie kann zeigen, warum eine glaubwürdige Nachricht trotzdem geprüft werden muss und welche Veränderungen besondere Aufmerksamkeit verdienen. Die betrieblichen Regeln ergänzen dann, wie diese Prüfung im eigenen Unternehmen abläuft.

Genau hier gehören für mich allgemeines Wissen und Firmenwissen zusammen. In der EU AI Act Academy werden deshalb auch die eigenen Ansprechpersonen und Meldewege mitgeschult. Mitarbeitende sollen das Gelernte dort anwenden können, wo sie tatsächlich arbeiten.

Die E-Mail in unserer Geschichte sah aus wie immer. Den Unterschied machte eine Mitarbeiterin, die kurz innehielt – und ein Ablauf, in dem ihre Rückfrage Platz hatte.