Vier Kanäle, ein Handgriff: Sie antworten nie auf dem Weg, auf dem die Bitte gekommen ist. Beim Rückruf zählt ein Wort — selbst gesuchte Nummer, nicht die aus der Nachricht.
Am Telefon wirkt der Druck stärker als in einer Mail, weil ein Mensch direkt anspricht und wartet. Das Gegenmittel ist höflich und immer dasselbe: Ich rufe zurück. Entscheidend ist dabei das Wort selbst — nicht die Nummer, die der Anrufer genannt hat, und auch nicht die unter der Nachricht. Die Nummer in der Signatur gehört zur Nachricht; wer sie anruft, prüft die Fälschung bei der Fälschung.
Beim Chef-Betrug kommen fast immer vier Zutaten zusammen, und jede hat eine Aufgabe: eine eilige Zahlung (verhindert Nachdenken), eine neue Kontonummer (ist das Ziel), die Bitte um Schweigen (verhindert die Rückfrage bei Kollegen) und ein Chef, der gerade nicht erreichbar ist (verhindert die Prüfung).
Die Bitte „sprich mit niemandem darüber" behandeln Sie deshalb immer als Warnzeichen: Echte Vorgänge im Betrieb halten eine Rückfrage aus. Nur ein Angriff braucht Stille.
Die zweite Form ist schwerer zu erkennen, weil kein Druck dabei ist: Ein bekannter Lieferant teilt eine neue Bankverbindung mit, alles stimmt — Logo, Ansprechpartner, Rechnungsnummer, nur das Konto ist fremd. Sie fühlt sich nach nichts an. Deshalb hängt sie nicht an einem Gefühl, sondern an einem Ablauf: Eine geänderte Bankverbindung wird nie aufgrund einer Nachricht geändert, immer nur nach einem Rückruf über die bei Ihnen hinterlegte Nummer.
Beim Zahlungsbetrug entsteht in erster Linie ein Vermögensschaden, kein Datenschutzverstoß. Gelangen dabei Daten an Dritte, greifen Art. 32 (Rahmen nach Art. 83 Abs. 4 lit. a: bis 10 Mio € oder 2 %) und der Grundsatz der Vertraulichkeit (Rahmen nach Art. 83 Abs. 5 lit. a: bis 20 Mio € oder 4 %).
Im Video: Dieser Lernblock dauert 5:30 und ist Teil des Kurses Phishing und Social Engineering erkennen.
Stand: 11.10.2026