Verdacht auf digitalen Betrug: Was Unternehmen zunächst beachten sollten

Warum die ersten Stunden zählen

Bei Betrugsfällen mit Zahlungen kann Zeit entscheidend sein: Je früher die Bank informiert wird, desto eher kommen Maßnahmen in Betracht. Ein Erfolg lässt sich nicht zusagen. Bei technischen Spuren gilt Ähnliches: Protokolle werden überschrieben, Konten verändert, Nachrichten gelöscht.

Gleichzeitig erzeugt der Moment Druck. Gut gemeinte Schnellschüsse, etwa das Neuaufsetzen eines Systems oder das Löschen verdächtiger Nachrichten, zerstören häufig Spuren. Deshalb hilft eine feste Reihenfolge, die man nicht erst im Ernstfall erfinden muss.

Erste Orientierung: Was zunächst zu tun ist

Die folgende Reihenfolge ist als Orientierung gedacht und kann je nach Lage abweichen.

1. Nichts verändern, nichts löschen. Verdächtige E-Mails, Chatverläufe, Anrufprotokolle, Dateien und Geräte bleiben, wie sie sind. Geräte nicht neu starten oder zurücksetzen, solange nicht geklärt ist, ob Daten zu sichern sind (digitale Beweissicherung).

2. Beobachtungen festhalten. Datum, Uhrzeit, was aufgefallen ist, wer beteiligt war, welche Schritte bereits unternommen wurden. Kurze, sachliche Notizen genügen. Sie sollten Fakten von Vermutungen trennen.

3. Zuständige informieren. Geschäftsleitung, IT-Verantwortliche, Finanzabteilung und, wenn vorhanden, Datenschutz und Rechtsberatung. Nicht jeder muss alles wissen, aber die Entscheider brauchen früh ein gemeinsames Bild.

4. Bei Zahlungen: Bank unverzüglich informieren. Je nach Lage kann die Bank prüfen, ob eine Rückholung oder Sperrung in Betracht kommt. Erfolg ist nicht garantiert.

5. Weitere Zahlungen und Änderungen stoppen. Offene Zahlungsanweisungen an betroffene Empfänger sowie Änderungen von Bankdaten werden angehalten und über unabhängige Wege geprüft.

6. Betroffene Konten sichern, aber mit Bedacht. Passwortwechsel und Abmeldungen können den Zugriff beenden, aber auch Spuren verändern. Die Reihenfolge sollte mit Fachleuten abgestimmt werden: erst relevante Protokolle sichern, dann Zugänge sperren, soweit das Risiko es erlaubt.

7. Spuren sichern lassen. Postfächer, Cloud-Protokolle und Geräte werden fachkundig gesichert, bevor Aufbewahrungsfristen ablaufen. Hintergrund im Artikel Digitale Beweise richtig sichern: Warum der erste Umgang mit Daten entscheidend ist.

8. Anzeige prüfen. Strafverfolgungsbehörden können Ermittlungen führen und Auskunfts- und Sicherungsmaßnahmen veranlassen. Ob und wann eine Anzeige sinnvoll ist, bespricht man mit Rechtsberatung.

9. Meldepflichten prüfen. Bei möglichen Verletzungen des Schutzes personenbezogener Daten oder gegenüber Versicherern können Fristen laufen. Die Bewertung ist rechtlich vorzunehmen.

Sichere Kommunikationswege

Wenn ein E-Mail-Konto oder ein System möglicherweise kompromittiert ist, kann die Kommunikation über dasselbe System mitgelesen werden. Deshalb:

• Unabhängigen Kanal nutzen, etwa Telefon über bekannte Nummern oder ein nicht betroffenes System.
• Kreis klein halten, nach dem Prinzip „so viele wie nötig, so wenige wie möglich“.
• Keine sensiblen Beweismittel und Zugangsdaten über unsichere Wege schicken. Dafür sollte ein abgestimmter, geschützter Übertragungsweg genutzt werden.
• Nicht über den möglichen Täter informieren, etwa durch Antworten auf die verdächtige Nachricht.

Was sich je nach Fall sichern lässt

Typische Fehler

• Schnell aufräumen. Löschen, Formatieren und Neuinstallieren vernichten Spuren.
• Verdächtige Nachrichten nur löschen. Besser melden und als Original aufbewahren.
• Selbst ermitteln. Eigene Recherchen im System, Kontakt zum vermeintlichen Täter oder Gegenmaßnahmen können Beweise verändern und Täter warnen.
• Zu lange warten. Aus Unsicherheit oder Scham wird gezögert, bis Protokolle überschrieben sind.
• Schuldzuweisung zu früh. Betrug trifft auch aufmerksame Personen. Eine fehlerfreundliche Haltung erhöht die Bereitschaft zur frühen Meldung.
• Unklare Zuständigkeiten. Wenn niemand entscheidet, geschieht nichts oder zu viel.

Wann Fachleute hinzuzuziehen sind

Je nach Fall sind unterschiedliche Perspektiven nötig: IT-Fachleute für Eindämmung, forensisch geschulte Personen für Sicherung und Analyse, Rechtsanwälte für rechtliche Fragen und Meldepflichten, die Bank für Zahlungsfragen und die Polizei für die Strafverfolgung. Wer einen Verdacht hat und unsicher ist, ob Spuren gefährdet sind, sollte eher früh nachfragen als spät. Digitale Forensik kann Sicherung, Analyse und Dokumentation unterstützen, sie ersetzt weder Rechtsberatung noch behördliche Ermittlungen.

Vorbereitung als beste Maßnahme

Schon vor einem Verdacht lohnt sich ein einfacher Notfallplan (Incident Response): Wer ist Ansprechpartner, wie sind Kontaktwege außerhalb der betroffenen Systeme, welche Protokolle werden aufbewahrt, wer entscheidet über Sicherung und Meldung? Hinweise zur Prävention im Artikel Deepfakes, Phishing und Identitätsbetrug: Praktische Schutzmaßnahmen für Unternehmen.

Ein Beispiel für die interne Kommunikation (schematisch)

Gerade im Verdachtsfall hilft eine kurze, sachliche Mitteilung an die Beteiligten, die Verunsicherung vermeidet und Spuren schützt. Sie könnte sinngemäß lauten: „Es besteht der Verdacht auf einen Betrugsversuch im Zusammenhang mit einer Zahlungsanweisung. Bitte löschen Sie keine Nachrichten, ändern Sie nichts an den betroffenen Konten und Geräten und leiten Sie verdächtige Mails nicht weiter, sondern melden Sie sie an die benannte Stelle. Zahlungen an die betroffenen Empfänger werden bis auf Weiteres nicht ausgeführt. Rückfragen bitte telefonisch an die genannte Nummer.“ Die Mitteilung nennt weder Schuldige noch Vermutungen und verweist auf einen unabhängigen Kommunikationsweg.

Einordnung

Der Beitrag ist eine allgemeine Orientierung für Unternehmen und ersetzt weder Rechtsberatung noch eine Untersuchung im Einzelfall. Er sagt nichts über Erfolgsaussichten von Rückholungen oder Ermittlungen. Zuständig für die Strafverfolgung sind die Behörden.