Die aktuelle IHK-Warnung betrifft auch Papierpost

Die IHK Köln führt in ihrer am 9. November 2026 aktualisierten Warnübersicht einen erneuten Phishing-Versuch per Brief auf. Der Eintrag vom 6. November beschreibt ein Schreiben zur angeblichen Aktualisierung von Unternehmensdaten. Ein QR-Code soll zu vermeintlichen Prüfseiten führen. Die Täter drohen unter anderem mit einem hohen Bußgeld und der Löschung des Registereintrags. Das sind Bestandteile des Betrugsversuchs, keine hier bestätigten Pflichten für die angeschriebenen Betriebe.

Der Befund stammt aus einer überregionalen Warnübersicht. Daraus lässt sich weder eine Zahl betroffener Firmen in Neckar-Alb noch eine neue lokale Angriffswelle ableiten. Für die Region gibt es einen anderen, älteren Bezug. Die IHK Reutlingen berichtete am 10. März 2026 über kompromittierte Mitarbeiterkonten und Nachrichten zu angeblichen Doppelzahlungen. Ein Link führte nach ihrer Darstellung auf eine gefälschte Microsoft-Anmeldeseite. Dieser Märzbericht erklärt eine Methode, ist aber keine Meldung über heutige Vorfälle.

Auch die IHK Baden-Württemberg warnte am 1. April vor Nachrichten, die unter IHK-Aufmachung Unternehmensdaten einschließlich einer IBAN abfragen. Logo, Foto und Unterschrift waren dort gerade Teil der Täuschung. Die unterschiedlichen Beispiele zeigen, warum eine Regel wie „Papier ist sicher“ nicht trägt. Der nächste praktische Schritt ist bei beiden Medien derselbe. Den verlangten Vorgang zunächst anhalten und den behaupteten Absender unabhängig erreichen.

Echte Beratung und falsche Anschreiben sind zu trennen. Angebote wie der Exi-Gründungsgutschein in Neckar-Alb lassen sich über die selbst aufgerufene Seite der zuständigen Institution erreichen. Nutzen Sie deren Kontakt statt des Links in einer unerwarteten Nachricht.

Nicht jede betrügerische Nachricht will sofort Geld

Prüfen Sie zuerst, welche Handlung verlangt wird. Datenabfrage, neue IBAN und geheime Zahlungsanweisung brauchen unterschiedliche Ansprechpartner. Die Buchhaltung kann eine Zahlung stoppen; nach einer Zugangseingabe ist zusätzlich die IT zuständig.

Beim Datenfang kann schon die erste Abfrage unscheinbar wirken. Eine Adresse oder Telefonnummer erscheint weniger empfindlich als ein Passwort. Der baden-württembergische IHK-Hinweis erklärt jedoch, dass solche Informationen weitere gezielte Täuschungsversuche unterstützen können. Füllen Sie ein unbekanntes Formular nicht probeweise mit echten Firmendaten aus. Die Frage lautet nicht nur, ob das einzelne Feld geheim ist, sondern ob Sie die empfangende Stelle und den Zweck überhaupt geprüft haben.

Bei einer Rechnung steht dagegen die Verbindung zwischen Leistung, Forderung und Zahlungsempfänger im Mittelpunkt. Eine passende Auftragsnummer und ein bekannter Betrag beantworten noch nicht die Frage, wem das angegebene Konto gehört. Das Landeskriminalamt Baden-Württemberg beschreibt sowohl manipulierte Rechnungen als auch vorgeschobene Änderungen von Bankverbindungen. Deshalb muss eine neue IBAN als eigener Prüfvorgang behandelt werden und darf nicht beiläufig in die Stammdaten wandern.

Ein dringender Auftrag von oben ist nochmals anders gelagert. Die Polizeiliche Kriminalprävention nennt Zeitdruck und Geheimhaltung als Merkmale des CEO-Fraud. Für den Alltag bedeutet das nicht, jede kurze Nachricht der Chefin für falsch zu halten. Es bedeutet, dass eine ungewöhnliche Zahlung gerade dann den vorgesehenen Freigabeweg braucht, wenn die Nachricht behauptet, dieser Weg müsse ausnahmsweise entfallen.

Die verlangte Handlung bestimmt den nächsten Kontakt

Firmendaten oder Anmeldung
Institution unabhängig erreichen; nach einer Zugangseingabe zusätzlich die IT einbinden.
Neue Bankverbindung
Zahlung anhalten und die Änderung mit dem bekannten Geschäftspartner verifizieren.
Ungewöhnlicher Auftrag von oben
Den vereinbarten Rückfrage- und Freigabeweg auch unter Zeitdruck beibehalten.

Eine zweite Nachricht im selben Verlauf ist keine unabhängige Bestätigung

Ein Rückruf hilft nur, wenn die Rufnummer nicht aus dem verdächtigen Schreiben übernommen wird. Nutzen Sie einen bereits verifizierten Kontakt aus den eigenen Unterlagen oder suchen Sie die offizielle Seite selbst auf. Das LKA rät ausdrücklich davon ab, Nummern aus der fraglichen E-Mail oder Rechnung für die Verifizierung zu verwenden. Auch eine dort abgedruckte Durchwahl kann zur Täuschung gehören. Die bekannte Person soll erreicht werden, nicht bloß irgendjemand, der den Vorgang überzeugend erklärt.

Nennen Sie im Gespräch den betroffenen Auftrag und fragen Sie nach der Änderung. Ist die zuständige Person nicht erreichbar, bleibt der Vorgang ungeklärt. Eine Nachricht auf der Mailbox ist keine bestätigte Kontoverbindung. Halten Sie die noch offene Entscheidung fest.

Als redaktionelle Umsetzungshilfe empfiehlt sich eine Trennung. Wer die Änderung erhält, dokumentiert sie; die für die Freigabe zuständige Person prüft die unabhängige Bestätigung. Nur dieselbe E-Mail nochmals zu lesen, reicht dafür nicht. Die Aufteilung ist an den eigenen Betrieb anzupassen.

Auch beim Einstieg in digitale Belegprozesse bleibt diese Frage bestehen. Unser Überblick zur E-Rechnung 2027 für kleine Betriebe behandelt den Rechnungsablauf; eine technisch verarbeitbare Datei ersetzt aber keine betriebliche Freigabe der Zahlung. Legen Sie deshalb fest, an welcher Stelle neue Bankdaten auffallen müssen und wer sie überprüfen darf. Prüfen, buchen und bezahlen sind Aufgaben mit unterschiedlichen Entscheidungen, selbst wenn eine Software sie dicht nebeneinander anbietet.

Eine Ausnahme darf nicht den gesamten Freigabeweg aufheben

Die Polizeiliche Kriminalprävention empfiehlt für ungewöhnliche Zahlungen das Vier-Augen-Prinzip. Im kleinen Team muss dabei klar sein, wer tatsächlich prüft und wer vertreten darf. Zwei Namen im System sind wenig wert, wenn beide ohne Kenntnis des Auftrags nur auf „Freigeben“ klicken. Besprechen Sie vorab, welche Unterlagen die zweite Person benötigt. Der Prozess soll eine prüfbare Entscheidung ermöglichen, nicht lediglich einen zusätzlichen Klick erzeugen.

Testen Sie den Ablauf an einem gewöhnlichen Vorgang, ohne eine Zahlung auszulösen. Wer erkennt die Änderung, wer fragt nach, wo wird das Ergebnis abgelegt? Spielen Sie anschließend eine Abwesenheit durch. Funktioniert der Weg auch im Urlaub? Das prüft die eigene Organisation, nicht die Häufigkeit von Angriffen.

Die Leitung muss die Rückfrage ausdrücklich unterstützen. Für Einzelunternehmen ohne zweite beschäftigte Person ist eine unabhängige Gegenprüfung bewusst zu planen. Klären Sie mit Bank und fachlicher Beratung, welche Freigabe- und Benachrichtigungsmöglichkeiten zum Zahlungsverkehr passen.

Bewahren Sie die Verfahrensbeschreibung am Arbeitsplatz auf. Ein fiktives Anschreiben reicht für die Übung, ohne fremde Links oder QR-Codes aufzurufen. Prüfen Sie anschließend, ob alle den ungeklärten Vorgang stoppen und richtig melden konnten.

Nach einer Eingabe oder Überweisung zählt die passende Sofortmaßnahme

Wenn Geld bereits überwiesen wurde und Betrugsverdacht besteht, kontaktieren Sie unverzüglich die eigene Bank oder den Zahlungsdienstleister. Bitten Sie um Prüfung der Möglichkeiten, die Transaktion zu stoppen oder zurückzuholen. Die Polizeiliche Kriminalprävention rät außerdem, Belege zu sichern und Anzeige zu erstatten. Eine erfolgreiche Rückholung ist damit nicht garantiert. Warten Sie nicht auf eine beruhigende Antwort aus demselben verdächtigen Nachrichtenverlauf.

Halten Sie die Transaktionsangaben bereit und sichern Sie die Belege, ohne verdächtige Anhänge auszuführen. Stimmen Sie mit der IT ab, wie die Originalnachricht erhalten bleibt. Ein Foto des sichtbaren Textes ersetzt nicht unbedingt die vollständige Nachricht. Löschen Sie bei einem Vorfall nicht unüberlegt alle Spuren.

Wurden Zugangsdaten auf einer fremden Seite eingegeben, muss die IT oder der zuständige Kontobetreiber sofort eingebunden werden. Die gemeinsame Phishing-Checkliste von BSI und Polizeilicher Kriminalprävention nennt ein neues Passwort, das Beenden aktiver Sitzungen und die Prüfung von Kontoeinstellungen. Bei einem betrieblich verwalteten Konto sollten diese Schritte koordiniert erfolgen. Nutzen Sie dafür einen vertrauenswürdigen Zugang und nicht erneut den Link, über den das Problem entstanden ist.

Für Microsoft 365 beschreibt Microsoft einen eigenen Wiederherstellungsablauf für kompromittierte Postfächer. Dazu gehört die Prüfung verdächtiger Regeln und Weiterleitungen. Ein bloßer Passwortwechsel beantwortet deshalb nicht automatisch alle Fragen zum Vorfall. Die Administration muss klären, welche Zugriffe und Änderungen möglich waren und welche Kontakte gewarnt werden sollten. Dieser Beitrag ersetzt weder die technische Untersuchung noch die Prüfung möglicher weiterer Pflichten im konkreten Fall.

Kontoschutz und eine erreichbare Vertretung gehören zusammen

Für die Vorsorge empfiehlt die IHK Reutlingen unter anderem Mehr-Faktor-Authentifizierung und regelmäßige Sensibilisierung. Ein zweiter Faktor ist jedoch kein Anlass, unerwartete Bestätigungsanfragen blind freizugeben. Melden Sie eine Anfrage, die Sie nicht selbst ausgelöst haben. Die betrieblichen Regeln sollten erklären, wo die Anmeldung regulär beginnt und wen Beschäftigte bei einem verdächtigen Vorgang erreichen. Der erste Hilfekontakt darf nicht erst auf der möglicherweise gefälschten Anmeldeseite gesucht werden.

Die BSI-Hinweise nennen auch Passkeys. Klären Sie mit der IT, welche Verfahren unterstützt werden und wie Gerätewechsel sowie Wiederherstellung funktionieren. Weitergereichte Zugangsdaten sollten nicht aus Bequemlichkeit die geregelte Vertretung ersetzen.

Ein weiterer Baustein ist die Datensicherung im kleinen Betrieb. Sie hilft bei der Frage, ob Arbeitsdaten wiederhergestellt werden können. Sie bestätigt aber keine Bankverbindung und holt keine überwiesene Summe automatisch zurück. Trennen Sie diese Ziele in der Planung. Für den Mailvorfall brauchen Sie einen Melde- und Prüfweg, für Datenverlust eine erprobte Wiederherstellung und für die Zahlung einen belastbaren Freigabeprozess.

Beenden Sie die Nachbereitung mit einer Verbesserung. Eine veraltete Nummer wird berichtigt, eine unklare Vertretung bekommt einen Namen. Wurde aus Sorge vor Vorwürfen zu spät gemeldet, muss die Leitung den Umgang mit Fehlern klären. Entscheidend ist, dass aus der nächsten verdächtigen Nachricht keine ungeprüfte Freigabe wird.

Informationsquellen

IHK Köln, IHK Reutlingen, IHK Baden-Württemberg, Landeskriminalamt Baden-Württemberg, Polizeiliche Kriminalprävention, Bundesamt für Sicherheit in der Informationstechnik, Microsoft