Wer Sicherheitsvorfälle melden soll, rechnet meist kurz nach: Was kostet mich das, und was bringt es? Fällt diese Rechnung schlecht aus, schweigen Menschen. Das gilt für Mitarbeitende in Unternehmen genauso wie für Bürger gegenüber der Polizei. Und es gilt, wie ich zugeben muss, auch für mich.
Lob für eine Studentin, die mehr getan hat als ich
Im November 2025 sprach ich in München vor Studierenden der Hochschule Fresenius. Dabei erzählte eine Studentin, wie man sie bei Kleinanzeigen um ein paar hundert Euro betrogen hatte. Anschließend war sie zur Polizei gegangen.
Dafür habe ich sie ausdrücklich gelobt, denn viele Betroffene tun genau das nicht. Ich selbst zum Beispiel.
Zweimal knapp, zweimal nicht angezeigt
Der erste Fall war eine gefälschte Mail in meinem Namen, die meine Buchhalterin um 5.000 Euro bat. Zum Glück bemerkte sie den Betrug rechtzeitig. Ausführlich beschreibe ich den Fall in meinem Beitrag über CEO-Fraud.
Der zweite Versuch kam per Post. Es war ein Brief, angeblich von der apoBank, mit einem QR-Code darauf. Vor genau solchen Schreiben warnt die Bank schon seit Monaten.
Angezeigt habe ich keinen der beiden Fälle.
Online ist eine Anzeige in Bayern nämlich nur für wenige Delikte möglich, etwa für Betrug bei Online-Auktionen, ein gestohlenes Fahrrad oder einen Kratzer am Auto. Ein versuchter Betrug in meinem Namen gehört nicht dazu. Ich hätte also zur Polizeiinspektion fahren, dort warten und die Anzeige zu Protokoll geben müssen. Und das, obwohl kein Schaden entstanden war und die Täter vermutlich irgendwo im Ausland sitzen. Kurz habe ich überschlagen, was mich der Gang kostet. Dann bin ich im Büro geblieben.
Das war vernünftig. Und genau darin liegt das Problem.
Ein gefälschter Brief, den Betrüger im Namen der ApoBank verschickten. Foto: KI-generierte Nachstellung auf Grundlage der Originalvorlage.
Die Rechnung von der anderen Seite
Betrachten wir meine Entscheidung einmal aus der Gegenrichtung. Weil ich nicht anzeige, taucht der Fall in keiner Statistik auf. Das BKA selbst spricht bei Cybercrime von einem sehr hohen Dunkelfeld, und ältere Dunkelfeldstudien kamen auf eine Anzeigequote von etwa zehn Prozent.
Fehlen aber neun von zehn Fällen, plant die Politik ihr Personal nur für den zehnten. Folglich kann die Polizei vielen Fällen gar nicht nachgehen. Der Studentin sagte man auf der Wache, da könne man leider nichts machen. Und der Nächste fragt sich dann, warum er überhaupt noch hingehen soll.
Diesen Kreislauf habe ich selbst mit angetrieben. Gleich zweimal.
Sicherheitsvorfälle melden im Unternehmen: dieselbe Rechnung
Ersetzen Sie die Polizeiinspektion einfach durch die IT-Abteilung.
Ein Mitarbeiter klickt auf einen Link, merkt nach zwei Sekunden seinen Fehler und schließt das Fenster. Passiert ist nichts, glaubt er zumindest. Eine Meldung bedeutete dagegen ein Ticket, eine Rückfrage und vielleicht einen spitzen Kommentar in der nächsten Teamrunde. Hinzu kommt ein Gefühl, das ich von vielen Betroffenen kenne: „Ich komme mir so dumm vor.“
Also meldet er nichts. Ihr Lagebild sieht dadurch sauber aus, und zwar so lange, bis es doch jemand bemerkt.
Wann hat sich in Ihrem Unternehmen zuletzt jemand gemeldet und gesagt: „Ich wäre fast reingefallen“? Falls Ihnen kein Fall einfällt, heißt das keineswegs, dass es keinen gab.
Nicht jede Kleinigkeit ist ein Fall
Damit kein falscher Eindruck entsteht: Nicht jede Spam-Mail gehört zur Polizei, und nicht jeder Fehlklick gehört in eine Krisensitzung. Wer jede Kleinigkeit meldet, erzeugt Rauschen, und im Rauschen geht der echte Fall unter. Es geht vielmehr um die Fälle, bei denen es knapp war.
Bei mir war es gleich zweimal knapp.
Vier Wege, damit Mitarbeitende Sicherheitsvorfälle melden
Das Ziel ist einfach: Melden muss billiger sein als Schweigen.
- Stoppen Sie die Zeit. Wie lange dauert es in Ihrem Unternehmen, einen Verdachtsfall zu melden? Probieren Sie es selbst aus. Dauert es länger, als die Mail zu löschen, kennen Sie bereits Ihre Meldequote.
- Ein Kanal, eine Minute. Eine Adresse, eine Nummer oder ein Button genügen. Ein Formular mit zwölf Pflichtfeldern dagegen verhindert Meldungen.
- Die erste Antwort ist ein Dank. Fragen Sie nicht zuerst, wie das passieren konnte.
- Erzählen Sie zuerst Ihren eigenen Beinahe-Fall. Sobald der Chef beginnt, erzählen auch die anderen.
Fragen Sie in Ihrer nächsten Runde deshalb nicht, ob es Vorfälle gab. Fragen Sie stattdessen, wer fast reingefallen wäre.
Und bedanken Sie sich dann bei dem, der die Hand hebt.
Dr. Nikolai A. Behr CSP® ist Keynote Speaker, Kommunikationsexperte und Medientrainer für Führung, Vertrauen und empathische Kommunikation in Zeiten von Wandel und KI.