Abwesenheitsnachricht als Betrugs-E-Mail: Sichere Einrichtung für KMU

6 Minuten

Letzten Sommer saß ich noch drinnen mit meinem aufgeklappten Laptop, während meine Frau und die Kinder bereits im Auto saßen und warteten. Nur noch schnell die Abwesenheitsnotiz einrichten, dann konnte der Urlaub beginnen. In wenigen Sekunden tippte ich ein, wann ich zurück sein würde, wer mich vertreten würde und an wen sich dringende Anfragen richten könnten. Gesendet. Tasche in den Kofferraum, Tür zu, los ging’s.

Was mir in diesem Moment nicht bewusst war: In diesen wenigen, hastig verfassten Sätzen hatte ich fast eine vollständige Organisationsstruktur nach außen weitergegeben. Nicht an meine Kunden. Sondern an alle, die mit anderen Absichten mitlesen.

Das passiert fast jedem Unternehmen im Mittelstand. Eine Abwesenheitsnotiz wirkt wie eine Formalität, etwas, das man zwischen dem Packen der Koffer und dem dreimaligen Überprüfen der Hintertür erledigt. Dennoch ist es eine der wenigen Nachrichten, die automatisch und ohne nachzudenken an jeden versendet wird, der eine E-Mail schreibt – einschließlich Personen, die gar keine Kunden sind.

Erzählen wir im beruflichen Umfeld eigentlich mehr als zu Hause?

In den sozialen Medien verhalten sich die meisten Menschen zurückhaltend. Niemand schreibt, dass das Haus seit drei Wochen leer steht und dass das Schlafzimmerfenster nicht richtig schließt. Dennoch versenden dieselben Personen im geschäftlichen Umfeld oft automatisch eine ähnliche Nachricht an jeden, der ihnen eine E-Mail schickt.

Eine durchschnittliche Abwesenheitsnachricht enthält drei Arten von Informationen, die ein Angreifer benötigt: wie lange jemand abwesend ist, wer die Vertretung übernimmt und welche Abteilung oder Person für Zahlungen oder Genehmigungen zuständig ist. Das ist kein Zufallslärm. Für jemanden, der versucht, sich einen Überblick über eine Organisation zu verschaffen, ist dies eine fertige Wegbeschreibung.

Bei einem Kunden habe ich gesehen, wie nah dies an der Realität ist. Während des Urlaubs eines Mitarbeiters ging bei der Finanzbuchhaltung eine „dringende“ Rechnung ein, die angeblich von dem abwesenden Kollegen genehmigt worden war. Der Absender wusste genau, wer im Urlaub war, wer der Vertreter war und dass in dieser Woche niemand anderes für die Genehmigung zuständig war. Alle Details stammten direkt aus der Abwesenheitsnachricht. Nur weil jemand doch noch einmal die bekannte Nummer zurückrief, wurde die Zahlung nicht ausgeführt.

Welche Risiken gehen Sie ein, wenn Sie Ihre Abwesenheit zu ausführlich melden?

Solche Situationen sind keine Einzelfälle mehr, sondern ein Muster. Nach Angaben des Nationalen Zentrums für Cybersicherheit (NCSC) sind 79 Prozent der kleinen und mittleren Unternehmen wöchentlich mit einem Versuch von „Business Email Compromise“ konfrontiert – einer Betrugsform, zu der auch CEO-Betrug und Rechnungsbetrug gehören. Der durchschnittliche Schaden pro erfolgreichem Angriff liegt bei rund 118.000 Euro (Quelle: ncsc.nl).

Auch abgesehen vom finanziellen Aspekt spielt noch etwas anderes eine Rolle. Angreifer kombinieren immer häufiger mehrere kleine Details zu einer glaubwürdigen Geschichte: eine Abwesenheitsnotiz, ein LinkedIn-Profil, ein Name in einer E-Mail-Signatur. Laut dem Fraudehelpdesk gingen im Jahr 2025 über 1.100 Meldungen über Akquisitionsbetrug von Unternehmern ein (Quelle: atradius.nl). Ein Teil davon beginnt mit einfachen, öffentlich zugänglichen Informationen.

Das Problem liegt also nicht darin, dass Sie abwesend sind. Das Problem liegt darin, wie viel Kontext Sie dabei automatisch mitliefern.

Was funktioniert denn, wenn Sie dennoch Ihre Erreichbarkeit kommunizieren möchten?

Eine Abwesenheitsnotiz muss kein Organigramm sein. Eine kurze und allgemeine Nachricht erfüllt oft genau denselben Zweck, ohne die zusätzlichen Informationen:

• Teilen Sie mit, dass Sie vorübergehend nicht verfügbar sind, ohne genaue Daten zu nennen.
• Verweisen Sie auf eine allgemeine E-Mail-Adresse oder Telefonnummer anstelle eines bestimmten Kollegen mit Namen und Funktion.
• Lassen Sie Angaben zu Rechnungen, Genehmigungen oder Zahlungen weg, auch wenn dies dazu dienen soll, es den Kunden zu erleichtern.
• Legen Sie intern eine klare Grenze fest, was automatisch nach außen weitergegeben werden darf und was nicht.

Das klingt einfach, und das ist es auch. Das größte Risiko liegt nicht in komplizierter Technik, sondern in einer Gewohnheit, die niemand jemals hinterfragt hat.

Ist eine kurze Abwesenheitsmitteilung nicht unfreundlich gegenüber den Kunden?

Meine Kunden möchten doch sicher wissen, wann ich zurück bin?

Das stimmt, aber es muss nicht auf den Tag genau sein. „Ich bin derzeit nicht erreichbar und werde nach meiner Rückkehr antworten“, erklärt ein Kunde gerade so viel, dass man geduldig bleiben kann, ohne jemandem, der damit andere Absichten verfolgt, einen genauen Zeitrahmen zu nennen.

Mein Stellvertreter muss doch für Kunden erreichbar sein, oder?

Gewiss, aber das ist über eine zentrale Adresse oder einen Teamnamen anstelle eines individuellen Namens und einer Funktion möglich. Das funktioniert für Kunden genauso gut und liefert einem Angreifer keine Namen, mit denen er arbeiten könnte.

Wir sind ein kleines Unternehmen – wer sollte uns schon ins Visier nehmen?

Gerade kleinere Organisationen sind attraktiv. Kurze Kommunikationswege und informelle Absprachen machen es einem Angreifer leichter, sich als vertraute Person auszugeben, und die Wahrscheinlichkeit, dass jemand eine ungewöhnliche Anfrage intern noch einmal überprüft, ist geringer als bei großen Unternehmen mit festgelegten Prozessen.

Wie richten Sie in wenigen Schritten eine sichere Abwesenheitsnotiz ein?

1. Beschränken Sie den Inhalt auf das Nötigste: Abwesenheit, kein genaues Enddatum, allgemeine Kontaktstelle.
2. Vermeiden Sie nach Möglichkeit die Nennung von Namen, Funktionen und Abteilungen bestimmter Stellvertreter.
3. Legen Sie im Voraus ein Überprüfungsverfahren für Eilzahlungen fest, unabhängig davon, wer diese beantragt.
4. Überprüfen Sie dringende Anfragen stets telefonisch unter einer bereits bekannten Nummer, niemals unter einer Nummer, die in der Nachricht selbst angegeben ist.
5. Lassen Sie Zahlungen oder Änderungen von einer zweiten Person genehmigen, bevor Sie diese ausführen.
6. Besprechen Sie solche Szenarien kurz mit dem Team noch vor dem Sommer und nicht erst nach einem Vorfall.

Warum bleiben solche Risiken in kleinen und mittleren Unternehmen oft unbemerkt?

Was ich immer häufiger beobachte, ist, dass kleine und mittlere Unternehmen zwar in Technologien wie Spamfilter und Datensicherungen investieren, sich jedoch selten Gedanken über Gewohnheiten wie eine Abwesenheitsnotiz oder eine öffentliche E-Mail-Adresse mit vollständiger Funktionsbezeichnung machen. Nicht, weil dies nicht wichtig wäre, sondern weil sich noch niemand explizit damit befasst hat.

Bei New Yard stehen wir Ihnen als Sparringspartner für mittelständische Unternehmen im Bereich des digitalen Arbeitsplatzes mit Rat und Tat zur Seite. Keine umfangreichen Berichte oder komplizierten Analysen, sondern ein klares Gespräch darüber, wo die Schwachstellen in Ihrem Unternehmen liegen und welche Schritte tatsächlich den entscheidenden Unterschied ausmachen.

Möchten Sie wissen, wie anfällig Ihr Unternehmen in diesem Sommer ist?

Eine gut konfigurierte Abwesenheitsnachricht kostet Sie fünf Minuten. Ein erfolgreicher Rechnungsbetrug kostet im Durchschnitt eine Tonne – und oft noch mehr an Vertrauen und Zeit, um den Schaden wieder gutzumachen. Dieser Unterschied ist es wert, kritisch unter die Lupe genommen zu werden – am besten noch vor Beginn des Sommers und nicht erst danach.

Möchten Sie gemeinsam mit uns erörtern, wo Ihre Organisation in diesem Sommer besonders anfällig ist? Vereinbaren Sie ein unverbindliches Kennenlerngespräch mit New Yard, und wir denken gemeinsam mit Ihnen darüber nach.