Was ist Company Catfishing?

Der Begriff Company Catfishing hat sich zunächst im Recruiting etabliert. Arbeitgeber schmücken Jobinserate, Kultur oder Benefits so stark aus, dass Bewerber eine falsche Erwartung entwickeln. Parallel wächst die externe Bedrohung. Angreifer geben sich als Unternehmen, als Geschäftsführung oder als Dienstleister aus. Ziele sind Geldtransfers, Datenabfluss oder Reputationsschäden. Unternehmen schützen sich zweifach: Sie vermeiden Irreführung im Employer Branding und bauen zugleich technische sowie organisatorische Schutzschilde gegen externe Täuschung auf.

Begriffsbestimmung und Kontext

Company Catfishing umfasst zwei Ebenen. Intern meint es die Irreführung von Bewerbern durch überzogene Versprechen zu Aufgaben, Kultur, Arbeitszeit oder Gehalt. Extern meint es die Vortäuschung einer Unternehmensidentität durch Dritte, etwa per Mail, Social Media oder Telefon. Medien und HR-Fachseiten verwenden den Begriff vor allem für die interne Ebene. Für die externe Ebene sind Begriffe wie Brandjacking, Impersonation oder CEO-Fraud üblich.

Was ist Company Catfishing im Recruiting?

Unternehmen erzeugen bewusst ein verfälschtes Arbeitgeberbild. Sie überhöhen Karrierechancen, verschleiern reale Workloads oder stellen Kultur und Flexibilität unrealistisch dar. Das soll Bewerbungszahlen steigern. Die Folge sind Fehlpassungen, schnelle Fluktuation und Reputationsverlust in Bewertungsportalen. Wer hier Transparenz verletzt, riskiert langfristige Kosten in Onboarding und Mitarbeiterbindung.

Welche Formen externer Identitätsvortäuschung treten auf?

Kriminelle imitieren Domains, E-Mail-Absender, Profile oder Telefonnummern. Häufige Muster sind BEC, CEO-Fraud, fingierte Lieferantenwechsel oder vermeintliche Supportkontakte. Aktuelle Fälle zeigen sogar täuschend echte Videokonferenzen mit gefälschten Stimmen oder Avataren. Das Risiko betrifft Konzerne, Mittelstand und Behörden gleichermaßen.

Welche Motive verfolgen Täter?

Extern geht es um schnelle Geldtransfers, Datenzugriff oder Folgezugriffe in Lieferketten. Intern zielt Company Catfishing auf kurzfristige Recruiting-Erfolge. Beides untergräbt Vertrauen. Reputationsrisiken treffen Marken, Investor Relations, Sales und HR gleichermaßen.

Zahlen und Einordnung

Phishing und Datenlecks gehören zu den größten Bedrohungen im digitalen Umfeld. Internationale Statistiken belegen Milliardenverluste durch BEC-Angriffe. In Österreich und Deutschland warnen Behörden regelmäßig vor CEO-Fraud. Die Bandbreite der Fälle lässt auf eine hohe Dunkelziffer schließen. Auch im Recruiting zeigt sich die Wirkung: Bewerber berichten von Diskrepanzen zwischen Stellenausschreibung und Arbeitsalltag, was die Arbeitgebermarke langfristig schwächt.

Woran erkennen Sie Company Catfishing in Stellenanzeigen?

Die interne Form zeigt wiederkehrende Muster. Jobtitel klingen bedeutender als die Aufgaben. Benefits werden ohne Nachweis versprochen. Karrierepfade wirken unklar. Unternehmen sollten diese Symptome als Compliance-Risiko begreifen.

Woran erkennen Sie externe Impersonation Ihrer Marke?

Anzeichen sind plötzliche Mails mit Zahlungsdruck, leichte Domainvarianten, untypische Kommunikationskanäle oder ungewöhnliche Anhänge. Verdächtig sind auch auffällige Rechtschreibfehler, Zeitdruck und Drohungen.

Rechtsrahmen in Österreich und Deutschland

Irreführende geschäftliche Handlungen sind in Deutschland im UWG §5 geregelt. In Österreich greifen ähnliche UWG-Normen gegen unlautere Geschäftspraktiken. Für Vermögensschäden durch Täuschung gelten StGB §263 in Deutschland und StGB §146 in Österreich. Im Cybersicherheitskontext wird der europäische Rahmen durch NIS2 erweitert. Die Richtlinie fordert Risikomanagement und Meldepflichten für betroffene Einrichtungen.

Technische Schutzmaßnahmen gegen externe Impersonation

E-Mail bleibt der häufigste Angriffsweg. Verbindliche SPF, DKIM und DMARC sind Pflicht. Unternehmen sollten DMARC mit einer p=reject-Politik einführen. Ergänzend härten MTA-STS, TLS-Reporting und DANE den Kanal. Monitoring und Reports machen Angriffsversuche sichtbar.

Prozesse und Governance

Technik allein reicht nicht. Unternehmen legen Vier-Augen-Prinzipien für Zahlungsanweisungen fest, trennen Kommunikationskanäle und dokumentieren Supplier Onboarding. Bei kritischen Änderungen gilt immer die Rückversicherung über einen zweiten, verifizierten Kanal.

Verifizierung nach außen

Verifizierte Unternehmensprofile auf Plattformen mindern Missbrauch. Wichtig ist die konsistente Pflege von Impressum, Kontaktdaten und Handles. Für rechtlich verbindliche Identitätsprüfungen sind amtliche Register maßgeblich. In Österreich dient das Firmenbuch als Referenz. In Deutschland sind Unternehmensregister und Registerportal zentral.

Recruiting-Compliance gegen internes Company Catfishing

Transparente Stellenprofile mit messbaren Kriterien verhindern Enttäuschungen. HR sollte Benefits belegen und Auswahlprozesse dokumentieren. Ehrliche Einblicke in Kultur und Führung reduzieren spätere Fluktuation und stärken die Arbeitgeberreputation.

Erkennung und Reaktion im Ernstfall

Unternehmen benötigen klare Meldewege. Mitarbeitende melden verdächtige Mails an ein Security-Postfach. Bei Zahlungsverlangen ist der Rückruf an eine bekannte Nummer Pflicht. Bei bestätigter Impersonation aktiviert die IT blockierende Maßnahmen: SPF und DMARC-Anpassungen, Domain- und Subdomain-Sperren sowie Abuse-Meldungen an Hoster und Plattformen.

Verantwortlichkeiten und Schulung

Führungskräfte werden in Payment Controls geschult. Finance setzt Limitierungen und Freigabeprozesse um. HR trainiert Recruiting-Teams in Transparenz. Kommunikation hält Krisenstatements bereit. Regelmäßige Übungen verbessern Tempo und Qualität der Reaktion.

Checkliste: Prävention mit Substanz

Prävention wirkt dort am stärksten, wo Technik, Prozesse und Verhalten zusammenkommen. E-Mail-Authentifizierung blockt Spoofing. Registerabgleiche sichern Identitäten. Governance verhindert Einzelentscheidungen unter Druck. Schulung stärkt die menschliche Firewall.

• DMARC mit p=reject, SPF und DKIM vollständig konfigurieren

• MTA-STS und DANE prüfen und implementieren

• Zahlungsfreigaben strikt trennen und über zweite Kanäle verifizieren

• Lieferanten- und Kontodaten nur nach Registerprüfung ändern

• Security-Awareness regelmäßig auffrischen und Szenarien simulieren

• Recruiting-Claims sachlich belegen und dokumentieren

• Vorfälle umgehend dokumentieren und an Bank sowie Polizei melden

Praxisbeispiele aus Österreich und Deutschland

Eine internationale CEO-Fraud-Bande verursachte Schäden im Millionenbereich. Österreichische Ermittler arbeiteten eng mit Banken zusammen. Deutschland meldet anhaltende Warnlagen, die Bundesnetzagentur schaltet missbrauchte Rufnummern ab. Im Recruiting dokumentieren HR-Medien die Wirkung überzogener Arbeitgeberversprechen.

Company Catfishing und NIS2: was ändert sich?

NIS2 weitet Pflichten auf mehr Branchen aus. Für betroffene Einrichtungen steigen Anforderungen an Risikomanagement, Incident-Reporting und Lieferkettensicherheit. Identitätsprüfung von Dienstleistern, Härtung von Kommunikationskanälen und klare Meldefristen rücken stärker in den Fokus. Unternehmen sollten die Kernprinzipien frühzeitig integrieren.

Wie priorisieren Sie die nächsten 90 Tage?

Starten Sie mit E-Mail-Authentifizierung und Zahlungsprozessen. Führen Sie eine Register- und Kontaktstellenliste für alle kritischen Partner. Richten Sie ein Security-Postfach und einen Standardprozess für Eskalationen ein. Ergänzen Sie Awareness-Formate um Deepfake-Szenarien.

Kernfakten im Überblick

Company Catfishing erkennen: Fragen und Antworten

Was ist Company Catfishing?

Es ist die gezielte Täuschung rund um eine Unternehmensidentität. Intern als geschöntes Arbeitgeberbild. Extern als missbrauchte Marke, Domain, Telefonnummer oder Führungsperson.

Wer ist betroffen?

Alle Branchen mit digitaler Kommunikation. Besonders gefährdet sind Unternehmen mit dezentralen Freigaben, vielen Lieferanten und hoher E-Mail-Abhängigkeit.

Wie unterscheiden sich interne und externe Formen?

Intern schadet Irreführung der eigenen Employer Brand. Extern erzeugt Impersonation finanzielle Schäden und Rechtsrisiken. Beide Formen untergraben Vertrauen.

Welche Rolle spielen Deepfakes?

Audio- und Video-Deepfakes erhöhen die Glaubwürdigkeit falscher Anweisungen. Missbrauchte Stimmfragmente oder Fake-Calls machen Täuschungen noch glaubwürdiger.

Welche Sofortmaßnahmen helfen im Verdachtsfall?

Stoppen Sie Zahlungen. Verifizieren Sie die Anfrage über einen zweiten Kanal. Sichern Sie Beweise. Melden Sie den Vorfall an Bank und Polizei.

Umsetzung in der Praxis: Bausteine mit Wirkung

Die Einführung von DMARC ist messbar wirksam. Unternehmen vermeiden Spoofing, erhalten Berichte und setzen klare Policies. Registerabgleiche stützen Identitätsprüfungen. Awareness-Programme mit realistischen Szenarien wie BEC, CEO-Fraud und Deepfakes erhöhen die Handlungssicherheit.

Fazit

Company Catfishing ist mehr als ein Modewort. Intern gefährdet es die Glaubwürdigkeit als Arbeitgeber. Extern bedrohen CEO-Fraud und Impersonation die Liquidität und das Markenvertrauen. Der wirksamste Schutz kombiniert Technik, Prozesse und Verhalten. DMARC, SPF und DKIM schließen zentrale E-Mail-Lücken. Registerabgleiche verifizieren Identitäten. Klare Freigaben und Kanalwechsel stoppen Zahlungsbetrug. Transparente Recruiting-Standards verhindern eigene Irreführung. Entscheidend ist die Konsequenz in Umsetzung und Kontrolle. Ein sauberes Zusammenspiel der Bausteine senkt das Risiko deutlich und stabilisiert Vertrauen bei Bewerbern, Kunden und Partnern.

Passende Artikel:

Menschen im Vertrieb Blog I Kündigungsschutz für Arbeitnehmer

Bildungskarenz für Verkaufsskills nutzen und Ziele erreichen