Rollen und Befugnisse
- wer Informationen offenlegen darf
- wer Ausnahmen bestätigt
- wo Befugnisse unklar beschrieben sind
- welche Rollen besonders viel Vertrauen tragen
Aktualisiert
01 / AUTORISIERTE SOCIAL-ENGINEERING-PRÜFUNGUnternehmenssicherheit zeigt sich, wenn eine überzeugende Anfrage auf einen tatsächlichen Prozess trifft
BLACKFILE führt kontrollierte, schriftlich autorisierte Prüfungen durch, wie Mitarbeiter, Auftragnehmer und interne Verfahren auf Versuche reagieren, Informationen zu erhalten, Handlungen zu verändern oder festgelegte Abläufe zu umgehen.
Wir bewerten das Zusammenspiel von Kontext, Befugnissen, Kommunikationskanal, Verfahrensqualität und der Verfügbarkeit sicherer Eskalationswege.
Die Prüfung beginnt erst nach Vereinbarung der schriftlichen Genehmigung, Beteiligten, verbotenen Handlungen und Bedingungen für einen sofortigen Abbruch.
- FUNKTIONSKONTEXT
- ANFRAGEART
- VERTRAUENSSIGNAL
- PROZESSKONTROLLE
- ESKALATIONSWEG
- SICHERER ABBRUCH
02 / MENSCH UND PROZESS
Die meisten gefährlichen Anfragen wirken glaubwürdig
Eine Nachricht kann Dringlichkeit, die Autorität einer Führungskraft, einen vertrauten Ablauf, Geschäftskontext oder den Wunsch, einem Kunden zu helfen, nutzen. Auch erfahrene Fachkräfte können falsch entscheiden, wenn Verfahren unklar sind, Bestätigung schwer erreichbar ist und ein sicherer Eskalationsweg fehlt.
Das Ergebnis darf sich daher nicht auf den Anteil der Personen mit Fehlentscheidungen beschränken. Es muss klären, weshalb die Situation möglich war und welche Prozessänderung das Wiederholungsrisiko senkt.
Ziel der Prüfung ist, das Entscheidungssystem zu stärken, ohne Mitarbeiter bloßzustellen oder öffentlich zu bestrafen.
- Kontext→
Wie gut passt die Anfrage in die vertraute Arbeitssituation?
- Befugnisse→
Darf der Mitarbeiter diese Handlung ohne Abstimmung ausführen?
- Prüfung→
Gibt es eine unabhängige Möglichkeit, die Anfrage zu bestätigen?
- Eskalation
Ist ein sicherer Weg bekannt, anzuhalten und nachzufragen?
03 / SZENARIEN
Wenn Informationszugriff auch von menschlichen Entscheidungen abhängt
- 01
Das Unternehmen bereitet eine Transaktion vor
Externe Anfragen nehmen zu; Mitarbeiter arbeiten mit neuen Beratern, Geschäftspartnern und Plattformen zusammen.
- 02
Assistenzen bearbeiten sensible Aufträge
Kalender, Routen, Dokumente, Zahlungen und persönliche Kontakte laufen über einen kleinen Kreis vertrauter Mitarbeiter.
- 03
Finanzvorgänge werden über Kommunikationskanäle bestätigt
Geänderte Bankverbindungen, dringende Zahlungen oder ungewöhnliche Aufträge können durch überzeugende Nachrichten ausgelöst werden.
- 04
Auftragnehmer haben Zugriff auf interne Abläufe
Externe Teams wirken in IT, Finanzen, Personalgewinnung, Kommunikation oder Verwaltung mit und werden Teil des Vertrauenskreises.
- 05
Es gab verdächtige E-Mails oder Anrufe
Es soll geprüft werden, ob das Personal verlässlich reagiert und der Meldeweg für Vorfälle funktioniert.
- 06
Das Unternehmen wächst oder verändert seine Struktur
Neue Mitarbeiter, Rollen und Länder schaffen vorübergehende Lücken zwischen formeller Richtlinie und tatsächlicher Praxis.
MENSCHLICHER FAKTOR / PROZESS
Riskante Anfragen wirken plausibel. Verfahren und Eskalationswege sind entscheidender als Wachsamkeit allein.
04 / BEWERTUNGSGEGENSTÄNDE02 03 04 05 06
Das gesamte System rund um die Entscheidung
Kommunikationskanäle
- geschäftliche E-Mail
- telefonische Anfragen
- Messenger
- interne Dienste
- Kommunikation mit Auftragnehmern und Beratern
Vertrauenssignale
- bekannter Name oder bekannte Position
- Dringlichkeit
- Berufung auf eine Führungskraft
- Kenntnis des Arbeitskontexts
- vertrauter Ton und vertrautes Anfrageformat
Kontrollverfahren
- unabhängige Bestätigung
- Vier-Augen-Prinzip
- Rückruf über einen bekannten Kontakt
- Abgrenzung von Zugriffsrechten
- Dokumentation ungewöhnlicher Anfragen
Eskalationsweg
- weiß der Mitarbeiter, an wen er sich wenden kann?
- kann die Handlung ohne Sanktionen unterbrochen werden?
- wie schnell ist Hilfe erreichbar?
- erhält der Mitarbeiter eine verständliche Rückmeldung?
Organisatorischer Kontext
- Arbeitsbelastung und Dringlichkeit
- Personalwechsel
- Fernarbeit
- mehrere Sprachen und Länder
- Abweichung zwischen Richtlinie und tatsächlichem Ablauf
05 / ÜBERSICHT PERSONENBEZOGENER ANGRIFFSPUNKTEFUNKTION / 01
Risiko entsteht im Zusammenspiel von Rolle, Anfrage, Vertrauen und Prozess
Dieselbe Anfrage kann in einer Abteilung sicher abgelehnt werden und in einer anderen zu einem Fehler führen. Die Übersicht zeigt wiederkehrende Bedingungen, unter denen Kontrollen versagen, ohne Personen zu bewerten.
InformationZugangZahlungDokumentProzessänderungDringender Auftrag
Kontrolle wirksamKlärung erforderlichVerfahren unklarWesentliche Lücke
Finanzen
Zahlung und dringender Auftrag sind besonders risikobehaftet: Eine Änderung der Bankverbindung erfolgt ohne unabhängige Bestätigung über einen bekannten Kanal.
- InformationKontrolle wirksam
- ZugangKlärung erforderlich
- ZahlungWesentliche Lücke
- DokumentKontrolle wirksam
- ProzessänderungVerfahren unklar
- Dringender AuftragWesentliche Lücke
Rot kennzeichnet ausschließlich eine wesentliche Prozesslücke. Mitarbeiternamen werden nicht angezeigt. Auf Mobilgeräten wird die Matrix zu einer vertikalen Rollenübersicht mit ausklappbaren Szenarien.
06 / KONTROLLIERTES SZENARIO
Jede Prüfung beginnt mit Genehmigung, Grenzen und Bedingungen für einen sofortigen Abbruch
- 01
Schriftliche Autorisierung
Befugter Auftraggeber, Rechtsgrundlagen, Abteilungen, Länder und Prüfungszeitraum werden festgehalten.
→ - 02
Interaktionsregeln
Zulässige Kanäle und Handlungen, ausgeschlossene Kategorien sowie Personen, die nicht einbezogen werden dürfen, werden bestimmt.
→ - 03
Abbruchbedingungen
Ereignisse werden festgelegt, bei denen ein Szenario oder die gesamte Prüfung sofort abgebrochen wird.
→ - 04
Szenarioplanung
Die Szenarien bilden Risiken nach, erfordern jedoch keine Erhebung echter Passwörter, Bankverbindungen oder sensibler Daten.
→ - 05
Kontrollierte Durchführung
Der Prüfungsverlauf wird dokumentiert; der Ergebniszugriff ist auf das befugte Team beschränkt.
→ - 06
Auswertung und Verbesserung
Die Ergebnisse werden in Änderungen von Verfahren, Schulungen und Eskalationswegen umgesetzt, ohne Mitarbeiter öffentlich herabzusetzen.
AUSWERTUNG / PROZESSVERBESSERUNG
Ziel der Prüfung ist es, das Entscheidungssystem zu stärken, nicht Mitarbeitende zu bestrafen.
07 / ERGEBNISD-01 D-02 D-03 D-04 D-05 D-06
Eine Übersicht der Prozessrisiken und konkret umsetzbare Änderungen
Zusammenfassung für die Leitung
Kurze Beschreibung der wesentlichsten Risikobedingungen ohne unbegründete Rangfolge einzelner Mitarbeiter.
Rollen- und Szenarioübersicht
Welche Kombinationen aus Befugnissen, Kanälen und Anfragen zusätzliche Kontrollen benötigen.
Prüfungschronologie
Was unter welchen Bedingungen geprüft wurde und wie sich die Reaktion entwickelte.
Kontrollmatrix
Welche Verfahren funktionierten, wo Unklarheit entstand und wo ein sicherer Bestätigungsweg fehlte.
Verbesserungsprioritäten
Änderungen nach Dringlichkeit: sofortige, kurzfristige und systemische Maßnahmen.
Plan für die Wiederholungsprüfung
Kriterien zur Bewertung, ob das Risiko nach den Änderungen gesunken ist.
08 / MANDANTEN
Für Organisationen, in denen eine überzeugende Anfrage Geld, Daten oder Entscheidungen beeinflussen kann
- CL-01Unternehmen und internationale Gruppen
- CL-02Finanz- und Investmentstrukturen
- CL-03Family Offices
- CL-04juristische Teams
- CL-05Technologieunternehmen
- CL-06Projekte vor einer Transaktion oder einem Markteintritt in einem neuen Land
- CL-07Organisationen mit einem Auftragnehmernetzwerk
- CL-08private Strukturen mit Assistenzen und Personal
09 / TYPISCHE SZENARIENSE-01Zusammengesetztes Beispiel BestätigungsketteSE-02Zusammengesetztes Beispiel EntscheidungsbaumSE-03Zusammengesetztes Beispiel Eskalationsübersicht
Wie die Prüfung die Prozessursache eines Fehlers aufzeigt
Änderung der Bankverbindung
Geprüft wird, ob ein ungewöhnlicher Finanzauftrag eine unabhängige Bestätigung über einen vorab bekannten Kanal erfordert.
Anfrage im Namen einer Führungskraft
Bewertet wird, ob Autorität und Dringlichkeit das festgelegte Freigabeverfahren ersetzen können.
Externer Auftragnehmer
Geprüft wird, welche Informationen ein Mitarbeiter einer Partei offenlegt, die den Arbeitskontext kennt, jedoch die vorgesehene Identifikation nicht durchlaufen hat.
10 / PROJEKTFORMAT01 02Am häufigsten nachgefragt 03Mehrere Länder
Die Kosten hängen von der Anzahl der Rollen, Kanäle, Szenarien und Rechtsordnungen ab
Basisbewertung
ab 3 000 €
Dauer entsprechend dem Prüfungsumfang
Erste Belastbarkeitsprüfung für einen begrenzten Umfang von Rollen und Kanälen.
Umfang
- 1-2 kontrollierte Szenarien
- begrenzte Rollengruppe
- Prüfung eines oder zweier Kanäle
- erste Übersicht der Prozessrisiken
- kurze Empfehlungen
Erweiterte Prüfung
7 000-14 000 €
Dauer entsprechend dem Prüfungsumfang
Vollständige Prüfung des vereinbarten Bereichs mit Risikoflächenübersicht und Verbesserungsprioritäten.
Umfang
- mehrere Rollen und Abteilungen
- 5-7 vereinbarte Szenarien
- Vergleich von Kanälen und Verfahren
- Übersicht personenbezogener Angriffspunkte
- Verbesserungsprioritäten
- abschließende Auswertung mit dem befugten Team
Internationales Programm
Individuelle Kalkulation
Stufenweise Durchführung nach vereinbartem Zeitplan
Prüfungsprogramm für eine internationale Struktur mit erneuter Bewertung nach Änderungen.
Umfang
- mehrere Länder oder Unternehmen
- unterschiedliche Sprachen und Abläufe
- Prüfung in Etappen
- Koordination mit Rechts- und Informationsteams
- erneute Prüfung nach Änderungen
Genauer Umfang, zulässige Szenarien, Budget und Abschlusskriterien werden vor Prüfungsbeginn schriftlich vereinbart.
11 / AUTORISIERUNG
Ohne schriftliche Genehmigung und sichere Grenzen findet keine Prüfung statt
BLACKFILE führt keine unautorisierten Prüfungen Dritter durch, hilft nicht beim Erlangen fremder Daten oder Zugänge und veröffentlicht keine personenbezogenen Mitarbeiterergebnisse. Konkrete Szenarien werden für Land und Organisation rechtlich geprüft.
- schriftliche Befugnis des Auftraggebers
- genauer Umfang und Zeitraum
- vereinbarte Länder und Abteilungen
- keine Einbeziehung Minderjähriger
- keine Erhebung echter Passwörter, Codes, Bankverbindungen oder persönlicher Dokumente
- keine schädlichen Anhänge oder Betriebsstörungen von Systemen
- kein Druck, keine Drohungen, Herabsetzung oder Diskriminierung
- vorab festgelegte Abbruchbedingungen
- beschränkter Ergebniszugriff
- Schulung und Prozessverbesserung ohne öffentliche Bestrafung
12 / VERWANDTE LEISTUNGEN
Was die Prüfung menschlicher Entscheidungsabläufe ergänzt
SRV-01
Schwachstellenanalyse
Systematische Bewertung von Druckfaktoren und organisatorischen Schwächen.
Leistungsbereich öffnen →SRV-02Reaktion auf Informationslecks
Bearbeitung einer bereits erfolgten Informationsoffenlegung.
Leistungsbereich öffnen →SRV-03Umfeldprüfung
Prüfung bestätigbarer Verbindungen und des Umfelds im Rahmen eines rechtmäßigen Auftrags.
Leistungsbereich öffnen →SRV-04Hintergrundprüfung
Prüfung von Biografie, Geschäftshistorie und Risikofaktoren für eine vereinbarte Rolle.
Leistungsbereich öffnen →13 / FRAGEN
Was Sie vor Prüfungsbeginn wissen sollten
Das richtet sich nach rechtlichem Umfeld, internen Richtlinien und vereinbartem Szenario. In jedem Fall muss die Prüfung schriftlich von einer befugten Stelle genehmigt sein, klare Grenzen haben und anschließend angemessen ausgewertet werden.
Nein. Die Szenarien prüfen Entscheidung und Verfahren, ohne echte Zugangsdaten, Bankverbindungen oder sensible Informationen zu erheben.
Ziel der Leistung ist die Bewertung der Systembelastbarkeit und die Verbesserung von Abläufen. Personalentscheidungen liegen beim Mandanten und müssen dem anwendbaren Arbeitsrecht entsprechen. Das Ergebnis eines einzelnen Szenarios sollte nicht außerhalb seines Kontexts bewertet werden.
Nein. Im vereinbarten Umfang können verschiedene Kommunikationsabläufe, Rollen, Auftragsbestätigungen und Eskalationswege bewertet werden. Die konkreten Szenarien richten sich nach den Risiken des Mandanten.
Nur bei entsprechenden Befugnissen, vertraglichen Grundlagen und schriftlicher Vereinbarung des Prüfungsumfangs.
Der Mandant erhält eine Übersicht der Prozessrisiken, priorisierte Änderungen und Kriterien für eine Wiederholungsprüfung. Das Ergebnis soll die Verbesserung des Systems ermöglichen.
14 / ERSTEINSCHÄTZUNG
Beschreiben Sie die zu prüfenden Abläufe
Nennen Sie im ersten Schritt keine Mitarbeiternamen, E-Mail-Adressen, Telefonnummern, Passwörter oder anderen personenbezogenen Daten.
Prüfen Sie Ihr Entscheidungssystem, bevor eine echte Anfrage es auf die Probe stellt
Beschreiben Sie die Abläufe, die Anlass zur Sorge geben. BLACKFILE vereinbart vor jeder Prüfung Befugnisse, Grenzen und Abbruchbedingungen.