Die Assistenz als Schutzschild: Vorzimmer richtig briefen

Wer eine Führungskraft angreifen will, ruft selten die Führungskraft an. Er ruft das Vorzimmer an. Dieser Artikel richtet sich an beide Seiten des Schreibtischs: an Assistenzen, die täglich entscheiden, was sie herausgeben, und an Führungskräfte, die verstehen sollten, dass ihre Assistenz die wirksamste Verteidigungslinie des Unternehmens ist, wenn man sie entsprechend ausstattet. Eines vorweg: Es geht hier nicht um Naivität im Vorzimmer. Angegriffen wird gerade die Professionalität.

Warum das Vorzimmer angegriffen wird

Drei Eigenschaften machen die Position für Angreifer wertvoll, und alle drei sind berufliche Stärken. Erstens die Informationsfülle: Niemand sonst kennt Kalender, Reisen, Erreichbarkeiten, private Nummern und familiäre Termine der Führungskraft so vollständig. Zweitens die Hilfsbereitschaft: Der Beruf besteht darin, Dinge möglich zu machen, Anrufer nicht abzuwimmeln und Reibung zu vermeiden. Drittens der Zeitdruck: Zwischen zwei Telefonaten und drei Terminverschiebungen bleibt keine Viertelstunde, um eine einzelne Anfrage zu prüfen. Social Engineering nutzt genau diese Kombination. Der Angreifer braucht keine Sicherheitslücke, er braucht eine plausible Geschichte zur unpassendsten Zeit. Die Vorbereitung dafür stammt aus offenen Quellen; wie solche Dossiers entstehen, zeigt der Artikel zur Executive Exposure.

Die typischen Vorwände

Der Angriff in Etappen: Warum der zweite Anruf der gefährliche ist

Professionelle Angreifer stellen die entscheidende Frage selten im ersten Kontakt. Der erste Anruf wirkt banal und dient nur der Ernte kleiner Details: wie die Assistenz heißt, wie im Haus gegrüßt wird, wer die Vertretung macht, wann Meetings liegen. Der zweite Kontakt, Tage später und womöglich von einer Kollegin des Angreifers geführt, verwendet genau diese Details und klingt dadurch wie ein interner Anruf: „Frau Berger, wir hatten ja mit Ihrer Kollegin wegen des Freitagstermins gesprochen." Daraus folgen zwei Konsequenzen. Auch harmlose Anfragen verdienen die gleichen Regeln, denn was heute erfragt wird, ist morgen Beweis für Vertrautheit. Und wiederkehrende, seltsam ziellose Anrufe sind ein Muster, das gemeldet gehört, gerade weil noch nichts passiert ist.

Was preisgegeben wird, ohne dass es auffällt

Kaum ein Angreifer fragt direkt nach der Privatadresse. Gefragt wird nach Dingen, die harmlos klingen und in Summe ein Bewegungs- und Zuständigkeitsprofil ergeben:

• Abwesenheiten: „Ist er nächste Woche im Haus?" verrät das Zeitfenster für den Angriff auf die Vertretung.
• Reisedetails: Flug, Hotel und Konferenz ergeben ein Bewegungsprofil und den perfekten Vorwand („Ich sitze hier mit ihm in München").
• Kalenderdetails: Wer wann mit wem spricht, macht gefälschte Bezugnahmen glaubwürdig.
• Private Nummern: Die private Handynummer ist Ausgangspunkt für Smishing und SIM-Betrug und gehört in keine Auskunft.
• Familienangaben: Namen von Partner und Kindern, Schule, Verein: Material für Druck und für glaubwürdige Notfall-Vorwände.
• Lieferadressen: Die Privatanschrift wandert über Kurier- und Blumenlieferungen aus dem Kalender in fremde Systeme.

Entscheidungsregeln statt Misstrauen

Der Appell „Seien Sie wachsam" hilft nicht, denn er verlagert die Last jeder Einzelentscheidung auf die Assistenz. Was hilft, sind wenige feste Regeln, die im Zweifel automatisch gelten und von der Führungskraft ausdrücklich rückendeckt sind:

1. Feste Auskunftsgrenzen: Zu Kalender, Reisen, Erreichbarkeiten, privaten Kontaktdaten und Familie gibt es an nicht verifizierte Anrufer keine Auskunft. Ohne Ausnahme, ohne Einzelfallabwägung. Die Grenze ist Politik des Hauses, nicht persönliche Entscheidung.
2. Rückrufverfahren: Verifiziert wird ausschließlich über eine selbst herausgesuchte Nummer (Website, internes Verzeichnis, hinterlegte Stammdaten), nie über die Nummer oder Mailadresse aus der Anfrage selbst.
3. Feste Freigabewege: Zahlungen, Bankdatenänderungen und Datenweitergaben laufen über definierte Prozesse. „Auf Anweisung von oben" setzt keinen Prozess außer Kraft; genau dieser Satz ist das Erkennungszeichen der Masche beim CEO-Fraud.
4. Codewort für echte Notfälle: Ein zwischen Führungskraft, Familie und Assistenz vereinbartes Wort trennt den echten Notfall vom inszenierten. Es kostet nichts und entschärft den wirksamsten Hebel des Angreifers.

Auskunft verweigern, ohne unhöflich zu werden

Die Sorge, Geschäftspartner zu verprellen, ist der Hauptgrund, warum Regeln im Alltag aufweichen. Dagegen helfen vorbereitete Formulierungen, die freundlich bleiben und trotzdem nichts hergeben (alle Beispiele frei formuliert):

• „Ich gebe Termindetails grundsätzlich nicht heraus, richte ihm aber gern aus, dass Sie angerufen haben. Unter welcher Nummer erreicht er Sie?"
• „Ich rufe Sie dazu gern über Ihre Zentrale zurück, das ist bei uns so vorgesehen. Einen Moment bitte."
• „Das klingt dringend. Genau deshalb halte ich unseren Ablauf ein, damit nichts schiefgeht. Ich melde mich innerhalb einer Stunde zurück."
• „Zu privaten Kontaktdaten kann ich Ihnen nichts sagen. Über das Büro erreichen Sie ihn zuverlässig."
• „Ich verstehe, dass Sie unter Zeitdruck stehen. Schicken Sie mir die Unterlagen an unsere offizielle Adresse, dann kümmere ich mich sofort darum, sobald die Freigabe vorliegt."

Der gemeinsame Kern: Die Assistenz beruft sich auf einen Prozess des Hauses statt auf eigenes Misstrauen. Das nimmt der Situation die persönliche Spitze, und ein legitimer Anrufer akzeptiert einen Prozess fast immer. Wer auf einen Rückruf über die Zentrale nicht eingehen will, hat damit die eigentliche Auskunft schon gegeben.

Die operativen Lecks: Post, Lieferungen, Termine

Neben dem Telefon gibt es drei stille Abflüsse. Postversand: Private Anschriften der Führungskraft gehören nicht in Absender- und Empfängerfelder geschäftlicher Sendungen; für Privates empfiehlt sich eine Ersatzadresse wie ein Postfach. Lieferungen: Kuriere, Blumen und Geschenke an die Privatadresse tragen diese in fremde Adressbestände; Lieferungen laufen ans Büro. Terminbuchungen: Öffentlich einsehbare Buchungstools, Kalenderfreigaben mit Details an große Verteiler und Reisepläne in Mail-Signaturen sind kleine Fenster in den Kalender. Wer sie schließt, nimmt dem Anrufer von oben das Material für die glaubwürdige Bezugnahme. Prüfenswert ist auch, was Technik nebenbei verrät: Frei-Belegt-Freigaben des Kalenders an externe Kontakte, Anwesenheitsstatus in Kollaborationstools mit Gastzugang und automatische Antworten mit Reisedaten und Vertretungskette zeichnen ein tagesaktuelles Bild der Erreichbarkeit, ganz ohne Anruf.

Ein oft übersehener Sonderfall sind Vertretungen und neue Kolleginnen: Urlaubsvertretung, Elternzeitvertretung, die Assistenz in der ersten Woche. Sie kennen die Stammanrufer noch nicht, wollen sich keine Blöße geben und sind damit das bevorzugte Zeitfenster für Angreifer, die den Wechsel aus einer Abwesenheitsnotiz oder einem LinkedIn-Update kennen. Die Regeln des Hauses müssen deshalb so dokumentiert sein, dass eine Vertretung sie am ersten Tag anwenden kann: die halbe Seite Auskunftsgrenzen, die Rückrufregel und der Meldeweg gehören ins Übergabedokument, nicht ins Gedächtnis der Stelleninhaberin.

Eskalation: Wann und an wen die Assistenz meldet

Jeder auffällige Kontaktversuch wird gemeldet, auch der erfolglose: der Anrufer, der auflegte, als der Rückruf angeboten wurde, die Mail mit der falschen Domain, die zweite „Behörde" in derselben Woche. Solche Versuche sind Aufklärung; sie zeigen, dass jemand das Umfeld sondiert, und mehrere Vorzimmer desselben Unternehmens erleben oft dieselbe Masche im Abstand weniger Tage. Dafür braucht es einen benannten Empfänger (Sicherheitsverantwortlicher oder IT-Sicherheit), einen kurzen Weg (eine Mail, zwei Minuten) und eine Kultur ohne Fehlalarm-Scham: Eine gemeldete harmlose Anfrage kostet nichts, ein nicht gemeldeter Ernstfall viel. Bei konkreten Bedrohungen oder Veröffentlichungen privater Daten greift das Krisen-Playbook, in dem das Vorzimmer eine definierte Rolle hat.

Ein halbtägiges Briefing: Agenda-Vorschlag

Der Maßstab für den Erfolg ist übrigens nicht, dass das Vorzimmer misstrauischer wird. Er ist, dass es souveräner wird: Eine Assistenz mit klaren Regeln, eingeübten Formulierungen und verlässlicher Rückendeckung muss nicht in jeder Situation neu abwägen. Genau das macht sie vom bevorzugten Angriffspunkt zur stabilsten Stelle im System.