Für mehrere Stunden war am vergangenen Freitag eine ungewöhnliche Stellenanzeige auf Linkedin sichtbar. Darin wurde für die Bank ING Deutschland ein „Group Chief Executive Officer“ gesucht. Das Problem: Es war eine Fake-Anzeige. Die Bank hatte die Ausschreibung laut eigenen Aussagen weder beauftragt noch autorisiert. Es meldeten sich 25 Personen auf die gefälschte Stelle.
Eine Anzeige, die es nicht geben durfte
Aufgefallen war das falsche Inserat zuerst dem Branchendienst „Finanz-Szene“. Die ING reagierte schnell: Der Post wurde umgehend bei Linkedin als missbräuchlich gemeldet und nach wenigen Stunden vom Netz genommen.
Dass mit dem Inserat etwas nicht stimmt, hätte ein aufmerksamer Betrachter und Szenekenner durchaus erkennen können. Zum einen gibt es in der Bank die in der Anzeige verwendete Positionsbezeichnung „Group Chief Executive Officer“ gar nicht. Sie entspricht keiner realen Funktion bei der ING Deutschland. Der amtierende Vorstandschef Lars Stoy trägt den Titel „Chief Executive Officer“ – ohne den Zusatz „Group“.
Ein weiterer Grund für die Unglaubwürdigkeit des Inserats liegt in der Besetzungslogik von Großbanken: Führungspositionen auf diesem Level würden über eigene Kontakte oder Headhunter besetzt, nicht aber über eine Stellenausschreibung bei Linkedin, machte ein Sprecher der ING gegenüber unserer Redaktion klar.
Wie konnte es zur Veröffentlichung kommen?
Veröffentlicht wurde die Anzeige über den ING Deutschland-Linkedin-Account. Der Zugang erfolgte über einen tatsächlichen ING-Mitarbeiter. Ob er den Post selbst eingestellt oder ob sich jemand Zugriff auf sein Profil verschafft hat, werde derzeit noch ermittelt. Weitere Informationen will die Bank angesichts der laufenden internen Prüfung des Vorfalls nicht geben.
Linkedin könne bei sich keinen Fehler feststellen: „Wir haben keinen Verstoß und keinen Betrug festgestellt; das scheint ein internes Problem zu sein“, teilte ein Sprecher des Netzwerks mit. Diese Einschätzung schließt allerdings nicht aus, dass das Nutzerkonto des Mitarbeiters auf andere Weise manipuliert oder böswillig missbraucht wurde.
Für Unternehmen ist genau das der entscheidende Punkt, analysiert das IT-Fachmagazin „IT-Boldwise“. Plattformen wie Linkedin böten zwar eigene Sicherheitsmechanismen, diese seien jedoch nur so wirksam wie die individuelle Kontoabsicherung der Nutzerinnen und Nutzer. Besonders bei Mitarbeitenden mit öffentlich sichtbaren Profilen – die für Angreifer als glaubwürdige Ausgangspunkte geeignet sind – lohne es sich, geltende Sicherheitsstandards regelmäßig zu überprüfen und verbindlich einzufordern.
ING-Stellenanzeige: 25 Bewerbungen in wenigen Stunden
Dass sich trotz der schnellen Reaktion der Bank insgesamt 25 Personen auf die Stelle bewarben, macht ein grundlegendes Problem deutlich: Das Zeitfenster zwischen der Veröffentlichung einer gefälschten Anzeige und ihrer Löschung reicht häufig aus, um erhebliche Reichweite zu erzielen. Auf Linkedin können Beiträge durch Kommentare, Weiterleitungen und Suchtreffer schnell skalieren – gerade bei einer vermeintlichen Führungskräftevakanz, die auf hohes Interesse stößt.
Was mit den Bewerbungen geschehen ist, werde derzeit noch geprüft. Auch die Frage, ob dabei möglicherweise sensible Daten in falsche Hände geraten sind, könne aktuell weder von der ING noch von Linkedin beantwortet werden, hieß es von den Unternehmen.
Betrugsmaschen: Recruiting als Angriffsfläche
Der Fall der ING-Stellenanzeige berührt ein Thema, das laut IT-Boldwise in vielen HR-Abteilungen noch nicht ausreichend verankert ist: Recruiting-Prozesse sind Teil der digitalen Angriffsfläche eines Unternehmens. Wer glaubwürdige Stellenausschreibungen fälscht und über reale Mitarbeiterkonten verbreitet, nutzt das Markenvertrauen einer Organisation als Hebel – und trifft Bewerberinnen und Bewerber an einem Punkt, an dem sie bereit sind, persönliche Informationen preiszugeben.
Für Personalverantwortliche leiten sich daraus konkrete Fragen ab: Gibt es klare Zuständigkeiten dafür, wer im Unternehmen Stellenanzeigen auf externen Plattformen veröffentlichen darf – und wer es rein technisch kann? Wie schnell können verdächtige Posts erkannt und gemeldet werden? Und sind Kommunikationswege mit Bewerberinnen und Bewerbern so gestaltet, dass ungewöhnliche Signale – etwa abweichende Positionsbezeichnungen oder unbekannte Absenderkonten – leichter auffallen?
Hinzu kommt die Frage nach dem Reputationsschaden. Wenn Unternehmen auf professionellen Netzwerken durch gefälschte Inhalte in Verbindung gebracht werden, entstehen Folgekosten: Kommunikation muss bereinigt, Bewerberflüsse kurzfristig neu bewertet werden. Das Vertrauen potenzieller Kandidaten in die Authentizität künftiger Ausschreibungen kann dauerhaft leiden.
Info
Christina Petrick-Löhr betreut das Magazinressort Talent & Learning sowie die Berichterstattung zur Aus- und Weiterbildung. Zudem ist sie verantwortlich für die redaktionelle Planung verschiedener Sonderpublikationen der Personalwirtschaft sowie den Deutschen Personalwirtschaftspreis.
