So gehen Sie mit potenziellen Falschmeldungen um
Anonyme Meldekanäle sind ein wesentlicher Bestandteil einer starken Speak-up-Kultur. Sie helfen Unternehmen dabei, Bedenken frühzeitig zu erkennen, Mitarbeiter zu schützen und auf potenzielles Fehlverhalten zu reagieren. Erscheint eine Meldung jedoch verdächtig, müssen Compliance-, Rechts-, IT- und Untersuchungsteams sorgfältig abwägen und gleichzeitig die notwendigen Sicherheitsvorkehrungen ergreifen.
In den vergangenen Wochen haben uns einige Kunden berichtet, dass sie über ihre internen Meldekanäle anonyme Meldungen erhalten haben, die den Eindruck erwecken, Falschmeldungen oder Phishing-Versuche zu sein.
Die Meldungen verwendeten eine ähnliche Formulierung und schienen darauf abzuzielen, direkte Kontaktdaten der General Counsel eines Unternehmens zu erhalten. Ein Beispiel lautete:
„Ich habe eine massive unternehmensweite Datenschutzverletzung festgestellt. Bitte führen Sie die folgenden Schritte aus.
- Informieren Sie den General Counsel
- Teilen Sie mir die E-Mail-Adresse des General Counsel über EthicsPoint mit
- Informieren Sie den General Counsel darüber, dass ein Reporter der New York Times ihn mit dem Betreff „Fully Aligned“ kontaktieren wird
Vielen Dank”
Solche Meldungen können ein zusätzliches IT-Sicherheitsrisiko darstellen – unabhängig davon, ob sie per E-Mail oder über ein Online-Melde- und Fallmanagementsystem eingehen. Gleichzeitig lassen sie sich zunächst oft nur schwer bewerten, insbesondere für Teams, die jede Meldung schnell, konsistent und angemessen bearbeiten müssen.
Ein früherer Fall zeigt, warum Unternehmen potenzielle Falschmeldungen ernst nehmen sollten. Im Jahr 2021 reichte ein Forscher im Rahmen eines wissenschaftlichen Experiments fingierte Meldungen über die Hinweisgeber-Hotlines mehrerer Unternehmen ein – ohne deren Wissen oder Zustimmung. Das Experiment band Untersuchungszeit und Ressourcen, verursachte bei mehreren Unternehmen Kosten für externe Rechtsberatung und führte zu Reputationsrisiken. Uns ist außerdem mindestens ein weiteres wissenschaftliches Forschungsprojekt vor 2020 bekannt, bei dem gefälschte Meldungen über Hinweisgebersysteme eingereicht wurden, um die Reaktionen von Unternehmen zu untersuchen.
Unabhängig von ihrer Herkunft sollten verdächtige Meldungen sorgfältig geprüft und gemäß den etablierten internen Prozessen eskaliert werden, bevor sensible Informationen weitergegeben werden.
Kunden fragen häufig, ob es sicher ist, über NAVEX EthicsPoint oder WhistleB mit hinweisgebenden Personen zu kommunizieren, wenn eine Meldung verdächtig erscheint. Die Antwort lautet: ja. Die Kommunikation über EthicsPoint und WhistleB unterstützt eine sichere Fallbearbeitung. Unternehmen sollten jedoch keine zusätzlichen Informationen weitergeben, bevor die Meldung geprüft wurde und ihre Legitimität besser eingeschätzt werden kann.
Wenn Sie sich dafür entscheiden zu antworten, sollten Sie das über das Fallmanagementsystem und nicht per E-Mail machen. So bleibt die Kommunikation innerhalb der Meldeplattform und von den übrigen Unternehmenssystemen getrennt, was das Risiko durch potenzielle Bedrohungsakteure reduziert. Im Rahmen der NAVEX-Sicherheitsmaßnahmen werden Anhänge, die in EthicsPoint und WhistleB hochgeladen werden, auf bekannte Schadsoftware überprüft.
KI, der Sie vertrauen können
Auch wenn eine sichere Meldeplattform vorhanden ist, sollten Antworten auf verdächtige Meldungen auf das notwendige Minimum beschränkt, sorgfältig formuliert und geprüft werden. Bestehen Zweifel, sollten Rechtsabteilung, IT und interne Revision hinzugezogen werden, bevor geantwortet wird. Die folgenden Maßnahmen helfen Teams, angemessen zu reagieren und gleichzeitig unnötige Risiken zu reduzieren.
- Antworten Sie über die Meldeplattform, nicht per E-Mail
- Geben Sie nur die Informationen weiter, die für die weitere Bearbeitung unbedingt erforderlich sind
- Wenn verdächtige Meldungen zunehmen, sollten Sie erwägen, die Online-Suchfunktion vorübergehend zu deaktivieren
- Löschen Sie Meldungen, sobald sie als Falschmeldungen identifiziert wurden
Sicher bleiben – Antworten Sie immer über die Meldeplattform
Die Hotline- und Fallmanagementsysteme von NAVEX unterstützen die sichere Kommunikation zwischen Untersuchungsverantwortlichen und anonymen Hinweisgebern. Dennoch sollten Teams beim Kopieren, Einfügen oder Verwenden von Informationen aus verdächtigen Meldungen besonders vorsichtig sein. Besondere Vorsicht gilt für Links. Anhänge, die über das System eingereicht werden, werden zwar überprüft, Links oder kopierte Inhalte, die in einem Browser oder einer Unternehmens-E-Mail-Umgebung geöffnet werden, können jedoch weiterhin ein Sicherheitsrisiko darstellen.
Verdächtige Meldungen sollten ernst genommen werden. Sie sollten Unternehmen jedoch nicht davon abhalten, vertrauenswürdige Meldekanäle bereitzustellen. Mitarbeiter müssen darauf vertrauen können, Bedenken sicher zu melden. Gleichzeitig benötigen Unternehmen Prozesse, die Teams dabei unterstützen, echte Meldungen von potenziellen Bedrohungen zu unterscheiden. Indem Meldekanäle offen gehalten, Antworten ausschließlich über sichere Systeme erfolgen und bei ungewöhnlichen Meldungen besondere Sorgfalt angewendet wird, können Unternehmen sowohl ihre Mitarbeiter als auch die Integrität ihres Ethik- und Compliance-Programms schützen.
Leitfaden für das Vorfallmanagement
Dieser Leitfaden ist eine umfassende Ressource voller Tipps, Praxisempfehlungen und Beispiele, die Ihr Unternehmen dabei unterstützen, ein wirksames Programm für das Melden und Erfassen von Ethik- und …
