Kriminelle geben sich bei der Jobsuche zunehmend als echte Recruiter oder als Personalabteilung bekannter Unternehmen aus. Sie locken Bewerber mit Scheinangeboten, verlangen Ausweiskopien oder ein Video-Ident-Verfahren und eröffnen damit Konten auf fremden Namen. Darauf weisen die Verbraucherzentralen hin, und das Technikportal t3n berichtete am 6. November 2026, dass inzwischen gezielt die Identitäten real existierender Personaler und Personaldienstleister missbraucht werden. Für Arbeitgeber bedeutet das: Ihr Name wird zum Köder, und die Beschwerden geschädigter Bewerber landen bei ihnen.

Wie läuft die Masche ab?

Das Muster ist nach Darstellung der Verbraucherzentrale meist ähnlich: Eine Stellenanzeige erscheint, teils sogar auf seriösen Portalen und unter dem Namen einer echten Firma. Nach der Bewerbung folgt binnen Stunden eine Zusage. Dann sollen Bewerber ein Foto des Ausweises, ein Selfie mit Ausweis oder eine Video-Identifizierung liefern, angeblich als Test oder für die Personalakte. Tatsächlich wird damit ein Bankkonto eröffnet, das später für Fake-Shops oder Geldwäsche dient. Viele Betroffene merken es erst, wenn Inkassoschreiben oder Post von der Polizei kommen.

Lesen Sie auch Active Sourcing über LinkedIn und Xing: Was datenschutzrechtlich gilt

Varianten sind angebliche „Bank-Tester“-Jobs, Vorkasse für Schulungen oder Arbeitsgeräte und Einladungen zu Videocalls über ein Programm, das sich als Schadsoftware entpuppt. Die Kommunikation wandert dabei fast immer schnell auf WhatsApp, Telegram oder private E-Mail-Adressen. Die Polizeiliche Kriminalprävention warnt zudem vor sogenannten Finanzagenten: Wer sein Konto für Weiterleitungen hergibt, riskiert ein Strafverfahren wegen leichtfertiger Geldwäsche, die Kündigung des Kontos und Rückforderungen.

Jeden Morgen um 6 Uhr das Wichtigste für Personaler: kostenloser Newsletter →

Wie groß ist das Problem?

Belastbare amtliche Zahlen speziell für Deutschland fehlen. Eine von Euronews im Mai 2026 zitierte LinkedIn-Umfrage unter rund 4.000 Personen ergab, dass fast jeder dritte Recruiter in Großbritannien und Deutschland schon von Identitätsmissbrauch betroffen war; fast die Hälfte wurde von Bewerbern kontaktiert, die die Echtheit einer Stelle prüfen wollten. In Deutschland gab demnach etwa jede dritte befragte Person der Generation Z an, beinahe auf einen Jobbetrug hereingefallen zu sein. Die Methodik der Umfrage ist nicht veröffentlicht, die Werte sind daher als Größenordnung zu lesen.

Für Personalabteilungen ist die zweite Zahl die praktisch wichtigere: Wenn jeder zweite Recruiter Echtheitsanfragen beantwortet, kostet der Betrug Arbeitszeit – selbst dann, wenn kein eigener Bewerber geschädigt wird.

Welche Rechte hat ein Unternehmen, dessen Name missbraucht wird?

Die unbefugte Nutzung des Firmennamens verletzt das Namensrecht nach § 12 des Bürgerlichen Gesetzbuchs (BGB), das nach herrschender Auffassung auch Unternehmen schützt. Werden Logo oder Marke verwendet, kommen Unterlassungs- und Auskunftsansprüche nach dem Markengesetz (§§ 14, 15, 19 MarkenG) hinzu. Der Haken: Hinter Scheinprofilen stehen selten greifbare Personen. In der Praxis wichtiger ist deshalb der Weg über die Plattform. Nach der Rechtsprechung des Europäischen Gerichtshofs müssen Netzwerke und Jobbörsen erst handeln, wenn sie konkret auf einen rechtswidrigen Inhalt hingewiesen wurden; eine allgemeine Überwachungspflicht haben sie nach dem Digital Services Act nicht. Eine präzise Meldung mit Link, Screenshot und Begründung ist daher der entscheidende Schritt.

Parallel empfiehlt sich eine Strafanzeige wegen Betrugs (§ 263 StGB). Verbindungsdaten der Täter geben Plattformen in der Regel nur an Ermittlungsbehörden heraus.

Wann wird es ein Datenschutzfall?

Solange Betrüger nur den Namen des Unternehmens verwenden, fließen beim Arbeitgeber keine Daten ab. Anders ist es, wenn ein echter Recruiter-Account oder das Bewerbermanagementsystem kompromittiert wurde und Täter so an echte Bewerberdaten gelangen. Dann kann eine Meldung an die Datenschutzaufsicht nach Art. 33 der Datenschutz-Grundverordnung (DSGVO) nötig sein, grundsätzlich binnen 72 Stunden. Wie lange Bewerberdaten überhaupt gespeichert sein sollten, erklärt unser Beitrag zu Speicherfristen und Löschung von Bewerberdaten – wer weniger aufbewahrt, hat im Ernstfall weniger zu verlieren.

Was Arbeitgeber jetzt wissen sollten

  • Klare Regeln veröffentlichen: Auf der Karriereseite festhalten, dass das Unternehmen im Bewerbungsprozess nie Geld, Ausweisfotos per Chat, Video-Ident oder Kontoeröffnungen verlangt und nur von der eigenen Domain aus schreibt.
  • Kontaktwege bündeln: Einladungen nur über das Bewerbermanagementsystem oder Firmenadressen verschicken, nicht über Messenger. Das macht Abweichungen für Bewerber erkennbar.
  • Prüfadresse einrichten: Ein fester Kontakt für Echtheitsanfragen entlastet Recruiter und liefert zugleich Hinweise auf laufende Kampagnen.
  • Profile absichern: Recruiter-Konten mit Zwei-Faktor-Anmeldung schützen und, wo angeboten, die Verifizierung von Arbeitgeber und Mitarbeitenden auf Netzwerken nutzen. Wie Täter auch die Gegenrichtung nutzen, zeigt der Fall eines fingierten Vorstellungsgesprächs bei Binance.
  • Ablauf für den Ernstfall festlegen: Wer meldet an die Plattform, wer erstattet Anzeige, wer antwortet Betroffenen? Eine kurze Vorlage für die Antwort an geschädigte Bewerber spart Zeit und vermeidet unbedachte Aussagen zur Haftung.
  • Eigene Anzeigen prüfbar machen: Wer offene Stellen vollständig auf der Karriereseite listet, gibt Bewerbern eine Referenz zum Abgleich. Konkrete Angaben – etwa zum Gehalt, das ohnehin bald in Stellenanzeigen stehen muss – erschweren es Betrügern, plausible Kopien zu bauen.