Interview: Patricia Staniek über Wirtschaftskriminalität

Der Feind kommt nicht immer nachts, maskiert und gewaltsam, oft kommt er pünktlich zum Vorstellungsgespräch, höflich, gut vorbereitet und mit einem beeindruckenden Lebenslauf. Später kennt er Zuständigkeiten, Schwachstellen und interne Konflikte, weiß, wem vertraut wird, wer unzufrieden ist und welche Kontrollen nur auf dem Papier existieren. Vor allem aber besitzt er etwas, das externen Angreifern häufig fehlt: Der legitime Zugang. 

Viele Unternehmen unterschätzen diese Gefahr, weil sie Sicherheit vielfach technisch denken, während interne Bedrohungen menschlich und dynamisch sind. Hinzu kommt ein psychologischer Mechanismus: Wir möchten so gerne an unsere eigene Menschenkenntnis glauben. Wer sympathisch wirkt, souverän kommuniziert und kulturell „zu uns passt“, erhält rasch einen Vertrauensvorschuss. Doch Sympathie ist kein Sicherheitsnachweis, Selbstsicherheit ist kein Kompetenzbeleg und ein makelloser Auftritt ist noch lange kein Beweis für Integrität. 

Die interne Gefahr beginnt außerdem nicht erst bei Sabotage, Verrat oder Diebstahl. Sie kann sich lange vorher zeigen, z.B. durch Manipulation, Machtspiele, gezielte Desinformation, Grenzverletzungen, das Spalten von Teams oder das systematische Ausnutzen organisatorischer Schwächen. Ein Corporate Predator greift nicht zwingend sofort das Unternehmen an, häufig besetzt er zunächst Beziehungen, Informationen und Deutungshoheit. Erst wenn diese Position stabil ist, wird der Schaden sichtbar und dann ist er meist bereits teuer.

Wenn die Bedrohung nicht von außen, sondern von innen kommt, warum tun sich Führungskräfte und Recruiter so schwer, das rechtzeitig zu erkennen?

Weil Menschen keine Röntgengeräte für Charakter besitzen. Auch erfahrene Führungskräfte können nur Verhalten beobachten, Informationen prüfen und daraus begründete Hypothesen bilden. Wer behauptet, er erkenne gefährliche Persönlichkeiten in wenigen Sekunden zweifelsfrei, betreibt keine seriöse Diagnostik, sondern verkauft Selbstüberschätzung. 

Recruiting-Situationen verschärfen das Problem. Bewerberinnen und Bewerber zeigen dort nicht ihren Alltag, sondern eine vorbereitete Leistung. Sie kennen typische Fragen, haben Antworten trainiert und wissen, welche Eigenschaften Unternehmen hören möchten. Teamfähig, belastbar, lösungsorientiert, das sind zunächst Behauptungen. Entscheidend ist nicht, ob jemand diese Wörter verwendet, sondern ob seine Schilderungen konkret, konsistent und überprüfbar sind. 

Auch aufseiten der Entscheider*innen wirken Verzerrungen. Der Halo-Effekt lässt ein positives Merkmal auf die gesamte Person ausstrahlen, Ähnlichkeit schafft Nähe: Wer uns sprachlich, biografisch oder habituell ähnelt, erscheint vertrauter. Zeitdruck fördert vorschnelle Entscheidungen und wenn eine Position dringend besetzt werden muss, wird aus einem Warnsignal erstaunlich schnell eine „interessante Eigenheit“. Der Wunsch, endlich die richtige Person gefunden zu haben, kann die Wahrnehmung regelrecht disziplinieren. Man sieht, was zur Entscheidung passt, und relativiert, was sie stört. 

Hinzu kommt ein strukturelles Problem. Viele Auswahlgespräche sind freundlich und nett, aber diagnostisch schwach. Es fehlen klare Anforderungsprofile, standardisierte Kernfragen, vertiefendes Probing, situative Aufgaben und eine saubere Dokumentation. So entsteht keine belastbare Beurteilung, sondern ein Gesprächseindruck. Und Eindrücke sind verführerisch gerade dann, wenn jemand professionell darin ist, sie zu steuern. 

Was sind typische Warnsignale, die im Bewerbungsprozess übersehen werden?

Ein einzelnes Signal beweist wenig. Relevant werden Abweichungen durch ihre Häufung, ihre Intensität und ihren Kontext. Profiling bedeutet deshalb nicht, Menschen anhand einer Geste oder einer misslungenen Antwort abzustempeln, es bedeutet vielmehr, Muster zu erkennen, Hypothesen zu bilden und diese systematisch zu überprüfen. 

Hochaufmerksam werde ich etwa bei auffallenden Widersprüchen zwischen Lebenslauf, Zeitlinie und mündlicher Darstellung. Bei ausweichenden Antworten auf konkrete Nachfragen, bei ungewöhnlich viel Hochglanzsprache ohne überprüfbare Substanz, bei übertriebener Selbstzuschreibung und konsequenter Abwertung früherer Arbeitgeber*innen, Kolleg*innen oder Vorgesetzter. Wer in jeder beruflichen Station das Opfer unfähiger Menschen gewesen sein will, erzählt möglicherweise weniger über diese Menschen als über den eigenen Umgang mit Verantwortung. 

Ein weiteres Warnsignal ist fehlende Fehlerkompetenz. Reife Kandidatinnen und Kandidaten können eine Fehlentscheidung benennen, den eigenen Anteil daran beschreiben und erklären, was sie verändert haben. Problematisch wird es, wenn Verantwortung reflexartig externalisiert wird, Misserfolge umgedeutet oder moralische Sonderrechte beansprucht werden. Auch der Umgang mit Grenzen ist aufschlussreich. Respektiert jemand Abläufe und Rollen? Versucht er, einzelne Beteiligte gegeneinander auszuspielen? Fordert er früh Ausnahmen, die andere nicht erhalten? Testet er, wie konsequent Regeln tatsächlich gelten? 

Ebenso wichtig ist die Konsistenz über verschiedene Situationen hinweg. Wie spricht ein*e Bewerber*in mit der Assistenz, wie mit künftigen Vorgesetzten? Verändert sich sein Respekt mit dem wahrgenommenen Status des Gegenübers? Menschen zeigen ihren Charakter nicht nur in den Antworten, die für sie vorbereitet wurden, sie zeigen ihn besonders dort, wo sie jemanden für unwichtig halten. 

Das alles sind Prüfsignale, keine Urteile. Die professionelle Reaktion lautet nicht: Diese Person ist gefährlich. Sie lautet: „Diese Beobachtung ist für die konkrete Funktion relevant, wir müssen genauer fragen, Referenzen rechtmäßig prüfen oder eine arbeitsnahe Situation einsetzen. Gute Diagnostik verlangsamt das Urteil und verbessert die Entscheidung. 

Sie sprechen von „Corporate Predators“ und gefährlichen Persönlichkeitstypen im Unternehmen. Wie unterscheidet man im Recruiting-Prozess einen schwierigen, aber wertvollen Charakter von einem echten Sicherheitsrisiko?

Nicht jeder unbequeme Mensch ist gefährlich. Das muss man mit Nachdruck sagen. Unternehmen brauchen Persönlichkeiten, die widersprechen, Autoritäten hinterfragen, Konflikte aushalten und Fehler offenlegen. Ein kantiger, direkter oder hoch autonomer Mensch kann für eine Organisation außerordentlich wertvoll sein. Anpassung ist kein Synonym für Integrität und Harmonie noch lange kein Sicherheitsmerkmal. 

Der Unterschied liegt vor allem in Funktion, Motiv und Wirkung des Verhaltens. Der konstruktiv Schwierige widerspricht in der Sache, er kann seine Position begründen, akzeptiert faire Regeln und bleibt auch dann berechenbar, wenn er anderer Meinung ist. Er fordert das System heraus, um Ergebnisse, Qualität oder Sicherheit zu verbessern. Der problematische Akteur benutzt den Konflikt dagegen als Machtinstrument. Er personalisiert, spaltet, manipuliert Informationen, verschiebt Verantwortung und passt moralische Maßstäbe dem eigenen Vorteil an. 

Ein Corporate Predator sucht nicht primär die beste Lösung, sondern die günstigste Angriffsfläche. Er erkennt Bedürfnisse, Eitelkeiten, Abhängigkeiten und Unsicherheiten und instrumentalisiert sie. Nach oben kann er charmant und leistungsorientiert erscheinen, während er nach unten Druck, Angst oder Verwirrung erzeugt. Er schafft Koalitionen, kontrolliert Informationsflüsse und sorgt dafür, dass andere an ihrer eigenen Wahrnehmung zweifeln. Dabei darf der Begriff nicht als klinische Diagnose missverstanden werden, es geht um ein wiederkehrendes, schädigendes Verhaltensmuster im Unternehmenskontext. 

Erkennbar wird der Unterschied nicht durch Bauchgefühl allein, sondern durch methodische Auswahl: strukturierte Interviews mit gleichen Kernfragen, biografische Vertiefung, verhaltensbasierte Beispiele, situative Fragen, realistische Fallaufgaben, mehrere Beobachter*innen und – soweit zulässig und funktionsrelevant – sorgfältig geprüfte Referenzen. Besonders aussagekräftig ist, ob die behaupteten Kompetenzen in konkreten Beispielen sichtbar werden: Was war die Situation? Welche eigene Aufgabe bestand? Was wurde tatsächlich getan? Welches Ergebnis folgte? Und was würde die Person heute anders machen? 

Je sicherheitskritischer die Position, desto weniger darf Recruiting eine Sympathieveranstaltung sein. Es braucht ein risikoadäquates Verfahren. Nicht härter gegen Menschen, sondern präziser in der Prüfung. 

Wer Sicherheit herstellen will, darf dafür nicht selbst Integritätsgrenzen überschreiten. 

OSINT, digitale Fußabdrücke, Social-Media-Analyse – wie weit darf und sollte ein Unternehmen im Bewerbersicherheits-Check rechtlich und ethisch gehen?

OSINT bedeutet Open Source Intelligence, also die systematische Gewinnung und Bewertung von Informationen aus offen zugänglichen Quellen. Das Wort „offen“ ist entscheidend, ich sehe es aber nicht als Freibrief. Öffentlich auffindbar bedeutet nicht automatisch, dass jede Information für jeden Zweck erhoben, kombiniert, gespeichert und zur Personalentscheidung verwendet werden darf. 

Rechtlich braucht die Verarbeitung personenbezogener Daten eine tragfähige Grundlage und muss insbesondere zweckgebunden, verhältnismäßig und auf das notwendige Maß beschränkt sein. Für Unternehmen heißt das: Geprüft werden sollte nur, was einen nachvollziehbaren Bezug zur konkreten Funktion und zu ihrem Risiko besitzt. Bei einer hochsensiblen Position mit Finanz-, Daten- oder Sicherheitsverantwortung kann die erforderliche Prüftiefe eine andere sein als bei einer Tätigkeit ohne vergleichbare Zugänge. Ein pauschales Durchleuchten des Privatlebens aller Bewerber*innen ist weder professionell noch ethisch vertretbar. 

Besondere Kategorien personenbezogener Daten, etwa Angaben zu Gesundheit, politischer Meinung, Religion oder sexueller Orientierung  unterliegen erhöhtem Schutz. Sie dürfen nicht über Umwege zum Gegenstand einer verdeckten Gesinnungsprüfung werden. Ebenso tabu sind Fake-Profile, das Erschleichen von Zugängen oder die Auswertung privater Bereiche. Wer Sicherheit herstellen will, darf dafür nicht selbst Integritätsgrenzen überschreiten. 

Auch Treffer müssen verifiziert werden. Namensgleichheiten, alte Beiträge ohne Kontext, Satire, manipulierte Screenshots oder fremde Zuschreibungen können zu gravierenden Fehleinschätzungen führen. Ein digitaler Fund ist zunächst eine Information – noch keine Wahrheit und schon gar kein Urteil. Deshalb braucht es definierte Kriterien, geschulte Prüfer*innen, Dokumentation, ein Löschkonzept und die Möglichkeit, relevante Unklarheiten fair anzusprechen. Datenschutzbeauftragte und gegebenenfalls Arbeitsrechtsexperten sollten das Verfahren vorab prüfen. 

Die ethische Leitfrage lautet für mich: Würden wir diese Recherche offen erklären und fachlich begründen können? Wenn die Antwort Nein lautet, ist meist nicht die Kommunikation das Problem, sondern die Methode. Seriöses OSINT arbeitet zielgerichtet, risikobasiert und transparent, nicht voyeuristisch. 

Angenommen, der Feind kommt nicht nur durch die Tür, sondern ist bereits angestellt und im Unternehmen tätig. Bei welchen Warnsignalen sollte HR beziehungsweise die Führungskraft hellhörig werden und welche Schritte sind dann rasch zu setzen?

Auch hier gilt, nicht jede Verhaltensänderung bedeutet böse Absicht. Private Krisen, Überlastung, Krankheit, Konflikte oder organisatorische Missstände können ähnliche Auffälligkeiten erzeugen. Gerade deshalb müssen Unternehmen beobachten, dokumentieren und prüfen, nicht spekulieren. 

Hellhörig werden sollte man bei ungewöhnlichen Zugriffen auf Daten oder Systeme, bei dem Versuch, Kontrollen zu umgehen, bei auffälligem Sammeln von Informationen außerhalb des eigenen Aufgabenbereichs, unerklärlichen Kopien oder Downloads und bei wiederholten Verstößen gegen Sicherheitsregeln. Relevant können auch plötzliche Geheimniskrämerei, starke Verhaltensänderungen, aggressive Reaktionen auf legitime Kontrollen oder die beharrliche Forderung nach Sonderzugängen sein. 

Auf der sozialen Ebene zeigen sich Risiken häufig in systematischer Grenzverletzung: Teams werden gegeneinander ausgespielt, Informationen selektiv weitergegeben, Gerüchte strategisch platziert, Mitarbeitende eingeschüchtert oder Abhängigkeiten erzeugt. Besonders kritisch ist die Kombination aus Machtstreben, mangelnder Verantwortungsübernahme, Vergeltungsverhalten und Zugriff auf sensible Ressourcen. Das Muster zählt, nicht das Etikett. 

Die ersten Schritte müssen ruhig, koordiniert und beweissicher erfolgen. Wahrnehmungen und Vorfälle sind sachlich zu dokumentieren, mit Datum, Kontext, konkretem Verhalten und möglichen Auswirkungen. Zuständige Stellen wie HR, Compliance, Informationssicherheit, Datenschutz, Rechtsabteilung und gegebenenfalls interne Revision müssen nach einem festgelegten Eskalationsplan zusammenarbeiten. Zugriffsrechte sind nach dem Need-to-know-Prinzip zu überprüfen; bei akuter Gefahr können abgestufte, rechtlich geprüfte Sicherungsmaßnahmen notwendig sein. 

Was Unternehmen vermeiden sollten, sind hektische Konfrontationen, Gerüchte und amateurhafte Ermittlungen. Eine unvorbereitete Beschuldigung kann Beweise gefährden, die Lage eskalieren und Rechte verletzen. Besteht der Verdacht auf eine Straftat oder eine unmittelbare Gefährdung, gehören spezialisierte interne oder externe Fachleute und gegebenenfalls die Behörden eingebunden. Bei akuter Gefahr für Menschen gilt selbstverständlich: Schutz vor Aufklärungsgeschwindigkeit. 

Entscheidend ist, dass der Ablauf vorher feststeht. Im Ernstfall ist es zu spät, erstmals darüber zu diskutieren, wer zuständig ist, wer Systeme sichern darf und wer mit der betroffenen Person spricht. Prävention bedeutet nicht, überall Feinde zu sehen. Prävention bedeutet, bei belastbaren Signalen handlungsfähig zu sein. 

Kommen wir vom forensischen Recruiting zu Ihrem Profiling-Lehrgang: Hier gehen Sie in einem Trainingsmodul konkret auf das Thema Körpersprache ein. Was verrät der Körper uns, was das gesprochene Wort nicht zeigt?

Der Körper kommentiert Kommunikation, er zeigt Aktivierung, Anspannung, Entlastung, Annäherung, Distanzierung, Dominanz, Unsicherheit oder den Versuch, eine Reaktion zu kontrollieren. Häufig sehen wir eine körperliche Veränderung, bevor ein Mensch seine Gedanken sprachlich sortiert hat. Das macht Körpersprache wertvoll, aber nicht unfehlbar. 

Der größte Irrtum lautet: Eine bestimmte Geste habe immer eine bestimmte Bedeutung. Verschränkte Arme bedeuten nicht automatisch Ablehnung. Berührt jemand die Nase, ist das kein Beweis für eine Lüge. Fehlender Blickkontakt kann mit Nachdenken, kulturellen Regeln, Scham, Unsicherheit, Neurodivergenz oder schlicht persönlicher Gewohnheit zusammenhängen. Wer Gesten wie Vokabeln übersetzt, liest keine Menschen, er reproduziert Mythen. 

Professionelle Verhaltensanalyse arbeitet daher mit Baseline, Kontext und Clustern. Zuerst interessiert mich das individuelle Normalverhalten einer Person. Dann beobachte ich Veränderungen: Wann steigt die Körperspannung? Bei welchem Thema verändert sich die Stimme? Wo wird eine Antwort plötzlich knapper, abstrakter oder übermäßig detailreich? Treten mehrere verbale und nonverbale Signale zeitnah gemeinsam auf? Und gibt es alternative Erklärungen dafür? 

Besonders interessant sind Inkongruenzen. Jemand sagt „Das ist für mich völlig in Ordnung“, presst dabei die Lippen zusammen, zieht den Kopf minimal zurück und verändert seinen Sprechrhythmus. Das beweist nicht, dass er lügt. Es zeigt aber, dass die Aussage möglicherweise mit innerer Aktivierung verbunden ist. Für Profiler ist das kein Urteil, sondern eine Tür zu einer besseren Frage. 

Auch Mikroexpressionen können sehr kurze emotionale Reaktionen sichtbar machen, bevor sie kontrolliert oder überlagert werden. Sie verraten jedoch nicht automatisch deren Ursache. Angst kann bedeuten, dass jemand etwas verheimlicht. Sie kann ebenso bedeuten, dass er fürchtet, zu Unrecht verdächtigt zu werden. Ein Emotionssignal ist noch kein Motiv und kein Tatnachweis. 

Genau das vermittle ich in meinem Profiling-Lehrgang: Wir beobachten präzise, aber wir interpretieren diszipliniert. Wir trennen Wahrnehmung von Bewertung. Wir stellen Hypothesen auf und überprüfen sie mit gezielten Fragen, statt aus einem Schulterzucken eine Biografie zu erfinden. Körpersprache ist kein Lügendetektor. Richtig analysiert ist sie ein Navigationssystem. Sie zeigt uns nicht automatisch, was wahr ist – aber sehr oft, wo es sich lohnt, genauer hinzusehen. 

Redaktioneller Hinweis zur Rechtsfrage: Die Ausführungen stellen eine allgemeine fachliche Einordnung und keine Rechtsberatung im Einzelfall dar. Konkrete Prüfprozesse sollten datenschutz- und arbeitsrechtlich geprüft werden.