Kandidaten misstrauen Recruitern? Beweisen Sie Ihre Echtheit.

Recruiter-Imitation liegt vor, wenn Betrüger sich als die Recruiter eines echten Unternehmens ausgeben und dessen Namen, Logo und täuschend ähnliche Domains nutzen, um Jobsuchende zu betrügen. Das ist inzwischen so verbreitet, dass fast die Hälfte der Kandidaten selbst echter Recruiter-Ansprache mit Misstrauen begegnet. Echte Einstellungsteams müssen so erst beweisen, dass sie keine Betrüger sind, bevor ein Gespräch überhaupt beginnen kann. Das heißt: Ihre Antwortquoten sinken nicht, weil Ihre Ansprache schlecht ist. Sie sinken, weil ein misstrauischer Kandidat Sie nicht vom Betrug unterscheiden kann.

Wenn Sie im Sourcing oder in der Kandidatenkommunikation arbeiten und zusehen, wie die Antwortquoten fallen, während Kandidaten zurückschreiben und Sie bitten, zu „beweisen, dass Sie eine echte Person sind“, dann ist dieser Beitrag für Sie. Hier sind die Daten hinter dem Vertrauensverlust, warum bessere Texte das nicht beheben und welche konkreten Vertrauenssignale ein seriöser Recruiter tatsächlich einsetzen kann.

Warum Kandidaten Ihren Recruiter heute für einen Fake halten

Skepsis gegenüber unaufgeforderter Recruiter-Ansprache ist keine Randerscheinung mehr. Sie ist nahe an der durchschnittlichen Kandidatenhaltung. In einer Monster-Umfrage unter 884 Beschäftigten von Anfang März 2026 (berichtet von HR Dive) gaben 95 % der Jobsuchenden an, auf verdächtige Stellenangebote gestoßen zu sein, mehr als die Hälfte war direkt von Betrügern ins Visier genommen worden und fast die Hälfte begegnet Recruiter-Ansprache inzwischen mit Skepsis.

Lassen Sie diese letzte Zahl auf sich wirken. Ungefähr jede zweite Person, die Sie kalt anschreiben, geht standardmäßig davon aus, dass Sie sie womöglich hereinlegen wollen. Diese Menschen sind nicht paranoid. Sie erkennen ein Muster in einem Umfeld, das sie genau darauf trainiert hat.

Der Schaden ist nicht nur verlorene Zeit, auch wenn es davon reichlich gibt. In denselben Monster-Daten gab etwa ein Drittel der Jobsuchenden an, Zeit mit der Prüfung gefälschter Angebote verloren zu haben, fast ein Viertel berichtete von anhaltendem Stress und Angst und fast ein Viertel hatte persönliche Daten wie E-Mail-Adresse oder Telefonnummer preisgegeben, bevor ihm klar wurde, dass es sich um Betrug handelte. Genau diese letzte Zahl sollte jeden Recruiter beunruhigen, denn Kontaktdaten herausgeben und auf einen Link klicken ist exakt das, worum eine normale Bewerbung einen Kandidaten bittet. Betrüger haben den Menschen beigebracht, den grundlegendsten Schritt Ihres Prozesses als Bedrohung zu behandeln.

Wie groß ist das Problem des Job-Betrugs wirklich?

Der Vertrauensverlust ist eine Folge realer, rasant wachsender finanzieller Schäden. Die stärksten Zahlen stammen aus den Consumer-Sentinel-Daten der US-Handelsaufsicht FTC, und sie steigen steil an.

Das ist mehr als eine Verdreifachung von 2020 bis 2023, und allein das erste Halbjahr 2024 erreichte fast die gesamte Summe von 2022 (FTC Data Spotlight, Dezember 2024). Die FTC weist zudem darauf hin, dass die meisten Betrugsfälle nicht gemeldet werden, sodass diese Zahlen den tatsächlichen Schaden untertreiben.

Ein Großteil des jüngsten Anstiegs ging auf „Task-Scams“ zurück, spielerisch aufgemachte Fake-Jobs, die fiktive In-App-Verdienste anzeigen und dann eine Einzahlung verlangen, um die Auszahlung freizuschalten. Die FTC zählte im ersten Halbjahr 2024 rund 20.000 Meldungen zu Task-Scams, gegenüber etwa 5.000 im gesamten Jahr 2023. Krypto ist bei diesen Betrügereien zur häufigsten Zahlungsmethode geworden, mit Verlusten von rund 41 Mio. $ im ersten Halbjahr 2024 gegenüber etwa 21 Mio. $ im gesamten Jahr 2023 (FTC, Dezember 2024). Die Maschine wird größer und schneller.

Warum Betrug das Vertrauen in seriöse Recruiter vergiftet

Hier ist der Mechanismus, der das zu genau Ihrem Problem macht. Die dominierenden Betrugswege sind unerwartete SMS, WhatsApp-Nachrichten, E-Mails und unaufgeforderte „Recruiter“-Ansprache. Das sind exakt dieselben Kanäle, über die seriöse Recruiter Kandidaten kalt anschreiben.

Wenn also Verbraucherschutzbehörden Ratschläge geben, arbeiten diese Ratschläge direkt gegen Sie. Die Empfehlung der FTC ist unmissverständlich: Echte Arbeitgeber melden sich nie über generische, unerwartete SMS oder WhatsApp-Nachrichten und verlangen nie eine Zahlung, damit man bezahlt wird. Und Jobsuchende sollten unaufgeforderte Job-SMS ignorieren. Jede einzelne dieser Warnungen beschreibt von außen betrachtet eine ganz normale Sourcing-Ansprache.

Das Ergebnis: Seriöse Kaltansprache startet heute mit einem Handicap. Bevor ein Kandidat Ihre Botschaft überhaupt liest, geht er bereits eine Betrugs-Checkliste durch, und Ihre Nachricht löst allein durch ihre Existenz die Hälfte davon aus. Betrüger verschärfen das, indem sie echte Unternehmensnamen fälschen, Logos kopieren und täuschend ähnliche Domains registrieren, sodass ein Kandidat einen echten Recruiter allein am Inhalt tatsächlich nicht von einem Hochstapler unterscheiden kann.

Beide Richtungen des Betrugs: gefälschte Kandidaten und gefälschte Recruiter

Recruiter-Imitation ist nur die eine Hälfte einer zweiseitigen Betrugswelle, und die andere Hälfte zu verstehen erklärt, warum einseitige Abwehr scheitert.

Die andere Richtung ist Betrug, der sich gegen Arbeitgeber richtet. Das FBI warnte bereits im Juni 2022, dass Kriminelle Deepfakes und gestohlene personenbezogene Daten nutzten, um sich auf Remote-Stellen in IT und Softwareentwicklung zu bewerben, wobei fehlende Lippensynchronität in Videointerviews ein Warnsignal sei (FBI/IC3 PSA I-062822). Gartner hat prognostiziert, dass bis 2028 weltweit jedes vierte Bewerberprofil gefälscht sein könnte (Gartner, 2024, berichtet von HR Dive; behandeln Sie dies als Prognose, nicht als Messwert). Und dass sich nordkoreanische Staatsangehörige als Remote-IT-Kräfte ausgeben, um US-Unternehmen zu unterwandern, ist inzwischen ein gut dokumentiertes, anhaltendes Muster. Kit hat diese konkrete Bedrohung in Einstellungsbetrug durch nordkoreanische IT-Kräfte behandelt.

Recruiter-Imitation ist das Spiegelbild: Angriffe auf Kandidaten, die die Identität des Arbeitgebers ausnutzen. Beide untergraben dasselbe, nämlich die Fähigkeit beider Seiten, darauf zu vertrauen, dass die andere die ist, die sie zu sein vorgibt. Ein Recruiting-Stack, der nur die Arbeitgeberseite härtet, gefälschte Bewerber herausfiltert, aber nichts unternimmt, um echten Bewerbern die eigene Seriosität zu beweisen, verteidigt genau die Hälfte der Grenze.

Warum bessere Ansprachetexte das nicht beheben

Der Reflex, wenn die Antwortquoten fallen, ist, die Nachricht umzuschreiben. Wärmerer Einstieg. Schärferer Aufhänger. Mehr Personalisierung. Nichts davon hilft hier, und der Grund ist struktureller Natur.

Ein Angreifer kann Ihre Worte perfekt kopieren. Er kann Ihr Logo entwenden, Ihren Ton spiegeln, das Layout Ihrer Karriereseite klonen und eine Domain registrieren, die sich um ein einziges Zeichen von Ihrer unterscheidet. Bessere Texte helfen einem Kandidaten nicht, Sie von jemandem zu unterscheiden, der Sie imitiert, denn der Imitator kopiert einfach auch Ihre besseren Texte. Gegen einen Fälscher schreiben Sie nicht an.

Stellen Sie sich den Alltagsfall vor. Ein Kandidat erhält in derselben Woche zwei Nachrichten. Die eine kommt von einem echten Recruiter eines 40-Personen-Startups. Die andere von einem Betrüger, der das Logo einer bekannten Marke hinter einer täuschend ähnlichen Domain fälscht. Vom Inhalt her sind die beiden nicht zu unterscheiden; der Betrüger hat womöglich sogar die knackigere Betreffzeile. Was sie tatsächlich trennt, ist die Frage, ob die echte Nachricht DKIM-signiert von einer verifizierten Domain eintrifft und auf ein gebrandetes, unternehmenseigenes Portal verlinkt, in das kein Passwort einzugeben ist. Alles, was ein Kandidat lesen kann, ist fälschbar. Nur die Infrastruktur ist es nicht.

Die einzigen dauerhaften Unterscheidungsmerkmale sind also die Dinge, die ein Angreifer nicht billig fälschen kann. Das ist keine Sprache. Es ist Infrastruktur: eine kryptografisch authentifizierte E-Mail von Ihrer echten Domain, ein Ziel auf einer Domain, die Sie tatsächlich kontrollieren, und ein Anmeldeablauf ohne abgreifbares Geheimnis. Diese existieren in Ihrem Recruiting-Stack entweder, oder eben nicht, und der Kandidat oder sein Mail-Programm kann sie überprüfen, ohne Ihnen irgendetwas glauben zu müssen.

Die Vertrauenssignale, die ein seriöser Recruiter tatsächlich einsetzen kann

Worte trennen Sie nicht von einem Betrüger, aber eine kurze Liste überprüfbarer Signale schon. Hier ist die Checkliste, grob nach Wirkung geordnet.

1. Authentifizierte Absender-E-Mail. Versenden Sie von der eigenen verifizierten Domain Ihres Unternehmens mit gültigem SPF, DKIM und DMARC. Diese sind genau deshalb Branchenstandard, weil sie es dem Empfänger ermöglichen, den Absender kryptografisch zu überprüfen. Eine Adresse bei einem kostenlosen Mailanbieter (ein generisches Gmail- oder Outlook-Konto) oder eine fälschbare Domain lässt sich nicht überprüfen, und Mail-Programme sagen das zunehmend deutlich.
2. Ein gebrandetes, unternehmenseigenes Ziel. Verlinken Sie Kandidaten auf Ihre eigene Domain und ein gebrandetes Karriereportal, nicht auf eine generische ATS-Anbieter-URL, die austauschbar wirkt und einem Phishing-Link ähnelt. Ein Kandidat, der auf ihrunternehmen.de landet, kann die Adressleiste lesen; einer, der auf einer beliebigen Anbieter-Subdomain landet, kann sie nicht von einer Fälschung unterscheiden.
3. Keine Erhebung von Zugangsdaten. Bitten Sie Kandidaten nicht, ein Passwort anzulegen. Eine passwortlose Anmeldung per einmaligem Magic Link (Anmeldelink) bedeutet, dass es kein Passwort zum Abphishen und keine Angriffsfläche für Credential Stuffing gibt. Sie gewöhnt Kandidaten zudem daran, „wir schicken Ihnen einen sicheren Link per E-Mail“ zu erwarten statt „legen Sie ein Konto an und geben Sie ein Passwort ein“, und genau diesen Ablauf ahmen Betrugsseiten nach.
4. Durchgängige, überprüfbare Identität. Dieselbe Absender-Domain, dieselbe Portal-Domain, derselbe namentlich genannte Recruiter über jeden Kontaktpunkt hinweg, mit einer echten Präsenz, die ein Kandidat unabhängig bestätigen kann. Durchgängigkeit ist selbst ein Signal; Betrüger wechseln meist von Nachricht zu Nachricht die Kanäle und Identitäten.

Beachten Sie, was auf dieser Liste fehlt: Ihre Texte. Jeder Punkt ist etwas, das eine Maschine oder ein sorgfältiger Mensch unabhängig überprüfen kann. Genau darum geht es.

Wie verifizierter Absender und passwortlose Anmeldung zum Recruiting-Standard wurden

Zwei dieser Signale verdienen eine Erklärung in klarer Sprache, denn sie galten früher als „nice to have“, und die Betrugsära hat sie klammheimlich zur Grundvoraussetzung befördert.

DKIM und DMARC sind empfängerseitig überprüfte Authentifizierung, kein Spam-Filter. Wenn Sie DKIM-signierte Mail von einer Domain mit DMARC-Richtlinie versenden, hängen Sie eine kryptografische Signatur an, die der Mailserver des Empfängers gegen Ihre veröffentlichten DNS-Einträge prüft. Ist sie gültig, weiß der Empfänger, dass die Nachricht wirklich von Ihrer Domain stammt und unterwegs nicht verändert wurde. Ein Imitator, der von einer täuschend ähnlichen Domain versendet, kann diese Signatur für Ihre Domain nicht erzeugen. Es geht nicht darum, im Posteingang statt im Spam zu landen; es geht darum, dass der Mailanbieter des Kandidaten bestätigen kann, dass Sie Sie sind.

Magic Links beseitigen das abgreifbare Geheimnis. Ein einmaliger, per E-Mail an den Kandidaten gesendeter Link lässt ihn in Ihr Portal, ohne je ein Passwort anzulegen. Ein Passwort, das nie angelegt wurde, lässt sich nicht stehlen, und es liegt kein Ziel für Credential Stuffing in einer Datenbank, das nur darauf wartet, geleakt zu werden. Nicht, dass Magic Links in jedem Szenario auf magische Weise unknackbar wären; sondern das Entfernen des gespeicherten Geheimnisses beseitigt eine ganze Angriffskategorie. Kit hat dies zum Standard für den Kandidatenzugang gemacht, und die Begründung ist in Warum wir Passwörter für Kandidaten abgeschafft haben dargelegt.

Stellen Sie beides Ihren sicherheitsbewussten Kolleginnen und Kollegen ehrlich dar. DKIM authentifiziert den Absender; es garantiert keine Zustellbarkeit. Passwortlos beseitigt die Angriffsfläche für Zugangsdaten-Diebstahl; es macht Phishing nicht unmöglich. Aber zusammen sind es zwei Dinge, die ein Hochstapler nicht billig reproduzieren kann, und in einem Markt, in dem Kandidaten standardmäßig Betrug vermuten, ist „lässt sich nicht billig fälschen“ die einzige Aussage, die zählt.

Wie Kit Kandidatenvertrauen standardmäßig einbaut

Alles bisher Gesagte ist anbieterneutraler Rat; Sie können und sollten diese Signale von jedem Stack einfordern, den Sie betreiben. Kits Argument ist schlicht, dass sie in der Betrugsära Standard sein sollten und kein Add-on. Deshalb zeigen wir hier, wie Kit sie ausliefert.

• Verifizierter Absender per E-Mail von Ihrer eigenen Domain. Kits ausgehende Mail ist DKIM-signiert und wird über einen selbst gehosteten Mailserver als Ihre verifizierte Unternehmensdomain versendet, sodass das Mail-Programm eines Kandidaten echte Authentifizierung anzeigt statt eines fälschbaren Absenders bei einem kostenlosen Mailanbieter. Das eine, was ein Betrüger nicht billig fälschen kann, ist eine kryptografisch authentifizierte E-Mail von Ihrer echten Domain, und Kit signiert jede Nachricht auf diese Weise.
• Passwortloses Kandidatenportal per Magic Link. Kandidaten melden sich mit sicheren, einmaligen Links an, sodass es kein Passwort zum Abphishen und nirgends im Ablauf eine Angriffsfläche für Credential Stuffing gibt.
• Eine gebrandete, unternehmenseigene Portal-URL. Kandidaten landen auf einem unternehmensgebrandeten, mandantenbezogenen Ziel statt auf einem generischen Anbieter-Link, den sie nicht von Phishing unterscheiden können. Seriosität wird zu etwas, das sie in der Adressleiste sehen können.
• Menschlich geprüfte, konkrete Ansprache. Kits Ansprache ist auf echte, konkrete Nachrichten unter menschlicher Prüfung ausgelegt, das Gegenteil des Massenversand-Musters, auf das Betrüger und Spam-Recruiter setzen. Wenn Ihnen Ansprache wichtig ist, die ehrlich ankommt, siehe personalisierte Recruiter-Ansprache und Antwortquoten.

Wenn personenbezogene Kandidatendaten und Ihre Sicherheitslage die breitere Sorge hinter all dem sind, behandelt Kandidatendaten absichern, wenn Ihr ATS zum Leck wird die Speicherseite desselben Problems.

Die Erkenntnis ist eng gefasst und dauerhaft. Kandidatenvertrauen ist zu einem Infrastrukturproblem geworden, nicht zu einem der Botschaft. Sie werden sich nicht aus der Verwechslung mit einem Betrüger herausschreiben, denn der Betrüger kann alles kopieren, was Sie schreiben. Was er nicht kopieren kann, ist authentifizierte Mail von Ihrer echten Domain, ein Portal auf einer Domain, die Sie kontrollieren, und eine Anmeldung ohne Geheimnis zum Stehlen. Bauen Sie das ein, und Seriosität ist nicht mehr etwas, das Sie behaupten, sondern etwas, das ein misstrauischer Kandidat schlicht überprüfen kann.

Möchten Sie sehen, wie verifizierte, passwortlose Kandidatenkommunikation ab Werk aussieht? Kostenlos testen und schicken Sie sich selbst eine Kandidaten-E-Mail.