Erinnert ihr euch an meinen Aufruf für die Umfrage zu meiner Bachelorarbeit? Viele von euch haben mitgemacht und heute kann ich euch berichten, was daraus geworden ist: Die Arbeit ist abgegeben, das Kolloquium ist gelaufen, und beides wurde mit einer 1,0 bewertet!

Ich bin ehrlich gesagt immer noch ein bisschen sprachlos. Deshalb heute ein Update, wie die letzten Monate gelaufen sind.

Kurzer Rückblick: sechseinhalb Jahre nebenbei

Angefangen habe ich Anfang 2020, nebenberuflich, mit dem Bachelor IT-Sicherheit (B.Sc.)* an der Wilhelm Büchner Hochschule. Wer die Beiträge hier länger verfolgt, kennt die Höhen und Tiefen: Phasen, in denen ich Vollzeit gearbeitet und abends noch Skripte gewälzt habe, Phasen mit null Motivation, und die Erkenntnis, dass Flexibilität im Fernstudium vor allem eines beduetet: Man muss sich selbst im Griff haben.

„Nebenbei“ habe ich mein Buch Aktien-Life-Balance geschrieben, den Job gewechselt und Aktiengram aufgebaut. Dass das Studium dabei manchmal hinten runtergefallen ist, gehört zur ehrlichen Version dieser Geschichte dazu. Am Ende standen 168 Credit Points und die Bachelorarbeit als letzter Baustein. Durch eine Schwierige Zeig in meinem privaten Umfeld konnte ich dann auf der Zielgeraden zum Abschluss eine Zeit lang nicht richtig weitermachen, sodass mein Plan vom Januar 2025 sich noch einmal nach hinten verschob. Nachdem das neue Jahr dann gestartet war und auch mein kostenfreier zusätzlicher Betreuungszeitraum endete, habe ich dann entschieden: In diesem Jahr möchte ich es endlich abschließen! Und so kam es dann tatsächlich auch.

Worum ging es in meiner Bachelorarbeit?

Thema war Cybercrime-as-a-Service und Finanzbetrug über Messenger-Dienste, also die Frage, wie Betrug heute organisiert wird und wie er bei den Leuten ankommt, die er treffen soll.

Der Anlass war ziemlich naheliegend: Ihr wisst, wie oft Fake-Accounts unter meinem Namen unterwegs sind, die euch in WhatsApp- oder Telegram-Gruppen ziehen und dort „Anlagetipps“ verkaufen wollen. Cybercrime-as-a-Service bedeutet dabei, dass die Täter gar nicht mehr selbst programmieren müssen. Betrugsbaukästen, fertige Nachrichtenvorlagen und ganze Infrastrukturen werden als Dienstleistung eingekauft, sozusagen wie ein Software-Abo, nur eben kriminell.

Wie verbreitet das ist, zeigt der Cybersicherheitsmonitor 2026 von BSI und der Polizeilichen Kriminalprävention (Befragung Januar 2026, 3.060 Befragte): 27 Prozent der Befragten waren schon einmal in ihrem Leben von Cyberkriminalität betroffen, 11 Prozent allein im vergangenen Jahr.

Genau hier kam eure Umfrage ins Spiel. Mich hat interessiert, wie häufig solche Kontaktversuche tatsächlich ankommen, wie Menschen darauf reagieren und ob sie sich selbst richtig einschätzen, wenn es um die eigene Anfälligkeit geht. Über eine Finanz-Community erreicht man dabei eine Gruppe, die in der bisherigen Forschung eher unterrepräsentiert ist. Daher nochmal Danke an jeden, der die fünf Minuten investiert hat, ohne euch hätte die Arbeit so nicht funktioniert. 🙏

Was kam bei der Umfrage heraus?

Nach der Datenbereinigung blieben 774 auswertbare Antworten, davon 563 in der Kernzielgruppe der 18- bis 49-Jährigen. Ein paar Befunde, die mich selbst überrascht haben:

Fast alle sind betroffen und zwar regelmäßig: 86 Prozent hatten in den letzten sechs Monaten mindestens eine verdächtige oder unaufgeforderte Nachricht im Messenger. Im Detail: 64 Prozent klassische Phishing-Nachrichten (Paketzustellung, angebliche Bank), 61 Prozent Fremde, die ohne Anlass eine persönliche Beziehung aufbauen wollten (das berühmte „Hallo, ist das Anna?“), und 58 Prozent konkrete Krypto- oder Investment-Angebote mit Renditeversprechen.

Der blinde Fleck ist KI: 94 Prozent trauen sich zu, eine verdächtige Nachricht als solche zu erkennen. Bei der Frage, ob sie eine KI-generierte Nachricht oder Sprachnachricht von einer echten unterscheiden könnten, waren es nur noch 46 Prozent. Das Zutrauen halbiert sich also genau an der Stelle, an der die Angriffe gerade besser werden.

Die Lücke zwischen Wissen und Handeln: Das ist der Kern der Arbeit, ich nenne es den Awareness-Action-Gap: 88 Prozent blockieren verdächtige Absender oft oder immer. Gleichzeitig geben 28 Prozent zu, auf unerwartete, dringliche Nachrichten zumindest in seltenen Fällen sofort zu reagieren, ohne den Absender zu prüfen. Und das gilt auch für die, die sich viel zutrauen: Von den 530 Befragten mit hohem Erkennungs-Zutrauen berichten 27 Prozent solche ungeprüften Sofortreaktionen.

Genau darauf zielen die Täter mit künstlichem Zeitdruck. Für sie reicht dieser Anteil völlig aus, weil das Versenden von Millionen Nachrichten sie praktisch nichts kostet.

Die eigene Gefährdung wird unterschätzt: Gut die Hälfte hielt es für unwahrscheinlich, selbst über einen Messenger getäuscht zu werden, bei einer Kontaktrate von 86 Prozent in derselben Stichprobe.

Und der Punkt, der mich persönlich am meisten beschäftigt: 43 Prozent vertrauen der Empfehlung einer Person, der sie folgen, eher als der eines Fremden. Knapp 24 Prozent gehen davon aus, dass eine Nachricht von einem Account mit passendem Namen und Bild echt ist. Das ist genau der Vertrauensvorschuss, den die Fake-Accounts mit meinem Namen abgreifen. In der internationalen Forschung läuft der Vertrauensaufbau beim Anlagebetrug meist über eine vorgetäuschte Romanze. Im deutschsprachigen Raum übernimmt diese Rolle häufig das Vertrauen in eine bekannte Finanz-Person, deren Profil kopiert wird.

Im konkreten Test-Szenario: Ein Account mit Namen und Bild eines abonnierten Finanz-Influencers lädt in eine WhatsApp-Aktiengruppe ein, haben allerdings fast alle „richtig“ reagiert: 45 Prozent würden blockieren oder melden, 36 Prozent ignorieren, 18 Prozent auf anderem Weg nachfragen. Nur 1,8 Prozent würden sich darauf einlassen. Bei einer in Ruhe getroffenen Entscheidung funktioniert der Selbstschutz also gut. Die Frage ist, was davon in einem hektischen Moment übrig bleibt.

Und was heißt das jetzt?

Die zentrale Schlussfolgerung meiner Arbeit ist unbequem: Aufklärung allein reicht nicht. Nicht, weil sie nichts bringt, sondern weil sie am falschen Punkt ansetzt. Die Daten zeigen eine Gruppe, die informiert, technikaffin und vorsichtig ist und trotzdem in dem einen Moment angreifbar bleibt, auf den es den Tätern ankommt.

Dazu passt, dass das Vertrauen in die Schutzmaßnahmen der Messenger niedrig ist: 83 Prozent bewerten sie unterdurchschnittlich. Ein gefälschtes Profil kopiert Name und Bild eines Kontos, das auf derselben Plattform bereits existiert, automatisiert erkennbar wäre das grundsätzlich. Solange das nicht passiert, liegt die Verantwortung beim schwächsten Glied der Kette, während die wirksamsten Hebel bei den Plattformen und Zahlungsdienstleistern liegen. Auf europäischer Ebene setzen genau dort der Digital Services Act und die geplante Payment Services Regulation an.

Was ihr selbst tun könnt, lässt sich aus den Daten ziemlich direkt ableiten:

• Dringlichkeit ist das Warnsignal: Nicht der Inhalt einer Nachricht verrät den Betrug, sondern der Druck, sofort reagieren zu müssen. Wer bei Zeitdruck grundsätzlich eine Nacht drüber schläft, hat den größten Teil des Risikos schon ausgeschaltet.
• Zweiter Kanal, immer: Wenn euch jemand in eine Gruppe einlädt: fragt über einen anderen Weg nach. Ich lade niemanden in Aktiengruppen ein und schreibe euch auch nicht ungefragt per WhatsApp.
• Rechnet mit KI: Sprachnachricht, gute Rechtschreibung, persönliche Ansprache – das sind keine Echtheitsbeweise mehr.
• Melden statt nur blockieren: Blockieren schützt euch, Melden schützt die anderen.

Eine Einschränkung gehört dazu: Die Teilnehmer haben sich selbst ausgewählt und über meine Kanäle den Weg in die Umfrage gefunden. Die Stichprobe ist überwiegend männlich, gut gebildet und finanzinteressiert und damit nicht repräsentativ für die Gesamtbevölkerung. Alle Angaben sind Selbstauskünfte. Die Zahlen beschreiben also eine bestimmte, bislang wenig untersuchte Gruppe – nicht Deutschland.

Abgabe und Kolloquium

Abgabetermin war Anfang September. Die letzten Wochen davor waren genau so, wie alle es beschreiben: Man denkt, man ist fertig, und findet dann doch noch drei Quellen, die nicht sauber zitiert sind.

Das Kolloquium wurde bei mir kurzfristig vorverlegt und fand dann gleich einige Tage vorher statt statt, also die Präsentation der Arbeit, anschließend Fragen der beiden Prüfer. Dass der Termin näher rückte, war im Nachhinein vielleicht auch gut: weniger Zeit zum Nervösmachen.

Das Ergebnis

Thesis und Kolloquium zusammen (12 Credit Points) wurden mit 1,0 bewertet. Ich musste zweimal hinhören. Die Note habe ich gleich im Anschluss an die Präsentation erhalten und staunte nicht schlecht.

Was jetzt noch fehlt, ist das Zeugnis. Bis das Prüfungsamt alles zusammengerechnet und verschickt hat, dauert es noch ein paar Wochen, die offizielle Gesamtnote für das ganze Studium steht also noch aus. Aber: bestanden ist bestanden. Nach sechseinhalb Jahren nebenbei fühlt sich das ziemlich unwirklich an.

Was ich aus dem Fernstudium mitnehme

Ein paar Dinge, die ich vorher unterschätzt habe:

Disziplin schlägt Motivation: Motivation kommt und geht. Was trägt, sind feste Zeitblöcke, in denen nichts anderes passiert, auch wenn es nur 45 Minuten am Abend sind.

Fertig ist besser als perfekt: Ich habe Module vor mir hergeschoben, weil ich mich „noch besser vorbereiten“ wollte. Rückblickend hätte ich in derselben Zeit zwei Klausuren schreiben können.

Es darf länger dauern: Die Regelstudienzeit ist eine Rechengröße, kein Urteil. Wer nebenbei arbeitet, länger krank wird, umzieht oder einfach mal eine Pause braucht, vielleicht auch wegen privaten Umständn, ist nicht gescheitert, sondern realistisch.

Das Thema muss dir gehören: Bei der Bachelorarbeit hat es einen riesigen Unterschied gemacht, dass ich über etwas geschrieben habe, das mich in meinem Alltag tatsächlich betrifft. Man merkt es dem Text an, und man merkt es der eigenen Ausdauer an.

Wie es weitergeht

Erst mal: Zeugnis abwarten. Und dann in Ruhe entscheiden, was ich mit dem Thema noch mache. Die Ergebnisse aus eurer Umfrage sind zu interessant, um sie in einer PDF auf meiner Festplatte verstauben zu lassen. Ich überlege, die wichtigsten Erkenntnisse hier im Blog aufzubereiten, vielleicht auch als Podcast, gerade weil Betrugsmaschen im Finanzbereich so viele von euch betreffen. Sagt gerne in den Kommentaren, ob euch das interessieren würde.

Und wenn ihr selbst mit einem Fernstudium liebäugelt: Ich bekomme dazu regelmäßig Fragen und beantworte sie gerne. Alle bisherigen Beiträge zu meinem Studium findet ihr gesammelt unter Fernstudium.

Danke, dass ihr diesen ziemlich langen Weg mitgelesen habt!

Mein Fernstudium an der Wilhelm Büchner Hochschule

Auf der Seite Fernstudium findest du alle Artikel, die ich rund um mein nebenberufliches Informatik Studium an der Wilhelm Büchner Hochschule geschrieben habe. Hier belege ich den Studiengang IT-Sicherheit (Bachelor B.Sc.)* im Fernstudium.

Falls du dich für ein Studium in diesem Fachgebiet interessierst, kann ich dir empfehlen dort einmal das kostenfreie Infomaterial* zum jeweiligen Studiengang anzufordern. So habe ich es selbst auch gemacht und mich dann final für den passenden Studiengang entschieden. Hier gelangst du zum vollständigen Angebot der WBH im Bereich Informatik.* Wenn du noch Fragen hast, lass‘ gerne einen Kommentar da.