14 Experten-Tipps zur B2B-Zahlungssicherheit, die Sie diesen Monat umsetzen können
Ohne Sicherheit bei Online-Zahlungen könnten Sie unbeabsichtigt zur Finanzierung eines Atomwaffenprogramms beitragen. Klingt verrückt? Denken Sie nochmal nach. Wenn Sie jemals Opfer eines Cyberbetrugs wurden, besteht eine gute Chance, dass das gestohlene Geld in Nordkorea gelandet ist.
Doch die alltäglichen Risiken für wachsende Unternehmen sind viel banaler: Cyberkriminelle sind auf Geld aus. Manchmal stehlen sie auch Informationen, die sich zu Geld machen lassen: geistiges Eigentum, Kreditauskünfte oder Kreditkartendaten. Oder sie nehmen Unternehmen in Geiselhaft.
Ich beschreibe die schnellsten, einfachsten und besten Wege, das größte Cyberrisiko im Unternehmen zu adressieren: Online-Zahlungen. Ich beginne mit technischen Strategien und gehe dann zu Zahlungen über.
Sie möchten mehr vom The CFO Club?
Erstellen Sie ein kostenloses Konto, um diesen Beitrag zu Ende zu lesen und einer Community moderner CFOs und Finanzverantwortlicher beizutreten, die auf erprobte Methoden, Tools und Erkenntnisse zugreifen, um sich in der KI-gesteuerten Finanzwelt zurechtzufinden.
Have an account? Log In
Sicherheitstechnologie – lohnt es sich?
Wenn Sie "Sicherheit bei Online-Zahlungen" googlen, finden Sie meist Top-10-Listen, die dem allgemeinen Sicherheitsrat der letzten 20 Jahre sehr ähnlich sehen: schwierige Passwörter, Multi-Faktor-Authentifizierung (MFA), Verschlüsselung, Virenschutz (AV), Firewalls und Ähnliches.
Diese Listen entstammen einer Philosophie der Verteidigbarkeit und Schuldvermeidung. Wer kann sich lange, komplizierte und komplett einzigartige Passwörter für jedes System merken? Technisch würde es Sie schützen, aber meistens ermöglicht es dem Sicherheitsexperten nur, im Nachhinein zu sagen: "Ich habe Sie gewarnt!" – und zwar mit hoher Wahrscheinlichkeit, dass der Rat nicht befolgt wurde.
Außerdem sind Firewalls, MFA und Virenschutz heute nicht mehr das, was sie vor 15 Jahren waren. Heute heißt es bei den Technikbegeisterten, dass eine starke Verteidigung XDR-gesteuert und WebAuthN-föderiert in der Cloud mit einer KI-basierten SIEM ist. Oder so ähnlich; das wird sich bis 2026 bestimmt wieder ändern, versprochen.
Was ist das Problem mit einer Tech-Checkliste?
Sie sind zu schnell veraltet. Heutzutage ist alles verschlüsselt, der kostenlose und standardmäßige Virenschutz ist so gut oder besser als kommerzielle Angebote, herkömmliche MFA lässt sich leicht umgehen und Zero-Trust-Identität hat den Bedarf an Firewalls weitgehend ersetzt.
Drei Sicherheitsprinzipien, die weiterhin funktionieren werden
Es gibt drei Prinzipien, die sich bewährt haben und dies auch weiterhin tun werden, um Technik zu schützen: Delegation, Prozess und Messung.
1. Delegation
Unternehmen weltweit erkennen, dass die sicherste, widerstandsfähigste und zugleich kostengünstigste IT-Strategie darin besteht, weniger IT selbst zu machen. Der Umzug auf Software-as-a-Service (SaaS)-Plattformen ist der beliebteste Weg – das eliminiert fast alle Technik. Nutzen Sie einen externen IT-Dienstleister, um Sicherheitsmaßnahmen für alles zu verwalten, was Sie nicht abgeben können.
2. Prozess
Ihre größte Stärke und Schwäche sind die Menschen. Das Erkennen, Vereinfachen und Absichern risikobehafteter Aktivitäten ist meist der einfachste und effektivste Weg, die Gesamtsicherheit zu verbessern. Das hilft auch, IT-Prioritäten klarzustellen: Der Schutz Ihres ERP ist viel wichtiger als das Grafikdesign-Programm.
3. Messung
Wie stellen Sie sicher, dass Ihre Delegierten Sie ausreichend schützen? Delegieren Sie auch das! Es gibt kostenfreie und einfache Wege, die Sicherheit von Online-Zahlungen einer Plattform zu prüfen, und alle diese Methoden sind aktuell. Dafür braucht man üblicherweise 20 Minuten Recherche – bei wichtigen Produkten auf jeden Fall empfehlenswert.
- Suchen Sie nach einer Historie von Sicherheits- und Datenschutzverletzungen beim Anbieter.
- Recherchieren Sie den Anbieter auf einer Security-Bewertungsplattform. SecurityScorecard und RiskRecon bieten eine kostenlose Stufe an.
- Überprüfen Sie, ob es ein Bug-Bounty-Programm gibt. Das ist ein gutes Zeichen. Bugcrowd, Synack und Hackerone sind gängige Plattformen.
Wenn Sie noch exaktere Ergebnisse benötigen, können viele IT-Sicherheitsberatungen eine tiefere Analyse gegen eine angemessene Gebühr durchführen. Wichtig: Messung ist keine einmalige Angelegenheit. So wie sich Unternehmen verändern, kann auch ihre Sicherheit variieren.
Zahlungen
Die Bezahlung von Lieferanten ist immer eine Verhandlungssache: Manche Methoden sind für Sie oder Ihren Lieferanten vorteilhaft. Die meisten dieser Überlegungen sind nicht sicherheitsrelevant: Die Zahlung per Scheck und das Bestehen auf NET30-Konditionen verschaffen Ihnen eine bessere Kontrolle über den Cashflow. Die Bequemlichkeit von Kreditkarten bedeutet erhebliche Kosten für Ihren Lieferanten. Diese Faktoren sind wichtig und werden ausführlich diskutiert.
Heute erkläre ich, wie sich die Sicherheitsoptionen bei Online-Zahlungen auf Ihr Betrugsrisiko auswirken. Ich bewerte die wichtigsten Online-Zahlungsmethoden nach deren Risiko für Sie, erkläre die Gründe dafür und schlage die besten Wege zur Risikominimierung vor.
Kreditkarten
Risiko: Am geringsten
Kreditkartenzahlungen sind durchweg die sicherste Zahlungsmethode. Fast alle Herausgeber übernehmen jeglichen Betrug vollständig – manchmal noch bis zu einem Jahr später – ohne Nachfragen. Noch besser: Weil diese Unternehmen diesen Anreiz haben, investieren sie auch erheblich in die Betrugserkennung für ihre Kunden. Die Qualität kann je nach Institut unterschiedlich sein, aber oft ist sie besser als alles, was Sie selbst erwerben können.
Kartendaten werden häufig gestohlen, entweder durch Manipulation eines Kassensystems (sogenannte Skimmer) oder durch das Stehlen aller Daten von einem zentralen Zahlungsabwicklungssystem. Diese Diebstähle nehmen jedes Jahr ab, da der Payment Card Industry Security Standards Council strengere Vorgaben für alle macht, die Kreditkartenzahlungen abwickeln.
Der Nachteil sind die Kosten für Ihre Lieferanten: Die meisten Kartenabwickler berechnen bei jeder Transaktion eine Gebühr von 2,7 %, wobei Großvolumenrabatte bis zu 1,5 % möglich sind. Diese Gebühr finanziert überwiegend den Betrugsschutz und die Kartenprämien.
Schutz
Geschäftskreditkarten verwenden
Stellen Sie sicher, dass geschäftliche Zahlungen mit rechtlich dem Unternehmen zugeordneten Kreditkarten ausgeführt werden – nicht mit Karten von Inhabern oder Mitarbeitern. Die Trennung von privaten und geschäftlichen Finanzen erleichtert nicht nur die Buchhaltung, sondern schützt auch die finanzielle Gesundheit von Inhabern und Angestellten, falls dem Unternehmen etwas passiert.
Bonus: Die Nutzung von Kreditkarten baut auch die Bonität des Unternehmens auf, was die verfügbaren Kreditkonditionen und Zinssätze deutlich verbessert. Während die persönliche Bonität an die Sozialversicherungsnummer gekoppelt ist, wird die Unternehmensbonität anhand der Steuernummer (EIN) bewertet. Die wichtigsten Auskunfteien in den USA sind Dun & Bradstreet, Creditsafe, Experian Business und Equifax Business.
Virtuelle Kreditkarten
Was wäre, wenn Sie per Klick beliebig viele Kreditkarten erstellen könnten? Dann hätten Sie eine unglaubliche Granularität bei der Betrugsprävention: Jeder Lieferant erhält eine eigene Karte, das Limit kann individuell auf den erwarteten Betrag festgelegt werden. Bei Beendigung einer Zusammenarbeit können Sie die Zahlungen einfach beenden und sind nicht darauf angewiesen, dass der Lieferant das Abbuchen stoppt.
Eine wachsende Zahl von Fintechs und Banken ermöglicht genau das. Über ein Webportal können Sie eine (praktisch) unbegrenzte Zahl von Karten erstellen, verwalten und löschen. Alle belasten dasselbe Konto und bieten so einen zentralen Überblick über die Ausgaben. Der führende Anbieter in diesem Bereich ist Ramp, der eine speziell entwickelte Regel-Engine für umfassende Steuerungsmöglichkeiten bereitstellt.
Die größte Quelle für Kreditkartenbetrug ist gestohlene Kartendaten. Es gibt eine ausgeklügelte Betrugskette: Manche stehlen die Daten, andere kaufen sie und stellen Kopien der Karten her, und sogenannte Geldesel nutzen diese Karten für betrügerische Zahlungen. Die meisten von uns haben das schon erlebt – es ist lästig: Die Karte muss gesperrt, eine neue zugesendet und alle betroffenen Dienste aktualisiert werden.
Mit virtuellen Karten wird das trivial. Unerwartete Zahlungen fallen sofort auf und die Änderung von Zahlungsdaten ist nur bei einem Anbieter nötig. Sie wissen genau, welcher Lieferant den Betrug ermöglicht hat: Die unberechtigten Abbuchungen erfolgen auf dessen dedizierte Karte.
Zahlungsnetzwerke
Risiko: Gering
Ein Zahlungsnetzwerk ist ein Register von Unternehmen mit geprüften Zahlungsinformationen. Anstatt Zahlungsdaten manuell auszutauschen, wählen Sie Ihren Lieferanten aus der Liste, geben den Betrag ein und die Zahlung wird automatisch abgewickelt. Oft werden solche Netzwerke von großen Banken betrieben und als Teil eines verwalteten Kreditorenservices angeboten. Es gibt auch öffentlich zugängliche Netzwerke wie Bottomline Paymode-X in den USA und EFTsure in Australien. Wenn Sie einen Kreditorenservice Ihrer Bank nutzen, stellen Sie sicher, dass eine Lieferantenüberprüfung erfolgt. Manche Banken versenden Schecks bedenkenlos an jede von Ihnen angegebene Adresse – das bietet selbstverständlich keinen Schutz vor Betrug.
Fintechs, die sich an kleine Unternehmen richten, entwickeln diese Netzwerke ebenfalls rasant weiter, und Experten aus meinem Netzwerk rechnen mit erheblichem Wachstum in diesem Bereich in den nächsten Jahren.
Die konsequente Nutzung eines Zahlungsnetzwerks verringert Betrug erheblich (dies ist auch ein wichtiger Vorteil von mobilen Zahlungs-Apps). Eine der größten Quellen für B2B-Betrug sind abgefangene Zahlungen zwischen legitimen Unternehmen, meist dadurch, dass sie dazu verleitet werden, falsche Zahlungsinformationen zu verwenden. Zahlungsnetzwerke beseitigen diese Fehlerquelle: Sie sorgen dafür, dass Zahlungsdaten korrekt sind und arbeiten daran, Betrüger von der Plattform fernzuhalten.
In der Regel sind nicht alle Ihre Anbieter in einem Netzwerk, sodass diese Methode nicht alleinstehend wirksam ist.
ACH
Risiko: Niedrig-Mittel
Automatisierte Clearing House-Transaktionen (oft ACH, auch als Direktüberweisung bezeichnet) weisen im Vergleich zu anderen kommerziellen Online-Zahlungsmethoden die niedrigste Betrugsrate auf. Der Großteil dieser Transaktionen erfolgt jedoch als automatisierte Überweisung zwischen großen Unternehmen mit unabhängiger und ausgeklügelter Betrugskontrolle. Das Risiko für diese Unternehmen ist nicht dasselbe wie für kleinere Unternehmen. Die Zahlung per ACH ist dennoch ziemlich sicher, insbesondere wenn Ihr Anbieter eine spezielle Zahlungsplattform mit einem Self-Service-Zahlungsportal nutzt.
ACH funktioniert über das Girokontensystem und wird innerhalb von 3-5 Tagen abgerechnet, abhängig von Betrugsindikatoren wie Zahlungsbetrag und bisherigen Aktivitäten. Wie beim Kreditkartensystem gibt es keinen Autorisierungsmechanismus: Wenn jemand die Kontonummer kennt, kann eine Belastung auf dieses Konto erfolgen. Während die Kreditkartenindustrie versucht, ihre Nummern geheim zu halten, gibt es dafür bei Bankkontonummern keine Hoffnung: Jeder, der einen Ihrer Schecks sieht oder Ihre ACH-Zahlungsdetails einsehen kann, hat Zugang zu dieser Information.
Darüber hinaus besteht für Unternehmen wenig Betrugsschutz. Banken sind nur verpflichtet, Beträge innerhalb von 24 Stunden nach der Transaktion zurückzuholen.
Der größte Schutz vor ACH-Betrug besteht darin, dass die Überweisung von einer angesehenen Finanzinstitution initiiert werden muss. In den USA stellen „Know Your Customer“ (KYC), „Anti-Money Laundering“ (AML) und andere Bankvorschriften der FFIEC strenge Anforderungen an Banken, Kunden und Transaktionen auf verdächtige Aktivitäten zu prüfen. Auch wenn Vorschriften Kriminalität immer hinterherhinken, haben Banken ein starkes Interesse, Kriminelle von ihren Dienstleistungen fernzuhalten.
Schutzmaßnahmen
Diese Methoden funktionieren sowohl für ACH als auch für Schecks.
Konten segmentieren & Benachrichtigungen einrichten
Die Anlage mehrerer Konten für unterschiedliche Zwecke kann hervorragenden Schutz bei geringem Aufwand bieten. Die Einrichtung eines separaten Kontos für Forderungen, Treasury und Verbindlichkeiten kann das Betrugsrisiko begrenzen. Forderungskonten sollten regelmäßig in das Treasury-Konto geleert werden und Gelder für erwartete Belastungen werden vom Treasury-Konto auf Zahlungskonten überwiesen. Richten Sie für alle Konten Benachrichtigungen für unerwartete Situationen wie niedrige Kontostände ein.
So kennen Außenstehende nur Konten mit beschränkten Mitteln, wodurch Betrugsversuche weniger schadhaft sind, selbst wenn sie erfolgreich sind. Verschiedene Banken bieten unterschiedliche Automatisierungsgrade für diese Strategie, viele offerieren sie als Paketlösung für größere Kunden, meist als Treasury Management bezeichnet.
Gültige Anbieter (nur ACH)
Einige Banken erlauben es Geschäfts-Girokonten, ACH-Belastungen auf eine autorisierte Liste von Konten einzuschränken. Damit kann die Möglichkeit betrügerischer ACH-Transaktionen ausgeschaltet werden, allerdings erfordert es eine gewisse Pflege und kann bei Problemen aufwendig in der Fehlerbehebung sein.
Vermeiden Sie ACH und Schecks bei Anbietern, die Zahlungen manuell abwickeln
Da Ihr Risiko für ACH- und Scheckbetrug direkt davon abhängt, wie viele Personen Ihre Schecks zu Gesicht bekommen, können Sie es senken, indem Sie diese nur in automatisierten, Self-Service-Zahlungsverfahren nutzen.
Suchen Sie für ACH-Zahlungen nach einem Web-Portal, in das Sie sich einloggen und Ihre Zahlungsmethode manuell eingeben. Oft erkennt man, ob ein solches Portal vom Anbieter bereitgestellt wird: Quickbooks, Stripe und Paypal sind beliebte Lösungen. Eigenentwickelte Lösungen werden weniger wahrscheinlich automatisch verarbeitet und stellen daher ein höheres Risiko dar.
Bei Schecks ist das eine Lockbox-Einrichtung, die Zahlungseingänge für viele Unternehmen automatisch verarbeitet. Sie können herausfinden, ob eine Adresse eine Lockbox-Einrichtung ist, indem Sie diese auf einer Karte nachschlagen. Ist sie Ihrer Bank oder einem bekannten Lockbox-Dienstleister zugeordnet, ist das genau, was Sie wollen.
Schreiben Sie keine eigenen Schecks
Ein erheblicher Teil von Scheck- und ACH-Betrug entsteht durch den einfachen Diebstahl von Schecks aus Ihrer ausgehenden Post.
Sie können dies vermeiden, indem Sie einen Zahlungsdienst beauftragen, Schecks in Ihrem Namen zu drucken und zu versenden. Dies ist oft auch Teil eines Zahlungsnetzwerks. Viele Banken bieten dies in unterschiedlich automatisierter Form an. Diese Schecks werden in zentralen Einrichtungen gedruckt, was Diebstahl erschwert.
Bank wechseln
Wenn Sie vermuten, dass Ihre Bank nicht in den Schutz vor Scheck- oder ACH-Betrug investiert, wechseln Sie einfach. Es gibt zwar keine unabhängigen und objektiven Rankings der Banken in diesem Bereich und Sie haben vermutlich nicht die Möglichkeit, sie zu auditieren, aber einige Grundprinzipien sollten Sie beachten:
- Größer ist oft besser. Größere Institute können sich meistens größere Ausgaben für Online-Betrugsprävention leisten.
- Kompetenz ist oft besser. Eine Betrugsgeschichte, Fehlmanagement oder einfache Desorganisation sind schlechte Zeichen.
- Neuer ist oft besser. Bankmanagements sind häufig konservativ bei Veränderungen, auch bei neuen Methoden zur Bekämpfung von Betrug für ihre Kunden.
Schecks
Risiko: Mittel
Scheckbetrug ist laut dem jährlichen Bericht der AFP die häufigste Betrugsquelle bei B2B-Zahlungen. Wie bei ACH gibt es bei Schecks ein 24-Stunden-Zeitfenster, um eine Transaktion anzufechten. Außerdem lassen sich Schecks leicht drucken, wenn die Kontonummer bekannt ist. Jede Person, die Ihre Schecks sieht, ist eine weitere Möglichkeit, einen Scheck- oder ACH-Betrug zu versuchen (und es gibt wenig Vorteile der Online-Zahlungssicherheit, wenn Sie eben nicht online bezahlen).
Die meisten Formen von Scheckbetrug können von Banken erkannt werden, aber nicht alle investieren gleichermaßen, sodass die Qualität Ihrer Bank einen großen Unterschied bei diesem Risiko machen kann.
Schutz
(siehe oben unter ACH für Techniken)
Proprietäre Zahlungssysteme
Risiko: Hoch
Zelle, Cash App, Venmo, PayPal und Überweisungen sind beliebte Werkzeuge für Kriminalität, mit kaum Schutz bei der Online-Zahlungssicherheit. Transaktionen sind sofort und unwiderruflich. Diese Plattformen haben keine regulatorische Kontrolle oder Verbraucherschutz – der Anreiz, Betrug zu erkennen und zu verhindern, ist also gering.
Diese Plattformen sollten am besten von Verbraucherinnen und Verbrauchern für kleine Beträge genutzt werden – zum Beispiel, um sich nach dem Abendessen zu revanchieren oder dem Jugendlichen, der den Rasen gemäht hat, zu bezahlen.
Schutz
Vorsicht walten lassen
Wenn Sie einen Anbieter über eine dieser Plattformen bezahlen müssen, ist besondere Vorsicht geboten. Überprüfen Sie die Zahlungsdetails doppelt und setzen Sie diese Wege nur für Transaktionen ein, deren Verlust Sie sich leisten können. Sichern Sie die Plattform so gut wie möglich ab: Wenn sich jemand Zugriff verschafft und Geld an sich selbst schickt, kann der Schaden groß sein.
Mit Kontensegmentierung kombinieren
Wenn Sie diese Zahlungsplattformen über dedizierte, limitierte Konten finanzieren, lässt sich Ihr Risiko einfach und effektiv begrenzen.
Debitkarten
Risiko: Schlechte Idee
Debitkarten haben sämtliche Nachteile von Kreditkarten, die Nachteile von Schecks – aber keinen der Vorteile. Da eine Debitkarte im Kreditkartensystem genutzt wird, werden Kartennummern häufig gestohlen und für Betrug missbraucht. Für Debitkarten gibt es allerdings keinen Schutz gegen Betrug: Wie bei Schecks muss ein betrügerischer Vorgang innerhalb von 24 Stunden angefochten werden.
Schlimmer noch: Die von Banken entwickelten Tools und Erfahrungen zur Bekämpfung von Scheckbetrug wirken bei Kartenzahlungen nicht, und Banken, die Debitkarten ausgeben, investieren selten in die für Kreditkarten typischen Betrugspräventionsmaßnahmen.
Schutz
Abschaffen
Debitkarten sind gefährlich, und es gibt keinen Anwendungsfall, bei dem eine Kreditkarte nicht die bessere Wahl wäre. Die zusätzlichen Prämien lohnen sich nicht.
Kryptowährungen
Risiko: Verrückt
Dies ist das Gegenteil von Online-Zahlungssicherheit.
Meiner Meinung nach sind die einzigen Unternehmen, die unbedingt in Kryptowährung bezahlt werden müssen, kriminelle Organisationen. Kryptowährungen bringen alle Nachteile proprietärer Zahlungsplattformen mit sich (sofortige Ausführung, keine Betrugsprävention, keine regulatorischen Anreize) und sind zusätzlich anfällig für technische Angriffe, Marktmanipulation und eine betrugsanfällige Kultur innerhalb ihrer Institutionen. Kryptowährungen erleichtern Geldwäsche und Diebstahl.
Schutz
Nicht tun
Es sei denn, Sie sind ein Teil eines Verbrecherrings.
Bleiben Sie klug, bleiben Sie geschützt
Obwohl Zahlungsbetrug im Internet die größte Cyber-Bedrohung für die meisten Unternehmen darstellt, lässt sich diese Bedrohung schnell, einfach und effektiv bekämpfen. Durch kluges Outsourcing von Technik und die Nutzung sicherer Online-Zahlungsmethoden lässt sich vieles von diesem Risiko eliminieren.
Auch die meisten verbleibenden Risiken im Kreditorenprozess lassen sich leicht vermeiden. Abonnieren Sie, um benachrichtigt zu werden, wenn mein nächster Beitrag erscheint, in dem ich erläutere, wie eine AP-Strategie und optimierte Prozesse ebenfalls Hacker und Kriminelle abwehren können.
Gedanken, Meinungen oder Fragen? Schreiben Sie mir eine Nachricht, diskutieren Sie unten oder beteiligen Sie sich in den sozialen Medien.
