14 Expertentipps zur B2B-Zahlungssicherheit, die Sie diesen Monat umsetzen können
Ohne Sicherheit bei Online-Zahlungen könnten Sie unbewusst zur Finanzierung eines Atomwaffenprogramms beitragen.
Halten Sie das für verrückt? Denken Sie noch einmal nach. Wenn Sie jemals Opfer eines Cyberbetrugs geworden sind, besteht eine gute Chance, dass das erbeutete Geld in Nordkorea gelandet ist.
Während Nachrichtenagenturen brisante Geschichten über Super-Hacker und Cyber-Spionage verbreiten, sind die alltäglichen Risiken für wachsende Unternehmen viel banaler: Cyberkriminelle wollen Geld erbeuten.
Sie möchten mehr vom The CFO Club?
Erstellen Sie ein kostenloses Konto, um diesen Beitrag zu Ende zu lesen und einer Community moderner CFOs und Finanzverantwortlicher beizutreten, die auf erprobte Methoden, Tools und Erkenntnisse zugreifen, um sich in der KI-gesteuerten Finanzwelt zurechtzufinden.
Have an account? Log In
Manchmal stehlen sie Geheimnisse, die sich zu Geld machen lassen: geistiges Eigentum, Bonitätsauskünfte oder Kreditkartendaten.
Manchmal erpressen sie Unternehmen.
Die meisten Cyberverbrechen beginnen damit, Menschen hinters Licht zu führen und ihnen das Geld abzuknöpfen – deshalb brauchen Sie heute mehr denn je eine solide Sicherheitsstrategie für Online-Zahlungen.
Der AFP, das FBI und Verizon liefern jedes Jahr aufschlussreiche, langjährige Zusammenfassungen, die die wachsenden Gefahren für Unternehmen dokumentieren. Alle zeigen das gleiche Bild: Die häufigsten Straftaten sind Betrug und Diebstahl, viele davon verursachen erhebliche Schäden bei den Betroffenen und das Risiko wächst mit jedem Jahr.
Der moderne CFO übernimmt immer mehr Verantwortung: Unternehmensziele, strategische Planung und sogar das Risikomanagement für den gesamten Betrieb. Wie bringen Sie all das unter einen Hut und sichern Ihr Unternehmen mit unverändertem Personal und Budget ab?
Ich erläutere Ihnen die schnellsten, einfachsten und effektivsten Wege, um das größte Cyberrisiko im Geschäftsalltag zu adressieren: das Tätigen von Online-Zahlungen. Ich beginne mit technischen Strategien und gehe dann auf Zahlungsprozesse ein.
Sicherheitstechnologien – lohnen sie sich?
Wenn Sie nach „Sicherheit bei Online-Zahlungen“ googeln, finden Sie meistens Top-10-Listen, die fast genau die gleichen allgemeinen Sicherheitstipps wie in den letzten 20 Jahren enthalten: schwierige Passwörter, Multi-Faktor-Authentifizierung (MFA), Verschlüsselung, Virenschutz (AV), Firewalls und Ähnliches.
Diese Listen folgen einer Philosophie der Verteidigung und der Schuldvermeidung. Wer kann sich schon für jedes einzelne System lange, komplizierte und komplett einzigartige Passwörter merken? Technisch gesehen würde es Sie zwar schützen, aber in erster Linie ermöglicht es dem Sicherheitsberater, mit hoher Wahrscheinlichkeit sagen zu können: „Ich habe es Ihnen doch gesagt!“, wenn der Rat nicht befolgt wurde.
Zudem sind Firewalls, Multifaktor-Authentifizierung und Virenschutz heute nicht mehr das, was sie vor 15 Jahren waren. Die Tech-Szene spricht heute von XDR-getriebener und WebAuthN-föderierter Cloud mit einer KI-SIEM. Oder so ähnlich – bis 2026 wird es garantiert neu sein!
Was stimmt nicht mit einer Technik-Checkliste?
Sie veralten zu schnell. Heutzutage ist nahezu alles verschlüsselt, der kostenlose und voreingestellte Virenschutz ist genauso gut oder besser als kommerzielle Angebote, herkömmliche MFA lässt sich leicht umgehen und Identität mit Zero Trust ersetzt weitgehend die Notwendigkeit von Firewalls.
Drei Sicherheitsprinzipien, die Bestand haben
Es gibt drei Prinzipien, die beim Schutz der Technik dauerhaft wirksam sind: Delegation, Prozesse und Messbarkeit.
1. Delegation
Weltweit erkennen Unternehmen, dass die sicherste, widerstandsfähigste und zugleich kostengünstigste IT-Strategie darin besteht, möglichst wenig IT selbst zu betreiben. Der Wechsel zu Software-as-a-Service (SaaS) Plattformen ist dabei die beliebteste Methode – das eliminiert fast alle technischen Aufgaben. Nutzen Sie einen externen IT-Dienstleister, der die Sicherheitsmaßnahmen für alles übernimmt, was Sie nicht abschaffen können.
2. Prozess
Ihre größte Stärke und Schwäche sind die Menschen. Risikoreiche Aktivitäten zu identifizieren, zu straffen und abzusichern, ist meist der einfachste und effektivste Weg, die Gesamtsicherheit zu erhöhen. Das hilft auch den IT-Teams, Prioritäten richtig zu setzen: Der Schutz Ihres ERP ist wesentlich wichtiger als die Grafikdesign-App.
3. Messbarkeit
Wie stellen Sie sicher, dass Ihre Beauftragten Sie angemessen schützen? Delegieren Sie das ebenfalls! Es gibt kostenlose und unkomplizierte Methoden, die Sicherheit der Online-Zahlungsprozesse einer Plattform zu überprüfen, die zudem immer aktuell bleiben. Meist braucht es nur 20 Minuten Recherche – für wichtige Produkte lohnt sich das auf jeden Fall.
- Suchen Sie nach einer Historie von Sicherheits- und Datenschutzverletzungen beim Anbieter.
- Recherchieren Sie den Anbieter auf einer Sicherheitsbewertungsplattform. SecurityScorecard und RiskRecon bieten eine kostenlose Basisversion an.
- Prüfen Sie, ob ein Bug-Bounty-Programm existiert; das ist ein gutes Zeichen. Bugcrowd, Synack und Hackerone sind gängige Plattformen.
Wenn Sie eine höhere Genauigkeit benötigen, können viele technische Sicherheitsberatungen für eine angemessene Gebühr eine tiefere Bewertung durchführen. Beachten Sie: Messungen sind keine einmalige Angelegenheit. Da sich Unternehmen verändern, kann sich auch deren Sicherheit ändern.
Zahlungen
Das Bezahlen von Dienstleistern ist eine Verhandlungssache: Manche Methoden begünstigen Sie, andere den Anbieter. Die meisten dieser Überlegungen betreffen nicht die Sicherheit: Die Zahlung per Scheck und das Bestehen auf NET30-Bedingungen verschafft Ihnen mehr Kontrolle über den Cashflow. Die Bequemlichkeit von Kreditkarten verursacht beim Anbieter erhebliche Kosten. Dies sind wichtige Faktoren und werden ausführlich diskutiert.
Heute erkläre ich, wie sich diese Online-Zahlungssicherheitsoptionen auf Ihr Betrugsrisiko auswirken. Ich bewerte die wichtigsten Online-Zahlungsmethoden nach dem Risiko für Sie, erkläre warum und schlage die besten Möglichkeiten zur Risikoreduzierung vor.
Kreditkarten
Risiko: Am niedrigsten
Kreditkartenzahlungen sind durchweg die sicherste Zahlungsmethode. Fast alle Aussteller übernehmen die Kosten für Betrug vollständig – zum Teil bis zu einem Jahr später; ohne Nachfragen. Noch besser: Da diese Unternehmen dieses Interesse haben, investieren sie erheblich in die Betrugserkennung im Sinne ihrer Kunden. Die Qualität kann je nach Institut schwanken, ist aber oft besser als alles, was Sie kaufen können.
Kartendaten werden häufig gestohlen, entweder durch Manipulation eines Point-of-Sale-Systems (sogenannte Skimmer) oder durch kompletten Diebstahl aus zentralen Zahlungsabwicklungssystemen. Dieser Diebstahl nimmt jährlich ab, da der Payment Card Industry Security Standards Council immer strengere Anforderungen an alle Kreditkartenabwickler stellt.
Der Nachteil sind die Kosten für Ihre Dienstleister: Die meisten Kartenabwickler verlangen eine Gebühr von 2,7% pro Transaktion, wobei Großabnehmer Rabatte bis zu 1,5% erhalten können. Diese Gebühr dient hauptsächlich der Betrugsabsicherung und der Kartenprämien.
Schutz
Geschäftskarten verwenden
Stellen Sie sicher, dass Geschäftszahlungen mit Kreditkarten erfolgen, die rechtlich an das Unternehmen gebunden sind – und nicht an Eigentümer oder Mitarbeitende. Die Trennung von privaten und geschäftlichen Finanzen erleichtert nicht nur die Buchhaltung, sondern schützt auch die finanzielle Situation von Eigentümern und Mitarbeitenden, falls dem Unternehmen etwas zustößt.
Bonus: Die Nutzung von Kreditkarten baut zudem die Bonität des Unternehmens auf, was die verfügbaren Konditionen und Zinssätze für Kredite deutlich verbessert. Während die persönliche Bonität an die Sozialversicherungsnummer gekoppelt ist, erfolgt die Bonitätsbewertung bei Unternehmen über die Steuer-ID (EIN). Die führenden US-Wirtschaftsauskunfteien sind Dun & Bradstreet, Creditsafe, Experian Business und Equifax Business.
Virtuelle Karten
Was wäre, wenn Sie per Mausklick beliebig viele Kreditkarten erzeugen könnten? Das würde Ihnen enorme Möglichkeiten zur Betrugsprävention geben: Jeder Anbieter könnte eine eigene Karte erhalten, und Sie könnten das Limit individuell daran anpassen, was erwartet wird. Wenn Sie Dienste abbestellen, können Sie Zahlungen einfach einstellen, ohne davon abhängig zu sein, dass der Anbieter das Einziehen stoppt.
Eine wachsende Zahl von Fintechs und Banken erlaubt genau das. Über ein Webportal können Sie eine (fast) unbegrenzte Zahl an Karten anlegen, verwalten und löschen. Alle belasten ein gemeinsames Konto, sodass Sie den Gesamtüberblick behalten. Der führende Anbieter in diesem Bereich ist Ramp, der eine eigene Regel-Engine entwickelt hat, um umfangreiche Kontrolle zu ermöglichen.
Die Hauptursache für Kreditkartenbetrug ist der Diebstahl von Kartendaten. Es gibt ein großes kriminelles Netzwerk: Manche stehlen die Daten, andere kaufen sie und fertigen Dubletten an, und "Geldesel" setzen diese für betrügerische Transaktionen ein. Die meisten von uns haben das bereits erlebt, und es ist lästig: Die Karte muss gesperrt, eine neue geschickt und jedes damit verbundene Bezahlsystem aktualisiert werden.
Mit virtuellen Karten wird dies trivial. Ungewöhnliche Zahlungen sind sofort erkennbar, und Angaben müssen nur beim jeweiligen Dienstleister geändert werden. Sie wissen dabei genau, bei welchem Anbieter der Betrug auftrat: Die unbefugte Abbuchung erfolgt auf die diesem eigens zugewiesene Karte.
Zahlungsnetzwerke
Risiko: Niedrig
Ein Zahlungsnetzwerk ist ein Verzeichnis von Unternehmen mit überprüften Zahlungsinformationen. Anstatt Zahlungsdaten manuell auszutauschen, wählen Sie Ihren Lieferanten aus der Liste aus, legen den Betrag fest, und die Zahlung wird automatisch überwiesen. Solche Netzwerke werden häufig von großen Banken gepflegt und als Teil eines verwalteten Kreditorenbuchhaltungsdienstes integriert. Es gibt auch öffentlich zugängliche Netzwerke wie Bottomline Paymode-X in den USA und EFTsure in Australien. Wenn Sie einen von einer Bank bereitgestellten Kreditorenbuchhaltungsdienst nutzen, stellen Sie sicher, dass dieser eine Lieferantenüberprüfung bietet. Manche Banken senden Schecks blindlings an jede von Ihnen angegebene Adresse, und es versteht sich von selbst, dass sie somit keinen Schutz vor Betrug bieten.
Auch Fintechs, die sich an kleine Unternehmen richten, entwickeln diese Netzwerke schnell weiter, und Experten in meinem Netzwerk erwarten in den nächsten Jahren ein erhebliches Wachstum in diesem Bereich.
Der konsequente Einsatz eines Zahlungsnetzwerks verringert Betrugsfälle erheblich (dies ist auch ein wichtiger Vorteil von mobilen Zahlungs-Apps). Eine der größten Quellen für B2B-Betrug sind abgefangene Zahlungen zwischen legitimen Unternehmen, meist indem sie dazu verleitet werden, falsche Zahlungsinformationen zu verwenden. Zahlungsnetzwerke beseitigen diese Fehlerquelle: Sie stellen sicher, dass Zahlungsdaten korrekt sind, und arbeiten daran, Betrüger davon abzuhalten, der Plattform beizutreten.
Selten werden alle Ihre Lieferanten in einem Netzwerk sein, daher kann diese Technik nicht alleine stehen.
ACH
Risiko: Niedrig-Mittel
Automated Clearing House Transaktionen (häufig ACH, auch als Direktüberweisung bezeichnet) weisen im Vergleich zu anderen kommerziellen Online-Zahlungsmethoden die niedrigste Betrugsrate auf. Der Großteil dieser Transaktionen sind jedoch automatisierte Überweisungen zwischen großen Unternehmen mit eigenen und ausgefeilten Betrugsabwehrmechanismen. Das Risiko für sie ist nicht das gleiche Risiko wie für ein kleineres Unternehmen. Die Zahlung per ACH ist trotzdem vergleichsweise sicher, insbesondere wenn Ihr Lieferant eine spezialisierte Zahlungsplattform mit einem Self-Service-Zahlungsportal verwendet.
ACH funktioniert über das Schecksystem und wird innerhalb von 3–5 Tagen abgewickelt, abhängig von Betrugsindikatoren wie Zahlungshöhe und bisheriger Aktivität. Wie das Kreditkartensystem hat es keinen Autorisierungsmechanismus: Wer eine Kontonummer kennt, kann eine Belastung auf diesem Konto veranlassen. Während die Kreditkartenbranche versucht, ihre Nummern geheim zu halten, ist das für Bankkontonummern hoffnungslos: Sie ist jedem zugänglich, der einen Ihrer Schecks sieht oder Ihre ACH-Zahlungsdetails betrachtet.
Außerdem gibt es für Unternehmen kaum Betrugsschutz. Banken sind nur verpflichtet, Geld innerhalb von 24 Stunden nach der Transaktion zurückzuholen.
Der größte Schutz vor ACH-Betrug ist, dass die Zahlung von einem seriösen Finanzinstitut initiiert werden muss. In den USA gelten Know Your Customer (KYC), Anti-Money Laundering (AML) und andere Bankenregularien der FFIEC, die strenge Anforderungen an Banken stellen, Kunden und Transaktionen auf verdächtige Aktivitäten zu überprüfen. Auch wenn Regularien Verbrechen nie ganz verhindern, haben Banken ein großes Interesse daran, Kriminelle von der Nutzung ihrer Dienste auszuschließen.
Schutz
Diese Methoden funktionieren sowohl für ACH als auch für Schecks.
Konten segmentieren & Benachrichtigungen
Mehrere Konten für unterschiedliche Zwecke zu führen, kann zu einem geringen Preis hervorragenden Schutz bieten. Ein spezielles Konto für Forderungen, ein Treasury-Konto sowie ein Konto für Verbindlichkeiten einrichten, um Ihre Betrugsexponierung zu begrenzen. Forderungskonten sollten regelmäßig auf das Treasury-Konto übertragen werden, und Mittel für erwartete Belastungen werden vom Treasury-Konto auf das Verbindlichkeitskonto überwiesen. Richten Sie für alle Konten Benachrichtigungen für unerwartete Situationen wie niedrige Salden ein.
So kennen Außenstehende nur Konten mit begrenzten Mitteln, sodass Betrugsversuche, falls sie doch erfolgreich sind, weniger Schaden anrichten können. Verschiedene Banken bieten unterschiedlich umfangreiche Automatisierungsmöglichkeiten für diese Strategie an, und viele präsentieren sie als Paketlösung für größere Kunden, in der Regel Treasury Management genannt.
Autorisierte Zahlungspartner (nur ACH)
Einige Banken ermöglichen es Geschäftskonten, ACH-Lastschriften ausschließlich auf eine autorisierte Liste von Konten zu beschränken. Das kann die Möglichkeit von betrügerischen ACH-Transaktionen ausschließen, benötigt aber etwas Pflege und kann bei Problemen lästig sein.
Vermeiden Sie ACH und Schecks für Lieferanten, die Zahlungen manuell bearbeiten
Da Ihr Risiko für ACH- und Scheckbetrug eng mit der Anzahl der Personen zusammenhängt, die Ihre Schecks sehen, können Sie es verringern, indem Sie sie nur bei automatisierten, selbstbedienbaren Zahlungsabwicklern verwenden.
Für ACH suchen Sie nach einem Webportal, auf dem Sie sich anmelden und Ihre Zahlungsmethode selbst eingeben. Häufig erkennen Sie daran, ob eine solche Plattform vom Lieferanten bereitgestellt wird: Quickbooks, Stripe und Paypal sind beliebte Optionen. Eigenentwickelte Lösungen werden seltener automatisch verarbeitet und stellen daher ein höheres Risiko dar.
Bei Schecks ist dies eine sogenannte Lockbox-Einrichtung, die Zahlungseingänge für viele Unternehmen automatisch verarbeitet. Sie können herausfinden, ob eine Adresse eine Lockbox-Einrichtung ist, indem Sie sie auf einer Karte nachsehen. Gehört sie zu Ihrer Bank oder einem bekannten Lockbox-Anbieter, ist das die richtige Lösung.
Schreiben Sie keine eigenen Schecks aus
Ein erheblicher Anteil an Scheck- und ACH-Betrugsfällen entsteht durch den einfachen Diebstahl von Schecks aus Ihrer ausgehenden Post.
Sie können dies vermeiden, indem Sie einen Zahlungsdienst nutzen, der Schecks in Ihrem Namen druckt und versendet. Oft ist dies mit einem Zahlungsnetzwerk kombiniert. Viele Banken bieten dies mit unterschiedlichem Automatisierungsgrad an. Solche Schecks werden in einer zentralen Einrichtung gedruckt, und Diebstahl ist schwierig.
Bank wechseln
Wenn Sie vermuten, dass Ihre Bank nicht in den Schutz vor Scheck- oder ACH-Betrug investiert hat, wechseln Sie einfach. Zwar gibt es in diesem Bereich keine unabhängigen und objektiven Bankrankings und Sie haben wahrscheinlich nicht die Möglichkeit, diese zu überprüfen, aber einige Grundsätze gelten:
- Größer ist oft besser. Größere Institute können in der Regel mehr in Online-Betrugsprävention investieren.
- Kompetenz ist oft besser. Eine Betrugsgeschichte, Missmanagement oder einfache Desorganisation sind kein gutes Zeichen.
- Neuer ist oft besser. Bankmanagement ist oft sehr konservativ gegenüber Veränderungen, einschließlich neuer Methoden zum Schutz vor Betrug für deren Kunden.
Schecks
Risiko: Mittel
Laut dem jährlichen Bericht der AFP ist Scheckbetrug die häufigste Betrugsquelle bei B2B-Zahlungen. Wie bei ACH gibt es bei Schecks ein 24-Stunden-Fenster, um eine Transaktion anzufechten. Außerdem lassen sich Schecks leicht drucken, wenn die Kontonummer bekannt ist. Jede Person, die Ihre Schecks sieht, ist eine weitere Gelegenheit für Versuche von Scheck- oder ACH-Betrug (außerdem gibt es kaum Vorteile der Online-Zahlungssicherheit, wenn Sie nicht, Sie wissen schon, online bezahlen).
Das meiste Scheckbetrugspotenzial können Banken erkennen, jedoch investieren nicht alle gleich stark – die Qualität Ihrer Bank macht bei diesem Risiko daher einen großen Unterschied.
Schutz
(siehe Techniken oben unter ACH)
Proprietäre Zahlungssysteme
Risiko: Hoch
Zelle, Cash App, Venmo, PayPal und Überweisungen sind bevorzugte Mittel für Kriminalität, mit kaum vorhandener Online-Zahlungssicherheit. Transaktionen sind sofort und unwiderruflich. Diese Plattformen unterliegen keiner Regulierung oder Verbraucherschutz, daher haben sie wenig Anreiz, Betrug zu erkennen und zu verhindern.
Diese Plattformen eignen sich am besten für den privaten Gebrauch und für kleine Beträge – etwa, jemanden für das Abendessen zu entschädigen oder dem Jugendlichen, der Ihren Rasen gemäht hat, zu bezahlen.
Schutz
Vorsicht walten lassen
Wenn ein Anbieter über eine dieser Plattformen bezahlt werden muss, seien Sie besonders vorsichtig. Überprüfen Sie die Zahlungsdaten doppelt und nutzen Sie diese Systeme nur für Transaktionen, deren Verlust Sie verschmerzen könnten. Sichern Sie die Plattform, so gut es geht: Wenn jemand unerlaubt auf das Konto zugreift und sich selbst Geld überweist, kann dies schlimme Folgen haben.
Mit Kontensegmentierung kombinieren
Die Finanzierung dieser Zahlungsplattformen mit dedizierten, limitierten Konten ist ein einfacher und effektiver Weg, Ihr Risiko zu beschränken.
Debitkarten
Risiko: Schlechte Idee
Debitkarten vereinen alle Nachteile von Kreditkarten und Schecks, profitieren aber von keinem der Vorteile. Da Debitkarten im Ökosystem der Kreditkarten verwendet werden, werden Kartennummern häufig gestohlen und betrügerisch eingesetzt. Debitkartentransaktionen bieten jedoch keinen Betrugsschutz: Wie bei Schecks müssen Sie betrügerische Transaktionen innerhalb von 24 Stunden anfechten.
Schlimmer noch: Die Instrumente und Reifegrade, die Banken zur Bekämpfung von Scheckbetrug entwickelt haben, wirken nicht bei Kartentransaktionen, und Banken, die Debitkarten anbieten, investieren selten in die Betrugserkennung, die bei Kreditkartenunternehmen üblich ist.
Schutz
Kündigen Sie sie
Debitkarten sind gefährlich und es gibt keinen Verwendungszweck, den eine Kreditkarte nicht besser erfüllen könnte. Die zusätzlichen Belohnungen sind es nicht wert.
Kryptowährung
Risiko: Wahnsinn
Dies ist das genaue Gegenteil von Online-Zahlungssicherheit.
Meiner Meinung nach sind die einzigen Unternehmen, die unbedingt in Kryptowährung bezahlt werden müssen, kriminelle Organisationen. Kryptowährungen haben alle Nachteile proprietärer Zahlungsplattformen (sofortig, kein Betrugsschutz, keine regulatorischen Anreize) und sind zusätzlich anfälliger für technische Angriffe, Marktmanipulation und eine Kultur der Betrugsfälle innerhalb ihrer Institutionen. Sie begünstigen Geldwäsche und Diebstahl.
Schutz
Lassen Sie es sein
Es sei denn, Sie sind eine kriminelle Organisation.
Bleiben Sie klug, bleiben Sie geschützt
Während Online-Zahlungsbetrug die größte Cyber-Bedrohung für die meisten Unternehmen darstellt, lässt sich dieser schnell, einfach und effektiv bekämpfen. Mitarbeiter, die Technik sinnvoll auslagern, und die Nutzung sichererer Online-Zahlungsmethoden eliminieren einen Großteil des Risikos.
Auch die meisten verbleibenden Risiken im Bereich Kreditorenbuchhaltung lassen sich leicht vermeiden. Abonnieren Sie, um benachrichtigt zu werden, wenn mein nächster Beitrag erscheint, in dem ich erläutere, wie Strategie und Prozess der Kreditorenbuchhaltung ebenfalls Hacker und Kriminelle abwehren können.
Gedanken, Meinungen oder Fragen? Schreiben Sie mir eine Nachricht, beteiligen Sie sich unten an der Diskussion oder nehmen Sie über soziale Medien teil.
