Zahlungsbetrug: 3 Strategien & 10 Taktiken zur Vermeidung von Betrugsfällen
Neben Ransomware ist das größte Cyberrisiko für Unternehmen unter 500 Millionen Betrüger – mit einem Großteil dieser Gefahr im Bereich Kreditorenbuchhaltung (Accounts Payable, AP) durch Zahlungsbetrug.
Aber ich habe gute Nachrichten. Die heutigen Methoden zur Betrugsprävention, die am effektivsten gegen externe Banden und gerissene Insider wirken, sind im Wesentlichen dieselben. Ich werde die besten Wege dazu aufzeigen – zunächst mit etwas notwendigem Hintergrund, bevor ich auf die Strategien und Taktiken eingehe, die Ihr Unternehmensvermögen schützen.
Eine kurze Geschichte der finanziellen Kontrollmechanismen
Seit Beginn des Handels haben Menschen einander betrogen. Die Verbreitung der doppelten Buchführung, der forensischen Buchhaltung und von Handelsregulierungen erzählen alle eine alte menschliche Geschichte: Es wird immer Menschen geben, die alles stehlen, was nicht festgeschraubt ist.
Sie möchten mehr vom The CFO Club?
Erstellen Sie ein kostenloses Konto, um diesen Beitrag zu Ende zu lesen und einer Community moderner CFOs und Finanzverantwortlicher beizutreten, die auf erprobte Methoden, Tools und Erkenntnisse zugreifen, um sich in der KI-gesteuerten Finanzwelt zurechtzufinden.
Have an account? Log In
Im letzten Jahrhundert haben sich Buchführungssysteme – ermöglicht durch Technologie, Globalisierung und eine komplexere Gesetzeslage – sprunghaft weiterentwickelt. Mit steigender Komplexität wuchsen auch die Möglichkeiten für unehrliche Mitarbeitende, Geld zu entwenden. Die Buchhaltungsbranche und ihre Aufsichtsbehörden haben darauf reagiert, indem sie interne Kontrollsysteme entwickelten, die seit den 1960ern massiv ausgebaut wurden und heute ein zentraler Bestandteil eines gut geführten Unternehmens sind.
In den letzten 15 Jahren sind externe Bedrohungen stark angestiegen. Die wachsende Raffinesse von Kriminellen, die stetig zunehmende Bedeutung von Unternehmens-IT und der Übergang zu schnellen elektronischen Zahlungen haben weltweit zu einem Anstieg von Betrugsfällen, Erpressungen und Diebstählen bei Unternehmen geführt.
Die Gefahr lauert im eigenen Haus
Der effektivste Weg, diese neuen externen Bedrohungen zu verhindern, ist die verstärkte Überwachung Ihrer Mitarbeitenden – denn glauben Sie mir, die größte Bedrohung kommt tatsächlich „aus dem eigenen Haus“.
„Wollen Sie damit sagen, ich kann meinem Team nicht trauen?“
Nein – zumindest nicht immer und nicht mit Absicht.
Bisher kam das Risiko von Zahlungsbetrug meist aus einer Kombination von Gelegenheit, Bedürfnis und Zugriffsmöglichkeit. Hat ein Mitarbeiter Zugriff auf Unternehmensgelder, kann die Versuchung groß sein – vor allem, wenn dadurch ein gravierendes Problem gelöst werden kann. Dann betrügen sie das Unternehmen und wenn sie damit durchkommen, wird es oft zur schlechten Gewohnheit.
Das zunehmende Auftreten externer Betrugsmethoden bringt einen weiteren Faktor ins Spiel: die Anfälligkeit Ihrer gutmeinenden Belegschaft, getäuscht zu werden. „Hacking“ ist keine technische Magie, mit der Geld aus dem Nichts verschwindet; vielmehr verschafft es Betrügern Zugang, indem es Menschen oder Systeme täuscht.
Obwohl Sie Mitarbeitende auf potenzielle Angriffe sensibilisieren können, bleibt die Ausweitung der finanziellen Kontrolle über ihre Arbeit und genutzte Systeme ein entscheidender Ansatz, um Betrug aus jeder Quelle wirksam vorzubeugen.
Allgemeine Strategien
Mit dem Wandel der Betrugsmethoden haben sich traditionelle und interne Kontrollen zu drei Hauptstrategien im Kampf gegen Zahlungsbetrug verdichtet.
Wie bei jeder Investition beginnen Sie immer mit solider Risikosteuerung: Welche Bedrohungen sind für Ihr Unternehmen am wahrscheinlichsten und schädlichsten?
1. Einzelne Schwachstellen reduzieren
Dies ist die ingenieurtechnische Variante des altbekannten Prinzip der Funktionstrennung (Segregation of Duties, SoD): Es überträgt das Konzept von Mitarbeitenden auch auf Systeme und Werkzeuge. Nehmen Sie den klassischen SoD-Fall: Wenn eine einzelne Person sowohl Gelder auszahlen als auch Buchungssätze im Hauptbuch ändern kann, ist das riskant – hier liegt eine potenzielle Schwachstelle für Zahlungsbetrug. Denn es reicht, wenn eine Sache (diese Person und ihre Moral) versagt, und schon kann es zum Betrug kommen.
Bei modernen Bedrohungen gilt: Alles, was diese Person nachahmt, ist ebenfalls eine Schwachstelle – sei es ihr Passwort, Laptop oder sogar ein kompromittiertes E-Mail-Konto.
Reduzieren Sie solche Einzelpunkte, indem Sie Rechte und Aufgaben auf ein Team verteilen und mehrere Schritte einführen.
Diese Disziplin geht in die Tiefe. Weiter unten im Artikel zeige ich Beispiele für typische Schwachstellen und wie Sie sie adressieren können.
2. Risikoexposition verringern
Es gibt zwei Hauptfaktoren, um Ihre Exposition gegenüber Zahlungsbetrug zu minimieren: die Quellen und das potenzielle Ausmaß der Auswirkungen.
Die Reduzierung der Gefahrenquellen senkt die Wahrscheinlichkeit, dass ein Betrugsfall überhaupt eintritt; Impact-Strategien verringern den möglichen Schaden, falls es doch passiert.
Betrachten wir zwei klassische Beispiele aus der Betrugsprävention: Genehmigungsgrenzen verringern den potenziellen Schaden durch betrügerische Ausgaben (Auswirkungen), und das Prinzip der minimalen Berechtigung verringert die Wahrscheinlichkeit eines Betrugs, indem die Anzahl der Personen eingeschränkt wird, die ihn initiieren könnten (Quellen).
Die Cyberbranche verwendet ein verwandtes Konzept namens Angriffsfläche, das üblicherweise zur Beschreibung von Systemen dient. Es ist eine Kombination daraus, wie verwundbar ein System ist und wie viele Dinge sich mit ihm verbinden – und es somit angreifen – können. Cyber-Teams haben in der Regel das beste Verständnis dafür, wie Systeme üblicherweise attackiert werden; ihre Herausforderung besteht meistens darin, dieses Konzept mit tatsächlichen finanziellen Verlusten zu verknüpfen. In diesem Bereich hat der Fortschritt im letzten Jahrzehnt Fahrt aufgenommen.
Meiner Erfahrung nach ist die Umsetzung dieser Strategie für die meisten Unternehmen oft die einfachste Möglichkeit, ihre Sicherheit zu verbessern. Die meisten Betrugsmaschen bestehen aus mindestens fünf Schritten und Betrüger müssen in jedem Schritt erfolgreich sein, um ihr Ziel zu erreichen; um sie zu stoppen, genügt es, sie in nur einem Schritt zu blockieren. Für jeden Schritt eines möglichen Betrugsszenarios sollte man brainstormen, wie sich Quellen und Auswirkungen verringern lassen. Meist gibt es bei jedem Prozessschritt mehrere Gelegenheiten dazu – oft sind diese sogar kostenlos oder nahezu kostenlos.
Der Erfolg dieser Strategie erfordert Genauigkeit (bei der Erfassung und Dokumentation von Prozessen) sowie Kreativität (bei der Entwicklung von Lösungen). Die Übung eignet sich sehr gut als moderiertes Teambuilding und führt oft auch zu Effizienzsteigerungen.
3. Erstellen Sie umsetzbare Warnmeldungen
Wenn Warnhinweise und Indikatoren in Prozesse und Systeme integriert werden, können Betrugsfälle gestoppt werden, bevor es zu spät ist. Im Grunde ist das ein alter Hut: Doppelte Buchführung, Dreifachabgleich und die meisten GAAP setzen auf unabhängige Aufzeichnungsmechanismen, um Probleme offenzulegen.
Dieser Ansatz hat in vielen anderen Branchen im letzten Jahrhundert bahnbrechende Veränderungen ausgelöst – von Toyotas Fertigungsrevolution bis zum modernen Produktmanagement – und Technologieunternehmen waren in den letzten 15 Jahren Vorreiter, die diesen Ansatz empfohlen haben. Nach meiner Erfahrung und bestätigt durch führende Finanzexperten beginnt dieses Umdenken gerade erst, den Mainstream zu erreichen. In den vergangenen fünf Jahren haben viele kleinere Unternehmen die Steuerung mittels Kennzahlen übernommen und diese Transformation meist dem CFO anvertraut. Herzlichen Glückwunsch.
Doch Vorsicht: Metriken, Dashboards und Warnmeldungen haben auch Schattenseiten. In der heutigen Geschäftswelt sind Daten im Überfluss verfügbar. KPIs, SLAs und Statusmeldungen sind auf hübschen Dashboards oft schon vorinstalliert. Wenn jedoch eine Kennzahl oder eine Meldung keine konkrete Handlung auslöst (oder schlimmer noch: zum falschen Handeln verleitet), ist sie schlimmer als nutzlos.
Das passiert auf zwei Arten. Erstens: Gibt es zu viele Fehlalarme, werden Teams abgestumpft und ignorieren sie.
Zweitens wählen manche Kennzahlen, die keine konkreten Handlungen hervorrufen. Das nennt man oft "Vanity-Kennzahlen", und im schlimmsten Fall vermitteln sie ein falsches Sicherheitsgefühl und lenken von echten Problemen ab. Wie die Juristen sagen...
Beim Erstellen von Warnmeldungen sollten Sie Ereignisse wählen, die mit hoher Wahrscheinlichkeit auf ein echtes Problem hinweisen. Eine Faustregel: Überwachen und alarmieren Sie nur bei Metriken, für die alle Beteiligten einstimmig bestätigen, dass das Risiko den Aufwand zur Überprüfung wert ist.
Taktiken zur Verhinderung von Zahlungsbetrug
Obwohl die bewährten klassischen internen Kontrollen nach wie vor einen enormen Wert haben, sind manche für alle außer den größten Organisationen kaum umsetzbar. Ich habe festgestellt, dass die folgenden Mechanismen besonders wirksam sind, um modernen Betrug in kleineren Unternehmen zu verhindern – oft mit überraschend geringem Aufwand. Diese Kontrollen sind grob priorisiert, aber Nutzen und Aufwand können von Unternehmen zu Unternehmen erheblich variieren.
1. Konten segmentieren
Strategie: Exponierung reduzieren
Das ist ein Klassiker, wird aber von wachsenden Unternehmen immer noch zu selten genutzt. Die Isolierung von Bankkonten für Auszahlungen kann extreme Verluste verhindern. Legen Sie ein eigenes Konto für Einzelzahlungen an, ein weiteres für vorhersehbare monatliche Ausgaben und ein Treasury-Konto für weitere Mittel.
Halten Sie das Guthaben im Vorhersagbaren-Konto niedrig, überweisen Sie Mittel für Einzelzahlungen manuell auf das entsprechende Konto, und zahlen Sie niemals aus dem Treasury-Konto. Jeder Betrug, der die Zahlungskonten trifft, führt nur zu geringen Verlusten oder schlägt komplett fehl.
Diese Kontrolle lässt sich einfach mit AP-Automatisierungsplattformen umsetzen.
2. Registrierung bei Wirtschaftsauskunfteien
Strategie: Exponierung reduzieren
Das ist einfach und zielt auf eine andere Art von Betrug ab: Identitätsdiebstahl Ihres Unternehmens. Gefälschte Kredite können auf den Namen Ihres Unternehmens aufgenommen werden und die Schadensbehebung kann aufwendig sein. Wenn Sie sich zuerst bei Geschäftsauskunfteien registrieren, machen Sie es Kriminellen wesentlich schwerer, Sie auf diese Weise zu betrügen.
3. Raus aus dem E-Mail-Verkehr
Strategie: Single Points of Failure reduzieren
E-Mail ermöglicht eine enorme Menge an Betrug und Kriminalität. Kein Wunder, denn viele Organisationen wickeln fast alles per E-Mail ab. Wenn das auch auf Ihr Unternehmen zutrifft, ist E-Mail wahrscheinlich ein einziger Schwachpunkt für Sie: Wenn ein Betrüger Zugriff auf Ihr E-Mail-Konto bekommt, kann er erheblichen Schaden anrichten und dabei seine Spuren verwischen.
Die Behebung ist einfach: Verwenden Sie für risikoreiche Aktivitäten nur dedizierte Systeme.
4. Single-Sign-On, Multi-Faktor-Authentifizierung
Strategie: Single Points of Failure reduzieren
Das ist etwas technischer, aber lohnt sich wirklich. Die beste Methode für Passwörter, die Föderation, beseitigt viele Schwachstellen zur kriminellen Nachahmung in Ihren Systemen. Was Sie möchten, ist ein modernes, zentrales System, das als Identitätsanbieter für Ihre Mitarbeitenden fungiert; Sie sagen dann jedem verwendeten System, dass es diesem vertrauen soll. Die Beschäftigten melden sich beim Identitätsanbieter an und anschließend funktioniert die Verbindung zu allen anderen Systemen automatisch.
Wie gesagt, es ist technisch, deshalb muss Ihr IT-Team die Verbindungen erstellen.
Passwörter sind ein häufiger Schwachpunkt – daher beseitigt die Forderung nach starker Multi-Faktor-Authentifizierung (MFA) dieses Risiko. Jeder Anbieter von Föderationssystemen wird Ihnen nachdrücklich empfehlen, dies zu verlangen.
5. Honeypots
Strategie: Umsetzbare Alarme
Honeypots (manchmal auch Canary Tokens genannt) sind ein Ansatz, der Sie benachrichtigt, wenn es ein Cyberkrimineller tatsächlich an Ihren Schutzmechanismen vorbei geschafft und sich Zugang zu unerlaubten Bereichen verschafft hat. Honeypots sind Köder, die beim Zugriff automatische Warnmeldungen senden. Sie sind vor allem in der IT verbreitet, können aber auch für Zahlungsdaten eingerichtet werden. Dies kann besonders gut mit automatisierten Finanzplattformen funktionieren, wie ich in Tipp Nr. 10 erwähne.
Technische Honeypots sind einfach und kostenlos einzurichten.
6. Auslagerung an einen Dienstleister
Strategie: Single Points of Failure reduzieren
Die Nutzung eines Anbieters ist oft nicht nur günstiger als hausinterne Lösungen, sondern auch widerstandsfähiger. Auslagerung kann viele Einzelrisiken eliminieren, weil Sie die Bedürfnisse Ihres Unternehmens auf ein größeres Team und System verteilen.
Viele Unternehmen erkennen, dass ein Dienstleister für Kreditorenbuchhaltung zur günstigeren Option wird, wenn die Bearbeitung der Kreditoren bereits die Hälfte der Arbeitszeit eines Mitarbeitenden beansprucht. Da diese Schätzung die Kosten von Betrug nicht berücksichtigt, empfehle ich Firmen oft, dies bereits weit früher zu prüfen. Einige Automatisierungsplattformen erlauben es einem Finanzteam, den Durchsatz um das 100-Fache zu steigern – ohne neues Personal und ohne Kontrollverlust.
Die Auslagerung Ihrer IT-Systeme an eine Webplattform kann ebenfalls eine exzellente Möglichkeit sein, einzelne Schwachstellen auszuschalten. Sie bieten in der Regel zuverlässigere Verschlüsselung, Erkennung von Schadsoftware und Schwachstellen, Widerstandsfähigkeit gegen Datenlecks und besseren Phishing-Schutz, als Sie es wahrscheinlich intern umsetzen können.
Dies funktioniert allerdings nur, wenn das Auslagerungs-Angebot selbst wenige oder keine Single Points of Failure aufweist. Viele Buchhaltungs-Dienstleister stellen eine einzelne, teilzeitige „Alleskönner“-Fachkraft bereit, die direkt in Ihren Systemen arbeitet und Ihre Prozesse übernimmt – keine gute Wahl, wenn Sie Ihr Risiko verringern wollen. Ebenso setzen zahlreiche Webplattformen nach wie vor auf dieselben fragilen Designs wie 2006, würzen mit Cloud-Begriffen im Marketing und hoffen, dass niemand genauer hinschaut. Diese Methoden bringen erwartungsgemäß keine Sicherheitsvorteile.
7. Virtuelle Karten
Strategie: Exponierung reduzieren
Die Nutzung eines virtuellen Kartenanbieters ermöglicht Ihnen eine feingranulare Steuerung darüber, wen Sie bezahlen und wie viel. Ich habe virtuelle Karten bereits in meinem Artikel erklärt, wie man B2B-Zahlungen absichert. Die meisten automatisierten AP-Plattformen bieten virtuelle Karten an.
8. Lieferantenvalidierung und 3-Wege-Abgleich
Strategie: Risikominimierung
Wenn Zahlungen auf eine Liste autorisierter Lieferanten beschränkt, Zahlungsinformationen validiert und Rechnungen mit Bestellungen abgeglichen werden, kann ein Großteil der weniger ausgeklügelten Betrugsversuche verhindert werden. Viele Anbieter gleichen Daten mit Listen geprüfter Lieferanten ab; dies kann überraschend günstig sein.
9. Positive Pay
Strategie: Risikominimierung
Mit dieser Funktion können Sie Ihrer Bank monatlich eine Liste autorisierter Bestellungen übermitteln. Die Bank blockiert dann ACH- und Scheckzahlungen, die nicht auf der Liste stehen, und informiert das Unternehmen im entsprechenden Fall. Diese Methode galt vor 20 Jahren als aufwendig, mittlerweile sind jedoch die meisten Hürden bei den heutigen Angeboten beseitigt worden.
10. Automatisierte Finanzprozesse
Strategie: Handlungsauslösende Warnungen & Minimierung von Single Points of Failure
Eine automatisierte Finanzplattform ermöglicht Ihnen eine äußerst detaillierte Kontrolle darüber, wie Geld in Ihrem Unternehmen bewegt wird – und das mit deutlich weniger Personal. Dies kann sehr wertvoll sein, ist aber häufig ein kostspieliger Übergang. Überlegen Sie dabei:
- Automatische Zahlungen an beständige, langjährige Lieferanten. Die Zahlungsdetails können meist im Lieferantenstammsatz konfiguriert werden.
- Automatisierte Rechnungsstellung und Mahnwesen
- Automatisierte Überweisungen und Forderungsmanagement
- Warnungen bei unerwarteten Transaktionen und Kontoständen
- Automatische Rechnungs- und 3-Wege- oder 2-Wege-Abgleichsprozesse
- KI-/Anomalieerkennung (siehe unten)
Einige Plattformen benachrichtigen Sie automatisch über riskante Transaktionen, basierend auf aktuellen Bedrohungen in der Branche und dem für Ihr Unternehmen üblichen Buchungsverhalten. Mein Ratschlag? Wenn Sie ein Produkt wegen seiner Anomalie-Erkennung kaufen möchten, testen Sie es zuerst ausführlich. KI-Produkte sind immer eine Black Box, sodass Sie die Qualität nicht objektiv bewerten können. Die Wirksamkeit solcher Black-Box-Produkte nimmt erfahrungsgemäß über die Jahre ab, da Bedrohungen und Rahmenbedingungen sich ständig ändern.
Technologieprodukte für die Kreditorenbuchhaltung
Dies ist eine Auswahl neuer und etablierter AP-Plattformen mit Funktionen, die ich in diesem Artikel genannt habe. Banken bieten zudem ausgelagerte AP- und AR-Prozesse an (oft als Remittance Processing bezeichnet), meist als White-Label-Lösung von spezialisierten Anbietern.
Betrug ist vermeidbar
Durch die Implementierung starker interner Kontrollen in der Kreditorenbuchhaltung können Sie viele Schäden durch Internetkriminalität verhindern. Während sich externe Bedrohungen im letzten Jahrzehnt explosionsartig vermehrt haben, sind auch die Werkzeuge zur Erkennung und Vermeidung mitgewachsen (einer der Vorteile von mobilen Zahlungs-Apps ist beispielsweise dieser).
Weitere Tipps für Finanzmanager, inklusive wie Sie Ihr Unternehmen vor Online-Bedrohungen schützen, finden Sie im Newsletter des CFO Club.
Ich freue mich auf Ihr Feedback: Welche Kontrollen waren bei Ihnen am effektivsten zur Betrugsprävention? Haben Sie eigene Erfahrungen mit den genannten Maßnahmen? Schreiben Sie es gerne in die Kommentare oder auf Social Media.
