Rechnungsbetrug erkennen und verhindern mit sicheren Zahlungsprozessen

Rechnungsbetrug lässt sich am wirksamsten verhindern, wenn Unternehmen nicht nur Rechnungen prüfen, sondern den gesamten Zahlungsprozess absichern. Besonders wichtig sind der Abgleich von Lieferant:innenendaten, eine unabhängige Bestätigung von Bankverbindungen, das Vier-Augen-Prinzip und klar definierte Freigaben.

Gefälschte Rechnungen sehen häufig täuschend echt aus. Betrüger:innen nutzen bekannte Lieferant:innen, vertraute Layouts und den Zeitdruck im Monatsabschluss. Eine leicht veränderte IBAN oder eine dringende Zahlungsaufforderung reicht dann aus, um eine reguläre Routine zu manipulieren.

Warum Rechnungsbetrug ein Prozessrisiko ist

Rechnungsbetrug ist nicht nur ein individuelles Versehen. Er entsteht häufig an den Übergaben zwischen Rechnungseingang, Stammdatenpflege, Freigabe und Zahlung.

Betrüger:innen versuchen, ein Unternehmen mit einer gefälschten, manipulierten oder fingierten Forderung zu einer Zahlung zu bewegen. Dafür müssen sie kein komplexes IT-System überwinden. Häufig reicht es, Vertrauen, Routine und Zeitdruck auszunutzen.

Typische Schwachstellen sind:

• unklare Zuständigkeiten

• gemeinsam genutzte E-Mail-Postfächer

• fehlende Prüfung von Bankverbindungen

• Änderungen an Lieferant:innenstammdaten ohne zweite Freigabe

• Zahlungen unter Zeitdruck

• fehlende Verknüpfung von Bestellung, Rechnung und Wareneingang

• manuelle Übertragung von Rechnungsdaten

Eine Rechnung über 8.400 Euro kann beispielsweise inhaltlich vollständig korrekt aussehen. Wenn die IBAN jedoch kurz zuvor über eine gefälschte Nachricht geändert wurde, fließt die Zahlung an die Betrüger:innen. Ob die Forderung gegenüber der echten Lieferant:innen dadurch erfüllt ist, hängt vom Einzelfall ab und sollte rechtlich geprüft werden. Häufig bleibt die ursprüngliche Forderung zunächst bestehen.

Welche Arten von Rechnungsbetrug gibt es?

CEO-Fraud und Business Email Compromise

Beim CEO-Fraud geben sich Betrüger als Geschäftsführung, Vorstand oder eine andere Führungskraft aus. Sie fordern eine dringende und vertrauliche Zahlung, häufig auf ein neues Konto.

Beim Business Email Compromise wird zusätzlich ein echtes Postfach übernommen oder eine bekannte E-Mail-Adresse täuschend echt nachgebaut. Die Nachricht wirkt dann besonders glaubwürdig, weil sie scheinbar von einer vertrauten Person oder einem bekannten Geschäftspartner stammt.

Warnsignale sind:

• ungewöhnliche Vertraulichkeit

• eine neue Bankverbindung

• eine Zahlung außerhalb des normalen Ablaufs

• hoher Zeitdruck

• die Aufforderung, Rückfragen zu vermeiden

• eine Bitte, bestehende Freigabeprozesse zu umgehen

Manipulierte Lieferant:innenrechnung

Bei dieser Masche wird eine echte Rechnung kopiert oder abgefangen. Die Betrüger:innen ändern häufig nur die Bankverbindung. Betrag, Lieferant:in, Logo und Leistungsbeschreibung bleiben unverändert.

Genau deshalb reicht ein Plausibilitätscheck der Rechnung nicht aus. Das Finanzteam sollte die IBAN mit den bereits hinterlegten Lieferant:innendaten und früheren Zahlungen abgleichen.

Doppelrechnungen

Bei einer Doppelrechnung wird dieselbe Leistung mehrmals abgerechnet. Die zweite Rechnung unterscheidet sich manchmal nur durch eine leicht veränderte Rechnungsnummer, ein anderes Rechnungsdatum oder eine minimale Änderung in der Beschreibung.

Eine Dublettenprüfung sollte deshalb mindestens folgende Merkmale berücksichtigen:

• Lieferant:in

• Rechnungsnummer

• Rechnungsdatum

• Betrag

• Leistungszeitraum

• Bestellnummer

• Bankverbindung

Scheinlieferant:innen

Bei Scheinlieferant:innen wird ein fingierter Kreditor in den Stammdaten angelegt. Anschließend werden Rechnungen für Leistungen gestellt, die nie beauftragt oder erbracht wurden.

Das Risiko steigt, wenn dieselbe Person einen neue Lieferant:innen anlegt, Rechnungen einreicht und Zahlungen freigibt. Eine getrennte Zuständigkeit für Stammdaten, Rechnungsprüfung und Zahlung ist deshalb eine wichtige interne Kontrolle.

Gefälschte Behörden- und Registerschreiben

Auch amtlich wirkende Schreiben können betrügerisch sein. Häufig wird eine angebliche Eintragung in ein Register, eine Veröffentlichung oder eine Pflichtzahlung in Rechnung gestellt.

Prüfen Sie in solchen Fällen:

• Ist die Zahlung tatsächlich gesetzlich vorgeschrieben?

• Kommt das Schreiben von einer offiziellen Stelle?

• Gibt es eine bekannte Geschäftsbeziehung?

• Ist die angegebene Internetadresse korrekt?

• Wird mit einer ungewöhnlich kurzen Frist Druck aufgebaut?

Wie erkennen Sie eine gefälschte Rechnung?

Eine Rechnung kann formal korrekt aussehen und trotzdem betrügerisch sein. Prüfen Sie deshalb immer sowohl den Beleg als auch den Geschäftsvorgang dahinter.

Pflichtangaben prüfen

Nach § 14 Abs. 4 UStG müssen Rechnungen unter anderem bestimmte Angaben enthalten:

• vollständiger Name und Anschrift von Lieferant:in und Empfänger:in

• Steuernummer oder Umsatzsteuer-Identifikationsnummer

• Rechnungsdatum

• fortlaufende Rechnungsnummer

• Beschreibung der Lieferung oder Leistung

• Zeitpunkt der Lieferung oder Leistung

• Nettobetrag

• Umsatzsteuersatz und Umsatzsteuerbetrag

Bei Kleinbetragsrechnungen bis 250 Euro gelten nach § 33 UStDV reduzierte Anforderungen. Die formale Prüfung allein reicht deshalb nicht aus, um eine Rechnung als echt einzustufen.

Bankverbindung abgleichen

Die Bankverbindung sollte mit den gespeicherten Lieferant:innendaten und früheren Zahlungen übereinstimmen. Besondere Vorsicht ist erforderlich, wenn:

• sich die IBAN kurzfristig geändert hat

• erstmals ein ausländisches Konto verwendet wird

• die Änderung nur per E-Mail mitgeteilt wurde

• der Kontoinhaber nicht zum Lieferant:innen passt

• die neue Bankverbindung auf der Rechnung und nicht im Stammdatensatz steht

Bestätigen Sie Änderungen über eine bereits bekannte Telefonnummer oder einen bekannten Ansprechpartner. Verwenden Sie dafür nicht die Telefonnummer oder E-Mail-Adresse aus der verdächtigen Nachricht.

Leistung und Bestellung abgleichen

Prüfen Sie außerdem, ob die abgerechnete Leistung tatsächlich bestellt und erbracht wurde. Ein Drei-Wege-Abgleich zwischen Bestellung, Wareneingang oder Leistungsbestätigung und Rechnung kann dabei helfen.

Bei Dienstleistungen ohne klassischen Wareneingang sollte eine geeignete Leistungsbestätigung vorliegen. So verhindern Sie, dass Rechnungen für nicht bestellte oder nicht erbrachte Leistungen bezahlt werden.

Eine gemeinsame Prüfung hilft dem Finanzteam, verdächtige Rechnungen und abweichende Zahlungsdaten vor der Überweisung zu erkennen.

Welche Kontrollen verhindern Rechnungsbetrug?

Änderungen an Lieferantenstammdaten absichern

Änderungen an IBAN, BIC, Bankname oder Zahlungsempfänger sollten eine zusätzliche Prüfung auslösen. Besonders wichtig ist, dass die Person, die eine Änderung erfasst, sie nicht allein freigeben kann.

Ein sinnvoller Ablauf sieht so aus:

1. Eine Person erfasst die Änderung.

2. Eine zweite Person prüft die Angaben.

3. Die Bankverbindung wird über einen bekannten Kontakt bestätigt.

4. Die Änderung wird dokumentiert.

5. Erst danach darf sie für Zahlungen verwendet werden.

Erfassung und Zahlungsfreigabe trennen

Die Person, die eine Rechnung erfasst oder Lieferant:innen anlegt, sollte nicht automatisch auch die Zahlung freigeben. Diese Funktionstrennung reduziert das Risiko von Fehlern und bewusster Manipulation.

Das Vier-Augen-Prinzip sollte insbesondere für folgende Vorgänge gelten:

• neue Lieferant:innen

• geänderte Bankverbindungen

• hohe oder ungewöhnliche Rechnungsbeträge

• dringende Sonderzahlungen

• Zahlungen außerhalb des üblichen Zahllaufs

• Änderungen an Zahlungsbedingungen

Verification of Payee nutzen

Die Verification of Payee gleicht den Namen des Zahlungsempfängers mit der angegebenen IBAN ab. Die Funktion wird für geeignete Euro-Überweisungen im Rahmen der europäischen Zahlungsverkehrsregeln eingeführt.

Das Ergebnis kann beispielsweise lauten:

• Name stimmt überein

• Name stimmt weitgehend überein

• Name stimmt nicht überein

• Prüfung nicht möglich

Die Prüfung ist eine zusätzliche Sicherheitsstufe, ersetzt aber nicht den internen Abgleich. Bei einem ähnlichen Namen kann die Zahlung weiterhin ausgeführt werden, wenn die zahlende Person dies bestätigt.

Wie helfen Automatisierung und Rechnungsabgleich?

Digitale Prozesse können Rechnungsbetrug früher sichtbar machen. Sie können beispielsweise:

• Rechnungsdaten per OCR erfassen

• doppelte Rechnungsnummern erkennen

• neue Lieferant:innen markieren

• geänderte IBANs hervorheben

• Beträge mit Bestellungen vergleichen

• ungewöhnliche Abweichungen melden

• Freigaben nach Betrag oder Kategorie steuern

• Änderungen an Stammdaten dokumentieren

Automatisierung ersetzt jedoch nicht das Urteil des Finanzteams. Ein System kann eine neue Bankverbindung markieren, aber nicht in jedem Fall feststellen, ob die Änderung legitim ist.

Spendesk kann Rechnungen, Belege, Lieferant:innendaten und Freigaben in einem digitalen Prozess zusammenführen. Auffällige Vorgänge können zur manuellen Prüfung ausgesteuert werden. Welche Prüfungen und Freigaben verfügbar sind, hängt vom Produktumfang und der Konfiguration ab.

Was tun bei einer verdächtigen Rechnung?

Wenn noch nicht bezahlt wurde

Stoppen Sie den Vorgang und klären Sie die Rechnung über einen bekannten Kontakt. Antworten Sie nicht direkt auf die verdächtige E-Mail und verwenden Sie nicht die darin enthaltenen Kontaktdaten.

Dokumentieren Sie:

• die Rechnung

• die E-Mail

• Anhänge und Links

• die Abweichung in der Bankverbindung

• bereits durchgeführte Prüfungen

• beteiligte Personen und Zeitpunkte

Wenn bereits bezahlt wurde

Reagieren Sie möglichst sofort:

• Kontaktieren Sie die Bank und bitten Sie um einen Überweisungsrückruf.

• Informieren Sie die echten Lieferant:innen.

• Sichern Sie E-Mails, Rechnungen und Kontobewegungen.

• Erstatten Sie Strafanzeige.

• Melden Sie den Vorfall intern an die zuständigen Stellen.

• Prüfen Sie, ob weitere Rechnungen oder Lieferant:innen betroffen sein könnten.

Ein Rückruf ist nicht garantiert. Die Erfolgsaussichten hängen unter anderem davon ab, ob der Betrag bereits gutgeschrieben oder weitergeleitet wurde.

Wie sollten Unternehmen den Vorfall nachbereiten?

Nach einem Betrugsversuch sollte nicht nur die einzelne Zahlung korrigiert werden. 

Prüfen Sie den gesamten Prozess:

• Wie konnte die Bankverbindung geändert werden?

• Wer konnte Lieferant:innen-Stammdaten bearbeiten?

• Warum wurde keine zweite Freigabe ausgelöst?

• War der Zahlungsdruck ungewöhnlich?

• Wurde die Rechnung mit einer Bestellung abgeglichen?

• Welche weiteren Lieferant:innen oder Zahlungen könnten betroffen sein?

• Müssen Rollen, Limits oder Freigaben angepasst werden?

Das Ziel ist nicht, einzelne Mitarbeitende verantwortlich zu machen. Entscheidend ist, die Prozesslücke zu schließen, die den Betrug ermöglicht hat.

Rechnungsbetrug mit einem sicheren Prozess verhindern

Rechnungsbetrug lässt sich nicht mit einem einzigen Prüfschritt verhindern. Entscheidend ist das Zusammenspiel aus sauber gepflegten Lieferant:innen-Stammdaten, unabhängiger Prüfung, verifizierten Bankverbindungen, Freigaberegeln und einem nachvollziehbaren Zahlungsprozess.

Wenn Rechnung, Bestellung, Lieferant:in und Zahlung miteinander verknüpft sind, erkennt das Finanzteam Auffälligkeiten früher. So wird aus einer manuellen Einzelprüfung ein kontrollierter Prozess, der Betrugsversuche möglichst vor der Zahlung stoppt.

Erfahren Sie, wie Spendesk Rechnungen, Freigaben, Lieferant:innen und Zahlungen in einem kontrollierten Prozess verbindet.