Zahlungsfreigabe-Prozess: Der wichtigste Hebel gegen CEO-Fraud
Ein sauberer Zahlungsfreigabe-Prozess ist die wirksamste einzelne Maßnahme gegen CEO-Fraud, Rechnungsbetrug und Lieferantenwechsel-Betrug — er entzieht der Masche ihre Grundlage, unabhängig davon, wie überzeugend die gefälschte Nachricht oder Stimme ist.
Das Problem
Die meisten erfolgreichen Betrugsfälle in Unternehmen scheitern nicht an fehlender Technik, sondern an einer fehlenden oder umgangenen Prozessregel im entscheidenden Moment — 'diesmal ging es schnell, also haben wir eine Ausnahme gemacht'.
Typischer Ablauf des Angriffs
- Angreifer zielen bewusst auf Situationen, in denen Ausnahmen wahrscheinlich sind: Urlaubszeit, Quartalsabschluss, Führungswechsel
- Die Forderung wird so formuliert, dass der reguläre Prozess als Hindernis erscheint ('das muss heute noch raus, ich erreiche niemand anderen')
Prozess-Gegenmaßnahme
- Vier-Augen-Prinzip ab einer festen Betragsschwelle, dokumentiert und ausnahmslos
- Rückrufverifikation über eine hinterlegte, nicht aus der verdächtigen Nachricht stammende Nummer
- Neue oder geänderte Bankverbindungen bei Lieferanten grundsätzlich telefonisch über die bekannte Stammnummer bestätigen, bevor die erste Zahlung darauf läuft
- Eskalationsweg dokumentiert: wer vertritt wen bei Abwesenheit, damit 'ich erreiche sonst niemanden' als Druckmittel wegfällt
- Regelmäßige, kurze Sensibilisierung der Finance- und Assistenzteams — nicht als einmalige Schulung, sondern als wiederkehrende Erinnerung
Freigabe-Check: Wo steht ihr?
Freigabe-Check · 0/12
1. Gilt bei euch ein Vier-Augen-Prinzip für Überweisungen ab einer festen Betragsschwelle — ohne Ausnahme?
2. Wird jede eilige Zahlungsanweisung telefonisch über eine vorab bekannte, hinterlegte Nummer rückbestätigt — nie über die Nummer aus der Nachricht selbst?
3. Wird eine geänderte Bankverbindung bei einem bestehenden Lieferanten immer telefonisch über die Stammnummer bestätigt?
4. Ist dokumentiert, wer bei Abwesenheit der Geschäftsführung vertretungsberechtigt ist und Freigaben erteilen darf?
5. Ist im Team klar kommuniziert, dass es für den Freigabeprozess keine Ausnahmen gibt — auch nicht 'für den Chef'?
6. Gibt es eine wiederkehrende (nicht nur einmalige) Sensibilisierung für Finance- und Assistenzteams zu CEO-Fraud?
7. Löst eine neue oder ungewöhnliche Kontoverbindung automatisch eine Zweitprüfung aus?
8. Wird bei Video-Calls mit der Geschäftsführung in sensiblen Situationen eine Rückfrage genutzt, die nicht vorhersehbar ist?
9. Werden Systemzugriffe für neue Mitarbeitende erst nach abgeschlossener Identitätsprüfung freigeschaltet, nicht vorab?
10. Kennt jede zahlungsbefugte Person den internen Meldeweg für einen Verdachtsfall?
11. Wurden die Freigabeprozesse in den letzten 12 Monaten mindestens einmal mit einer realistischen Übung getestet?
12. Werden Freigabeentscheidungen und Rückrufverifikationen dokumentiert und stichprobenartig überprüft?
Quellen
Stand 8.8.2026.