Bankdaten von Lieferanten: Betrug und Zahlungsfehler verhindern

Die Schwachstelle: die Änderung der IBAN

Von allen Lieferantendaten ändern sich die Bankverbindungen am seltensten und richten den größten Schaden an, wenn sie falsch sind. Eine Überweisung auf das falsche Konto lässt sich nur schwer zurückholen, und oft fällt der Fehler erst auf, wenn der Lieferant eine Zahlung anmahnt, die bereits ausgeführt wurde.

Der heimtückischste Fall ist nicht der Tippfehler, sondern die betrügerische Anfrage. Eine E-Mail, die scheinbar vom Lieferanten stammt, vielleicht von einer fast identischen Adresse, teilt in höflichem Ton und mit etwas Dringlichkeit eine neue IBAN mit. Werden die Stammdaten ohne Prüfung angepasst, landet die nächste Zahlung in den falschen Händen.

Eine per E-Mail eingegangene IBAN-Änderung gilt als ungeprüft, bis sie über einen anderen Kanal bestätigt ist.

An der Quelle prüfen

Die wirksamste Regel ist zugleich die einfachste: Jede Änderung der Bankdaten wird über einen anderen Kanal bestätigt als den, über den die Anfrage kam. Kam sie per E-Mail, rufen Sie den Lieferanten unter einer Nummer an, die bereits in den Stammdaten hinterlegt ist, nicht unter der in der Nachricht genannten.

Ergänzen Sie diese Prüfung durch einen Nachweis, etwa ein Schreiben der Bank oder einen Auszug, der den Kontoinhaber zeigt. Der Kontoinhaber muss mit dem Firmennamen des Lieferanten übereinstimmen. Ist das nicht der Fall, braucht es eine schriftliche Erklärung und eine ausdrückliche Freigabe.

Diese Prüfungen dauern wenige Minuten und sollten verpflichtend sein, ohne Ausnahmen für langjährige Lieferanten oder eilige Anfragen.

1. 01 Anfrage eingegangen
2. 02 Rückruf bei bekanntem Kontakt
3. 03 Bankdokument
4. 04 Prüfung des Kontoinhabers
5. 05 Freigabe durch zweite Person

Erfassen und Freigeben trennen

Niemand sollte allein die Bankdaten eines Lieferanten ändern und anschließend die Zahlung freigeben können. Das Vier-Augen-Prinzip, bei dem eine Person die Änderung erfasst und eine andere sie freigibt, senkt sowohl Fehler als auch das Risiko internen Missbrauchs deutlich.

Ebenso sollten Bankdaten nicht für alle sichtbar sein, die die Stammdaten einsehen. Die Logistik braucht Kontakte und Standorte, nicht die IBAN. Klar definierte Rollen und Berechtigungen begrenzen, wer die Informationen sieht, und machen deutlicher, wer wofür verantwortlich ist.

In kleineren Unternehmen mag das übertrieben formell wirken, weil es wenige Mitarbeitende gibt und sich alle kennen. Dort genügt es, dass die Freigabe von jemand anderem kommt als von der Person, die die Anfrage erhalten hat, auch wenn das der Inhaber ist. Der Wert der Kontrolle liegt im zweiten Blick, nicht in der Größe der Organisation.

Eine Person

• Ändert und gibt allein frei
• Bankdaten für alle sichtbar
• Keine Gegenkontrolle

Vier Augen

• Wer erfasst, gibt nicht frei
• Zugriff nur für berechtigte Rollen
• Jede Änderung mit zwei Freigaben

Nachvollziehbarkeit und Warnsignale

Jede Änderung der Bankdaten muss eine Spur hinterlassen: wer sie angefordert, wer sie geprüft hat, mit welchem Dokument, wer sie freigegeben hat und wann. Die Historie hilft nicht nur im Streitfall, sondern auch dabei, verdächtige Muster zu erkennen, etwa mehrere Änderungen kurz hintereinander beim selben Lieferanten. Eine regelmäßige Durchsicht, auch stichprobenartig, zeigt, ob die Regeln tatsächlich angewendet werden.

Es lohnt sich, einige wiederkehrende Warnsignale im Team zu teilen: ungewöhnliche Dringlichkeit, ein Konto in einem anderen Land als dem Firmensitz, ein abweichender Kontoinhaber, eine leicht veränderte E-Mail-Adresse, eine Anfrage kurz vor einer größeren Zahlung. Keines dieser Signale beweist einen Betrug, aber jedes rechtfertigt eine zusätzliche Prüfung.

Warnsignale

• Ungewöhnliche Dringlichkeit
• Konto in anderem Land
• Abweichender Kontoinhaber
• Ähnliche, nicht gleiche E-Mail
• Anfrage kurz vor Zahlung

Prüfungen im Prozess verankern

Regeln wirken nur dann wirklich, wenn sie Teil des Werkzeugs sind, mit dem täglich gearbeitet wird. Beruht die Prüfung auf einer Anweisung in einem separaten Dokument, wird sie früher oder später in der Eile übersprungen. Am besten verhindern Sie das, indem das System eine ungeprüfte Änderung gar nicht erst speichern lässt.

Im CRM von Innovaq haben die Bankdaten einen eigenen Reiter im Erfassungsvorgang, der nur für berechtigte Rollen sichtbar ist. Automatische Prüfungen kontrollieren das IBAN-Format und die Übereinstimmung mit dem Kontoinhaber, die KI meldet Unstimmigkeiten vor dem Speichern, und jede Änderung wird in der Akte protokolliert. Übermittelt der Lieferant neue Daten über seinen eigenen Ausfülllink, durchläuft die Änderung trotzdem den Prüf- und Freigabeprozess.