Betrugskontrollen bei Lieferantenstammbankdatenänderungen: Verifizierung von Änderungen an den Bankdaten von Lieferanten

Was ist Betrug bei Bankdatenänderungen im Kreditorenstammdatenmanagement?

Beim Betrug durch Bankdatenänderungen in den Kreditorenstammdaten wird ein Einkäufer dazu gebracht, das Bankkonto eines echten Lieferanten gegen ein vom Betrüger kontrolliertes Konto auszutauschen. In der Ankündigung des FBI vom 4. Mai 2017, gestützt auf Beschwerden bis 2016, berichtete das IC3 über Fälle, in denen eine anscheinend gefälschte Anfrage den Zahlungsort eines Lieferanten verlagerte und alle eingehenden Rechnungszahlungen umleitete. Laut der Ankündigung des FBI vom 14. Juni 2016, gehen solche Anfragen per Telefon, Fax oder E-Mail ein und sehen echten Anfragen täuschend ähnlich.

Dieser Leitfaden behandelt Änderungen an bestehenden Lieferantendatensätzen. Die Erfassung von Bankdaten neuer Lieferanten wird behandelt in dem risikobasierten Leitfaden zum Lieferanten-Onboarding, und der Zahlungspfad, den sie speist, ist dargelegt in dem Leitfaden zur Procure-to-Pay-Architektur.

Welche Prozesslücken nutzt dieser Betrug aus?

In dem AFP-Umfragebericht 2026, basierend auf der Schilderung von 465 Treasury-Praktikern zu 2025, gaben Betrüger sich meist als Lieferanten oder Führungskräfte aus, um eine Änderung der Zahlungsanweisungen zu erwirken. In demselben Bericht, zeigen zwei anonyme Befragte die Lücke: Ein neues Bankkonto für einen wichtigen Lieferanten wurde eingegeben, bevor die Treasury dies bestätigte, und in einem anderen Fall übermittelte jemand, der sich als Kunde ausgab, neue Details, und die Kreditorenbuchhaltung rief die Nummer in dieser E-Mail an.

In dem AFP-Artikel vom Mai 2026 über Betrugsszenarien von Befragten, gingen mehrere Vorfälle auf Teams zurück, die den Rückruf übersprungen oder die Bestätigung per E-Mail akzeptiert hatten – bisweilen sogar in genau demselben Thread, in dem die Anfrage gestellt worden war.

In AFPs 2024-Umfragebericht von Treasury-Praktikern unter Berücksichtigung von 2023 merken die Autoren an, dass eine Zahlung von einem kompromittierten Mitarbeiter stammen kann, der Lieferantenbankdaten ohne ordnungsgemäße Validierung im Lieferantenstammdatenprozess ändert, und ein Befragter berichtete von abgegriffenen Anmeldeinformationen, mit denen versucht wurde, Bankdaten zu ändern.

Wie sollte ein Rückruf eine Änderung der Bankdaten bestätigen?

Laut der Ankündigung des FBI von 2016, sollten Unternehmen frühzeitig in der Geschäftsbeziehung einen Telefonkanal außerhalb des E-Mail-Verkehrs einrichten und zuvor bekannte Nummern verwenden, keine Nummern aus der Anfrage. In dem AFP-Umfragebericht 2026, gaben 94% der befragten Organisationen an, dass sie Anfragen zu Geldtransfers durch einen Anruf bei einem autorisierten Zahlungsempfängerkontakt unter einer Nummer aus offiziellen Unterlagen verifizieren, und 63% dieser Anwender bewerteten dies als sehr effektiv, basierend auf einer Selbsteinschätzung.

Laut dem Szenario-Artikel der AFP vom Mai 2026, bestand ein Betrugsversuch mit geänderten Bankdaten eines Kunden eine telefonische Überprüfung, bevor Unstimmigkeiten ihn entlarvten, ein kompromittiertes Lieferantenpostfach sandte Dokumente, die gültig aussahen, und ein Anrufer, der sich als Bank ausgab, nutzte die echte Nummer dieser Bank.

Nach Ansicht dieses Leitfadens sollte der Anruf ausgehend sein – an eine Nummer aus den Aufzeichnungen des Käufers, die früh in der Geschäftsbeziehung oder vor der Anfrage zuletzt verifiziert wurde und seither unverändert ist –, getätigt von jemandem, der die Anfrage nicht erhalten hat, und protokolliert werden. Nach derselben Ansicht stützen Briefe und Kontoauszüge, die das neue Konto belegen, die Akte, zeigen jedoch nicht, wer darum gebeten hat.

In der Ankündigung des FBI vom Mai 2017, weist das FBI darauf hin, dass die plötzliche Bitte eines Geschäftskontakts, unter einer privaten E-Mail-Adresse erreicht zu werden, Betrug sein könnte. Nach Ansicht dieses Leitfadens erfordert eine Änderung der Telefonnummern, E-Mail-Adressen oder benannten Kontakte eines Lieferanten dieselbe Sperre, den Rückruf bei einem zuvor verifizierten Kontakt, die Genehmigung und Protokollierung wie eine Bankdatenänderung, da wer auch immer den Kontakt in den Akten ersetzt, den späteren Anruf entgegennimmt.

Wer sollte eine Änderung empfangen, verifizieren, genehmigen und freigeben?

In einem von Fachkollegen begutachteten Modell zur Funktionstrennung aus dem Jahr 2014, für diesen Leitfaden nur im Abstract gelesen, definiert Kevin Kobelsky Funktionstrennung (Segregation of Duties) als Zuweisung von Arbeit so, dass keine einzelne Person einen Fehler oder Betrug sowohl begehen als auch verbergen kann, und sein Modell behandelt das Gewähren und Genehmigen von Systemzugriffen als separate Aufgaben. Laut demselben Abstract, erfordert das Modell mindestens drei Personen für die primäre Trennung bei IT-gestützter Arbeit und fünf für die sekundäre Trennung; nach Ansicht dieses Leitfadens benötigen kleine Standorte daher eine kompensatorische Prüfung.

In Deloittes Zusammenfassung des COSO-Rahmenwerks, ist die Funktionstrennung typischerweise Teil der Auswahl von Kontrollaktivitäten, und das Management wählt alternative Kontrollen, sofern eine Trennung nicht praktikabel ist. Laut derselben Zusammenfassung, senkt das Aufteilen von Dateneingabe und Autorisierung das Risiko nur, wenn die beteiligten Personen nicht konspirieren.

In den Hinweisen des FBI von 2016 zu Änderungen des Zahlungsorts, weist das FBI darauf hin, dass eine zweite Freigabe durch Unternehmensmitarbeiter als zweiter Faktor dienen kann. Nach Ansicht dieses Leitfadens sollten Empfänger, Prüfer, Genehmigender und Zahlungsfreigeber vier verschiedene Personen sein, und wie sich diese Rollen über die Systeme hinweg verteilen, wird dargelegt in dem Leitfaden zu Procure-to-Pay-Kontrollen.

Nach Auffassung dieses Leitfadens benötigt ein standortübergreifender Einkäufer eine zentrale Eingangsstelle: Wer immer eine Anfrage an einem Standort oder in einem Postfach der Kreditorenbuchhaltung erhält, leitet diese unverändert weiter und erfasst oder beantwortet sie niemals selbst. Eine Verifizierung pro Lieferant deckt dann sämtliche ERP- und Buchungskreisdatensätze ab, und für Portal-, Stammdaten-Hub-, Schnittstellen- und Massen-Upload-Änderungen gelten dieselben Sperren und Rückrufe.

Wie sollten dringende Änderungsanfragen gehandhabt werden?

In dem AFP-Umfragebericht 2026, empfehlen die Autoren klare Richtlinien für standardmäßige Zahlungsfristen, da mehr Zeit vor der Zahlung Betrug verhindern kann, sowie eine genaue Prüfung von sofortigen oder Notzahlungen. In der Ankündigung des FBI von 2017, sind Forderungen nach Geheimhaltung oder schnellem Handeln Warnsignale, und einige Banken gaben an, internationale Überweisungsaufträge zur Prüfung länger einzubehalten.

Nach Ansicht dieses Leitfadens sollte Dringlichkeit den Prozess verlängern: An das neue Konto wird erst dann etwas ausgezahlt, wenn Rückruf und Freigabe erfolgt sind, und Dringlichkeit löst einen zweiten Anruf bei einem anderen gespeicherten Kontakt aus. In derselben Ansicht warten dazwischen fällige Rechnungen oder sie gehen an das bereits einmal verifizierte Konto, sobald der verifizierte Kontakt des Lieferanten bestätigt, dass dieses noch aktiv ist; keine der ausgewerteten Quellen sieht eine Sperrfrist vor.

Was kann eine automatisierte Bankkontenvalidierung zeigen?

Auf Nachas Seite zur Kontovalidierung, gelesen am 14. November 2026, wird Validierung als Best Practice für alle bezeichnet, die Zahlungen senden. Laut derselben Nacha-Seite, umfasst die Regel, die die Validierung vorschreibt und seit dem 19. März 2021 in Kraft ist, die Details von Verbraucherkonten bei der ersten Verwendung für Online-Verbraucherlastschriften; in diesem Anwendungsbereich erfasst sie nach Lesart dieses Leitfadens das neue Konto eines Lieferanten nicht. Unter dem methodenneutralen Ansatz dieser Regel, gehören zu den Optionen Prenotifications, Micro-Entries und kommerzielle Dienste, die aggregierte Daten oder Online-Banking-Zugangsdaten nutzen.

Nach Ansicht dieses Leitfadens zeigt ein Validierungsergebnis nicht, wer die Änderung beantragt hat, weshalb es den Rückruf nicht ersetzen kann; archivieren Sie es als zusätzlichen Datensatz.

Wie sollte mit inaktiven und doppelt vorhandenen Lieferantendatensätzen verfahren werden?

Da keine der ausgewerteten offiziellen oder wissenschaftlichen Quellen inaktive oder doppelte Datensätze abdeckt, stammt dieser Abschnitt aus der eigenen Analyse des Leitfadens. Sperren Sie Datensätze ohne Zahlungen für einen vom Einkäufer festgelegten Zeitraum, sodass eine Reaktivierung dieselbe Überprüfung wie eine Bankdatenänderung erfordert, und führen Sie Duplikate mit abweichenden Bankdaten zusammen oder sperren Sie sie, sobald ein benannter Verantwortlicher die korrekten Daten bestätigt hat. Führen Sie diese Prüfungen turnusmäßig durch, und zwar als Teil der Lieferanten-Lifecycle-Governance nach dem Onboarding.

Was sollte das Änderungsprotokoll einem Prüfer nachweisen?

Laut der COSO-Zusammenfassung von Deloitte, sollten Kontrollrichtlinien dokumentiert, regelmäßig bewertet und bei konkretem Bedarf überprüft werden, und die IT sollte so eingerichtet sein, dass sie den Zugriff einschränkt und die Funktionstrennung unterstützt. Nach Ansicht dieses Leitfadens ist das Änderungsprotokoll die Aufzeichnung, die ein Einkäufer einem Prüfer vorlegen können sollte; das nachstehende Protokoll führt auf, was jeder Schritt hinterlässt.

Was sollte geschehen, wenn sich ein geändertes Konto als betrügerisch erweist?

Auf der BEC-Seite des IC3, gelesen am 14. November 2026, rät das FBI, die auftraggebende Bank unverzüglich um einen Rückruf der Zahlung oder eine Rückbuchung sowie um eine Schadensfreistellungs- oder Freistellungserklärung zu bitten und eine detaillierte IC3-Beschwerde einzureichen. Nach Ansicht dieses Leitfadens führt die Treasury diesen Anruf bei der Bank durch; der Einkauf sperrt den Lieferanten für Zahlungen in jedem ERP, nimmt ihn aus anstehenden Zahlläufen heraus, ruft den echten Lieferanten über dessen verifizierten Kontakt an und bewahrt die Nachweise für die Finanz-, Sicherheits- und Rechtsabteilung auf, die für die Rückholung und eventuelle rechtliche Schritte zuständig sind.

Wie werden AI-Agenten die Verifizierung von Änderungen der Bankdaten verändern?