So erkennen und verhindern Sie Rechnungsbetrug

Gegen Rechnungsbetrug ist niemand gefeit. Nicht einmal der weltweit größte Einzelhändler Amazon. In den USA ist es vier Brüdern gelungen, fast 19 Millionen US-Dollar von Amazon zu ergaunern. Ihre Methode? Sie stellten Amazon unzählige zusätzliche Zahnbürsten in Rechnung, die nie bestellt wurden. Diese Art von Rechnungsbetrug wird auch als Bill Padding bezeichnet. Auf gut Deutsch heißt das, Rechnungen werden frisiert und künstlich aufgebläht.

Betrug lauert aber nicht nur bei externen Partnern wie Lieferanten, sondern mitunter auch bei Beschäftigten im Unternehmen. 2023 waren fast 90 % der unternehmensinternen Betrugsfälle Veruntreuungen, einschließlich Rechnungsbetrug. Prognosen zufolge gehen weltweit jährlich mehr als 5 Billionen US-Dollar durch Betrug verloren. Deshalb braucht jedes Unternehmen unabhängig von Größe und Branche eine umfassende Strategie zur Betrugsbekämpfung.

Was ist Rechnungsbetrug?

Rechnungsbetrug ist eine betrügerische Beschaffungsmethode, bei der Betrüger falsche oder gefälschte Rechnungen erstellen und einreichen. Ihr Ziel? Sie wollen Unternehmen dazu bringen, Zahlungen zu veranlassen. Die Betrugsformen sind dabei vielfältig. So können Rechnungen gefälscht, dupliziert oder durch überhöhte Beträge aufgebläht werden. Und dann gibt es noch den sogenannten Business E-Mail Compromise (BEC). Hier geben sich Kriminelle als legitime Lieferanten oder Führungskräfte des Unternehmens aus. Aber auch reguläre Lieferanten oder Beschäftigte können mit Rechnungen betrügen. Diese Formen fallen zuweilen unter Lieferantenbetrug oder Mitarbeiterbetrug.

Durch Rechnungsbetrug kann Unternehmen viel, ja sogar sehr viel Geld durch die Lappen gehen. Mit entsprechenden Folgen für die Betriebsmittel und die Rentabilität. Und auch der Ruf des Unternehmens kann bei Lieferanten und Investoren Schaden nehmen, vor allem wenn durch den Betrug sensible Daten preisgegeben werden.

Ob in großen oder kleinen Unternehmen – Rechnungsbetrug ist weitverbreitet. Es gibt jedoch Faktoren, die Betrug begünstigen. Hier einige Beispiele:

• Nicht standardisierte und manuelle Prozesse erschweren es, betrügerische Aktivitäten oder Unregelmäßigkeiten zu erkennen. Und das macht es deutlich leichter, insbesondere Papier- oder PDF-Rechnungen zu fälschen.
• Schwachstellen bei internen Kontrollen, etwa die Bündelung mehrerer Zahlungsschritte bei einer einzigen Person oder unzureichende Prüfverfahren, können dazu führen, dass Betrug über längere Zeit unbemerkt bleibt.
• Ein sehr hohes Transaktionsvolumen, wie es bei Unternehmen mit komplexen Lieferketten oder einer Vielzahl von Lieferanten typisch ist, kann zu Fehlern bei der Abwicklung führen. Wenn monatlich Hunderte – oder gar Tausende – von Rechnungen eingehen, ist es schwer sicherzustellen, dass wirklich alle korrekt sind.
• Mangelnde Cybersicherheit und unzureichende Schulungen der Beschäftigten erhöhen die Anfälligkeit für Angriffe durch Phishing oder Malware.
• Unzureichende Überprüfungen von Anbietern während des Beschaffungsprozesses können der Zusammenarbeit mit unzuverlässigen Lieferanten Vorschub leisten. Und wer langjährigen Lieferanten zu sehr vertraut, wird bei der Überprüfung von Rechnungen vielleicht nachlässig.

Einige typische Beispiele für Rechnungsbetrug

Rechnungsbetrug nutzt Schwachstellen in Finanzsystemen oder in der menschlichen Urteilsfähigkeit aus und kann vielerlei Formen annehmen. Hier einige der gängigsten Methoden, denen Unternehmen ausgesetzt sind:

Scheinrechnungen

In diesem Fall erstellen Betrüger eine Rechnung für einen nicht existierenden Lieferanten oder aber ein echter Lieferant reicht eine Rechnung zur Bezahlung einer Bestellung ein, die nie aufgegeben wurde. Damit der Betrug nicht auffliegt, ähneln diese Rechnungen häufig denen von echten Lieferanten.

Mitunter wird eine Scheinfirma gegründet, die so ähnlich heißt, wie ein wirklich existierender Lieferant, beispielsweise Cotton Company anstelle von Cotton Company Co. Diese Scheinfirma könnte nun einem Kunden des ursprünglichen Lieferanten eine Rechnung über 500 T-Shirts stellen, die nie bestellt wurden. Ohne eine gründliche Prüfung, bei der die Rechnung mit der Bestellung abgeglichen wird, kann es passieren, dass die Buchhaltung die Rechnung bearbeitet und nicht bemerkt, dass sie gefälscht ist.

Doppelte Abrechnung

Doppelt ausgefertigte Rechnungen gehören zu den häufigsten Methoden von Rechnungsbetrug. Dabei reichen Lieferanten dieselbe Rechnung mehrmals ein, in der Hoffnung, dass der doppelt berechnete Betrag unerkannt bleibt und mehrmals bezahlt wird. Ein Beispiel für einen solchen Fall ist, wenn ein Lieferant eine vier Monate alte Rechnung erneut unter dem Vorwand einreicht, dass sie noch nicht bezahlt wurde. Wenn doppelte Rechnungen im System nicht gekennzeichnet werden, kann es leicht passieren, dass die Rechnung von der Buchhaltung tatsächlich noch einmal beglichen wird.

Besonders anfällig für diese Methode sind Unternehmen mit komplexen Lieferketten oder Firmen, die zahlreiche Forderungen einer Vielzahl von Lieferanten verarbeiten. Gehen monatlich mehrere Einzelrechnungen vom selben Lieferanten ein, lassen sich Dopplungen nur schwer erkennen.

Business E-Mail Compromise (BEC)

Bei dieser Masche geben sich Betrüger per E-Mail als Führungskräfte, Beschäftigte oder Lieferanten aus und bitten um die Begleichung von Scheinrechnungen. Dann erhält jemand in der Buchhaltung zum Beispiel eine dringende E-Mail vom angeblichen Finanzchef mit der Bitte, einen größeren Rechnungsbetrag auf ein neues Bankkonto zu überweisen. Die Nachricht wirkt täuschend echt, denn in der E-Mail-Adresse des echten CFO wurde ein einziger Buchstabe geändert. Dadurch ist der Unterschied nur schwer zu erkennen ist.

Bei dieser Art von Betrug werden ahnungslose Beschäftigte mit echt aussehenden Rechnungen getäuscht. Im Betreff wird häufig auf die Dringlichkeit hingewiesen und die E-Mail enthält eine neue Bankverbindung für die Zahlung. Opfer dieser Betrugsmethode sind eher Unternehmen, die Rechnungen üblicherweise per E-Mail und manuell abwickeln.

Eine weitere Methode sensible Daten zu stehlen, ist das Phishing. Dabei klickt ein Beschäftigter in einer E-Mail auf einen Link, über den dann Malware auf den Computer heruntergeladen wird. So erhält der Betrüger Zugang zu betrieblichen Informationen und Finanzdaten.

Überhöhte oder aufgeblähte Rechnungen

Bei dieser Methode werden von einem echten Lieferanten überhöhte Beträge in Rechnung gestellt und letztlich mehr Waren und Dienstleistungen abgerechnet als tatsächlich geliefert wurden. Zum Beispiel wird eine Rechnung über 1.000 Stück eines Produkts eingereicht, obwohl nur 800 geliefert wurden. Oder der Stückpreis einer Rechnung wird geändert, auch wenn in der Bestellung ein anderer steht.

Natürlich kann es sein, dass solche überhöhten Rechnungsbeträge irrtümlich entstehen. Wenn das bei einem Lieferanten aber häufiger vorkommt, ist das ein Warnsignal. Ohne digitales Tracking und ohne ein analytisches System für das Ausgabenmanagement kann es sehr schwer und zeitraubend sein, solche Muster zu erkennen.

Unberechtigte Änderungen an den Zahlungsdaten

Bei dieser Betrugsform werden Zahlungsdaten wie die Kontonummer geändert, um Geld auf das eigene Konto umzuleiten. Das kann zum Beispiel so aussehen: Ein Betrüger fängt den E-Mail-Wechsel zwischen einem Lieferanten und einem Unternehmen ab und ändert die Bankdaten auf der PDF-Rechnung. Der Betrag wird dann auf das Konto des Betrügers und nicht an den eigentlichen Lieferanten überwiesen.

Es kann aber auch vorkommen, dass Beschäftigte die Kontodaten auf einer Rechnung ändern und Zahlungen auf ein persönliches Konto umleiten. Möglich wird diese Art von Betrug bei fehlender Aufgabentrennung, wenn Rechnungen von nur einem Beschäftigten und ohne Genehmigung durch eine zweite Person freigegeben und zur Zahlung angewiesen werden.

Interne Beschäftigte als Komplizen

Es gibt sogar Fälle, in denen Beschäftigte mit Lieferanten gemeinsame Sache machen und gegen Schmiergeld gefälschte Rechnungen genehmigen. Dann unterstützt jemand in der Buchhaltung einen Lieferanten bei der Erstellung falscher Rechnungen und sorgt dafür, dass diese auch genehmigt werden. Ist die Zahlung erfolgt, wird der Erlös geteilt.

Betrug mit Spesenrechnungen

Bei dieser Methode werden Spesenrechnungen überhöht, gefälscht oder manipuliert, etwa indem für eine Geschäftsreise mit einer Hotelrechnung über 2.000 Euro einfach zusätzliche ungenehmigte Tage abgerechnet werden. Oder indem echte Belege gefälscht werden, bevor sie zur Erstattung eingereicht werden. Dann werden aus den 50 Euro auf einer Taxiquittung schnell mal 125 Euro.

Praktische Tipps: So können Sie Rechnungsbetrug verhindern

Ob kleine lokale Firmen oder große globale Konzerne: Rechnungsbetrug kann überall vorkommen. Nehmen wir nur mal Google und Facebook. Beide verloren zusammen 100 Millionen US-Dollar an einen Betrüger, der sich als langjähriger Lieferant ausgab und Rechnungen, Verträge, Briefe, ja sogar Firmenstempel fälschte.

Doch mit den richtigen Strategien können sich Unternehmen schützen. Mit diesen Tipps können Sie Rechnungsbetrug unabhängig von der Größe Ihres Unternehmens erkennen und bekämpfen:

Konsequente Überprüfung sämtlicher Rechnungen

Es ist wichtig, dass bei jeder Rechnung Bestellung, Lieferbeleg und Vertragsbedingungen abgeglichen werden. Beim manuellen Abgleich von Rechnungen, der sehr zeitraubend und fehleranfällig ist, kommt genau das häufig zu kurz. Wenn der Stapel an Rechnungen immer größer wird, kann es leicht passieren, dass Sie sie einfach nur schnell genehmigen.

Genau das lässt sich mit einem digitalen, automatischen Dreifachabgleich verhindern. Er stellt sicher, dass Bestellungen, Rechnungen und Lieferbestätigungen übereinstimmen. Der Prozess läuft im Hintergrund, sodass sich die Kreditorenbuchhaltung auf anspruchsvolle Aufgaben konzentrieren kann. Automatische Buchhaltungsprozesse, die sich maschinelles Lernen zunutze machen, sind einfach effektiver, wenn es darum geht, Rechnungsangaben anhand von internen Daten zu überprüfen und Abweichungen bei Mengen, Preisen oder Bankangaben zu erkennen.

Aufgabentrennung

Werden mehrere Aspekte des Kreditorenprozesses von einer einzelnen Person kontrolliert, kann das Betrug begünstigen. Personen mit unlauteren Absichten können das schlecht überwachte System manipulieren. Und ehrlichen, aber überlasteten Beschäftigten, die jeden Monat allein Unmengen von Rechnungen bearbeiten müssen, unterlaufen schnell mal Fehler.

Werden aber Aufgaben wie die Genehmigung von Rechnungen und die Zahlungsabwicklung auf verschiedene Beschäftigte aufgeteilt, gibt es auch weniger Gelegenheiten für Betrug. Zweifach- oder Dreifachgenehmigungen von Transaktionen mit hohen Geldbeträgen bieten zusätzliche Kontrolle und verhindern betrügerische Zahlungen hoher Summen.

Eine Plattform für das Ausgabenmanagement mit automatischen und anpassbaren Workflows kann dabei helfen, eine solche Aufgabentrennung durchzusetzen. Mit einem nachverfolgbaren, digitalen Audit Trail ist es schwieriger, Dinge durchgehen zu lassen oder Rechnungen zu manipulieren. Und da digitale Workflows Berechtigungsnachweise erfordern, lassen sich damit auch unbefugte Zugriffe beschränken.

Abweichungen mit KI erkennen

Wie schnell müssen Sie Betrug erkennen können? Am besten noch bevor eine Zahlung erfolgt. Dazu brauchen Sie eine Betrugserkennung in Echtzeit, die riesige Datenmengen analysiert. Hier kommt KI ins Spiel. Sie ersetzt mühsame manuelle Prüfungen durch eine eigenständige, kontinuierliche und präzise Überwachung des gesamten Procure-to-Pay-Prozesses. So können Sie Unregelmäßigkeiten frühzeitig erkennen.

KI überprüft jeden Verarbeitungsschritt und vergleicht die Daten mit dem gesamten Datensatz des Unternehmens, um verdächtige Rechnungen zu erkennen. Sie kann erkennen, wenn Bestellungen oder Bankangaben des Lieferanten von der Rechnung abweichen, und berechtigte Benutzer darauf hinweisen. Anhand von Verlaufsdaten kann KI nach und nach sogar Verhaltensprofile von Beschäftigten und Lieferanten erstellen und Abweichungen erkennen, die sonst unerkannt blieben, z. B. wenn ein Lieferant immer wieder die falsche Menge in Rechnung stellt.

Voraussetzung für die Nutzung von KI: Sie brauchen dafür zentralisierte und bereinigte Betriebsdaten. Eine Plattform für das Ausgabenmanagement kann dabei helfen, den Überblick über die Prozesse und Daten des gesamten Procure-to-Pay-Prozesses zu behalten und einen zentralen Datensatz zu erstellen.

Sichere Kommunikationskanäle

Verschlüsselung und Multi-Faktor-Authentifizierung für Kommunikationskanäle sorgen dafür, dass sensible Finanzinformationen von Unbefugten weder eingesehen noch geändert werden können. Verschlüsselte Daten können auch dann nicht gelesen oder geändert werden, wenn die Kommunikation abgefangen wird. Bei der Multi-Faktor-Authentifizierung müssen Benutzer ihre Identität mehrfach bestätigen, zum Beispiel durch ein Kennwort und einen per Telefon übermittelten Code.

Externe E-Mail-Systeme sind für Phishing- und Spoofing-Angriffe anfälliger. Als beste Lösung für die Kommunikation mit Lieferanten erweist sich deshalb eine Plattform für das Ausgabenmanagement mit integriertem Messaging-Dienst. Solche Plattformen verwenden in der Regel erweiterte Verschlüsselungsfunktionen, Multi-Faktor-Authentifizierung und gesteuerte Benutzerberechtigungen, um den Zugriff auf bestimmte Ebenen zu beschränken.

Damit machen Sie sich von E-Mails als Kommunikationsmittel unabhängig und stellen sicher, dass Änderungen von Zahlungsanforderungen über mehrere Kanäle bestätigt werden können. Angenommen, ein Betrüger, der sich als Ihr Lieferant ausgibt, informiert Sie per E-Mail darüber, dass sich seine Bankangaben geändert haben. Wurde dies nicht auch über das Nachrichtensystem des Lieferantenportals kommuniziert, sollte das ein Warnsignal sein.

Virtuelle Karten

Eine virtuelle Karte ist eine einmalige oder einen bestimmten Lieferanten betreffende Zahlungsoption. Sie schränkt die Wahrscheinlichkeit von nicht genehmigten Transaktionen oder Betrug ein. Mit einer virtuellen Karte wird per Zufallsprinzip für jede Transaktion oder jeden eindeutigen Lieferanten eine neue Kartennummer generiert, was die Sicherheit und Kontrolle über die Zahlung erhöht. Die Daten der ursprünglichen Karte, die mit der virtuellen Karte verknüpft sind, werden zu keinem Zeitpunkt offengelegt. Zudem ist jede virtuelle Karte rein digital und enthält verschlüsselte Versionen für bestimmte Transaktionen, Lieferanten oder Zeiträume. Dadurch ist sichergestellt, dass Gelder nicht auf ein Betrugskonto umgeleitet werden können.

Regelmäßige Schulungen der Beschäftigten

Beim Kampf gegen Betrug stehen die Beschäftigten an vorderster Front. Ohne das entsprechende Wissen kann es vorkommen, dass Warnsignale nicht erkannt werden oder Betrug versehentlich begünstigt wird.

Hier einige allgemeine Tipps, die Sie an Mitarbeitende weitergeben sollten:

• Klicken Sie niemals auf einen Link bzw. laden Sie keine Anhänge von E-Mails herunter, die von einem unbekannten Absender stammen.
• Überprüfen Sie bei jeder per E-Mail eingehenden Rechnung immer die E-Mail-Adresse des Absenders, die Antwortadresse und den Schreibstil.
• Alle dringenden Anfragen oder solche mit ungewöhnlichen Zahlungsanweisungen sollten sorgfältig geprüft werden.
• Wenn ein Lieferant eine Zahlung an ein neues Konto verlangt, sollten Sie dies immer in Rücksprache mit einem festen Ansprechpartner beim Lieferanten überprüfen.

Stellen Sie durch regelmäßige Schulungen oder interne Newsletter sicher, dass Beschäftigte über neueste Betrugsmethoden informiert sind.

Einführung von Software zur Erkennung von Rechnungsbetrug

Eine Software, die Rechnungsbetrug erkennen kann, ist wie ein Hightech-Sicherheitsnetz für Ihre Unternehmensfinanzen. So wie ein Sicherheitssystem für Ihr Zuhause auf ungewöhnliche Vorfälle achtet – zum Beispiel ein offenes Fenster, das auf ungebetenen Besuch hindeutet –, behält die Betrugserkennungssoftware den Überblick über alle Rechnungen und sucht nach verdächtigen Aktivitäten.

Diese Software verwendet maschinelles Lernen und modernste Analysefunktionen (eine spezielle Art von KI), um Fehler und Abweichungen in Ihren Procure-to-Pay-Prozessen zu erkennen. Um diese Aufgabe gut erledigen zu können, braucht die KI Daten. Deshalb sind zentralisierte und bereinigte Daten entscheidend dafür, dass die Software auch funktioniert. Achten Sie beim Einrichten einer zentralen Datenbank auf folgende Punkte:

Arbeiten Sie mit der IT-Abteilung zusammen

Stellen Sie gemeinsam mit der IT sicher, dass die Software kompatibel ist und den Echtzeit-Datenaustausch mit den ERPs, dem Zahlungssystem und den Tools für das Lieferantenmanagement Ihres Unternehmens ermöglicht. Eine moderne Plattform für das Ausgabenmanagement kann helfen, einen Großteil der Datenverwaltung zu automatisieren.

Automatisieren Sie Ihre Buchhaltung

Weg von manuellen Abläufen und hin zu einer automatischen Kreditorenbuchhaltung – damit stellen Sie sicher, dass der Abgleichsprozess an ein zentrales System übergeht. Jede Bestellung und jede Rechnung fließt in einen Datensatz mit Verlaufsdaten ein und kann entsprechend nachverfolgt, gespeichert und analysiert werden. Außerdem reduziert die Automatisierung manuelle Aufgaben und senkt die Fehlerquote, sodass sich Ihre Buchhaltung auf strategische Aufgaben konzentrieren kann.

Verwenden Sie ein Tool für die Datenextraktion

Ihre Lieferanten verwenden wahrscheinlich ganz verschiedene Tools, um Rechnungen zu stellen. Daher empfiehlt sich auch eine Lösung, die Daten aus Rechnungen in PDF- und Bildformaten extrahieren und diese automatisch mit elektronischen Rechnungsdatensätzen abgleichen kann. So müssen Ihre Lieferanten und Ihr Team Rechnungen nicht mühsam von Hand in das System eingeben.

So funktioniert Betrugserkennungssoftware

Mit einer Software zur Erkennung von Rechnungsbetrug können Unternehmen proaktiv gegen Manipulationen vorgehen, statt nur zu reagieren. Und so funktioniert‘s:

Engine mit vorkonfigurierten Regeln

Die Software analysiert Rechnungen anhand vorkonfigurierter Regeln. Sie kennzeichnet Zweifelsfälle, etwa doppelte Rechnungen, Rechnungen, die bestimmte Schwellenwerte überschreiten, Zahlungen an nicht genehmigte oder inaktive Lieferanten und plötzliche Änderungen bei Zahlungsangaben für Forderungen. So können Sie verhindern, dass Rechnungen bezahlt werden, die nicht einwandfrei sind.

Mit der Betrugserkennungssoftware SpendGuard™ von Coupa können Benutzer Workflows und Regeln über einfache Drag-and-Drop-Funktionen anpassen. Überschreitet eine bestimmte Rechnung beispielsweise einen Budgetgrenzwert, kann sie gekennzeichnet und an den entsprechenden Prüfer weitergeleitet werden. Außerdem wird durch Admin-Anmeldedaten sichergestellt, dass Beschäftigte, die möglicherweise unlautere Absichten hegen, Regeln oder Workflows ohne entsprechende Genehmigung nicht ändern können.

Erkennen von Abweichungen

Mit KI lassen sich direkte und indirekte Ausgaben in Echtzeit nachverfolgen und Unregelmäßigkeiten ausmachen. Das erhöht die Transparenz und Sie können Rechnungsbetrug erkennen und eingreifen, bevor eine Zahlung erfolgt. Die hier verwendete KI ist eine Form des maschinellen Lernens, die Muster in früheren Daten erkennt und Abweichungen wie ungewöhnliche Rechnungsbeträge, unzulässige Ausgaben oder untypisches Verhalten von Lieferanten oder Beschäftigten kennzeichnet.

Mit SpendGuard können Sie Verhaltensprofile für Beschäftigte und Lieferanten erstellen, um so Transaktionen zu erkennen, die an sich nicht verdächtig sind, aber über die Analyse von Verlaufsdaten auf ein ungewöhnliches Verhalten hindeuten. SpendGuard umfasst 25 Warnmeldungen in sechs Schlüsselkategorien:

• Anforderungen
• Bestellungen
• Rechnungen und Zahlungen
• Spesen
• Sourcing-Events
• Stundennachweise

Analyse potenzieller Betrugstrends

Da die Software kontinuierlich Verlaufsdaten aus internen und externen Quellen analysiert, ist sie auch in der Lage, neu aufkommende Betrugstrends oder -maschen zu erkennen. Zu den internen Quellen gehören Daten wie Bestellungen, Rechnungen, Genehmigungen usw. Einige Softwarelösungen beziehen auch externe Quellen wie Lieferantenrisiken in verschiedenen Bereichen und Benutzertrends mit ein und bieten so zusätzlichen Schutz.

Coupa verfügt über den weltweit größten Satz an anonymisierten B2B-Transaktionsdaten und bietet Unternehmen so beispiellose Einblicke. Analysiert werden echte Transaktionen im Gesamtwert von 7 Billionen US-Dollar. Durch die enorme Bandbreite an Daten aus verschiedenen Branchen und Regionen kann die KI von SpendGuard potenzielle Risiken in Rechnungsmustern und Lieferantenbeziehungen identifizieren, die bei kleineren Datensätzen nicht erkennbar sind. Da die Daten aus unterschiedlichsten Branchen und Unternehmensgrößen stammen, ist außerdem eine kontextspezifische Betrugserkennung möglich. Das heißt, Sie können zwischen normalen Ausgabenmustern Ihrer Branche und echten Unregelmäßigkeiten unterscheiden.

Schützen Sie die Gewinne und den Ruf Ihres Unternehmens in einem hochdynamischen Geschäftsumfeld. Entscheiden Sie sich für eine proaktive Betrugserkennung – mit Coupa. So bündeln Sie alle Ausgabenvorgänge auf einer einzigen Plattform und nutzen die Vorteile einer hochmodernen KI-Technologie.

*Quelle: ACFE-Bericht Occupational Fraud 2024: A Report to the Nations