Die Änderung der Lieferanten-IBAN gehört zu den häufigsten Betrugsszenarien in der Buchhaltung: eine gefälschte E-Mail mit neuen Bankdaten, eine Änderung im ERP, und die nächste Überweisung geht auf ein betrügerisches Konto. Dieser Beitrag zeigt, warum die Kontrolle nicht an einer einzelnen Person oder einem einzelnen System hängen darf und wie die Doppelfreigabe zwischen Sage Intacct und Arkaio das Risiko senkt.
Warum IBAN-Änderungen eine Schwachstelle sind
Im klassischen Ablauf ändert ein berechtigter Benutzer den Lieferantenstamm, manchmal allein aufgrund einer E-Mail. Die nächste Zahlung nutzt die neue Bankverbindung ohne weitere Prüfung. Für das Finanzteam sind die Folgen gravierend: schwer rückholbare Gelder, interne Untersuchung, belastete Lieferantenbeziehung. Das Risiko entsteht durch externen Betrug ebenso wie durch Erfassungsfehler.
Das Prinzip: eine Änderung, zwei Freigaben
- Änderung in Sage Intacct: löst eine Freigabeanfrage in Arkaio aus.
- Änderung in Arkaio: Sage Intacct wird erst nach Annahme der Änderung aktualisiert.
Ein kompromittiertes Konto oder eine einzelne Erfassung genügt daher nicht, um eine Zahlung umzuleiten. Das ergänzt die Funktionstrennung, die wir im Beitrag zur elektronischen VEU-Unterschrift beschreiben.
Weitere Kontrollen vor der Zahlung
- Prüfung von IBAN und BIC vor der Zahlungsvorbereitung: Eine nicht konforme Rechnung kann nicht ausgewählt werden.
- Eingefrorene Beträge ab der Eingabe durch den Benutzer.
- Erkennung ungewöhnlichen Verhaltens per Machine Learning (auffällige Aktivität, Wechsel der IP-Adresse): Betroffene Zahlungen werden blockiert.
- Konfigurierbare Rechte und Workflows: Freigabe oder Stornierung einer Zahlung hängen von den in Arkaio definierten Rollen ab.
Anwendungsfälle
- KMU: Bei kleinem Finanzteam bringt die Doppelfreigabe ein Vier-Augen-Prinzip ohne aufwendige Prozesse.
- Mittelstand und Gruppen mit mehreren Gesellschaften: Freigaben folgen den Rollen der jeweiligen Gesellschaft.
- Steuerberatungskanzleien: Änderungen von Bankverbindungen werden je Mandant nachvollzogen, wie im Beitrag zur zentralen Zahlungsabwicklung für Mandanten beschrieben.
Grenzen
Die Doppelfreigabe schützt den Zahlungsablauf, nicht den Ursprung der Anfrage. Wird die E-Mail eines Lieferanten glaubwürdig gefälscht, kann auch der Freigebende getäuscht werden. Ein Rückruf unter der bekannten Nummer des Lieferanten bleibt empfehlenswert.
Eine lückenlose Prüfspur
Jede Aktion wird protokolliert: wer was geändert, wer freigegeben hat und wann. Der Nachweis steht Prüfern, CFO und CISO direkt in Arkaio zur Verfügung.
Fazit
IBAN-Sicherheit darf Zahlungen nicht verlangsamen. Mit der Doppelfreigabe Intacct/Arkaio ist die Kontrolle in den Ablauf integriert: Legitime Änderungen durchlaufen einen klaren Freigabeprozess, betrügerische Versuche enden vor der Bank.