Rechnungs- und Zahlungsbetrug

Was ist Rechnungs- und Zahlungsbetrug?

Ein Angreifer registriert eine Domain, die sich nur durch ein Zeichen von der echten Lieferantendomain unterscheidet, und schickt der Kreditorenbuchhaltung eine Rechnung im gewohnten Format des Lieferanten. Es gibt weder Schadsoftware noch einen dringenden Vorwand, sondern nur ein sauber gestaltetes PDF mit der Bankverbindung des Angreifers. Zwei Kontrollmaßnahmen stoppen den Betrug: der 3-Wege-Abgleich von Bestellung, Wareneingang und Rechnung sowie die Prüfung der Bankdaten gegen den verifizierten Lieferantendatensatz. Sie führen beide durch, prüfen per Rückruf über eine unabhängige Nummer, lehnen die Rechnung ab und melden den Betrugsversuch.

Was Sie lernen in Rechnungs- und Zahlungsbetrug

• Führen Sie bei jeder Lieferantenrechnung den 3-Wege-Abgleich (Bestellung, Wareneingang, Rechnung) durch. Leiten Sie keine Rechnung weiter, bei der ein Prüfschritt fehlschlägt.
• Erkennen Sie, dass die Bankdaten auf einer Rechnung nicht maßgeblich sind. Gleichen Sie sie immer mit dem Lieferantenstamm ab, dessen Änderungen die Beschaffung nach einem geregelten Verfahren prüft.
• Erkennen Sie täuschend ähnliche Absenderdomains, fehlende oder als Platzhalter eingetragene Bestellnummern und ungewöhnlich kurze Zahlungsfristen als Warnsignale für Betrug mit Lieferantenrechnungen.
• Verwenden Sie keine Kontaktdaten aus einer verdächtigen Rechnung oder der dazugehörigen E-Mail. Telefonnummer und Antwortadresse gehören zum Angriff.
• Rufen Sie über einen unabhängigen Kanal die verifizierte Telefonnummer aus dem Lieferantenstamm an, um die Echtheit der Rechnung zu bestätigen, bevor eine Zahlung angewiesen wird.
• Lehnen Sie bestätigte Betrugsrechnungen im Kreditorenbuchhaltungssystem mit einem strukturierten Grundcode ab. Dadurch wird ein Prüfprotokoll erstellt und das SOC benachrichtigt.
• Erfassen Sie in einem strukturierten Betrugsbericht die täuschend ähnliche Domain, die gefälschte Telefonnummer, die betrügerische Bankverbindung und die Ergebnisse des 3-Wege-Abgleichs. So kann das SOC weitere Versuche derselben Kampagne aufspüren.

Rechnungs- und Zahlungsbetrug — Trainingsschritte

1. Rechnungswarteschlange am Montagmorgen

   Es ist Montagmorgen bei Westmark Industrial. Sie sind Alice, Spezialistin in der Kreditorenbuchhaltung. In der Rechnungswarteschlange zum Monatsende sind noch 23 Posten offen. Der Zahlungslauf am Mittwoch ist der Stichtag. Die meisten Rechnungen sind Routine. Vor der Freigabe zum Zahlungslauf wird jede in InvoiceFlow mit der Bestellung und dem Wareneingang abgeglichen. Dieser 3-Wege-Abgleich ist die entscheidende Kontrolle, bevor eine betrügerische Rechnung zur Überweisung freigegeben wird.

2. Eine Rechnung von Apex Steel

   In Ihrem Posteingang ist eine neue E-Mail von Apex Steel & Fabrication eingegangen, einem Ihrer Stammlieferanten. Der Betreff nennt die Rechnung INV-AS-2026-1147; angehängt ist ein PDF.

3. Ein genauerer Blick auf die E-Mail

   Apex schickt jeden Monat Rechnungen wie diese. Beim schnellen Lesen wirkt die Nachricht daher zunächst unauffällig. Prüfen Sie sie trotzdem genau: Drei Details in der E-Mail sollten Sie stutzig machen, bevor Sie das PDF bearbeiten.

4. Rechnungs-PDF herunterladen

   Auch bei einer täuschend ähnlichen Domain lässt sich nur durch dieselbe Prüfung wie bei jeder anderen Rechnung feststellen, ob sie echt ist. Laden Sie das angehängte PDF in Ihren Download-Ordner herunter, damit Sie es öffnen können.

5. Heruntergeladenes Rechnungs-PDF öffnen

   Das PDF liegt jetzt in Ihrem Download-Ordner. Öffnen Sie es im Dateimanager, um die Rechnungspositionen, Zahlungsbedingungen und die aufgedruckte Bankverbindung für die Überweisung zu prüfen.

6. Was in der Rechnung steht

   Das PDF ist sorgfältig gestaltet: mit Briefkopf des Lieferanten, Rechnungspositionen und Zahlungsbedingungen. Für die Betrugserkennung sind zwei Angaben besonders wichtig: die Bestellreferenz und die Bankdaten . Prüfen Sie beide.

7. 3-Wege-Abgleich durchführen

   Ein nur überflogenes PDF ist keine Kontrollmaßnahme. Entscheidend ist der 3-Wege-Abgleich in InvoiceFlow: Die Rechnungspositionen müssen mit einer offenen Bestellung übereinstimmen, und der Wareneingang muss bestätigen, dass diese Positionen tatsächlich geliefert wurden. InvoiceFlow führt außerdem eine separate Prüfung gegen den Lieferantenstamm durch: Die Bankdaten auf der Rechnung müssen zum Lieferantenstamm passen. Wenn der Abgleich oder die Bankprüfung fehlschlägt, wird die Rechnung nicht in den Zahlungslauf übernommen.

8. Bei InvoiceFlow anmelden

   InvoiceFlow verwendet Westmark SSO – dasselbe Konto, mit dem Sie sich bei allen internen Portalen anmelden. Verwenden Sie die in Ihrem Passwort-Manager gespeicherten Zugangsdaten.

9. Rechnung zum Abgleich hochladen

   InvoiceFlow öffnet Ihren Arbeitsbereich für die Kreditorenbuchhaltung. Die E-Mail ging in Ihrem persönlichen Posteingang ein, nicht im Rechnungseingang der Kreditorenbuchhaltung. Daher ist die Rechnung in InvoiceFlow noch nicht erfasst. Klicken Sie auf „Rechnungs-PDF hochladen“, wählen Sie die eben heruntergeladene Datei aus und lassen Sie das System den Inhalt auslesen und den 3-Wege-Abgleich durchführen.

10. Ergebnisse des Abgleichs

    InvoiceFlow führt den Abgleich in Sekunden durch. Drei der vier Prüfungen schlagen fehl. Das System sperrt die Rechnung jedoch nicht automatisch, sondern kennzeichnet sie nur. Ob Sie den Fall eskalieren oder die Rechnung bezahlen, liegt bei Ihnen. Drei der vier Prüfungen des Abgleichs sind fehlgeschlagen, und die Absenderdomain ist eine täuschend ähnliche Domain. Sie müssen entscheiden, wie es weitergeht.