Verifizierungsverfahren

Was ist Verifizierungsverfahren?

Ein langjähriger Lieferant teilt Ihnen per E-Mail mit, dass sich seine Bankverbindung geändert hat, und bittet Sie, den Zahlungsdatensatz vor dem nächsten Lauf zu aktualisieren. Die Rechnungsnummer ist echt, die Signatur passt zu der einer Person, mit der Sie bereits gesprochen haben, doch die Kontaktdaten und die Kontonummer stimmen nicht. Sie wenden das richtige Verfahren an: Sie öffnen das von der Beschaffung geprüfte Lieferantenverzeichnis, vergleichen die verifizierte Telefonnummer, E-Mail-Adresse und den Bankänderungsverlauf mit der E-Mail und rufen die dort hinterlegte Nummer zur Bestätigung an.

Was Sie lernen in Verifizierungsverfahren

• Behandeln Sie Änderungsanfragen für Bankdaten in der Kreditorenbuchhaltung als besonders risikoreich und verifizieren Sie jede formell – unabhängig von Dringlichkeit und bisheriger Geschäftsbeziehung.
• Nutzen Sie das maßgebliche Lieferantenverzeichnis, das die Beschaffung getrennt verwaltet, als einzige verlässliche Quelle für verifizierte Kontakt- und Bankdaten.
• Verwenden Sie keine Kontaktdaten aus einer verdächtigen Anfrage – die darin genannten Telefonnummern, Antwortadressen und Signaturblöcke gehören zum Angriff.
• Vergleichen Sie eine eingehende Anfrage mit dem Bankänderungsverlauf eines Lieferanten, um erfundene Geschichten über plötzliche Bankübernahmen oder Änderungen der Routing-Nummer zu erkennen.
• Bestätigen Sie jede Änderung der Bankverbindung vor einer Aktualisierung des Datensatzes über einen unabhängigen Kanal: Rufen Sie dazu die verifizierte Nummer aus dem Verzeichnis über eine aufgezeichnete Leitung an.
• Verlangen Sie einen formellen Änderungsantrag über die Beschaffung, bevor die Kreditorenbuchhaltung eine Änderung der Bankverbindung umsetzt.
• Reichen Sie einen strukturierten Vorfallbericht mit Absenderdomain, gefälschter Telefonnummer, betrügerischer Bankverbindung und den durchgeführten Verifizierungsschritten ein, damit das SOC weiteren Versuchen gezielt nachgehen kann.

Verifizierungsverfahren — Trainingsschritte

1. Ein ruhiger Donnerstagmorgen

   Es ist Donnerstagmorgen bei CypherPeak Technologies. Sie sind Alice, Koordinatorin der Kreditorenbuchhaltung, und der Zahlungslauf für Lieferantenrechnungen am Freitag ist Ihre letzte große Aufgabe vor dem Wochenende. Die meiste Arbeit ist Routine: Rechnungen mit Bestellungen abgleichen, Zahlungen in die Warteschlange stellen und prüfen, ob die Beschaffung Änderungen an Bankdaten formell genehmigt hat.

2. Eine E-Mail von Cascade Heavy

   In Ihrem Posteingang ist eine als dringend markierte E-Mail eingegangen. Als Absender wird Marcus Webb angezeigt, der leitende Kundenbetreuer bei Cascade Heavy Industries, einem Ihrer langjährigen Lieferanten.

3. Anfrage lesen

   Die Betreffzeile lautet DRINGEND: Bankdaten vor dem Zahlungslauf am Freitag ändern – INV-2026-3847 . Der Name Marcus Webb stimmt. Die Rechnungsnummer stimmt. Betrag und Fälligkeitsdatum passen zum Zahlungslauf am Freitag. Doch Marcus bittet Sie, die Zahlung auf ein brandneues Bankkonto umzuleiten, weil die Bank seines Unternehmens angeblich gerade übernommen wurde.

4. Verifizierungsrichtlinie von CypherPeak

   Die Arbeitsanweisung der Kreditorenbuchhaltung ist eindeutig. Bei jeder Anfrage zur Änderung von Bankdaten ist das Verifizierungsverfahren verpflichtend: Suchen Sie den Lieferanten in VendorVerify , dem von der Beschaffung geprüften, maßgeblichen Verzeichnis. Verwenden Sie die dort verifizierte Telefonnummer – niemals eine Nummer aus der Anfrage selbst. Bestätigen Sie die Änderung mit dem namentlich genannten Ansprechpartner des Lieferanten über eine aufgezeichnete Leitung. Verlangen Sie vor jeder Aktualisierung eines Bankdatensatzes einen formellen Änderungsantrag über die Beschaffung. Der Grund ist einfach: Ein Angreifer kann eine E-Mail, eine Signatur und sogar eine Antwortadresse fälschen. Die von der Beschaffung getrennt verwalteten, verifizierten Kontaktdaten kann er nicht fälschen.

5. VendorVerify öffnen

   Alice öffnet VendorVerify. Das Verzeichnis wird intern unter vendor-verify.cypherpeak.com gehostet und ist bei CypherPeak die einzige maßgebliche Quelle für Kontakt- und Bankdaten von Lieferanten.

6. Bei VendorVerify anmelden

   VendorVerify verwendet CypherPeak-SSO, mit dem Sie sich auch an allen anderen internen Portalen anmelden. Verwenden Sie die in Ihrem Passwort-Manager gespeicherten Zugangsdaten.

7. Nach dem Lieferanten suchen

   VendorVerify zeigt das Verzeichnis-Dashboard an. Suchen Sie nach dem in der E-Mail genannten Lieferanten, damit Sie die Angaben in der E-Mail mit den von der Beschaffung bestätigten Informationen vergleichen können.

8. Lieferantendatensatz öffnen

   Ein verifizierter Suchtreffer zeigt Cascade Heavy Industries. Öffnen Sie den Datensatz, um die verifizierten Kontakt- und Bankdaten einzusehen, die die Beschaffung getrennt verwaltet.

9. Verifizierte Telefonnummer vergleichen

   Der Lieferantendatensatz enthält die von der Beschaffung geprüften Kontaktdaten und das Prüfdatum. Vergleichen Sie diese Angaben mit denen in der E-Mail.

10. Bankänderungsverlauf vergleichen

    Bankänderungen werden bei CypherPeak formell dokumentiert. Die Beschaffung hält jede genehmigte Änderung samt Zeitstempel und verantwortlicher Person fest. Anhand dieses Verlaufs lässt sich die Behauptung in der E-Mail leicht widerlegen. VendorVerify und die E-Mail widersprechen sich bei den Kontaktdaten von Marcus. Sie müssen einen Kanal wählen, über den Sie die Anfrage beim echten Marcus bestätigen lassen, bevor Sie irgendetwas anderes tun.