Wenn Sie raten müssten, welche Zahlungsmethode Kriminelle im Jahr 2026 am häufigsten angreifen, würden Sie sich für einen Zettel entscheiden, der seit dem 17. Jahrhundert existiert, oder für eine Echtzeit-Überweisung? Die Antwort, laut der aktuellen Umfrage der Association for Financial Professionals (AFP) zu Zahlungsbetrug und -kontrolle, ist der Papierscheck. 58 % der Organisationen meldeten Betrug mit Schecks im Jahr 2025 – mehr als ACH-Lastschriften (30 %) und Überweisungen (25 %) zusammen, die nicht einmal mithalten können.
Insgesamt waren 76 % der US-Organisationen im letzten Jahr von versuchten oder tatsächlichen Zahlungsbetrug betroffen. Das ist kein Nischenproblem, das nur ein paar unglückliche Unternehmen betrifft – es ist die Standardumgebung für jeden, der Geld bewegt. Und die Unternehmen, die am schlechtesten gerüstet sind, um den Schaden zu verkraften, sind genau diejenigen, die am wahrscheinlichsten getroffen werden: kleine und mittelgroße Unternehmen ohne Treasury-Abteilung, Betrugsanalysten oder Bankbeziehungsmanager auf Kurzwahl.
Wenn Sie ein kleines Unternehmen führen und immer noch Schecks ausstellen oder akzeptieren – und die meisten Unternehmen tun das –, dann sind hier 10 Minuten Ihrer Aufmerksamkeit wert.
Warum Schecks trotz allem immer noch das Hauptziel für Betrug sind
Es scheint fast rückwärtsgewandt. Überweisungen bewegen Geld sofort und unwiderruflich, was sie eigentlich zum attraktiveren Ziel machen sollte. Aber Schecks haben eine strukturelle Schwäche, die neuere Zahlungsschienen nicht haben: Sie tragen alle Informationen, die ein Betrüger braucht – Ihre Bankleitzahl, Kontonummer, Unterschrift und Firmenname – in Klartext auf einem Stück Papier, das durch die Post reist, in einer unverschlossenen Schublade liegt oder auf einem Telefon fotografiert wird.
„Check Washing" – das chemische Entfernen der Tinte von einem gestohlenen Scheck und das Neuschreiben des Zahlungsempfängers und des Betrags – ist so verbreitet, dass der US Postal Inspection Service eigene Aufklärungskampagnen dazu durchführt. Hinzu kommen glatte Fälschungen (Drucken gefälschter Schecks mit Ihren Konto- und Bankleitzahlen aus einem abgefangenen Dokument) und veränderte Schecks (Erhöhung eines 500-Dollar-Schecks auf 5.000 Dollar), und Sie haben einen Betrugsvektor, der billig auszuführen und schwer auf einen einzelnen Fehlerpunkt zurückzuverfolgen ist.
Hier ist der Teil, der jedem Inhaber eines kleinen Unternehmens zu denken geben sollte: Trotz allem Wissen planen 72 % der schecknutzenden Organisationen gegenüber der AFP, weiterhin Schecks zu verwenden, und 68 % nannten Anforderungen von Lieferanten als Grund. Mit anderen Worten: Unternehmen entscheiden sich nicht für Schecks, weil sie Schecks für sicher halten – sie stecken in der Nutzung von Schecks fest, weil ein Lieferant, Vermieter oder Auftragnehmer darauf besteht, auf diese Weise bezahlt zu werden.
Die Verwundbarkeitslücke kleiner Unternehmen
Die AFP-Umfrage hebt einen Unterschied hervor, der sehr wichtig ist, wenn Sie nicht die Finanzabteilung eines Fortune-500-Unternehmens leiten. Die Verlustquoten unterscheiden sich stark nach Unternehmensgröße: 48 % der Firmen mit einem Jahresumsatz unter 1 Milliarde US-Dollar meldeten tatsächliche finanzielle Verluste durch Betrug, verglichen mit 66 % der größeren Organisationen.
Auf den ersten Blick klingt das nach einer guten Nachricht für kleine Unternehmen – weniger von ihnen verlieren Geld. Aber lesen Sie es andersherum: Größere Organisationen verfügen über Kontrollschichten (doppelte Autorisierung, spezielle Betrugsteams, Versicherungspolicen, die genau für dieses Szenario ausgelegt sind), die Betrugsversuche abfangen, bevor Geld das Unternehmen verlässt, oder die Gelder danach über Bankbeziehungen und rechtliche Ressourcen zurückholen, die ein Fünf-Personen-Unternehmen einfach nicht hat. Wenn Betrug bei einem kleinen Unternehmen doch durchkommt, gibt es in der Regel kein Sicherheitsnetz. Der Verlust wird nicht von einem Unternehmensversicherungsprogramm aufgefangen – er geht direkt aus dem Cashflow des Eigentümers.
Das ist die eigentliche Schlagzeile, die in dieser Umfrage verborgen ist: Kleine Unternehmen werden nicht seltener angegriffen, weil sie weniger verwundbar sind. Sie werden oft seltener angegriffen, weil sie kleinere Ziele mit kleineren Schecks zum Stehlen sind. Aber wenn ein Angriff erfolgreich ist, hat ein kleines Unternehmen weitaus weniger Spielraum, ihn zu verkraften.
Business Email Compromise nimmt ebenfalls rasant zu
Schecks sind nicht die ganze Geschichte. Business Email Compromise (BEC) – bei dem ein Betrüger per E-Mail einen Lieferanten, eine Führungskraft oder einen Kunden imitiert und eine Überweisung oder eine Änderung der Bankverbindung für Zahlungen anfordert – betraf 2025 74 % der befragten Organisationen, ein starker Anstieg gegenüber den Vorjahren.
Die klassische Version: Jemand, der von einer Adresse mailt, die wie die Ihres CFO aussieht („kurzer Gefallen, müssen Sie heute 8.000 US-Dollar auf dieses neue Lieferantenkonto überweisen, ich bin in Besprechungen"). Die anspruchsvollere Version, die jetzt auftaucht: Ein Betrüger, der tatsächlich den E-Mail-Thread eines echten Lieferanten kompromittiert oder gefälscht hat, und eine Rechnung mit „aktualisierten" Bankdaten sendet, die Ihre legitime Zahlung direkt auf sein Konto umleiten. Wenn Ihr Buchhaltungsprozess jede per E-Mail eingehende Rechnung ohne Überprüfungsschritt als vertrauenswürdig behandelt, sind Sie dafür anfällig, unabhängig von der Unternehmensgröße.
Die AFP-Umfrage hat in diesem Jahr auch etwas Neues zum ersten Mal hervorgehoben: KI-generierte Deepfake-Audio- und Videodateien, die verwendet werden, um Führungskräfte in Telefon- oder Videoanrufen zu imitieren und dringende Überweisungen anzufordern. Es ist noch eine aufkommende Bedrohung und keine weit verbreitete, aber es ist die Richtung, in die sich Betrug bewegt – und es bedeutet, dass „Ich habe die Stimme des CEO gehört, also muss es echt sein" keine sichere Annahme mehr ist.
Die KI-Einführungslücke – eine Chance, nicht nur eine Warnung
Nur 17 % der befragten Organisationen nutzen derzeit KI-Tools zur Betrugsbekämpfung, obwohl diejenigen, die dies tun, von sinnvollen Vorteilen berichten: 49 % sahen eine verbesserte Effizienz bei der Betrugsmeldung, 45 % berichteten von einer besseren Deepfake-Erkennung und 43 % sahen eine schnellere Echtzeit-Identifizierung von Betrug.
Für ein kleines Unternehmen muss „KI zur Betrugserkennung nutzen" nicht bedeuten, etwas Eigenes zu bauen. Die meisten modernen Banking-Plattformen für Unternehmen und Treasury-Tools bündeln mittlerweile eine grundlegende Anomalieerkennung – Markieren einer Zahlung, die ungewöhnlich hoch ist, an einen neuen Zahlungsempfänger geht oder zeitlich ungewöhnlich im Vergleich zu Ihren normalen Mustern ist – in ihr Standardangebot. Die Lücke, die die AFP-Umfrage beschreibt, ist eigentlich keine KI-Lücke; es ist eine Einführungslücke. Die Tools existieren und sind oft bereits in Ihrem Geschäftskonto bei Ihrer Bank enthalten. Die meisten Unternehmen haben sie nur nicht aktiviert.
Eine praktische Checkliste zur Betrugsprävention für kleine Unternehmen
Sie brauchen keine Treasury-Abteilung, um Ihr Betrugsrisiko signifikant zu senken. Hier ist, was wirklich den Unterschied macht, ungefähr in der Reihenfolge des Kosten-Nutzen-Verhältnisses:
1. Positive Pay aktivieren
Positive Pay ist ein Dienst, den die meisten Banken für Unternehmen anbieten (manchmal gegen eine kleine monatliche Gebühr, manchmal kostenlos mit einem Geschäftskonto), der jeden zur Zahlung vorgelegten Scheck mit einer Liste von Schecks vergleicht, die Sie tatsächlich ausgestellt haben. Wenn die Schecknummer, der Betrag oder der Zahlungsempfänger nicht mit dem übereinstimmt, was Sie der Bank mitgeteilt haben, wird er markiert, bevor er eingelöst wird, nicht danach. Da Schecks die am meisten angegriffene Zahlungsmethode sind, ist dies die wirkungsvollste Kontrolle auf dieser Liste – und sie liegt oft ungenutzt in Ihrem Online-Banking-Portal.
2. ACH-Lastschriftsperren oder -Filter hinzufügen
Wenn Sie keine automatischen ACH-Lastschriften von Lieferanten autorisieren, können Sie diese auf Bankebene vollständig sperren oder Filter einrichten, die nur Lastschriften von einer vorab genehmigten Liste von Unternehmen und Beträgen zulassen. Dies schließt die zweitmeist angegriffene Zahlungsmethode mit einer einzigen Einstellungsänderung aus.
3. Rückruf für jede Änderung der Bankverbindung verlangen
Dies ist kostenlos und dauert fünf Minuten, um es umzusetzen: Wenn ein Lieferant, Auftragnehmer oder eine „Führungskraft" per E-Mail darum bittet, eine Zahlung an ein neues Bankkonto zu senden, verifizieren Sie dies telefonisch – unter Verwendung einer Nummer, die Sie bereits in Ihren Unterlagen haben, nicht einer in der E-Mail angegebenen –, bevor Sie etwas senden. Diese einzige Gewohnheit vereitelt die Mehrheit der BEC-Angriffe, da das gesamte Schema des Betrügers davon abhängt, dass Sie der E-Mail blind vertrauen.
4. Trennen Sie die Genehmigung von Zahlungen von deren Versand
Selbst in einem Zwei- oder Drei-Personen-Unternehmen schafft es eine natürliche Kontrolle (kein Wortspiel beabsichtigt) gegen externen Betrug und interne Fehler, wenn eine Person eine Zahlung erfasst und eine andere Person sie genehmigt, bevor sie rausgeht. Wenn Sie ein echter Einzelunternehmer sind, ist der Ersatz eine obligatorische 24-Stunden-Verzögerung für jede neue oder ungewöhnlich hohe Zahlung, die Ihnen ein Zeitfenster zum Überprüfen gibt.
5. Wöchentlich abgleichen, nicht monatlich
Betrug, der innerhalb von Tagen entdeckt wird, ist oft wiedereinbringlich; Betrug, der erst nach einem Monat entdeckt wird, ist es in der Regel nicht. Wenn Ihre Buchhaltung in einem monatlichen Rhythmus läuft, geben Sie einem betrügerischen Scheck oder einer ACH-Lastschrift bis zu vier Wochen Zeit, um eingelöst, ausgegeben und unwiederbringlich zu werden, bevor Sie überhaupt bemerken, dass er passiert ist. Hier hören saubere, aktuelle Bücher auf, ein „Nice-to-have" zu sein, und werden zu Ihrem eigentlichen Betrugserkennungssystem – Sie können eine nicht autorisierte Transaktion in einem Abgleich, den Sie noch nicht durchgeführt haben, nicht erkennen.
Warum Ihre Buchhaltungsgewohnheiten Ihre erste Verteidigungslinie sind
Jede Kontrolle auf dieser Liste – Positive Pay, ACH-Filter, Rückrufverifizierung, doppelte Genehmigung – hängt von einer grundlegenden Gewohnheit ab: genau zu wissen, was sich zu jedem Zeitpunkt auf Ihren Konten befinden sollte, damit alles Unerwartete sofort auffällt. Ein Unternehmen, das täglich oder wöchentlich gegen ein klares, detailliertes Hauptbuch abgleicht, wird einen betrügerischen Scheck über 4.000 US-Dollar innerhalb von Tagen entdecken. Ein Unternehmen, das einmal im Monat gegen eine Tabelle abgleicht, die seit drei Wochen niemand geöffnet hat, wird ihn möglicherweise erst bemerken, wenn das Geld längst weg ist.
Dies ist eines der leiseren Argumente dafür, Ihre Bücher in einem Format zu führen, das Sie Zeile für Zeile prüfen können, anstatt in einer Black-Box-App, die Ihren Bargeldbestand zusammenfasst, ohne die zugrunde liegende Transaktionshistorie zu zeigen. Beancount.io bietet Ihnen eine Klartext-, versionskontrollierte Buchhaltung – jede Transaktion ist ein lesbarer, mit Zeitstempel versehener Eintrag, den Sie (oder Ihr Buchhalter) überprüfen, vergleichen und mit Ihrem Bankfeed abgleichen können, ohne durch eine proprietäre Oberfläche zu jagen. Wenn etwas nicht stimmt, können Sie genau sehen, was sich geändert hat und wann. Starten Sie kostenlos und sehen Sie, wie viel einfacher Betrug auffällt, wenn Ihre Bücher tatsächlich zum Lesen gemacht sind.