Stellen Sie sich Folgendes vor: Ihr Buchhalter bezahlt eine Rechnung über 48.000 US-Dollar von einem Lieferanten, mit dem Sie seit Jahren zusammenarbeiten. Der E-Mail-Verlauf ist echt. Die Rechnungsnummer stimmt. Das Einzige, was anders ist, ist eine kurze Notiz, die besagt, dass der Lieferant die Bank gewechselt hat, mit neuen Überweisungsanweisungen im Anhang. Ihr Buchhalter schickt das Geld – und es landet auf dem Konto eines Betrügers. Als Sie die Bank anrufen, erfahren Sie das Schlimmste: Weil Sie die Überweisung autorisiert haben, ist die Bank nicht verpflichtet, Ihnen auch nur einen Dollar davon zurückzugeben.
Das ist Authorized Push Payment Fraud, oder APP-Betrug, und es ist die am schnellsten wachsende Methode, mit der Kriminelle Unternehmen bestehlen. Anders als beim Kreditkartenbetrug gibt es keine gestohlene Kartennummer und keine unbefugte Abbuchung, die man anfechten könnte. Jemand bringt Sie dazu, den Knopf selbst zu drücken. Deloitte schätzt, dass die APP-Betrugsverluste in den Vereinigten Staaten im Jahr 2024 8,3 Milliarden US-Dollar erreicht haben und bis 2028 auf 14,9 Milliarden US-Dollar steigen könnten – oder auf 18,2 Milliarden US-Dollar, wenn KI-gestützte Betrugsmaschen den Schutzmaßnahmen der Gesellschaft davonlaufen. Das Internet Crime Complaint Center des FBI verzeichnete allein im Jahr 2025 24.768 Beschwerden über Business Email Compromise mit gemeldeten Verlusten von insgesamt 3,05 Milliarden US-Dollar. Und 79 % der Organisationen erlebten 2024 versuchten oder tatsächlichen Zahlungsbetrug, so die Association for Financial Professionals, die Business Email Compromise als häufigsten Angriffsvektor einstuft.
Wenn Sie ein Kleinunternehmen führen, ist das kein Problem für die Finanzabteilung von jemand anderem. Sie sind die Finanzabteilung. Hier erfahren Sie, wie die Masche funktioniert, warum das Geld so schwer zurückzuholen ist und welche Kontrollen sie tatsächlich stoppen.
Wie die Masche funktioniert: das Drehbuch für Lieferantenrechnungen
Betrug durch Unternehmensimitation war 2024 die am häufigsten gemeldete Art von APP-Betrug, mit mehr als 360.000 gemeldeten Fällen. Die auf Kleinunternehmen abzielende Variante folgt meist demselben Drehbuch in drei Akten.
Akt 1: Das Vorspiel – ein gekapertes Postfach, das Sie nicht sehen
Der Angreifer kompromittiert ein E-Mail-Konto – manchmal Ihres, häufiger das Ihres Lieferanten – und verhält sich dann still. Wochenlang leiten Postfachregeln jede Nachricht, die Wörter wie „Rechnung", „Zahlung" oder „Überweisung" enthält, automatisch an den Betrüger weiter, der Ihre Zahlungsrhythmen studiert: wer was genehmigt, welche Lieferanten wann bezahlt werden und wie ein normaler Rechnungsverlauf aussieht. Nichts wirkt falsch, weil noch nichts falsch ist. Die Kriminellen lesen nur mit.
Akt 2: Der Wechsel – neue Bankdaten in einem echten Verlauf
Wenn eine echte Rechnung fällig ist, schlägt der Betrüger innerhalb des authentischen E-Mail-Verlaufs zu, entweder vom kompromittierten Konto aus oder von einer ähnlich klingenden Domain (ihr-lieferant.com statt ihrlieferant.com). Die Nachricht ist kurz und plausibel: „Wir haben die Bank gewechselt – bitte verwenden Sie die beigefügten Anweisungen für diese und künftige Zahlungen." Die Rechnung selbst ist legitim. Der Betrag ist zu erwarten. Das Einzige, was sich geändert hat, ist das Ziel des Geldes.
Das funktioniert, weil es genau dann eintrifft, wenn Sie mit der Zahlung rechnen, von jemandem, dem Sie vertrauen, über einen Betrag, den Sie wiedererkennen. Ihre normale Skepsis wird nie aktiviert. Viele Opfer entdecken den Betrug erst Wochen später, wenn der echte Lieferant anruft und fragt, warum die Rechnung noch unbezahlt ist.
Akt 3: Das KI-Upgrade – perfekte Fälschungen in großem Maßstab
Generative KI hat jedes Erkennungsmerkmal beseitigt, das diese Maschen früher verraten hat. Das holprige Englisch ist verschwunden. Betrüger klonen jetzt die Stimme eines Lieferantenkontakts für einen „kurzen Bestätigungsanruf", erzeugen Deepfake-Videos für virtuelle Verifizierungstreffen und setzen KI-Agenten ein, die Dutzende personalisierte Betrugsgespräche gleichzeitig führen. Deloitte nennt Investmentbetrug als größten Treiber des APP-Betrugswachstums – ein Anstieg um das Vierzehnfache seit 2020 auf geschätzte 4,6 Milliarden US-Dollar im Jahr 2024 –, doch dieselben KI-Werkzeuge zielen direkt auch auf Unternehmenszahlungen, wo eine einzige umgeleitete Überweisung Zehntausende von Dollar wert sein kann.
Warum Ihre Bank Sie wahrscheinlich nicht entschädigen wird
Hier ist die Asymmetrie, die jeder Unternehmer verstehen muss. Wenn jemand Ihre Kreditkartennummer stiehlt, begrenzt Bundesrecht Ihren Verlust, und die Bank trägt den Rest. Wenn jemand Sie dazu bringt, ihm Geld zu überweisen, haben Sie es geschickt. Die Überweisung war autorisiert – von Ihnen, unter Vorspiegelung falscher Tatsachen – und autorisierte Überweisungen sind brutal schwer rückgängig zu machen, sobald das Geld das Haus verlassen hat, besonders bei Überweisungen und Echtzeit-Zahlungssystemen, die in Sekunden abgewickelt werden.
Für Unternehmen ist die Schutzlücke sogar noch größer als für Verbraucher. Die Fehlerbehebungsrechte der Regulation E gelten für Verbraucherkonten, nicht für Geschäftskonten, und sie wurden ohnehin für unbefugte Überweisungen geschrieben. Geschäftsüberweisungen fallen im Allgemeinen unter staatliches Handelsrecht, wo die Frage ist, ob die Bank „kommerziell angemessene" Sicherheitsverfahren befolgt hat – nicht, ob Sie getäuscht wurden. Wenn Ihre Bank ihre vereinbarten Verfahren befolgt hat und Sie die Zahlung authentifiziert haben, ist der Verlust vermutlich Ihrer.
Andere Länder haben begonnen, diese Lücke zu schließen. Seit Oktober 2024 müssen britische Banken APP-Betrugsopfern bis zu 85.000 £ pro Fall erstatten, wobei die Kosten gleichmäßig zwischen dem sendenden und dem empfangenden Institut aufgeteilt werden. Die Vereinigten Staaten haben keine entsprechende Regelung. Ein überparteilicher Gesetzentwurf, der TRAPS Act, würde eine bundesweite Taskforce für digitale Zahlungsbetrug einrichten, aber das ist ein Gesetzesvorhaben in der Frühphase, kein Sicherheitsnetz. Bis sich die Rechtslage ändert, sind Ihre internen Kontrollen Ihre einzige Versicherung – und anders als eine Versicherung sind sie kostenlos.
Die Kontrollen, die tatsächlich stoppen
Sie brauchen keine Konzern-Betrugsabteilung. Jede der folgenden Kontrollen ist auf ein Unternehmen zugeschnitten, in dem der Inhaber Zahlungen zwischen allem anderen genehmigt. Setzen Sie sie der Reihe nach um; allein die ersten beiden hätten die meisten Verluste in den Beschwerdedaten des FBI verhindert.
1. Verifizieren Sie jede Änderung von Bankdaten außerhalb des eigentlichen Kanals – ohne Ausnahmen
Machen Sie dies zu Ihrer einen nicht verhandelbaren Regel: Eine Änderung von Zahlungsanweisungen wird niemals allein per E-Mail akzeptiert. Wenn ein Lieferant – selbst ein vertrauter in einem vertrauten Verlauf – neue Bankdaten sendet, ruft jemand eine bekannte, zuvor gespeicherte Telefonnummer dieses Lieferanten an (nicht eine Nummer aus der E-Mail) und bestätigt die Änderung mündlich. Dann verifiziert eine zweite Person Beträge über Ihrer Schwelle erneut, bevor die Überweisung rausgeht.
Schreiben Sie die Regel auf, informieren Sie Ihre Lieferanten im Voraus darüber und geben Sie Ihrem Buchhalter ausdrückliche Erlaubnis, jede Zahlung zu verzögern, bei der die Verifizierung übersprungen wurde. Betrüger erzeugen Dringlichkeit („das muss heute raus, sonst stoppt die Lieferung"); Ihre Richtlinie sollte Ruhe erzeugen. Ein Lieferant mit einer echten Bankänderung übersteht eine Verifizierungsverzögerung von 24 Stunden. Ein Betrüger übersteht den Anruf nicht.
2. Verlangen Sie bei jeder Zahlung über einer Schwelle zwei Paar Augen
Funktionstrennung klingt nach Konzernjargon, ist aber im Kleinunternehmensmaßstab einfach: Die Person, die eine Zahlung erfasst, darf nicht die einzige sein, die sie genehmigt. Wählen Sie eine Schwelle, die zu Ihrem Volumen passt – viele Kleinunternehmen verwenden 1.000 oder 2.500 US-Dollar – und verlangen Sie oberhalb davon eine zweite Freigabe. Wenn Sie ein Unternehmen mit zwei Personen sind, ist der zweite Genehmiger derjenige, der die Zahlung nicht erfasst hat. Die meisten Geschäftskontoplattformen unterstützen die doppelte Autorisierung von Haus aus; schalten Sie sie ein.
Diese einzelne Kontrolle vereitelt sowohl externe Betrüger als auch das unangenehme interne Risiko, über das niemand gern spricht: Ein einzelner Mitarbeiter mit alleiniger Befugnis, Lieferanten anzulegen, Rechnungen zu erfassen und Zahlungen freizugeben, kann ganz ohne Hacker stehlen. Zwei Paar Augen schützen Sie in beide Richtungen.
3. Sichern Sie die E-Mail-Konten, über die Geld bewegt wird
Weil diese Maschen mit einem kompromittierten Postfach beginnen, ist E-Mail-Hygiene Zahlungssicherheit:
- Aktivieren Sie Multi-Faktor-Authentifizierung für jedes Postfach, das Rechnungen versendet, Zahlungen genehmigt oder Bankdaten von Lieferanten empfängt. Dies ist der wirksamste Schritt auf dieser Liste.
- Prüfen Sie automatische Weiterleitungen und Postfachregeln vierteljährlich. Angreifer verstecken Regeln, die finanzbezogene Mail an externe Adressen weiterleiten und ihre eigenen Nachrichten als gelesen markieren. Sehen Sie die Regelliste jedes Finanzpostfachs durch; löschen Sie alles, was Sie nicht angelegt haben.
- Registrieren Sie ähnlich klingende Domains Ihres eigenen Firmennamens, damit Betrüger sie nicht gegen Ihre Kunden und Lieferanten einsetzen können, und schulen Sie Ihr Team, mit der Maus über Absenderadressen zu fahren. Anzeigenamen lügen; Domains nicht.
- Führen Sie ein internes Codewort oder eine Verifizierungsphrase für Zahlungsfreigaben ein, die per Telefon oder Video angefragt werden. Eine geklonte Stimme kann alles sagen – außer einem Geheimnis, das ihr nie verraten wurde.
4. Aktivieren Sie die Bankkontrollen, für die Sie bereits bezahlen
Ihr Geschäftskonto enthält wahrscheinlich Betrugswerkzeuge, die standardmäßig deaktiviert sind. Rufen Sie Ihren Bankberater an und fragen Sie nach:
- Positive Pay für Schecks und sein ACH-Äquivalent – die Bank honoriert nur Zahlungen, die einer von Ihnen vorab freigegebenen Liste entsprechen.
- ACH-Lastschriftsperren und -filter, damit nur autorisierte Einreicher von Ihrem Betriebskonto abbuchen können.
- Rückrufverfahren und Doppelkontrolle bei Überweisungen, bei denen die Bank vor der Freigabe von Überweisungen über einem festgelegten Betrag einen autorisierten Zeichnungsberechtigten anruft.
Diese Dienste kosten manchmal eine kleine Gebühr. Vergleichen Sie sie mit einem einzelnen durchschnittlichen BEC-Verlust – weit über 100.000 US-Dollar pro Beschwerde in den FBI-Daten von 2025 – und die Rechnung beantwortet sich von selbst.
5. Verlangsamen Sie Echtzeit-Zahlungen absichtlich
Instant-Zahlungssysteme sind wunderbar für den Cashflow und furchtbar für die Betrugsrückgewinnung: Sobald Geld in Sekunden abgewickelt ist, gibt es nichts mehr zurückzuholen. Bauen Sie eine bewusste Pause in Ihren Prozess ein – bei erstmaligen Empfängern und geänderten Anweisungen; selbst eine noch am selben Tag per Telefon durchgeführte Verifizierung ist besser als sofortige Ausführung. Geschwindigkeit ist ein Merkmal des Systems, keine Anforderung Ihres Unternehmens. Nichts Legitimes geht kaputt, weil die erste Zahlung an einen neuen Lieferanten am Donnerstag statt am Dienstag rausgeht.
6. Kennen Sie Ihre Übung für die ersten 24 Stunden, bevor Sie sie brauchen
Die Chancen auf Rückgewinnung brechen nach dem ersten Tag zusammen, also proben Sie diese Abfolge jetzt:
- Rufen Sie sofort die Betrugsabteilung Ihrer Bank an – nicht die Filiale, das Betrugsteam – und beantragen Sie einen Überweisungsrückruf oder Umkehrungsversuch.
- Reichen Sie eine Beschwerde beim IC3 des FBI unter ic3.gov ein und kontaktieren Sie Ihr örtliches FBI-Feldbüro; Zeitstempel sind wichtig für die Nachverfolgung von Geldern.
- Bewahren Sie alles auf: vollständige E-Mail-Header, die ursprünglichen Nachrichtendateien, Rechnungen und Überweisungsbestätigungen. Löschen Sie die E-Mails des Betrügers nicht.
- Warnen Sie den imitierten Lieferanten über einen vertrauenswürdigen Kanal, damit er seine anderen Kunden warnen und seine eigenen Systeme sichern kann.
Hängen Sie diese Checkliste dort auf, wo die für Zahlungen zuständige Person sie in der Panik finden kann. Sie werden nicht klar denken können; die Checkliste wird es tun.
Gute Buchführung ist eine Betrugskontrolle
Beachten Sie, wie viele dieser Maschen von schlampigen Backoffice-Gewohnheiten leben: Lieferantenbankdaten, die aus einer E-Mail ohne Genehmigungsprotokoll aktualisiert werden; Rechnungen, die ohne Abgleich mit einem Beschaffungsdatensatz bezahlt werden; Bankabstimmungen, die vierteljährlich statt wöchentlich durchgeführt werden, sodass eine fehlende Zahlung monatelang verborgen bleibt. Straffe Bücher schließen diese Lücken.
Führen Sie eine kontrollierte Lieferantenstammdatei – jeder neue Lieferant und jede Bankänderung erfasst mit Angabe, wer sie wann und wie verifiziert hat. Gleichen Sie Rechnungen vor der Zahlung mit den Belegen ab, statt allein aus der E-Mail heraus zu zahlen. Stimmen Sie Ihre Betriebskonten mindestens wöchentlich ab, damit eine unbezahlte „bezahlte" Rechnung in Tagen auffällt, nicht zum Quartalsende – die visuelle Prüfung Ihrer Liquiditätsposition macht Anomalien schwerer zu übersehen. Und da jede Zahlungsentscheidung eine Prüfspur hinterlassen sollte, bewahren Sie Ihr Hauptbuch an einem Ort auf, der transparent und versionskontrolliert ist, wo ein geänderter Empfänger oder ein ungewöhnlicher Betrag auffällt, statt in einer Blackbox zu verschwinden.
Halten Sie Ihre Zahlungen – und Ihre Bücher – betrugsresistent
APP-Betrug funktioniert, weil er sich in legitimen Prozessen versteckt: eine echte Rechnung, ein vertrauter Lieferant, eine Zahlung, die Sie beabsichtigt hatten. Die Verteidigung besteht darin, diese Prozesse sichtbar und verifizierbar zu machen – doppelte Freigaben, verifizierte Lieferantendaten und Bücher, die Sie tatsächlich prüfen können. Beancount.io bietet Plain-Text-Buchhaltung, die Ihnen vollständige Transparenz und Kontrolle über Ihre Finanzdaten gibt, sodass ungewöhnliche Zahlungen auffallen und jede Änderung eine Spur hinterlässt. Starten Sie kostenlos und sehen Sie, warum Entwickler und Finanzfachleute auf Plain-Text-Buchhaltung umsteigen.
