Verdächtige Rechnungen erkennen: Prüfliste für die Buchhaltung

Das Problem

Eine Rechnung kommt per E-Mail. Der Lieferant ist bekannt, der Betrag plausibel. Nur steht diesmal eine andere Bankverbindung darauf, mit dem Hinweis «Unser Konto hat gewechselt, bitte ab sofort hierhin überweisen». Wer das ohne Prüfung bezahlt, überweist das Geld möglicherweise an Betrüger.

Rechnungsbetrug gehört zu den häufigsten Angriffen auf Unternehmen. Er funktioniert, weil er den normalen Ablauf imitiert. Die Täter schicken gefälschte Rechnungen, verändern echte Rechnungen auf dem Weg, geben sich als Lieferanten oder Vorgesetzte aus oder üben Zeitdruck aus («bitte heute noch bezahlen, sonst Lieferstopp»). Dank KI sind Texte und gefälschte Absender glaubwürdiger geworden, und selbst Stimmen am Telefon lassen sich nachahmen.

Gute Nachricht: Mit einer festen Prüfroutine lassen sich die meisten Betrugsversuche stoppen. Es kommt weniger auf Technik an als auf Gewohnheiten: nachfragen, zweite Person, klare Regeln.

So lösen Sie es mit KI – Schritt für Schritt

1. Warnzeichen kennen. Prägen Sie sich die wichtigsten ein: geänderte Bankverbindung, Zeitdruck, ungewohnter Absender oder Absenderadresse, Bitte um Geheimhaltung, Zahlung ins Ausland, ungewöhnlicher Betrag, schlechte Sprache oder fehlende Details zur Leistung.

1. Absender prüfen. Schauen Sie die vollständige E-Mail-Adresse an, nicht nur den Namen. Achten Sie auf kleine Abweichungen wie ein zusätzliches Zeichen oder eine andere Endung.

1. Rechnung inhaltlich prüfen. Gibt es eine Bestellung oder einen Auftrag? Passt die Leistung? Stimmen Rechnungsnummer, Betrag und Datum mit Erwartungen überein? Siehe Eingangsrechnung prüfen.

1. Bankverbindung vergleichen. Vergleichen Sie die IBAN mit der bisher gespeicherten. Jede Änderung ist ein Alarmzeichen.

1. Rückruf unter bekannter Nummer. Rufen Sie den Lieferanten unter einer Nummer an, die Sie schon kannten, zum Beispiel vom Vertrag oder von der Website, nicht unter einer Nummer aus der verdächtigen E-Mail. Fragen Sie, ob die Änderung echt ist.

1. Zweite Person freigeben lassen. Zahlungen an neue oder geänderte Konten gibt eine zweite Person frei. Dieses Vier-Augen-Prinzip stoppt viele Versuche.

1. Auffälligkeiten mit KI auflisten lassen (optional). Sie können den Text der E-Mail, ohne Namen und Kontodaten, von der KI auf typische Betrugsmerkmale prüfen lassen. Nutzen Sie die Vorlage unten. Das Ergebnis ist ein Hinweis, kein Beweis.

1. Verdacht melden. Informieren Sie Ihre Vorgesetzte und die IT. Leiten Sie die Nachricht nicht weiter, und klicken Sie keine Links an. Meldemöglichkeiten bietet das Nationale Zentrum für Cybersicherheit (NCSC).

1. Bei erfolgter Zahlung sofort handeln. Informieren Sie umgehend Ihre Bank und bitten Sie um Rückruf der Zahlung. Erstatten Sie bei Bedarf Anzeige bei der Polizei. Je früher, desto besser.

Vorlage zum Kopieren

Du unterstützt die Buchhaltung eines Schweizer KMU bei der Prüfung einer verdächtigen Rechnungs-E-Mail. Du entscheidest nicht, ob sie echt ist.

Unten steht der Text der E-Mail (Namen und Kontonummern sind durch Platzhalter ersetzt).
Aufgabe:
1. Liste Merkmale, die für einen Betrugsversuch sprechen könnten (z. B. Zeitdruck, Änderung der Bankverbindung, ungewöhnliche Anrede, Geheimhaltungsbitte, Druck zu Zahlung im Ausland).
2. Liste Merkmale, die eher für eine echte Rechnung sprechen.
3. Nenne Fragen, die ich vor einer Zahlung klären muss (z. B. Rückruf unter bekannter Nummer).
Regeln: Gib keine Entwarnung. Schreibe am Ende: «Echtheit nur durch Rückruf unter bekannter
Nummer und Freigabe durch eine zweite Person klären.»

E-Mail: [Text ohne Namen und Kontodaten einfügen]

Verwenden Sie die Vorlage nur mit anonymisierten Texten. Die Entscheidung, ob bezahlt wird, folgt immer Ihrem Prüfablauf.

Worauf Sie achten müssen

• KI-gestützte Fälschungen: Betrugsmails sind heute sprachlich oft einwandfrei. Fehlerfreier Text ist kein Zeichen von Echtheit. Auch gefälschte Stimmen kommen vor, siehe KI-Stimmen und Betrug.
• Nur den Ablauf zählt: Eine KI kann Texte auf Auffälligkeiten prüfen, aber sie erkennt nicht jede Fälschung. Verlassen Sie sich nicht auf ihr Urteil.
• Vertrauliche Daten: Geben Sie keine echten Namen, Kontonummern oder Verträge in ungeprüfte Werkzeuge ein.
• Druck von Vorgesetzten: Auch Anweisungen «von der Chefin», schnell zu zahlen, können gefälscht sein. Rückfragen sind kein Misstrauen, sondern Pflicht.
• Links und Anhänge: Öffnen Sie bei Verdacht keine Anhänge und klicken Sie keine Links. Sie könnten Schadsoftware enthalten, siehe Phishing.
• Meldekultur: Wer einen Fehler macht oder einen Verdacht hat, soll das sofort melden können, ohne Vorwürfe. Schnelle Meldungen retten Geld.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Baugeschäft in Brugg bekommt von seinem Baustofflieferanten eine E-Mail: «Bitte beachten Sie unsere neue Bankverbindung ab dem 1. Oktober.» Die Rechnung über CHF 18'400 ist beigefügt. Die Sachbearbeiterin Frau Meier bemerkt die andere IBAN und eine leicht abweichende Absenderadresse.

Sie ruft den Lieferanten unter der Nummer an, die auf dem Vertrag steht. Dort weiss niemand von einer Änderung. Frau Meier meldet den Vorfall dem Geschäftsführer und der IT, löscht die Nachricht nicht, sondern sichert sie für die Meldung. Die Zahlung wird nicht ausgeführt. In der nächsten Teamsitzung wird die neue Regel besprochen: Jede Änderung einer Bankverbindung wird telefonisch bestätigt, und Zahlungen an geänderte Konten gibt eine zweite Person frei.

So hilft Ihnen Alpasana

Damit Ihr Team Betrugsversuche erkennt, gibt es bei absofort Kurse zu Phishing, Deepfakes und betrieblichen KI-Richtlinien. Sie sind unter KI und IT für konkrete Arbeitsaufgaben beschrieben, zusammen mit der Vorbereitung von Buchhaltungsunterlagen und Praxisaufgaben mit KI-Lerncoach und verifizierbarem Abschluss.

Für Teams bietet Linup den Kurs KI sicher am Arbeitsplatz mit acht Modulen, der unter anderem den Umgang mit Daten, die Prüfung von KI-Ergebnissen und das Erkennen von Betrugsversuchen behandelt. Eine Sicherheitsberatung oder ein Zahlungsstopp bei Ihrer Bank sind damit nicht abgedeckt.

Häufige Fragen

Wie schnell muss ich handeln, wenn ich schon bezahlt habe?

Sofort. Rufen Sie Ihre Bank an und bitten Sie um Rückruf oder Sperrung der Zahlung. Informieren Sie danach Vorgesetzte und Polizei. Jede Stunde zählt.

Soll ich der KI vertrauen, wenn sie «keine Auffälligkeit» meldet?

Nein. Eine fehlende Warnung ist keine Entwarnung. Entscheidend sind Rückruf und Freigabe durch eine zweite Person.

Wie schule ich mein Team?

Mit kurzen, regelmässigen Übungen an echten Beispielen. Ideen finden Sie bei Phishing-Schulung mit KI vorbereiten.