Warum Schweizer KMU ein bevorzugtes Ziel sind
Betrug bei Überweisungen und falsche Rechnungen treffen nicht nur Grossunternehmen. In Schweizer KMU, wo oft ein oder zwei Personen Buchhaltung, Zahlungen und Lieferantenbeziehungen verwalten, können ein einzelner Fehler oder eine betrügerische E-Mail in wenigen Stunden Verluste von Zehn- oder Hunderttausenden Franken verursachen. Die Kombination aus schlanken Prozessen, fehlender obligatorischer Revision und zunehmender Digitalisierung der Zahlungen verstärkt das Risiko.
Die häufigsten Fälle betreffen den CEO-Betrug (dringende Überweisungsanfrage eines vermeintlichen Führungskräfte), die Manipulation der Bankdaten des Lieferanten (veränderter IBAN auf einer legitimen Rechnung) und die Ausstellung von Phantomrechnungen für nie erbrachte Leistungen. In der Schweiz, wo E-Banking-Zahlungen schnell und oft unwiderruflich sind, bleibt kaum Reaktionszeit: Sobald die Überweisung ausgeführt ist, ist die Rückgewinnung des Geldes schwierig und kostspielig.
Dieser Leitfaden zeigt, wie Sie Vier-Augen-Kontrollen, Genehmigungsworkflows und Massnahmen zum buchhalterischen Schutz gemäss Obligationenrecht (OR) und den Schweizer Rechnungslegungsvorschriften strukturieren – mit einem praxisnahen Ansatz für Unternehmer, Verwaltungsverantwortliche und Treuhandbüros, die KMU begleiten.
Arten von Betrug bei Zahlungen und Rechnungen
Die Kenntnis der verbreitetsten Methoden ist der erste Schritt zur Gestaltung wirksamer Kontrollen. Hier sind die drei Kategorien, die Schweizer KMU am häufigsten betreffen:
CEO-Betrug und Social Engineering
Eine Nachricht, die vom Inhaber oder CFO zu stammen scheint, fordert eine dringende und vertrauliche Überweisung, oft auf ein ausländisches Konto. Zeitdruck und Vertraulichkeitsanfragen dienen dazu, die üblichen Kontrollen zu umgehen.
Rechnungen mit verändertem IBAN
Ein echter Lieferant sendet eine Rechnung, aber ein Angreifer ändert den IBAN oder fügt ein gefälschtes PDF bei. Die Ware oder Dienstleistung wurde tatsächlich bestellt, was den Betrug zum Zeitpunkt der Zahlung schwerer erkennbar macht.
Phantom-Lieferanten und -rechnungen
Nicht existierende Gesellschaften oder interne Mitarbeitende legen fiktive Lieferanten an, buchen Rechnungen für nie erbrachte Leistungen und autorisieren Zahlungen auf von Dritten kontrollierte Konten. Der Schaden häuft sich im Laufe der Zeit an, wenn Kreuzkontrollen fehlen.
Vergleich zwischen informellem Ansatz und strukturierten Kontrollen
Viele Schweizer KMU verlassen sich noch auf informelle Praktiken. Der Vergleich zeigt, wo sich die Risiken konzentrieren und welche Massnahmen das Risiko verringern:
| Aspekt | Informeller Ansatz (typisch KMU) | Strukturierte Kontrollen |
|---|---|---|
| Zahlungsautorisierung | Eine einzelne Person prüft und zahlt | Trennung zwischen Erfassung, Genehmigung und Ausführung |
| IBAN-Prüfung | Visuelle Kontrolle der erhaltenen Rechnung | Abgleich mit genehmigtem Lieferantenstamm und Zahlungshistorie |
| E-Banking-Überweisungen | Einzelunterschrift unter hoher Schwelle oder ohne Schwelle | Elektronische Doppelunterschrift mit Limits nach Betrag und Begünstigtem |
| Buchhalterische Nachverfolgbarkeit | Erfassung nach Zahlung, verstreute Dokumente | Dokumentierter Workflow: Bestellung → Empfang → Genehmigung → Buchung |
| Änderung Lieferantendaten | Jeder kann IBAN oder Adresse aktualisieren | Änderung bedarf Bestätigung durch zweite Person |
| Reaktion auf dringende Anfragen | Sofortige Zahlung, um Verzögerungen zu vermeiden | Anti-Betrugs-Verfahren: Rückruf auf bekannte Nummer |
| Interne Verantwortlichkeit | Nicht definiert oder implizit | Rollen und Unterschriftslimits schriftlich formalisiert |
| Periodische Überprüfung | Nur zum Geschäftsjahresabschluss | Monatlicher Bankabgleich und Stichproben bei Zahlungen |
Das Vier-Augen-Prinzip (Dual Control)
Das Dual Control oder Vier-Augen-Prinzip verlangt, dass keine kritische Finanzoperation von einer einzelnen Person abgeschlossen werden kann. In der Schweiz besteht keine einheitliche gesetzliche Pflicht für alle KMU, Dual Control einzuführen, doch verlangt Art. 957a OR eine nachprüfbare und der Unternehmung angemessene Buchführung, und Art. 716a Abs. 3 OR (AG) bzw. Art. 810 Abs. 2 Ziff. 3 OR (GmbH) verpflichten den Verwaltungsrat bzw. die Geschäftsführung, die Rechnungslegungsorganisation und die Finanzkontrolle festzulegen; Art. 717 OR und Art. 812 OR verlangen zudem eine sorgfältige Aufsicht über die Geschäftsführung. Dokumentierte interne Kontrollen sind die praktische Antwort auf diese Pflichten.
Funktionstrennung
Ideal: drei getrennte Rollen – wer die Rechnung erfasst, wer sie genehmigt und wer die Zahlung ausführt. In KMU mit wenigen Mitarbeitenden müssen mindestens zwei Rollen getrennt sein: Wer die Zahlung vorbereitet, darf nicht der einzige Unterzeichner sein.
Beispiel: Die administrative Assistenz erfasst die Rechnung in der Buchhaltung; der Finanzverantwortliche oder Inhaber genehmigt; erst dann wird die Zahlung im E-Banking mit gemeinsamer Unterschrift erfasst.
Bankdoppelunterschrift
E-Banking mit gemeinsamer Unterschrift konfigurieren (Z1/Z2 oder Z1/Z2/Z3) und differenzierte Limits nach Betrag. Typische Schwellen: bis CHF 5'000 Einzelunterschrift des Inhabers; von CHF 5'001 bis CHF 50'000 interne Doppelunterschrift; über CHF 50'000 Doppelunterschrift mit dokumentiertem telefonischem Bestätigungsverfahren.
Periodisch mit der Bank die Liste der autorisierten Unterzeichner überprüfen und Zugänge bei Austritt von Mitarbeitenden sofort entziehen.
Genehmigungsworkflow: vom Dokument zur Überweisung
Ein strukturierter Workflow verknüpft jede Zahlung mit nachprüfbaren Dokumenten und schafft eine Verantwortungskette. Hier die empfohlenen Phasen für ein Schweizer KMU:
Eingang und Erfassung
Die Rechnung trifft per E-Mail, Portal oder Post ein. Sie wird in der Buchhaltung mit Bezug zur Bestellung oder zum Vertrag erfasst. Fehlt die Bestellung, bleibt die Rechnung bis zur Klärung mit dem Verantwortlichen der betroffenen Abteilung ausstehend.
Stammdaten- und IBAN-Prüfung
IBAN, Betrag und Lieferantendaten mit dem genehmigten Stammdatenblatt abgleichen. Jede IBAN-Änderung erfordert schriftliche Bestätigung des Lieferanten über einen separaten Kanal (Anruf auf die im Stammdatenblatt hinterlegte Nummer, nicht die auf der verdächtigen Rechnung angegebene) und Genehmigung durch eine zweite Person.
Formale Genehmigung
Der autorisierte Verantwortliche genehmigt die Zahlung gemäss definierten Limits (z. B. Manager bis CHF 10'000, Inhaber darüber). Die Genehmigung wird in der Buchhaltungssoftware mit Datum, Benutzer und allfälliger Notiz nachverfolgt. Zahlungen ausserhalb des Budgets oder an neue Lieferanten erfordern eine zusätzliche Genehmigung.
Ausführung und Abstimmung
Die Zahlung wird im E-Banking erfasst und gemäss den Unterschriftsregeln signiert. Am Monatsende stellt der Bankabgleich sicher, dass jeder Ausgang einer genehmigten und gebuchten Rechnung entspricht. Abweichungen lösen eine vertiefte Prüfung aus.
Buchhalterischer Schutz: Nachverfolgbarkeit und Compliance
Betrugsprävention ist nicht nur ein IT- oder Bankthema: Die Buchhaltung ist das Alarmsystem und die Beweisbasis im Streitfall. Die anerkannten Rechnungslegungsvorschriften (Art. 962a OR), insbesondere Swiss GAAP FER für KMU und, soweit anwendbar, IFRS, verlangen vollständige, verständliche und nachprüfbare Buchungen.
Dokumentenaufbewahrung: Gemäss Art. 958f OR sind Buchungsbelege zehn Jahre aufzubewahren. Rechnungen, Bestellungen, Genehmigungsbestätigungen und Kontoauszüge bilden die Akte jeder Zahlung und sind wesentlich für Meldungen an die Versicherung, die Kantonspolizei oder in zivilrechtlichen Verfahren.
Kontrolliertes Lieferantenregister: Einen Lieferantenstamm mit beim ersten Zahlungslauf verifiziertem IBAN führen. Spätere Änderungen müssen ein Audit-Log erzeugen. Eine Buchhaltungssoftware wie Accountex ermöglicht es, jede Rechnung mit dem Master-Lieferanten zu verknüpfen und Unstimmigkeiten bei Bankverbindungen oder wiederkehrenden Beträgen zu melden.
Abstimmung und Analyse: Der monatliche Bankabgleich ist keine Formalität: Er identifiziert Zahlungen ohne Beleg, Doppelzahlungen und anomale Beträge. Eine vierteljährliche Analyse der zehn grössten Lieferanten nach Zahlungsvolumen hilft, Phantom-Lieferanten oder ungewöhnliche Konzentrationen zu erkennen.
Revision und Treuhand: KMU mit ordentlicher oder eingeschränkter Revision profitieren von einer zusätzlichen externen Kontrolle. Auch ohne Revisionspflicht (Opting-out gemäss Art. 727a Abs. 2 OR, wenn die Gesellschaft im Jahresdurchschnitt nicht mehr als 10 Vollzeitstellen hat und alle Aktionäre bzw. Gesellschafter zustimmen), kann ein Treuhandbüro einen Plan für interne Kontrollen definieren und dessen Anwendung ein- bis zweimal jährlich überprüfen.
Warnsignale, die zu überwachen sind
Einige Indikatoren verdienen eine sofortige Prüfung, unabhängig vom Betrag:
| Signal | Möglicher Betrug | Empfohlene Massnahme |
|---|---|---|
| Dringende und vertrauliche Zahlungsanfrage | CEO-Betrug | Absender auf offizieller Nummer zurückrufen; nicht zahlen, bis bestätigt |
| IBAN weicht vom historischen Lieferanten-IBAN ab | Rechnungsmanipulation | Mit Lieferant über unabhängigen Kanal verifizieren; Zahlung sperren |
| Neuer Lieferant mit hohem Betrag | Phantomrechnung | Existenz prüfen (UID, HR), Vertrag und Referenzen vor erster Zahlung |
| Doppelte Rechnungen oder unregelmässige Nummerierung | Doppelzahlung oder interner Betrug | Mit Eingangsrechnungsregister abgleichen; Verantwortlichen informieren |
| Zahlungen auf ungewöhnliche Auslandskonten | Betrügerische Überweisung | Verstärkte Genehmigung; GwG-Konformitätsprüfung, falls anwendbar |
| Widerstand gegen Genehmigungsverfahren | Möglicher interner Betrug | Interne Untersuchung; Treuhänder oder Rechtsberatung einbeziehen, falls nötig |
Praktische Umsetzung: vom Papier zum Digitalen
Auch ein KMU mit wenigen Ressourcen kann in wenigen Wochen wirksame Kontrollen einführen, indem es interne Regeln, Bankinstrumente und Buchhaltungssoftware kombiniert:
Woche 1–2: Regeln und Rollen
- Interne Weisung zu Zahlungen erstellen (Limits, Unterschriften, Ausnahmen)
- Festlegen, wer genehmigt, wer zahlt und wer abstimmt
- E-Banking-Doppelunterschrift mit Betragsschwellen konfigurieren
- Personal zu CEO-Betrug und IBAN-Prüfung schulen
Woche 3–4: Digitalisierung der Buchhaltung
- Lieferantenrechnungen in einem einheitlichen Fluss bündeln (dedizierte E-Mail, Scan)
- Jede Zahlung in Accountex mit Rechnung und Bestellung verknüpfen
- Alerts bei Änderungen im Lieferantenstamm aktivieren
- Systematischen monatlichen Bankabgleich starten
Digitalisierung ersetzt nicht das menschliche Urteilsvermögen, reduziert aber Fehler und schafft nachprüfbare Spuren. Ein digitaler Workflow macht den Status jeder Rechnung sichtbar – eingegangen, in Genehmigung, zahlungsbereit, bezahlt – und verhindert, dass verdächtige Dokumente der Kontrolle entgehen.
Geldrückgewinnung und Haftung
Wenn sich ein Betrug realisiert, erhöht schnelles Handeln die Chancen auf teilweise Rückgewinnung. Sofort die Bank kontaktieren, um eine Stornierung zu versuchen (in den ersten Minuten oder Stunden, je nach Überweisungsart), und die Straftat bei der Kantonspolizei anzeigen. In der Schweiz sind Betrug, Missbrauch einer Datenverarbeitungsanlage und Untreue strafbar (StGB, Art. 146, 147 und 158).
Zivilrechtlich hängt die interne Haftung von den Rollen ab: Ein Mitarbeitender, der ohne Einhaltung der Verfahren zahlt, kann wegen Fahrlässigkeit haftbar gemacht werden, insbesondere wenn eine formalisierte interne Weisung bestand. VR-Mitglieder oder Geschäftsführer, die angemessene Kontrollen unterlassen, riskieren Haftung wegen Verletzung der Sorgfaltspflicht (Art. 754 OR; bei GmbH Art. 827 OR).
Mit der Unternehmensversicherung (Haftpflicht, Cyberversicherung) prüfen, ob die Police Verluste durch IT-Betrug oder Social Engineering deckt: Viele Standardpolicen schliessen dieses Risiko aus, was präventive Kontrollen noch relevanter macht.
Operative Checkliste für Schweizer KMU
Nutzen Sie diese Liste, um den Stand Ihrer internen Zahlungskontrollen zu überprüfen:
- ☐Interne Zahlungsweisung erstellt und an alle beteiligten Mitarbeitenden kommuniziert
- ☐E-Banking-Doppelunterschrift aktiv mit definierten und geprüften Betragsschwellen
- ☐Funktionstrennung: Erfassung, Genehmigung und Zahlung durch unterschiedliche Personen (soweit möglich)
- ☐Lieferantenstamm mit verifiziertem IBAN; Änderungen unterliegen doppelter Bestätigung
- ☐Workflow Rechnung → Genehmigung → Zahlung in der Buchhaltung nachverfolgt
- ☐Anti-CEO-Betrugs-Verfahren: obligatorischer Rückruf bei dringenden Zahlungen
- ☐Monatlicher Bankabgleich abgeschlossen und dokumentiert
- ☐Periodische Schulung des Personals zu Betrug und Warnsignalen
- ☐Jährliche Überprüfung der Bankunterzeichnerliste und IT-Zugänge
- ☐Versicherungsdeckung für Verluste durch IT-Betrug überprüft
Fazit: Prävention als Investition, nicht als Kostenfaktor
Betrug bei Überweisungen und falschen Rechnungen trifft KMU jeden Sektors und jeder Grösse in der Schweiz. Vier-Augen-Kontrollen, Genehmigungsworkflows und buchhalterischer Schutz sind keine überflüssige Bürokratie: Sie sind die wirksamste Barriere zwischen Unternehmensliquidität und oft unwiderruflichen Verlusten.
Mit wenigen klaren Regeln beginnen – Funktionstrennung, IBAN-Prüfung, Bankdoppelunterschrift, Nachverfolgbarkeit in der Buchhaltung – und diese mit digitalen Tools wie Accountex verstärken, ermöglicht solide Abwehr ohne übermässige Belastung der Organisation. Die Kosten für die Umsetzung dieser Kontrollen sind im Vergleich zum durchschnittlichen Schaden eines einzelnen erfolgreichen Betrugs vernachlässigbar.
Für Unternehmer und Treuhandbüros ist die Betrugsprävention bei Zahlungen heute integraler Bestandteil verantwortungsvoller Unternehmensführung und der vom Schweizer Gesellschaftsrecht vorgesehenen buchhalterischen Compliance.