Angriffsziel Mensch: Warum Cybersicherheit im Rechnungswesen eine Prozessfrage ist

Cyberangriffe nutzen Vertrauen, Zeitdruck und KI. Im Rechnungswesen entscheidet deshalb nicht nur Technik - sondern vor allem der Prozess.

Technische Schutzmaßnahmen wie Firewalls reichen nicht mehr aus. Cyberkriminelle nutzen gezielt psychologische Tricks, um Mitarbeiter im Finanzwesen zu manipulieren. Unternehmen können sich durch klare Prozesse dagegen schützen.

Cyberangriffe beginnen häufig mit einer E-Mail, einem Telefonat oder einer Nachricht. Gerade im Rechnungswesen kann ein überzeugender Täuschungsversuch schnell zu einem erheblichen finanziellen Schaden führen.

Technische Schutzmaßnahmen bleiben unverzichtbar

Firewalls, Updates, Virenschutz, Mehr-Faktor-Authentifizierung und sichere Zugänge bilden wichtige Schutzschichten. Trotzdem konzentrieren sich Angreifer zunehmend auf einen anderen Weg: den Menschen. Das ist nachvollziehbar: Eine technisch gut abgesicherte Zahlungsplattform lässt sich nur mit erheblichem Aufwand angreifen - eine glaubwürdig formulierte Nachricht an einen Mitarbeiter kann dagegen bereits ausreichen. Genau hier setzt Social Engineering an.

Angreifer nutzen Vertrauen und Zeitdruck

Beim Social Engineering versuchen Angreifer, Menschen zu einer bestimmten Handlung zu bewegen. Sie sollen beispielsweise eine Datei öffnen, Zugangsdaten eingeben, eine Zahlung auslösen oder vertrauliche Informationen weitergeben. Die Angriffe funktionieren häufig deshalb, weil sie typische Abläufe im Unternehmen nachbilden.

Eine angebliche Nachricht des Geschäftsführers kurz vor Feierabend, die dringende Änderung einer Lieferanten-Bankverbindung oder die Bitte eines vermeintlichen Kollegen um Unterstützung bei einer ungewöhnlichen Zahlung: Die Täter nutzen gezielt psychologische Faktoren wie Zeitdruck, Hilfsbereitschaft, Autorität oder Angst vor negativen Folgen. Gerade das Rechnungswesen ist dafür ein attraktives Ziel. Hier laufen Informationen über Lieferanten, Bankverbindungen, Zahlungsströme und Freigaben zusammen.

Künstliche Intelligenz macht Täuschungen überzeugender

Künstliche Intelligenz (KI) verschärft diese Entwicklung deutlich. Phishing-Mails waren früher häufig an schlechter Sprache oder offensichtlichen Fehlern zu erkennen. Diese Hinweise verlieren an Bedeutung. Mit KI lassen sich heute innerhalb weniger Sekunden sprachlich überzeugende und exakt auf den Empfänger abgestimmte Nachrichten erzeugen. Öffentlich verfügbare Informationen aus Unternehmenswebseiten, sozialen Netzwerken oder Pressemitteilungen werden dabei direkt einbezogen.

Auch Stimme und Bild lassen sich zunehmend täuschend echt nachbilden (Deepfakes). Ein vermeintlicher Geschäftsführer kann deshalb nicht nur eine glaubwürdige E-Mail schreiben, im Extremfall entsteht auch eine gefälschte Sprachnachricht oder ein manipulierter Videoanruf. Damit verliert eine bisherige Sicherheitsregel an Kraft: "Ich erkenne doch meinen Chef an der Stimme."

Rechnungswesen braucht klare Sicherheitsprozesse

Die Antwort darauf kann nicht allein lauten, dass Mitarbeiter vorsichtiger sein müssen. Unternehmen benötigen Prozesse, die auch dann funktionieren, wenn ein Täuschungsversuch perfekt inszeniert ist. Besonders wichtig sind eindeutige Regeln für ungewöhnliche Zahlungen und die Stammdatenpflege.

* Der zweite Kommunikationsweg: Eine außergewöhnliche Zahlungsanweisung darf nicht allein deshalb ausgeführt werden, weil die Nachricht glaubwürdig wirkt. Änderungen von Bankverbindungen sollten immer über einen bekannten und unabhängigen Kommunikationsweg (z. B. ein Kontrollanruf unter der im ERP-System hinterlegten Nummer) bestätigt werden.
* Gelebtes Vier-Augen-Prinzip: Die zweite Freigabe muss ein echter Kontrollschritt sein und darf nicht zur routinemäßigen Bestätigung ohne eigene Prüfung verkommen.

Mitarbeiter als Schutzfaktor etablieren

Der Begriff "Faktor Mensch" wird in der Cybersicherheit oft negativ verwendet. Doch gut geschulte Mitarbeiter sind keine Schwachstelle, sondern eine zusätzliche, entscheidende Sicherheitsschicht. Sie können Angriffe erkennen, ungewöhnliche Abläufe hinterfragen und frühzeitig Alarm schlagen.

Entscheidend ist eine fundierte Verbindung aus Menschen, Organisation und Technik (MOT-Konzept). Dazu gehören klare Zuständigkeiten, bekannte Meldewege und regelmäßige Sensibilisierungen. Mitarbeiter müssen die Sicherheit haben, eine ungewöhnliche Anweisung ungestraft hinterfragen zu dürfen - auch wenn diese angeblich von der Geschäftsführung stammt.

Praxisfall: Die geänderte Bankverbindung

Ein Unternehmen erhält per E-Mail die Mitteilung eines langjährigen Lieferanten, dass sich dessen Bankverbindung geändert habe. Die Nachricht wirkt plausibel und enthält bekannte Ansprechpartner sowie passende Projektdaten. Kurz darauf geht eine Rechnung mit der neuen Kontoverbindung ein.

Der Mitarbeiter im Rechnungswesen prüft die Änderung jedoch nicht nur per E-Mail, sondern ruft den Lieferanten unter der bereits im ERP-System hinterlegten Telefonnummer an. Dabei stellt sich heraus: Die Bankverbindung wurde nie geändert.

Das zeigt, ein möglicher Schaden wird nicht durch bessere Technik verhindert, sondern durch einen klaren Prozess.

Cybersicherheit wird zur Organisationsaufgabe

Damit verändert sich die Rolle der Finanzabteilung. Cybersicherheit ist dort nicht mehr ausschließlich ein Thema der IT. Sobald Zahlungsprozesse, Stammdaten oder Freigaben betroffen sind, wird sie unmittelbar Teil der Organisation des Rechnungswesens.

Unternehmen sollten sich daher neben der Frage "Ist unsere IT sicher?" vor allem einer zweiten Frage stellen: "Sind unsere Prozesse so aufgebaut, dass ein überzeugender Täuschungsversuch nicht automatisch zu einem Schaden führt?" An dieser Schnittstelle entscheidet sich zunehmend die Widerstandsfähigkeit eines Unternehmens.

Über den Autor / Weiterführende Informationen:
Der Autor Jochen Treuz ist zertifizierter IT-Grundschutz-Praktiker (BSI) sowie Experte für die Digitalisierung im Rechnungewesen und die elektronische Rechnungsabwicklung. Er unterstützt Unternehmen, Verbände und Kammern bei der sicheren Gestaltung digitaler Finanzprozesse. Das Thema Social Engineering und Prozesssicherheit ist auch Bestandteil seiner halbtägigen Online-Seminarreihe "Cybersicherheit im Rechnungswesen". Weitere Informationen, Fachbeiträge und aktuelle Termine finden Interessierte unter www.treuz.de/seminare-cybersicherheit/ .

Verantwortlicher für diese Pressemitteilung:

Jochen Treuz | Trainer und Berater
Herr Jochen Treuz
Nördliche Hauptstraße 44
69469 Weinheim
Deutschland

fon ..: 06201877470
web ..: https://www.treuz.de
email : info@treuz.de

Dipl.-Kfm. Jochen Treuz ist freiberuflicher Trainer, Berater und Buchautor. Seine Schwerpunkte liegen im Rechnungswesen, seit 2016 bei der E-Rechnung, Digitalisierung, dem Einsatz künstlicher Intelligenz sowie der Cybersicherheit im Rechnungswesen. Er ist seit 2021 Geprüfter BSI IT-Grundschutz-Praktiker.

Er steht Redaktionen gerne für Interviews und Gastbeiträge zur Verfügung.

Pressekontakt:

Jochen Treuz | Trainer und Berater
Herr Jochen Treuz
Nördliche Hauptstraße 44
69469 Weinheim

fon ..: 06201877470
email : info@treuz.de