Invoice Fraud verhindern:
E-Rechnungen sicher versenden

• Manipulationsrisiko: Bei kompromittierten Systemen können Angreifer die eingebetteten XML-Daten (mit Bankverbindungen) ändern, ohne dass dies im sichtbaren PDF-Teil erkennbar ist.
• Automatisierte Verarbeitung: Moderne Buchhaltungssysteme verarbeiten meist die XML-Daten automatisch – während der Sachbearbeiter nur den visuellen PDF-Teil prüft. Ist sich das Unternehmen bzw. der/die Bearbeitende dieser Problematik nicht bewusst, entsteht eine Sicherheitslücke.
• Praktisches Beispiel: Eine Rechnung zeigt im PDF-Teil Kontodaten bei der Sparkasse, während die eingebetteten XML-Daten ein Konto bei einer ausländischen Bank enthalten. Das Buchhaltungssystem verwendet für die Überweisung automatisch die XML-Daten, ohne dass der Unterschied bemerkt wird.

• Auf technischer Ebene ist die Aktivierung von TLS 1.2/1.3 als Mindeststandard für den E-Mail-Transport unerlässlich. Diese Maßnahme bietet Schutz vor klassischen Man-in-the-Middle-Angriffen während der Übertragung.
• Besonders wichtig ist jedoch die Implementierung digitaler Signaturen für alle relevanten Rechnungen, idealerweise in Form qualifizierter elektronischer Signaturen nach eIDAS-Standard. Diese verhindern wirksam nachträgliche Manipulationen und ermöglichen dem Empfänger, die Authentizität der Rechnung zu überprüfen.
• Zum Schutz vor Account-Übernahmen, einem der häufigsten Angriffsvektoren, sollte eine zweistufige Verifizierung für alle E-Mail-Konten der Buchhaltung und des Finanzwesens eingerichtet werden.
• Technische Maßnahmen allein reichen jedoch nicht aus. Die Sensibilisierung der Mitarbeitende für typische Betrugsmaschen ist entscheidend, da menschliche Fehler oft die größte Schwachstelle darstellen. Schulungen sollten regelmäßig stattfinden und konkrete Beispiele für Invoice Fraud beinhalten. Die Einführung eines Vier-Augen-Prinzips bei Kontodatenänderungen kann zusätzlichen Schutz bieten – keine Änderung sollte ohne Bestätigung durch eine zweite Person umgesetzt werden.
• Bei neuen Bankverbindungen oder Änderungen bestehender Kontodaten sollte stets eine Verifizierung per Telefon erfolgen – niemals über den gleichen Kommunikationskanal, über den die Änderung eingegangen ist. Dies verhindert, dass Angreifer, die bereits Zugriff auf einen E-Mail-Account haben, auch die Bestätigung manipulieren können. 
• Zudem sollten klare Notfallprozesse für erkannte Betrugsversuche definiert werden, die schnelles Handeln ermöglichen.
• Für die rechtliche Absicherung ist eine sorgfältige Dokumentation unerlässlich. Um bei Streitigkeiten die Erfüllung der Pflichten nach Art. 32 DSGVO nachweisen zu können, sollten Unternehmen eine Risikoanalyse für ihre Rechnungsprozesse dokumentieren und Schulungsnachweise für Mitarbeiter führen. Technische Einstellungen wie TLS-Konfigurationen und Signaturverfahren sollten protokolliert werden. Bei der Verarbeitung sensibler Finanzdaten kann zudem eine Datenschutz-Folgenabschätzung sinnvoll sein, die die Angemessenheit der gewählten Schutzmaßnahmen begründet.

Als erfahrener Partner im Bereich Datenschutz und Informationssicherheit steht das SVBM Ihnen bei der Entwicklung und Umsetzung des rechtssichereren Rechnungsversands zur Seite. Nutzen Sie unsere Expertise, um Ihr Unternehmen fit für die Herausforderungen der Zukunft zu machen. Gemeinsam entwickeln wir Lösungen, die Ihr Unternehmen zukunftssicher machen.

Hinweis: Dieser Blogbeitrag stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch einen Rechtsanwalt im Einzelfall.