Wie verändert KI den Zahlungsbetrug?
KI senkt die Hürden für Zahlungsbetrug
KI wird Zahlungsbetrug nicht beseitigen. Sie verändert vielmehr das Kräfteverhältnis zwischen Angreifern und Verteidigern. Treasury-Teams können bessere Analysen nutzen, um Auffälligkeiten und Muster früher zu erkennen. Gleichzeitig können Kriminelle dieselbe Technologiekategorie einsetzen, um Täuschung günstiger, schneller und in größerem Umfang umzusetzen.
Für Unternehmen entsteht dadurch zunächst ein Geschwindigkeitsnachteil. Neue Technologie muss auf Sicherheit, Compliance, Governance und operative Auswirkungen geprüft werden. Ein Betrüger braucht dagegen nur ein Werkzeug, das den nächsten Angriff überzeugender macht.
Das bedeutet nicht, dass Unternehmen chancenlos sind. Unternehmen, Banken und Zahlungsdienstleister verfügen über Transaktionshistorien, etablierte Prozesse und die Möglichkeit, Kontrollen entlang des gesamten Zahlungsprozesses neu zu gestalten. Der Vorteil entsteht dann, wenn diese Stärken systematisch genutzt werden, statt darauf zu vertrauen, dass KI Zahlungen automatisch sicherer macht.
KI-gestützter Zahlungsbetrug sieht oft wie normales Tagesgeschäft aus
Die gefährlichsten KI-gestützten Betrugsversuche müssen technisch nicht besonders spektakulär wirken. Business Email Compromise, das Vortäuschen von Lieferantenidentitäten und Rechnungsbetrug funktionieren schon heute, weil sie Vertrauen, Timing und Routinen ausnutzen. KI macht diese bekannten Muster glaubwürdiger.
Eine Zahlungsanweisung kann sprachlich völlig natürlich wirken, den richtigen Ton treffen, auf eine reale Geschäftssituation Bezug nehmen und von einem plausiblen Dokument begleitet werden. Ein Anruf oder eine synthetische Stimme kann die Geschichte zusätzlich bestätigen. Jedes einzelne Signal wirkt für sich genommen normal - und genau diese Normalität macht den Angriff schwerer erkennbar.
Treasury sollte den Blick deshalb nicht auf Deepfakes verengen. Das größere Risiko ist eine mehrstufige Täuschung über mehrere Kanäle, bei der E-Mail, Dokumente, Stimme und künstlich erzeugter Zeitdruck dieselbe falsche Geschichte stützen.
Vertrautheit ist kein ausreichender Identitätsnachweis mehr
Mehrere klassische Vertrauenssignale verlieren an Aussagekraft. Eine gut formulierte E-Mail beweist keine Identität. Ein professionell aussehendes Dokument beweist nicht, dass die zugrunde liegende Anweisung korrekt ist. Auch eine vertraute Stimme reicht nicht mehr aus, um eine Freigabeberechtigung zu bestätigen.
Das gilt ebenso für Rückrufe, wenn die verwendeten Kontaktdaten aus der verdächtigen Nachricht selbst stammen. Auch das Antworten innerhalb eines kompromittierten E-Mail-Verlaufs kann dazu führen, dass Mitarbeitende im Kommunikationskanal des Angreifers bleiben.
Wichtiger werden deshalb unabhängige Verifizierung, vorab hinterlegte Kontaktdaten, ein separater Bestätigungskanal, kontrollierte Lieferantenportale und strengere Prüfungen bei ungewöhnlichen oder risikoreichen Änderungen.
Zahlungsbetrug beginnt häufig vor der eigentlichen Zahlung
Viele Betrugsfälle werden erst sichtbar, wenn Geld abgeflossen ist. Die Manipulation kann jedoch deutlich früher beginnen. Eine Änderung in Lieferanten- oder Zahlungsempfänger-Stammdaten ist oft der eigentliche Angriffspunkt.
Damit wird Stammdaten-Governance zu einem festen Bestandteil der Betrugsprävention. Treasury und Finance sollten genau wissen, wer einen Lieferanten anlegen darf, wer Bankverbindungen ändern kann, wie solche Änderungen verifiziert werden und wie schnell eine neue Bankverbindung für Zahlungen verwendet werden darf.
Auch ein sehr streng kontrollierter Freigabeprozess kann schwache Stammdatenkontrollen nicht ausgleichen, wenn ein betrügerisches Konto bereits als legitimer Zahlungsempfänger im System hinterlegt wurde.
Funktionstrennung bleibt wichtig, echte Unabhängigkeit wird noch wichtiger
Segregation of Duties bleibt eines der stärksten Kontrollprinzipien in Treasury und Finance. KI bringt jedoch eine zusätzliche Frage ins Spiel: Sind die Kontrollpunkte tatsächlich voneinander unabhängig?
Wenn dieselbe KI-generierte Begründung, dasselbe Dokument oder dieselben manipulierten Informationen sowohl den Ersteller als auch den Freigeber beeinflussen, prüfen zwar unterschiedliche Personen - beide stützen ihre Entscheidung aber womöglich auf dieselbe falsche Evidenz. Treasury sollte deshalb nicht nur betrachten, wer auf „Freigeben“ klickt, sondern auch, woher die Entscheidungsgrundlage stammt.
Ein belastbarer Freigabeprozess kombiniert getrennte Rollen mit unabhängigen Daten, unabhängiger Verifizierung und klaren Eskalationswegen, sobald eine Anfrage vom normalen Muster abweicht.
Auch interner Betrug gehört in dieselbe Risikobetrachtung
Externe Angreifer müssen sich zunächst Zugang oder Vertrauen verschaffen. Insider können beides bereits besitzen. Sie kennen möglicherweise Zahlungszeitpunkte, Schwellenwerte, Prozesslücken und die Erklärungen, die für Kolleginnen und Kollegen plausibel klingen.
KI kann Vorbereitung und Verschleierung erleichtern, etwa indem sie konsistente Dokumentation oder glaubwürdige Begründungen über mehrere Prozessschritte hinweg erzeugt. Auch deshalb sollte Betrugsprävention den gesamten Zahlungslebenszyklus umfassen: vom Onboarding und der Stammdatenänderung über die Zahlungserstellung bis zu Freigabe und Ausführung.
Gute Kontrollen sind kein Misstrauensvotum gegenüber Mitarbeitenden. Sie schützen das Unternehmen und reduzieren den Druck auf einzelne Personen, die sonst zum einzigen Kontrollpunkt werden könnten.
Wirksame Betrugsprävention verbindet Technologie mit der Erlaubnis, Zahlungen zu stoppen
Anomalieerkennung und Verhaltensanalysen können dabei helfen, ungewöhnliche Beträge, Zeitpunkte, Zahlungsempfängeränderungen oder andere Muster sichtbar zu machen. Ihr Nutzen steigt deutlich, wenn daraus ein klarer Eskalationsprozess folgt.
Ebenso wichtig ist die Kultur. Mitarbeitende müssen ausdrücklich die Möglichkeit haben, eine ungewöhnliche Zahlung anzuhalten oder zu verzögern - auch wenn die Anfrage vermeintlich von einer Führungskraft kommt oder besonders dringend wirkt.
Für Treasury ist deshalb eine breitere Frage sinnvoll als die Auswahl eines Tools zur Betrugserkennung: An welchen Stellen verlassen sich die eigenen Zahlungsprozesse noch auf Vertrauenssignale, die KI inzwischen glaubwürdig nachbilden kann? Genau dort sollten Kontrollen verstärkt werden.
Über das Interview
Dieser Artikel basiert auf einem Interview von Nomentia mit Joonas Helenius, Senior Manager bei Accenture Finland. Sein Schwerpunkt liegt auf Financial Crime, Betrugsprävention, Payment Risk, AML, KYC und Sanktionen.