Lieferant meldet neue Bankverbindung: Stammdaten ändern oder Zahlungsziel erst prüfen?
Eine Nachricht mit neuen Kontodaten sollte nicht unmittelbar die nächste Lieferantenzahlung umlenken. Wenn Ihre Geschäfts-App Bankverbindungen verwaltet, brauchen Sie einen getrennten Ablauf für Änderungsantrag, Prüfung und freigegebene Verwendung. Ein erfolgreich gespeichertes Feld beweist weder die Herkunft des Änderungswunsches noch die Berechtigung des neuen Empfängers.
Der praktische Auftrag lautet deshalb nicht nur „Bankdaten bearbeiten“. Legen Sie fest, wer eine neue Zahlungsverbindung vorschlagen darf, wie sie außerhalb des Änderungswunsches geprüft wird und welche Zahlungen bis dahin warten müssen. Dieser Leitfaden ersetzt keine Sicherheitsprüfung und keine Beratung Ihrer Bank. Er verspricht keine vollständige Betrugsverhinderung.
Vertraute Korrespondenz reicht als Freigabegrund nicht aus
Die FBI-IC3-Warnung zu Business Email Compromise vom September 2024 beschreibt unter anderem kompromittierte geschäftliche E-Mail-Konten, über die unberechtigte Geldtransfers veranlasst werden. Zu den Präventionstipps gehört die Prüfung gewünschter Kontoinformationsänderungen über einen zweiten Kanal beziehungsweise eine zusätzliche Authentifizierung.
Daraus folgt eine wichtige Grenze für das Briefing: Eine im bisherigen Nachrichtenverlauf eingegangene Bitte darf nicht allein wegen ihres vertrauten Erscheinungsbilds als verifiziert gelten. Die Warnung belegt das Risiko und die Empfehlung eines zusätzlichen Prüfwegs. Sie zertifiziert weder Ihren geplanten Ablauf noch eine bestimmte Softwarefunktion.
Für Ihren Betrieb kann ein Rückruf über einen bereits unabhängig bekannten Kontakt ein Bestandteil dieser Prüfung sein. Eine ausschließlich in der Änderungsnachricht genannte Telefonnummer wäre dafür keine unabhängige Grundlage. Lassen Sie die konkrete Prüfmethode und geeignete Nachweise von Ihrer verantwortlichen Finanz- und Sicherheitsstelle festlegen.
Einen Antrag speichern, ohne das aktive Zahlungsziel zu überschreiben
Die App sollte einen vorgeschlagenen neuen Stand von der aktuell freigegebenen Verbindung unterscheiden können. Zeigen Sie den betroffenen Lieferanten, den Änderungsanlass und den Prüfzustand. Beschränken Sie die Darstellung vollständiger Kontodaten nach der tatsächlichen Aufgabe der Mitarbeitenden.
Vereinbaren Sie, welche Angaben die prüfende Person braucht und wie sie das Ergebnis dokumentiert. „Unterlage hochgeladen“ ist nicht dasselbe wie „Änderung geprüft“. Ebenso ist eine technisch gültig formatierte Kontonummer kein Nachweis, dass sie zum beabsichtigten Lieferanten gehört.
Soll eine zweite berechtigte Person freigeben, muss diese Anforderung im tatsächlichen Aktivierungsweg gelten. Ein zusätzliches Namensfeld ohne wirksame Berechtigungsprüfung reicht nicht. Lassen Sie auch zeigen, was passiert, wenn die antragstellende Person selbst zu genehmigen versucht. Das sind vorgeschlagene Kontrollen für Ihr Projekt, keine hier behauptete Pflicht oder universelle Anbieterfunktion.
Die Freigabe muss zu genau diesem Änderungsstand gehören
Eine Prüfung verliert ihre Aussage, wenn nach der Genehmigung andere Kontodaten eingesetzt werden. Binden Sie das Ergebnis daher an die konkret geprüfte Fassung. Nach einer weiteren Änderung muss nach der vereinbarten Regel erneut geprüft werden, statt die frühere Freigabe unverändert zu übernehmen.
Behalten Sie eine nachvollziehbare Historie der genehmigten Fassungen und ihrer Wirksamkeit. Eine spätere Korrektur darf nicht stillschweigend umschreiben, wohin eine frühere Zahlung tatsächlich angewiesen wurde. Die hierfür notwendige Aufbewahrung und die Zugriffsrechte sind gesondert festzulegen; sammeln Sie nicht vorsorglich unbegrenzt zusätzliche persönliche Informationen.
Bei abgelehnten oder ungeklärten Änderungen muss sichtbar bleiben, welche Entscheidung noch fehlt. Ein neutraler Prüfstatus ist hilfreicher als eine pauschale Betrugsbehauptung gegen den Lieferanten. Eine legitime Änderung kann ebenfalls Klärung benötigen.
Bereits vorbereitete Zahlungen brauchen eine eigene Entscheidung
Klären Sie den Übergang zu Zahlungsvorschlägen, Exportdateien und Bankaufträgen. Verwendet ein noch nicht freigegebener Vorschlag die bisherige Verbindung oder soll er warten? Was geschieht mit einem Vorschlag, der vor der Aktivierung erstellt wurde? Die richtige Regel hängt vom betrieblichen Ablauf ab und muss fachlich bestätigt werden.
Eine Änderung im Lieferantenstamm zieht einen schon übermittelten Bankauftrag nicht automatisch zurück. Zeigen Sie deshalb getrennt, ob Daten geändert, eine Zahlungsdatei erzeugt oder ein Auftrag bereits extern übergeben wurde. Bei einem unbekannten Übermittlungsergebnis darf die App nicht einfach eine Ersatzüberweisung anbieten, ohne den bestehenden Vorgang abzuklären.
Ist bereits ein verdächtiger Transfer erfolgt, gehört die unmittelbare Kontaktaufnahme mit der zuständigen Bank in den vorbereiteten Vorfallablauf. IC3 rät bei entdecktem betrügerischem Transfer zur sofortigen Kontaktaufnahme mit dem Finanzinstitut und einem Rückrufersuchen. Ob Geld zurückgeholt werden kann, hängt von den Umständen und den Verfahren der beteiligten Stellen ab; ein Knopf in Ihrer App ist keine Rückholgarantie.
Den Wechsel bis zum Zahlungsweg abnehmen
Verwenden Sie erfundene Kontodaten und eine isolierte Testumgebung für Ihre Abnahmekriterien. Es soll keine echte Überweisung ausgelöst werden. Lassen Sie einen Antrag, eine ausstehende Prüfung, eine Ablehnung und eine freigegebene neue Fassung vorführen.
Prüfen Sie außerdem eine Änderung nach Genehmigung, einen unerlaubten Selbstfreigabeversuch und einen bereits vorbereiteten Zahlungsvorschlag. Die verantwortliche Person muss erklären können, welche Fassung verwendet werden darf und welcher Vorgang bewusst angehalten bleibt. Eine frühere Zahlungsanweisung muss weiterhin ihren tatsächlichen Empfängerstand erkennen lassen.
Bringen Sie zum Gespräch über Ihre Finanzanbindung den geprüften internen Ablauf mit, nicht echte Zugangsdaten oder vertrauliche Lieferantenunterlagen. Der Nutzen liegt in einer nachvollziehbaren Änderung bis zur tatsächlichen Zahlungsübergabe, nicht in einem Bankdatenformular mit einem beruhigenden grünen Haken.