Zweck: Dieses Arbeitsmittel unterstützt Schweizer KMU dabei, Änderungen von Lieferanten-Bankverbindungen sowie aussergewöhnliche Zahlungsaufträge vor der Ausführung unabhängig zu prüfen und nachvollziehbar zu dokumentieren. Es dient der Prävention von CEO-Betrug und Business Email Compromise (BEC). Ein BEC kann aus einem kompromittierten geschäftlichen Postfach erfolgen und echte Korrespondenz oder Rechnungen ausnutzen. [1]
Anwendung: Füllen Sie dieses Protokoll aus, bevor eine neue oder geänderte IBAN im Lieferantenstamm hinterlegt, eine Zahlung an ein abweichendes Konto ausgeführt oder ein ungewöhnlicher Auftrag freigegeben wird. Die Rückbestätigung muss über einen bereits geprüften, unabhängigen Kanal erfolgen. Verwenden Sie dafür nie eine Telefonnummer, E-Mail-Adresse oder einen Link aus der verdächtigen Nachricht. Bei einem bestätigten oder wahrscheinlichen Betrugsverdacht: Zahlung anhalten, die festgelegte Eskalationsstelle informieren und bei bereits überwiesenem Geld unverzüglich die Bank kontaktieren. [1] [2]
Aktuelle Phishing-Orientierung: Eine Aufforderung, im Rahmen einer angeblichen Rückerstattung oder Verifizierung einen Code einzugeben, einen QR-Code zu scannen oder eine Freigabe zu bestätigen, ist ein Stoppsignal. Öffnen Sie die bekannte App oder Website selbst oder rufen Sie die unabhängig ermittelte offizielle Nummer an. Geben Sie angeforderte Codes nicht weiter. Diese Kontrolle beschreibt keinen Eingriff in ein bestimmtes Bank- oder Zahlungsprodukt. [5]
A. Vorgang erfassen
| Kontrollpunkt | Ausfüllfeld |
|---|---|
| Protokollnummer | |
| Datum und Uhrzeit der Prüfung | |
| Prüfende Person / Funktion | |
| Zweite freigebende Person / Funktion | |
| Lieferant / Auftraggeber | |
| Lieferantennummer / Vertragsreferenz | |
| Rechnungsnummer / Bestellnummer | |
| Betrag und Währung | |
| Bisherige hinterlegte IBAN | |
| Neue oder verlangte IBAN | |
| Art des Vorgangs | ☐ Neue Bankverbindung ☐ Änderung Bankverbindung ☐ Sonderzahlung ☐ Abweichender Betrag ☐ Andere: __________ |
| Auslöser | ☐ E-Mail ☐ Telefon ☐ Portal ☐ Brief ☐ Andere: __________ |
| Eingangsdatum und -zeit | |
| Dringlichkeits- oder Geheimhaltungsforderung? | ☐ Nein ☐ Ja, Beschreibung: __________________________________________ |
B. Stoppsignale prüfen
Wenn mindestens ein kritisches Stoppsignal vorliegt, darf die Zahlung erst nach Abschnitt C und D fortgesetzt werden.
| Kontrollpunkt | Ja | Nein | Bemerkung / Nachweis |
|---|---|---|---|
| Weicht IBAN, Empfänger oder Verwendungszweck vom freigegebenen Stammdatensatz ab? | ☐ | ☐ | |
| Ist die Zahlungsanweisung aussergewöhnlich, eilig oder vertraulich? | ☐ | ☐ | |
| Soll eine Person oder Freigabe im üblichen Prozess umgangen werden? | ☐ | ☐ | |
| Ist die anweisende Person über den üblichen Telefonweg nicht erreichbar? | ☐ | ☐ | |
| Wurde eine Geschenkkarte, Aufteilung oder Zahlung ausserhalb des üblichen Prozesses verlangt? | ☐ | ☐ | |
| Enthält die Nachricht eine unbekannte Adresse, einen abweichenden Link oder einen unerwarteten Anhang? | ☐ | ☐ | |
| Fordert die Nachricht im Rahmen einer Rückerstattung oder Verifizierung einen Code, QR-Scan oder eine Freigabe? | ☐ | ☐ | |
| Passt Auftrag, Betrag und Zeitpunkt nicht zu Vertrag, Bestellung oder Rechnung? | ☐ | ☐ | |
| Besteht ein Verdacht auf einen kompromittierten E-Mail-Verlauf oder ein kompromittiertes Konto? | ☐ | ☐ |
C. Unabhängige Rückbestätigung durchführen
| Kontrollpunkt | Ausfüllfeld |
|---|---|
| Verwendete, zuvor geprüfte Quelle für Kontaktdaten | ☐ Freigegebener Stammdatensatz ☐ Vertrag ☐ Unabhängig aufgerufene offizielle Website ☐ Andere: __________ |
| Kontaktweg | ☐ Rückruf ☐ Persönlicher Kontakt ☐ Separates Kunden-/Lieferantenportal ☐ Andere: __________ |
| Verwendete Kontaktinformation | |
| Name und Funktion der bestätigenden Person | |
| Datum und Uhrzeit der Rückbestätigung | |
| Identität und Berechtigung der Kontaktperson plausibilisiert? | ☐ Ja ☐ Nein ☐ Nicht möglich – Eskalation erforderlich |
| Bankverbindung ausdrücklich bestätigt? | ☐ Ja ☐ Nein |
| Auftrag, Betrag, Währung und Zahlungszeitpunkt ausdrücklich bestätigt? | ☐ Ja ☐ Nein |
| Ergebnis der Rückbestätigung | ☐ Vorgang bestätigt ☐ Abweichung festgestellt ☐ Nicht erreichbar ☐ Verdacht bestätigt ☐ Andere: __________ |
| Notizen / Belegreferenz |
D. Entscheidung und Freigabe
| Entscheidung | Ankreuzen und ergänzen |
|---|---|
| Freigabe | ☐ Nur wenn Abschnitte B und C ohne ungeklärte Abweichung abgeschlossen sind. Zahlungsdetails: __________________________________ |
| Pausieren und eskalieren | ☐ An Buchhaltung: __________ ☐ An IT/Sicherheit: __________ ☐ An Geschäftsleitung: __________ |
| Ablehnen / Lieferantenstamm nicht ändern | ☐ Grund: _______________________________________________ |
| Zahlung bereits ausgeführt | ☐ Bank unverzüglich kontaktiert am: __________ um: __________; Referenz: __________ |
| Zeichnung | Name | Datum / Uhrzeit | Unterschrift oder Systemfreigabe |
|---|---|---|---|
| Prüfung durchgeführt | |||
| Vier-Augen-Freigabe oder Eskalationsentscheid | |||
| Lieferantenstammdaten geändert durch (falls zulässig) |
E. Bei Verdacht auf kompromittiertes E-Mail-Konto
Diese Kontrollpunkte ergänzen die Zahlungsentscheidung. Sie sind keine technische Forensik-Anleitung.
| Kontrollpunkt | Erledigt | Verantwortlich / Ticket / Hinweis |
|---|---|---|
| Verdächtige Nachricht, Rechnung und vollständige E-Mail-Kopfzeilen gesichert | ☐ | |
| IT/Sicherheitsverantwortliche Stelle gemäss Notfallplan informiert | ☐ | |
| Betroffenes Konto auf unbefugte Weiterleitungsregeln geprüft | ☐ | |
| Zugang, MFA-Methoden, Sitzungen, Delegationen und Adminrechte geprüft | ☐ | |
| Betroffene Kontakte über einen vertrauenswürdigen Kanal informiert | ☐ | |
| Datenschutz- und Meldeprüfung ausgelöst, falls Personendaten betroffen sein können | ☐ | |
| Vorfall, Auswirkungen und Massnahmen dokumentiert | ☐ |
Grenzen und Pflege
Dieses Protokoll verringert das Risiko von Zahlungsbetrug, garantiert jedoch weder die Echtheit eines Auftrags noch die Verhinderung eines Schadens. Es ersetzt keine Bankvorgaben, keinen internen Notfallplan, keine technische Untersuchung und keine individuelle Rechtsberatung.
Bei einem bereits ausgeführten mutmasslich betrügerischen Auftrag soll die Bank unverzüglich kontaktiert werden; das BACS weist darauf hin, dass sie eine Zahlung unter Umständen noch stoppen kann. [1] Ein vermutetes kompromittiertes E-Mail-Konto sollte nach dem etablierten Incident-Response-Prozess technisch abgeklärt werden; bei fehlender eigener Kompetenz ist Fachunterstützung beizuziehen. Das BACS empfiehlt unter anderem, unbefugte Weiterleitungsregeln zu prüfen und zu entfernen. [2]
Prüfen Sie die Rollen, Kontaktdaten, Freigabegrenzen und den Ablauf mindestens nach wesentlichen Prozess-, Banken-, Lieferanten- oder Systemänderungen sowie nach jedem relevanten Vorfall. Wenn der Vorfall Personendaten betreffen kann, ist ⚖️ Fachprüfung erforderlich; die Datenschutzverordnung verlangt die Dokumentation der Tatsachen, Auswirkungen und Massnahmen. [3] [4]