Anti-Fraud-Management 2026: Kontrollarchitektur unter KI-, Zahlungs- und Insider-Risiken

Anti-Fraud-Management 2026: Kontrollarchitektur unter KI-, Zahlungs- und Insider-Risiken

Warum etablierte Präventions- und Detektionsmodelle überprüft werden müssen – und welche Maßnahmen für Geschäftsleitung, Chief Compliance Officer, Anti-Financial-Crime-Officer und Fraud-Verantwortliche jetzt Priorität haben.

I. Kernaussage

Ein wirksames Anti-Fraud-Management zeigt sich nicht daran, ob ein Unternehmen über eine Fraud Policy, ein Hinweisgebersystem, ein Vier-Augen-Prinzip oder einzelne technische Kontrollen verfügt. Maßgeblich ist, ob die Kontrollarchitektur geeignet ist, die für das konkrete Geschäftsmodell wesentlichen Betrugsrisiken angemessen zu verhindern, frühzeitig zu erkennen, Schäden zu begrenzen und Verdachtsfälle nachvollziehbar aufzuarbeiten.

Die aktuelle Risikolage erweitert nicht automatisch den abstrakten rechtlichen Pflichtenkatalog. Sie kann aber die Beurteilung verändern, welche organisatorischen, personellen und technischen Maßnahmen im konkreten Einzelfall noch als angemessen anzusehen sind. KI-gestützte Täuschungen, Deepfakes, synthetische Identitäten, kompromittierte Kommunikationskanäle, autorisierte Fehlüberweisungen sowie interne und externe Manipulationen greifen genau jene Kontrollannahmen an, auf denen Zahlungs-, Freigabe-, Identitäts- und Lieferantenprozesse häufig beruhen.

Eine bekannte Stimme, eine plausible E-Mail-Adresse, eine professionell wirkende Videokonferenz oder eine formell ordnungsgemäße Rechnung belegen heute nicht mehr zuverlässig, dass eine Weisung authentisch, eine Zahlung wirtschaftlich berechtigt oder eine Bankverbindungsänderung legitim ist. Entscheidend sind unabhängige Verifikationsschritte, wirksame Funktionstrennung, risikobasierte Stop- und Eskalationsrechte sowie eine belastbare Vorbereitung auf Fraud Incidents.

Für Geschäftsleitung, Chief Compliance Officer, Anti-Financial-Crime-Officer und Fraud-Verantwortliche folgt daraus eine zentrale Prüfungsfrage: Ist die bestehende Fraud-Risikoanalyse einschließlich des Kontrollsystems unter realistischen Angriffsbedingungen noch geeignet, wesentliche Vermögens-, Rechts- und Reputationsschäden zu verhindern oder zumindest wesentlich zu erschweren?

II. Rechtsrahmen und Abgrenzung

Ein allgemeines deutsches Gesetz, das jedes Unternehmen zur Bestellung eines Fraud Officers oder zur Einrichtung eines einheitlichen Anti-Fraud-Management-Systems verpflichtet, besteht nicht. Die rechtlichen Anforderungen ergeben sich vielmehr abhängig von Rechtsform, Geschäftsmodell und regulatorischem Status aus allgemeinen Geschäftsleiter- und Organisationspflichten, gegebenenfalls sektorspezifischem Aufsichtsrecht, dem Ordnungswidrigkeitenrecht sowie – bei Verpflichteten – aus dem Geldwäscherecht und bei Zahlungsdienstleistern aus dem Zahlungsverkehrsrecht.

Geschäftsführer einer GmbH haben gemäß § 43 Abs. 1 GmbHG in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden. Bei schuldhafter Pflichtverletzung haften sie der Gesellschaft gemäß § 43 Abs. 2 GmbHG für den entstandenen Schaden. Nach § 91 Abs. 2 AktG hat der Vorstand einer Aktiengesellschaft geeignete Maßnahmen zu treffen und insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden. Für börsennotierte Aktiengesellschaften besteht gemäß § 91 Abs. 3 AktG zusätzlich die Pflicht, ein angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem einzurichten.

Diese Normen enthalten keinen allgemeingültigen Anti-Fraud-Pflichtenkatalog. § 91 Abs. 2 AktG verpflichtet insbesondere nicht dazu, jede denkbare Fraud-Typologie oder jeden einzelnen Vermögensschaden präventiv auszuschließen. Entscheidend ist vielmehr, ob die Organisation und das Kontrollsystem dem konkreten Risikoprofil angemessen Rechnung tragen.

§ 130 Abs. 1 OWiG betrifft das Unterlassen erforderlicher Aufsichtsmaßnahmen zur Verhinderung oder wesentlichen Erschwerung betriebsbezogener Zuwiderhandlungen gegen straf- oder bußgeldbewehrte Pflichten. Die Vorschrift erfasst nicht ohne Weiteres jeden externen Betrugsangriff oder jeden eingetretenen Vermögensschaden. Sie kann jedoch bei internen Pflichtverletzungen, unzureichender Auswahl oder Überwachung von Aufsichtspersonen sowie bei vermeidbaren Organisationsdefiziten relevant werden.

Für Verpflichtete im Sinne des § 2 GwG können Fraud-Sachverhalte zusätzlich geldwäscherechtlich relevant sein. Maßgeblich sind insbesondere die Risikoanalyse nach § 5 GwG, angemessene interne Sicherungsmaßnahmen nach § 6 GwG, die allgemeinen Sorgfaltspflichten nach § 10 GwG und gegebenenfalls die Pflicht zur unverzüglichen Verdachtsmeldung nach § 43 Abs. 1 GwG. Ein Fraud-Indikator ist nicht automatisch ein Geldwäscheverdacht. Er kann aber Tatsachen liefern, die eine eigenständige geldwäscherechtliche Bewertung erfordern.

Die Ausführungen zu den geldwäscherechtlichen Pflichten gelten ausschließlich für Verpflichtete nach § 2 GwG. Die Ausführungen zur Empfängerüberprüfung gelten unmittelbar nur für Zahlungsdienstleister. Für sonstige Unternehmen folgt daraus keine gesetzliche Pflicht zur Durchführung einer Empfängerüberprüfung. Die zugrunde liegende Kontrolllogik kann aber bei der risikogerechten Ausgestaltung eigener Zahlungsprozesse berücksichtigt werden.

III. Veränderte Risikolage: fünf Prüfungsfelder

1. KI-Fraud, Deepfakes und synthetische Identitäten

KI verändert nicht die allgemeinen Organisationspflichten. Sie verändert aber die Belastbarkeit etablierter Identitäts- und Kommunikationskontrollen. Stimmen, Bilder, Videos, Dokumente und Kommunikationsmuster können mit hoher Plausibilität erzeugt oder manipuliert werden. Besonders exponiert sind digitale Onboarding-Prozesse, Remote-Kommunikation, Zahlungsfreigaben, Identitätsprüfungen sowie Änderungen von Stamm- und Bankdaten.

Der AI Act definiert Deepfakes als durch KI erzeugte oder manipulierte Bild-, Ton- oder Videoinhalte, die wirklichen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähneln und einer Person fälschlicherweise als echt oder wahrheitsgemäß erscheinen würden. Art. 50 Abs. 4 der Verordnung (EU) 2024/1689 verpflichtet Betreiber bestimmter KI-Systeme zur Offenlegung künstlich erzeugter oder manipulierter Deepfake-Inhalte. Die Transparenzpflicht ist jedoch kein Schutzmechanismus gegen kriminell eingesetzte, nicht oder falsch gekennzeichnete Deepfakes.

Unternehmen sollten daher prüfen, ob kritische Entscheidungen noch ausschließlich von Kommunikationsmerkmalen abhängen. Eine E-Mail-Adresse, eine bekannte Stimme oder ein Videoanruf dürfen bei Zahlungen, Berechtigungsänderungen oder sensiblen Freigaben nicht die alleinige Entscheidungsgrundlage sein.

2. APP-Fraud und Echtzeit-Zahlungsbetrug

Beim Authorised Push Payment Fraud wird eine Zahlung nicht technisch kompromittiert, sondern durch Täuschung autorisiert. Mitarbeitende oder Kunden veranlassen die Zahlung selbst, etwa auf Basis einer manipulierten Rechnung, einer vermeintlichen Weisung der Geschäftsleitung oder eines kompromittierten Kommunikationskanals.

Echtzeitüberweisungen verkürzen das Zeitfenster für Rückruf, Sperrung, Beweissicherung und Schadensbegrenzung erheblich. Für Zahlungsdienstleister sieht Art. 5c der Verordnung (EU) Nr. 260/2012 in der durch Verordnung (EU) 2024/886 geänderten Fassung eine Empfängerüberprüfung vor. Der Zahlungsdienstleister des Zahlers muss dem Zahler vor der Autorisierung der Überweisung eine Dienstleistung zum Abgleich von Zahlungskonto-Kennung und Name des vorgesehenen Zahlungsempfängers anbieten.

Der Name-IBAN-Abgleich ist jedoch kein vollständiger Fraud-Check. Er bestätigt weder die wirtschaftliche Grundlage einer Zahlung noch die Echtheit einer Rechnung oder die materielle Berechtigung des Zahlungsempfängers. Ein positiver Abgleich ist daher kein Ersatz für eine risikogerechte Zahlungsfreigabe.

3. Social Engineering, CEO-Fraud und Business Email Compromise

CEO-Fraud und Business Email Compromise beruhen regelmäßig auf einer Kombination technischer und psychologischer Angriffsmittel. Täter nutzen kompromittierte Postfächer, öffentlich verfügbare Informationen, plausible Sprachmuster, Zeitdruck, Hierarchie und Geheimhaltungsanforderungen. Ziel sind Zahlungsanweisungen, Änderungen von Bankverbindungen, Zugangsdaten oder vertrauliche Informationen.

Ein solcher Vorfall ist nicht primär ein individuelles Fehlverhalten eines Mitarbeiters. Er testet die Belastbarkeit des Kontrollsystems. Ein formal vorhandenes Vier-Augen-Prinzip genügt nicht, wenn es durch Hierarchiedruck, Ausnahmeregelungen, Zeitdruck oder fehlende Prüfinformationen faktisch entwertet wird.

Die entscheidende Kontrollfrage lautet: Kann ein Mitarbeiter eine atypische Anweisung ohne faktischen Druck anhalten, unabhängig verifizieren und eskalieren? Ist dies nicht gewährleistet, ist das Kontrollumfeld regelmäßig nicht hinreichend belastbar.

4. Insider Fraud, KYE und Third-Party-Risiken

Fraud kann durch Mitarbeitende, Lieferanten, Vermittler, Dienstleister oder kollusive Zusammenwirkungen entstehen. Besonders exponiert sind Prozesse, in denen Stammdaten geändert, Rechnungen geprüft, Zahlungen vorbereitet oder freigegeben, Verträge geschlossen, Provisionen berechnet oder privilegierte IT-Berechtigungen vergeben werden.

Typische Risikokonstellationen sind Scheinrechnungen, fingierte Leistungsnachweise, Kick-back-Strukturen, Manipulation von Lieferantenbankverbindungen, Missbrauch privilegierter Zugänge und die Umgehung der Funktionstrennung.

KYE ist nicht mit einer anlasslosen Dauerüberwachung von Beschäftigten gleichzusetzen. Es ist ein risikoorientierter Ansatz zur angemessenen Ausgestaltung von Auswahl-, Berechtigungs-, Interessenkonflikt- und Kontrollprozessen für besonders exponierte Funktionen. Arbeitsrecht, Datenschutzrecht und Mitbestimmungsrechte bleiben dabei uneingeschränkt zu beachten.

5. Fraud Governance, Investigation und beweissichere Fallbearbeitung

Die Qualität eines Anti-Fraud-Managements zeigt sich nicht nur bei der Prävention, sondern insbesondere in den ersten Stunden nach einem Verdachtsfall. Das Unternehmen muss entscheiden können, wer den Sachverhalt führt, welche Zahlungen oder Berechtigungen angehalten werden dürfen, welche Daten unverzüglich gesichert werden müssen und welche rechtlichen Folgefragen zu prüfen sind.

Ein Fraud Incident kann zugleich IT-Sicherheits-, Datenschutz-, Versicherungs-, arbeitsrechtliche und strafrechtliche Fragen auslösen. Für GwG-Verpflichtete kann zusätzlich eine AML-Prüfung erforderlich sein. Eine Verdachtsmeldung nach § 43 Abs. 1 GwG darf weder schematisch ausgelöst noch unterlassen werden. Sie setzt eine einzelfallbezogene Würdigung der vorliegenden Tatsachen voraus.

IV. Prüfungsmaßstab für das Anti-Fraud-Management

Ein professionelles Anti-Fraud-Management muss nachweisen können, dass relevante Fraud-Risiken systematisch ermittelt, bewertet, begrenzt, überwacht und den zuständigen Entscheidungsträgern berichtet werden.

Governance: Es bedarf einer dokumentierten Fraud-Risikoanalyse, klarer Risikoeigentümer, definierter Informationsrechte, belastbarer Eskalationswege und eines regelmäßigen Management Reportings. Die operative Delegation von Aufgaben auf CCO, AFCO, Fraud-Verantwortliche oder Fachbereiche entbindet die Geschäftsleitung nicht von ihrer Organisations- und Überwachungsverantwortung.

Prävention: Kontrollen müssen vor dem Eintritt eines irreversiblen Schadens wirken. Kritisch sind insbesondere Bankverbindungsänderungen, neue Zahlungsempfänger, Eilzahlungen, Zahlungen außerhalb des üblichen Musters, Berechtigungsänderungen und Kontrollausnahmen. Bei diesen Sachverhalten sind unabhängige Verifikationsschritte, risikobasierte Freigabegrenzen und wirksame Funktionstrennung erforderlich.

Detektion: Relevante Abweichungen müssen erkannt, priorisiert und zeitnah bewertet werden. Geeignet sind unter anderem Auswertungen zu neuen Empfängern, Änderungen von Stammdaten, manuellen Buchungen, Ausnahmen, Stornierungen, privilegierten Zugriffen und auffälligen Zahlungsstrukturen. Datenanalysen und Hinweisgebersysteme ersetzen jedoch nicht die fachkundige Einzelfallbewertung.

Investigation Readiness: Das Unternehmen muss bei einem Verdacht Zahlungen stoppen, Zugänge sperren, Daten sichern, Verantwortlichkeiten aktivieren und rechtliche Folgefragen bewerten können. Erforderlich sind ein Triage- und Schweregradmodell, klare Entscheidungskompetenzen, beweissichere Fallbearbeitung sowie eine Ursachenanalyse mit verbindlicher Maßnahmenverfolgung.

Die Wirksamkeit des Systems bemisst sich nicht nach dem Bestand von Richtlinien. Sie zeigt sich in dokumentierten Kontrolltests, der Bearbeitung von Ausnahmefällen, Szenarioübungen, Ursachenanalysen, Reaktionszeiten und der fristgerechten Umsetzung von Maßnahmen.

V. Use Case: Deepfake-CEO-Fraud und Manipulation einer Lieferantenbankverbindung

Die Leiterin Treasury erhält eine E-Mail des vermeintlichen CFO. Darin wird auf eine vertrauliche Transaktion hingewiesen, die noch am selben Tag abgeschlossen werden müsse. Kurz darauf folgt ein Telefonanruf. Stimme, Wortwahl und Kommunikationsstil erscheinen authentisch. Der vermeintliche CFO verlangt die unverzügliche Zahlung von 640.000 Euro an ein Beratungsunternehmen im EU-Ausland.

Die Rechnung trägt den Namen eines bekannten Lieferanten. Die hinterlegte Bankverbindung wurde jedoch erst am selben Tag geändert. Die Änderung beruhte auf einer E-Mail von der tatsächlichen Lieferantendomain; das E-Mail-Postfach war kompromittiert. Eine unabhängige Rückbestätigung fand nicht statt. Bei der Empfängerüberprüfung wird eine teilweise Namensabweichung angezeigt.

Die Zahlung darf nicht freigegeben werden. Die vermeintliche Weisung einer Führungskraft ersetzt keine unabhängige Prüfung der Zahlungsberechtigung. Zeitdruck, Geheimhaltung, neue Bankverbindung und Namens-/IBAN-Abweichung sind in ihrer Gesamtschau erhebliche Fraud-Indikatoren.

Die erforderliche Handlungskette lautet:

Zahlung anhalten und keine Ausnahme vom Freigabeprozess zulassen.

Rückbestätigung ausschließlich über bekannte, vorab verifizierte Kontaktdaten durchführen.

Vertrag, Leistungsnachweis, Rechnung, Stammdatenänderung und Empfängerbankverbindung prüfen.

E-Mail-Header, Anhänge, Call-Informationen, Empfängerüberprüfung, Zugriffs- und Freigabelogs beweissicher sichern.

Berechtigungen und Stammdatenänderungen überprüfen.

IT-Sicherheit, Legal, Datenschutz, Versicherer und gegebenenfalls AML-Funktion nach der internen Eskalationslogik einbinden.

Ursachenanalyse durchführen und festgestellte Kontrolllücken mit Verantwortlichkeiten, Fristen und Wirksamkeitsnachweisen in den Maßnahmenprozess überführen.

Der Fall zeigt: Die wesentliche Kontrollfrage lautet nicht, ob eine Kommunikation plausibel erscheint. Entscheidend ist, ob das Unternehmen verhindert, dass eine nicht unabhängig verifizierte Information unmittelbar zu einem wirtschaftlich irreversiblen Mittelabfluss führt.

VI. Prioritäten für die nächsten 90 Tage

Die aktuelle Fraud-Lage verlangt keine undifferenzierte Verdopplung von Kontrollen. Sie verlangt eine gezielte Neubewertung kritischer Kontrollannahmen.

Priorität 1 – Zahlungsprozesse absichern: Neue Empfänger, Bankverbindungsänderungen, Eilzahlungen und atypische Zahlungsanweisungen sind mit unabhängiger Verifikation, risikobasierten Freigaben und klaren Stop-/Hold-Rechten abzusichern.

Priorität 2 – KI- und Social-Engineering-Risiken adressieren: Deepfake-, Voice-Cloning- und Business-Email-Compromise-Szenarien sind in die Fraud-Risikoanalyse, in Freigabeprozesse und in zielgruppenspezifische Schulungen aufzunehmen.

Priorität 3 – Incident-Fähigkeit testen: Ein realitätsnaher Testfall sollte Zahlungsstopp, Rückbestätigung, Beweissicherung, interne Eskalation, rechtliche Bewertung und bei GwG-Verpflichteten die AML-Prüfung abdecken.

Priorität 4 – Insider- und Third-Party-Risiken überprüfen: Funktionstrennung, privilegierte Berechtigungen, Lieferantenstammdaten, Interessenkonflikte und risikobehaftete Drittparteien sind risikoorientiert zu überprüfen.

Priorität 5 – Wirksamkeit nachweisen: Kontrolltests, Ausnahmeanalysen, offene Maßnahmen, Reaktionszeiten und Lessons Learned müssen in ein belastbares Management Reporting überführt werden.

VII. Fazit

Anti-Fraud-Management ist kein formales Zusatzprojekt und kein standardisierter Pflichtenkatalog. Es ist eine risikobasierte Organisationsaufgabe der Geschäftsleitung. Maßgeblich ist nicht, ob ein Unternehmen jede denkbare Betrugshandlung verhindern kann. Entscheidend ist, ob es die für sein Geschäftsmodell wesentlichen Fraud-Risiken identifiziert, angemessene Kontrollen implementiert, Warnsignale zeitnah bewertet und Verdachtsfälle rechtlich wie operativ handlungsfähig bearbeitet.

KI-gestützte Täuschungen, Deepfakes, synthetische Identitäten, APP-Fraud, Echtzeitüberweisungen und Insider-Risiken verändern den abstrakten Sorgfaltsmaßstab nicht automatisch. Sie können aber dazu führen, dass bisherige Kontrollannahmen nicht mehr ausreichen. Eine bekannte Stimme, eine plausible E-Mail, eine formell korrekte Rechnung oder ein positiver Name-IBAN-Abgleich sind keine hinreichenden Nachweise für die materielle Berechtigung einer Zahlung.

Die entscheidende Frage lautet daher nicht: „Haben wir eine Anti-Fraud-Policy?“ Sie lautet: „Können wir nachweisen, dass unsere Kontrollarchitektur wesentliche Fraud-Risiken unter realistischen Angriffsbedingungen wirksam begrenzt?“

VIII. Quellenverzeichnis

Gesetz betreffend die Gesellschaften mit beschränkter Haftung – GmbHG

Verweisung: Gesetz betreffend die Gesellschaften mit beschränkter Haftung (GmbHG), insbesondere § 43 GmbHG: https://www.gesetze-im-internet.de/…, abgerufen am 23.09.2026.

Aktiengesetz – AktG

Verweisung: Aktiengesetz (AktG), insbesondere § 91 AktG: https://www.gesetze-im-internet.de/…, abgerufen am 23.09.2026.

Gesetz über Ordnungswidrigkeiten – OWiG

Verweisung: Gesetz über Ordnungswidrigkeiten (OWiG), insbesondere § 130 OWiG: https://www.gesetze-im-internet.de/…, abgerufen am 23.09.2026.

Geldwäschegesetz – GwG

Verweisung: Gesetz über das Aufspüren von Gewinnen aus schweren Straftaten (Geldwäschegesetz – GwG), insbesondere §§ 2, 5, 6, 10 und 43 GwG: https://www.gesetze-im-internet.de/…, abgerufen am 23.09.2026.

Verordnung (EU) 2024/886 – Echtzeitüberweisungen in Euro

Verweisung: Verordnung (EU) 2024/886 des Europäischen Parlaments und des Rates vom 13. März 2024 zur Änderung der Verordnungen (EU) Nr. 260/2012 und (EU) 2021/1230 und der Richtlinien 98/26/EG und (EU) 2015/2366 im Hinblick auf Echtzeitüberweisungen in Euro, insbesondere Artikel 5c der Verordnung (EU) Nr. 260/2012 in geänderter Fassung: https://eur-lex.europa.eu/…:32024R0886, abgerufen am 23.09.2026.

Verordnung (EU) 2024/1689 – AI Act

Verweisung: Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz, insbesondere Artikel 3 Nr. 60 und Artikel 50 Abs. 4: https://eur-lex.europa.eu/…:32024R1689, abgerufen am 23.09.2026.