Betrugsprävention: Wie CFOs finanzielle Integrität aufbauen

Am 18. Juni 2020 gab die Wirecard AG, damals ein Star im DAX 30 mit einem Wert von 24 Milliarden Euro, bekannt, dass 1,9 Milliarden Euro an Barmitteln auf philippinischen Treuhandkonten einfach nicht existierten. CEO Markus Braun trat innerhalb von 48 Stunden zurück. COO Jan Marsalek bestieg einen Privatjet nach Belarus und ist bis heute flüchtig. Innerhalb einer Woche stellte das Unternehmen Insolvenzantrag und wurde damit zum ersten DAX-Konzern, dem das je passierte. EY, das über ein Jahrzehnt lang uneingeschränkte Bestätigungsvermerke erteilt hatte, sah sich strafrechtlichen Untersuchungen ausgesetzt. Die BaFin, die deutsche Finanzaufsicht, hatte Jahre damit verbracht, *Short Seller* zu untersuchen, also genau jene Leute, die seit 2015 „Betrug“ gerufen hatten.

Wirecard war kein raffinierter Betrug. ErErDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → war plump. Und er hielt sich jahrelang, weil jede Verteidigungslinie, interne Kontrollen, externe Prüfung, Aufsicht, Aufsichtsrat, gleichzeitig versagte. Für den modernen CFO ist Wirecard die Mahnung dieses Jahrzehnts: nicht weil Betrug exotisch wäre, sondern weil die Systeme, die ihn aufdecken sollen, fragiler sind, als die meisten Führungskräfte annehmen.

Der *Report to the Nations* 2024 der Association of Certified Fraud Examiners schätzt, dass Organisationen 5 % ihres Jahresumsatzes durch Betrug verlieren, weltweit eine Belastung von 5 Billionen Dollar. Der Medianschaden liegt bei 145.000 Dollar pro Fall, die mediane *Dauer* bis zur Entdeckung jedoch bei 12 Monaten. Bei Betrugsfällen, in die der CFO oder das C-Level involviert ist, springt der Medianschaden auf 459.000 Dollar und die Entdeckung zieht sich über 18 Monate hinaus. Die Lehre ist unbequem: Je höher in der Organisation der Betrug entsteht, desto länger überlebt er und desto teurer wird er.

In dieser Lektion geht es darum, die Kontrollen, die Kultur und die Erkennungsmechanismen aufzubauen, die verhindern, dass Ihr Name in einem Wirecard-artigen Postmortem auftaucht.

Warum Betrug an klugen CFOs vorbeikommt: die Anatomie des Versagens

Jeder Betrug beruht auf Donald Cresseys Fraud Triangle: Druck (finanziell oder leistungsbezogen), Gelegenheit (schwache Kontrollen) und Rationalisierung (der kognitive Erlaubnisschein). Moderne Betrugsforscher ergänzen ein viertes Element, Fähigkeit, und machen daraus das Fraud Diamond. Der Insight für Führungskräfte: CFOs kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen nur eine Ecke wirklich beeinflussen, die Gelegenheit. Sie können die Spielschulden eines Managers oder den Narzissmus eines CEO nicht regulieren. Sie können aber sehr wohl die Kontrolllücken schließen, durch die solcher Druck zu Bilanzlügen metastasiert.

Die drei Betrugskategorien, die Sie kartieren müssen

Die ACFE unterteilt Occupational Fraud in drei Kategorien, und Ihre Kontrollarchitektur sollte alle drei ausdrücklich adressieren:

Vermögensveruntreuung (86 % der Fälle, aber nur 120.000 Dollar Medianschaden), Skimming, Scheinmitarbeiter in der Lohnbuchhaltung, Spesenbetrug. Häufig, beherrschbar, selten existenzbedrohend.

Korruption (48 % der Fälle, 200.000 Dollar Median), Bestechung, Kickbacks, Interessenkonflikte. Besonders akut bei grenzüberschreitenden Aktivitäten und im Einkauf.

Bilanzbetrug (5 % der Fälle, aber 766.000 Dollar Medianschaden und häufig unternehmenszerstörend). Das ist die Wirecard-Kategorie. Sie ist selten, verantwortet aber die katastrophalen Ausgänge, die Karrieren und Unternehmen beenden.

Der Fehler, den die meisten CFOs machen, ist, **Kontrollressourcen proportional zur *Häufigkeit* statt zur *Schwere* zu verteilen**. Ihr SOX-Testbudget ist wahrscheinlich übergewichtet bei Reise- und Spesenkontrollen und untergewichtet bei Umsatzabgrenzung zum Periodenschluss und Intercompany-Abstimmungen, also genau dort, wo sich katastrophale Betrugsfälle verstecken.

Warum Wirecards Kontrollen versagten

Der Wirecard-Betrug funktionierte wegen eines strukturellen blinden Flecks, den jeder CFO mit Offshore-Aktivitäten kennt. Rund die Hälfte des berichteten Umsatzes von Wirecard kam von „Third-Party Acquiring“-Partnern (TPA) in Dubai, den Philippinen und Singapur, kleinen Firmen, die vorgeblich Zahlungen in Jurisdiktionen abwickelten, in denen Wirecard keine Lizenzen hatte. Die Barmittel dieser Partner lagen bei Treuhändern auf Escrow-Konten. EY bestätigte die Existenz der Barmittel, indem es sich auf *Saldenbestätigungen der Treuhänder selbst* verließ, statt unabhängig bei den dahinterliegenden Banken (BPI und BDO auf den Philippinen) nachzufragen. Als EY 2020 endlich auf direkte Bankbestätigungen bestand, bestätigten beide Banken, dass die Konten nie existiert hatten.

Das Kontrollversagen war nicht exotisch. Es war ein Verstoß gegen ISA 505, die Anforderung, dass externe Bestätigungen vom Prüfer kontrolliert und direkt an den Antwortenden gesendet werden. Jeder CFO mit Offshore-Forderungen oder Escrow-Vereinbarungen sollte sich jetzt fragen: Wer versendet und empfängt unsere Bankbestätigungen tatsächlich, und kontrolliert unser Prüfer diesen Kanal unabhängig?

Die drei Verteidigungslinien aufbauen

Das Three Lines Model des Institute of Internal Auditors (aktualisiert 2020) bleibt der operative Bauplan, doch die meisten CFOs setzen es als Organigramm um statt als funktionierendes System. So bauen Sie es so auf, dass es Betrug tatsächlich erkennt.

Erste Linie: operative Kontrollen mit Zähnen

Die erste Linie ist das operative Management, die Leute, die Umsatz, Einkauf, Lohnbuchhaltung und Treasury verantworten. Ihre Kontrollen müssen unter der Annahme gestaltet werden, dass ein entschlossener, intelligenter Insider versucht, sie zu überwinden. Die Punkte, bei denen es für 2026 keine Kompromisse gibt:

• Funktionstrennung, erzwungen auf der ERP-Ebene, nicht auf der Richtlinienebene. Wenn Ihre SAP- oder Oracle-Zugriffskontrollen zulassen, dass dieselbe Person einen Lieferanten anlegt, eine Rechnung freigibt und eine Zahlung auslöst, haben Sie einen Verstoß im Wells-Fargo-Stil in der Warteschlange. Fahren Sie vierteljährlich einen SoD-Konfliktbericht und verlangen Sie eine Freigabe für jede dokumentierte Ausnahme.
• Pflichturlaub und Job-Rotation in Treasury, Kreditorenbuchhaltung und Abstimmungsfunktionen. Der 4,9-Milliarden-Euro-Verlust des Société-Générale-Händlers Jérôme Kerviel wurde 2008 genau dann aufgedeckt, als er gezwungen war, Urlaub zu nehmen.
• Hygiene der Lieferantenstammdaten. Der häufigste Weg der Vermögensveruntreuung ist der fiktive Lieferant. Gleichen Sie Bankkonten von Lieferanten monatlich mit Bankkonten von Mitarbeitern ab. Gleichen Sie Lieferantenadressen mit Mitarbeiteradressen ab. Das ist eine SQLSQLSales Qualified Lead: ein Prospect, den das Sales-Team als bereit für direkte Ansprache und ein Angebot validiert hat, weil er klare Qualifizierungskriterien erfüllt.Vollständige Definition ansehen →-Abfrage und deckt Betrugsfälle auf, die seit Jahren laufen.

Zweite Linie: Risiko, Compliance und die vergessene Kraft der Analytik

Die zweite Linie, Risikomanagement, Compliance, Controlling, besitzt das Framework, muss aber die *Daten* besitzen, um wirksam zu sein. Die Verschiebung seit 2022 ging von stichprobenbasiertem Testen zu Continuous Controls Monitoring (CCM). CFOs im Mittelstand haben inzwischen Zugang zu Tools (MindBridge, AppZen, Trullion), die machine learning auf 100 % der Buchungen anwenden und Verstöße gegen Benfords Gesetz, Rundbeträge, Wochenendbuchungen und Buchungen von Nutzern außerhalb ihrer normalen Rolle markieren.

Siemens baute nach dem FCPA-Vergleich über 1,3 Milliarden Euro im Jahr 2008 auf, was heute als Goldstandard eines Compliance-Programms gilt: über 600 Vollzeit-Compliance-Officer, verpflichtende jährliche Zertifizierungen für mehr als 100.000 Mitarbeiter und ein zentrales Case-Management-System. Der kulturelle Wandel dauerte ein Jahrzehnt. Der Punkt für den CFO von heute: Compliance ist keine Abteilung, sie ist eine Dateninfrastruktur.

Dritte Linie: interne Revision mit echter Unabhängigkeit

Die interne Revision muss funktional an den Prüfungsausschuss berichten, nicht an den CFO. Wenn der Bonus Ihres Chief Audit Executive vom CFO beeinflusst wird, haben Sie einen strukturellen Konflikt, der im schlechtesten möglichen Moment auftaucht. Der Prüfungsausschuss sollte das Budget der internen Revision, den Prüfungsplan und die Vergütung des CAE genehmigen. Alles darunter ist Theater.

Nach Wirecard hat die EU-Corporate Sustainability Reporting Directive (CSRD), die für die Berichterstattung des Geschäftsjahres 2025 voll greift, den Umfang dessen, was Prüfer beurteilen müssen, drastisch erweitert, einschließlich nichtfinanzieller Kontrollumgebungen rund um ESGESGRahmen zur Bewertung eines Unternehmens nach ökologischen, sozialen und Governance-Kriterien, genutzt von Investoren, Regulierern und Käufern.Vollständige Definition ansehen →-Daten. CFOs, die CSRDCSRDEU-Richtlinie, die große Unternehmen verpflichtet, standardisierte, geprüfte Nachhaltigkeitsdaten neben den Finanzergebnissen offenzulegen.Vollständige Definition ansehen →-Compliance als Nachhaltigkeitsthema und nicht als Thema der internen Kontrollen behandeln, legen den Grundstein für die nächste Generation von Restatements.

Vom Framework zum Montagmorgen: das praktische Playbook des CFO

Theorie ist billig. Hier ist, was ein CFO in den ersten 90 Tagen tut, um das Betrugsrisiko materiell zu senken.

Führen Sie ein Fraud Risk Assessment durch, das Namen nennt

Die meisten Fraud Risk Assessments sind generische Heatmaps. Ein nützliches identifiziert für jeden materiellen Geschäftsprozess **das *konkrete SchemaSchemaEin Schema ist der formale Bauplan, der festlegt, wie Daten in einer Datenbank, einer Datei oder einer Nachricht strukturiert, benannt, typisiert und miteinander verknüpft sind.Vollständige Definition ansehen →*, das auftreten könnte, und die *konkrete Kontrolle*, die es verhindert**. Für die Umsatzrealisierung in einem SaaS-Geschäft heißt das, aufzulisten: Channel Stuffing, Side Letters, die Kriterien der Umsatzrealisierung aushebeln, Bill-and-Hold-Vereinbarungen, Round-Tripping mit verbundenen Parteien. Dokumentieren Sie für jedes davon die präventive Kontrolle, die aufdeckende Kontrolle und den namentlich benannten Verantwortlichen.

Die Fallstudie dazu ist Under Armour, das 2021 eine SEC-Strafe von 9 Millionen Dollar zahlte, weil es über sechs Quartale (2015-2016) Umsätze von 408 Millionen Dollar vorgezogen hatte, ohne diese Praxis offenzulegen. Der Betrug war kein Kontrollversagen im klassischen Sinne, die Aufträge waren echt, sondern ein Offenlegungsversagen, das ein sich abschwächendes organisches Wachstum verdeckte. Ein belastbares Fraud Risk Assessment hätte „Vorziehen von Aufträgen künftiger Quartale“ als Schema markiert, das spezifische Offenlegungskontrollen erfordert. Die meisten Assessments werden nicht so granular. Ihres sollte es.

Bauen Sie einen Whistleblower-Kanal, den Menschen tatsächlich nutzen

Die ACFE stellt fest, dass 43 % der Betrugsfälle über Hinweise entdeckt werden, mehr als durch interne Revision, Management Review und externe Prüfung *zusammen*. Dennoch erzeugen die meisten Unternehmenshotlines kaum Volumen, weil Mitarbeiter sie zu Recht als karrierebeendend wahrnehmen. Drei Designprinzipien trennen funktionierende Hotlines von theatralischen:

1. Unabhängigkeit der Annahme, an einen Dritten auslagern (NAVEX, Convercent) mit direkter Berichtslinie an den Vorsitzenden des Prüfungsausschusses.
2. Anonymität, die hält, nach der EU-Whistleblower-Richtlinie (bis 2023 in allen Mitgliedstaaten in nationales Recht überführt) ist Vergeltung gegen Hinweisgeber ein Fall persönlicher Haftung für Führungskräfte. Stellen Sie sicher, dass Ihre Rechtsabteilung Sie dazu gebrieft hat.
3. Feedback-Schleifen, Hinweisgeber, die nie erfahren, was aus ihrer Meldung wurde, melden nicht wieder. Kommunizieren Sie vierteljährlich Statistiken zur Bearbeitung, ohne die Vertraulichkeit zu verletzen.

Dan McCrums Wirecard-Recherche stammte überwiegend von internen Whistleblowern, Leuten, die interne Kanäle versucht hatten und ignoriert oder bedroht wurden. Wenn Informationen bei der *Financial Times* landen, haben Ihre internen Kontrollen schon zweimal versagt.

Tone from the top, aber gemessen in der Mitte

Jeder CFO betet das Mantra vom „Tone at the Top“ herunter. Die operative Frage ist, wie Sie ihn messen. Die konsequentesten Unternehmen führen heute Kultur-Audits durch, anonymisierte Mitarbeiterbefragungen, die konkrete Dimensionen abfragen: „Glauben Sie, dass Führungskräfte schlechte Nachrichten akzeptieren würden?“ „Haben Sie erlebt, dass Kollegen in einer Weise unter Druck gesetzt wurden, Zahlen zu erreichen, die Sie bedenklich fanden?“ Die Ergebnisse gehen zusammen mit den Finanzkennzahlen an den Prüfungsausschuss. Boeings MAX-Krise war kein Bilanzbetrug, zeigt aber, was es kostet, Signale aus dem mittleren Management über technische Abkürzungen unter finanziellem Druck zu ignorieren.

Stresstesten Sie die Beziehung zu Ihrem Prüfer

Nach Wirecard steht der Prüferberuf weltweit unter regulatorischer Belagerung. Das britische FRC hat Prüfung und Beratung bei den Big Four getrennt; das PCAOB hat unter Erica Williams die Inspektionsstrenge drastisch erhöht. Als CFO ist es nicht Ihre Aufgabe, der Freund Ihres Prüfers zu sein, sondern sicherzustellen, dass Ihr Prüfer die Ressourcen, den Zugang und das Rückgrat hat, das Management zu hinterfragen. Praktische Tests:

• Wann hat Ihr Prüfer letztmals eine materielle Korrektur verlangt? Wenn die Antwort „vor Jahren“ lautet, fragen Sie warum.
• Trifft sich Ihr Prüfungsausschuss mindestens zweimal im Jahr mit dem verantwortlichen Partner *ohne Anwesenheit des Managements*? Sollte er.
• Hat Ihr Prüfer die leitenden Partner im von der SEC vorgeschriebenen Rhythmus rotiert? Dokumentieren Sie es.

Die Aktions-Checkliste des CFO

1. **Beauftragen Sie ein unabhängiges Fraud Risk Assessment in