Fraud, Waste und Abuse: das Risikodreieck in öffentlichen Institutionen

# Fraud, Waste und Abuse: das Risikodreieck in öffentlichen Institutionen

2019 entdeckte das Department of Education der Stadt New York, dass eine Lohnbuchhalterin über ein Jahrzehnt lang eine „Kantinenmitarbeiterin“ bezahlt hatte, die es nicht gab, und dabei mehr als 500.000 Dollar einsteckte (Schätzung auf Basis der berichteten Fallzahlen). Die Angestellte existierte nur auf dem Papier: ein Ghost, am Leben gehalten von einer einzigen Person, die Einstellungsformulare, Stundenzettel und Lohnfreigabe gleichzeitig kontrollierte. Kein System schlug Alarm. Kein Prüfer merkte etwas. Die internen Kontrollen der Stadt hatten schlicht ein Loch, genau in der Form dieses Schemas.

So sieht der Großteil von Fraud im öffentlichen Sektor aus: keine kriminellen Masterminds, sondern gewöhnliche Kontrolllücken, die auf gewöhnlichen menschlichen Druck treffen.

Das Risikodreieck, angewandt auf den Staat

Fraud-Prüfer nutzen ein einfaches Modell, das Fraud Triangle (entwickelt vom Kriminologen Donald Cressey): Fraud entsteht, wenn drei Elemente zusammenkommen.

• Pressure: ein finanzieller oder persönlicher Bedarf, der jemanden zum Handeln treibt.
• Opportunity: eine Kontrollschwäche, die die Tat möglich macht.
• Rationalization: eine Geschichte, die sich die Person selbst erzählt, damit es sich gerechtfertigt anfühlt.

Fraud in der Privatwirtschaft dreht sich oft um persönliche Gier oder Bonusziele. Fraud im öffentlichen Sektor hat eigene Ausprägungen:

• Pressure: chronische Unterfinanzierung, Einstellungsstopps, die überlastetes Personal zu Abkürzungen drängen, oder politischer Druck, Budgets vor Jahresende auszugeben (eine „use it or lose it“-Dynamik, die häufig in Berichten des US <a href="https://www.gao.gov" target="_blank">Government Accountability Office (GAO)</a> auftaucht).
• Opportunity: zersplitterte Aufsicht über Behörden hinweg, schwache Funktionstrennung, Legacy-IT-Systeme, die nicht miteinander sprechen.
• Rationalization: „die Behörde verschwendet das Geld sowieso“, „für diesen Job werde ich unterbezahlt“, „alle runden ihre Rechnungen auf“.

Drei klassische Schemata, drei klassische Mechaniken

Payroll Ghosting

Ein Ghost Employee ist eine Person auf der Lohnliste, die nicht arbeitet oder nicht existiert. Das erfordert jemanden, der sowohl den Personalbestand als auch die Zahlungsfreigabe kontrolliert, genau das Versagen der Funktionstrennung, vor dem Aufsichtsbehörden warnen. Das US Government Accountability Office und das European Anti-Fraud Office (OLAF) der EU nennen Payroll beide als eine der größten Schwachstellen in dezentralen öffentlichen Verwaltungen.

Kontrolle: die HR-Headcount-Liste monatlich gegen die Lohnzahlungsdaten abgleichen und verlangen, dass eine Führungskraft, die den Personaldatensatz *nicht* angelegt hat, die Existenz der Person bestätigt (physische Sichtung, biometrisches Check-in oder unabhängiger Verifizierungsanruf).

Bid-Rigging in der Beschaffung

Bid-Rigging liegt vor, wenn Wettbewerber heimlich das Ergebnis einer angeblich wettbewerblichen Ausschreibung absprechen, statt um einen öffentlichen Auftrag zu konkurrieren. Es ist nach US-Antitrust-Recht illegal (durchgesetzt von der Antitrust Division des Department of Justice) sowie nach EU-Wettbewerbsrecht (Artikel 101 AEUV, durchgesetzt von der Europäischen Kommission).

Eine Baufirma spricht sich mit zwei „Wettbewerbern“ ab, die absichtlich zu hohe oder verlierende Angebote abgeben, sodass der eigentliche Bieter zu einem überhöhten Preis gewinnt und die Marge anschließend geteilt wird. Die <a href="https://www.worldbank.org/en/about/unit/integrity-vice-presidency" target="_blank">Integrity Vice Presidency</a> der Weltbank hat dutzende solcher Schemata in der Infrastrukturfinanzierung dokumentiert.

Red Flags: Angebote, die preislich verdächtig eng zusammenliegen, dieselben Firmen, die immer gegen denselben Gewinner verlieren, identische Tippfehler oder Formatierungen in „konkurrierenden“ Angeboten und eine ungewöhnlich geringe Bieterrotation in einer Region.

Doppelte und Phantom-Lieferantenzahlungen

Dieselbe Rechnung, versehentlich oder absichtlich zweimal eingereicht, oder Zahlung an einen Lieferanten, der nur im Kreditorensystem existiert. Das gedeiht dort, wo der Rechnungsabgleich manuell läuft und Lieferantenstammdaten nicht abgestimmt werden.

Kontrolle: Three-Way-Matching, also Abgleich von Bestellung, Wareneingangsbestätigung und Rechnung, bevor eine Zahlung freigegeben wird. Das ist Standard in der Privatwirtschaft, den viele öffentliche Finanzabteilungen bis heute nur teilweise umsetzen.

Das regulatorische Rückgrat

Öffentliche Finanzintegrität ruht auf einem Flickwerk aus Gesetzen und Institutionen:

• USA: der False Claims Act erlaubt Whistleblowern („relators“), im Namen des Staates zu klagen und an Rückforderungen beteiligt zu werden; laut <a href="https://www.justice.gov/opa" target="_blank">US Department of Justice</a> wurden damit im Geschäftsjahr 2024 rund 2,9 Milliarden Dollar über Vergleiche und Urteile zurückgeholt (Schätzung, jährlicher Revision unterworfen). Der Single Audit Act verlangt von jeder Non-Profit-Organisation oder staatlichen/kommunalen Einheit, die jährlich mehr als 750.000 Dollar Bundesmittel ausgibt, eine unabhängige Prüfung.
• Europäische Union: OLAF untersucht Fraud gegen den EU-Haushalt; die seit 2021 operative Europäische Staatsanwaltschaft (EPPO) kann grenzüberschreitenden Fraud in den teilnehmenden Mitgliedstaaten direkt verfolgen.
• Global: das Internal Control Framework des Committee of Sponsoring Organizations (COSO) liegt dem Design der meisten Regelwerke für interne Kontrollen zugrunde, öffentlich wie privat.

Ein einfacher Praxischeck: ist diese Lieferantenliste sauber?

Ein einfaches Screening auf Doppelzahlungen, das Finanzteams in Excel oder SQLSQLSales Qualified Lead: ein Prospect, den das Sales-Team als bereit für direkte Ansprache und ein Angebot validiert hat, weil er klare Qualifizierungskriterien erfüllt.Vollständige Definition ansehen → laufen lassen:

SELECT vendor_id, invoice_amount, invoice_date, COUNT(*) AS occurrences
FROM accounts_payable
GROUP BY vendor_id, invoice_amount, invoice_date
HAVING COUNT(*) > 1;

Das markiert identische Kombinationen aus Lieferant, Betrag und Datum, die mehr als einmal auftreten, die klassische Signatur einer Doppeleinreichung oder eines Erfassungsfehlers, der eine Prüfung wert ist. Es ist kein Beweis für Fraud, aber ein Fünf-Minuten-Erstfilter, den jeder Analyst vor dem Abschluss eines Zahllaufs anwenden sollte.

Due-Diligence-Checkliste für Rollen in öffentlichen Finanzen

Wenn Sie ein öffentliches Programm, einen Fördermittelempfänger oder eine Lieferantenbeziehung bewerten, zählen vier Prüfungen am meisten:

1. Map der Funktionstrennung: wer kann einen Lieferanten anlegen, wer eine Zahlung freigeben, wer den Kontoauszug abstimmen? Wenn eine Person zwei davon kann, ist das eine Lücke.

2. Analyse des Beschaffungswettbewerbs: wie viele verschiedene Bieter haben in den letzten drei Jahren Aufträge gewonnen? Konzentration ist ein Signal, kein Beweis.

3. Existenz und Nutzung eines Whistleblower-Kanals: gibt es eine funktionierende Hotline, und zeigt sie eine plausible Anzahl von Hinweisen (null Hinweise über fünf Jahre ist selbst eine Red Flag)?

4. Vollständigkeit des Audit Trails: lässt sich jede Zahlung auf eine genehmigte Bestellung und einen Waren- oder Leistungseingang zurückführen?

Keine dieser Prüfungen erfordert eine Ausbildung in forensischer Buchhaltung. Es sind dieselben Due-Diligence-Fragen, die ein CFO in der Privatwirtschaft vor der Freigabe eines Lieferantenvertrags stellt, angewandt auf öffentliches Geld.

Key Takeaways

• Das Fraud Triangle (Pressure, Opportunity, Rationalization) gilt auch für den Staat, aber die spezifischen Drücke des öffentlichen Sektors (Ausgaben im Budgetzyklus, Personalmangel) und Gelegenheiten (zersplitterte Aufsicht, manuelle Abstimmung) unterscheiden sich von der Privatwirtschaft.
• Payroll Ghosting, Bid-Rigging und doppelte Lieferantenzahlungen sind die drei häufigsten Fraud-Muster im öffentlichen Sektor, und jedes hat eine konkrete, prüfbare Kontrolle: unabhängige Mitarbeiterverifizierung, Analyse der Bieterkonzentration und Three-Way-Matching von Rechnungen.
• Zentrale regulatorische Anker sind der US False Claims Act und der Single Audit Act sowie in der EU OLAF und die Europäische Staatsanwaltschaft; klären Sie, welche Stelle zuständig ist, bevor Sie annehmen, dass ein Fall verfolgt wird.
• Eine Fünf-Minuten-Abfrage auf Doppelzahlungen oder ein Check der Bieterkonzentration ist ein legitimer, kostengünstiger erster Due-Diligence-Schritt, kein Ersatz für eine vollständige Prüfung, aber ein nützlicher Frühfilter.
• Null gemeldete Fraud-Vorfälle sind kein Zeichen von Gesundheit; sie deuten oft auf einen ungenutzten oder unbekannten Whistleblower-Kanal hin statt auf ein sauberes System.