Risiken der Standard-Kontovollmacht für Mitarbeitende in Unternehmen bei Betrugsfällen

In den neusten und in verschiedensten Formen auftretenden Angriffen auf die Online-Banking Konten von Gesellschaften wird die Standard-Kontovollmacht zu einem unüberschaubaren Risiko.

Problemstellung

Wenn die Mitarbeitende der Buchhaltung einer Gesellschaft unter anderem zur Nutzung des Online-Bankings eine Kontovollmacht durch die Geschäftsführung ausgestellt bekommt, kommt hierbei in der Regel das durch die Hausbank vorgefertigte Formular für Kontovollmachten zum Einsatz. Der Umfang der Vollmacht berechtigt unter anderem zur Vornahme sämtlicher Geschäfte, die mit der Kontoführung im Zusammenhang stehen. Davon umfasst ist in der Regel auch die Verfügung über das Guthaben und das Recht zur Änderung und Kündigung der Vertragsbedingungen bezogen auf Einlagen sowie den Abschluss und die Änderung von Teilnahmevereinbarung für das Telefon- und Online-Banking. Dabei ist die mögliche Verfügungshöhe grundsätzlich nicht nach oben begrenzt und selbst wenn es vereinbarte Tageslimite gibt, erlaubt die Vollmacht den bevollmächtigten Mitarbeitenden, dieses beliebig zu ändern.

Im Rahmen von Betrugsangriffen werden immer häufiger entweder telefonisch oder auf einer betrügerischen bankähnlichen Website die Mitarbeiter der Buchhaltung zur Weitergabe von TANs bzw. zur Auftragsfreigabe mittels der pushTAN-App unter einem unscheinbaren Vorwand wie einem Update der Software beispielsweise aufgefordert.

Dabei wird in der Regel vom Mitarbeitenden von ebendieser weitgehenden Kontovollmacht Gebrauch gemacht, die die Bevollmächtigten dazu berechtigt, das Überweisungslimit für die Online-Banking Teilnahmevereinbarung hochzusetzen. Hierzu benötigen die Betrüger häufig neben der Kartennummer und dem Geburtsdatum auch die TAN bzw. die Freigabe per pushTAN-App. Mit der Erhöhung des Überweisungslimits haben die Betrüger schließlich unbegrenzt Zugriff auf sämtliches Guthaben der Gesellschaft und nehmen Echtzeitüberweisungen zugunsten ihrer Konten und vor.

Das überwiesen Guthaben kann dabei nur in den wenigsten Fällen vollständig zurückgeholt werden, denn es wird innerhalb weniger Tage über verschiedene internationale Konten weitergeschoben, um eine Nachverfolgbarkeit unmöglich zu machen.

Folgen und Empfehlungen für die Praxis

Um das Schadensrisiko von Betrugsfällen in Unternehmen zu senken, ist dringend zu empfehlen, die Mustervollmachten für die Mitarbeitenden der Buchhaltung zu prüfen und im Außenverhältnis ausdrücklich in der Vollmachtsurkunde wirksam auf einen Höchstbetrag zu beschränken.

Als weitere Sicherheitsmaßnahme bietet sich die Implementierung eines A-B-Systems an, wonach die Mitarbeiter der Buchhaltung (A) nur mit einem Geschäftsführer (B) gemeinsam im Rahmen einer Gesamtvertretung Kontoverfügungen vornehmen können. Die Hausbank hat dann bei sämtlichen Verfügungen sicherzustellen, dass die Zustimmung beider Vertreter vorliegt.

Für die Geschäftsführung ist zudem im Rahmen ihrer Organisationspflichten zu empfehlen, regelmäßige Schulungen zur Onlinesicherheit und Payment-Betrugsprävention durchzuführen sowie entsprechende Arbeitsanweisungen an Mitarbeitende zur Abwicklung des Zahlungsverkehrs zu formulieren.