Derzeit gibt es Schlagzeilen wie „Gefälschte digitale Rechnungen im Umlauf“, „Rechnungsbeträge landen auf Konten von Betrügern“,…
Solche Schlagzeilen sind derzeit häufig. Der Hintergrund: E-Rechnungen sollen Standard im Geschäftsverkehr werden. Seit Anfang 2025 müssen Betriebe für im Inland steuerbare Umsätze im B2B-Geschäftsverkehr E-Rechnungen empfangen und verarbeiten können. Die Pflicht, eigene Ausgangsrechnungen nur digital abzurechnen, wird etappenweise bis Ende 2027 eingeführt.
Betrugsfälle, bei denen digitale Rechnungen, die per Mail versendet wurden, werden abgefangen und die Kontodaten manipuliert.
Dabei werden von den Betrügern Rechnungen für tatsächlich erbrachte Leistungen beziehungsweise Waren, die digital per Mail versendet wurden, abgefangen und die tatsächlichen Kontodaten des Rechnungssteller durch Kontodaten der Betrüger ausgetauscht. Die gefälschte Rechnung landet dann mit der originalen Email des tatsächlichen Rechnungsstellers beim Empfänger im Email-Postfach.
Die Empfänger erkennen diese Mails nicht als gefälscht, da Emailadresse und die Email selbst unverändert bleiben. Es wird lediglich das PDF-Dokument (die Rechnung) oder die XML-Datei manipuliert. Die Rechnungsempfänger überweisen das Geld. Dieses landet jedoch nicht beim Versender sondern auf den Konten der Betrüger. Der Betrug fällt erst Tage später auf, wenn der Versender den Rechnungsempfänger erneut zur Zahlung auffordert.
Im schlimmsten Fall sind die Emails zudem mit Links oder Dateianhängen versehen, die Schadsoftware ins Unternehmen tragen. Umso wichtiger ist es technisch und organisatorisch einige Vorkehrungen zu treffen, um das Risiko zu begrenzen.
Mit Efalia ECM und unserem Kooperationspartner cargogear.io bieten wir für den Versand und den Empfang von E-Rechnungen Sicherheitsmechanismen an, damit Cyberkriminelle keine Chance haben.
Zur Absicherung beim Versand von E-Rechnungen kann im Fall von ZUGFeRD-Rechnungen eine digitale Signatur der PDF-Rechnung automatisch mit Efalia ECM und Efalia Sign vorgenommen werden. Damit ist die PDF-Datei vor nachträglicher Manipulation geschützt und kann gefahrlos per Email versendet werden. Im Fall von XML-Rechnungen im Fall CII oder UBL ist dies beim Versand nicht so einfach. Hier kann die Rechnung in ein Kennwortgeschütztes Archiv vor dem Versand verpackt werden. Dies ist mittels der BPM in Efalia ECM und einem angepassten Workflow möglich.
Natürlich kann auch eine Alternative zum Email-Versand genutzt werden. Unternehmen können zum Beispiel spezielle Onlineanwendungen nutzen, auf denen die Auftragnehmer und die Lieferanten Ihre Rechnungen hochladen. Eine weitere Variante sind standardisierte Onlineanwendungen wie Elektronik Data Interchange (EDI), AS2 oder das Peppol-Netzwerk. Sie bieten eine hohe IT-Sicherheit durch starke Verschlüsselung, Authentifizierung und Überwachungsmaßnahmen. Die Kosten für die Implementierung, der technische Aufwand, die Komplexität, die Akzeptanz und eine mögliche Abhängigkeit von Drittanbietern sind hierbei allerdings oft eine Herausforderung, insbesondere für kleine und mittlere Unternehmen. Unsere Lösung ist kostengünstiger und universeller einsetzbar.
Was ist außerdem bei der Verarbeitung von E-Rechnungen zu beachten ?!
Nutzt der Versender von E-Rechnungen nicht eine der oben beschriebenen Methoden, muss der Rechnungsempfänger eine Validieren der E-Rechnung vornehmen.
Ist eine E-Rechnung zum Empfänger gekommen, muss sie dort weiterverarbeitet und abschließend revisionssicher archiviert werden. Wie beim Transport ist auch dabei immer ein Check von Vertraulichkeit, Integrität und Verfügbarkeit der Daten erforderlich. Efalia ECM kann dazu mittels eines Empfangsworkflow die Schnittstelle zu cargogear.io nutzen. cargogear.io der Firma Munich Data Quality GmbH kann im Fall von ZUGFeRD- und XML-Dateien inhaltliche Überprüfungen vornehmen. Hauptsächlich werden hier die Validität der XML-Rechnungen im Format CII oder UBL geprüft, aber zusätzlich können z.B. hier auch die Kontoverbindungsdaten bestehender Lieferanten geprüft werden, oder ob der Lieferant überhaupt existiert und eine Geschäftsbeziehung mit dem Auftraggeber besteht, etc.
Erst nachdem das Validieren durch cargogear.io erfolgreich war, wird die E-Rechnung revisionssicher archiviert und im Falle von XML-Rechnungen auch noch zusätzlich mit einer generierten PDF-Datei erweitert, damit die Rechnung für die Mitarbeiter les- und vergleichbar ist. Efalia ECM bietet mit seiner BPM Möglichkeiten an, Workflows zu generieren, die die internen Vorgaben des Unternehmens widerspiegeln. Z.B. kann ab einer bestimmten Rechnungshöhe oder bei erstmaligen Geschäftskontakt generell eine Prüfung innerhalb von ECM mittels Workflow angestossen werden, So ein Workflow kann die automatische Weiterleitung an Vorgesetzte mittels 4-Augen Prinzip vorsehen, oder eine Person zur Prüfung der Bankverbindung veranlassen.
Stimmen die Daten mit bereits bekannten und bestätigten Bankverbindungen überein? Passt die IBAN zu den Angaben auf der Webseite des Unternehmens? Im Zweifelsfall muss auf einem anderen Kommunikationskanal Kontakt zum Versender aufgenommen werden. Erst nach Freigabe in ECM kann die Rechnung zu Zahlung weiter verarbeitet werden.
Zuletzt ein Tipp für den Email-Empfang von E-Rechnungen. Für die Abwicklung sollten Unternehmen eine eigene Email-Adresse und ein exklusiv dafür vorgesehenes Mailpostfach einrichten. Für das Postfach sollten es immer einen Verantwortlichen und einen Stellvertreter geben und Zugriffsrechte sollten definiert sein. Die Firma sollte aktuelle Anti-Spam und Anti-Schadsoftware beim Empfang von Emails im Einsatz haben. Gute Technikeinstellungen sind immer die erste Abwehrmauer, um zusätzliche Anhänge mit Schadsoftware zu eliminieren. Trotzdem werden Mails im Postfach landen, die an dieser Mauer vorbeikommen. Daher sollten Sie immer wachsam sein. Zusätzliche Mechanismen sind das Sender Policy Framework (SPF) oder Domain Keys Identified Mails (DKIM). Beide Methoden stellen sicher, dass versandte Mails auf dem Weg weniger manipuliert werden können, Diese Methoden sollten beim Rechnungsversender etabliert ein. Somit sollten Unternehmen sich austauschen und versuchen die Methoden gegenseitig als Standard zu definieren,
Sollten Sie einen Betrug festgestellt haben, melden Sie diesen unverzüglich der Polizei. Dies sollten beide Parteien tun – Rechnungsversender und Rechnungsempfänger. Im Anschluss daran muss das System beider Parteien geprüft werden. Etablieren Sie die von uns vorgeschlagenen Methoden, damit Unachtsamkeit bei falschen E-Rechnungen nicht teuer werden.
Wir beraten Sie gerne zu diesem Themen. Senden Sie eine Anfrage an info@megatron-ps.de und wir vereinbaren mit Ihnen einen Gesprächstermin.
