Kapitel 75: Mitarbeiter und interne Kontrollen: Die Schwachstelle von innen

Im Laufe vieler Jahre professioneller Tätigkeit in Sitzungssälen und Gerichtshallen habe ich die verschiedensten Fälle gesehen. Ich habe raffinierte Hacker gesehen, die Firewalls durchbrachen, welche mit enormen Investitionen errichtet wurden; internationale Betrüger, die sich als hochrangige Funktionäre ausgaben; und Phishing-Netzwerke, die in sozialen Medien auf Opfer lauern. Doch es gibt eine Art von Betrug, die immer einen besonders bitteren Nachgeschmack hinterlässt – eine, die nicht nur auf den finanziellen Verlust zurückzuführen ist, sondern auf das Zerbröckeln des fundamentalsten Wertes, auf dem jedes menschliche System beruht: Vertrauen.

Wenn wir über Betrug gegen Unternehmen sprechen, neigen unsere Gedanken dazu, nach außen zu schweifen. Wir stellen uns einen „Angreifer“ vor, der irgendwo im virtuellen Raum agiert. Aber dieses Kapitel befasst sich mit der greifbaren, nahesten und schmerzhaftesten Bedrohung – der Bedrohung innerhalb des eigenen Hauses. Der engagierte Mitarbeiter, der als Erster im Büro ist, die Buchhalterin, die sich an aller Geburtstage erinnert, oder der Einkaufsleiter, dem jeder vertraut. Dies ist das Kapitel über internen Betrug und das inhärente Versagen in den organisatorischen Kontrollen, ein Bereich, in dem menschliche Psychologie auf technische Sicherheitslücken trifft.

Die Stimme im Haus: Wenn Vertrauen zur Waffe wird

Im Buch „Sind Sie auf einen Betrug hereingefallen?“ wird betont, dass Betrug nicht nur eine Frage der Technologie ist, sondern der Psychologie. In der Geschäftswelt ist Vertrauen der Treibstoff, der die Räder am Laufen hält. Ohne ein gewisses Maß an Vertrauen in die Mitarbeiter kann ein Unternehmen nicht funktionieren. Man kann nicht jede Zeile auf einer Rechnung prüfen oder jeden Tastaturanschlag am Computer überwachen. Und dieses Vertrauen, das für das Wachstum unerlässlich ist, ist auch eine potenzielle Schwachstelle der Organisation.

Mitarbeiterbetrug oder „Veruntreuung“ ist eines der herausforderndsten Phänomene im Wirtschaftssektor. Nach internationalen Daten der Association of Certified Fraud Examiners (ACFE) können Organisationen infolge von Betrug einen erheblichen Teil ihres Jahresumsatzes verlieren. In den meisten Fällen vergeht viel Zeit, bis der Betrug entdeckt wird. Warum? Weil der veruntreuende Mitarbeiter das System genau kennt. Er weiß möglicherweise, wo die Schwachstellen liegen, wer Zahlungen automatisch genehmigt und welche Schublade im Lager niemals inventarisiert wird.

Doch bevor wir zur rechtlichen und technischen Analyse der Prävention übergehen, sollten wir verstehen, wie dies in der Realität aussehen kann. Wie wird ein normativer Mensch zu jemandem, der die Existenzgrundlage seines Arbeitgebers schädigt?

Das folgende Szenario ist ein lehrreiches Beispiel, das auf gängigen Betrugsmustern basiert. Die Personen und Ereignisse dienen lediglich der Veranschaulichung.

Die Geschichte von „Optica Zafon“ und Dannys Aufstieg

„Optica Zafon“ war eine Kette mit fünf Filialen und einem Logistikzentrum. Die Unternehmensinhaberin, Michal, verließ sich auf Danny, der viele Jahre lang als Buchhalter des Unternehmens fungierte. Er galt als Teil des organischen Systems des Unternehmens, verwaltete die Beziehung zu den Banken und vermittelte ein Gefühl der vollständigen Kontrolle über die Daten. Danny war ein Mitarbeiter, der niemals langen Urlaub nahm und immer als Letzter im Büro blieb – eine Situation, die in bestimmten Szenarien der internen Revision als Warnsignal gelten kann, da sie andere daran hindert, seine Kontrollposition zu hinterfragen.

Die Veränderung bei Danny begann in diesem Szenario infolge persönlicher finanzieller Belastungen. Danny durchsuchte die Lieferantenliste von „Optica Zafon“ und identifizierte einen Lieferanten, der im System nicht mehr aktiv war. Die erste Maßnahme bestand darin, die Bankverbindung des inaktiven Lieferanten auf ein anderes Bankkonto zu ändern und eine fiktive Rechnung über Tausende von Schekel für „Beratungsleistungen“ auszustellen. Als Buchhalter, der die Rechnungen genehmigte, passierte das Geld die Prüfung problemlos.

Mit der Zeit wurde die Methode perfektioniert. Danny begann „Überzahlungen“ an echte Lieferanten zu leisten und bat diese anschließend, die Gutschrift auf ein anderes Bankkonto zurückzuüberweisen, das er kontrollierte. Er lernte die Gewohnheiten beim Unterschreiben von Schecks kennen und schmuggelte Zahlungen dazwischen, die für ihn bestimmt waren. Die Beträge stiegen allmählich an.

In diesem Szenario kam die Krise, als beschlossen wurde, ein neues ERP-System für die Bestands- und Finanzverwaltung zu implementieren. Ein externer Berater, der Daten abgleichen wollte, entdeckte Unstimmigkeiten. Bei einer gründlichen Untersuchung des Büros wurden Dokumente gefunden, die den Verdacht auf Fälschung nahelegten, sowie Finanzberichte, die nicht der Realität entsprachen. In einem solchen Fall können die Parteien nach Prüfung der Beweise feststellen, dass sich über die Jahre ein finanzieller Schaden von Millionen von Schekeln angesammelt hat.

Die Anatomie der Veruntreuung: Das Betrugsdreieck und die Gelegenheit macht Diebe

Der beschriebene Fall repräsentiert ein Muster, das oft als „Betrugsdreieck“ (The Fraud Triangle) bezeichnet wird. Damit ein Mitarbeiter Betrug begeht, müssen meist drei Komponenten gleichzeitig vorliegen:

1. Druck (Pressure)

Dies ist das Motiv. Meist handelt es sich um versteckten finanziellen Druck: Schulden, wirtschaftliche Schwierigkeiten in der Familie oder der Wunsch, einen Lebensstandard aufrechtzuerhalten, der nicht mit dem Einkommen übereinstimmt. Druck ist der Faktor, der einen normativen Menschen dazu bringen kann, eine Grenze zu überschreiten.

2. Gelegenheit (Opportunity)

Hier kommt die unternehmerische Verantwortung ins Spiel. Gelegenheit entsteht, wenn interne Kontrollen schwach sind. Wenn eine Person die exklusive Kontrolle über die gesamte Zahlungskette hat – von der Erfassung des Lieferanten bis zur Ausführung der Zahlung –, besteht eine Gelegenheit. In vielen Büros wird manchmal auf die „Aufgabentrennung“ verzichtet, und dies ist eine erhebliche Schwachstelle.

3. Rechtfertigung (Rationalization)

Dies ist die psychologische Komponente. Täter können sich eine Geschichte erzählen, die ihr Handeln rechtfertigt: „Ich leihe mir das Geld nur“, „Ich verdiene ein höheres Gehalt“ oder „Das ist ein Ausgleich für Überstunden“. Die Rechtfertigung ermöglicht es ihnen, weiterhin als gewöhnliche Mitarbeiter zu fungieren, während sie dem Unternehmen schaden.

Zwischen Strafrecht und Zivilrecht: Analyse der rechtlichen Möglichkeiten

Wenn ein Verdacht auf Veruntreuung aufkommt, kann der Arbeitgeber vor einem emotionalen und rechtlichen Sturm stehen. Es stellt sich die Frage, wie man die Rückgewinnung von Geldern angehen kann. Es ist wichtig, die bestehenden rechtlichen Möglichkeiten zu verstehen.

Diebstahl durch einen Mitarbeiter – der strafrechtliche Aspekt

Das Strafgesetzbuch (von 1977) behandelt Delikte, die von einem Mitarbeiter gegen seinen Arbeitgeber begangen werden, streng. Artikel 391 des Gesetzes sieht bei Diebstahl durch einen Mitarbeiter von seinem Arbeitgeber schwere Strafen vor, da dies das besondere Vertrauensverhältnis zwischen den Parteien verletzt. Die Einreichung einer Anzeige bei der Polizei ist ein möglicher Schritt, konzentriert sich jedoch auf die strafrechtliche Ebene und nicht unbedingt auf die finanzielle Entschädigung.

Der zivilrechtliche Weg und einstweilige Verfügungen

Auf zivilrechtlicher Ebene besteht das Ziel darin, eine Vermögensverschiebung zu stoppen. Es kann die Einreichung einer Zivilklage und Anträge auf dringende vorläufige Maßnahmen, wie z. B. Pfändungsbeschlüsse für Bankkonten oder Eigentum, im Rahmen der gesetzlichen Bestimmungen geprüft werden. Gelegentlich können Beschlüsse beantragt werden, die die Sicherstellung von Beweisen ermöglichen, um die Vernichtung digitaler Materialien zu verhindern.

Haftung Dritter

Eine Frage, die gelegentlich aufkommt, ist, ob andere Parteien, wie das Bankensystem, zur Verantwortung gezogen werden können. Die Antwort hängt von den Umständen ab und ist nicht einfach. Es kann geprüft werden, ob eine Sorgfaltspflicht verletzt wurde und ob die Bank klare Warnsignale ignoriert hat. Wenn es sich jedoch um einen Mitarbeiter mit rechtmäßiger Genehmigung handelt, können die Finanzinstitute geschützt sein. Jeder Fall wird einzeln nach seinen besonderen Umständen geprüft.

Arbeitnehmerrechte im Lichte der Veruntreuung

Ein sensibles Thema ist der Ausschluss von Abfindungszahlungen. Das Abfindungsgesetz ermöglicht es dem Arbeitsgericht, den Ausschluss von Abfindungen unter bestimmten Umständen zu prüfen. Der Arbeitgeber kann jedoch nicht einseitig und willkürlich handeln. Es gibt ein geregeltes Verfahren, und die Gerichte prüfen das Gleichgewicht zwischen der Schwere der Tat und den sozialen Rechten des Arbeitnehmers. Möglichkeiten zur Verrechnung nachgewiesener Schulden können vorbehaltlich eines rechtlichen Nachweises geprüft werden.

Mauern im Büro bauen: Kontrollen zur Risikoprävention

Um das Risiko interner Betrugsfälle zu minimieren, empfiehlt es sich, eine Unternehmenskultur und klare Arbeitsabläufe zu etablieren:

1. Aufgabentrennung (Segregation of Duties)

Dies ist ein Grundprinzip der internen Kontrolle. Es ist ratsam, dass die Person, die Waren bestellt, nicht dieselbe Person ist, die die Zahlung genehmigt, und dass derjenige, der die Transaktion erfasst, nicht die Bankabstimmungen durchführt. In kleinen Unternehmen kann man auf regelmäßige externe Prüfungen zurückgreifen.

2. Verfahren zur Lieferantengenehmigung

Es empfiehlt sich, die Änderung von Bankdaten eines Lieferanten oder die Neuanlage eines Lieferanten nicht ohne doppelte Genehmigung zuzulassen. Bei einem Antrag auf Datenänderung ist dies über offizielle und bekannte Kommunikationswege mit dem Lieferanten zu verifizieren.

3. Urlaubspflicht

Die Anforderung an Mitarbeiter mit Zugriff auf Gelder, einen zusammenhängenden Jahresurlaub zu nehmen, währenddessen eine andere Person ihre Rolle ausfüllt, ist ein effektives Instrument. Viele Betrügereien erfordern eine tägliche „Wartung“ der Verschleierung, die bei Abwesenheit des Täters aufgedeckt werden könnte.

4. Verwaltung digitaler Berechtigungen

Auf die ausschließliche Verwendung persönlicher Berechtigungen und die Nutzung der Zwei-Faktor-Authentifizierung (2FA) ist zu achten. Die Definition von Warnmeldungen bei ungewöhnlichen Aktivitäten oder Beträgen über einer bestimmten Schwelle kann bei der Überwachung in Echtzeit helfen.

5. Periodische Prüfung

Zusätzlich zur regulären jährlichen Prüfung können gezielte Stichproben in Schwachstellenbereichen wie Einkauf, Lager und Kostenerstattung durchgeführt werden.

Warnsignale (Red Flags)

Es gibt Verhaltens- und Organisationssignale, auf die man achten sollte:

• Ein Mitarbeiter, der konsequent darauf verzichtet, in den Urlaub zu gehen oder Befugnisse zu delegieren.
• Eine deutliche und unerklärliche Änderung im Lebensstandard eines Mitarbeiters.
• Ein Mitarbeiter, der sich in erheblichen finanziellen Schwierigkeiten befindet.
• Ungewöhnliche informelle Beziehungen zwischen einem Mitarbeiter und bestimmten Lieferanten.
• Wiederkehrende Unstimmigkeiten in Lagerbestandsberichten oder in der Kasse.
• Erheblicher Widerstand gegen die Implementierung neuer Kontrollsysteme.

Was ist zu tun, wenn ein Betrugsverdacht aufkommt?

1. Sorgfältige Informationsbeschaffung: Es empfiehlt sich, Beweise und relevante Dokumente ruhig und professionell zu sammeln, unter strikter Einhaltung der gesetzlichen Bestimmungen zum Datenschutz.
2. Professionelle Beratung: Kontaktaufnahme mit einem auf diesem Gebiet erfahrenen Anwalt, um eine korrekte rechtliche Strategie zu entwickeln.
3. Prüfung des Ereignisumfangs: Unterstützung durch Fachleute wie forensische Buchhalter, um den Schaden zu schätzen und die Beweisgrundlage vorzubereiten.
4. Prüfung des Versicherungsschutzes: Überprüfung der Versicherungspolicen des Unternehmens und Meldung gemäß deren Bedingungen.

Rechtlicher Aspekt und Zusammenfassung

Interner Betrug schadet der Grundlage der Organisation. Das Gesetz bietet zwar Instrumente zur Bewältigung – von der strafrechtlichen Ebene bis hin zu deliktischen Ansprüchen und ungerechtfertigter Bereicherung –, aber der Weg zur Rückgewinnung von Geldern hängt von vielen Umständen ab. Die Gerichte fordern in Betrugsfällen ein hohes Maß an Beweisen, und es muss ein Gleichgewicht zwischen dem Schutz des Eigentums des Arbeitgebers und den Rechten des Arbeitnehmers gefunden werden.

Am Ende des Tages ist der Aufbau eines Systems von gegenseitigen Kontrollen Teil eines verantwortungsvollen Managements. Ein Unternehmen, das sich nach innen absichert, reduziert Risiken und bewahrt die Integrität seiner Mitarbeiter. Wie die im Laufe der Jahre gesammelte professionelle Erfahrung zeigt, sind Prävention und Kontrolle wesentliche Instrumente im komplexen Geschäftsumfeld. Die Chance auf Geldrückgewinnung und ein korrektes Management des Ereignisses hängt maßgeblich von der Schnelligkeit und Gründlichkeit des Handelns ab dem Moment der Entdeckung des Verdachts ab.