ACH-Zahlungen (Automated Clearing House) sind elektronische Zahlungen, bei denen Gelder über das ACH-Netzwerk in den USA zwischen Bankkonten verschoben werden. Dieses System wird von Nacha verwaltet und ermöglicht eine Vielzahl von Zahlungsarten, darunter Direkteinzahlungen von Arbeitgebern, Zahlungen an Auftragnehmerinnen und Auftragnehmer, automatische Rechnungszahlungen und Peer-to-Peer-Übertragungen.

Wie andere Arten von elektronischen Zahlungen sind auch ACH-Übertragungen anfällig für Betrug. Im Jahr 2025 waren 76 % der Organisationen mit tatsächlichem oder versuchtem Zahlungsbetrug konfrontiert, während 30 % der Befragten von Betrug im Zusammenhang mit ACH-Lastschriften berichteten.

Im Folgenden erklären wir Ihnen, was Sie über ACH-Betrug wissen müssen. Dazu gehören gängige Betrugsmethoden, die Haftung im Falle von ACH-Betrug sowie Maßnahmen zur Prävention und Aufdeckung von ACH-Betrug.

Worum geht es in diesem Artikel?

• Arten von ACH-Betrug
  
• Wann sollten Sie eine ACH-Zahlung nachverfolgen?
  
• So verfolgen Sie ACH-Zahlungen nach
  
• Wer haftet bei ACH-Betrug?
  
• Aufdeckung von ACH-Betrug
  
• Prävention von ACH-Betrug
  
• So kann Stripe Radar Sie unterstützen
  

Arten von ACH-Betrug

ACH-Betrug nutzt Schwachstellen bei elektronischen Geldtransfers (Electronic Fund Transfers, EFTs) durch unautorisierte Lastschriften, kompromittierte Anmeldedaten oder irreführende Zahlungsanweisungen aus. Bei diesen Machenschaften werden in der Regel Zahlungen manipuliert und Kundinnen und Kunden sowie Unternehmen getäuscht, um an Bankdaten zu gelangen und Gelder umzuleiten.

Wann sollten Sie eine ACH-Zahlung nachverfolgen?

Eine ACH-Nachverfolgung hilft Finanzinstituten, den Status und den Verbleib von Geldern im gesamten ACH-Netzwerk anhand der eindeutigen 15-stelligen Nachverfolgungsnummer (Trace-Nummer) einer Transaktion zu verfolgen.

In den folgenden Situationen sollten Sie eine Nachverfolgung bei Ihrer Bank oder Ihrem Zahlungsabwickler beantragen:

• Unerklärliche Zahlungsverzögerungen: Das Geld wurde vom Konto des Auftraggebers abgebucht, aber der/die Empfänger/in hat die Einzahlung nach dem standardmäßigen Zeitfenster für die Zahlungsabwicklung (in der Regel 1–3 Werktage oder mehr als 5 Werktage bei Standardübertragungen) nicht erhalten.

• Verdacht auf Betrug oder unautorisierte Abbuchungen: Auf Ihrem Kontoauszug erscheint eine unerkannte Lastschrift. Durch die Nachverfolgung der Transaktion werden das ursprungsausführende Finanzinstitut (Originating Depository Financial Institution, ODFI) und die Unternehmens-ID ermittelt, sodass Ihre Bank eine unautorisierte Rückgabe einleiten kann (z. B. Rückgabecode R10 oder R29).

• Doppelte Lastschriften oder Gutschriften: Ein technischer Fehler, ein Batch-Dateifehler oder eine doppelte Übermittlung führt dazu, dass identische Transaktionen mehr als einmal verarbeitet werden.

• Falsche Konto- oder Routingdetails: Eine Übertragung wurde mit falsch eingegebenen Bankdaten eingeleitet und nicht automatisch als nicht buchbare Transaktion zurückgewiesen (z. B. Rückgabecode R03 oder R04).

• Streitfälle bei Anbieter- oder Gehaltszahlungen: Ein Anbieter, ein/e Auftragnehmer/in oder ein Mitglied der Belegschaft meldet den Nichterhalt einer Zahlung, obwohl das Hauptbuch des Auftraggebers eine abgeschlossene Auszahlung ausweist. Die Bereitstellung der Nachverfolgungs-ID dient als formeller Übertragungsnachweis, damit die Empfängerbank das Geld manuell lokalisieren kann.

Nachverfolgung von ACH-Zahlungen

Die Nachverfolgung von ACH-Zahlungen kann dabei helfen, Probleme wie den Nichterhalt von Geldern, Fehler oder mutmaßlichen Betrug zu lösen. Je früher Sie eine Nachverfolgung einleiten, desto einfacher ist es, die Details genau nachzuverfolgen.

Im Folgenden sind die Schritte zur Nachverfolgung einer ACH-Zahlung aufgeführt:

1. Erfassen Sie die Zahlungsdetails
   Stellen Sie das genaue Transaktionsdatum, den Dollarbetrag, die ursprungsausführenden und empfangenden Routing-/Kontonummern sowie Ihre interne Referenz-ID zusammen.

2. Holen Sie die 15-stellige ACH-Nachverfolgungs-ID beim Sender ein
   Wenn Sie die Zahlung gesendet haben, entnehmen Sie die 15-stellige Nachverfolgungs-ID Ihrem Kontoauszug, dem Dashboard Ihres Zahlungsabwicklers oder dem ODFI. Wenn Sie der/die Empfänger/in sind, bitten Sie den Sender, diese Nummer bei seinem Finanzinstitut einzuholen.

3. Kontaktieren Sie das entsprechende Finanzinstitut

   1. Wenn Sie der Sender sind: Bitten Sie Ihre Bank oder Ihren Zahlungsabwickler, über das Netzwerk eine formelle ACH-Nachverfolgungsanfrage an die Empfängerbank einzuleiten.
      
   2. Wenn Sie der/die Empfänger/in sind: Stellen Sie dem ACH-Betriebsteam Ihrer Bank die 15-stellige Nachverfolgungs-ID zur Verfügung, damit dieses die Clearing-Warteschlangen nach zurückgehaltenen, ausstehenden oder fehlgeleiteten Einzahlungen durchsuchen kann.
      

4. Prüfen Sie die Lösung der Nachverfolgung und dokumentieren Sie die Ergebnisse
   Untersuchungen zur ACH-Nachverfolgung nehmen in der Regel 1–3 Werktage in Anspruch. Nach Abschluss prüfen Sie den Bericht auf den Transaktionsstatus, den Zeitstempel der Zahlungsabwicklung oder den spezifischen Nacha-Rückgabecode (z. B. R01 für unzureichende Deckung, R03 für falsche Kontonummer) und archivieren Sie den Bericht für die Buchhaltung und für Aufzeichnungen zu Streitfällen.

Wer haftet bei ACH-Betrug?

Die Haftung bei ACH-Betrug hängt in erster Linie davon ab, ob das kompromittierte Konto Kundinnen und Kunden oder einem Unternehmen gehört. Gemäß dem Electronic Fund Transfer Act (EFTA) genießen Kundinnen und Kunden umfassenden gesetzlichen Schutz bei unautorisierten Lastschriften, die innerhalb der erforderlichen Fristen gemeldet werden. Unternehmen unterliegen dem Uniform Commercial Code und tragen in der Regel den Verlust, es sei denn, das Finanzinstitut hat vereinbarte, handelsübliche Sicherheitsverfahren nicht eingehalten.

Im Folgenden wird beschrieben, wie die Haftung in gängigen Szenarien wie unautorisierten Lastschriften, BEC oder Kontoübernahmen in der Regel geregelt ist:

• Unautorisierte Lastschriften: Banken erstatten Verbraucherinnen und Verbrauchern unautorisierte Lastschriften, die gemäß dem US EFTA innerhalb von 60 Tagen nach Übermittlung des regelmäßigen Kontoauszugs gemeldet werden. Unternehmen haben ein wesentlich kürzeres Zeitfenster, um unautorisierte Lastschriften anzufechten.

• BEC: Die Haftung liegt fast immer bei dem Unternehmen, das die Zahlung autorisiert hat, da Finanzinstitute nicht dafür verantwortlich sind, die zugrunde liegende Rechtmäßigkeit eines autorisierten Zahlungsauftrags zu überprüfen.

• ATO: Banken decken im Allgemeinen die Verluste von Kundinnen und Kunden ab, wenn diese umgehend gemeldet werden. Bei Geschäftskonten trägt das Unternehmen den Verlust, es sei denn, die Bank hat es versäumt, gemäß UCC 4A „handelsübliche“ Sicherheitsverfahren bereitzustellen oder zu befolgen. Hierbei handelt es sich um einen rechtlichen Rahmen, der festlegt, wer die Verluste aus unautorisierten Überweisungen und bestimmten ACH-Gutschriften trägt.

• Datendiebstahl: Organisationen, die von Sicherheitsverletzungen betroffen sind, müssen mit Haftung, behördlichen Strafen und zivilrechtlichem Schadenersatz rechnen, wenn die Bankdaten von Kundinnen und Kunden aufgrund unzureichender Cybersicherheitskontrollen oder der Nichteinhaltung von Branchenstandards offengelegt wurden.

• Phishing-Betrug: Für Kundinnen und Kunden bleiben unautorisierte Lastschriften, die aus gestohlenen Anmeldedaten resultieren, gemäß Regulation E geschützt. Dies ist eine US-Verordnung, die Kundinnen und Kunden vor unautorisierten EFTs schützt. Bei Unternehmen fallen Verluste in der Regel auf das Unternehmen zurück, dessen Mitglied der Belegschaft oder System kompromittiert wurde.

• Insiderbedrohungen: Organisationen haften für Verluste, die durch kriminelle Mitarbeiterinnen und Mitarbeiter oder Auftragnehmerinnen und Auftragnehmer entstehen, insbesondere wenn schwache interne Kontrollen oder ein Mangel an doppelter Autorisierung den Betrug ermöglicht haben.

• ACH-Kiting: Betrügerische Akteure sind direkt straf- und zivilrechtlich haftbar. Interbankenverluste werden auf der Grundlage der Nacha-Regeln aufgeteilt, wobei Institute möglicherweise haften, wenn sie die erforderlichen Schwellenwerte für die Risikoüberwachung nicht einhalten.

• Gefälschte Zahlungen und Rechnungsbetrug: Das ursprungsausführende Unternehmen trägt den Verlust, wenn es geänderte Zahlungsanweisungen oder betrügerische Rechnungen nicht überprüft, da Banken bei der Verarbeitung von Zahlungsaufträgen gemäß den angegebenen Kontonummern rechtlich geschützt sind.

Erkennung von ACH-Betrug

Die Erkennung von ACH-Betrug erfordert sorgfältige Überwachung, Überprüfung und Weitergabe von Informationen.

Nachfolgend erfahren Sie, was Sie wissen sollten:

Transaktionsüberwachung

Implementieren Sie spezialisierte Software, die Ihre ACH-Transaktionen kontinuierlich auf Basis etablierter Referenzwerte und historischer Muster analysiert. Künstliche Intelligenz und maschinelles Lernen können das typische Zahlungsverhalten Ihres Unternehmens erlernen und potenziell verdächtige Transaktionen basierend auf komplexen Mustern markieren, die Menschen möglicherweise übersehen. Die folgenden Punkte könnten Anzeichen für potenziellen Betrug sein.

• Ungewöhnliche IP-Adressen oder Geräte, die mit Transaktionen in Verbindung stehen

• Abweichungen beim Transaktionsvolumen oder bei den Beträgen im Vergleich zu historischen Durchschnittswerten

• Zahlungen an neue Begünstigte, insbesondere an solche in geografischen Hochrisikoregionen

• Unregelmäßige Transaktionszeiten (außerhalb der regulären Geschäftszeiten)

• Dringende Anfragen (z. B. E-Mails oder Anrufe, die sofortiges Handeln fordern), die Unternehmen unter Druck setzen, Zahlungen zu beschleunigen oder Geld an unbekannte Konten zu senden

• Unstimmigkeiten bei Namen, Kontonummern oder anderen Details innerhalb einer Zahlungsanfrage

Prüfverfahren

• Manuelle Prüfung von Hochrisikotransaktionen: Prüfen Sie die Transaktionen, die Ihre Überwachungstools markieren, sorgfältig. Zuständiges Personal sollte auf Unregelmäßigkeiten bei den Details der Begünstigten, dem Zahlungsverlauf und allen damit verbundenen Kommunikationen achten.

• Stichprobenartige Prüfungen: Führen Sie zufällige Prüfungen bei einer Teilmenge der ACH-Transaktionen durch. Auch wenn Sie keinen Betrug feststellen, könnten einige betrügerische Akteure abgeschreckt werden, wenn sie wissen, dass ein Unternehmen Transaktionen jederzeit genau prüft.

• Analyse von ACH-Rückgaben: Überwachen Sie ACH-Rückgaben genau. Hohe Rückgabequoten können auf nicht autorisierte Abbuchungen oder betrügerische Angaben zu Begünstigten hinweisen. Analysieren Sie die Gründe für Rückgaben und achten Sie auf Muster.

„Know Your Customer“ (KYC)-Praktiken

• Verifizierung der Kundinnen und Kunden: Führen Sie eine Due Diligence durch, bevor Sie wiederkehrende Zahlungen initiieren oder neue Begünstigte hinzufügen. Verifizieren Sie Adressen und die Legitimität des Unternehmens und gleichen Sie diese mit Sanktionslisten und Betrugsdatenbanken ab.

• Überwachung von Beziehungen: Prüfen Sie regelmäßig auf Änderungen im Verhalten der Empfänger/innen, im Kommunikationsstil oder auf aktualisierte Bankkontoinformationen, die darauf hindeuten könnten, dass ein Konto kompromittiert wurde.

Teilen von Informationen

• Zusammenarbeit mit der Bank: Halten Sie eine offene Kommunikation mit der Abteilung für Betrugsprävention Ihrer Bank aufrecht. Diese kann Sie auf neue Betrugsmuster aufmerksam machen und bei Untersuchungen mit Ihnen zusammenarbeiten.

• Branchennetzwerke: Treten Sie Branchenverbänden und Netzwerken zur Betrugsprävention bei. Der Austausch von Bedrohungsinformationen und Best Practices hilft allen, betrügerischen Akteuren einen Schritt voraus zu sein.

Reaktionsplan auf Betrug

Warten Sie nicht, bis ein Vorfall eintritt, um zu entscheiden, was zu tun ist. Erstellen Sie proaktiv einen Plan, der die folgenden Schritte umfasst:

1. Mindern Sie weiteren Schaden: Sperren Sie kompromittierte Bankkonten, widerrufen Sie aktive Sitzungen der Nutzer/innen, setzen Sie die Anmeldedaten für das Online-Banking zurück und rotieren Sie API-Schlüssel. Richten Sie Notfall-ACH-Abbuchungssperren und Positive-Pay-Filter für die betroffenen Konten ein, um alle ausstehenden oder geplanten ausgehenden Transaktionen zu stoppen.

2. Benachrichtigen Sie das Team für Betrugs- oder Treasury-Management Ihrer Bank: Wenden Sie sich umgehend an die zuständige Betrugsabteilung oder den Treasury Relationship Manager Ihrer Bank. Geben Sie die Transaktionsdetails an, fordern Sie eine sofortige ACH-Rückverfolgung an und bitten Sie die Bank, eine Anfrage auf unautorisierte Rückgabe oder einen Rückruf beim empfangenden Institut einzuleiten.

3. Führen Sie interne Melde- und Untersuchungsprotokolle aus: Dokumentieren Sie den vollständigen Zeitplan des Vorfalls und bewahren Sie Logs auf. Informieren Sie interne Stakeholder, die rechtliche Beratung und die Compliance-Teams, um die Meldepflichten gemäß den geltenden staatlichen und bundesstaatlichen Datenschutzgesetzen zu bewerten.

4. Reichen Sie Berichte bei Strafverfolgungs- und Aufsichtsbehörden ein: Melden Sie den Vorfall den örtlichen Strafverfolgungsbehörden und reichen Sie eine Online-Beschwerde beim Internet Crime Complaint Center des FBI ein. Wenn personenbezogene Daten oder Finanzdaten einer Kundin/eines Kunden offengelegt wurden, benachrichtigen Sie die zuständigen Generalstaatsanwälte und Aufsichtsbehörden innerhalb der erforderlichen Fristen.

Prävention von ACH-Betrug

ACH-Betrug stellt eine erhebliche Bedrohung für Unternehmen dar, einschließlich verlorener Gelder und Reputationsschäden.

So stärken Sie Ihre Abwehrmaßnahmen und verhindern ACH-Betrugsversuche:

• MFA: Erzwingen Sie MFA für alle Anmeldungen und Finanztransaktionen. Fordern Sie einen zusätzlichen Verifizierungsschritt an, der über einen reinen Benutzernamen und ein Passwort hinausgeht. Dies verringert das Risiko eines unbefugten Zugriffs, selbst wenn Anmeldedaten kompromittiert sind.

• Vorab autorisierte Zahlungen: Dieses ACH-Abbuchungsverifizierungssystem ermöglicht es Unternehmen, legitime Empfänger/innen und Beträge für ACH-Abbuchungen vorab zu autorisieren. Jegliche Abweichungen lösen Warnmeldungen zur Überprüfung vor der Abwicklung aus, wodurch betrügerische Abhebungen verhindert werden.

• Schulung des Personals: Schulen Sie Ihr Personal darin, Phishing-Versuche, Social-Engineering-Taktiken und Warnsignale im Zusammenhang mit ACH-Betrug zu erkennen. Informieren Sie sie über die richtigen Verfahren zur Handhabung von ACH-Transaktionen und zur Meldung verdächtiger Aktivitäten.

• Aufgabentrennung: Implementieren Sie ein System, in dem verschiedene Mitarbeiter/innen Aufgaben wie das Initiieren von Zahlungen, das Genehmigen von Transaktionen und den Kontenabgleich übernehmen. Dies verringert das Risiko, dass ein/e einzelne/r Mitarbeiter/in das System zu betrügerischen Zwecken manipuliert.

• Echtzeitüberwachung: Verwenden Sie Tools zur Echtzeitüberwachung von Transaktionen, um Anomalien und verdächtige Aktivitäten zu erkennen und zu stoppen, bevor sie abgewickelt werden.

• Abgleichverfahren: Richten Sie gründliche Abgleichverfahren ein, um erwartete Zahlungen mit tatsächlichen Belastungen und Gutschriften zu vergleichen. Überprüfen Sie regelmäßig Kontoauszüge und identifizieren Sie alle Unstimmigkeiten, die auf betrügerische Aktivitäten hinweisen könnten.

• Datenverschlüsselung: Stellen Sie sicher, dass alle sensiblen Daten, einschließlich Kontoinformationen und Finanzdaten, im Ruhezustand und bei der Übertragung verschlüsselt sind. Dies macht es für betrügerische Akteure wesentlich schwieriger, wertvolle Informationen zu stehlen, selbst wenn sie in Ihre Systeme eindringen.

• Zugriffskontrollen: Implementieren Sie strenge Zugriffskontrollen für Finanzdaten und ACH-Abwicklungssysteme. Gewähren Sie Zugriff nur nach dem Need-to-know-Prinzip und verwenden Sie starke Passwortrichtlinien mit regelmäßigen Passwortänderungen.

• Dienste zur Betrugsprävention: Ziehen Sie eine Partnerschaft mit Spezialisten für Betrugsprävention in Betracht, die fortschrittliche Bedrohungsinformationen und Überwachungsdienste anbieten. Diese Dienste können zusätzliche Sicherheitsebenen und Fachwissen bei der Erkennung raffinierter Betrugsversuche bieten.

• Teilnahme am ACH-Netzwerk: Nehmen Sie an Initiativen zur Risikominderung im ACH-Netzwerk teil. Diese Initiativen bieten Ressourcen und Tools zur Identifizierung neuer Bedrohungen und Best Practices zur Bekämpfung von ACH-Betrug.

So kann Stripe Radar Sie unterstützen

Stripe Radar hilft bei der Erkennung von Betrug und der Erschließung von Wachstum durch den Einsatz von KI, die mit Daten aus dem globalen Netzwerk von Stripe trainiert wurde. Radar schützt Ihr Unternehmen während des gesamten Lifecycle der Kundinnen und Kunden vor Betrug, bevor dieser sich auf Ihren Gewinn auswirkt, und hilft Ihnen gleichzeitig, mehr legitime Kundinnen und Kunden sowie Zahlungen zu genehmigen.

Mit Radar kann Ihr Unternehmen unter anderem Folgendes umsetzen:

• Verhindern von Betrugsverlusten: Die KI von Radar lernt aus jährlichen Transaktionen im Wert von mehr als 1,9 Billionen USD im globalen Netzwerk von Stripe und hilft dabei, Betrugsmuster zu identifizieren und zu blockieren, die einzelne Unternehmen möglicherweise nicht selbst erkennen.

• Einheitlicher Schutz vor sich entwickelnden Betrugsangriffen: Radar vereint den Schutz vor Transaktionsbetrug, Kontobetrug und Missbrauch durch Kundinnen und Kunden in einer einzigen Lösung, sodass Sie einen einheitlichen Schutz vor den wichtigsten Betrugsarten erhalten.

• Anpassung an sich entwickelnden Betrug: Radar passt sich kontinuierlich an veränderte Betrugsmuster an, von First-Party-Missbrauch bis hin zu agentischen Transaktionen, und hilft so, Ihr Unternehmen vor neuen Bedrohungen zu schützen.

• Arbeiten mit Ihrem bestehenden Tech-Stack: Nutzen Sie Radar mit Stripe-Zahlungen ohne erforderliche Integration oder greifen Sie über programmierbare APIs auf die Intelligenz von Radar zu, unabhängig davon, ob Sie Zahlungen über Stripe abwickeln oder nicht.

Erfahren Sie mehr über Stripe Radar oder starten Sie noch heute.