ACH-Zahlungen sind elektronische Zahlungen, die über das ACH-Netzwerk (Automated Clearing House), ein Finanztransaktionssystem mit Sitz in den USA, getätigt werden. Dieses System verarbeitet ein großes Transaktionsvolumen, einschließlich Direkteinzahlungen von Arbeitgebern, Zahlungen an Auftragnehmer/innen und Anbieter, Verbrauchertransaktionen wie Energieversorgungsrechnungen und Versicherungsprämien sowie Zahlungen zwischen Einzelpersonen.

ACH-Zahlungen werden stapelweise verarbeitet und nehmen in der Regel ein bis drei Geschäftstage in Anspruch. Sie sind eine kostengünstige Möglichkeit für Unternehmen, Gelder ohne den Einsatz von Banküberweisungen, Kartennetzwerken oder Schecks zu übertragen. Um eine ACH-Zahlung auszuführen, initiiert der Absender die Zahlung, anschließend bündelt sein Finanzinstitut diese und verarbeitet sie über das ACH-Netzwerk an das Bankkonto der Empfängerinnen und Empfänger.

ACH-Zahlungen sind weit verbreitet, bergen jedoch auch Risiken. In einer Umfrage aus dem Jahr 2026 machten ACH-Lastschriften 34 % der versuchten oder aufgetretenen Betrugsfälle aus, und ACH-Gutschriften wurden in 31 % der Fälle von Business Email Compromise verwendet. Im Folgenden erläutern wir, wie Sie gängige ACH-Risiken identifizieren, diese Risiken mindern und Maßnahmen zur ACH-Risikominderung mit Stripe angehen.

Worum geht es in diesem Artikel?

• Was ist eine ACH-Risikobewertung?
  
• Warum Unternehmen ACH-Risikobewertungen durchführen sollten
  
• Häufige Risiken, die bei einer ACH-Risikobewertung zu bewerten sind
  
• So führen Sie eine ACH-Risikobewertung durch
  
• Behördliche Compliance für ACH-Risiken
  
• So gehen Sie die Minderung von ACH-Risiken mit Stripe an
  
• So kann Stripe Radar Sie unterstützen
  

Was ist eine ACH-Risikobewertung?

Eine ACH-Risikobewertung ist eine strukturierte Beurteilung der elektronischen Zahlungssysteme, -verfahren und internen Kontrollen eines Unternehmens. Sie dient der Sicherstellung der Compliance mit den Betriebsvorschriften von Nacha und den Bankrichtlinien auf Bundesebene und identifiziert sowie misst das Risiko von Betrug, Kreditverlusten, Betriebsunterbrechungen und nicht autorisierten Transaktionen über den gesamten Zahlungs-Lifecycle hinweg.

Während Finanzinstitute und externe Zahlungsabwickler gesetzlich verpflichtet sind, regelmäßige Bewertungen durchzuführen, führen auftraggebende Unternehmen diese ebenfalls durch, um Standards für die Datenverschlüsselung, Autorisierungsverfahren für Kundinnen und Kunden sowie Kontovalidierungsregeln für über das Internet veranlasste Lastschriften zu überprüfen.

Unternehmen sollten jährlich sowie vor der Einführung neuer Zahlungs-Workflows eine ACH-Risikobewertung durchführen, beispielsweise bei der Einführung neuer SEC-Codes (Standard Entry Class) oder der Erhöhung von Transaktionslimits. Bewertungen sind auch nach wesentlichen technischen Änderungen oder unmittelbar nach einem Sicherheitsvorfall oder einem Anstieg nicht autorisierter Rückgaben, der sich Nachas Schwellenwert von 0,5 % nähert, von entscheidender Bedeutung.

Warum Unternehmen ACH-Risikobewertungen durchführen sollten

Die Durchführung regelmäßiger Risikobewertungen ermöglicht es Unternehmen, ihre Zahlungsvorgänge sicher zu skalieren, ein gutes Verhältnis zu Finanzpartnern aufrechtzuerhalten und das Betriebskapital zu schützen, ohne den Cashflow zu stören.

Im Folgenden finden Sie einige Gründe, warum Unternehmen ACH-Risikobewertungen durchführen sollten:

• Verwalten Sie skalierendes Zahlungsvolumen und Liquidität: Da die ACH-Volumina steigen, nehmen auch die gesamten Zahlungsabwicklungen und nicht eingezogenen Gelder zu. Eine formale Risikobewertung stellt sicher, dass Risikolimits, Vorfinanzierungsanforderungen und tägliche Ursprungsobergrenzen (Origination Caps) angemessen mit dem Unternehmenswachstum skalieren, um eine Belastung des Cashflows zu vermeiden.

• Verhindern Sie Betriebsunterbrechungen und Verarbeitungsstopps: Nacha setzt strenge Schwellenwerte für Metriken zu Rückgaben ohne Betrugshintergrund durch, darunter eine Obergrenze von 3 % für administrative Rückgaben und eine Obergrenze von 15 % für allgemeine Rückgaben. Das Überschreiten dieser Grenzwerte kann zu Audit-Untersuchungen, operativen Bußgeldern oder dazu führen, dass Sponsorbanken die Ursprungsprivilegien vorübergehend aussetzen.

• Mindern Sie finanzielle Verluste ohne Betrugshintergrund: Über nicht autorisierte Transaktionen hinaus drohen Unternehmen Kreditverluste und Verluste bei der Zahlungsabwicklung durch Rückgaben mangels Deckung (Nonsufficient Funds, NSF) sowie uneinbringliche Lastschriften. Regelmäßige Überprüfungen helfen Finanzteams bei der Optimierung von Tools zur Kontovalidierung, Workflows zur Saldenprüfung und automatisierter Re-Presentment-Logik (Wiedervorlage), um uneinbringliche Salden einzudämmen.

• Stärken Sie Bankbeziehungen und Verarbeitungskapazität: Originating Depository Financial Institutions (ODFIs) bewerten kontinuierlich die Risikoprofile der Auftraggeber. Der Nachweis strenger betrieblicher Kontrollen und systematischer Compliance-Überprüfungen beruhigt Sponsorbanken und hilft Unternehmen dabei, höhere Transaktionslimits, schnellere Zeitfenster für die Zahlungsabwicklung sowie geringere Mandate für Sicherheiten in Form von Rückstellungen zu erzielen.

• Schützen Sie das Vertrauen von Kundinnen und Kunden sowie Partnern: Eine optimierte Zahlungsausführung verhindert kostspielige administrative Fehler, wie beispielsweise doppelte Lastschriften, fehlgeleitete Auszahlungen an Auftragnehmer/innen und verzögerte Auszahlungen an Anbieter. Die Aufrechterhaltung strenger interner Kontrollen gewährleistet eine konsistente Transaktionsabwicklung und bewahrt die Glaubwürdigkeit der Marke.

Häufige Risiken, die bei einer ACH-Risikobewertung zu bewerten sind

Achten Sie auf die folgenden Anzeichen für potenziellen Betrug, um diesen zu stoppen, bevor er auftritt:

Risiken beim Anbietermanagement

• Unerwartete Änderungen bei den Anbieterinformationen: Seien Sie vorsichtig, wenn ein Anbieter plötzlich seine Bankkontodaten oder Kontaktinformationen ändert. Überprüfen Sie diese Änderungen immer über einen separaten, vertrauenswürdigen Kommunikationskanal, bevor Sie Zahlungen initiieren.

• Rechnungsprüfung: Achten Sie auf Unstimmigkeiten bei Rechnungen, wie etwa abweichende Beträge, unterschiedliche Logos oder ungewöhnliche Zahlungskonditionen. Gleichen Sie diese Details mit früheren Rechnungen oder Verträgen ab. Seien Sie misstrauisch bei E-Mails von unbekannten Anbietern oder solchen mit ungewöhnlichen E-Mail-Adressen.

• Kontrollen beim Onboarding von Anbietern: Richten Sie strukturierte Überprüfungs- und Verifizierungsverfahren für jeden neuen Lieferanten ein, bevor Sie diesen zu Ihrem Zahlungsverzeichnis hinzufügen. Bestätigen Sie Geschäftslizenzen, Steuer-Identifikationsnummern und Bankautorisierungen direkt mit autorisierten Unternehmensvertreter/innen, um zu verhindern, dass betrügerische oder fiktive Zahlungsempfänger in Auszahlungs-Workflows gelangen.

Risiken bei der internen Kontrolle

• Zahlungsgenehmigungen: Setzen Sie eine strikte Aufgabentrennung und Workflows zur Autorisierung durch mehrere Personen für alle ausgehenden Auszahlungen durch. Die Anforderung unabhängiger sekundärer Abzeichnungen stellt sicher, dass keine Einzelperson die alleinige Befugnis hat, ACH-Transaktionen sowohl zu erstellen als auch auszuführen.

• Transaktionsüberwachung: Überprüfen Sie regelmäßig ACH-Transaktions-Logs auf Zahlungen, die deplatziert erscheinen, wie beispielsweise große Beträge, die an unbekannte Konten gesendet werden, oder Transaktionen, die außerhalb der normalen Geschäftszeiten stattfinden.

• Mitarbeiterzugriff: Achten Sie auf plötzliche finanzielle Schwierigkeiten, geheimnisvolles Verhalten oder Veränderungen im Lebensstil von Mitarbeiter/innen, insbesondere bei denjenigen, die Zugang zu Finanzsystemen haben. Beschränken Sie administrative Bankberechtigungen mithilfe von rollenbasierten Zugriffskontrollen und widerrufen Sie den Systemzugriff sofort beim Ausscheiden oder bei der Versetzung von Mitarbeiter/innen.

Cybersicherheit

• E-Mail-Sicherheit: Seien Sie vorsichtig bei E-Mails, die ein Gefühl der Dringlichkeit vermitteln, Sie zu sofortigem Handeln drängen oder Grammatikfehler und Tippfehler enthalten. Überprüfen Sie stets die Identität der absendenden Person, bevor Sie auf Links klicken oder Anhänge herunterladen.

• Schutz von Anmeldedaten: Wenn Sie eine unerwartete Anfrage nach vertraulichen Informationen wie Bankkontodaten oder Anmeldeinformationen erhalten, antworten Sie nicht direkt. Kontaktieren Sie die vermeintlich absendende Person über einen anderen Kanal, um die Legitimität der Anfrage zu bestätigen. Setzen Sie die Multi-Faktor-Authentifizierung (MFA) auf allen Treasury- und Buchhaltungsplattformen durch.

• Reaktion auf Vorfälle: Führen Sie ein klares, dokumentiertes Reaktionsprotokoll, das Sofortmaßnahmen nach einer vermuteten Kompromittierung oder nicht autorisierten Übertragung skizziert. Klare Playbooks stellen sicher, dass Ihr Team sofort das Treasury-Desk Ihrer Bank kontaktieren, eine ACH-Nachverfolgung oder einen Rückruf initiieren, betroffene Anmeldedaten sperren und Audit-Logs aufbewahren kann.

So führen Sie eine ACH-Risikobewertung durch

Die Implementierung der folgenden Sicherheitsmaßnahmen kann Ihnen helfen, ACH-Risiken zu mindern und Betrug zu verhindern, bevor er auftritt.

1. Überprüfen Sie Transaktionskontrollen und Risikolimits
   Bestätigen Sie, dass für jeden SEC-Code (Standard Entry Class) geeignete Parameter konfiguriert sind. Verifizieren Sie, dass betriebliche Kontrollen aktiv sind, einschließlich Workflows zur doppelten Genehmigung (Maker-Checker) für ausgehende Auszahlungen sowie ACH-Lastschriftsperren oder Filterlisten auf Unternehmenskonten.

2. Bewerten Sie den Nutzerzugriff und Authentifizierungsprotokolle
   Überprüfen Sie die Berechtigungen für das gesamte Personal und alle automatisierten Systeme, die in der Lage sind, ACH-Zahlungsdateien zu initiieren, zu genehmigen oder zu ändern. Bestätigen Sie, dass der Zugriff dem Prinzip der minimalen Rechtevergabe entspricht, Sitzungen eine Multi-Faktor-Authentifizierung erfordern und administrative Anmeldedaten bei Änderungen der Rolle oder Kündigung von Mitarbeiter/innen automatisch widerrufen werden.

3. Bewerten Sie Systeme zur Betrugserkennung und Kontovalidierung
   Bestimmen Sie, ob Transaktionsaktivitäten in Echtzeit auf Anomalien, Geschwindigkeitsspitzen und Hochrisikomuster überwacht werden. Verifizieren Sie bei über das Internet veranlassten Lastschriften die Compliance mit den Nacha-Anforderungen an wirtschaftlich angemessene Methoden zur Kontovalidierung und überwachen Sie Rückgabemetriken anhand der Schwellenwerte von Nacha.

4. Prüfen Sie Datensicherheits- und Verschlüsselungsstandards
   Verifizieren Sie, dass vertrauliche Bankdaten über Ende-zu-Ende-Verschlüsselung oder Tokenisierung sowohl bei der Übertragung als auch im Ruhezustand gemäß den Datensicherheitsanforderungen von Nacha unlesbar gemacht werden. Überprüfen Sie Datenbankzugriffs-Logs, Zeitpläne für die Schlüsselrotation und jährliche Schwachstellenscans.

5. Bewerten Sie die Risiken von Drittanbietern und Dienstleistern
   Führen Sie eine Due Diligence bei allen Drittabsendern, Softwareplattformen und Gehaltsabrechnern durch, die mit Ihren Zahlungsabläufen interagieren. Bestätigen Sie, dass Anbieterverträge strenge Datensicherheitsstandards vorschreiben, klare Haftungskonditionen festlegen und eine Out-of-Band-Verifizierung für jegliche Änderungen an den Überweisungsdaten des Anbieters erfordern.

6. Überprüfen Sie interne Richtlinien, Mitarbeiterschulungen und die behördliche Compliance
   Bestätigen Sie, dass die Betriebsverfahren gründlich dokumentiert sind, einschließlich der Erfassung und Aufbewahrung der Autorisierung von Kundinnen und Kunden. Stellen Sie sicher, dass Finanz- und Operations-Teams regelmäßig zu Social Engineering und zur Erkennung von Business Email Compromise (BEC) geschult werden, und verifizieren Sie die Übereinstimmung mit dem jährlichen Nacha Rules Compliance Audit.

7. Bewerten Sie die Reaktion auf Vorfälle und die Bereitschaft zur Beilegung von Streitfällen
   Überprüfen Sie dokumentierte Eskalationswege für den Umgang mit vermutetem Betrug, nicht autorisierten Lastschriften oder Sicherheitsvorfällen. Stellen Sie sicher, dass der Reaktionsplan klare Protokolle zum Sperren betroffener Anmeldedaten, zur Veranlassung von Notsperren bei Ihrer Bank, zur rechtzeitigen Einreichung von Rückgabeanfragen (wie etwa Rückgabecodes R10 oder R29) und zur Benachrichtigung der zuständigen Aufsichtsbehörden definiert.

Regulatorische Compliance für ACH-Risiken

Bestimmte Vorschriften und Standards regeln ACH-Zahlungen. Die Einhaltung dieser Anforderungen hilft Ihnen, das ACH-Risiko zu verwalten und die Integrität elektronischer Zahlungssysteme zu wahren. Im Folgenden finden Sie die wichtigsten Richtlinien, die ACH-Zahlungen regeln.

• Nacha-Betriebsregeln: Nacha regelt das ACH-Netzwerk und dessen Betrieb, und die Betriebsregeln von Nacha bilden den Rahmen für den Austausch und die Abwicklung von ACH-Zahlungen. Die Compliance mit diesen Regeln ist für alle teilnehmenden Finanzinstitute und Unternehmen obligatorisch.

• Bank Secrecy Act (BSA): Der BSA umfasst Melde- und Aufzeichnungspflichten, die dabei helfen, Geldwäscheaktivitäten zu erkennen und zu verhindern. Entsprechende Unternehmen müssen wirksame Anti-Money Laundering (AML)-Verfahren implementieren, die die Überwachung, Erkennung und Meldung verdächtiger Aktivitäten umfassen.

• USA PATRIOT Act: Der USA PATRIOT Act baut auf den BSA-Anforderungen auf, indem er strengere Vorschriften für finanzielle Transaktionen erlässt, um Terrorismusfinanzierung zu bekämpfen. Er enthält Anforderungen an die Identitätsüberprüfung und eine strengere Due Diligence.

• Richtlinien des Federal Financial Institutions Examination Council (FFIEC): Der FFIEC bietet Leitlinien zu Risikomanagementpraktiken innerhalb von Finanzinstituten, einschließlich jener im Zusammenhang mit elektronischen Zahlungen und ACH-Transaktionen.

• Vorschriften des Consumer Financial Protection Bureau (CFPB): Das CFPB überwacht den Verbraucherschutz im Rahmen des Electronic Fund Transfer Act (EFTA), der die Rechte, Verbindlichkeiten und Verantwortlichkeiten der an elektronischen Geldtransfers beteiligten Parteien regelt.

Vorgehensweise bei der ACH-Risikobewertung mit Stripe

Wenn Sie Stripe für ACH-Zahlungen verwenden, gibt es bestimmte Tools, die Sie nutzen, und Best Practices, die Sie anwenden können, um das ACH-Risiko zu mindern.

Integrierte Risikomanagementtools von Stripe nutzen

• Stripe Radar: Die Betrugserkennungslösung von Stripe verwendet KI, um das Betrugsrisiko jeder ACH-Zahlung zu bewerten. Sie blockiert automatisch risikoreiche Transaktionen und markiert verdächtige Aktivitäten zur manuellen Überprüfung. Passen Sie die Regeln von Stripe Radar an Ihre spezifischen geschäftlichen Anforderungen an, indem Sie die Schwellenwerte für Transaktionswerte, Geschwindigkeit und andere Faktoren anpassen.

• Autorisierung von ACH-Lastschriften: Verlangen Sie von Kundinnen und Kunden, ACH-Lastschriften durch Mikroeinzahlungen oder eine sofortige Bankverifizierung zu autorisieren, um den Kontobesitz zu bestätigen und das Risiko nicht autorisierter Transaktionen zu verringern.

Sorgfaltspflicht gegenüber der Kundschaft (Due Diligence) verbessern

• Identitätsüberprüfung: Erfassen und überprüfen Sie Kundeninformationen wie Name, Adresse und Geburtsdatum mithilfe der Identitätsüberprüfungstools von Stripe oder Drittanbietern.

• Unternehmensverifizierung: Holen Sie für Unternehmen relevante Dokumente wie Geschäftslizenzen, Steueridentifikationsnummern und Gründungsurkunden ein und überprüfen Sie diese.

• Risikobasierte Authentifizierung: Implementieren Sie stärkere Authentifizierungsmaßnahmen für risikoreiche Kundinnen und Kunden oder Transaktionen, wie beispielsweise die Forderung nach zusätzlichen Verifizierungsschritten oder die Begrenzung von Transaktionsbeträgen.

Transaktionsdaten überwachen und analysieren

• Stripe-Dashboard: Prüfen Sie regelmäßig das Stripe-Dashboard, um sich Einblicke in Transaktionsmuster, Rückbuchungsraten und Betrugsindikatoren zu verschaffen.

• Benutzerdefinierte Berichte: Erstellen Sie benutzerdefinierte Berichte, um bestimmte Datenpunkte wie Transaktionsarten, Kundensegmente oder geografische Standorte zu analysieren und potenzielle Risikobereiche zu identifizieren.

• Drittanbieter-Tools: Erwägen Sie die Integration von Stripe mit Betrugserkennungs- und Präventionsplattformen von Drittanbietern, um die Überwachungs- und Analysefunktionen zu verbessern.

Verwaltung von angefochtenen Zahlungen optimieren

• Beilegung von Streitfällen: Etablieren Sie einen Prozess für die Bearbeitung von ACH-Streitfällen, einschließlich der Beantwortung von Kundenanfragen, der Sammlung von Beweisen und der Darstellung Ihres Falls gegenüber Stripe oder dem relevanten Finanzinstitut.

• Prävention von Streitfällen: Gehen Sie potenzielle Probleme proaktiv an, indem Sie über die automatischen E-Mail-Erinnerungen von Stripe Invoicing mit Kundinnen und Kunden kommunizieren.

Auf dem Laufenden bleiben und sich anpassen

• Stripe-Updates: Bleiben Sie über die neuesten Produktveröffentlichungen, Sicherheitsverbesserungen und Best Practices im Risikomanagement von Stripe auf dem Laufenden.

• Stripe Sigma: Wenn Sie ein hohes Volumen an ACH-Transaktionen oder komplexe Anforderungen an das Risikomanagement haben, erkunden Sie Stripe Sigma für erweiterte Datenanalysen und benutzerdefinierte Berichtsfunktionen.

• Stripe-Support: Nutzen Sie die Support-Ressourcen von Stripe für Anleitungen zur Implementierung von Best Practices und zur Fehlerbehebung bei eventuell auftretenden Problemen.

So kann Stripe Radar Sie unterstützen

Stripe Radar hilft, Betrug zu erkennen und Wachstum zu fördern, indem eine KI verwendet wird, die mit Daten aus dem globalen Stripe-Netzwerk trainiert wurde. Radar hilft, Ihr Unternehmen während des gesamten Kunden-Lifecycles vor Betrug zu schützen, bevor dieser sich auf Ihren Gewinn auswirkt, und unterstützt Sie gleichzeitig dabei, mehr legitime Kundinnen und Kunden sowie Zahlungen zu genehmigen.

Mit Radar kann Ihr Unternehmen unter anderem Folgendes umsetzen:

• Betrugsverluste verhindern: Die KI von Radar lernt aus jährlichen Transaktionen in Höhe von mehr als 1,9 Billionen USD im globalen Stripe-Netzwerk. Dies hilft ihr, Betrugsmuster zu erkennen und zu blockieren, die einzelne Unternehmen möglicherweise nicht selbst erkennen würden.

• Schutz vor sich entwickelnden Betrugsangriffen vereinheitlichen: Radar bündelt den Schutz vor Transaktionsbetrug, Kontobetrug und Kundenmissbrauch in einer einzigen Lösung, sodass Sie einen einheitlichen Schutz vor den wichtigsten Betrugsarten erhalten.

• Sich an die Entwicklung von Betrug anpassen: Radar passt sich kontinuierlich an veränderte Betrugsmuster an, von First-Party-Missbrauch bis hin zu agentischen Transaktionen, und hilft so, Ihr Unternehmen vor aufkommenden Bedrohungen zu schützen.

• Mit Ihrem bestehenden Tech-Stack arbeiten: Nutzen Sie Radar für Stripe-Zahlungen ohne erforderliche Integration oder greifen Sie über programmierbare APIs auf die Intelligenz von Radar zu, unabhängig davon, ob Sie Zahlungen über Stripe abwickeln oder nicht.

Erfahren Sie mehr über Stripe Radar oder starten Sie noch heute.