ACH-Zahlungen sind elektronische Zahlungen, die über das ACH-Netzwerk (Automated Clearing House), ein Finanztransaktionssystem mit Sitz in den USA, getätigt werden. Dieses System verarbeitet ein großes Transaktionsvolumen, einschließlich Direkteinzahlungen von Arbeitgebern, Zahlungen an Auftragnehmer/innen und Anbieter, Verbrauchertransaktionen wie Energieversorgungsrechnungen und Versicherungsprämien sowie Zahlungen zwischen Einzelpersonen.

ACH-Zahlungen werden in Stapeln verarbeitet und dauern in der Regel ein bis drei Werktage. Sie stellen eine kostengünstige Möglichkeit für Unternehmen dar, Gelder ohne Schecks, Banküberweisungen oder Kreditkartennetzwerke zu überweisen. Zuerst initiieren Auftraggeber/innen eine Zahlung, dann erstellt das Finanzinstitut einen Stapel und sendet die Zahlung über das ACH-Netzwerk an das Bankkonto der Empfänger/innen.

Diese Art der Zahlung birgt jedoch Risiken. In einer Umfrage aus dem Jahr 2022 gaben 30 % der Unternehmen an, Betrug über ACH-Lastschriften und -Gutschriften festgestellt zu haben. Im Folgenden erläutern wir, wie Sie häufige ACH-Risiken identifizieren, diese Risiken mindern und Stripe für die ACH-Risikominderung einsetzen.

Worum geht es in diesem Artikel?

• Wie funktionieren ACH-Zahlungen?
  
• Betrug bei ACH-Zahlungen
  
• Wie man häufige ACH-Risiken identifiziert
  
• Wie man ACH-Risiken mindert
  
• Einhaltung gesetzlicher Vorschriften und ACH-Risikomanagement
  
• Vorgehensweise zur ACH-Risikominderung mit Stripe
  

Wie funktionieren ACH-Zahlungen?

ACH-Zahlungen werden elektronisch über das Automated Clearing House-Netzwerk zwischen Banken übertragen. ACH-Zahlungen sind zuverlässig und kostengünstig (mit niedrigeren Gebühren als Banküberweisungen oder Kreditkartenzahlungen) und eignen sich besonders für wiederkehrende Transaktionen. So funktioniert der Prozess in der Regel.

• Autorisierung: Absender/innen müssen zunächst die Genehmigung der Zahlungsempfänger/innen einholen, um eine ACH-Lastschrift- oder -Gutschrifttransaktion zu veranlassen. Die Zahlungsempfänger/innen können dies durch ein unterschriebenes Formular, eine Online-Zahlungsvereinbarung oder eine mündliche Vereinbarung autorisieren.

• Zahlungseinleitung: Nach der Autorisierung geben die Absender/innen (Unternehmen, Regierungsbehörde oder Einzelperson) die Zahlungsinformationen in ihr Banksystem ein. Dazu gehören der Transaktionsbetrag, die Bankverbindung der Zahlungsempfänger/innen und das Datum, an dem die Überweisung erfolgen soll.

• Stapelverarbeitung: Die Absenderbank aggregiert alle ausgehenden ACH-Transaktionen zu vorher festgelegten Zeiten über den Tag verteilt in Stapeln. Diese Stapel werden dann an einen der ACH-Betreiber (entweder Federal Reserve oder The Clearing House) gesendet.

• Clearing: Die ACH-Betreiber sortieren die Transaktionen und leiten sie an die Empfängerbank weiter. Dabei überprüfen sie die Details auf Richtigkeit und stellen sicher, dass das Konto der Zahlungsempfänger/innen zum Erhalt der Gelder gültig ist.

• Zahlungsabwicklung: Gelder werden vom Bankkonto der Absender/innen auf das Bankkonto der Empfänger/innen überwiesen.

• Bestätigung: Sowohl Absender/innen als auch Empfänger/innen erhalten eine Bestätigung, dass die Transaktion abgewickelt wurde. Unternehmen aktualisieren ihre Kreditoren- oder Debitorenbuchhaltung entsprechend.

Betrug bei ACH-Zahlungen

Auch wenn ACH-Zahlungen im Allgemeinen sicher und einfach sind, sind sie – wie die meisten anderen elektronischen Überweisungsmethoden – doch für bestimmte Arten von Betrug anfällig. Häufige Betrugsarten bei ACH-Zahlungen:

• Nicht autorisierte Transaktionen: Betrüger/innen leiten ACH-Zahlungen vom Konto eines Opfers ohne dessen Zustimmung ein. Die Bankkonto- und Routingnummern des Opfers können durch Phishing-Betrug, Datenschutzverletzungen oder Malware erlangt werden.

• Kontoübernahme: Betrüger/innen verschaffen sich Zugriff auf die Online-Banking-Anmeldedaten des Opfers und ändern dann die Kontoinformationen, um ACH-Zahlungen auf ihr eigenes Konto umzuleiten.

• Kompromittierung geschäftlicher E-Mails (Business Email Compromise, BEC) Betrüger/innen geben sich als vertrauenswürdige Person wie einen Anbieter oder eine Führungskraft aus und verleiten Mitarbeiter/innen dazu, nicht autorisierte ACH-Zahlungen an ihr Konto zu tätigen.

• Auftreten als Anbieter: Ähnlich wie bei BEC geben sich Betrüger/innen hierbei als legitime Anbieter aus und senden gefälschte Rechnungen, in der Hoffnung, Unternehmen dazu zu bringen, ACH-Zahlungen auf das falsche Konto zu tätigen.

• Betrügerische Rückbuchungen: Es kann vorkommen, dass Kundinnen oder Kunden über ACH einen legitimen Einkauf tätigen, dann aber fälschlicherweise behaupten, die Transaktion sei nicht autorisiert gewesen, und eine Rückbuchung verlangen, was zu einem finanziellen Verlust für die Verkäufer/innen führt.

• Mitarbeiterbetrug: Mitarbeiter/innen mit Zugriff auf die Finanzsysteme eines Unternehmens könnten unbefugte ACH-Zahlungen veranlassen, um sich selbst zu bereichern.

Wie man häufige ACH-Risiken identifiziert

Wenn Sie auf die folgenden Anzeichen von potenziellem Betrug achten, können Sie Betrug stoppen, bevor er auftritt:

Anbieterbetrug und Identitätsbetrug

• Unerwartete Änderungen bei den Anbieterinformationen: Seien Sie vorsichtig, wenn ein Anbieter plötzlich seine Bankkontodaten oder Kontaktinformationen ändert. Verifizieren Sie diese Änderungen stets über einen separaten, vertrauenswürdigen Kommunikationskanal, bevor Sie Zahlungen veranlassen.

• Unaufgeforderte Rechnungs-E-Mails: Seien Sie vorsichtig bei E-Mails von unbekannten Anbietern oder solchen mit ungewöhnlichen E-Mail-Adressen. Überprüfen Sie die Rechtmäßigkeit der Rechnung, indem Sie den Anbieter direkt über zuvor festgelegte Kontaktinformationen kontaktieren.

• Rechnungsabweichungen: Achten Sie auf Unstimmigkeiten in Rechnungen, wie z. B. nicht übereinstimmende Beträge, unterschiedliche Logos oder ungewöhnliche Zahlungsbedingungen. Vergleichen Sie diese Angaben mit früheren Rechnungen oder Verträgen.

Mitarbeiterbetrug und interne Bedrohungen

• Ungewöhnliches Mitarbeiterverhalten: Achten Sie auf plötzliche Änderungen im Lebensstil, finanzielle Schwierigkeiten oder verschwiegenes Verhalten einer Mitarbeiterin oder eines Mitarbeiters, insbesondere bei Personen mit Zugriff auf Finanzsysteme.

• Nicht autorisierte Transaktionen: Überprüfen Sie ACH-Transaktionsprotokolle regelmäßig auf Zahlungen, die fehl am Platz erscheinen, z. B. große Beträge an unbekannte Konten oder Transaktionen außerhalb der normalen Geschäftszeiten.

Phishing- und Social-Engineering-Angriffe

• Verdächtige E-Mails: Seien Sie vorsichtig bei E-Mails, die ein Gefühl der Dringlichkeit vermitteln, Sie zum sofortigen Handeln drängen oder Grammatik- und Tippfehler enthalten. Überprüfen Sie immer die Absenderidentität, bevor Sie auf Links klicken oder Anhänge herunterladen.

• Ungewohnte Anfragen: Wenn Sie eine unerwartete Anfrage nach sensiblen Daten wie Bankkontodetails oder Anmeldedaten erhalten, antworten Sie nicht direkt. Kontaktieren Sie die vermeintlichen Absender/innen über einen anderen Kanal, um die Legitimität der Anfrage zu überprüfen.

Wie man ACH-Risiken mindert

Die Implementierung der folgenden Sicherheitsmaßnahmen kann dazu beitragen, ACH-Risiken zu mindern und Betrug zu verhindern, bevor er auftritt.

Kontrollen vor der Transaktion

• Filterung und Blockierung von Transaktionen: Richten Sie Filter ein, die ACH-Transaktionen basierend auf Parametern wie Betrag, Transaktionstyp oder geografischem Standort einschränken. Unternehmen können auch ACH-Blockdienste einrichten, um zu verhindern, dass nicht autorisierte ACH-Lastschriften auf Konten gebucht werden.

• Duale Genehmigungsprozesse: Implementieren Sie ein System, bei dem für die Initiierung und den Abschluss von Transaktionen mehrere Genehmigungen erforderlich sind. Dieses sollte separate Rollen für Transaktionseingabe, Verifizierung und Autorisierung umfassen.

Authentifizierung und Zugriffsverwaltung

• Multi-Faktor-Authentifizierung (MFA): Richten Sie MFA für den Zugriff auf Finanzsysteme und die Durchführung von Transaktionen ein. Dadurch wird das Risiko einer Kontoübernahme durch kompromittierte Anmeldedaten verringert.

• Dedizierte Finanzinfrastruktur: Verwenden Sie spezielle Computer für Finanztransaktionen, die nicht für E-Mails oder das Surfen im Internet verwendet werden, um das Risiko von Phishing und Malware zu minimieren.

Betrugserkennungs- und Überwachungssysteme

• Kontinuierliche Überwachung: Nutzen Sie erweiterte Überwachungstools, die Transaktionsmuster in Echtzeit analysieren, um ungewöhnliche Aktivitäten zu identifizieren und zur weiteren Überprüfung zu markieren.

• Algorithmen zur Erkennung von Anomalien: Implementieren Sie Algorithmen für maschinelles Lernen oder regelbasierte Algorithmen, um Abweichungen von typischen Transaktionsmustern zu erkennen, die frühe Anzeichen für Betrug sein können.

Datensicherheitsmaßnahmen

• Verschlüsselung: Verschlüsseln Sie alle Daten im Zusammenhang mit ACH-Transaktionen, sowohl im Ruhezustand als auch bei der Übertragung. So minimieren Sie die Auswirkungen potenzieller Datenschutzverletzungen.

• Regelmäßige Sicherheitsaudits: Führen Sie regelmäßige Audits Ihrer IT-Systeme und Geschäftsprozesse durch, um Schwachstellen zu identifizieren und zu beseitigen.

Anbieter- und Drittanbietermanagement

• Bewertung des Risikos durch Dritte: Überprüfen Sie regelmäßig die Sicherheits- und Compliance-Protokolle von Drittanbietern, die Zugriff auf Ihre Finanzsysteme haben oder sensible Daten verarbeiten.

• Serviceverträge und Compliance: Stellen Sie sicher, dass alle Vereinbarungen mit Anbietern Klauseln enthalten, die sie an bestimmte Sicherheits- und Datenverarbeitungsstandards binden. Verifizieren Sie ihre Compliance durch Audits oder Bewertungen.

Mitarbeiterschulung und -sensibilisierung

• Regelmäßige Schulungen: Bieten Sie fortlaufende Mitarbeiterschulungen zu den neuesten Betrugstrends, Phishing-Taktiken und Best Practices für die Sicherheitshygiene an.

• Phishing-Simulationen: Führen Sie regelmäßig Simulationen von Phishing-Angriffen durch, um dem Personal zu helfen, bösartige E-Mails zu erkennen und angemessen darauf zu reagieren.

Entwicklung von Richtlinien und Compliance

• Klare Transaktionsrichtlinien: Entwickeln Sie klare Richtlinien für ACH-Transaktionen, einschließlich Verfahren zur Initiierung, Autorisierung und Abstimmung.

• Einhaltung von Vorschriften: Bleiben Sie auf dem Laufenden und sorgen Sie für die Einhaltung relevanter Finanzvorschriften und -standards für ACH-Transaktionen, wie z. B. die von Nacha.

Reaktion und Beilegung

• Incident-Response-Plan: Entwickeln Sie einen detaillierten Incident-Response-Plan, der beschreibt, was im Falle eines ACH-Betrugs zu tun ist. Dieser Plan sollte Verfahren zur Benachrichtigung der relevanten Parteien, zur Eindämmung des Schadens und zur Wiedererlangung verlorener Gelder enthalten.

• Cyberversicherung: Ziehen Sie den Abschluss einer Cyberversicherung in Betracht, um die finanziellen Verluste und Beilegungskosten im Zusammenhang mit einem Cyberangriff oder Betrugsfall abzudecken.

• Kommunikation: Kommunizieren Sie im Falle eines Betrugs transparent mit Kundschaft, Personal und anderen Beteiligten. Gehen Sie Bedenken proaktiv an und zeigen Sie, dass Sie sich für Sicherheit einsetzen.

Einhaltung gesetzlicher Vorschriften und ACH-Risikomanagement

Für ACH-Zahlungen gelten bestimmte Vorschriften und Standards. Die Einhaltung dieser Anforderungen hilft beim Management des ACH-Risikos und der Aufrechterhaltung der Integrität elektronischer Zahlungssysteme. Hier finden Sie die wichtigsten Richtlinien für ACH-Zahlungen.

• Nacha-Betriebsregeln: Nacha regelt das ACH-Netzwerk und seinen Betrieb und die Betriebsregeln von Nacha bilden den Rahmen für den Austausch und die Abrechnung von ACH-Zahlungen. Die Einhaltung dieser Regeln ist für alle teilnehmenden Finanzinstitute und Unternehmen verpflichtend.

• Bank Secrecy Act (BSA): Der BSA umfasst Melde- und Aufzeichnungspflichten, die dabei helfen, Geldwäscheaktivitäten zu erkennen und zu verhindern. Unternehmen müssen wirksame Verfahren zur Bekämpfung von Geldwäsche (AML) implementieren, die die Überwachung, Erkennung und Meldung verdächtiger Aktivitäten umfassen.

• USA PATRIOT Act: Der USA PATRIOT Act baut auf den BSA-Anforderungen auf, indem er strengere Vorschriften für Finanztransaktionen vorsieht, um Terrorismusfinanzierung abzuwehren. Er enthält Anforderungen bezüglich der Identitätsüberprüfung und strengere Due Diligence.

• Richtlinien des Federal Financial Institutions Examination Council (FFIEC): Der FFIEC bietet Leitlinien zu Risikomanagementpraktiken innerhalb von Finanzinstituten, einschließlich solcher im Zusammenhang mit elektronischen Zahlungen und ACH-Transaktionen.

• Vorschriften des Consumer Financial Protection Bureau (CFPB): Das CFPB beaufsichtigt den Verbraucherschutz im Rahmen des Electronic Fund Transfer Act (EFTA), der die Rechte, Pflichten und Verantwortlichkeiten der an elektronischen Überweisungen beteiligten Parteien regelt.

Vorgehensweise zur ACH-Risikominderung mit Stripe

Wenn Sie Stripe für ACH-Zahlungen verwenden, gibt es bestimmte Tools und Best Practices, mit denen Sie ACH-Risiken mindern können.

Integrierte Risikomanagementtools von Stripe nutzen

• Stripe Radar: Dieses Tool zur Betrugsprävention verwendet maschinelles Lernen, um das Risiko jeder ACH-Zahlung zu bewerten. Es blockiert automatisch risikoreiche Transaktionen und markiert verdächtige Aktivitäten zur manuellen Überprüfung. Passen Sie die Regeln von Stripe Radar an Ihre spezifischen Geschäftsanforderungen an, indem Sie Schwellenwerte für Transaktionswerte, Transaktionsgeschwindigkeit und andere Faktoren anpassen.

• ACH-Einzugsermächtigung: Fordern Sie Kundinnen und Kunden auf, ACH-Lastschriften durch Mikroeinzahlungen oder sofortige Bankverifizierung zu autorisieren, um die Kontoinhaberschaft zu bestätigen und das Risiko nicht autorisierter Transaktionen zu verringern.

Sorgfaltspflicht gegenüber der Kundschaft (Due Diligence) verbessern

• Identitätsprüfung: Erfassen und verifizieren Sie Kundendaten wie Name, Adresse und Geburtsdatum mithilfe der Identitätsverifizierungstools von Stripe oder von Drittanbietern.

• Unternehmensverifizierung: Besorgen und überprüfen Sie für Unternehmen relevante Dokumente wie Geschäftslizenzen, Steueridentifikationsnummern und Satzungen.

• Risikobasierte Authentifizierung: Implementieren Sie stärkere Authentifizierungsmaßnahmen für Kundschaft oder Transaktionen mit hohem Risiko, wie z. B. die Forderung nach zusätzlichen Verifizierungsschritten oder die Begrenzung von Transaktionsbeträgen.

Transaktionsdaten überwachen und analysieren

• Stripe-Dashboard: Überprüfen Sie das Stripe-Dashboard regelmäßig, um Einblicke in Transaktionsmuster, Rückbuchungsraten und Betrugsindikatoren zu erhalten.

• Benutzerdefinierte Berichte: Erstellen Sie benutzerdefinierte Berichte, um bestimmte Datenpunkte wie Transaktionstypen, Kundensegmente oder geografische Standorte zu analysieren und potenzielle Risikobereiche zu identifizieren.

• Tools von Drittanbietern: Erwägen Sie die Integration von Stripe in Plattformen zur Betrugserkennung und -prävention von Drittanbietern, um die Überwachungs- und Analysefunktionen zu verbessern.

Verwaltung von angefochtenen Zahlungen optimieren

• Beilegung von Zahlungsanfechtungen: Richten Sie ein Verfahren für den Umgang mit ACH-Zahlungsanfechtungen ein, einschließlich der Beantwortung von Kundenanfragen, des Sammelns von Beweisen und der Vertretung Ihrer Argumente gegenüber Stripe oder dem zuständigen Finanzinstitut.

• Prävention von Zahlungsanfechtungen: Gehen Sie potenzielle Probleme proaktiv an, indem Sie mit der Kundschaft über die automatischen E-Mail-Erinnerungen von Stripe Invoicing kommunizieren.

Auf dem Laufenden bleiben und sich anpassen

• Stripe-Updates: Bleiben Sie auf dem Laufenden über die neuesten Produktversionen von Stripe, Sicherheitsverbesserungen und Best Practices für das Risikomanagement.

• Stripe Sigma: Wenn Sie sehr viele ACH-Transaktionen nutzen oder komplexe Risikomanagementanforderungen haben, finden Sie in Stripe Sigma erweiterte Datenanalysen und benutzerdefinierte Berichtsfunktionen.

• Stripe-Support: Nutzen Sie die Supportressourcen von Stripe, um Anleitungen zur Implementierung von Best Practices und zur Fehlerbehebung bei auftretenden Problemen zu erhalten.