Überweisungsaufträge: Sichern Sie sie mit elektronischer Signatur

Warum sind Überweisungsaufträge im Visier von Betrügern?

Überweisungsaufträge gehören zu den am meisten ausgebeuteten Schwachstellen durch Cyberkriminelle. Dem Jahresbericht 2025 der Banque de France zur Sicherheit von Zahlungsmitteln zufolge stellt Betrug bei Banküberweisung einen geschätzten Schaden von 1,2 Milliarden Euro für französische Unternehmen dar. Die sogenannte „gefälschte Überweisungsanweisung" (FOVI) oder CEO-Betrug zielt genau auf die dokumentarische Genehmigungskette ab: ein schlecht gesicherter Auftrag, unterzeichnet durch einfachen Scan einer Unterschrift oder per E-Mail ohne Authentifizierung, wird zur idealen Eingangstür.

Angesichts dieser Realität wird elektronische Signatur für Unternehmen zu einer robusten technischen und rechtlichen Lösung. Sie beschränkt sich nicht darauf, ein Bild einer Unterschrift auf ein PDF zu legen: Sie erstellt einen einzigartigen kryptographischen Fingerabdruck, zeitgestempelt und an die verifizierte Identität des Unterzeichners gebunden. In diesem Leitfaden analysieren wir die spezifischen Herausforderungen von Überweisungsaufträgen, die zu verwendenden Signaturebenen, die Rolle der Bankenauthentifizierung und die operative Umsetzung in Finanz- und Buchhaltungsabteilungen.

---

Die verschiedenen Arten von Überweisungsaufträgen und ihre jeweiligen Risiken

Einzelne Aufträge vs. Daueraufträge

Ein Einzelüberweisungsauftrag autorisiert eine einzige Überweisung an einen definierten Empfänger für einen bestimmten Betrag und Termin. Ein Dauerauftrag (auch wiederkehrender Auftrag genannt) autorisiert wiederholte Überweisungen gemäß einer vereinbarten Häufigkeit. Das Risiko ist nicht symmetrisch: Ein nicht widerrufener Dauerauftrag oder einer, dessen Empfänger betrügerisch geändert wurde, kann über Monate zu Verlusten führen, bevor er erkannt wird.

SEPA-Lastschriftaufträge (SDD — SEPA Direct Debit) sind ein Sonderfall: Sie ermöglichen einem Gläubiger, direkt vom Konto des Schuldners abzubuchen, nachdem dieser einen der SEPA-Schemenrichtlinie entsprechenden Auftrag unterzeichnet hat. Die SEPA-Verordnung verlangt, dass dieser Auftrag während der gesamten Geschäftsbeziehung plus 14 Monate nach der letzten Lastschrift archiviert wird — eine starke dokumentarische Einschränkung, die für sichere Digitalisierung spricht.

Vektoren von Dokumentenbetrug

Drei Vektoren konzentrieren den Großteil der gemeldeten Vorfälle:

1. Fälschung nach Unterzeichnung: Änderung der Kontonummer oder des Betrags auf einem handschriftlich unterzeichneten Dokument, das per E-Mail ohne kryptographisches Siegel übertragen wird.
2. Identitätsusurpation des Unterzeichners: Ein Auftrag, der von einer kompromittierten E-Mail-Adresse gesendet wird, ohne Echtzeit-Identitätsprüfung.
3. Fehlende Audit-Spur: Unmöglichkeit zu beweisen, wer was und wann unterzeichnet hat, im Falle von Streitigkeiten mit der Bank oder Dritten.

Die rechtliche Gültigkeit der elektronischen Signatur liegt genau in ihrer Fähigkeit, diese drei Vektoren gleichzeitig zu neutralisieren.

---

Welche Ebene der elektronischen Signatur für einen Überweisungsauftrag?

Die Verordnung eIDAS (Nr. 910/2014) definiert drei Ebenen der elektronischen Signatur: einfach (SES), fortgeschritten (AdES) und qualifiziert (QES). Für Überweisungsaufträge muss die Wahl der Ebene proportional zum Betrag, zur Häufigkeit und zum Risikoprofil der Operation sein.

Fortgeschrittene elektronische Signatur (AdES): der operative Standard

Für die Mehrzahl der Unternehmensüberweisungen stellt die fortgeschrittene elektronische Signatur das optimale Gleichgewicht zwischen Sicherheit und Praktikabilität dar. Sie erfüllt die folgenden von eIDAS definierten Anforderungen:

• Eindeutig an den Unterzeichner gebunden
• Befähigt, den Unterzeichner zu identifizieren
• Erstellt auf Grundlage von Daten unter ausschließlicher Kontrolle des Unterzeichners
• Auf die unterzeichneten Daten gebunden, um jede nachfolgende Änderung zu erkennen

Praktisch bedeutet dies Multi-Faktor-Authentifizierung (OTP SMS, mobile TOTP-Anwendung oder Zertifikat auf substantiellem Niveau), PDF-Siegelung gemäß der Norm PAdES (ETSI EN 319 132) und qualifizierter elektronischer Zeitstempel, der Datum und Uhrzeit der Unterzeichnung unfälschbar fixiert.

Qualifizierte Signatur (QES): für hochriskante Operationen

Überweisungen, die bestimmte interne Schwellwerte übersteigen (oft 50.000 € oder 100.000 € je nach Richtlinien der Innenrevision großer Konzerne) oder Geschäftspartner mit sensitiven Profilen betreffen (ausländische Lieferanten in risikobehafteten Zonen, neu registrierte Empfänger), verdienen eine qualifizierte Signatur. Diese erfordert eine Identitätsprüfung von Angesicht zu Angesicht oder per Video-Identifizierung bei einem von der ANSSI anerkannten qualifizierten Vertrauensanbieter (QTSP).

Die QES ist die einzige Signatur mit handschriftlicher Unterschrift in der gesamten Europäischen Union gleichwertiger Gültigkeit, ohne dass diese angefochten werden kann. Für einen Schatzmeister oder CFO ist dies eine unwiderlegbare Garantie gegenüber einem Vorstand oder externem Auditor.

Starke Bankenauthentifizierung als zusätzliche Schicht

Die Richtlinie DSP2 (überarbeitet in DSP3 im Jahr 2026) schreibt starke Kundenauthentifizierung (SCA — Strong Customer Authentication) für die Validierung von Überweisungen auf Bankenseite vor. Diese Authentifizierung beruht auf mindestens zwei Faktoren darunter: etwas, das der Benutzer weiß (Passwort), besitzt (Telefon) oder ist (Biometrie).

Es ist wichtig, zwei Eingriffsstufen zu unterscheiden:

• Die Unterzeichnung des Auftrags (rechtliche dokumentarische Handlung): unterliegt eIDAS und Vertragsrecht.
• Die Validierung der Zahlungsanweisung (Bankweisung): unterliegt DSP2/DSP3 und dem Bankvertrag.

Diese beiden Schichten sind komplementär, nicht austauschbar. Eine Plattform wie Certyneo sichert die erste; Ihre Bank sichert die zweite. Zusammen bilden sie eine vollständige Beweiskette von der Entscheidung zur Überweisung bis zu ihrer Ausführung.

---

Operative Umsetzung: Elektronische Signatur in den Validierungsprozess von Aufträgen integrieren

Dokumentenflüsse kartographieren

Vor jeder Bereitstellung sollten die Flüsse kartographiert werden: Wer initiiert den Auftrag? Wer validiert ihn? Wer archiviert ihn? Bei vielen KMU und mittleren Unternehmen läuft dieser Prozess noch über eine Sammlung von E-Mails, gemeinsam genutzten Dateien im internen Netzwerk und mündlichen Validierungen. Diese Undurchsichtigkeit ist selbst ein Betriebsrisiko, das in den COSO-Empfehlungen (Committee of Sponsoring Organizations of the Treadway Commission) zur internen Kontrolle genannt wird.

Ein Vergleich von Lösungen zur elektronischen Signatur hilft Ihnen, die zu Ihrem Volumen und Ihren Integrationszwängen (ERP, TMS, Lieferantenportal) passende Plattform zu identifizieren.

Multi-Unterzeichner-Genehmigungsworkflows konfigurieren

Die Regel der vier Augen (Doppelkontrolle) ist eine Best Practice der internen Kontrolle, empfohlen von der AMF und Wirtschaftsprüfern für Überweisungsaufträge. Moderne Signaturplattformen ermöglichen:

• Signatursequenzen (Unterzeichner A muss vor Unterzeichner B validieren)
• Delegationsschwellen (der Finanzleiter unterzeichnet allein bis X €, Co-Signatur des Geschäftsführers darüber hinaus)
• Automatische Warnungen und Erinnerungen mit zeitgestempelter Journalisierung jeder Aktion
• Elektronische Vollmachten für Abwesenheitszeiten, deren Verwaltung in unserem Leitfaden über Vollmacht und Mandat detailliert wird

Archivierung und Audit-Spur: die dokumentarischen Anforderungen

Jeder elektronisch unterzeichnete Überweisungsauftrag muss mit seinem Signaturnachweis (Zertifikatskette, Audit-Bericht, SHA-256-Hash des Dokuments) archiviert werden. Diese Archivierung muss beweiskräftig sein: lesbar, unversehrt und während der gesamten gesetzlichen Aufbewahrungsdauer (10 Jahre für buchhalterische Unterlagen gemäß Artikel L. 123-22 des französischen Handelsgesetzbuchs) zugänglich.

Konforme Lösungen generieren automatisch eine Beweisdatei (LTV — Long Term Validation), die in die unterzeichnete PDF integriert ist und die Überprüfung der Signaturvalidität ermöglicht, auch nach Ablauf des ursprünglichen Zertifikats. Dies ist eine Anforderung der ETSI EN 319 132-Normen (PAdES-LTV).

---

Messbare Vorteile für Finanzabteilungen

Betrugsprävention und Kostensenkung

Nach einer Studie der Association of Certified Fraud Examiners (ACFE) von 2024 verzeichnen Organisationen mit digitalen dokumentarischen Kontrollen durchschnittlich 52 % weniger Verluste durch interne und externe Betrüger als diejenigen, die auf Papierprozesse angewiesen sind. Die fortgeschrittene elektronische Signatur eliminiert insbesondere die Möglichkeit, ein Dokument nach der Unterzeichnung zu ändern, wodurch die Fälschung nach dem Versand vollständig ausgeschlossen wird.

Beschleunigung der Genehmigungszyklen

Ein Papierpapiervalidierungsprozess für einen Überweisungsauftrag dauert in einem mittelgroßen Unternehmen durchschnittlich 3 bis 7 Arbeitstage (gemäß einer Kyriba/Ipsos-Umfrage 2025 zur Unternehmensschatzkammer). Die Umstellung auf digital reduziert diese Frist auf wenige Stunden, manchmal Minuten für routinemäßige Operationen mit vorkonfiguriertem Workflow. Für einen Schatzmeister, der Liquiditätsbedarf in Echtzeit verwaltet, ist dieser Gewinn strategisch.

Vereinfachte Compliance und Audit

Bei einer Steuerprüfung oder einem gesetzlichen Audit ist die Rekonstruktion interner Validierungen von Überweisungsaufträgen eine zeitaufwendige Aufgabe. Mit einem System für elektronische Signatur wird jeder Auftrag von einem unveränderlichen Audit-Logbuch begleitet: Datum, Uhrzeit, IP-Adresse, Kennung des Unterzeichners, Authentifizierungsergebnis. Dieses Maß an Nachverfolgbarkeit entspricht direkt den Erwartungen von Wirtschaftsprüfern und der DGFiP in Bezug auf zuverlässige Audit-Spuren (PAF).

Anwendbarer rechtlicher Rahmen für elektronisch unterzeichnete Überweisungsaufträge

Gemeines Vertragsrecht und Beweiskraft

Nach französischem Recht legt der Artikel 1366 des Code civil das allgemeine Prinzip fest: „Die elektronische Schrift hat die gleiche Beweiskraft wie die schriftliche Dokumentation auf Papier, unter der Voraussetzung, dass die Person, von der sie stammt, ordnungsgemäß identifiziert werden kann und dass sie unter Bedingungen erstellt und aufbewahrt wird, die geeignet sind, ihre Integrität zu gewährleisten." Der Artikel 1367 legt fest, dass die elektronische Signatur in der Verwendung eines zuverlässigen Identifikationsverfahrens besteht, das seinen Link zum Dokument garantiert, an das sie gebunden ist.

Diese Bestimmungen werden durch das Dekret Nr. 2017-1416 vom 28. September 2017 zur elektronischen Signatur ergänzt, das klarstellt, dass die Zuverlässigkeit eines elektronischen Signaturverfahrens bis zum Gegenbeweis vermutet wird, wenn es eine qualifizierte elektronische Signatur im Sinne der Verordnung eIDAS implementiert.

Verordnung eIDAS Nr. 910/2014 und deren Überarbeitung eIDAS 2.0

Die Verordnung eIDAS Nr. 910/2014 bildet das europäische Regelwerk. Sie etabliert einen einheitlichen Rahmen für gegenseitige Anerkennung elektronischer Signaturen in den 27 Mitgliedstaaten. Der Artikel 25(1) besagt, dass eine elektronische Signatur nicht allein deswegen ohne Rechtswirkung sein kann, weil sie in elektronischer Form vorliegt. Der Artikel 25(2) verleiht der qualifizierten Signatur den gleichen rechtlichen Wert wie der handschriftlichen Unterschrift. Im Jahr 2024 verstärkte die Verordnung eIDAS 2.0 (Verordnung EU 2024/1183) den Rahmen durch Einführung der europäischen Geldbörse für digitale Identität (EUDIW) und Erweiterung der Liste anerkannter qualifizierter Vertrauensanbieter.

Für SEPA-Lastschriftaufträge verlangen die Scheme Rules EPC (European Payments Council) einen vom Schuldner unterzeichneten, vom Gläubiger aufbewahrten Auftrag, konform mit Identifizierungsstandards. Die fortgeschrittene elektronische Signatur wird von EPC-Richtlinien ausdrücklich als gültiger Unterzeichnungsmodus anerkannt.

Richtlinie DSP2 / DSP3 und starke Authentifizierung

Die Richtlinie DSP2 (2015/2366/UE), umgesetzt in französisches Recht unter Artikel L. 133-44 des Geld- und Finanzgesetzbuchs, schreibt starke Authentifizierung (SCA) für die Validierung von Online-Überweisungen über 30 € vor. Die Überarbeitung in DSP3 (Legislativpaket, das 2024 angenommen wurde, mit schrittweiser Anwendung 2025-2026) verschärft die Sicherheitsanforderungen und erweitert die Haftung der Zahlungsdienstleister im Falle von unerkanntem Betrug.

DSGVO und Verarbeitung von Authentifizierungsdaten

Die Verarbeitung biometrischer Daten und Authentifizierungsdaten, die bei der Unterzeichnung erhoben werden, unterliegt dem Artikel 9 der Verordnung (EU) 2016/679 zur Datenschutzrichtlinie (sensible Daten) und erfordert eine explizite Rechtsgrundlage. Qualifizierte Anbieter (QTSP) müssen über eine dokumentierte Datenschutzfolgenabschätzung (DPIA) verfügen. Signaturdaten müssen minimiert, in Ruhe und während der Übertragung verschlüsselt und gemäß den definierten Aufbewahrungszeiträumen gelöscht werden.

ETSI-Technische Normen

Die in Europa anerkannten Signaturformate werden durch die Normen ETSI EN 319 132 (PAdES für PDF), ETSI EN 319 122 (CAdES) und ETSI EN 319 162 (XAdES) definiert. Für langfristig archivierte Überweisungsaufträge wird das Format PAdES-LTV (Long Term Validation) empfohlen, da es die für künftige Überprüfung der Signatur erforderlichen Validierungsinformationen unabhängig von der Lebensdauer des Zertifikats enthält.

Anwendungsszenarien: Überweisungsaufträge, gesichert durch elektronische Signatur

Szenario 1 — Ein mittelständisches Industrieunternehmen mit 400 Lieferantenmandaten pro Quartal

Ein mittelgroßes Produktionsunternehmen mit etwa 350 Mitarbeitern und 120 aktiven Lieferanten verwaltete seine Überweisungsaufträge durch einen hybriden Prozess: Initiierung im ERP, PDF-Druck, handschriftliche Unterzeichnung durch den Finanzleiter oder dessen Stellvertreter, Scan und Archivierung auf einem gemeinsamen Server.

Nach einem rechtzeitig erkannten Betrugsversuch mit gefälschter Überweisung (Änderung der Kontonummer auf einer nicht versiegelten PDF-Datei per E-Mail) setzte die Geschäftsführung eine über API ins ERP integrierte Lösung für fortgeschrittene elektronische Signatur um. Nach 6 Monaten beobachtete Ergebnisse:

• Durchschnittliche Validierungsdauer: von 4,2 Tagen auf 6 Stunden reduziert
• Bearbeitungskosten pro Auftrag: um 38 % gesenkt (Eliminierung von Ausdrucken, Scans, internem Porto)
• Vollständige Audit-Spur: in Echtzeit für den Wirtschaftsprüfer verfügbar, ohne manuelle Rekonstruktion
• Null Betrugsvorfälle bei Dokumenten in der Verfolgungsperiode

Szenario 2 — Ein Zusammenschluss lokaler Behörden und seine Subventionsmandaten

Ein interkommunaler Zusammenschluss mit zehn Gemeinden verwaltete Überweisungsaufträge für Zuschüsse an lokale Verbände, bei jährlichem Volumen von etwa 2.000 Operationen. Die Unterzeichnung durch verantwortliche Ratsmitglieder erfolgte während Gemeinderatssitzungen mit durch Ratspläne auferlegten Fristen und Risiken von Dokumentenverlust.

Die Digitalisierung der Mandate mit fortgeschrittener elektronischer Signatur, ins Softwaresystem für kommunale Buchhaltung integriert, ermöglichte:

• Fernunterzeichnung durch Ratsmitglieder von ihrem persönlichen gesicherten Bereich, ohne erzwungene physische Anwesenheit
• Konformität mit dem Hélios-Rahmen (Kompatibilität mit dem Austauschprotokoll des Staates für Behörden)
• Reduktion der Auszahlungsfrist um 60 % der Zuschüsse (von durchschnittlich 22 Tagen auf 9 Tage)
• Automatisierte Archivierung konform mit Anforderungen der regionalen Rechnungshöfe

Szenario 3 — Ein Vermögensverwaltungsbüro und die Mandate seiner Kunden

Ein unabhängiges Vermögensverwaltungsbüro (etwa 25 Mitarbeiter, 800 aktive Kunden) musste von seinen Kunden unterzeichnete Überweisungsaufträge einsammeln zur Ausführung von Umschichtungen auf Wertpapierdepots und Lebensversicherungsverträgen. Der Postprozess dauerte durchschnittlich 8 Tage, mit einer Rückquote von 15 % Unvollständigkeit (fehlende Unterschrift, fehlendes Datum usw.).

Nach Einsatz einer Lösung mit elektronischer Signatur mit verstärktem Identifikationspfad (Überprüfung von Personalausweis + OTP) transformierten sich die Indikatoren:

• Frist für Auftragserfassung mit Unterschrift: auf unter 2 Stunden durchschnittlich reduziert
• Anteil unvollständiger Mandate: auf weniger als 1 % gefallen dank automatischer Vollständigkeitskontrolle vor Unterzeichnung
• Kundenzufriedenheit gemessen durch NPS: Gewinn von +18 Punkten beim Kriterium „Einfachheit administrativer Verfahren"
• Verstärkte Konformität mit AMF-Anforderungen zur Nachverfolgung von Kundeninstruktionen (Artikel 16 MiFID II)

Fazit

Elektronisch unterzeichnete Überweisungsaufträge sind kein Luxus, der großen Unternehmen vorbehalten ist: Sie bilden heute den minimalen Sicherheits- und Compliance-Standard für jeden Akteur, der sensible Finanzströme verwaltet. Durch Kombination von fortgeschrittener oder qualifizierter elektronischer Signatur, starker Authentifizierung und probanter Zeitstempelung neutralisieren Sie die wichtigsten Betrugsvektoren, während Sie Ihre Genehmigungszyklen beschleunigen und Ihre Audits vereinfachen.

Der europäische Rechtsrahmen — eIDAS, DSP2/DSP3, Code civil — ist nun reif und von Banken, Wirtschaftsprüfern und Gerichten anerkannt. Es fehlt nur noch die Umsetzung.

Certyneo begleitet Sie bei der Sicherung Ihrer Überweisungsaufträge mit einer eIDAS-konformen Plattform, integrierbar in Ihre vorhandenen Tools und ohne technische Schulung benutzbar. Entdecken Sie Certyneo-Tarife oder schätzen Sie Ihre Kapitalrendite ab, um Ihr Projekt heute zu starten.