Von TOM zu MOT – ein neuer Blick auf Cybersicherheit im Rechnungswesen

(Stand: 27.08.2026)

Klassisch sprechen wir von technischen und organisatorischen Maßnahmen – TOM. Für das Rechnungswesen ist es sinnvoll, TOM zu MOT weiterzuentwickeln: zu menschlichen, organisatorischen und technischen Maßnahmen.

Technik und Organisation bleiben wichtig. Aber ohne den Menschen funktioniert Schutz nicht.

Diese Sicht ist nötiger denn je.

Die aktuelle Bitkom-Studie „Wirtschaftsschutz 2026“ zeigt, wie groß der Handlungsdruck ist: Durch Datendiebstahl, Industriespionage und Sabotage entstehen der deutschen Wirtschaft Schäden von 211 bis 270,8 Milliarden Euro. Rund drei Viertel davon entfallen auf Cyberattacken.

Rein rechnerisch entspricht das einer Größenordnung von etwa 4.000 bis 5.000 Euro Cyber-Schaden je Beschäftigtem und Jahr. Diese Zahl ist selbstverständlich nur eine statistische Einordnung. Die tatsächlichen Schäden verteilen sich sehr ungleich und können einzelne Unternehmen erheblich stärker treffen.

Gleichzeitig berichten 63 Prozent der Unternehmen, dass die Zahl der Cyberangriffe in den vergangenen zwölf Monaten gestiegen ist.

Für das Rechnungswesen ist diese Entwicklung besonders wichtig.

Hier laufen Geld, sensible Daten und wichtige Geschäftsprozesse zusammen. Mitarbeitende bearbeiten Rechnungen, ändern Bankverbindungen, geben Zahlungen frei und arbeiten mit ERP-Systemen, E-Mail, Banking und Cloud-Diensten.

Ein erfolgreicher Angriff kann deshalb sehr schnell teuer werden.

Und er muss nicht mit einem spektakulären technischen Einbruch beginnen. Häufig reicht eine gut gemachte E-Mail, ein überzeugender Anruf oder eine manipulierte Rechnung.

Cybersicherheit im Rechnungswesen ist deshalb nicht allein eine Aufgabe der IT.

Warum das Rechnungswesen für Angreifer interessant ist

Im Rechnungswesen finden Angreifer zahlreiche wertvolle Informationen:

• Lieferanten und Kunden,
• Bankverbindungen,
• offene Rechnungen,
• Zahlungsabläufe,
• Ansprechpartner,
• Freigaben und Berechtigungen.

Hinzu kommt: Viele Abläufe folgen festen Routinen.

Eine Rechnung kommt an. Sie wird geprüft, freigegeben und bezahlt.

Genau diese Routinen versuchen Angreifer zu verstehen und anschließend zu manipulieren.

Öffentliche Informationen helfen ihnen dabei. Unternehmenswebseiten, LinkedIn und andere Quellen zeigen häufig, wer Geschäftsführer ist, wer im Rechnungswesen arbeitet, wer neu im Unternehmen ist oder welche Geschäftspartner wichtig sind.

Aus vielen kleinen Informationen kann so ein sehr glaubwürdiger Angriff entstehen.

Social Engineering: Der Angriff beginnt beim Menschen

Viele Cyberangriffe richten sich nicht zuerst gegen die Technik. Sie richten sich gegen Menschen.

Beim sogenannten Social Engineering soll ein Mitarbeiter dazu gebracht werden, etwas zu tun, was er normalerweise nicht tun würde.

Zum Beispiel:

• einen Link öffnen,
• Zugangsdaten eingeben,
• eine Datei öffnen,
• eine Bankverbindung ändern,
• eine Zahlung ausführen,
• vertrauliche Informationen weitergeben.

Besonders wirksam ist Zeitdruck.

„Bitte noch heute bezahlen.“

„Ich bin gerade im Termin und nicht erreichbar.“

„Die Bankverbindung hat sich geändert.“

Solche Aussagen sollen verhindern, dass der normale Prüfprozess eingehalten wird.

KI macht Täuschungen überzeugender

Künstliche Intelligenz verändert auch Cyberangriffe.

Texte können heute professionell erstellt werden. Sprachstil und Tonfall lassen sich nachahmen. Auch gefälschte Stimmen und Videos werden immer besser.

Bitkom weist in seiner aktuellen Untersuchung ebenfalls darauf hin, dass KI bei Cyberattacken eine zunehmende Rolle spielt.

Damit verliert eine alte Sicherheitsregel an Wirkung: Eine Nachricht ist nicht mehr automatisch verdächtig, nur weil sie sprachlich schlecht geschrieben ist.

Für das Rechnungswesen bedeutet das:

Nicht nur die Nachricht muss geprüft werden. Entscheidend ist der Vorgang selbst.

• Passt die Anweisung zum üblichen Ablauf?
• Ist die Zahlung plausibel?
• Darf diese Person eine solche Änderung veranlassen?
• Warum soll plötzlich ein anderer Kommunikationsweg verwendet werden?

Und vor allem:

Wurde der vorgesehene Kontrollprozess eingehalten?

Von TOM zu MOT

Die Erweiterung von TOM zu MOT hat einen einfachen Grund:

Viele erfolgreiche Angriffe setzen zuerst beim Menschen an. Phishing, Social Engineering oder manipulierte Zahlungsanweisungen funktionieren besonders gut, wenn Mitarbeitende getäuscht oder unsichere Abläufe ausgenutzt werden.

Der Mensch ist deshalb nicht nur ein möglicher Risikofaktor. Er ist zugleich ein wichtiger Teil der Schutzstrategie.

Gute Schulung, klare Prozesse und passende Technik müssen zusammenwirken.

Klare Prozesse schützen

Technische Schutzmaßnahmen bleiben unverzichtbar.

Updates müssen installiert werden. Zugänge müssen geschützt sein. Mehrfaktor-Authentifizierung sollte für wichtige Systeme selbstverständlich sein. Rechte sollten nur vergeben werden, wenn sie tatsächlich benötigt werden.

Aber Technik allein reicht nicht.

Ein gutes Beispiel ist die Änderung einer Bankverbindung.

Kommt eine solche Änderung per E-Mail, sollte sie nicht allein auf Grundlage dieser Nachricht übernommen werden. Stattdessen sollte eine Rückfrage über einen bereits bekannten Kommunikationsweg erfolgen.

Wichtig:

Die Telefonnummer darf nicht aus der verdächtigen Nachricht stammen.

Das Gleiche gilt für ungewöhnliche Zahlungen oder kurzfristige Anweisungen der Geschäftsführung.

Auch das Vier-Augen-Prinzip schützt nur dann, wenn die zweite Person tatsächlich prüft und nicht lediglich bestätigt.

Berechtigungen: So wenig wie möglich

Auch innerhalb des Rechnungswesens sollte nicht jeder alles dürfen.

Wer Lieferanten anlegt, muss nicht automatisch Zahlungen freigeben können. Wer Rechnungen erfasst, benötigt nicht zwingend weitreichende Rechte im ERP-System.

Ein gutes Berechtigungskonzept folgt deshalb einem einfachen Grundsatz:

So viele Rechte wie nötig. So wenige Rechte wie möglich.

Das gilt für ERP-Systeme ebenso wie für E-Mail-Konten, Cloud-Dienste, Dateifreigaben, Banking-Systeme und Dokumentenmanagement.

Was passiert, wenn das Rechnungswesen ausfällt?

Cybersicherheit bedeutet nicht nur, Angriffe zu verhindern.

Unternehmen müssen auch wissen, was passiert, wenn ein Angriff erfolgreich ist.

Ein verschlüsselter Server kann die Rechnungsprüfung verhindern. Ein ausgefallenes ERP-System kann Zahlungsläufe stoppen. Ein kompromittiertes E-Mail-System kann die Kommunikation mit Kunden und Lieferanten erheblich erschweren.

Damit wird aus einem IT-Problem sehr schnell ein kaufmännisches Problem.

Die zentrale Frage lautet:

Wie lange kann Ihr Rechnungswesen ohne seine wichtigsten Systeme arbeiten?

Besonders kritisch sind häufig:

• Zahlungsverkehr,
• Rechnungseingang,
• Rechnungsstellung,
• Liquiditätsüberwachung,
• Bankinformationen,
• Kommunikation mit wichtigen Geschäftspartnern.

Für diese Prozesse sollten einfache Notfallabläufe vorhanden sein.

Backups allein reichen nicht

Datensicherungen sind wichtig. Sie lösen das Problem aber nur dann, wenn eine Wiederherstellung tatsächlich funktioniert.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt ausdrücklich, Wiederherstellungsverfahren praktisch zu üben. Dabei sollte unter anderem geklärt werden, in welcher Reihenfolge Server und Daten wiederhergestellt werden und wie lange dies dauert.

Unternehmen sollten deshalb nicht nur fragen:

Haben wir ein Backup?

Sondern:

Können wir damit unseren Betrieb tatsächlich wiederherstellen?

Cybersicherheit ist Führungsaufgabe

Die IT kann Systeme absichern, Zugänge schützen und Wiederherstellungen vorbereiten.

Welche Prozesse für das Unternehmen besonders wichtig sind, muss aber der Fachbereich erklären.

Die Verantwortlichen im Rechnungswesen sollten deshalb beispielsweise wissen:

• Wie lange darf der Zahlungsverkehr ausfallen?
• Welche Daten werden unbedingt benötigt?
• Welche Mitarbeitenden brauchen im Notfall Zugriff?
• Welche Zahlungen benötigen zusätzliche Kontrollen?
• Wann muss die Geschäftsführung informiert werden?

Cybersicherheit wird damit zur gemeinsamen Aufgabe von Geschäftsführung, IT und Rechnungswesen.

Auch kleinere Unternehmen müssen handeln

Cyberangriffe sind kein Problem nur großer Konzerne.

Gerade kleinere und mittlere Unternehmen können attraktive Ziele sein. Prozesse sind teilweise weniger formalisiert, einzelne Mitarbeitende besitzen umfangreiche Berechtigungen und eigene Spezialisten für IT-Sicherheit fehlen häufig.

Hinzu kommen Anforderungen aus NIS2, Kundenbeziehungen, Lieferketten oder Cyberversicherungen.

Die entscheidende Frage lautet deshalb nicht nur:

Sind wir gesetzlich verpflichtet?

Sondern:

Welcher Schaden entsteht, wenn unser Rechnungswesen mehrere Stunden oder Tage nicht funktioniert?

Was Sie jetzt tun sollten

Der erste Schritt muss kein großes Sicherheitsprojekt sein.

Setzen Sie Rechnungswesen und IT gemeinsam an einen Tisch.

Identifizieren Sie die wichtigsten Systeme und Prozesse. Prüfen Sie die größten Risiken. Legen Sie fest, welche Kontrollen unverzichtbar sind.

Besonders wichtig sind:

• klare Berechtigungen, 
• sichere Anmeldeverfahren,
• regelmäßige Updates,
• funktionierende Datensicherungen,
• getestete Wiederherstellungen,
• eindeutige Freigabewege und
• geschulte Mitarbeitende.

Ein Unternehmen sollte nicht erst während eines Cyberangriffs darüber diskutieren, wer was tun muss.

Cybersicherheit im Rechnungswesen praktisch umsetzen

In meinem halbtägigen Online-Seminar „Cybersicherheit im Rechnungswesen“ betrachten wir das Thema gezielt aus Sicht des Rechnungswesens.

Es geht nicht darum, aus Buchhaltern IT-Sicherheitsexperten zu machen.

Sie lernen vielmehr, welche Angriffe für Ihre Arbeit besonders wichtig sind, wie Täter vorgehen und wie Sie Ihre Prozesse besser schützen können.

Wir behandeln unter anderem Social Engineering, Phishing, gefälschte Zahlungsanweisungen, den Einsatz von KI durch Angreifer, Berechtigungen, technische Schutzmaßnahmen sowie das Verhalten bei einem erfolgreichen Angriff.

Die nächsten Termine:

12. Oktober 2026
9. November 2026
9. Dezember 2026
14. Dezember 2026

Weitere Informationen und aktuelle Buchungsmöglichkeiten:
Online-Seminare Cybersicherheit im Rechnungswesen

Bitkom: „Angriffe auf die deutsche Wirtschaft – Spur führt immer öfter zu ausländischen Geheimdiensten“

Denn bei Cybersicherheit im Rechnungswesen geht es nicht nur um Technik.

Es geht darum, Zahlungen, Daten und die Arbeitsfähigkeit Ihres Unternehmens zu schützen.