Innentäter: Betrug durch Beschäftigte erkennen und vorbeugen

Betrug im Unternehmen kommt häufig von innen, wie die Schadenfälle der Versicherer zeigen. Der Gesamtverband der Deutschen Versicherungswirtschaft (GDV) hat rund 4.400 Fälle aus der Vertrauensschadenversicherung der Jahre 2022 und 2023 ausgewertet: Jeder zweite Fall von Betrug und Veruntreuung in deutschen Unternehmen ging auf eigene Beschäftigte zurück ^[1]. Sie verursachten im Schnitt rund 125.000 Euro Schaden, bevor sie entdeckt wurden, externe Täter im Schnitt 80.000 Euro ^[1]. Laut GDV genießen eigene Beschäftigte einen Vertrauensvorschuss und kennen die Sicherheitslücken im Unternehmen genau, deshalb bleiben sie meist länger unentdeckt ^[1].

Welche Taten typisch sind

Der GDV fasst die häufigsten Muster so zusammen: Beschäftigte greifen in die Kasse, stehlen Waren aus dem Lager, erfinden Rechnungen oder gründen Scheinfirmen ^[2]. Strafrechtlich fallen solche Taten unter verschiedene Paragrafen:

Die Strafrahmen stehen im Wortlaut der Vorschriften ^{[3, 4, 5, 6]}. Bei der Untreue gelten die Regeln für besonders schwere Fälle des Betrugs entsprechend ^[4]. Mehr zu den Betrugsparagrafen steht unter Betrug und verwandte Straftaten im Strafgesetzbuch, eine häufige Variante beschreibt Spesen- und Abrechnungsbetrug.

Wer zum Täter wird

Für eine ältere GDV-Auswertung von 2019 mit rund 2.400 Schadenfällen hat der Leipziger Strafrechtler Hendrik Schneider Täterprofile beschrieben. Danach sind die Täter meist schon länger im Unternehmen beschäftigt und haben häufig verantwortliche Positionen ^[2]. Ausschlaggebend für die meisten Taten sind nach seinen Erkenntnissen fehlende Sicherheitsmechanismen: Sicherheitslücken sind aus Sicht der Täter günstige Gelegenheiten ^[2]. Als Auslöser nennt er unter anderem Geldknappheit nach einer persönlichen Krise wie einer Scheidung, einen zu aufwendigen Lebensstil oder das Gefühl, vom Chef gekränkt worden zu sein oder einen "Extrabonus" verdient zu haben ^[2]. Schneider unterscheidet vier Typen ^[2]:

• Krisentäter, rund 40 Prozent: aufstiegsorientiert, mit durchgehender Erwerbsbiografie, oft ausgelöst durch Krisen, die Status und Lebensstil bedrohen,
• Unauffällige, rund 25 Prozent: Die Tat erklärt sich nur aus der Gelegenheit,
• Täter mit mehreren Risikofaktoren, rund 20 Prozent: suchen aktiv nach Gelegenheiten oder schaffen sie selbst,
• Abhängige, rund 15 Prozent: meist einem Haupttäter untergeordnet oder ihm verpflichtet.

Wenn ein großer Teil der Taten aus Gelegenheiten entsteht, ist die Vorbeugung vor allem eine Frage der Abläufe: Wo niemand mitliest, gegenzeichnet oder vertritt, entstehen diese Gelegenheiten.

Drei Fälle aus der Versicherungspraxis

Die folgenden Beispiele hat der GDV 2019 veröffentlicht. Sie zeigen, wie lange solche Taten unentdeckt bleiben können und wodurch sie schließlich auffielen ^[2]:

• Eine Co-Geschäftsführerin eines mittelständischen Chemiebetriebs führte die Buchhaltung allein und leitete regelmäßig Geld auf ihr eigenes Konto. Erst nach zwölf Jahren fiel es auf, als wegen ihrer längeren Krankheit ein neuer Wirtschaftsprüfer kam. Der Schaden lag bei rund 750.000 Euro; der GDV nennt "blindes Vertrauen" der Geschäftsleitung als begünstigenden Umstand.
• Ein Kassierer im Lebensmittelhandel stornierte Bons, die Kunden nicht mitgenommen hatten, und nahm das Geld aus der Kasse. Nach zwei Jahren fiel Kollegen die hohe Zahl der Stornos auf. Es gab keine systematische Kontrolle der Storno-Häufigkeit und kein Vier-Augen-Prinzip bei Stornierungen ganzer Bons; der Schaden lag bei rund 25.000 Euro.
• Ein Mitarbeiter in der Finanzabteilung einer Krankenkasse legte Kopien echter Rechnungen erneut an und gab als Empfängerin eine Freundin an. Der zahlungsbefugte Abteilungsleiter sah in seiner Übersicht keine Bankdaten. Nach sechs Monaten entdeckte die interne Revision die Taten bei einer Stichprobe; der Schaden lag bei rund 380.000 Euro.

In allen drei Fällen fehlte an der entscheidenden Stelle eine zweite Person: Die Buchhaltung lag in einer Hand, Stornos wurden nicht gegengeprüft, und der Freigebende sah die Kontodaten nicht ^[2]. Ein Fall aus der Auswertung von 2024 zeigt dasselbe Muster. Die Finanzchefin einer US-Tochter eines deutschen Konzerns zahlte sich überhöhte Gehälter und verschleierte das mit vier falschen Buchführungen; in der Tochter gab es keine Trennung der Zuständigkeiten. Aufgedeckt wurde das erst im dritten Jahr durch eine Sonderprüfung, weil die Zahlen weiter nicht plausibel waren. Der GDV rät, auffällige Ungereimtheiten sofort zu klären ^[1].

Vorbeugen mit Kontrollen und Kultur

Nach Erfahrung der Versicherer senken ein gutes Arbeitsklima und eine offene, transparente Kommunikation das Risiko. Zugleich brauche es wirksame Kontrollsysteme, und sensible Bereiche sollten doppelt abgesichert werden ^[1]. Der GDV nennt dazu insbesondere ^{[1, 2]}:

• das Vier-Augen-Prinzip bei Zahlungen strikt einhalten,
• einen verbindlichen Verhaltenskodex verabschieden,
• die Beschäftigten regelmäßig schulen,
• ein Hinweisgebersystem aufbauen,
• einen Compliance-Beauftragten benennen,
• für besonders exponierte Stellen ein polizeiliches Führungszeugnis anfordern.

Wird eine Straftat entdeckt, sollte sie laut GDV konsequent geahndet werden ^[1]. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) verlangt in seinem IT-Grundschutz-Baustein zum Personal außerdem praktikable Vertretungsregelungen für alle wesentlichen Geschäftsprozesse ^[12]. Verlassen Beschäftigte das Unternehmen, müssen alle Unterlagen, Schlüssel, Geräte, Ausweise und Zutrittsberechtigungen eingezogen und Stellen wie die IT-Abteilung informiert werden; eine Checkliste wird empfohlen ^[12]. Wie das Vier-Augen-Prinzip im Alltag funktioniert, steht unter Vier-Augen-Prinzip, Hinweise zu Schulungen unter Beschäftigte für Betrug sensibilisieren. Wie sich Zugänge zu einer Website absichern lassen, beschreibt Website-Sicherheit: Updates, Backups und Zugänge.

Hinweisgebersystem nach dem HinSchG

Kollegen bemerken oft als Erste, dass etwas nicht stimmt. Im Fall des Kassierers fiel ihnen die hohe Zahl der Stornos auf ^[2]. In einem Krankenhaus dagegen stahlen eine Küchen-Vorarbeiterin und ein Küchenchef 15 Jahre lang Waren aus den Lagern, zeitweise lastwagenweise; der Küchenchef konnte mehrere Beschäftigte entlassen, die auf Unregelmäßigkeiten und Diebstähle hingewiesen hatten. Als Vorbeugung nennt der GDV hier ein Hinweisgebersystem und regelmäßige Inventuren ^[1]. Eine interne Meldestelle ist für viele Firmen ohnehin Pflicht. Nach § 12 des Hinweisgeberschutzgesetzes (HinSchG) müssen Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten eine Stelle einrichten und betreiben, an die sich Beschäftigte wenden können ^[7]. Für bestimmte Unternehmen der Finanzbranche gilt das unabhängig von der Zahl der Beschäftigten ^[7].

Repressalien gegen hinweisgebende Personen sind verboten, auch schon ihre Androhung ^[8]. Erleidet eine solche Person nach einer Meldung eine berufliche Benachteiligung, wird vermutet, dass es sich um eine Repressalie handelt; der Arbeitgeber muss dann das Gegenteil beweisen ^[8]. Wer keine interne Meldestelle einrichtet, riskiert eine Geldbuße bis zu 20.000 Euro, wer Repressalien ergreift, bis zu 50.000 Euro ^[9].

Kontrollen und Datenschutz

Kontrollen betreffen personenbezogene Daten der Beschäftigten, deshalb setzt das Recht Grenzen. Nach § 26 Abs. 1 BDSG dürfen solche Daten zur Aufdeckung von Straftaten nur verarbeitet werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat. Die Verarbeitung muss zur Aufdeckung erforderlich sein, und das schutzwürdige Interesse der Person darf nicht überwiegen, insbesondere dürfen Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sein ^[10]. Das Urteil des EuGH vom 30.03.2023 (C-34/21) zu einer gleichlautenden hessischen Vorschrift stellt die Anwendbarkeit von § 26 Abs. 1 Satz 1 BDSG in Frage; nach dem Hessischen Datenschutzbeauftragten müssen Arbeitgeber die Verarbeitung dann auf Art. 6 Abs. 1 DSGVO stützen. Zu den übrigen Regelungen des § 26 hat sich der EuGH nicht geäußert, ihre Reichweite ist offen ^[14].

Gibt es einen Betriebsrat, hat er nach § 87 Abs. 1 Nr. 6 BetrVG mitzubestimmen bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen ^[11]. Das betrifft etwa Auswertungen von Systemprotokollen, wenn sie dafür eingesetzt werden. Ob eine konkrete Maßnahme zulässig ist, klärst du vorher mit dem Datenschutzbeauftragten und einem Anwalt.

Wenn ein Verdacht entsteht

Ein Verdacht gegen eigene Beschäftigte stellt Unternehmen vor mehrere Fristen und Regeln zugleich. Diese Punkte ergeben sich aus den genannten Vorschriften:

1. Tatsächliche Anhaltspunkte dokumentieren, bevor Daten zur Aufklärung ausgewertet werden ^[10].
2. Den Betriebsrat beteiligen, wenn technische Überwachung eingesetzt werden soll ^[11].
3. Die Frist für eine fristlose Kündigung im Blick behalten: Nach § 626 BGB ist eine Kündigung aus wichtigem Grund nur innerhalb von zwei Wochen möglich, gerechnet ab dem Zeitpunkt, in dem der Kündigungsberechtigte von den maßgebenden Tatsachen Kenntnis erlangt. Voraussetzung ist, dass die Fortsetzung des Arbeitsverhältnisses unter Abwägung aller Umstände nicht zumutbar ist ^[13].
4. Hinweisgeber vor Benachteiligung schützen ^[8].
5. Anzeige bei der Polizei erstatten, wenn sich der Verdacht erhärtet; wie das geht, steht unter Betrug anzeigen.
6. Prüfen, ob eine Vertrauensschadenversicherung besteht. Sie entschädigt Unternehmen, wenn interne oder externe Vertrauenspersonen Gelder veruntreuen oder das Unternehmen betrügen ^[1]. Mehr dazu unter Cyberversicherung für Unternehmen.

1. Organisation Wirtschaftskriminalität: Die gefährlichsten Täter kommen aus dem eigenen Unternehmen. Gesamtverband der Deutschen Versicherungswirtschaft (GDV). Stand 03.09.2024. abgerufen am 29.10.2026
2. Organisation Versicherer warnen vor hohen Schäden durch kriminelle Mitarbeiter. Gesamtverband der Deutschen Versicherungswirtschaft (GDV). Stand 04.09.2019. abgerufen am 29.10.2026
3. Gesetz § 246 StGB: Unterschlagung. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
4. Gesetz § 266 StGB: Untreue. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
5. Gesetz § 263 StGB: Betrug. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
6. Gesetz § 23 GeschGehG: Verletzung von Geschäftsgeheimnissen. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
7. Gesetz § 12 HinSchG: Pflicht zur Einrichtung interner Meldestellen. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
8. Gesetz § 36 HinSchG: Verbot von Repressalien; Beweislastumkehr. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
9. Gesetz § 40 HinSchG: Bußgeldvorschriften. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
10. Gesetz § 26 BDSG: Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
11. Gesetz § 87 BetrVG: Mitbestimmungsrechte. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
12. Behörde ORP.2 Personal. Bundesamt für Sicherheit in der Informationstechnik (BSI), IT-Grundschutz-Kompendium. Stand Edition 2023. abgerufen am 29.10.2026
13. Gesetz § 626 BGB: Fristlose Kündigung aus wichtigem Grund. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
14. Behörde Handreichung zur Verarbeitung personenbezogener Daten von Beschäftigten im Lichte des EuGH-Urteils vom 30. März 2023 Rs. C-34/21. Hessischer Beauftragter für Datenschutz und Informationsfreiheit. Stand 25.04.2023. abgerufen am 29.10.2026

Zuletzt geprüft am 30.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.