Vier-Augen-Prinzip im Unternehmen: so schützt die zweite Freigabe

Beim Vier-Augen-Prinzip darf eine einzelne Person einen wichtigen Vorgang nicht allein abschließen. Eine zweite Person prüft und gibt frei, bevor Geld fließt, Bankdaten geändert oder Rechte vergeben werden. Die zweite Freigabe wirkt gegen Täter von außen und gegen Täter im eigenen Haus.

Was das Vier-Augen-Prinzip bedeutet

Das Vier-Augen-Prinzip ist ein Teil dessen, was Fachleute internes Kontrollsystem nennen. Die Finanzverwaltung verlangt von Steuerpflichtigen in den Grundsätzen zur ordnungsmäßigen Buchführung (GoBD), Kontrollen einzurichten, auszuüben und zu protokollieren ^[5]. Als Beispiele nennt sie unter anderem Zugangs- und Zugriffsberechtigungskontrollen, Funktionstrennungen, Erfassungs- und Abstimmungskontrollen ^[5]. Wie das Kontrollsystem konkret aussieht, hängt nach den GoBD von der Komplexität der Geschäftstätigkeit, der Organisationsstruktur und dem eingesetzten DV-System ab ^[5].

Eng verwandt ist die Funktionstrennung: Wer etwas anlegt, gibt es nicht selbst frei. Für Banken schreibt die BaFin das ausdrücklich vor. Nach den Mindestanforderungen an das Risikomanagement (MaRisk) ist sicherzustellen, dass miteinander unvereinbare Tätigkeiten von unterschiedlichen Mitarbeitern durchgeführt werden ^[6]. Eine Kreditentscheidung erfordert dort, abhängig vom Risiko, zwei zustimmende Voten der Bereiche Markt und Marktfolge, und Kontrollen in der Kreditbearbeitung können im Rahmen des "üblichen Vier-Augen-Prinzips" erfolgen ^[6]. Für Unternehmen außerhalb der Finanzbranche gibt es keine so genaue Vorschrift; die MaRisk zeigen aber, wie ein ausgereiftes Modell aussieht.

Warum eine zweite Person so viel ausmacht

Viele Betrugsmaschen gegen Unternehmen setzen darauf, dass genau eine Person entscheidet. Beim CEO-Betrug verlangt der Täter eine dringende Zahlung, und der Mitarbeiter wird angehalten, den regulären Autorisierungsprozess zu umgehen ^[3]. Die Polizei empfiehlt deshalb, Prozesse einzurichten, bei denen ungewöhnliche Zahlungen stets von mehreren Personen geprüft werden ^[1]. Wie die Masche abläuft, beschreibt CEO-Fraud und Business E-Mail Compromise.

Bei Taten aus dem eigenen Haus zeigt die Studie "Occupational Fraud 2026" der Association of Certified Fraud Examiners mit 2.402 Fällen aus 143 Ländern und Gebieten, wie wichtig Kontrollen sind: Mehr als die Hälfte der Betrugsfälle geschah, weil interne Kontrollen fehlten oder bestehende Kontrollen umgangen wurden ^[8]. Mehr dazu steht unter Innentäter: Betrug durch Beschäftigte.

Wo eine zweite Freigabe hingehört

Das BKA rät, einen Prozess zur Prüfung der Rechtmäßigkeit von Zahlungsaufträgen einzuführen, Anfragen zu geänderten Bankverbindungen besonders zu prüfen und für Zahlungen ab einem festgelegten Betrag ein Verfahren zur Bestätigung von Konto und Empfänger einzurichten ^[4]. Daraus und aus den Empfehlungen der Polizei ergeben sich die Vorgänge, bei denen eine zweite Person mitentscheiden sollte:

• Überweisungen ab einem festgelegten Betrag und alle ungewöhnlichen Zahlungen ^{[1, 4]}
• Änderungen an Bankverbindungen von Lieferanten ^[4]
• Zahlungsaufträge, die per E-Mail eingehen ^[3]
• Vergabe und Änderung von Zugriffsrechten in Buchhaltung und Banking ^[5]

Aus unserer Sicht gehören außerdem die Neuanlage von Lieferanten, Gutschriften und Erstattungen an Kunden sowie Spesenabrechnungen ab einer festgelegten Höhe dazu. Wie das bei Reisekosten aussieht, beschreibt Spesen- und Abrechnungsbetrug, die Prüfung von Eingangsrechnungen steht unter Rechnungsbetrug.

Schwellenwerte festlegen

Ein Gesetz, das Unternehmen außerhalb der Finanzbranche feste Beträge vorschreibt, gibt es nicht. Die GoBD verlangen ein Kontrollsystem, das zur Größe und Struktur des Unternehmens passt ^[5]. Eine Schwelle muss so liegen, dass typische Betrugsbeträge darüber fallen; liegt fast jede Zahlung darunter, schützt die Regel kaum.

Bankverbindungen: Rückruf als zweite Prüfung

Bei geänderten Kontodaten reicht eine zweite Unterschrift allein nicht, wenn beide Personen dieselbe gefälschte E-Mail lesen. Das BKA rät, für die Prüfung nie die Kontaktdaten aus dem Änderungsschreiben zu verwenden, sondern solche aus früherer Korrespondenz, und bei Firmen, an die regelmäßig gezahlt wird, feste Ansprechpartner zu bestimmen ^[4]. Nach einer Zahlung kann das Unternehmen dem Empfänger eine E-Mail mit dem Namen der Bank und den letzten vier Ziffern des Kontos schicken ^[4]. Die Polizei empfiehlt, den Absender über eine bekannte, offizielle Nummer zurückzurufen ^[1]. Sinnvoll ist eine Aufteilung: Eine Person ruft zurück und dokumentiert das Gespräch, die zweite prüft die Notiz und gibt die Änderung frei.

Eine technische Zusatzprüfung bietet die Empfängerüberprüfung der Banken, die seit dem 09.10.2025 bei Überweisungen abgleicht, ob Name und IBAN zusammenpassen ^[11]. Unternehmen können unter bestimmten Voraussetzungen darauf verzichten ^[11]. Wer das für Sammelaufträge tut, sollte wissen, dass dann eine Kontrolle wegfällt. Die Bundesbank weist darauf hin, dass der Abgleich eine insgesamt betrügerische Zahlungsaufforderung nicht erkennen kann ^[11].

Umsetzung im Banking und in der Buchhaltung

Im Firmenkundengeschäft lässt sich das Vier-Augen-Prinzip direkt in der Bank hinterlegen. Beim EBICS-Verfahren, über das Unternehmen Zahlungsdateien an Banken übertragen, gibt es Unterschriftsklassen: E steht für eine Einzel-Unterschriftsberechtigung, A und B für gemeinschaftliche Unterschriften, T erlaubt nur das Versenden von Aufträgen ohne Freigabe ^[7]. Eine Person mit Klasse B kann nur zusammen mit einer Person der Klasse A freigeben ^[7]. So lässt sich festlegen, dass die Person, die eine Zahlungsdatei erstellt, sie nicht allein abschicken kann. Wie die Klassen bei der eigenen Bank heißen und kombiniert werden, regelt der Vertrag mit ihr.

In Buchhaltungs- und ERP-Programmen sind Freigabe-Workflows üblich. Wichtig ist nach den GoBD, dass Zugriffsrechte auf einem Berechtigungskonzept beruhen und die Kontrollen protokolliert werden ^[5]. Ein Workflow ist wertlos, wenn dieselbe Person zwei Benutzerkonten hat oder Administratorrechte, mit denen sie die Freigabe übergehen kann.

Woran das Vier-Augen-Prinzip in der Praxis scheitert

Im Alltag entstehen Lücken, zum Beispiel diese:

• Abwesenheit: Ist die zweite Person im Urlaub, wird allein freigegeben. Die Polizei rät zu klaren Abwesenheitsregelungen und internen Kontrollmechanismen ^[2].
• Druck von oben: Täter berufen sich auf die Geschäftsleitung, verlangen Eile und Vertraulichkeit ^[3]. Das BKA rät Beschäftigten, keine Schritte zu überspringen und bei Druck nicht nachzugeben ^[3].
• Ausnahmen für die Spitze: In der Studie 2026 lagen die Schäden durch Inhaber und Führungskräfte im Median bei 475.000 US-Dollar, durch Angestellte bei 50.000 US-Dollar ^[8]. Eine Freigaberegel, die für die Geschäftsführung nicht gilt, lässt also die teuersten Fälle offen.
• Abnicken: Die zweite Person gibt frei, ohne Belege anzusehen. Dagegen helfen klare Prüfpunkte und gelegentliche Stichproben.
• Nähe: Sind beide Freigebenden eng verbunden, etwa verwandt, wirkt die Kontrolle schwächer. Hier hilft eine organisatorische Trennung.

Die letzten beiden Punkte sind unsere eigene Einschätzung, keine Empfehlung einer Behörde.

Kontrolle der Kontrolle

Ein Freigabeweg sollte selbst geprüft werden. Nach den GoBD muss im Rahmen eines funktionsfähigen internen Kontrollsystems anlassbezogen, etwa bei einem Systemwechsel, geprüft werden, ob das eingesetzte System dem dokumentierten System entspricht; die Beschreibung des Kontrollsystems ist Teil der Verfahrensdokumentation ^[5]. In der ACFE-Studie 2026 waren Anti-Betrugs-Kontrollen mit geringeren Schäden und schnellerer Aufdeckung verbunden ^[8]. Besser ist es, die Lücken vorher zu finden: zum Beispiel einmal im Jahr eine Stichprobe von Zahlungen ziehen und nachsehen, ob wirklich zwei Personen freigegeben haben und ob die Rückrufe dokumentiert sind.

Kultur: Nein sagen dürfen

Eine zweite Freigabe funktioniert nur, wenn die prüfende Person ablehnen darf, ohne Ärger zu bekommen. Das BSI nennt als Beispiel die Buchhaltung, die bei fragwürdigen Zahlungsaufforderungen jederzeit bei der Geschäftsleitung nachfragen darf ^[10]. Das BKA rät, bei Zweifeln an einer Zahlung eine kompetente Kollegin oder einen Kollegen zu fragen ^[3]. Die Geschäftsleitung kann das am einfachsten vorleben, indem sie eigene Zahlungsanweisungen selbst durch den normalen Freigabeweg schickt. Viele Taten fallen durch Hinweise auf: In der ACFE-Studie 2026 wurden 43 Prozent der Fälle durch Hinweise aufgedeckt, und mehr als die Hälfte dieser Hinweise kam von Beschäftigten ^[8]. Wer eine Freigabe verweigert, weil etwas nicht stimmt, sollte deshalb wissen, wem er das meldet, und sich darauf verlassen können, dass die Meldung ernst genommen wird.

Die Beschäftigten müssen außerdem wissen, warum es die Regel gibt. Wie eine Schulung zu Betrugsmaschen aufgebaut sein kann, steht unter Beschäftigte für Betrug sensibilisieren. Welche Rolle Lieferanten und ihre Kontodaten spielen, beschreibt Lieferantenbetrug.

1. Behörde Online-Betrug: CEO-Fraud. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
2. Behörde CEO-Fraud: Betrüger legen Unternehmensmitarbeiter herein. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
3. Behörde CEO/Business E-Mail Betrug (CEO-Betrug). Bundeskriminalamt. Stand ohne Datum. abgerufen am 29.10.2026
4. Behörde Rechnungsbetrug: Was können Sie tun?. Bundeskriminalamt. Stand ohne Datum. abgerufen am 29.10.2026
5. Behörde Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD), AO-Handbuch 2025 Anhang 33. Bundesministerium der Finanzen. Stand 2025. abgerufen am 29.10.2026
6. Behörde Rundschreiben 06/2024 (BA): Mindestanforderungen an das Risikomanagement (MaRisk). Bundesanstalt für Finanzdienstleistungsaufsicht. Stand 29.05.2024. abgerufen am 29.10.2026
7. Behörde Antrag auf EBICS-Kommunikation sonstige Kontoinhaber ohne Bankleitzahl (Vordruck 4760). Deutsche Bundesbank. Stand 09.2026. abgerufen am 29.10.2026
8. Studie Occupational Fraud 2026: A Report to the Nations, Key Findings. Association of Certified Fraud Examiners. Stand 2026. abgerufen am 29.10.2026
9. Studie Collusion by Perpetrators (Occupational Fraud 2026). Association of Certified Fraud Examiners. Stand 2026. abgerufen am 29.10.2026
10. Behörde 3 Tipps für mehr IT-Sicherheits-Awareness. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
11. Behörde Fragen und Antworten zu Echtzeitüberweisungen und Empfängerüberprüfung. Deutsche Bundesbank. Stand ohne Datum. abgerufen am 29.10.2026

Zuletzt geprüft am 30.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.