Das Vier-Augen-Prinzip gehört zu den bekanntesten Kontrollen in Unternehmen. Eine Person bereitet vor, eine zweite prüft und gibt frei. Damit sollen Fehler, Manipulation und übereilte Entscheidungen erschwert werden.
In vielen Abläufen ist das sinnvoll. Sicher wird eine Freigabe dadurch aber nicht automatisch.
Wenn beide Personen dieselbe manipulierte Nachricht sehen, dieselbe falsche Bankverbindung übernehmen und unter demselben Zeitdruck handeln, entstehen aus zwei Klicks noch keine zwei unabhängigen Prüfungen.
Ein typischer Fall beginnt unauffällig.
Ein angeblicher Dienstleister teilt mit, dass sich seine Bankverbindung geändert hat. Die Rechnung sieht vertraut aus. Name, Logo und Ansprechpartner passen. Gleichzeitig soll die Zahlung noch am selben Tag erfolgen. Vielleicht enthält die Nachricht sogar einen Hinweis auf ein laufendes Projekt oder eine tatsächlich abwesende Führungskraft.
Die erste Person erfasst die Änderung. Die zweite Person sieht, dass die Rechnung formal plausibel wirkt, und gibt frei.
Der Prozess hatte vier Augen. Trotzdem wurde die entscheidende Behauptung nie unabhängig geprüft: Gehört die neue Bankverbindung wirklich zum bekannten Dienstleister?
Das zeigt den Unterschied zwischen einer zweiten Bestätigung und einer unabhängigen Kontrolle.
Eine wirksame zweite Prüfung braucht eine eigene Informationsgrundlage. Sie darf nicht nur wiederholen, was bereits in der ursprünglichen Anweisung stand.
Besonders wichtig ist das bei Änderungen oder Ausnahmen, zum Beispiel:
- neue oder geänderte Bankverbindungen
- ungewöhnliche Zahlungsziele oder Beträge
- dringende Anweisungen außerhalb des üblichen Ablaufs
- Aufforderungen zur Geheimhaltung
- neue Empfänger oder Auslandszahlungen
- Änderungen von Stammdaten kurz vor einer Zahlung
- Bitten, einen Kontrollschritt ausnahmsweise zu überspringen
Solche Auslöser sollten im Prozess klar benannt sein. Dann hängt die zusätzliche Prüfung nicht vom Bauchgefühl einzelner Personen ab.
Der wichtigste Schritt ist die Rückbestätigung über einen unabhängigen, bereits bekannten Kontaktweg.
Kommt die Änderung per E-Mail, kann die bekannte Kontaktperson telefonisch erreicht werden. Die Telefonnummer sollte aus dem eigenen System, einem bestehenden Vertrag oder einem früher bestätigten Kontakt stammen. Eine Nummer aus derselben Änderungsnachricht ist keine unabhängige Grundlage.
Dasselbe gilt für vermeintliche Anweisungen der Geschäftsleitung. Eine kurze Rückfrage über einen etablierten internen Kanal ist belastbarer als eine Antwort auf die Nachricht, die den Verdacht ausgelöst hat.
Auch die Rollen im Freigabeprozess müssen klar sein. Wer eine Änderung erfasst, sollte sie nicht allein bestätigen. Wer freigibt, muss wissen, welche Angaben eigenständig zu prüfen sind. Und wer eine ungewöhnliche Anweisung stoppt, darf dadurch nicht als unkooperativ gelten.
Eine gute Kontrollkultur gibt ausdrücklich das Recht, bei Unstimmigkeiten anzuhalten.
Typische Warnsignale sind:
- künstliche Dringlichkeit
- ungewohnter Ton oder ungewöhnliche Bitte
- Abweichung vom bekannten Prozess
- neue Kontakt- oder Kontodaten
- Druck, andere Personen nicht einzubeziehen
- Begründungen, warum die normale Kontrolle gerade nicht möglich sei
Keines dieser Signale beweist allein einen Betrugsversuch. Mehrere davon rechtfertigen aber eine zusätzliche Prüfung.
Technische Kontrollen können unterstützen. Workflows können Änderungen markieren, Freigabegrenzen erzwingen und Stammdatenänderungen protokollieren. Mailfilter können verdächtige Nachrichten hervorheben. Zahlungssysteme können ungewöhnliche Empfänger oder Beträge sichtbar machen.
Sie ersetzen jedoch nicht die unabhängige Rückbestätigung. Ein technisch sauberer Workflow kann auch eine sauber eingegebene falsche Information weiterverarbeiten.
Zu einem belastbaren Freigabeprozess gehört außerdem ein Nachweis. Er muss nicht umfangreich sein. Bei kritischen Änderungen reichen oft wenige Angaben:
- Was wurde geändert oder freigegeben?
- Welcher Auslöser verlangte eine Zusatzprüfung?
- Über welchen bekannten Kanal wurde bestätigt?
- Wer hat geprüft und wer hat freigegeben?
- Wann wurde die Entscheidung getroffen?
- Welche Ausnahme oder Eskalation gab es?
Damit wird später nicht nur sichtbar, dass zwei Personen beteiligt waren. Es wird sichtbar, was tatsächlich geprüft wurde.
Auch Ausnahmewege müssen vorab geregelt sein. Wenn die zweite freigabeberechtigte Person nicht erreichbar ist, darf der Ersatz nicht spontan erfunden werden. Es braucht eine benannte Vertretung, definierte Grenzen und einen Eskalationsweg für Fälle, die nicht warten können.
Ein kurzer Prozesscheck beginnt deshalb mit fünf Fragen:
- Welche Änderungen lösen immer eine unabhängige Rückbestätigung aus?
- Woher stammen die dafür verwendeten Kontaktdaten?
- Welche konkrete Prüfung übernimmt die zweite Person?
- Wer darf einen Vorgang stoppen oder eskalieren?
- Welcher Nachweis bleibt nach der Freigabe zurück?
Wenn diese Fragen beantwortet sind, wird aus dem Vier-Augen-Prinzip mehr als eine zusätzliche Schaltfläche. Es wird zu einer Kontrolle, die auch unter Zeitdruck trägt.
Zwaa Klicks san nu ka Prüfung. Oaner muss scho aa nochschaun, ob die Gschicht überhaupt stimmt.
Zwei Klicks sind noch keine Prüfung. Mindestens eine Person muss unabhängig kontrollieren, ob die zugrunde liegende Information tatsächlich stimmt.