Compliance ist nicht sicher

Wie die E-Rechnungspflichten das Betrugsrisiko in die Abteilung „Kreditforderungen“ übertragen und wie Docnova AP Automatisierung Schließt die Lücke

Mohammed Bouhaba · Melasoft GmbH · November 2026

Die E-Rechnungspflichten sichern die Übermittlung der Rechnungen, nicht das Vertrauen dahinter. Da jede B2B-Rechnung auf regulierte Plattformen migriert, verschwindet der Betrug nicht. Er folgt dem Kanal, dem Finanzteams nun standardmäßig vertrauen.

Die ersten Anzeichen sind bereits sichtbar. Unternehmensleiter berichten, dass betrügerische Rechnungen direkt in ihren E-Invoicing-Anwendungen eintreffen, über zugelassene Plattformen versandt und formmäßig von echten Lieferantenrechnungen nicht zu unterscheiden sind. Dies ist keine Schwachstelle der Plattformen. Es ist eine strukturelle Besonderheit offener, interoperabler Netzwerke und definiert neu, wo der tatsächliche Kontrollpunkt im Rechnungsablauf liegt: in der Abteilung „Accounts Payable“.

In diesem Artikel wird erläutert, warum ein Risiko besteht, wie eine robuste Steuerungslösung aussehen muss und wie Docnova AP Automation diese Architektur in einen Arbeitsablauf innerhalb Ihres ERP-Systems umsetzt.

1. Das Vertrauensgrenze: Die Integrität des Kanals ist nicht die Legitimität einer Transaktion

Regulierte E-Rechnungsarchitekturen sind darauf ausgelegt, die Integrität des Kanals zu gewährleisten. Genehmigte Plattformen validieren Syntax und Pflichtdaten, leiten Rechnungen über ein zentrales Verzeichnis auf Basis von Unternehmensidentifikatoren weiter, tauschen Lebenszyklusstatus aus und übermitteln Steuerdaten an die Verwaltung. Sie sind konzeptionell unabhängig von der wirtschaftlichen Substanz.

Interoperabilität bedeutet offene Adressierbarkeit: Jeder registrierte Anbieter kann jeden anderen erreichen. Ein Betrüger, der eine rechtlich registrierte Scheinfirma betreibt, verfügt genau über dieselben Netzwerkrechte wie ein langjähriger Lieferant. Die Plattform hat ihre Arbeit erledigt, sobald die Rechnung eintrifft. Die Frage, ob sie bezahlt werden soll, stand nie in ihrem Rahmen.

2. Wie sich das Bedrohungsmodell verändert: von Dokumentbetrug zu Datenbetrug

Die Betrugsmaschinerie aus Papier und PDF setzt auf Täuschung, die das menschliche Auge manchmal erkennen kann. Strukturierte E-Rechnungen beseitigen diese Anhaltspunkte. Eine betrügerische Rechnung trägt jetzt dieselben Merkmale, dieselbe Validierungsmarke und den gleichen Kanal wie eine legitime Rechnung, was eine falsche Vertrauensbildnerin darstellt.

Drei Dynamiken verstärken die Belichtung:

• Abgelöstes Reibungspotential: Mandate bewegen Organisationen in Richtung „Straight-Through-Processing“. Jeder manuell durchgeführte Schritt, der für Effizienz optimiert wird, ist gleichzeitig ein Kontrollpunkt, der vor Betrug geschützt ist.
• Autoritätsvorurteile: Rechnungen, die über eine regulierte Plattform zugestellt werden, werden implizit als geprüft erachtet, was die Überprüfung genau dann verringert, wenn die Anzahl der Transaktionen am höchsten ist.
• Vertraute Bahnlinien, neue Schienen: Fiktive Lieferanten, ähnliche Unternehmen, überhöhte oder doppelte Rechnungen, Angriffe auf geschäftliche E-Mails und die Zerstörung von Bankdaten müssen nicht neu erfunden werden. Sie nutzen einfach einen glaubwürdigeren Kanal.

Die Belastung ist nicht nur finanziell. Die Rückerstattung der eingebrachten Mehrwertsteuer erfordert in der Regel eine tatsächliche Lieferung, sodass eine fiktive Rechnung, die genehmigt und verbucht wurde, neben dem finanziellen Verlust auch ein Steuerrisiko mit sich bringt. Und da das französische Modell Lebenszyklusstatus formalisiert, einschließlich der Ablehnung einer Rechnung durch den Käufer, ist die Entscheidung darüber, was akzeptiert werden soll, nun eine explizite und nachvollziehbare Verantwortung des Empfängers.

3. Forderungen als Vertrauensschicht

Wenn die Plattform den Kanal garantiert, muss AP die Transaktion garantieren. Reife Organisationen behandeln dies eher als eine mehrschichtige Steuerungslösung als als einen einzigen Genehmigungsschritt.

Eine einzige Schicht reicht nicht aus. Ein bekannter Lieferant kann dennoch überhöhte Preise berechnen; eine perfekt aufeinander abgestimmte Rechnung kann dennoch falsche Zahlungsdaten enthalten. Schutz kommt von den Schichten, die zusammenarbeiten, bevor die Zahlung freigegeben wird.

4. Das Paradoxon: Das Mandat ist auch die Lösung

Die gleichen strukturierten Daten, die Betrug eine glaubwürdige Ausrede verschaffen, ermöglichen auch eine industrielle Steuerung. Da Rechnungen nun als maschinenlesbare Daten ankommen und nicht mehr als gescannte Dokumente, ist die Kontrolle nicht mehr von der Qualität der Extrahierung oder der manuellen Überprüfung abhängig. Sie können auf jeder Rechnung in Echtzeit, an der Empfangsstelle, ausgeführt werden.

Dies verschiebt das Kontrollmodell von „Erkennung und Wiederherstellung nach Zahlungseingang“ auf „Verhinderung bei Empfang“. Ein unbekannter Absender kann vor dem Einzug in den Workflow gesperrt werden. Ein Missverhältnis kann eine Ablehnung auslösen, bevor sie von jemandem genehmigt wird. Die Betrugsprävention wird zu einem Prozessmerkmal, nicht zu einer Wachsamkeit eines Einzelnen.

Organisationen, die die E-Rechnungserfassung nativ in ihre ERP- und AP-Systeme integrieren, nutzen diesen Vorteil. Wer sich auf die Einhaltung beschränkt, erhält einen schnelleren Kanal und die gleichen Schwachstellen.

5. Von der Idee zum Prozess: Docnova AP Automation

Docnova AP Automation basiert genau auf diesem Prinzip: Compliance sorgt dafür, dass die Rechnung an Sie geliefert wird, und AP entscheidet, ob sie bezahlt werden soll. Sie verarbeitet jeden eingehenden Dokument und stellt ihn in eine formierte, fraudenkontrollierte und genehmigte Rechnung um – automatisch, wenn die Rechnung sauber ist, und manuell, wenn sie nicht sauber ist.

Das Produkt führt jedes Dokument durch einen fünfstufigen Prozess:

6. Die Betrugsfälle wurden vor dem Workflow erkannt, nicht nach dessen Abschluss

Die meisten AP-Tools prüfen bei der Genehmigung auf Betrug oder verlassen sich darauf, dass der Genehmiger dies bemerkt. Docnova verschiebt die Kontrolle an die Spitze des Prozesses, wo sie kostengünstig und effektiv ist.

• 204 Live-Signale, 42 harte Stopps: Schwerwiegende Anhaltspunkte wie ein geändertes IBAN, ein gesperrtes Lieferunternehmen oder eine doppelte Zahlung werden nicht in den Genehmigungsprozess übernommen. Die Rechnung wird stattdessen in eine spezielle Überprüfungskolle für Betrugsfälle übergeben.
• Einstellbare Risikobewertung: Jede Überprüfung hat eine Gewichtung. Eine geringe Abweichung in den Feldern wird als gering eingestuft, ein falsches IBAN-Format als hoch, und die Skalierungsbereiche entsprechen den jeweiligen Aktionen: Fortfahren automatisch, Weiterleitung an einen menschlichen Mitarbeiter oder Stopp und Untersuchung. Jedes Ergebnis wird mit einem Stempel versehen und reproduzierbar.
• Ihre eigenen Regeln: Finanzteams können zusätzlich zu den vordefinierten Kontrollen benutzerdefinierte Betrugslogik hinzufügen, wie beispielsweise die genaue Übereinstimmung des Lieferantennamens mit dem ERP-Master.
• Kontextuelle Anomalieerkennung: KI erkennt Rechnungen an, die technisch in Ordnung sind, aber in Bezug auf das Verhalten ungewöhnlich sind, etwa wenn ein Lieferant, der normalerweise geringe Beträge in Rechnung stellt, plötzlich mehrere Mal so viel in Rechnung stellt oder für eine Kategorie abrechnet, die er nie geliefert hat.
• Rechtmäßige Änderungen sind keine Betrug: Ein neuer Lieferanten-IBAN führt eine Verifizierung aus, nicht eine automatische Ablehnung. AP bestätigt dies mit dem Lieferanten über einen bekannten Kontakt, aktualisiert die Stammdaten und führt die Überprüfungen erneut durch.

7. Genehmigungen als Daten, nicht als Code

In vielen Organisationen bedeutet das Ändern einer Genehmigungsvorschrift eine Änderungsanforderung, einen Berater und einen Freigabeschritt. Docnova trennt die Entscheidung von der Umsetzung. Eine Entscheidungstabelle bestimmt, wer genehmigen muss, basierend auf Höhe, Entität, Kostenzentrum, Vertragsabdeckung oder Risikobewertung. Anschließend führt der Workflow-Motor diese Kette durch.

Die Rollen werden bei der Ausführung in reale Personen umgewandelt, wobei eine zeitgerechte Delegation erfolgt, wenn jemand nicht verfügbar ist, eine Eskalation erfolgt, wenn eine Rechnung zu lange auf der Warteliste steht, und die Pflichtverteilung durch den eigentlichen Systemmotor gewährleistet wird: Ein Anforderer kann seine eigene Rechnung niemals genehmigen. Die Erstellung einer neuen Genehmigungsstufe ist eine Zeile in einer Tabelle. Finanzen behält die Kontrolle über die Richtlinien; IT ist nicht mehr die größte Hürde.

8. KI, die unterstützt, Menschen, die entscheiden

Die Automatisierung in AP muss verständlich sein, denn Prüfer werden fragen, warum eine Rechnung bezahlt wurde. Docnova vergleicht den Anbieter, den Bestellvorgang, das GL-Konto, das Kostenzentrum, die Steuernummer und die Bedingungen anhand einer geordneten Reihe von Strategien: exakt, ungenau, vergleichen, nachschlagen und schließlich mit KI, die durch ein Vertrauensschloss geschützt ist.

Oberhalb des Eingangs wird die Korrektur automatisch abgeschlossen. Unterhalb davon bestätigt eine Person eine bereits ausgefüllte Vorschau. Die KI schreibt Ihren Buchungen nie selbst zu. Reinere und risikoreicher Rechnungswesen kann von der Rezeption bis zur Buchung ohne menschlichen Eingriff erfolgen, und Ihr AP-Team verwendet seine Zeit für die Ausnahmen, die eine echte Beurteilung erfordern: verdächtige Rechnungen, fehlende Informationen, hohe Werte und ungewöhnliche Aktivitäten des Lieferanten.

9. Eine Rechnung, eine Geschichte

Beispielhaftes Szenario

Ein Stahllieferant sendet über Peppol eine Rechnung in Höhe von 78.000 Euro an den Document Pool. Innerhalb weniger Sekunden prüft der Betrugssystem prüft seine Signale: Der IBAN ist bekannt, es gibt keine Duplizität und die Kaufbestätigung existiert und ist aktiv.

Der Disponenten startet den standardmäßigen AP-Workflow. Die Entscheidungstabelle leitet ihn an den Finanzmanager weiter, dann an den CFO. Der Kostenstellenverantwortliche ist im Urlaub, daher gilt die automatische Delegation. Jeder Genehmiger sieht die Rechnung mit den entsprechenden Betrugsanzeigen. Nach zwei Genehmigungen wird sie mit der PO-Rechnung, dem GL-Konto, dem Kostenstellenwert und dem Steuernummer zusammen mit den entsprechenden Daten in SAP gepostet.

Stellen Sie sich nun die Situation vor, dass dieselbe Rechnung mit einem anderen IBAN zugestellt wird. Diese wird nie in den Workflow aufgenommen. Stattdessen landet sie in der Fraud-Review-Queue und der Lieferant wird per Telefon zurückgerufen – nicht über eine E-Mail-Antwort des Angreifers.

Jeder Schritt auf beiden Wegen, einschließlich jeder Motoreinspektion, jeder Klick und jeder Minute, in der eine Rechnung bei einem Genehmigungsmanager lag, wird in einer einzigen Zeitleiste für dieses Dokument aufgezeichnet.

10. Auf einer Compliance-Basis aufgebaut

Die meisten Anbieter von AP-Automatisierungslösungen integrieren die Fakturaverarbeitung in ein Workflow-Tool und überlassen die Mandatskonformität einem separaten Anbieter. Melasoft ist eine DGFiP-registrierte Plateforme Agréée und betreibt die Docnova e-invoicing-Plattform für Mandate in ganz Europa, einschließlich Deutschland, Frankreich, Peppol, Polen, Rumänien und Serbien.

Das bedeutet einen einzigen Anbieter, eine einzige Pipeline und eine einzige Audit-Trail-Verfolgung von der Annahme bis zur Zahlung. Formate und Mandatänderungen werden unter der AP-Ebene bearbeitet, sodass eine neue regulatorische Vorgabe unser Problem ist und nicht Ihr Projekt.

Die beiden Produkte funktionieren zusammen, sind jedoch nicht voneinander abhängig. Bestehende Docnova-E-Invoicing-Kunden fügen AP Automation als zusätzliche Funktion in die bereits vorhandene Infrastruktur ein. Unternehmen, die über einen anderen E-Invoicing-Anbieter verfügen, können Docnova AP Automation eigenständig verwenden – Dokumente werden dabei aus allen Kanälen eingegeben.

11. Eigenständig in Ihrem ERP-System integriert, ohne Middleware

Für SAP-Kunden ist Docnova AP Automation als eigenständige Erweiterung verfügbar, die innerhalb von SAP installiert wird und ECC, S/4HANA und Business One unterstützt. Da sie lizenzenunabhängig ist, übersteht sie eine S/4HANA-Migration und muss nicht nach der Migration neu aufgebaut werden.

Für Oracle, Microsoft Dynamics, NetSuite und andere ERP-Systeme verbindet Docnova über saubere REST-Endpunkte. In beiden Fällen ist keine Middleware-Schicht erforderlich, die lizenziert, überwacht oder verwaltet werden muss.

12. Auditgerecht konzipiert

Wenn ein Prüfer fragt, wer eine Rechnung genehmigt hat und warum, sollte die Antwort nicht Tage dauern, sondern nur wenige Sekunden. Jedes Dokument in Docnova enthält seine eigene Zeitleiste, die die Schritte des Zusammenfüge-Moduls, menschliche Entscheidungen und ERP-Reaktionen berücksichtigt. Benutzer sehen, was in ihrem Posteingang anliegt und was sie in ihrem Postausgang entschieden haben, sodass nichts nach der Genehmigung verschwindet.

Ein separates Plattform-Audit-Log verzeichnet alle Konfigurationsänderungen, wie zum Beispiel, wer einen Workflow bearbeitet hat, eine Entscheidungstabelle geändert hat oder jemanden in eine Genehmigungsgruppe aufgenommen hat. Die Plattform basiert auf einem ISO 27001 zertifizierten Informationssicherheitsmanagement-System mit rollenbasierter Zugriffskontrolle, einer gesetzeskonformen Trennung der Aufgaben und Archivierung nach den Anforderungen der GoBD und NF Z42-013.

13. Nachweis vor der Verpflichtung: Shadow Mode

Der schwierigste Aspekt eines AP-Projekts ist das Vertrauen. Docnova beseitigt dieses Risiko mit der Shadow-Modus-Funktion: Die gesamte Prozesskette wird auf Ihren tatsächlichen Rechnungen ausgeführt, wobei die ERP-Verbuchung und -Zahlung deaktiviert sind.

Bevor irgendetwas die Produktionsbuchhaltung erreicht, sehen Sie Ihre eigenen Zahlen:

• Wie viele Rechnungen würden automatisch verarbeitet, und wie viele würden als Ausnahme gelten?
• Welche Betrugssignale wecken bei Ihrer tatsächlichen Lieferantenbasis Alarm?
• Wie gut die Genehmigungsregeln Ihrer Organisation passen.
• Wie viel manueller Arbeit könnte von Ihrem AP-Team wegfallen.

Die Implementierung erfolgt in einem strukturierten, fixen Rollout mit Shadow Mode, sodass die Entscheidung für die Live-Bereitstellung auf Beweisen basiert und nicht auf Zusagen des Herstellers.

14. Die Agenda des CFO

In Frankreich gilt die Meldepflicht seit September 2026 für alle Unternehmen, wobei die Auslieferung für kleine und mikrorganisierte Unternehmen im September 2027 beginnt. Deutschland, Polen und andere europäische Märkte bewegen sich in derselben Richtung. Die meisten Organisationen betrachten dies als Compliance-Projekt. Die Finanzleitung sollte dies umfassen, indem sie sich auf fünf Fragen konzentriert:

Fazit

Die Compliance beantwortet die Frage, ob eine Rechnung gültig ist. Nur die Abteilung „Accounts Payable“ kann die Frage beantworten, ob sie legitim ist. Da E-Invoicing zum universellen Kanal für die B2B-Rechnungsstellung wird, wird es keine Unterscheidung zwischen konformen und nicht-konformen Unternehmen mehr geben, sondern nur zwischen Unternehmen, deren Zahlungsverarbeitung lediglich konform ist, und Unternehmen, deren Zahlungsverarbeitung durch Design sicher ist.

Docnova AP Automation vereint beides: eine lizenzierte Backbone-Lösung für elektronische Rechnungen und eine AP-Engine, die jede Rechnung validiert, Betrug prüft, genehmigt und veröffentlicht, bevor ein einziger Euro das Konto verlässt.

Nächster Schritt

Sie können dies in Ihren eigenen Rechnungen nachvollziehen. Kontaktieren Sie Melasoft, um eine Demo von Docnova AP Automation und eine Bewertung des Shadow Mode auf Ihren tatsächlichen Daten zu vereinbaren – ohne Beeinträchtigung der Produktion.

mohammed.bouhaba@melasoft.com · +49 69 870 09 5340 · docnova.ai

Erkunde Docnova AP Automatisierung oder das Melasoft SAP e-Invoicing Add-On Um die Rechnungsabwicklung mit Ihren Finanzabläufen zu verbinden.