Versicherungsbetrug beginnt selten mit krimineller Energie, sondern mit offenen Türen im eigenen System. Thomas Schubert zeigt in seiner pointierten Analyse, warum Fraud (Betrug) nicht das eigentliche Problem ist, sondern das Symptom eines Governance-Versagens. Und weshalb Compliance längst kein Kostentreiber mehr sein sollte, sondern ein strategischer Wettbewerbsvorteil.
Und Sie glauben, eine Compliance-Abteilung, ein Handbuch und ein Zertifikat an der Wand sind ausreichend. Egal, die Uhr tickt. Seit durchschnittlich zwölf Monaten. Tik-tak, tik-tak, tik-tak.
Jedes Mal, wenn ein Versicherungsbetrug unentdeckt bleibt, ist vorher eine Tür offen gelassen worden.
Nicht durch Unglück. Nicht durch kriminelle Energie allein. Sondern weil jemand vergessen hat, die Tür zu schliessen oder nie vorhatte, sie zu schliessen.
FRAUD ist nicht das Problem. Fraud ist das Symptom. Das eigentliche Problem heisst: Governance-Versagen.
Wer das versteht, verändert nicht nur seine Sicht auf Compliance. Er verändert sein Denken und Handeln.
Das Betrugsdreieck: Der einzige Faktor, den Sie kontrollieren können
Die Wissenschaft erklärt Wirtschaftskriminalität seit Jahrzehnten mit dem Betrugsdreieck. Drei Faktoren müssen zusammentreffen, damit Fraud entsteht: Druck, Rationalisierung und Gelegenheit.
Den Druck, unter dem ein Mitarbeiter steht, können Sie kaum steuern. Ob jemand in finanziellen Schwierigkeiten steckt, unter Leistungsdruck steht oder seine Tat innerlich rechtfertigt, entzieht sich Ihrem Einfluss.
Aber die Gelegenheit kann eliminiert werden.
Betrug gedeiht dort, wo Kontrollstrukturen löchrig sind. Wo eine einzelne Person Prozesse von der Erfassung bis zur Auszahlung ohne Gegenprüfung steuert. Wo Zugriffsrechte nicht aktiv bewirtschaftet werden. Wo der Verwaltungsrat nickt, ohne zu verstehen, was er absegnet.
Was Gelegenheiten konkret beseitigt: das Vier-Augen-Prinzip bei kritischen Freigaben. Die konsequente Trennung von Aufgaben. Wer eine Transaktion erfasst, darf sie nicht freigeben. Freigabelimiten, die automatisch eine zweite Unterschrift auslösen. Identity and Access Management, das Zugriffsrechte beim Stellenwechsel oder Austritt sofort entzieht.
Das sind keine IT-Themen. Das sind Governance-Massnahmen und Entscheidungen. Und sie sind die erste Frage, die ich mit einer Geschäftsleitung kläre, bevor wir über Technologie oder Regulierung sprechen.
Frage an Sie: Können in Ihrer Organisation heute Auszahlungen ohne Gegenprüfung ausgelöst werden und wer würde es merken?
Was das Gesetz von Ihnen verlangt und was es kostet, wenn Sie es ignorieren?
Governance-Versagen ist keine moralische Frage. Es ist eine Haftungsfrage.
Der Schweizer Gesetzgeber ist in diesem Punkt eindeutig. OR Art. 716a verpflichtet den Verwaltungsrat zur unübertragbaren Oberaufsicht über das Risikomanagement. Fraud-Prävention ist damit nicht Aufgabe des Compliance-Officers, sie ist Aufgabe des Verwaltungsrats. Wer diese Pflicht vernachlässigt, haftet persönlich nach OR Art. 754 für daraus resultierende Schäden. Fahrlässigkeit genügt.
StGB Art. 146 regelt Betrug als Straftatbestand mit einer Freiheitsstrafe von bis zu fünf Jahren oder Geldstrafe. StGB Art. 158, ungetreue Geschäftsbesorgung, trifft direkt jene, die Vermögensinteressen schädigen, die ihnen anvertraut wurden. Das schliesst Führungspersonen in Maklerunternehmen explizit ein.
VAG Art. 41 verlangt persönliche Gewähr, nachweisbaren guten Ruf und Integrität. Verordnung über die Beaufsichtigung von privaten Versicherungsunternehmen (AVO) Art. 188 schreibt die angemessene Betriebsorganisation vor. FINMAG Art. 29 verpflichtet zur unverzüglichen Meldung wesentlicher Vorkommnisse.
Die FINMA hat klargemacht: «Wir haben es nicht gewusst» gilt nicht mehr. Wer hätte wissen müssen, wird verantwortlich gemacht. Unwissenheit schützt nicht vor Strafe!
Für Makler in der EU kommt die IDD-Beweislastumkehr hinzu. Fehlt das Beratungsprotokoll, muss der Makler im Schadensfall beweisen, dass er korrekt aufgeklärt hat. Ohne Dokumentation ist das nahezu unmöglich. Die Haftung trifft ihn direkt.
Frage an Sie: Ist in Ihrem Unternehmen heute klar geregelt, wer bei einem Fraud-Vorfall innerhalb von 24 Stunden den Regulator informiert und nach welchem Protokoll?
Der Täter sitzt oft im eigenen Haus
Das ist der Teil, den niemand gerne hört.
Laut ACFE (Association of Certified Fraud Examiners) und PwC-Survey 2024 wird in rund 35 Prozent aller Betrugsfälle die Tat intern entdeckt. Häufig, weil der Täter intern ist. Ein typischer Betrugsfall bleibt durchschnittlich 12 Monate unentdeckt. Zwölf Monate, in denen Schaden akkumuliert, Beweise verwischen, Netzwerke wachsen.
Insider-Fraud ist strukturell anders als externer Betrug. Externe Betrüger umgehen Ihre Systeme. Interne Täter kennen das System und nutzen die Lücken, die ihnen ihre Position eröffnet.
Die Konsequenz: Klassische Perimeter-Sicherheit reicht nicht. Identity and Access Management muss aktiv bewirtschaftet werden. Zugriffsrechte dürfen nicht still akkumulieren. Verhaltensanomalien, ungewöhnliche Zugriffsmuster, Transaktionen ausserhalb der Geschäftszeiten, Datenexporte in ungewöhnlichem Volumen müssen in Echtzeit sichtbar sein.
Gute Governance schafft hier die Rahmenbedingungen. Whistleblowing-Systeme sind dabei keine Nice-to-Have-Funktion, sondern messbar wirksam: Organisationen mit strukturierten Meldekanälen entdecken Betrug doppelt so schnell und verzeichnen im Schnitt 50 Prozent geringere finanzielle Verluste.
Frage an Sie: Wer in Ihrer Organisation hat heute Zugriff auf Dinge, die er für seine aktuelle Rolle nicht mehr braucht und wann wurde das zuletzt überprüft?
Wo stehen Sie? Kennen Sie das GRC-Reifegradmodell für Fraud-Prävention
Fraud-Sicherheit ist kein An/Aus-Schalter. Jede Organisation hat einen Reifegrad. Die Frage ist nicht, ob Sie ein System haben. Die Frage ist, wie weit es trägt.
Stufe 1, Reaktiv: Betrug wird entdeckt, nachdem der Schaden eingetreten ist. Kontrollmassnahmen werden erst eingeführt, wenn etwas schiefgelaufen ist. Viele Organisationen befinden sich hier, ohne es zu wissen.
Stufe 2, Regelbasiert: Es gibt Richtlinien, Checklisten, Compliance-Handbücher. Formale Anforderungen werden erfüllt. Aber die Kontrollen sind statisch. Professionelle Betrüger kennen die Regeln und umgehen sie gezielt.
Stufe 3, Risikoorientiert: Risiken werden systematisch identifiziert, bewertet und priorisiert. Das Interne Kontrollsystem (IKS) ist aktiv bewirtschaftet. Compliance-Kontrollen werden auf ihre Wirksamkeit hin geprüft, nicht nur auf ihre Existenz. Continuous Monitoring ersetzt die jährliche Stichprobe.
Stufe 4, Proaktiv: KI-gestützte Anomalie-Erkennung in Echtzeit. Fraud-Szenarien werden systematisch durchgespielt. Das System lernt aus jedem Vorfall. Regulatoren fordern heute genau diese Stufe: nicht den Nachweis, dass kontrolliert wird, sondern den Nachweis der Wirksamkeit der Kontrollen, in Echtzeit.
Als Sparringpartner auf C-Level erlebe ich, dass die meisten Organisationen glauben, auf Stufe 3 zu sein. Die risikobasierte Prozessprüfung zeigt dann meistens: Sie sind auf Stufe 2, mit vereinzelten Elementen von 3.
Frage an Sie: Auf welcher Stufe würden Ihre internen Revisoren Ihr Unternehmen heute einordnen und auf welcher Stufe sehen Sie sich selbst?
Compliance als Kontrollsystem, nicht als Checkliste
Ein wirksames Compliance-Management-System nach ISO 37301 baut auf drei operativen Säulen auf.
Das Interne Kontrollsystem (IKS) ist das operative Rückgrat. Es definiert, welche Kontrollen an welchen Prozesspunkten greifen: Vier-Augen-Prinzip, Funktionstrennung, Freigabelimiten. Das IKS schützt nicht nur vor externem Betrug. Es schützt die Führung vor sich selbst: Wer keine Kontrollen eingebaut hat, kann sich im Ernstfall nicht auf Unwissenheit berufen.
Continuous Monitoring ersetzt die Stichprobe. Statt einmal jährlich 5 Prozent der Transaktionen zu prüfen, analysieren regelbasierte Systeme alle Transaktionen in Echtzeit (zunehmend KI). Doppelte Rechnungen. Buchungen ausserhalb der Geschäftszeiten. Auszahlungen an neu erfasste Konten kurz nach deren Anlage. Diese Muster sind für einen Sachbearbeiter unsichtbar. Für einen Algorithmus sind sie Routine.
ISO 37301 gibt dem Ganzen den Rahmen: ein international anerkannter Standard für Compliance-Management-Systeme, der nicht nur das «Was» regelt, sondern das «Wie»: Risikobeurteilung, Massnahmenplan, Wirksamkeitsprüfung, Führungsverantwortung. Für zum Beispiel Broker, die sich gegenüber Versicherern und der FINMA positionieren wollen, ist eine ISO-37301-konforme Struktur ein nachweisbares Qualitätsmerkmal.
Der blinde Fleck: Drittparteien und Risikoappetit
42 Prozent der Unternehmen haben laut PwC-Survey 2024 kein strukturiertes Risikomanagement für Drittparteien. Kein Risk-Scoring für Lieferanten, Partner oder Subagenten.
Im Maklerwesen ist das akut. Wer Geschäft über Drittparteien platziert oder Subagenten einsetzt, übernimmt deren Risikoprofil oft ohne es zu wissen. Reputationsschäden durch einen Subagenten treffen den Makler direkt. Die FINMA prüft das.
Gleichzeitig fehlt in vielen Organisationen die grundlegendste aller Risikofragen: Was ist unser Risikoappetit für Fraud? Wo liegt die Risikotoleranz? Diese zwei Begriffe klingen akademisch. Sie sind es nicht. Risikoappetit definiert, welche Fraud-Risiken eine Organisation bewusst akzeptiert, weil die Kontrollkosten unverhältnismässig wären. Risikotoleranz definiert die Grenze, ab der eine Massnahme zwingend wird.
Ohne diese Definitionen ist jede Compliance-Investition eine Bauchentscheidung. Mit ihnen wird sie zur strategischen Führungsentscheidung und zur Grundlage für die Priorisierung von Massnahmen.
Das ist der Unterschied zwischen einem Compliance-Handbuch und einem echten GRC-System.
KI als Waffe gegen Tatgelegenheiten
Traditionelle, regelbasierte Kontrollsysteme haben ein strukturelles Problem: Professionelle Betrüger kennen die Regeln. Sie umgehen sie gezielt.
Gleichzeitig hat KI die Angriffsseite dramatisch beschleunigt. Eine glaubwürdige Betrugsmail, die früher 16 Stunden manuelle Vorbereitung erforderte, generiert KI heute in 5 Minuten. KI-gestützte Deepfake-Angriffe haben um über 51 Prozent zugenommen.
Auf der Verteidigungsseite bricht KI das Muster. Maschinelles Lernen, predictive Analytics, Deep Learning. Das ist der Unterschied zwischen einer statischen Mauer und einem adaptiven Immunsystem.
Das System erkennt neue Muster, bevor sie in den Regelkatalog aufgenommen sind. Fraud Scoring bewertet jeden gemeldeten Schaden automatisch anhand von Hunderten Parametern. Graph-Technologie visualisiert Beziehungsnetzwerke und enttarnt organisierte Betrugsringe, die für menschliche Prüfer unsichtbar bleiben.
Entscheidend bleibt der Human-in-the-Loop-Ansatz (HITL): Klare Fälle gehen in die schnelle automatisierte Regulierung. Hochrisikofälle landen bei spezialisierten Ermittlern. Und die KI muss immer erklären können, warum sie einen Fall als verdächtig eingestuft hat. Dies für Sachbearbeiter, Gerichte, Regulator. Nur erklärbare Ergebnisse sind rechtlich verwertbar.
Die Zahlen, die in die Strategieplanung gehören
Wirtschaftskriminalität ist kein Randphänomen. In Deutschland stiegen die registrierten Wirtschaftsdelikte 2024 um 57,6 Prozent auf über 61’000 Fälle. Wirtschaftskriminalität macht rund 1 Prozent aller Straftaten aus. Verursacht allerdings über 35 Prozent des monetären Gesamtschadens.
Jeder Franken, der durch Betrug verloren geht, kostet ein Unternehmen das 4,18 fache, gerechnet über direkten Verlust, interne Ermittlungskosten, externe Gutachter und Reputationsschäden. Bei Finanzinstituten steigt dieser Multiplikator auf 5,37.
Non-Compliance-Kosten werden branchenübergreifend auf das 2,71-Fache der Implementierungskosten eines wirksamen Compliance-Systems geschätzt. Sie zahlen in jedem Fall. Die Frage ist nur, ob proaktiv oder reaktiv.
Auf der Gegenseite: Investitionen in moderne Fraud-Management-Systeme amortisieren sich oft in weniger als sechs Monaten. GRC-Plattformen weisen über drei Jahre einen ROI von über 200 Prozent aus. Ein Makler mit nachweislich überlegenen Kontrollprozessen wird zum bevorzugten Partner für Versicherer, die qualitativ hochwertige Bestände suchen, mit Auswirkungen auf Courtage-Konditionen und Produktzugang, das kein Marketing-Budget kaufen kann.
Als Sparringpartner auf C-Level sage ich es direkt: Diese Zahlen gehören in die Strategieplanung. Nicht ins Compliance-Handbuch.
Aus der Praxis: Eine grosse Schweizer Versicherungsgruppe. Mehrere Länder. Ein Compliance-System, das auf dem Papier funktionierte. Faktisch: Veraltet, vernachlässigt, für unwichtig erachtet.
Als Transformation Lead bin ich gekommen. Mein Auftrag: die regulatorische Infrastruktur fit machen für FINMA, FMA, IVASS und eine sich verändernde AML/KYC-Landschaft.
Was ich vorfand, war kein Skandal. Es war etwas Gefährlicheres aus der «das ist nicht wichtig» Vergangenheit.
Eine Analyse zeigte: Im Identity and Access Management (IAM) hatten Mitarbeitende über Jahre Zugriffsrechte akkumuliert. Auf Systemen, die sie für ihre aktuelle Rolle längst nicht mehr brauchten. Keine böse Absicht. Kein sauberer Prozess. Keine Kontrolle. Die klassische Gelegenheitsstruktur aus dem Betrugsdreieck, still gewachsen unter dem Radar der falschen Compliance-Routine.
Wir haben sie geschlossen. IAM restrukturiert. AML/KYC-Prozesse gestrafft. IKS und CMS operativ aktualisiert.
Die wichtigste Erkenntnis für mich war nicht technischer Natur. Das Management wusste, dass etwas nicht stimmte. Aber niemand hatte den Auftrag es sichtbar zu machen. Die Kosten vermeintlich zu hoch. Keine Fachkompetenzen im Haus, die wussten wie das Thema anzugehen ist. Es gab keinen Sparringpartner, der die unbequemen Fragen stellte und tiefgreifendere Zusammenhänge erkannte.
Und genau das ist meine Rolle.
TURNING REGULATION INTO VALUE!
Thomas Schubert, solexa.ch
Mr. #DeedsCountMore, macht Compliance vom Kostentreiber zum Wettbewerbsvorteil
Lesen Sie auch: Der Rauchmelder, den niemand installiert hat
Suche:
Sponsoren:
