Vier-Augen-Prinzip bei Zahlungen: Definition, Regeln und Umsetzung im Mittelstand

Eine einzige manipulierte Überweisung kann ein Unternehmen Millionen kosten. Laut der Schadensstatistik von Allianz Trade vom 20. Januar 2026 haben sich die Schäden durch Fake-President-Betrug in Deutschland 2024 verdreifacht (+200 %). Im Jahr 2025 stiegen sie um weitere 81 %, obwohl die Fallzahlen 2024 um 12 % und 2025 um 13 % sanken. Die Schäden liegen laut Allianz Trade im einstelligen Millionenbereich.

Das Vier-Augen-Prinzip bei Zahlungen bedeutet, dass keine Zahlung das Unternehmen verlässt, bevor mindestens zwei Personen sie unabhängig voneinander geprüft oder freigegeben haben. Eine Person erfasst die Zahlung, eine zweite gibt sie frei. Diese zweite Freigabe kann auch die Unterschrift gegenüber der Bank sein.

Dieser Leitfaden erklärt Definition und Rechtsgrundlagen. Danach folgen eine Umsetzung in sechs Schritten mit Rechenbeispiel und die Funktionen, mit denen Agicap das Prinzip im Zahlungsprozess abbildet.

Vier-Augen-Prinzip: Definition und Ziel

Das Vier-Augen-Prinzip ist eine präventive Kontrolle: Eine Aufgabe gilt erst als erledigt, wenn zwei Personen ihr zugestimmt haben. Fehler und Missbrauch sollen so auffallen, bevor ein Schaden entsteht. Im Zahlungsverkehr betrifft das drei Momente, nämlich die Anlage oder Änderung eines Zahlungsempfängers, die Freigabe einer Zahlung und ihre Unterschrift gegenüber der Bank.

Wirksam ist die Kontrolle nur bei echter Unabhängigkeit. Wer eine Zahlung selbst erfasst hat, kann sie nicht als zweite Instanz prüfen. Auch zwei Mitarbeitende, die sich ein Passwort oder ein Signaturzertifikat teilen, erfüllen das Prinzip lediglich auf dem Papier, weil im Protokoll am Ende nur ein Name steht.

Was ist das Vier-Augen-Prinzip in der Buchhaltung und bei Banken?

In der Buchhaltung trennt das Vier-Augen-Prinzip die Erfassung von der Freigabe. Die Kreditorenbuchhaltung erfasst Lieferantenrechnungen und pflegt die Stammdaten, während eine andere Person die Zahlung freigibt. Niemand kann dadurch allein eine Rechnung anlegen, die Bankverbindung ändern und den Betrag überweisen.

Bei Banken verlangt die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) die Funktionstrennung in den Mindestanforderungen an das Risikomanagement (MaRisk), aktuell Rundschreiben 06/2026 (BA), etwa in BTO 1.1 für das Kreditgeschäft. Für Unternehmen außerhalb des Finanzsektors sind die MaRisk nicht bindend.

Vier-Augen-Prinzip, Funktionstrennung und Gegenzeichnung im Vergleich

Die drei Begriffe beschreiben unterschiedliche Ebenen derselben Kontrolle. Wo jede Ebene ansetzt, zeigt die Tabelle.

Für Zahlungen brauchen Sie alle drei Ebenen. Die Funktionstrennung legt fest, wer was darf. Das Vier-Augen-Prinzip sichert die einzelne Freigabe ab, und die Gegenzeichnung trägt die Kontrolle bis in den Bankkanal.

Wann gilt das Vier-Augen-Prinzip? Rechtsgrundlage und Pflichten der Geschäftsleitung

Ein Gesetz, das Unternehmen außerhalb des Finanzsektors das Vier-Augen-Prinzip ausdrücklich vorschreibt, gibt es nicht. Die Pflicht folgt aus der Sorgfaltspflicht der Geschäftsleitung. Sie muss eine Organisation schaffen, in der schadensträchtige Vorgänge kontrolliert werden, und Zahlungen gehören dazu, weil dort Liquidität das Unternehmen verlässt.

Geschäftsführerhaftung nach § 43 GmbHG: das Urteil des OLG Nürnberg

Wie teuer fehlende Kontrollen werden können, zeigt ein Urteil des Oberlandesgerichts Nürnberg aus dem Jahr 2022. Ein Mitarbeiter eines Mineralölhändlers hatte Tankkarten an zahlungsunfähige Kunden ausgegeben und die Vorgänge verschleiert, weil niemand seine Arbeit prüfte. Der Geschäftsführer haftete persönlich und musste der Gesellschaft rund 789.000 € ersetzen.

Das Gericht stellte klar: Wer kein Vier-Augen-Prinzip für riskante Vorgänge organisiert, haftet für die Folgen. Fehlendes Personal entlastet nicht. Dann muss die Geschäftsführung selbst kontrollieren. Der Fall betraf Tankkarten, bei Zahlungen besteht dasselbe Risiko: Eine einzelne Person kann Geld aus dem Unternehmen bewegen.

GoBD: Funktionstrennung als Teil des internen Kontrollsystems

Auch die Finanzverwaltung erwartet Kontrollen. Die GoBD, die Buchführungsgrundsätze des Bundesministeriums der Finanzen, verlangen von jedem Unternehmen mit elektronischer Buchführung ein internes Kontrollsystem. Als Beispiel nennen sie ausdrücklich die Funktionstrennung. Wie umfangreich das System sein muss, hängt von der Komplexität und der Organisation des Unternehmens ab. Börsennotierte Aktiengesellschaften müssen zusätzlich seit Juli 2021 ein internes Kontrollsystem nach § 91 Abs. 3 des Aktiengesetzes (AktG) einrichten. 

Vier-Augen-Prinzip im Zahlungsverkehr: welche Risiken es abdeckt

Im Zahlungsverkehr schützt das Vier-Augen-Prinzip vor Fehlern und vor Betrug. Fehler entstehen bei der Erfassung. Typische Beispiele sind ein Zahlendreher in der IBAN, ein doppelt erfasster Betrag oder eine Rechnung, die bereits bezahlt wurde.

Betrug kommt von außen und von innen. Beim Fake-President-Betrug geben sich externe Täter als Geschäftsführer aus und fordern eine dringende Überweisung an. Im Fall des Zahlungsbetrugs melden sie eine angeblich neue Bankverbindung eines Lieferanten. Nach der Allianz-Trade-Statistik verursachten Innentäter 2025 allerdings 65 % der größten Schäden und externe Täter 35 %. Ein Jahr zuvor lagen beide Gruppen gleichauf.

Gegen beide Formen hilft dieselbe Regel: Keine Person darf eine Zahlung allein anlegen und freigeben. Dirk Koch, Partner der Kanzlei ByteLaw, empfiehlt in der Mitteilung von Allianz Trade zusätzlich eine Bestätigung über einen zweiten Kanal. Änderungen an Zahlungsdaten werden demnach erst nach einer Rückfrage über die Telefonnummer übernommen, die beim Erstkontakt hinterlegt wurde. Wie Sie Lieferantenstammdaten zentral pflegen, beschreibt ein eigener Agicap-Leitfaden.

Wie EBICS-Unterschriftsklassen das Vier-Augen-Prinzip bei der Bank absichern

Im Bankkanal setzen Sie das Vier-Augen-Prinzip über das EBICS-Verfahren um. Jeder Nutzer erhält im EBICS-Vertrag eine Unterschriftsklasse. Das EBICS-Antragsformular der DZ BANK (Stand Juli 2026) unterscheidet vier Klassen: E als Einzelberechtigung, A „gemeinsam mit einem weiteren Berechtigten“, B „gemeinsam mit einem A- oder E-Berechtigten“ und T als reine Transportunterschrift. Wie viele Unterschriften eine Auftragsart braucht, vereinbaren Bank und Unternehmen im Vertrag, wie die Bedingungen für die Datenfernübertragung der DKB ergänzen.

Zwei B-Unterschriften reichen also nicht. Eine E-Berechtigung erlaubt die alleinige Freigabe, deshalb vergeben Sie diese Klasse nur an wenige Personen. Mitarbeitende, die Zahlungsläufe vorbereiten, erhalten eine B- oder T-Berechtigung. Die Sparkasse beschreibt die geteilte elektronische Unterschrift ausdrücklich als Weg, mehrere Personen an der Freigabe zu beteiligen. Welche Bankprotokolle neben EBICS infrage kommen, erklärt der Agicap-Leitfaden „Stärkere Verbindungen schaffen: Banken und ERP-Systeme effektiv vernetzen“.

EBICS T oder EBICS TS: Wo die zweite Unterschrift geleistet wird

Der Ort der Freigabe hängt von der Vertragsvariante ab. Bei EBICS T überträgt ein technischer Teilnehmer der Klasse T die Zahlungsdatei, zum Beispiel direkt aus dem ERP-System. Ein Zeichnungsrecht hat er nicht. Die Zahlung wartet deshalb bei der Bank, bis Berechtigte der Klassen E, A oder B sie über die Verteilte Elektronische Unterschrift (VEU) freigeben, im Ausnahmefall per unterschriebenem Begleitzettel. 

Bei EBICS TS unterschreiben die Berechtigten die Zahlung direkt beim Versand, sodass kein zweiter Kanal nötig ist. Beide Varianten erklärt der Agicap-Artikel zur Bankenkommunikation mit EBICS.

Vier-Augen-Prinzip bei Zahlungen in sechs Schritten einrichten

Die folgenden sechs Schritte führen von der Bestandsaufnahme bis zur laufenden Kontrolle. Sie passen für Mittelständler mit einer oder mehreren Gesellschaften.

Schritt 1: Kritische Zahlungsarten festlegen

Listen Sie auf, welche Zahlungen das Unternehmen verlassen, etwa Lieferantenzahlungen, Gehälter, Steuern, interne Umbuchungen und Auslandszahlungen. Für jede Art entscheiden Sie, ob sie unter das Vier-Augen-Prinzip fällt. SEPA-Lastschriften, mit denen Sie Forderungen einziehen, brauchen keine Zweitkontrolle im Unternehmen, weil Geld eingeht. Wie viele Unterschriften die Bank für die Einreichung verlangt, legt Ihr EBICS-Vertrag fest.

Schritt 2: Erfassen, Prüfen und Unterschreiben trennen

Ordnen Sie jede Rolle einer Person oder einem Team zu. Die Kreditorenbuchhaltung erfasst Rechnungen und bereitet Zahlungsläufe vor. Eine Person aus der Finanzleitung prüft den Zahlungslauf, und eine zeichnungsberechtigte Person unterschreibt ihn gegenüber der Bank. Bei kleinen Beträgen dürfen Prüfung und Unterschrift in einer Hand liegen, solange diese Person den Zahlungslauf nicht selbst erstellt hat.

Schritt 3: Betragsgrenzen in einer Freigabematrix definieren

Eine Freigabematrix staffelt die Kontrolle nach Betrag. So setzt sie dort an, wo das Volumen liegt. Das folgende Rechenbeispiel beruht auf angenommenen Werten eines Mittelständlers mit 400 Überweisungen pro Monat.

Nur 60 der 400 Zahlungen durchlaufen die Stufen 2 und 3, das sind 15 %. Auf sie entfällt jedoch der Großteil des Volumens:

3,56 Mio. € ÷ 4,41 Mio. € × 100 ≈ 81 %

Die Leitung Finanzen prüft damit rund 60 statt 400 Zahlungen im Monat und deckt trotzdem rund 81 % der abfließenden Liquidität ab. Für Ihre eigenen Grenzen exportieren Sie die Zahlungen der letzten zwölf Monate. Prüfen Sie anschließend, ab welchem Betrag die Zahlungen oberhalb der Grenze rund 80 % des Volumens ausmachen.

Schritt 4: Änderungen an Zahlungsempfängern absichern

Eine geänderte IBAN in den Stammdaten wirkt bei jeder folgenden Zahlung. Das gilt auch dann, wenn jeder Zahlungslauf korrekt freigegeben wird. Legen Sie deshalb fest, dass eine zweite Person neue Zahlungsempfänger und jede Änderung von Name oder IBAN bestätigt. Die Rückfrage beim Lieferanten läuft über eine Telefonnummer aus den bestehenden Stammdaten, nie über die Kontaktdaten aus der Änderungsmitteilung.

Schritt 5: Bankseitige Rechte abstimmen

Gleichen Sie die Unterschriftsklassen im EBICS-Vertrag mit Ihrer Freigabematrix ab. Verlangt Ihre Software eine Gegenzeichnung ab 100.000 €, während der Bankvertrag eine Einzelunterschrift erlaubt, greift die Kontrolle nur in Ihrer Software. Im umgekehrten Fall weist die Bank Zahlungen mit nur einer Unterschrift zurück. Prüfen Sie die Abstimmung bei jedem Personalwechsel und mindestens einmal im Jahr.

Jede Bank führt einen eigenen EBICS-Vertrag mit eigenen Unterschriftsklassen. Arbeiten Sie mit mehreren Banken oder Gesellschaften, gleichen Sie die Klassen deshalb für jeden Vertrag einzeln mit Ihrer Freigabematrix ab. Sonst hebelt eine Einzelunterschrift bei der Hausbank die Gegenzeichnung aus, die bei der Sparkasse gilt.

Ein konkreter Anlass für diese Prüfung ist die ISO-20022-Umstellung. Die Deutsche Kreditwirtschaft schaltet das DTAZV-Verfahren für Auslandszahlungen je nach Bank zwischen dem 11. und 16. November 2026 ab und ersetzt es durch pain.001.001.09 mit der EBICS-Auftragsart AXZ. Bank und Unternehmen vereinbaren die Zahl der Unterschriften je Auftragsart. Prüfen Sie deshalb, ob für AXZ dieselbe Gegenzeichnung gilt wie bisher für DTAZV. Was sich sonst ändert, erklärt der Agicap-Artikel zur ISO-20022-Umstellung.

Schritt 6: Audit-Trail prüfen und Vertretungen regeln

Halten Sie für jede Zahlung fest, wer sie erfasst, geprüft, unterschrieben und gegengezeichnet hat und wann die Bank sie angenommen hat. Diesen Audit-Trail prüfen Sie stichprobenartig, zum Beispiel monatlich bei den zehn größten Zahlungen. Regeln Sie außerdem, wer freigibt, wenn die Leitung Finanzen abwesend ist. Jede Vertretung erhält dieselben Rechte wie die vertretene Person und erfasst selbst keine Zahlungen.

Empfängerüberprüfung seit Oktober 2025: Was sie zum Vier-Augen-Prinzip beiträgt

Seit dem 9. Oktober 2025 müssen Zahlungsdienstleister in der EU vor einer Überweisung prüfen, ob der Name des Zahlungsempfängers zur IBAN passt. Grundlage ist Artikel 5c der Verordnung (EU) 2024/886 über Sofortzahlungen. Die Bank meldet eine Übereinstimmung, eine teilweise Übereinstimmung mit Korrekturvorschlag, keine Übereinstimmung oder dass die Prüfung nicht möglich war.

Die Empfängerüberprüfung kontrolliert nur die Kombination aus Name und IBAN. Ob die Zahlung berechtigt ist, ob der Betrag stimmt und ob die Rechnung schon bezahlt wurde, prüft weiterhin die zweite Person im Unternehmen. Für Sammelaufträge per EBICS können Firmenkunden zudem auf die Prüfung verzichten, wie die Commerzbank in ihrer Anleitung zur Verification of Payee beschreibt. Ablauf und typische Fehler erklärt der Agicap-Artikel zur Empfängerüberprüfung bei Überweisungen.

Typische Fehler bei der Umsetzung

Vier Muster hebeln das Prinzip aus, obwohl die Regeln stimmen:

• •

• Zwei Personen teilen sich einen Zugang oder ein Signaturzertifikat, sodass im Protokoll nur ein Name erscheint.

• •

• Eine Zahlung über 19.800 € wird in zwei Zahlungen zu je 9.900 € aufgeteilt und rutscht so unter die Grenze von 10.000 €. Prüfen Sie deshalb auch die Summe je Empfänger und Tag.

• •

• Die Person, die einen Zahlungsempfänger angelegt hat, gibt auch die erste Zahlung an ihn frei.

• •

• Eine Vertretung erhält im Urlaub volle Rechte, die ihr nach der Rückkehr niemand entzieht.

So bildet Agicap das Vier-Augen-Prinzip im Zahlungsprozess ab

Die Zahlungssoftware von Agicap bildet die Schritte dieses Leitfadens direkt im Zahlungsprozess ab. Ab einem Betrag, den Sie festlegen, prüft eine zweite Person jeden Zahlungslauf, bevor er an die Bank geht. Eine Einstellung verhindert, dass dieselbe Person prüft und unterschreibt. Für größere Beträge richten Sie zusätzlich eine Gegenzeichnung ein, die zu Ihrem EBICS-Vertrag passt.

Auch die Stammdaten sind abgesichert. Auf Wunsch werden neue oder geänderte Zahlungsempfänger erst nach einer Freigabe bezahlt. Wurde ein Empfänger seit seiner Anlage oder der letzten Änderung noch nie bezahlt, markiert Agicap ihn als ungewiss und verlangt vor der Freigabe eine zusätzliche Bestätigung. Diese Kontrollen gelten für Zahlungen, die Sie in Agicap vorbereiten.

Validieren können Sie auch unterwegs in der mobilen App. Die Unterschriftshistorie hält fest, wer wann geprüft und unterschrieben hat. Sie dient so als Audit-Trail für die nächste Prüfung.

Jetzt Agicap-Demo vereinbaren. Wir zeigen Ihnen, wie Sie Ihre Freigabematrix und Ihre EBICS-Rechte in Agicap abbilden.

Häufige Fragen zum Vier-Augen-Prinzip bei Zahlungen

Ab welchem Betrag sollte das Vier-Augen-Prinzip gelten?

Eine gesetzliche Betragsgrenze gibt es nicht. Leiten Sie die Grenze aus Ihren eigenen Zahlungsdaten ab, sodass die Zahlungen oberhalb der Grenze rund 80 % des monatlichen Volumens ausmachen. Die Trennung von Erfassung und Unterschrift gilt unabhängig vom Betrag für jede Zahlung.

Wie setzt ein kleines Finanzteam das Vier-Augen-Prinzip um?

Zwei Personen reichen aus. Eine erfasst die Zahlung, die andere unterschreibt sie. Fehlt eine zweite Person in der Finanzabteilung, übernimmt die Geschäftsführung die Freigabe. Das OLG Nürnberg hat 2022 klargestellt, dass fehlendes Personal einen Geschäftsführer nicht von der Kontrolle entbindet.

 

Gilt das Vier-Augen-Prinzip auch für SEPA-Lastschriften?

Für SEPA-Lastschriften, mit denen Sie Forderungen bei Kunden einziehen, ist keine Zweitkontrolle im Unternehmen nötig, weil Geld eingeht. Wie viele Unterschriften die Bank für die Einreichung verlangt, legt Ihr EBICS-Vertrag fest. Überweisungen an Dritte, auch Echtzeitüberweisungen, folgen dagegen Ihrer Freigabematrix.

Was ist der Unterschied zwischen einer A- und einer E-Unterschrift?

Mit einer E-Unterschrift gibt eine Person einen Auftrag allein frei. Eine A-Unterschrift reicht nur zusammen mit einer zweiten A-, einer B- oder einer E-Unterschrift. Für das Vier-Augen-Prinzip im Bankkanal passen deshalb A- und B-Berechtigungen, während E-Berechtigungen auf wenige Personen beschränkt bleiben.

Wie weisen Sie das Vier-Augen-Prinzip gegenüber Prüfern nach?

Drei Dokumente belegen das Prinzip. Der Audit-Trail zeigt für jede Zahlung mit Datum und Uhrzeit, wer sie erfasst und wer sie freigegeben hat. Die schriftliche Freigabematrix legt die Regeln fest, und die Liste der EBICS-Berechtigungen zeigt, dass die Bank dieselben Regeln anwendet. Stellen Sie diese drei Unterlagen vor der nächsten Jahresabschlussprüfung zusammen.