Erklärung
Das Vier-Augen-Prinzip ist ein Organisationsprinzip: Wer eine Handlung auslöst, und wer sie freigibt, sind verschiedene Personen. Es kommt bei Zahlungen, Änderungen von Stammdaten, Berechtigungen und kritischen Systemeingriffen zum Einsatz. Gegenüber einer einzelnen Täuschung bietet es einen wichtigen Vorteil: Ein Täter muss nicht nur eine, sondern zwei Personen überzeugen.
Wirksam ist es nur, wenn beide Personen tatsächlich prüfen. Ein Vier-Augen-Prinzip, das aus Routine oder Zeitdruck nur noch durch Klick bestätigt wird, bietet nur scheinbaren Schutz. Typische Schwachstellen sind Vertretungsregelungen, bei denen eine Person beide Rollen übernimmt, geteilte Zugangsdaten oder Freigaben, die auf eine einzige Nachricht der Geschäftsführung hin „durchgewunken“ werden.
Typisches Beispiel (schematisch)
Eine Zahlung ab einem festgelegten Betrag wird von der Buchhaltung vorbereitet und von der Geschäftsleitung freigegeben. Weicht die Empfängerbankverbindung von den Stammdaten ab, ist eine zusätzliche Bestätigung über einen unabhängigen Kanal erforderlich (Out-of-Band-Validierung).
Bedeutung für Forensik und Ermittlungen
Freigabeprotokolle zeigen, wer was freigegeben hat. In einer Untersuchung wird geprüft, ob die Prozesse eingehalten wurden und ob Ausnahmen, Vertretungen oder gemeinsame Konten genutzt wurden. Das ist eine organisatorische Feststellung und noch keine Schuldzuweisung.
Erkennung und Prävention
Die Regeln sollten schriftlich festgelegt, technisch erzwungen und regelmäßig überprüft werden. Eine Ausnahme „wegen Dringlichkeit“ sollte ausdrücklich nicht vorgesehen sein, da genau dieses Argument in Betrugsfällen genutzt wird.
Auch gesucht als Vieraugenprinzip, 4-Augen-Prinzip, Doppelkontrolle, duale Kontrolle, Dual Control, Maker-Checker