KI-gestützte Spesenbetrug-Erkennung und Ausgabenprüfung

Das echte Ausmaß des Problems

Die Association of Certified Fraud Examiners (ACFE) schätzt in ihrem Report to the Nations (2024), dass Unternehmen weltweit 5 Prozent ihres Jahresumsatzes durch Betrug von innen verlieren, also durch eigene Mitarbeitende, nicht durch externe Angreifer. Spesenbetrug ist eine der häufigsten Erscheinungsformen davon: Ein typischer Betrugsfall bleibt im Schnitt 12 bis 18 Monate unentdeckt, bevor er durch Hinweise von Kolleginnen oder Kollegen auffällt, selten durch Prüfung.

Die Dunkelziffer ist hoch, weil manuelle Stichprobenprüfung strukturell blind ist:

• Nur ein Teil der Spesenpositionen wird in traditionellen Prüfverfahren überhaupt angeschaut
• Der Rest läuft durch, nicht weil die Finanzabteilung schläft, sondern weil das Volumen eine vollständige Prüfung schlicht nicht erlaubt

Und: Die Lage verschärft sich. Generative Bild-KI erzeugt realistische Quittungen inklusive Steuernummer, Händlerlogo und Unterschrift, Dokumente, die für das bloße Auge nicht von echten zu unterscheiden sind.

Die häufigsten Betrugsmuster in Spesenabrechnungen:

Mit vs. ohne KI, ein ehrlicher Vergleich

Die Werte in dieser Tabelle sind Annahmen dieser Seite und keine erhobenen Zahlen.

Einschätzung auf einen Blick

Zeitersparnis, hoch (4/5) Finanzteams sparen manuelle Prüfzeit nicht durch Abstriche bei der Abdeckung, sondern durch den Wechsel von Stichproben zu 100-Prozent-Prüfung, wie viel das ist, hängt vom Anteil geflaggter Fälle ab und ist für diese Seite nicht erhoben. Das ist einer der wenigen Anwendungsfälle, bei dem KI nicht nur Durchlaufzeit, sondern gleichzeitig Prüfqualität erhöht. Nicht ganz auf 5 bewertet, weil die eingesparte Zeit in Klärungsgespräche bei Fehlalarms reinvestiert werden muss, auch das ist Aufwand, wenn auch produktiverer.

Kosteneinsparung, sehr hoch (5/5) Direkte Verlustreduktion: Jeder erkannte und verhinderte Betrugsfall spart denselben Betrag, der sonst unrechtmäßig erstattet würde. Dazu kommt der Abschreckungseffekt, wenn Mitarbeitende wissen, dass 100 Prozent geprüft werden, sinkt die Versuchung. Bei einem Unternehmen mit 5 Millionen Euro Jahresumsatz und dem ACFE-Durchschnittswert von 5 Prozent Verlust sind das rechnerisch 250.000 Euro pro Jahr, nicht alles entfällt auf Spesenbetrug, aber Spesenbetrug ist eine der häufigsten Erscheinungsformen.

Schnelle Umsetzung, niedrig (2/5) 8–12 Wochen bis zum produktiven Betrieb, und das nur, wenn der Betriebsrat zügig mitzieht. Die technische Anbindung an das Spesenmanagement-System ist nicht der Flaschenhals, der Flaschenhals ist die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG: Eine Betriebsvereinbarung ist Pflicht, bevor ein einziger Beleg geprüft wird. Dazu kommen Policy-Finalisierung, Datenschutzfolgenabschätzung und Schwellen-Kalibrierung. Wer kein digitales Spesenmanagement hat und noch auf Excel setzt, muss zuerst die Basis legen. In dieser Branche damit unter dem Durchschnitt, Meeting-Protokolle oder Kundenkorrespondenz sind in Tagen produktiv, nicht in Quartalen.

ROI-Sicherheit, hoch (4/5) Der ROI ist direkter messbar als bei vielen anderen KI-Anwendungen. Du vergleichst Betrugsrate vorher und nachher, zählst verhinderte Fälle, setzt das gegen Lizenzkosten. Kein indirektes Zeitkalkül, keine Korrelationsdiskussion. Die Einschränkung zum vollen Wert: Der Abschreckungseffekt ist real, aber schwer exakt zu beziffern, er tritt auf, ohne einen konkreten Fall zu erzeugen.

Skalierbarkeit, hoch (4/5) Gleichbleibender Systemaufwand bei 100 oder 10.000 Spesenpositionen pro Monat. Bei Rydoo und SAP Concur wächst die Lizenz pro Nutzer, nicht pro geprüftem Beleg. Nicht ganz maximal, weil bei stark wachsenden Unternehmen die Policy-Pflege mitwachsen muss.

Richtwerte, stark abhängig von Unternehmensgröße, Betrugshistorie und gewähltem Toolansatz.

Was das System konkret macht

KI-Betrugserkennung in Spesenabrechnungen arbeitet auf mehreren Ebenen gleichzeitig, keine davon ist für sich allein entscheidend, aber die Kombination macht das System schlagkräftig.

Regel- und Musterabgleich

Die erste Schicht: klassisches Regelwerk. Jede Spesenposition wird gegen eure Unternehmensrichtlinie geprüft, Tagessätze, Kategorien, Beleggrenzen, genehmigte Händler. Das ist keine KI, sondern konfigurierte Compliance-Logik. Aber diese Schicht ist die Grundvoraussetzung für alles Weitere.

ML-Anomalie-Scoring

Die zweite Schicht: Machine Learning-Modelle, die die Normkurve eurer tatsächlichen Abrechnungen lernen. Was ist für diese Person normal? Was ist für diese Rolle, diesen Reisetyp, diesen Monat normal? Einreichungen, die statistisch aus dem Muster fallen, erhalten einen Anomalie-Score, nicht als „Betrug”, sondern als „prüfwürdig”. Das ist der Kern der KI-Erkennung.

Konkrete Anomalie-Signale, die das System lernt:

• Zeitliche Muster: Einreichungen kurz vor Fristablauf oder an Wochenenden, wenn normalerweise keine Geschäftsreisen stattfinden
• Betragsrunden: Systematische Häufung von 49, 50, 99 oder 100 Euro, klassische Phantombeleg-Beträge
• Händler-Kontext: Ausgaben bei Händlern, die keine Verbindung zur Rolle oder zum Reiseziel haben
• Peer-Abweichung: Ein Mitarbeitender rechnet konsistent 30 Prozent mehr ab als Kolleginnen und Kollegen in derselben Rolle auf denselben Reisen

Duplikat-Erkennung

Technisch trivial, aber der Effekt ist enorm. Das System prüft jeden Beleg gegen die gesamte Einreichungshistorie: gleicher Betrag, gleiches Datum, ähnlicher Händler. Auch wenn das Datum leicht verändert wurde oder der Beleg in zwei verschiedenen Monaten eingereicht wurde, schlägt das System an. Ohne systemisches Gedächtnis ist das manuell nicht möglich.

Veränderte und gefälschte Belege (neuere Schicht)

Der Audit-Agent von Rydoo prüft laut Anbieter jede Spesenabrechnung gegen die Richtlinie und meldet Duplikate, nicht erlaubte Posten, veränderte Belege und mehr an das Finanzteam. Eine eigene Erkennung KI-generierter Belege nennt Rydoo auf den archivierten Seiten nicht, und es bleibt ein Wettrüsten, kein gelöstes Problem.

Die andere Seite der KI: Das Wettrüsten mit gefälschten Belegen

Das ist der wichtigste Kontext, den die meisten Anbieter verschweigen: Die KI, die Betrugserkennung ermöglicht, ermöglicht auch besseren Betrug.

Generative Bild-KI erzeugt heute Belege, die für das menschliche Auge nicht von echten zu unterscheiden sind. Vollständige Händlerlogos, korrekte Steuernummern, plausible Beträge mit Mehrwertsteueraufschlüsselung, sogar zerknittertes Papier als Textur.

Was das für deine Einführung bedeutet:

• Ein KI-Erkennungssystem ist besser als keine Prüfung, auch wenn es das Wettrüsten nicht beendet
• Regelbasierte Checks (Duplikate, Limits, Policy) sind robuster als reine Fake-Detection, weil sie nicht auf Bildanalyse beruhen
• Das Erkennungssystem muss aktualisiert werden, sonst hinkt es neuen Fälschungsmethoden hinterher
• Die stärkste Abschreckung ist das Wissen, dass geprüft wird, nicht die perfekte Erkennungsrate

Wer das ausblendet, kauft ein System mit der falschen Erwartungshaltung. Wer es versteht, kauft ein System mit realistischen Erwartungen, und das lohnt sich.

Konkrete Werkzeuge, was wann passt

Die Toollandschaft teilt sich grob in drei Kategorien: deutsche KMU-Lösungen, internationale Plattformen mit KI-Audit-Modul und Enterprise-Systeme.

Circula , Wenn du DATEV nutzt Circula führt DATEV als Integration auf und wirbt auf der KI-Seite mit „Datenschutzkonforme KI, entwickelt in und für Deutschland“. Laut Circula prüft die KI jede Ausgabe in Echtzeit gegen UStG, UStDV und eure internen Richtlinien, erkennt Duplikate und markiert Ausgaben mit höherem Risiko zur Überprüfung. Preis: Auslagen & Reisekosten ab 15 Euro pro Lizenz und Monat bei jährlicher Abrechnung (mindestens 10 Lizenzen).

Rydoo , Wenn jeder Beleg von einem KI-Agenten gegen die Richtlinie geprüft werden soll Der Audit-Agent von Rydoo Intelligence prüft jede Spesenabrechnung gegen deine Richtlinie und meldet Duplikate, nicht erlaubte Posten und veränderte Belege an das Finanzteam. Bei Rydoo Expense steht Rydoo Intelligence nur im Enterprise-Plan (ab 50 aktiven Nutzern), den Preis nennt Rydoo auf Anfrage. Für Deutschland nennt Rydoo GoBD-Konformität und eine Zertifizierung durch PricewaterhouseCoopers nach IDW PS880; DATEV ERP ist laut Preisseite ab Business enthalten. Sinnvoll für Unternehmen ab 50 Mitarbeitenden mit regelmäßigem Reisevolumen.

SAP Concur mit Concur Detect, Wenn du SAP-ERP nutzt und Enterprise-Tiefe brauchst Concur Detect prüft 100 Prozent aller Abrechnungen mit ML-Anomalie-Scoring und ist tief mit SAP FI/CO integriert. Das richtige System für Unternehmen, die SAP S/4HANA bereits betreiben und Reisemanagement und Spesenmanagement aus einer Hand wollen. Für KMU ohne SAP-ERP-Anbindung ist der Aufwand nicht gerechtfertigt. Preis: Enterprise, auf Anfrage.

Claude als monatliche CSV-Prüfung, Wenn du unter 50 Mitarbeitende hast und kein Spesenmanagement-Budget Der pragmatischste Einstieg ohne neues Tool: Spesenabrechnungen einmal im Monat als CSV-Export aus eurem aktuellen System (oder Excel) ziehen, in Claude (Team-Plan mit AVV) hochladen und mit dem Prompt aus dem Abschnitt „Das kannst du heute noch tun” laufen lassen. Claude markiert Doppeleinreichungen, runde Beträge ohne Beleg, zeitliche Anomalien und Häufigkeitsausreißer in einer priorisierten Liste. Aufwand: 30 Minuten Setup für den Prompt, danach 15–30 Minuten pro Monat. Keine Fake-Detection, keine kontinuierliche Echtzeit-Prüfung, aber deutlich besser als rein manuelle Stichproben. Voraussetzung für echte Daten: AVV-fähige Plan-Variante (Claude Team/Enterprise, ChatGPT Business/Enterprise) und Pseudonymisierung der Mitarbeitenden-IDs vor dem Upload.

Zusammenfassung, Wann welcher Ansatz:

• Deutsches KMU mit DATEV → Circula
• 50–500 MA, KI-Agent für jede Abrechnung (Enterprise-Plan) → Rydoo
• 500+ MA, SAP-ERP-Anbindung → SAP Concur
• Unter 50 MA, kein Budget → monatlicher CSV-Audit mit Claude Team / ChatGPT Business

Datenschutz und Datenhaltung

Spesenabrechnungen enthalten Bewegungsdaten (Wo war die Person, wann?), Ausgabenprofile und bei gründlicher Analyse Rückschlüsse auf Lebensgewohnheiten, das macht sie unter DSGVO zu personenbezogenen Daten, die einer sorgfältigen Behandlung bedürfen.

Besonderheiten für diesen Anwendungsfall:

Automatisierte Einzelentscheidungen (Art. 22 DSGVO): Wenn das System eine Erstattung verzögert oder verweigert, ohne dass ein Mensch das Ergebnis geprüft hat, greift DSGVO Art. 22. Die meisten modernen Systeme (Rydoo, Concur Detect) sind als Priorisierungssystem ausgelegt, KI flaggt, Mensch entscheidet. Das ist kein Verstoß, aber es muss in der Prozessdokumentation klar sein, dass kein Algorithmus final entscheidet.

Betriebsrat: In Deutschland gilt: Systeme, die das Verhalten von Mitarbeitenden überwachen und auswerten, sind mitbestimmungspflichtig nach § 87 Abs. 1 Nr. 6 BetrVG. Das betrifft ein Betrugserkennung-System explizit. Vor dem Produktivstart muss eine Betriebsvereinbarung vorliegen oder der Betriebsrat die Einführung freigegeben haben. Das ist kein „Nice to have”, es ist eine Pflicht.

AVV und Hosting:

• Circula : Laut Datenschutzerklärung sind die Verarbeitungen in der App „im Rahmen von Auftragsverarbeitungsverträgen zwischen Circula und seinen Kunden als Verantwortliche geregelt“. Für das Admin-Konto nennt sie einen Auftragsverarbeiter, „der ein Hochsicherheits-Rechenzentrum in Frankfurt am Main betreibt“, und eine Übermittlung an Omni und Metabase in die USA; der AVV (EU-SCC) nennt AWS (Amazon Web Services EMEA SARL) als Hosting-Dienstleister: „Die Datenverarbeitung erfolgt innerhalb der EU.“
• Rydoo : Daten in Microsoft-Azure-Rechenzentren in der EU, einige Unterauftragsverarbeiter außerhalb des EWR (Indien, Brasilien, USA, laut Datenschutzerklärung mit EU-Standardvertragsklauseln); der AVV liegt in den passwortgeschützten AGB-Anhängen, also vor Vertragsstart anfordern
• SAP Concur : EU Data Boundary konfigurierbar, AVV im Enterprise-Vertrag
• Claude-/ChatGPT-CSV-Audit: nur in der Team-/Business-Variante mit AVV; Mitarbeitenden-IDs vor dem Upload pseudonymisieren

Was es kostet, realistisch gerechnet

Einmalige Einrichtungskosten

• Circula: eine Einrichtungsdauer nennt die archivierte Preisseite nicht; laut Circula profitieren kleinere Unternehmen von einer schnellen und einfachen Einrichtung, größere Kunden mit komplexeren Prozessen begleitet das Circula-Team beim Projektstart
• Rydoo: eine Dauer für die Ersteinrichtung nennen die archivierten Rydoo-Seiten nicht, neue Länder und Gesellschaften gehen laut Rydoo in wenigen Tagen live; die Preisseite führt Onboarding-Unterstützung als Option bei Business und Enterprise
• SAP Concur mit Concur Detect: Preise nur auf Anfrage („Preise anfragen“)
• Claude-/ChatGPT-CSV-Audit: ca. 1 Tag intern für Prompt-Aufsatz und Pseudonymisierungsschritt, 0 € extern

Laufende Kosten (monatlich)

• Circula: Auslagen & Reisekosten ab 15 Euro pro Lizenz und Monat bei jährlicher Abrechnung (mindestens 10 Lizenzen)
• Rydoo: Enterprise-Plan mit Rydoo Intelligence, Preis auf Anfrage
• SAP Concur: Enterprise, auf Anfrage; Concur Detect ist laut der Drittquelle VendorBenchmark ein Add-on
• Claude Team (Standard-Platz): 21,04 € je Platz und Monat, 18 € bei Jahreszahlung, ohne anfallende Steuern, ab zwei Plätzen. ChatGPT Business: 26 € je Nutzer und Monat, 21 € bei Jahresabrechnung, inklusive Steuer, ab zwei Nutzern

Was du dagegenrechnen kannst

ACFE schätzt, dass Unternehmen 5 Prozent ihres Jahresumsatzes durch Betrug von innen verlieren. Nicht jeder Cent davon ist Spesenbetrug, aber Spesenbetrug ist eine der häufigsten Erscheinungsformen.

Konservatives Rechenbeispiel:

• Unternehmen mit 200 Mitarbeitenden, davon 80 mit Reisekostenabrechnungen
• Jahresumsatz 15 Millionen Euro
• ACFE-Wert von 5 Prozent Gesamt-Betrugsschaden = 750.000 €/Jahr, davon entfällt nur ein kleiner Teil auf Spesen. Belastbare Studienlage zum reinen Spesenanteil ist dünn; dieses Beispiel setzt deshalb als Annahme dieser Seite 0,2 Prozent vom Umsatz an: 0,2 Prozent = 30.000 Euro jährlich
• Lizenzkosten: Rydoo nennt für den Enterprise-Plan keinen Preis, deshalb rechnet dieses Beispiel keine Lizenz ein; setz das Angebot gegen den Nutzen
• Wenn das System auch nur 50 Prozent des Schadens verhindert: 15.000 Euro gespart

Der Abschreckungseffekt ist hier noch nicht eingerechnet.

Wie du den ROI wirklich misst Kein Spreadsheet-Kalkül ersetzt echte Messung. Was tatsächlich funktioniert: Baseline aufnehmen (wie viele Policy-Verstöße, Duplikate, unklare Einreichungen pro Monat in den letzten 12 Monaten?), dann nach 6 Monaten KI-Betrieb vergleichen. Der Unterschied ist dein nachweisbarer ROI, kein Modell, keine Schätzung.

Typische Einstiegsfehler

1. Anomalie-Schwellen zu sensibel kalibrieren. Der Reflex: Alles flaggen, was auch nur leicht auffällt. Das Ergebnis ist eine Liste geflaggter Fälle, die jeden Monat 40 Prozent aller Einreichungen enthält, und damit so viel Arbeit produziert wie die manuelle Prüfung vorher, nur mit mehr Frustrationsquelle. Lösung: Mit 5–10 Prozent Flagging-Rate starten, kalibrieren, erst dann anpassen. Ein Fehlalarm, der einen ehrlichen Mitarbeitenden zwei Wochen auf seine Erstattung warten lässt, ist ein Vertrauensschaden, der sich nicht schnell repariert.

2. Mitarbeitende nicht vorab informieren. In einer Schweizer Befragung (KMU Magazin, 2024) gaben 40 Prozent der Befragten an, Fehlalarme und falsche Beschuldigungen als größte Sorge bei KI-gestützter Spesenprüfung zu sehen. Wenn das System ohne Vorinformation eingeführt wird und der erste Prüf-Anruf bei einer Mitarbeiterin landet, die zu 100 Prozent korrekt abgerechnet hat, ist das ein Kulturschaden. Lösung: Ankündigung vor dem Produktivstart, klare Kommunikation dass KI flaggt und Menschen entscheiden, und ein einfaches Eskalationsverfahren für jeden, der einen Fehlalarm anfechten will.

3. Die Policy nicht vor dem System konfigurieren. KI-Betrugserkennung ist nur so gut wie die hinterlegten Regeln. Wer das System einführt, ohne klare Unternehmensrichtlinien zu haben (Was ist erstattungsfähig? Bis welcher Betrag? Welche Händler?), bekommt Warnhinweise auf Dinge, die gar keine Verstöße sind, und keine Warnhinweise auf die echten Probleme. Lösung: Zuerst die schriftliche Spesenrichtlinie finalisieren, dann erst das System konfigurieren.

4. Das System läuft, aber niemand kümmert sich um die geflaggten Fälle. Das ist der Wartungsfehler dieses Anwendungsfalls. Das System läuft, erzeugt Warnhinweise, aber niemand ist explizit zuständig für die Klärung. Nach zwei Monaten hat sich ein Rückstand von 200 ungeklärten Fällen aufgebaut, die Buchhaltung zweifelt am System, und Mitarbeitende warten auf Erstattungen. Lösung: Eine namentlich benannte Person mit fester Kapazität (halber Tag pro Woche) ist für die Sichtung der geflaggten Fälle zuständig, vor dem Produktivstart definiert, nicht danach.

Was mit der Einführung wirklich passiert, und was nicht

Die technische Seite dieses Projekts ist überraschend einfach. Rydoo oder Circula sind SaaS-Lösungen, die Anbindung ist nicht der Engpass. Das Schwierige ist das Menschliche.

Widerstandsmuster:

Die “Ich werde verdächtigt”-Reaktion. Wenn ehrliche Mitarbeitende hören, dass jetzt “alle Belege automatisch auf Betrug geprüft” werden, löst das bei einem Teil eine Abwehrreaktion aus, auch wenn sie nie etwas Falsches eingereicht haben. Das ist normal und gut vorhersehbar. Was hilft: Sprache. Nicht “KI-Betrugserkennung einführen”, sondern “automatische Policy-Prüfung einführen, damit Fehler früh auffallen und nicht im Jahresabschluss”. Das ist dieselbe Funktion, dieselbe Technologie, aber ein anderer Ton.

Die “Das System ist falsch”-Koalition. Die ersten Fehlalarms werden zu Präzedenzfällen. Wer zweimal fälschlicherweise kontaktiert wird, ist ein dauerhafter Kritiker. Wichtig: Jeder Fehlalarm muss schnell und ohne Bürokratie eskalierbar sein. Das System hat Unrecht, der Mensch gewinnt, konsequent kommuniziert.

Die “Was ändert sich eigentlich wirklich”-Gleichgültigkeit. Finanzteams sehen manchmal keine große Verbesserung, weil sie vorher schon selektiv genau geprüft haben, nur eben die falschen Fälle. Der Unterschied ist systemisch, nicht in Einzelfällen. Diese Gruppe überzeugt man mit Zahlen: Wie viele Fälle wurden im ersten Monat automatisch erkannt, die vorher durch Stichproben nie aufgefallen wären?

Was konkret hilft:

• Betriebsrat frühzeitig einbinden, nicht als Pflicht, sondern als inhaltlicher Partner
• 30-tägige Testphase mit kleinem Pilotbereich (eine Abteilung) vor dem Gesamtrollout
• Klare Kommunikation an alle Mitarbeitenden: Was prüft das System, was prüft es nicht, wer entscheidet bei Unklarheiten
• Monatliches Reporting der Ergebnisse an Geschäftsführung, sichtbarer Erfolg legitimiert das System

Realistischer Zeitplan mit Risikohinweisen

Häufige Einwände, und was dahintersteckt

“Wir vertrauen unseren Mitarbeitenden.” Das ist richtig, und das Argument verwechselt Vertrauen mit Naivität. Ein Betrugsprüfsystem sagt nicht, dass du Mitarbeitenden nicht vertraust. Es sagt, dass du Fehler früh erkennst, auch versehentliche Fehler, Dopplungen durch unklare Prozesse, Policy-Verstöße aus Unwissenheit. Die meisten Flags, die ein solches System erzeugt, sind keine vorsätzlichen Betrugsfälle, sondern Fehler, die ohne System im Jahresabschluss auftauchen und dann aufwändig korrigiert werden müssen.

“Der Aufwand lohnt sich bei uns nicht.” Das kommt selten mit einer Rechnung. Wenn du weißt, dass monatlich 200 Spesenpositionen eingereicht werden, und du weißt, dass Finanzteams im Schnitt 2+ Tage pro Woche mit manueller Prüfung verbringen, dann lohnt sich der Vergleich von Angebot und Nutzen: Rechne den Lizenzpreis pro Nutzer gegen die Prüfstunden, die ein Tool dir abnimmt.

“Was ist mit Datenschutz?” Legitime Frage. Die Antwort ist: Spesenmanagement-Software speichert bereits alle Abrechnungsdaten, die KI-Analyse findet innerhalb derselben Plattform statt, ohne neue Daten zu erzeugen. Der Unterschied ist, dass das System jetzt aktiv auswertet statt passiv zu speichern. Das verändert die DSGVO-Bewertung geringfügig, löst sie aber nicht neu aus, der AVV, den ihr mit eurem Spesenmanagement-Anbieter habt, deckt das in der Regel ab.

“Das System wird gehackt und manipuliert.” Weniger wahrscheinlich als die aktuelle manuelle Prüfung umgangen zu werden. Wer weiß, dass Stichproben bei 5 Prozent liegen, kann mit einfachem Volumenmissbrauch arbeiten. Wer weiß, dass 100 Prozent geprüft werden, mit welchem System auch immer, hat einen anderen Kalkül.

Woran du merkst, dass das zu dir passt

• Dein Finanzteam verbringt mehr als einen halben Tag pro Woche mit Spesenprüfung und trotzdem läuft ein Großteil ungeprüft durch
• Du hast mehr als 30–50 Mitarbeitende mit regelmäßigen Dienstreisen oder Kundenbewirtung
• Ihr habt eine schriftliche Spesenrichtlinie, oder seid bereit, eine zu finalisieren (ohne diese ist KI-Prüfung sinnlos)
• Ihr nutzt bereits ein digitales Spesenmanagement-System oder seid bereit, auf eines zu wechseln
• Dein letzter Jahresabschluss hat Korrekturen bei Spesenpositionen erfordert, die früher hätten auffallen können

Wann es sich (noch) nicht lohnt, drei harte Ausschlusskriterien:

1. Unter 30 Mitarbeitenden mit Spesenabrechnungen. Bei diesem Volumen rentiert sich Setup- und Policy-Konfigurationsaufwand nicht. Zusätzliche Faustregel: Liegt das Belegvolumen unter 50 Spesenpositionen pro Monat, lohnt sich kein dediziertes Tool, ein gut strukturiertes Excel-Template mit manueller Prüfung reicht vollständig aus, oder der monatliche Claude-CSV-Audit als Zwischenstufe.

2. Keine schriftliche Spesenrichtlinie vorhanden. Ein KI-System prüft gegen definierte Regeln. Wenn die Regeln nicht existieren, prüft es gegen nichts, und erzeugt entweder zu viele Alerts oder gar keine aussagekräftigen. Erst die Richtlinie finalisieren, dann die KI einführen.

3. Spesen werden aktuell komplett auf Papier oder in Excel ohne Belegdigitalisierung erfasst. Anomalie-Erkennung braucht strukturierte, maschinenlesbare Daten. Wenn die Grundlage papierne Belege in einem Ordner sind, ist der erste Schritt die Digitalisierung, und das ist ein eigenes Projekt, das vor dem KI-Betrieb abgeschlossen sein muss.

Das kannst du heute noch tun

Der schnellste Anfang ohne jede neue Software: Exportiere die letzten drei Monate Spesenabrechnungen aus eurem aktuellen System (oder aus Excel) in eine CSV-Datei. Dann führ diesen Prompt in ChatGPT aus:

Quellen & Methodik

• ACFE, “Occupational Fraud 2024: A Report to the Nations” (2024): 5-Prozent-Verlustschätzung durch occupational fraud; Entdeckungsverzug von 12–18 Monaten; 1.921 Fälle aus 138 Ländern. Vollständiger Report unter acfe.com/RTTN. Die 5-Prozent-Zahl bezieht sich auf Jahresumsatz, nicht ausschließlich auf Spesenbetrug.
• Rydoo, Intelligence for Expense (rydoo.com/expense/intelligence/, abgerufen am 7. November 2026): Audit-Agent prüft jede Abrechnung gegen die Richtlinie. Rydoo, Preisseite (rydoo.com/pricing/): Rydoo Intelligence bei Expense nur im Enterprise-Plan, Business ab 30 und Enterprise ab 50 aktiven Nutzern, Preis auf Anfrage, DATEV ERP ab Business, Onboarding-Unterstützung optional bei Business und Enterprise. Herstellerangaben, keine unabhängige Prüfung.
• Rydoo, Hosting, Datenschutz und AVV (alle abgerufen am 7. November 2026): rydoo.com/security/ (Daten in Microsoft-Azure-Rechenzentren in der EU), rydoo.com/legal/privacy/ (Unterauftragsverarbeiter teils außerhalb des EWR, Indien, Brasilien und USA mit EU-Standardvertragsklauseln), legal.rydoo.com (DPA unter den AGB-Anhängen, Anhänge passwortgeschützt), rydoo.com/compliance/germany/paperless-germany/ (GoBD, Zertifizierung durch PricewaterhouseCoopers nach IDW PS880), rydoo.com/expense/compliance/ (neue Länder und Gesellschaften in wenigen Tagen live).
• Circula, Preise und KI (circula.com/de/preise und circula.com/de/ki, abgerufen am 7. November 2026): Auslagen & Reisekosten ab 15 € pro Lizenz, Preise pro Monat bei jährlicher Abrechnung, mindestens 10 Lizenzen; KI prüft jede Ausgabe in Echtzeit gegen UStG, UStDV und interne Richtlinien, erkennt Duplikate, markiert Ausgaben mit höherem Risiko.
• Circula, Datenschutzerklärung (circula.com/de/datenschutz, abgerufen am 7. November 2026): Verarbeitungen in der App über Auftragsverarbeitungsverträge mit den Kunden, Admin-Konto bei einem Auftragsverarbeiter mit Rechenzentrum in Frankfurt am Main, Übermittlung an Omni und Metabase in die USA.
• Circula, AVV (EU-SCC) (PDF auf cdn.prod.website-files.com, abgerufen am 7. November 2026): Hosting bei AWS (Amazon Web Services EMEA SARL), „Die Datenverarbeitung erfolgt innerhalb der EU.“
• VendorBenchmark, SAP-Concur-Preise (vendorbenchmark.com/vendors/concur-sap-pricing, abgerufen am 30. Oktober 2026): Concur Detect als Add-on. Drittquelle, kein offizieller SAP-Preis.
• KMU Magazin Schweiz, „Mit KI Spesenbetrug und Compliance besser kontrollieren” (2024): 40 Prozent der Befragten besorgt über Fehlalarm-Beschuldigungen. kmu-magazin.ch.
• § 87 Abs. 1 Nr. 6 BetrVG: Mitbestimmungsrecht des Betriebsrats bei technischen Einrichtungen, die das Verhalten der Mitarbeitenden überwachen. Betriebsverfassungsgesetz in der gültigen Fassung.
• DSGVO Art. 22: Automatisierte Einzelentscheidungen, Einschränkungen bei Entscheidungen ohne menschliche Prüfung. Datenschutz-Grundverordnung in der gültigen Fassung.

Du willst wissen, welcher Toolansatz für eure Unternehmensgröße und euren Buchhaltungs-Stack realistisch ist, und was der erste sinnvolle Schritt wäre? Meld dich, das klären wir in einem kurzen Gespräch.