Spesenbetrug mittels gefälschter Spesenbelege sind kein neues Problem. Generative KI kann die technische Hürde für solche Manipulationen jedoch deutlich senken. Bilder, Texte und Dokumente lassen sich heute in kurzer Zeit erzeugen oder verändern. Für Unternehmen stellt sich deshalb zunehmend die Frage, ob bestehende Kontroll- und Compliance-Prozesse auf synthetische Dokumente vorbereitet sind.
Hinweise auf die mögliche Dimension des Problems liefert eine von Emburse beauftragte Befragung unter 2.000 berufstätigen Erwachsenen in den USA und Großbritannien. 34 Prozent der Befragten gaben an, bereits KI genutzt zu haben, um einen gefälschten Beleg für eine geschäftliche Ausgabe zu erstellen. In den USA lag der selbstberichtete Anteil bei 40 Prozent, in Großbritannien bei 29 Prozent. Die Erhebung wurde im Mai 2026 vom Marktforschungsunternehmen Atomik Research durchgeführt.
Die Zahlen sind auffällig, dürfen aber nicht als allgemeine Betrugsquote verstanden werden. Es handelt sich um Angaben der Befragten und nicht um eine Auswertung tatsächlich geprüfter Spesenfälle oder Unternehmensbuchungen. Zudem ist Emburse selbst Anbieter von Lösungen für Reise- und Ausgabenmanagement und Auftraggeber der Untersuchung.
Die Ergebnisse sind daher vor allem als Hinweis auf ein neues Compliance-Risiko relevant: Generative KI schafft keine grundsätzlich neue Form des Fehlverhaltens, kann aber die technische Hürde für glaubwürdig wirkende Manipulationen senken.
Inhaltsverzeichnis
- KI-generierte Belege werden zum Compliance-Risiko
- Generative KI verändert die technische Skalierbarkeit von Manipulationen
- Wenn Unternehmen ihre eigenen KI-Tools finanzieren
- KI-Governance ist auch eine Aufgabe für HR und Compliance
- Kann KI den KI-generierten Betrug erkennen?
- Mehr Kontrolle allein löst das Problem nicht
- Was Unternehmen jetzt prüfen sollten
- Fazit: KI-Governance muss auch Missbrauch berücksichtigen
KI-generierte Belege werden zum Compliance-Risiko
Spesenabrechnungen lassen sich auf unterschiedliche Weise manipulieren. Persönliche Kosten können als geschäftliche Ausgaben deklariert, Beträge verändert oder Belege mehrfach eingereicht werden.
Generative KI erweitert die technischen Möglichkeiten. Nach Angaben von Emburse nutzten 19 Prozent aller Befragten KI-generierte Belege, um eine höhere Erstattung zu erhalten, als sie tatsächlich ausgegeben hatten. 36 Prozent derjenigen, die nach eigener Aussage gefälschte Belege mit KI erstellt hatten, verwendeten dafür vom Arbeitgeber finanzierte KI-Werkzeuge.
Damit rückt nicht allein die Manipulation eines Dokuments in den Mittelpunkt. Relevant ist auch, wie einfach entsprechende Inhalte erzeugt werden können.
Früher erforderte ein glaubwürdig veränderter Beleg zumindest einen gewissen manuellen Aufwand. Heute können generative Systeme Bilder und Dokumente neu erzeugen oder bestehende Vorlagen verändern. Technische Kenntnisse in professioneller Bildbearbeitung sind dafür nicht mehr zwingend erforderlich.
Das bedeutet allerdings nicht, dass jedes künstlich erstellte Dokument automatisch betrügerisch ist. Auch die Rekonstruktion eines verlorenen Belegs kann aus Sicht eines Beschäftigten zunächst wie eine pragmatische Lösung erscheinen.
Für die Spesenabrechnung ist jedoch entscheidend, welche Nachweise ein Unternehmen akzeptiert, ob ein Original erforderlich ist und ob der künstliche Ursprung eines Dokuments offengelegt werden muss. Sobald ein synthetischer Beleg eine nicht erfolgte Transaktion vortäuscht oder einen falschen Betrag dokumentiert, liegt ein grundlegend anderer Sachverhalt vor.
Generative KI verändert die technische Skalierbarkeit von Manipulationen
Vom bearbeiteten Beleg zum synthetischen Dokument
Generative KI sortiert oder analysiert nicht nur vorhandene Informationen. Sie kann neue Inhalte erzeugen. Bei Belegen betrifft das beispielsweise Texte, Beträge, Händlerangaben oder visuelle Elemente.
Für traditionelle Prüfprozesse ist diese Entwicklung relevant. Eine Sichtprüfung kann feststellen, ob ein Dokument plausibel wirkt. Sie beantwortet jedoch nicht zwingend die Frage, ob die zugrunde liegende Transaktion tatsächlich stattgefunden hat.
Der Emburse-Beitrag argumentiert deshalb, dass künftig stärker verschiedene Datenpunkte gemeinsam betrachtet werden müssten. Genannt werden unter anderem Händlerdaten, Einzelpositionen, Zeitpunkte, Ausgabenkategorien, mögliche Duplikate und ungewöhnliche Muster.
Diese Einschätzung ist grundsätzlich nachvollziehbar. Zugleich handelt es sich teilweise um die Perspektive eines Anbieters, der selbst KI-gestützte Technologien für das Ausgabenmanagement vermarktet.
Die entscheidende Veränderung liegt im Werkzeug
Das Motiv hinter Spesenbetrug hat sich durch KI nicht grundlegend verändert. Neu sind vor allem die verfügbaren technischen Mittel.
Michele Shepard, Chief Revenue Officer von Emburse, formuliert die Position des Unternehmens entsprechend deutlich: „AI makes it easier than ever to fabricate receipts and bypass traditional controls.“
Sinngemäß heißt das: Nach Einschätzung von Emburse erleichtert KI die Erstellung gefälschter Belege und kann traditionelle Kontrollmechanismen unter Druck setzen.
Die Befragung selbst zeigt allerdings nicht, wie viele manipulierte Belege von Unternehmen tatsächlich akzeptiert wurden. Sie misst weder die Erfolgsquote von Betrugsversuchen noch die Erkennungsleistung bestehender Prüfverfahren.
Diese Unterscheidung ist wichtig. Die Ergebnisse liefern Hinweise darauf, dass Beschäftigte generative KI für Manipulationsversuche einsetzen. Sie belegen nicht, dass bestehende Kontrollsysteme massenhaft versagen.
Wenn Unternehmen ihre eigenen KI-Tools finanzieren
Besonders relevant für die betriebliche KI-Governance ist die Angabe, dass 36 Prozent der Befragten mit selbstberichteter Nutzung gefälschter KI-Belege dafür arbeitgeberfinanzierte KI-Werkzeuge eingesetzt haben.
Damit geht das Thema über die Spesenabrechnung hinaus. Unternehmen müssen grundsätzlich klären, wofür betriebliche KI-Zugänge genutzt werden dürfen.
Zweckbindung betrieblicher KI-Systeme
Viele KI-Richtlinien konzentrieren sich bislang auf Datenschutz, Geschäftsgeheimnisse, Urheberrecht und die Eingabe vertraulicher Informationen.
Diese Fragen bleiben zentral. Der Fall KI-generierter Belege zeigt jedoch eine zusätzliche Dimension: Unternehmen müssen nicht nur regeln, welche Daten Beschäftigte in ein KI-System eingeben dürfen, sondern auch, welche Inhalte sie damit erzeugen dürfen.
Ein allgemeiner Hinweis auf den „verantwortungsvollen Umgang mit KI“ dürfte dafür häufig zu abstrakt sein.
Richtlinien können konkreter benennen, dass beispielsweise die künstliche Erstellung von Nachweisen für nicht erfolgte Transaktionen, die Manipulation von Rechnungsbeträgen oder das Verschleiern des synthetischen Ursprungs eines Dokuments nicht zulässig sind.
Reiseplanung, private Nutzung und tokenbasierte Abrechnung
Nicht jede private Nutzung eines betrieblichen KI-Werkzeugs ist mit vorsätzlichem Fehlverhalten gleichzusetzen. Laut Emburse gaben 61 Prozent der Befragten an, arbeitgeberfinanzierte KI-Systeme auch für persönliche Aktivitäten verwendet zu haben. In den USA lag der Anteil bei 63 Prozent, in Großbritannien bei 59 Prozent. 23 Prozent erklärten, ihnen sei nicht bewusst gewesen, dass ihr Arbeitgeber eine persönliche Nutzung untersagte.
Eine private Reiseplanung mit einem betrieblichen KI-Werkzeug ist jedoch nicht mit der Erstellung eines gefälschten Spesenbelegs gleichzusetzen. Auch die Nutzung von KI für eine Bewerbung bei einem anderen Arbeitgeber, die laut Emburse 18 Prozent der Befragten angaben, wirft andere Governance- und arbeitsorganisatorische Fragen auf als vorsätzliche finanzielle Manipulation.
Für Unternehmen kann dabei auch das Abrechnungsmodell des eingesetzten KI-Dienstes relevant sein. Werden Leistungen tokenbasiert oder verbrauchsabhängig abgerechnet, verursacht auch eine private Nutzung potenziell direkte Kosten. Die Frage der Zweckbindung betrifft dann nicht nur Compliance, sondern ebenfalls Kostenkontrolle und die angemessene Verwendung betrieblicher Ressourcen.
Das rechtfertigt dennoch keine pauschale Gleichsetzung jeder privaten Anfrage mit Missbrauch. Eine KI-Richtlinie sollte zwischen geringfügiger privater Nutzung, kostenrelevanter Zweckentfremdung, Datenrisiken und vorsätzlicher Manipulation unterscheiden.
KI-Governance ist auch eine Aufgabe für HR und Compliance
KI-generierter Spesenbetrug ist zunächst ein Thema für Finance und Compliance. Dennoch besteht eine klare Verbindung zum Personalmanagement.
HR gestaltet häufig interne Richtlinien mit, unterstützt Führungskräfte bei deren Kommunikation, begleitet Schulungen und ist bei arbeitsbezogenem Fehlverhalten in interne Verfahren eingebunden.
Daraus folgt allerdings nicht, dass HR allein für KI-Missbrauch verantwortlich sein sollte. Das Risiko betrifft mehrere Unternehmensbereiche.
KI-Richtlinien müssen konkrete Missbrauchsszenarien adressieren
Viele Governance-Debatten drehen sich um die Eingabe sensibler Daten in generative KI. Der Fall manipulierter Belege zeigt, dass Unternehmen zusätzlich die erzeugten Inhalte betrachten müssen.
Eine Richtlinie kann beispielsweise die Eingabe personenbezogener Daten untersagen und trotzdem keine Aussage dazu treffen, ob synthetische Rechnungen, Belege oder andere Nachweisdokumente erstellt werden dürfen.
Unternehmen sollten daher prüfen, ob KI-, Spesen-, Compliance- und Verhaltensrichtlinien miteinander vereinbar sind. Ein Verbot der Manipulation von Abrechnungsunterlagen dürfte häufig bereits aus bestehenden Regeln folgen. Konkrete Beispiele können Beschäftigten jedoch verdeutlichen, dass diese Vorgaben ebenso für KI-generierte Dokumente gelten.
AI Literacy umfasst auch Grenzen und Verantwortlichkeiten
AI Literacy bedeutet nicht nur, Beschäftigten den produktiven Einsatz generativer KI zu vermitteln. Zur Kompetenz gehört ebenso das Verständnis für Risiken, Grenzen und Verantwortlichkeiten.
Konkrete Anwendungssituationen können in Schulungen hilfreicher sein als abstrakte Grundsätze:
Darf eine verlorene Quittung mit KI rekonstruiert werden? Ist es zulässig, einen schwer lesbaren Beleg mit einem generativen System zu bearbeiten? Reicht ein künstlich erstellter Ersatzbeleg aus, wenn sich die tatsächliche Zahlung über Kreditkartendaten nachweisen lässt? Wann muss die Verwendung von KI offengelegt werden?
Die Antworten können je nach Unternehmen und Prozess unterschiedlich ausfallen. Entscheidend ist, dass Beschäftigte die geltenden Regeln kennen, bevor ein Verdachtsfall entsteht.
Zuständigkeiten müssen klar geregelt sein
Finance kennt Abrechnungsprozesse und typische Auffälligkeiten. IT und Informationssicherheit können Anwendungen, Zugänge und technische Risiken bewerten. Compliance begleitet interne Kontroll- und Untersuchungsverfahren. HR ist relevant, wenn Regeln kommuniziert, Schulungen entwickelt oder arbeitsbezogene Konsequenzen geprüft werden.
Eine wirksame Governance-Struktur sollte diese Kompetenzen zusammenführen.
KI-generierter Spesenbetrug ist kein isoliertes HR-Problem. Er ist ein funktionsübergreifendes Compliance-Risiko.
Kann KI den KI-generierten Betrug erkennen?
Naheliegend ist der Einsatz automatisierter Systeme zur Erkennung manipulierter Dokumente.
Emburse argumentiert, traditionelle Kontrollmechanismen seien für ein Umfeld entwickelt worden, in dem Betrug überwiegend manuell erfolge und Dokumente statisch seien. Als mögliche Einsatzfelder automatisierter Prüfverfahren nennt das Unternehmen die Erkennung manipulierter Belege, ungewöhnlicher Erstattungsmuster und auffälliger Ausgaben.
Da Emburse selbst Expense-Management- und Audit-Technologien anbietet, sind diese Aussagen als Anbieterposition einzuordnen. Sie sind kein unabhängiger Nachweis dafür, dass KI-basierte Systeme synthetische Dokumente zuverlässig erkennen.
Die Sichtprüfung verliert an Aussagekraft
Je realistischer künstlich erzeugte Dokumente werden, desto weniger belastbar ist eine rein visuelle Plausibilitätsprüfung.
Zusätzliche Daten können deshalb an Bedeutung gewinnen. Dazu zählen etwa tatsächliche Kartentransaktionen, Händlerdaten, Zeitpunkt und Ort einer Ausgabe, Mehrfacheinreichungen oder Abweichungen von üblichen Ausgabenmustern.
Die Kontrolllogik verschiebt sich damit vom einzelnen Dokument hin zur Übereinstimmung verschiedener Informationen.
Eine Anomalie ist noch kein Betrugsnachweis
Automatisierte Prüfverfahren schaffen jedoch eigene Risiken.
Ein ungewöhnlicher Betrag kann auf Manipulation hinweisen. Er kann ebenso durch eine legitime Ausnahmesituation entstanden sein. Ungewöhnliches Reiseverhalten kann verdächtig wirken oder schlicht aus einem neuen Projekt resultieren.
Unternehmen sollten automatisierte Warnsignale deshalb nicht mit festgestelltem Fehlverhalten gleichsetzen.
Gerade wenn personelle Konsequenzen möglich sind, braucht es nachvollziehbare Prüfverfahren. Beschäftigte müssen auffällige Sachverhalte erklären können. Automatisierte Systeme können Hinweise liefern. Die Bewertung eines konkreten Einzelfalls sollte jedoch in einen kontrollierten Prozess mit angemessener menschlicher Prüfung eingebettet sein.
Mehr Kontrolle allein löst das Problem nicht
Die Emburse-Erhebung enthält noch einen weiteren Befund. 22 Prozent der Befragten gaben an, aufgrund ihrer finanziellen Situation bereits persönliche Käufe als Geschäftsausgaben eingereicht zu haben. In den USA lag der Anteil bei 27 Prozent, in Großbritannien bei 17 Prozent.
Unter den US-Befragten, die ein solches Verhalten berichteten, erklärten 51 Prozent, während des Wartens auf Erstattungen Gebühren oder Kreditkartenzinsen getragen zu haben.
Auch diese Zahlen müssen vorsichtig interpretiert werden. Finanzielle Belastung rechtfertigt keinen vorsätzlichen Spesenbetrug. Die Befragung belegt zudem keinen direkten ursächlichen Zusammenhang zwischen langsamen Erstattungen und Fehlverhalten.
Die Ergebnisse weisen jedoch auf eine organisatorische Frage hin: Compliance sollte nicht ausschließlich am Ende eines Prozesses ansetzen.
Wenn Beschäftigte regelmäßig hohe geschäftliche Ausgaben privat vorfinanzieren und lange auf eine Erstattung warten, kann daraus vermeidbare finanzielle Belastung entstehen. Schnellere Erstattungen, klare Spesenregeln oder geeignete Firmenkartenmodelle können die Rahmenbedingungen verbessern.
Das ersetzt keine Kontrollen. Es kann aber dazu beitragen, unnötige Konflikte zwischen privaten und geschäftlichen Ausgaben zu reduzieren.
Was Unternehmen jetzt prüfen sollten
Der Fall KI-generierter Belege zeigt, wie generative KI Prozesse verändert, die ursprünglich kaum als KI-Anwendungsfälle betrachtet wurden.
Unternehmen sollten deshalb prüfen, ob bestehende KI-Richtlinien konkrete Formen der Dokumentenmanipulation erfassen. Ebenso wichtig ist ein Abgleich mit Spesen-, Compliance- und Verhaltensrichtlinien.
Auch die Nutzung arbeitgeberfinanzierter KI-Werkzeuge sollte eindeutig geregelt sein. Dabei gehören neben Datenschutz und Informationssicherheit auch private Nutzung, verbrauchsabhängige oder tokenbasierte Kosten und mögliche Zweckentfremdung in den Blick.
Finance und Compliance können außerdem hinterfragen, ob Belegprüfungen zu stark auf das Vorhandensein und die visuelle Plausibilität eines Dokuments vertrauen. Wo technisch und organisatorisch sinnvoll, können zusätzliche Transaktions- und Kontextdaten die Prüfung ergänzen.
HR kann konkrete Missbrauchsszenarien in Schulungen und interne Kommunikation aufnehmen. Dabei sollte es nicht um pauschales Misstrauen gegenüber Beschäftigten gehen. Ziel ist eine verständliche Abgrenzung zwischen erlaubter Nutzung, unklaren Grenzfällen und vorsätzlicher Manipulation.
Ebenso wichtig sind faire Verfahren für Verdachtsfälle. Eine automatisierte Anomalie darf nicht automatisch zu einem individuellen Betrugsvorwurf werden.
Fazit: KI-Governance muss auch Missbrauch berücksichtigen
KI-generierte Belege zeigen exemplarisch, wie generative KI bekannte Compliance-Risiken technisch verändern kann.
Spesenbetrug ist nicht neu. Neu ist die Möglichkeit, synthetische und glaubwürdig wirkende Dokumente mit geringerem technischem Aufwand zu erzeugen. Die von Emburse beauftragte Befragung deutet darauf hin, dass Beschäftigte in den USA und Großbritannien entsprechende Werkzeuge bereits für manipulierte Spesenbelege einsetzen.
Aus der Erhebung lassen sich jedoch weder eine allgemeine Betrugsquote noch direkte Aussagen über deutsche Unternehmen ableiten. Die Ergebnisse basieren auf Selbstangaben und messen nicht, wie viele Manipulationsversuche tatsächlich erfolgreich waren.
Für Unternehmen bleibt das Thema dennoch relevant. KI-Governance darf sich nicht auf Datenschutz, Produktivität und die Auswahl zugelassener Tools beschränken. Sie sollte auch berücksichtigen, welche Inhalte mit KI erzeugt werden, wie betriebliche Zugänge genutzt und abgerechnet werden und wo konkrete Missbrauchsrisiken entstehen.
HR spielt dabei eine wichtige, aber nicht alleinige Rolle. Klare Richtlinien, AI Literacy und faire Verfahren müssen mit Finanzprozessen, technischer Expertise und Compliance-Strukturen verbunden werden.
Die angemessene Reaktion auf KI-generierte Manipulation ist deshalb weder blindes Vertrauen noch pauschale Überwachung. Unternehmen benötigen Kontrollen, die neue technische Risiken berücksichtigen, ohne jede Auffälligkeit automatisch als Betrug zu bewerten.
Methodischer Hinweis und Quelle
Grundlage der im Artikel genannten Zahlen ist eine von Emburse beauftragte Online-Befragung. Atomik Research befragte vom 5. bis 8. Mai 2026 jeweils 1.000 berufstätige Erwachsene ab 18 Jahren in den USA und im Vereinigten Königreich. Emburse gibt für die Stichprobe eine Fehlermarge von ±3 Prozent bei einem Konfidenzniveau von 95 Prozent an.
Die Ergebnisse veröffentlichte Emburse im Juni 2026 im Blogbeitrag „AI-Generated Receipts Are Here. Expense Controls Need to Catch Up.“ sowie in der Unternehmensmeldung „Four in Ten U.S. Employees Have Used AI to Generate Fake Expense Receipts“. Emburse ist Anbieter von Travel- und Expense-Management-Lösungen und Auftraggeber der Untersuchung.
