Laut Medienberichten ermittelt die Staatsanwaltschaft Hannover gegen einen ehemaligen Mitarbeiter der Landeshauptstadt Hannover wegen des Verdachts des Betruges. Demnach sollen über Jahre hinweg rund 500 Mobiltelefone über einen Mobilfunkanbieter auf Rechnung der Stadt bestellt worden sein, ohne dass die Geräte in den Bestand der Verwaltung gelangten. Der mutmaßliche Schaden soll im sechsstelligen Bereich liegen.

Besonders kritisch erscheint dabei, dass die Vorgänge offenbar über Jahre hinweg unbemerkt geblieben sind, obwohl innerhalb der Verwaltung Kontrollmechanismen wie das Vier-Augen-Prinzip bestehen sollen. Nach bisherigen Informationen wurden die Zahlungen über ein separates Konto und automatisierte Lastschriftverfahren abgewickelt, wodurch reguläre Prüfprozesse offenbar umgangen wurden. Der Fall wirft grundlegende Fragen zur internen Kontrolle, zur Organisation der Beschaffungsprozesse sowie zur Wirksamkeit bestehender Compliance- und Korruptionspräventionsmaßnahmen auf.

Vor diesem Hintergrund fragen wir die Verwaltung:

1. Welche organisatorischen, technischen oder personellen Versäumnisse haben nach derzeitiger Einschätzung der Verwaltung dazu geführt, dass die mutmaßlich unrechtmäßige Bestellung von rund 500 Mobiltelefonen über mehrere Jahre hinweg unentdeckt bleiben konnte?
2. Wie konnte es passieren, dass das Rechnungsprüfungsamt von dem Vorgang aus der Zeitung erfahren musste obwohl die Prüfungsordnung eine Information bei dolosen Handlungen zwingend vorschreibt um kurzfristig mögliche Sicherheitslücken schließen zu können ?
3. Welche konkreten Maßnahmen wird die Verwaltung ergreifen, um vergleichbare Fälle künftig auszuschließen, insbesondere im Hinblick auf automatisierte Zahlungsprozesse, Funktionspostfächer, Inventarisierungspflichten und interne Kontrollmechanismen sowie die gebotene Einbindung des Rechnungsprüfungsamtes?

Frage 1: Welche organisatorischen, technischen oder personellen Versäumnisse haben nach derzeitiger Einschätzung der Verwaltung dazu geführt, dass die mutmaßlich unrechtmäßige Bestellung von rund 500 Mobiltelefonen über mehrere Jahre hinweg unentdeckt bleiben konnte?

An dem regelmäßigen Verfahren zur Beschaffung von Mobiltelefonen sind drei Personen beteiligt: Eine Person bestellt das Gerät, die*der Vorgesetzte gibt die Bestellung nach Prüfung frei und eine dritte Person außerhalb des Sachgebiets veranlasst die Bezahlung der Rechnung. Durch dieses Verfahren sollte ein Missbrauch ausgeschlossen werden.

Unabhängig von diesem Bestellprozess wurde ein digitales Verfahren zur Verteilung der Telefonrechnung und Bezahlung per Lastschrift zur Optimierung von Zeit-, Arbeits-, und Personalaufwand etabliert. In dieser Systematik hat ein Beschäftigter ein Unterkonto eröffnet und so über die umfangreichen Zahlungsflüsse ebenfalls die Beschaffung von Geräten abgewickelt. Diese Methode fiel aufgrund der verhältnismäßig geringen Mengen als auch der umfangreichen Zahlungsflüsse zunächst nicht auf, da diese Vorgehensweise zu keinem Zeitpunkt in Betracht gezogen wurde. Wie der mutmaßliche Täter im Detail vorgegangen ist, wird zum jetzigen Zeitpunkt noch ermittelt.

Frage 2: Wie konnte es passieren, dass das Rechnungsprüfungsamt von dem Vorgang aus der Zeitung erfahren musste obwohl die Prüfungsordnung eine Information bei dolosen Handlungen zwingend vorschreibt um kurzfristig mögliche Sicherheitslücken schließen zu können?

Die Einbindung des Rechnungsprüfungsamtes ist in der Rechnungsprüfungsordnung der Landeshauptstadt Hannover gem. § 3 verbindlich vorgeschrieben. Im Wortlaut heißt es:

„Das Rechnungsprüfungsamt ist unverzüglich durch Fachbereiche und Sondervermögen zu unterrichten bei[…]“

Nachdem der Verdacht unrechtmäßiger Gerätebeschaffungen aufgekommen war, lag der Fokus zunächst jedoch auf einer möglichst zügigen Sachverhaltsaufklärung, Ermittlung der Schadenshöhe, Schadensbegrenzung und Überlegungen zur Optimierung der Prozesse.

Frage 3: Welche konkreten Maßnahmen wird die Verwaltung ergreifen, um vergleichbare Fälle künftig auszuschließen, insbesondere im Hinblick auf automatisierte Zahlungsprozesse, Funktionspostfächer, Inventarisierungspflichten und interne Kontrollmechanismen sowie die gebotene Einbindung des
Rechnungsprüfungsamtes?

Eine Schwachstellenanalyse wurde bereits vor Jahren stadtweit eingeführt und wird jährlich überprüft und fortgeschrieben, um solche Fälle zu verhindern und Risiken zu minimieren. Gerade im technischen Bereich, z.B. bei der Beschaffung von Software, wird die Einhaltung von Sicherheitsstandards sehr sorgfältig geprüft. Leider zeigt der aktuelle Fall, dass, wenn eine kriminelle Energie vorhanden ist, Sicherheitslücken nicht immer im Voraus vollständig erkannt und zu 100% ausgeschlossen werden können. Zusätzlich zur jährlichen Schwachstellenanalyse wurde dieser Fall zum Anlass genommen, die Abrechnungsprozesse in diesem Bereich umfassend zu betrachten und zukünftig zu verändern.