Rechnung mit geänderter IBAN – Geld weg?

Was hier eigentlich passiert ist

Diese Betrugsform trägt Namen wie Zahlungsumleitung, Rechnungsbetrug oder Business E-Mail Compromise. Der Ablauf ist fast immer derselbe: Angreifer verschaffen sich Zugang zu einem E-Mail-Postfach – bei Ihnen oder bei Ihrem Geschäftspartner. Dort verändern sie zunächst nichts. Sie lesen mit. Wochenlang. Sie lernen, wer welche Rechnungen freigibt, wie die Buchhaltung formuliert, wann Zahlläufe stattfinden und mit welchen Beträgen zu rechnen ist.

Dann kommt der Moment: Eine echte Rechnung eines echten Lieferanten wird abgefangen, im PDF wird die Bankverbindung ausgetauscht, und die Nachricht geht weiter – oft mit einem beiläufigen Hinweis auf einen Bankwechsel. Alles andere stimmt: Absender, Betrag, Rechnungsnummer, Tonfall, der übliche Ansprechpartner. Deshalb fällt es niemandem auf.

Wichtig für die Einordnung: Das ist kein Versagen Ihrer Buchhaltung. Diese Mails sind deshalb erfolgreich, weil sie fachlich korrekt sind.

Sofortmaßnahmen, nach Dringlichkeit

1. Bank anrufen und Rückruf verlangen

Der einzige Schritt, bei dem Minuten zählen. Verlangen Sie ausdrücklich einen Rückruf der Zahlung, im Bankdeutsch Recall. Solange der Betrag beim Empfängerinstitut noch nicht gutgeschrieben oder noch nicht weitertransferiert wurde, bestehen Chancen auf Rückholung. Einen Rechtsanspruch darauf haben Sie nicht, weil Sie die Überweisung selbst autorisiert haben – die Bank handelt hier auf Kulanz und im Wege der Amtshilfe zwischen den Instituten. Umso wichtiger ist Tempo.

Sind mehrere Zahlungen betroffen oder steht ein Zahllauf kurz bevor: Stoppen Sie diesen sofort und prüfen Sie alle offenen Posten, bevor er ausgeführt wird.

2. Den echten Lieferanten telefonisch kontaktieren

Rufen Sie unter einer Nummer an, die Sie aus alten Unterlagen oder Ihrem System haben – niemals unter der Nummer aus der verdächtigen Mail. Klären Sie: Wurde die Bankverbindung tatsächlich geändert? Ist die Rechnung dort so verschickt worden? Häufig erfährt der Lieferant durch diesen Anruf zum ersten Mal, dass sein eigenes Postfach kompromittiert ist.

3. Anzeige bei der Polizei erstatten

Erstatten Sie Anzeige, und zwar zügig. Das ist nicht nur Formsache: Die Ermittlungsbehörden können unter Umständen Konten sperren lassen, und für Versicherungsfragen ist eine Anzeige meist Voraussetzung. Bringen Sie mit: die manipulierte Rechnung als Datei, die vollständige E-Mail samt Kopfzeilen, den Überweisungsbeleg und eine Zeitleiste der Ereignisse.

4. Versicherung informieren

Prüfen Sie, ob eine Cyber-Versicherung, eine Vertrauensschadenversicherung oder ein entsprechender Baustein Ihrer Betriebshaftpflicht greift. Melden Sie den Schaden innerhalb der in den Bedingungen genannten Frist, auch wenn die Deckung noch unklar ist.

5. Postfächer prüfen – Ihre und die des Partners

Jetzt kommt die Frage, die über den nächsten Vorfall entscheidet: Wo saß der Angreifer? Kontrollieren Sie die Postfächer aller Beteiligten auf fremde Anmeldungen, Weiterleitungs- und Filterregeln sowie unbekannte App-Verbindungen. Eine Schritt-für-Schritt-Anleitung dazu steht im Ratgeber E-Mail-Konto gehackt? Diese 9 Anzeichen verraten es. Solange dieser Punkt offen ist, kann derselbe Angriff jederzeit erneut laufen.

6. Vorfall dokumentieren

Halten Sie Uhrzeiten, Gesprächspartner und Maßnahmen schriftlich fest. Wurden dabei personenbezogene Daten offengelegt oder ist ein Postfach nachweislich kompromittiert, kann zusätzlich eine Meldepflicht nach Art. 33 DSGVO bestehen – mit 72-Stunden-Frist. Das gehört mit dem Datenschutzbeauftragten geklärt.

Woran Sie manipulierte Rechnungen erkennen

Ein einzelnes Merkmal beweist nichts, mehrere zusammen sind ein deutliches Warnsignal:

• Geänderte Bankverbindung bei einem langjährigen Lieferanten – das mit Abstand häufigste Merkmal.
• Beiläufiger Hinweis auf Bankwechsel, Kontoumstellung oder Umstrukturierung, oft in einem Nebensatz.
• Auslandskonto bei einem inländischen Lieferanten, häufig in einem Land ohne Bezug zur Geschäftsbeziehung.
• Leicht abweichende Absenderdomain, etwa mit vertauschten Buchstaben oder zusätzlichem Bindestrich – die angezeigte Adresse allein sagt nichts, prüfen Sie die tatsächliche.
• Zeitdruck: Mahnung, drohende Lieferstopps, Skontofrist.
• Nur der Zahlungsteil weicht ab, während Layout, Rechnungsnummer und Posten exakt stimmen.
• Antwortadresse weicht ab – die Antwort ginge an eine andere Adresse als die des Absenders.

Die eine Regel, die diesen Betrug verhindert

Jede Änderung einer Bankverbindung wird telefonisch verifiziert – über eine Nummer aus den eigenen Stammdaten, nie aus der Mail. Diese Regel kostet zwei Minuten pro Fall und verhindert praktisch jeden Zahlungsumleitungsbetrug. Halten Sie sie schriftlich fest und machen Sie sie verbindlich, statt sie als Empfehlung zu formulieren.

Ergänzend bewährt haben sich: Vier-Augen-Prinzip ab einem definierten Betrag, eine feste Freigabegrenze für Änderungen an Stammdaten, und die ausdrückliche Erlaubnis für Mitarbeitende, eine Zahlung bei Unbehagen zu stoppen und nachzufragen – auch wenn die Anweisung scheinbar von der Geschäftsführung kommt. Genau diese Variante, bei der angebliche Chefs zu eiligen, vertraulichen Überweisungen drängen, ist die zweite große Spielart dieses Betrugs.

Wo der Angriff seinen Ursprung nimmt

Am Anfang steht fast nie ein technischer Einbruch, sondern ein Passwort, das bereits im Umlauf war: Jemand hat sich vor Jahren mit der Firmenadresse bei einem Dienst registriert, der später gehackt wurde, und dasselbe Passwort auch fürs Postfach verwendet. Angreifer probieren solche Kombinationen automatisiert durch. Wer weiß, welche eigenen Zugangsdaten in Datenlecks stehen, kann handeln, bevor jemand sie testet.

Häufige Fragen

Dieser Beitrag gibt allgemeine Hinweise und ersetzt keine Rechtsberatung. Bei einem konkreten Schadensfall wenden Sie sich an Ihre Bank, die Polizei und einen Fachanwalt; bei betroffenen personenbezogenen Daten zusätzlich an Ihren Datenschutzbeauftragten.