Rechnungsbetrug per E-Mail: Wenn der Lieferant plötzlich eine neue Bankverbindung hat

Eine Rechnung trifft per E-Mail ein. Der Lieferant ist bekannt, die Leistung wurde erbracht und der Betrag entspricht der Vereinbarung. Lediglich die Bankverbindung ist diesmal eine andere.

In der Nachricht steht, dass das Unternehmen seine Bank gewechselt hat. Die Buchhaltung soll die neuen Kontodaten hinterlegen und den offenen Betrag auf das neue Konto überweisen.

Das kann eine berechtigte Änderung sein. Es kann aber auch bedeuten, dass jemand die Zahlung auf ein fremdes Konto umleiten möchte.

Das folgende fiktive Beispiel zeigt, warum diese Betrugsmasche im Arbeitsalltag leicht übersehen werden kann: Ein Handwerksbetrieb erwartet eine Rechnung für bereits geliefertes Material. Kurz vor dem Zahlungslauf kommt eine vermeintlich korrigierte Rechnung mit neuer IBAN. Weil Auftrag, Betrag und Ansprechpartner passen, wird die Änderung ohne Rückfrage übernommen.

Das Geld erreicht dadurch nicht den Lieferanten, sondern das Konto der Betrüger.

Eine plausible Rechnung beweist noch nicht, dass auch die angegebene Bankverbindung stimmt.

Entscheidend ist deshalb, wie Änderungen an Zahlungsdaten im Unternehmen geprüft und freigegeben werden.

Wie funktioniert Rechnungsbetrug per E-Mail?

Bei dieser Form des Rechnungsbetrugs geben sich Angreifer als Lieferant oder Geschäftspartner aus. Ihr Ziel ist es, eine Zahlung auf ein Konto umzuleiten, das sie kontrollieren.

Dafür müssen sie nicht unbedingt eine vollständig erfundene Rechnung verschicken. Auch eine echte Rechnung kann als Grundlage dienen, bei der lediglich die Zahlungsdaten ausgetauscht werden.

Für die Kontaktaufnahme gibt es unterschiedliche Möglichkeiten.

Warum wirkt diese Masche so glaubwürdig?

Viele Unternehmen haben eingespielte Abläufe. Rechnungen kommen per E-Mail, werden geprüft und anschließend zur Zahlung freigegeben.

Wenn Lieferant, Leistung und Betrag bekannt sind, fällt eine einzelne Änderung möglicherweise nicht auf. Ein professionelles PDF und eine vertraute Signatur verstärken diesen Eindruck.

Haben Angreifer Zugriff auf ein beteiligtes Postfach, können sie möglicherweise vorhandene Nachrichten mitlesen. Dadurch kennen sie Ansprechpartner, Aufträge oder offene Rechnungen und können ihre Nachricht passend formulieren.

Die E-Mail muss deshalb weder schlechtes Deutsch noch einen verdächtigen Link enthalten. Unter Umständen wird ausschließlich darum gebeten, neue Kontodaten zu verwenden.

1. Eine neue Bankverbindung bewusst prüfen

Eine geänderte Bankverbindung ist nicht automatisch ein Betrugsversuch. Unternehmen wechseln Banken oder ändern ihre Zahlungsabwicklung.

Trotzdem sollte eine solche Änderung einen festen Prüfschritt auslösen – unabhängig davon, wie überzeugend die Nachricht aussieht.

Besonders aufmerksam sollten Mitarbeiter bei folgenden Situationen werden:

• Die IBAN unterscheidet sich von den hinterlegten Lieferantendaten.
• Eine bereits vorliegende Rechnung wird kurzfristig durch eine neue Version ersetzt.
• Die Änderung kommt unmittelbar vor einer anstehenden Zahlung.
• Der Absender drängt auf eine schnelle Überweisung.
• Der angegebene Zahlungsempfänger passt nicht zum bekannten Geschäftspartner.
• Rückfragen sollen ausschließlich über eine neu genannte Telefonnummer oder E-Mail-Adresse erfolgen.
• Die Nachricht fordert dazu auf, übliche Freigaben oder Rückfragen zu umgehen.

Diese Hinweise beweisen für sich genommen keinen Betrug. Sie sind aber ein Anlass, die Änderung vor der Zahlung unabhängig zu bestätigen.

2. Über eine bereits bekannte Telefonnummer rückfragen

Eine einfache und wirksame Maßnahme ist ein Rückruf beim Lieferanten.

Verwenden Sie dafür eine Telefonnummer, die bereits aus der bisherigen Geschäftsbeziehung bekannt ist – beispielsweise aus den geprüften Lieferantenstammdaten.

Die Telefonnummer aus der verdächtigen Nachricht ist dafür ungeeignet. Wenn die Nachricht manipuliert wurde, kann auch die dort angegebene Nummer zu den Betrügern führen.

Bestätigen Sie eine Änderung der Bankverbindung über einen Kontaktweg, den Sie bereits vor dieser Nachricht kannten.

Fragen Sie konkret nach, ob die Bankverbindung tatsächlich geändert wurde und ob die betreffende Rechnung auf das neue Konto bezahlt werden soll.

Eine Antwort im selben E-Mail-Verlauf ist als alleinige Bestätigung problematisch. Ist das Postfach übernommen worden, kann auch diese Antwort von den Angreifern stammen.

3. Änderungen und Zahlungen im Vier-Augen-Prinzip freigeben

Ein sicherer Zahlungsablauf sollte nicht davon abhängen, dass eine einzelne Person jede Auffälligkeit bemerkt.

Gerade bei Änderungen an Lieferantenstammdaten ist eine zusätzliche Kontrolle sinnvoll.

Die zweite Kontrolle sollte sich dabei nicht auf die Frage beschränken, ob die IBAN korrekt aus der E-Mail übernommen wurde. Entscheidend ist, ob die Änderung tatsächlich vom Geschäftspartner bestätigt wurde.

4. Einen einfachen Prüfablauf festlegen

Auch kleine Unternehmen können einen klaren Ablauf für neue Bankverbindungen definieren. Dafür braucht es kein umfangreiches Regelwerk.

Wichtig ist, dass alle Beteiligten wissen, was vor einer Änderung und einer Zahlung zu tun ist.

• Änderung erkennen: Neue Kontodaten mit den bisher hinterlegten Angaben vergleichen.
• Zahlung zurückhalten: Die betroffene Rechnung bis zur Klärung nicht auf das neue Konto überweisen.
• Unabhängig bestätigen: Den Geschäftspartner über einen bereits bekannten Kontaktweg erreichen.
• Prüfung dokumentieren: Festhalten, wer die Änderung wann und bei welchem Ansprechpartner bestätigt hat.
• Änderung freigeben: Neue Stammdaten durch eine zweite zuständige Person kontrollieren lassen.
• Zahlung abgleichen: Erst anschließend die Rechnung mit den bestätigten Zahlungsdaten freigeben.

Dieser Ablauf sollte auch bei Zeitdruck, Urlaubsvertretungen und vermeintlich besonders dringenden Rechnungen gelten.

5. E-Mail-Konten technisch absichern

Neben sicheren Zahlungsabläufen bleibt der Schutz der E-Mail-Konten wichtig.

Wird ein Postfach übernommen, können Angreifer möglicherweise Geschäftskorrespondenz lesen und glaubwürdige Nachrichten im Namen des Kontoinhabers versenden.

Zu den grundlegenden Schutzmaßnahmen gehören:

• Multi-Faktor-Authentifizierung für E-Mail-Konten aktivieren
• starke, individuelle Passwörter verwenden
• nicht mehr benötigte Benutzerkonten und Zugriffe entfernen
• auffällige Anmeldungen untersuchen
• unerwartete Weiterleitungen und Postfachregeln prüfen
• Betriebssysteme, Browser und E-Mail-Anwendungen aktuell halten
• Mitarbeiter regelmäßig für verdächtige Nachrichten sensibilisieren

Welche Einstellungen sinnvoll sind, hängt von der eingesetzten E-Mail-Umgebung ab. Bei Microsoft 365 sollten beispielsweise Anmeldeschutz, Berechtigungen und Weiterleitungsregeln bewusst geprüft werden.

Technische Maßnahmen und organisatorische Kontrollen ergänzen sich. Auch ein gut geschütztes eigenes Postfach verhindert nicht, dass jemand den Absender eines Lieferanten nachahmt oder dessen Konto missbraucht.

Was tun, wenn bereits überwiesen wurde?

Wird ein möglicher Rechnungsbetrug erst nach der Zahlung entdeckt, ist schnelles Handeln wichtig.

Kontaktieren Sie unverzüglich Ihre Bank. Schildern Sie den Betrugsverdacht und fragen Sie, ob die Überweisung noch gestoppt oder ein Rückruf veranlasst werden kann. Eine Rückholung ist nicht garantiert.

Parallel sollten die zuständigen Personen im Unternehmen informiert werden.

• Weitere Zahlungen auf die verdächtige Bankverbindung stoppen.
• Den echten Lieferanten über einen bekannten Kontaktweg informieren.
• Original-E-Mails, Rechnungen und Zahlungsbelege als Nachweise sichern.
• Den Vorfall bei der Polizei anzeigen.
• Die IT-Betreuung einschalten, wenn ein übernommenes Postfach vermutet wird.
• Prüfen, ob weitere Rechnungen oder Lieferantenstammdaten betroffen sind.

Besteht der Verdacht auf einen unberechtigten Zugriff auf das eigene E-Mail-Konto, sollte die IT-Betreuung den Zugang absichern und unter anderem aktive Sitzungen, Anmeldungen sowie Weiterleitungs- und Postfachregeln prüfen.

Rechnungsbetrug betrifft nicht nur die Buchhaltung

Hinweise auf neue Zahlungsdaten können an unterschiedlichen Stellen im Unternehmen eingehen: im Einkauf, bei der Geschäftsführung, im Sekretariat oder direkt bei einem Projektverantwortlichen.

Deshalb sollten alle Mitarbeiter wissen, an wen sie solche Nachrichten weitergeben müssen.

Ebenso wichtig ist eine Unternehmenskultur, in der Rückfragen ausdrücklich erwünscht sind. Wer eine Zahlung wegen einer ungeklärten Bankverbindung zurückhält, sollte damit einen vorgesehenen Sicherheitsablauf erfüllen.

Eine kurze Rückfrage kann verhindern, dass eine korrekte Rechnung auf das falsche Konto bezahlt wird.

Fazit: Neue Bankverbindung, fester Prüfschritt

Rechnungsbetrug per E-Mail kann unauffällig wirken. Bekannte Ansprechpartner, korrekte Beträge und professionelle Dokumente vermitteln Vertrauen, bestätigen aber nicht automatisch die Zahlungsdaten.

Ein verlässlicher Schutz beginnt deshalb mit einem einfachen Ablauf: Änderungen erkennen, unabhängig bestätigen, dokumentieren und kontrolliert freigeben.

Zusammen mit abgesicherten E-Mail-Konten und sensibilisierten Mitarbeitern lässt sich das Risiko einer fehlgeleiteten Zahlung deutlich reduzieren.