Zwei Angriffe treffen kleine Betriebe fast täglich per E-Mail. Der eine ist plump: eine Rechnung für etwas, das nie bestellt wurde. Der andere ist teuer: eine echte Rechnung eines echten Lieferanten, bei der nur die Bankverbindung ausgetauscht wurde. Beide werden bezahlt, weil Rechnungen bezahlt werden, ohne dass jemand hinsieht.
Woran die erfundene Rechnung zu erkennen ist
Typisch sind unbestimmte Leistungen wie Eintrag, Basisdienst, Verwaltungsgebühr oder Datenpflege. Typisch ist außerdem, dass Absenderadresse und Firmenname nicht zusammenpassen, dass die Anrede allgemein bleibt und dass eine knappe Zahlungsfrist mit Konsequenzen droht. Manche Schreiben sind formal gar keine Rechnung, sondern ein Angebot im Rechnungslayout, mit dem entscheidenden Hinweis im Kleingedruckten.
Die verlässlichste Prüfung ist nicht das Aussehen, sondern die Herkunft: Zu jeder echten Rechnung gehört bei dir im Haus eine Bestellung, eine Person, die sie ausgelöst hat, und im Regelfall ein Lieferschein. Fehlt das, wird nicht gezahlt, egal wie echt das Papier wirkt.
Die geänderte Bankverbindung ist der teuerste Fall
Hier wird eine echte Geschäftsbeziehung übernommen. Entweder ist ein Postfach kompromittiert, oder es wird ein sehr ähnlicher Domainname verwendet, bei dem ein Buchstabe fehlt oder vertauscht ist. Die Mail hängt am richtigen Vorgang, nennt die richtigen Beträge und enthält einen freundlichen Hinweis auf eine neue Kontoverbindung, angeblich wegen einer Umstellung oder einer Prüfung.
Die Regel dagegen ist absolut: Eine neue IBAN wird niemals aus dem Dokument oder der Mail übernommen. Sie wird telefonisch bestätigt, über die Nummer, die du längst gespeichert hast, nicht über die Nummer aus dem Schreiben. Auch Banken, Zahlungsdienstleister und Netzbetreiber ändern ihre Bankverbindung nicht per E-Mail.
Prüfschritte vor der Freigabe
- Gibt es eine Bestellung und eine Person im Betrieb, die sie ausgelöst hat?
- Stimmt die IBAN mit der überein, die bei dir im Stammdatensatz steht?
- Passt die Absenderadresse buchstabengenau zur bekannten Domain?
- Enthält das Schreiben die Pflichtangaben, die zu einer Rechnung gehören?
- Ist der Ton auffällig dringlich oder auffällig vertraulich?
Bei größeren Beträgen gehört die Freigabe in zwei Hände: Eine Person prüft sachlich, eine zweite gibt frei. Das ist keine Bürokratie, sondern die einzige Kontrolle, die den Fehler noch abfängt, wenn die Fälschung wirklich gut gemacht ist.
Anhänge, Links und QR-Codes
Rechnungen kommen als PDF oder als strukturierte E-Rechnung im vereinbarten Format. Kommt eine angebliche Rechnung dagegen als Archivdatei, als Office-Datei mit Makros oder als bloßer Link auf ein Portal, ist die Wahrscheinlichkeit hoch, dass nicht die Zahlung das Ziel ist, sondern dein Rechner oder dein Passwort. Öffne das nicht und klicke keinen Link aus der Mail an, auch nicht zur Sicherheit.
Neuer sind QR-Codes, die direkt in eine vorbereitete Überweisung führen. Ein Code lässt sich vor dem Scannen nicht lesen, deshalb prüfe Empfänger und IBAN in der Banking-App, bevor du freigibst.
Dein Postfach ist Teil der Kasse
Wer Zugriff auf dein E-Mail-Konto hat, sieht deine Rechnungen, kennt deine Lieferanten und schreibt in deinem Namen. Deshalb gehört zum Schutz vor Rechnungsbetrug die Zwei-Faktor-Anmeldung für alle geschäftlichen Postfächer und ein regelmäßiger Blick in die Einstellungen. Angelegte Weiterleitungsregeln, die Nachrichten unbemerkt kopieren oder in einen unauffälligen Ordner verschieben, sind ein typisches Zeichen für fremden Zugriff.
Wenn schon gezahlt wurde
Zeit ist hier der einzige Hebel. Ruf sofort deine Bank an und lass die Überweisung zurückholen, solange sie nicht ausgeführt oder noch nicht gutgeschrieben ist. Informiere den echten Lieferanten, damit er weiß, dass seine Forderung offen ist, und sein eigenes Postfach prüft. Erstatte Anzeige und bewahre die Mail vollständig mit Kopfzeilen auf, nicht nur als Ausdruck.
Wo wir aufhören
Ob du trotz der Fehlüberweisung noch einmal zahlen musst, wer den Schaden trägt und wie der Vorgang steuerlich zu behandeln ist, sind Fragen für deine Rechts- und Steuerberatung. Wir beschreiben hier die Merkmale und die Prüfschritte, damit diese Fragen möglichst gar nicht erst entstehen.
