Rechnungsbetrug per E-Mail erkennen und verhindern

Ein sicherer Prüfprozess vor dem Öffnen oder Bezahlen

Ein fester Ablauf hilft mehr als Bauchgefühl. Er sorgt dafür, dass die Person, die die E-Mail bearbeitet, nicht unter Zeitdruck selbst entscheiden muss.

1. 1Pause machen: keine Antwort, keinen Link und keine Zahlung aus der Nachricht heraus starten.
2. 2Absender, Antwortadresse, Betreff, Anhang und Änderungswunsch genau prüfen.
3. 3Lieferanten über eine unabhängige, bekannte Telefonnummer oder Website kontaktieren.
4. 4IBAN mit vertrauenswürdigen Stammdaten und früher geprüften Unterlagen vergleichen.
5. 5Ergebnis dokumentieren und die Rechnung erst danach freigeben oder als verdächtig melden.

Schritt 1: Pause machen

Lass die Nachricht zunächst liegen. Antworte nicht direkt und klicke nicht auf den enthaltenen Link. Bei einer echten Zahlungsänderung entsteht durch eine kurze Verzögerung normalerweise kein Problem.

Wenn eine Zahlung bereits vorbereitet ist, stoppe die Freigabe. Bei einem Vier-Augen-Prinzip sollte die zweite Person die Angaben aus einer unabhängigen Quelle prüfen, nicht nur die E-Mail weiterleiten.

Schritt 2: Nachricht und Anhang untersuchen

Sieh dir die vollständige Absenderadresse und die Antwortadresse an. Öffne die Nachricht nicht in einer hektischen Vorschau, wenn ein verdächtiger Anhang automatisch geladen werden könnte.

Notiere die Auffälligkeiten. Dazu gehören eine neue IBAN, eine ungewöhnliche Frist, ein anderer Ansprechpartner oder eine abweichende Domain. Speichere die E-Mail für die spätere Dokumentation, aber leite sie nicht unbedacht weiter.

Ein Virenscan kann schädliche Dateien erkennen, sagt aber nichts darüber aus, ob die Kontodaten auf einer Rechnung korrekt sind. Mailamber bietet vor dem Öffnen von Anhängen eine integrierte Prüfung mit Virenscan. Die Anleitung zur sicheren Anhangprüfung erklärt, wie diese Funktion arbeitet. Sie ersetzt nicht den unabhängigen Abgleich der IBAN.

Schritt 3: Lieferanten unabhängig kontaktieren

Nutze eine Telefonnummer aus dem Vertrag, dem ERP-System oder der offiziellen Website. Verwende nicht die Telefonnummer aus der verdächtigen E-Mail und nicht automatisch die Signatur des Absenders.

Frage konkret:

• Hat sich Ihre Bankverbindung geändert?
• Seit wann gilt die Änderung?
• Welche IBAN sollen wir für Rechnung 2026-184 verwenden?
• Können Sie die Änderung über Ihren bekannten Geschäftskontakt bestätigen?

Ein Telefonat sollte in der Buchhaltung dokumentiert werden. Bei größeren Beträgen ist eine zweite Bestätigung sinnvoll, zum Beispiel durch eine bekannte Ansprechperson und einen dokumentierten Rückruf.

Schritt 4: IBAN mit vertrauenswürdigen Daten vergleichen

Vergleiche die vollständige IBAN Zeichen für Zeichen. Prüfe nicht nur die letzten vier Stellen. Eine kleine Abweichung genügt, um eine Zahlung umzuleiten.

Halte die geprüfte IBAN in einem geschützten Lieferantenstammsatz fest. Änderungen daran sollten nur berechtigte Personen vornehmen dürfen. Eine neue Bankverbindung sollte nicht gleichzeitig angelegt und zur Zahlung verwendet werden.

Schritt 5: Erst danach freigeben oder melden

Wenn die Änderung bestätigt wurde, dokumentiere Name, Datum, Telefonnummer und Ergebnis der Rückfrage. Danach kann die Rechnung nach eurem normalen Prozess bezahlt werden.

Wenn die Angaben nicht bestätigt werden, zahle nicht. Informiere die zuständige Person im Unternehmen, den echten Lieferanten und gegebenenfalls die Bank. Bei einem möglichen Angriff auf ein Postfach sollte der betroffene Zugang gesichert werden, etwa mit einem neuen Passwort und aktivierter Zwei-Faktor-Anmeldung.

Weitere Hinweise zum Schutz vor verdächtigen Absendern findest du in der Anleitung zum Blockieren von Absendern und Abbestellen von Newslettern. Das Blockieren allein löst einen laufenden Rechnungsbetrug aber nicht. Die Zahlungs- und Kontaktdaten müssen separat geprüft werden.

Was tun, wenn eine E-Mail oder Zahlung verdächtig wirkt?

Wenn du den Anhang noch nicht geöffnet hast, lass ihn geschlossen. Verschiebe die Nachricht in einen internen Prüf- oder Sicherheitsordner und informiere die zuständige Person. Lösche sie nicht sofort, weil Header und Inhalt für die Untersuchung wichtig sein können.

Wenn du den Anhang geöffnet, aber noch nichts eingegeben hast, trenne bei auffälligem Verhalten die Internetverbindung und melde den Vorfall intern. Öffne keine weiteren Dateien aus der Nachricht. Die IT oder ein externer Dienstleister kann das Gerät prüfen.

Wenn Zugangsdaten eingegeben wurden, ändere sie über die offizielle Website des jeweiligen Dienstes. Verwende dafür nicht den Link aus der E-Mail. Prüfe außerdem, ob Weiterleitungen, neue Regeln oder unbekannte Anmeldungen eingerichtet wurden.

Wenn bereits überwiesen wurde, zählt jede Minute. Kontaktiere sofort die Bank und bitte um Prüfung, ob die Zahlung noch gestoppt oder zurückgerufen werden kann. Informiere den echten Lieferanten und dokumentiere E-Mail, Rechnung, IBAN, Betrag und Zeitpunkte. Bei einem finanziellen Schaden können zusätzlich Polizei, Versicherung oder eine fachkundige Rechtsberatung relevant sein.

Das BSI empfiehlt für Unternehmen grundsätzlich, Sicherheitsvorfälle zu melden und klare interne Abläufe festzulegen. Für kleine Unternehmen bedeutet das nicht zwingend ein großes Handbuch. Eine einseitige Zahlungs-Checkliste und feste Zuständigkeiten sind bereits ein guter Anfang.

Praxisbeispiel: Eine geänderte Bankverbindung prüfen

Die Tischlerei Holz & Raum Schneider aus Freiburg erhält eine E-Mail von buchhaltung@bauform-sued.de. Der Betreff lautet: „Neue Bankverbindung für Rechnung 2026-184“. Der Name des Lieferanten ist bekannt. Die Rechnung enthält die richtige Bestellnummer und einen plausiblen Betrag.

Auf den ersten Blick wirkt die Nachricht echt. Im Verlauf findet sich sogar eine frühere Bestellung mit demselben Ansprechpartner. Nur die IBAN ist neu. Außerdem bittet die Nachricht darum, die Änderung „wegen des Monatsabschlusses“ noch am selben Tag zu berücksichtigen.

Die Mitarbeiterin Lena prüft zunächst die vollständige Absenderadresse. Sie entdeckt, dass die Domain bauform-sued.de korrekt aussieht. Das reicht ihr nicht. Sie öffnet den Anhang nicht erneut und antwortet auch nicht auf die E-Mail.

Im Lieferantenstammsatz steht die bisherige IBAN. Lena ruft die Telefonnummer aus dem Vertrag auf. Der bekannte Ansprechpartner bestätigt: Die Bankverbindung wurde nicht geändert. Kurz darauf teilt der Lieferant mit, dass sein E-Mail-Postfach vermutlich missbraucht wurde.

Lena sperrt die Rechnung für die Zahlung, informiert die Geschäftsführung und leitet die Nachricht an den zuständigen IT-Dienstleister weiter. Der Vorfall wird mit Datum, IBAN und Ansprechpartner dokumentiert.

Der entscheidende Schritt war nicht die perfekte Erkennung einer gefälschten E-Mail. Entscheidend war, dass die Zahlungsänderung aus der E-Mail-Kette herausgelöst und über einen unabhängigen Kanal geprüft wurde.

Häufige Fehler, die Rechnungsbetrug erleichtern

Nur auf den sichtbaren Namen schauen

Der angezeigte Name ist leicht zu kopieren. Prüfe immer die vollständige Adresse und die Antwortadresse. Auch dann bleibt eine unabhängige Rückfrage nötig.

Einen bekannten E-Mail-Verlauf als Beweis ansehen

Ein echter Verlauf kann durch ein kompromittiertes Postfach in falsche Hände geraten sein. Vertrautheit ist deshalb ein Hinweis, aber keine Zahlungsfreigabe.

Die neue IBAN direkt aus dem PDF übernehmen

Das PDF ist Teil der verdächtigen Nachricht. Übernimm die IBAN erst nach einem Abgleich mit einem vertrauenswürdigen Datensatz und einer bestätigten Rückfrage.

Nur den Anhang scannen

Ein Virenscan kann Schadsoftware erkennen. Er kann nicht feststellen, ob eine Rechnung zu einem echten Auftrag gehört oder ob die IBAN dem richtigen Lieferanten gehört.

Unter Zeitdruck eine Ausnahme machen

„Nur diesmal“ ist ein riskanter Prozess. Definiere eine Regel, nach der Änderungen der Bankverbindung immer unabhängig bestätigt werden. Sie gilt auch bei bekannten Lieferanten und kleinen Beträgen.

Den Vorfall still korrigieren

Eine verdächtige Nachricht sollte nicht einfach gelöscht werden. Die Information kann dem Lieferanten, der Bank und dem eigenen Team helfen, weitere Zahlungen zu schützen.

Häufige Fragen

Ist jede neue IBAN auf einer Lieferantenrechnung Betrug?

Nein. Unternehmen können Banken wechseln oder neue Konten für bestimmte Zahlungsarten verwenden. Eine neue IBAN muss aber über einen unabhängigen, bekannten Kontaktweg bestätigt werden, bevor Geld überwiesen wird.

Reicht ein Anruf beim Lieferanten aus?

Ein Anruf ist oft der wichtigste Schritt, wenn die Telefonnummer aus einem Vertrag oder einer offiziellen Quelle stammt. Dokumentiere trotzdem, wer die Änderung bestätigt hat und welche IBAN genannt wurde. Bei größeren Beträgen kann eine zusätzliche Bestätigung sinnvoll sein.

Was soll ich tun, wenn ich den Anhang bereits geöffnet habe?

Lade keine weiteren Dateien und gib keine Zugangsdaten ein. Wenn das Gerät sich ungewöhnlich verhält, trenne es vom Netzwerk und informiere die IT. Bei eingegebenen Zugangsdaten ändere diese über die offizielle Website und prüfe den Account auf unbekannte Aktivitäten.

Kann ein Virenscan eine falsche Rechnung erkennen?

Ein Virenscan kann bestimmte schädliche Dateien erkennen und vor dem Öffnen warnen. Er prüft jedoch nicht, ob der Lieferant echt ist, der Auftrag existiert oder die IBAN korrekt ist. Dafür brauchst du den unabhängigen Abgleich.

Wie sollte ein kleines Unternehmen den Prozess festlegen?

Legt schriftlich fest, dass jede Änderung von Bankdaten per Rückruf bestätigt wird. Definiert außerdem eine zweite Person für die Zahlungsfreigabe und pflegt die Lieferantenstammdaten geschützt. Ein kurzer, immer gleicher Ablauf ist besser als eine Prüfung nur nach Gefühl.