Faktura & Betrugsmasche IBAN-Tausch
Datum:
Bei dem Austausch der IBAN auf einer Rechnung handelt es sich um eine hochprofessionelle Form des Online-Betrugs, die oft als Rechnungsmanipulation oder Man-in-the-Middle-Angriff bezeichnet wird.
Wir erklären, wie diese kriminelle Masche funktioniert und wie Sie sich davor schützen können.
Wie funktioniert die Rechnungsmanipulation und wie kann ich mich davor schützen?
Das Abfangen
Kriminelle hacken sich in die E-Mail-Server oder Accounts von Unternehmen oder Kunden ein. Sie fangen den E-Mailverkehr ab, in dem Rechnungen als PDF-Datei verschickt werden.
Die Fälschung
Die Betrüger ändern auf dem Rechnungsdokument ausschließlich die Bankverbindung (IBAN) ab. Alle anderen Details wie Firmenlogo, Rechnungsbetrag, Leistung und Kundenname bleiben absolut identisch und fehlerfrei.
Der Versand
Die manipulierte Rechnung wird über die gehackte oder eine täuschend echte Mailadresse an den Kunden weitergeleitet. Manchmal wird ein Hinweis wie „Achtung, neue Bankverbindung“ hinzugefügt.
Der Schaden
Der Kunde überweist das Geld im guten Glauben an das vermeintliche Unternehmen. In Wahrheit landet die Summe auf dem Konto der Betrüger (häufig im Ausland) und wird sofort weitergeleitet.
Wer haftet für den Schaden?
Das Schleswig-Holsteinische Oberlandesgericht hat am 18.12.2024 geurteilt (Aktenzeichen 12 U 9/24), dass Unternehmen grundsätzlich ihren Zahlungsanspruch behalten, wenn die Rechnung auf ihrem Weg abgefangen wurde. Allerdings können Kunden Schadensersatzansprüche geltend machen, wenn das Unternehmen seine IT-Systeme nicht ausreichend gegen Hacker geschützt hat.
Die Schuldfrage muss daher meist im Einzelfall juristisch geprüft werden.
So schützen Sie sich vor der Überweisung
- IBAN abgleichen
Prüfen Sie das Länderkennzeichen am Anfang der IBAN (z. B. steht ES für Spanien oder PT für Portugal). Handwerkern oder Dienstleistern aus der Region fehlt ein plausibler Grund für Auslandskonten.
- Änderungen direkt verifizieren
Wenn ein Partner eine neue Bankverbindung angibt, rufen Sie das Unternehmen vor der Zahlung an. Nutzen Sie dafür niemals die Kontaktdaten aus der aktuellen Mail, sondern Nummern von früheren Schreiben oder der offiziellen Webseite.
- Vorsicht bei Zeitdruck
Kriminelle fordern oft eine extrem schnelle Zahlung. Lassen Sie sich nicht verunsichern.
- Banken-Sicherheitscheck nutzen
Seit Ende 2025 sind Banken in der EU verpflichtet, einen automatischen Abgleich von IBAN und Empfängername durchzuführen (VOP Empfängerüberprüfung). Wenn Name und Kontoinhaber stark voneinander abweichen, erhalten Sie vor der Freigabe eine Warnung. Nutzen Sie diesen Abgleich und prüfen Sie Abweichungen genau!
Was tun, wenn Sie bereits bezahlt haben?
- Sofort die Bank kontaktieren
Versuchen Sie umgehend, die Überweisung über Ihre Bank stoppen oder zurück buchen zu lassen.
Das Zeitfenster dafür ist nach der Ausführung extrem klein.
- Rechnungssteller informieren
Sagen Sie dem eigentlichen Unternehmen Bescheid, dass dessen Rechnungen oder E-Mails manipuliert werden.
- Polizeianzeige erstatten
Sichern Sie den gesamten E-Mail-Verlauf sowie die PDF-Rechnung als Beweismittel und erstatten Sie Anzeige.