Rechnungsbetrug per E-Mail

Rechnungsbetrug per E-Mail bezeichnet eine Betrugsmasche, bei der Angreifer eine echte oder täuschend echt gefälschte Rechnung mit einer geänderten Bankverbindung versenden, oft nachdem sie zuvor E-Mail-Konten eines Lieferanten oder Kunden über einen längeren Zeitraum unbemerkt ausgespäht haben. Im Unterschied zu Phishing, das primär auf das Erbeuten von Zugangsdaten zielt, geht es hier bereits um die direkte Umleitung einer konkreten, oft schon vereinbarten Zahlung, und im Unterschied zu CEO-Fraud geben sich die Täter meist nicht als Führungsperson, sondern als bekannter Geschäftspartner aus.

Für Handwerksbetriebe ist das doppelt riskant: Als Rechnungsempfänger kann eine gefälschte Zahlungsaufforderung eines vermeintlichen Lieferanten zu einer Überweisung ins Leere führen. Als Rechnungssteller kann umgekehrt ein Kunde durch eine gefälschte Mail dazu gebracht werden, eine berechtigte Zahlung an ein falsches Konto zu leisten, was im Nachhinein zu langwierigem Streit über die tatsächlich erfolgte Zahlung führt, obwohl der Betrieb selbst nichts falsch gemacht hat und die eigentliche Leistung ordnungsgemäß erbracht wurde.

Typisch für diese Masche ist der Zeitpunkt. Die gefälschte Nachricht kommt kurz nach einer echten Rechnung, bezieht sich auf denselben Vorgang und nennt eine angeblich korrigierte Bankverbindung. Weil der Vorgang bekannt ist und die Angaben stimmen, wirkt die Nachricht unauffällig. Auffällig wird sie erst bei der Frage, warum sich die Kontoverbindung eines langjährigen Lieferanten ändern sollte.

Bezug zur Digitalisierung

Je mehr Rechnungsstellung und Zahlungsverkehr digital über E-Mail und Online-Banking laufen, desto wichtiger wird ein wacher Blick auf ungewöhnliche Änderungen, etwa eine neue Bankverbindung in einer sonst vertrauten, seit Jahren gewohnten Korrespondenz. Die Umstellung auf strukturierte elektronische Rechnungsformate kann hier zusätzlich helfen, da sich Rechnungsdaten dabei leichter maschinell mit bereits bekannten Lieferantendaten abgleichen lassen als bei reinen PDF-Anhängen, die sich mit gängigen Programmen beliebig und ohne sichtbare Spuren verändern lassen.

Organisatorisch hilft ein klares Rollenkonzept mit einer festen Regel: Änderungen an Bankverbindungen bestehender Geschäftspartner werden grundsätzlich telefonisch über eine bekannte, unabhängig recherchierte Nummer bestätigt, bevor eine Zahlung angepasst wird. Ebenso sollte sensibler Schriftverkehr zu Zahlungsdaten möglichst über einen sicheren Datenaustausch statt über offene, leicht abfangbare E-Mail-Anhänge erfolgen, insbesondere wenn es um größere Rechnungsbeträge geht.

Sinnvoll ist außerdem, die im Lieferantenstamm hinterlegte Bankverbindung als führend zu behandeln und Abweichungen auf einer Rechnung nicht zu übernehmen, sondern zu klären. Ein System, das jede Abweichung vom Stammsatz meldet und die Zahlung sperrt, verhindert die typischen Fälle, ohne dass jemand die Nachricht selbst als Fälschung erkennen muss.

In der Praxis bewährt sich eine einfache Vier-Augen-Regel für Zahlungen mit geänderten Bankdaten: Eine zweite Person prüft die Änderung unabhängig, bevor die Buchhaltung die neue Verbindung tatsächlich nutzt und die Zahlung endgültig freigibt. Diese kleine organisatorische Hürde lässt sich ohne zusätzliche Software einführen und kostet im Alltag kaum Zeit, verhindert im Ernstfall aber einen finanziellen Schaden, der sich im Nachhinein kaum noch rückgängig machen lässt, weil das Geld meist schnell weitertransferiert wird.