IBAN-Betrug erkennen: CEO-Fraud, Phishing, Fake-Rechnungen

Die drei häufigsten Betrugsmuster

**CEO-Fraud (Fake President):** Eine E-Mail im Namen des Geschäftsführers fordert eine "dringende vertrauliche Überweisung". Die IBAN gehört dem Betrüger. Erkennungs­merkmale: ungewöhnliche Eile, unerwartete Bankverbindung, kein Vier-Augen-Prinzip, abweichende E-Mail-Adresse. Die Schadenshöhe hängt von Quelle, Zeitraum und erfassten Fällen ab; prüfen Sie aktuelle Lageberichte statt eine allgemeine Zahl zu übernehmen.

**Fake-Rechnung mit ausgetauschter IBAN:** Echte Rechnung eines bekannten Lieferanten — aber die IBAN auf dem PDF wurde manipuliert. Der Betrüger fängt entweder die E-Mail ab oder hat Zugang zum Postfach des Lieferanten. Erkennungs­merkmal: IBAN weicht von früheren Rechnungen desselben Lieferanten ab.

**Phishing mit "neuer Bankver­bindung":** Mail vom angeblichen Lieferanten/Geschäfts­partner: "Bitte ab heute auf neues Konto überweisen, IBAN DE…". Häufig perfekt im Corporate Design des Lieferanten. Schutz: keine IBAN-Änderung ohne telefonische Rück­bestätigung über die im Stammsatz hinterlegte Nummer (NICHT über die in der Mail genannte).

Verification of Payee als technische Verteidigung

Für die von der EU-Verordnung 2024/886 erfassten Zahlungsdienstleister gelten je nach Staat, Zahlungsart und Frist Empfängerabgleichspflichten. Bei "No Match" oder "Close Match" sollte die Bankverbindung unabhängig geprüft werden; eine Warnung beweist allein weder Betrug noch die Haftungsfolge. Eine ähnliche Kontobezeichnung kann weiterhin einen manuellen Check erfordern.

VoP allein reicht aber nicht: Wenn der Betrüger ein Konto auf einen ähnlichen Namen führt ("Müstermann" GmbH statt "Mustermann GmbH"), erscheint nur "Close Match" — manche Mitarbeiter genehmigen das aus Zeitdruck. Daher ergänzend: Vier-Augen-Prinzip bei jeder neuen oder geänderten Bankver­bindung.

Workflow-Verteidigung im Unternehmen

Konkrete Kontrollen, die das Risiko von IBAN-Betrug in Unternehmen senken:

• Vier-Augen-Prinzip im ERP für JEDE Änderung an Lieferanten-Stamm­daten (insbesondere IBAN, BIC, Bankname).
• Bei Mail "neue Bankver­bindung" — IMMER telefonisch rückbestätigen, über die Telefonnummer aus dem ERP-Stammsatz, NICHT über die Nummer in der Mail.
• VoP-Antwort als Pflicht­bestandteil der Workflow-Freigabe konfigurieren — kein Mismatch durchwinken.
• Limit-Schwellen­werte definieren: Überweisungen > 10.000 € benötigen zusätzlich Geschäftsführer-Freigabe.
• Awareness-Training für Buchhaltung und Assistenz: typische Phrasen ("vertraulich", "dringend", "nur du") als Alarmzeichen erkennen.
• Cyberversicherung nur nach Prüfung von Police, Ausschlüssen und Meldefristen einplanen; Deckung ist nicht pauschal zugesagt.

Was tun, wenn der Schaden eingetreten ist

Kontaktieren Sie die Hausbank sofort und fragen Sie nach dem zulässigen Recall-Verfahren. Bei konkretem Betrugsverdacht können Sie zusätzlich Anzeige erstatten und eine bestehende Versicherung informieren.

Dokumentation: Original-Mail, IBAN, Betrag, Zeitstempel, beteiligte Personen, Korrespondenz mit Bank — alles archivieren. Forensische E-Mail-Analyse durch IT prüfen lassen, ob ein Mailbox-Hijacking vorliegt.

Im Glossar