Rechnungsbetrug im Betrieb: wenn der Lieferant die Bankverbindung ändert

Die Ware ist geliefert, der Betrag stimmt, die Rechnung kommt vom bekannten Lieferanten, im gewohnten Layout, als Antwort im laufenden Mailverlauf. Nur ein Satz ist neu: „Bitte beachten Sie unsere geänderte Bankverbindung.“ Die Buchhaltung zahlt. Wochen später mahnt der echte Lieferant.

Diese Masche heißt Rechnungsbetrug oder, im Fachjargon, Business E-Mail Compromise. Sie kommt ohne Drohung und ohne Eile aus und ist deshalb schwer zu bemerken. Die gute Nachricht: Ein einfacher Prozess im Betrieb nimmt ihr die Grundlage.

Wie der Betrug abläuft

Die Wirtschaftskammer Oberösterreich hat den Ablauf am 22. Juli 2025 beschrieben, und er deckt sich mit Warnungen aus Deutschland und den USA:

1. Zugang: Täter verschaffen sich Zugriff auf ein Mailpostfach, beim Lieferanten oder im eigenen Betrieb. Häufig über eine Phishing-Mail, die das Passwort abgefragt hat. Alternativ registrieren sie eine Adresse, die der echten zum Verwechseln ähnlich ist.
2. Mitlesen: Sie beobachten den Mailverkehr, oft tagelang. Wer zahlt? Welche Rechnungen sind offen? Wie schreibt der Lieferant?
3. Umleiten: Sie richten im Postfach Regeln ein, damit Antworten bei ihnen landen und der echte Inhaber nichts merkt.
4. Austauschen: Sie schicken eine „korrigierte“ Rechnung. Das PDF ist echt, nur die IBAN wurde geändert. Oder eine kurze Mitteilung über ein neues Konto, etwa wegen Bankwechsel oder Prüfung.
5. Abwarten: Fragt die Buchhaltung per Mail nach, bestätigen die Täter alles freundlich.

Laut WKO betrifft das nicht mehr nur den internationalen Handel, sondern zunehmend auch Geschäfte zwischen österreichischen Betrieben.

Warum die Adressprüfung hier nicht reicht

Bei klassischem Phishing hilft der Blick auf die Absenderadresse. Beim Rechnungsbetrug mit gehacktem Postfach kommt die Mail aber von der echten Adresse, im echten Verlauf, mit der echten Signatur. Sie können alles richtig prüfen und trotzdem nichts Verdächtiges sehen.

Deshalb verlagert sich die Prüfung vom Inhalt der Mail auf den Vorgang: Eine Änderung der Bankverbindung ist für sich ein Anlass zur Rückfrage, egal wie echt die Mail aussieht.

Die Spuren, die es trotzdem gibt

• Die Änderung selbst. Neue Kontodaten per Mail sind die Spur, auf die es ankommt.
• Der Ländercode der IBAN. Ein österreichischer Lieferant mit einer IBAN, die nicht mit AT beginnt, braucht eine gute Erklärung. Die WKO nennt das ausdrücklich als Warnzeichen.
• „Bitte nur diese Rechnung begleichen“. Die Aufforderung, eine frühere Rechnung zu ignorieren, gehört oft zum Austausch.
• Kleine Abweichungen. Andere Anrede, Wechsel zwischen du und Sie, eine leicht veränderte Signatur, eine neue Telefonnummer in der Mail.
• Die Warnung der Bank. Seit 9. Oktober 2025 müssen Zahlungsdienstleister im Euroraum vor einer Überweisung prüfen, ob Empfängername und IBAN zusammenpassen (Verordnung (EU) 2024/886). Meldet Ihre Bank eine Abweichung, brechen Sie ab und fragen nach. Umgekehrt beweist das Fehlen einer Warnung nichts, denn Täter verwenden auch Konten mit passend klingenden Namen.

Der Prozess, der hilft

Rechnungsbetrug scheitert an einem Schritt, den der Täter nicht kontrolliert: dem Rückruf unter einer Nummer, die Sie schon vor der Mail hatten.

1. Kontodaten gehören in den Stammdatensatz, nicht in die Mail. Halten Sie die Bankverbindung Ihrer Lieferanten im Vertrag oder bei der Anlage fest. Die WKO empfiehlt, die eigenen Kontodaten schon im Vertrag bekannt zu geben und Partner zu verpflichten, Änderungen auch telefonisch zu bestätigen.

2. Jede Änderung wird zurückgerufen. Wer im Betrieb eine Kontoänderung erhält, ruft den Lieferanten unter der gespeicherten Nummer an, nicht unter der Nummer aus der Mail. Wenn möglich bei der Person, mit der man sonst spricht.

3. Vier Augen bei Zahlungen. Eine zweite Person gibt Zahlungen frei, besonders an neue oder geänderte Konten. Das ist kein Misstrauen gegenüber Kolleginnen und Kollegen, sondern ein Schutz für sie.

4. Kein Druck von oben. Wenn die Geschäftsführung oder ein Lieferant auf eine Zahlung drängt, gilt der Prozess trotzdem. Es hilft, wenn die Geschäftsführung das einmal ausdrücklich sagt: „Auch bei mir wird zurückgerufen.“

5. Melden statt löschen. Eine verdächtige Mail gehört an die zuständige Stelle im Betrieb. Und wenn der Lieferant am Telefon sagt, er habe nichts geschickt, sollte er es auch erfahren: Dann ist vermutlich sein Postfach betroffen.

Und wenn die Fälschungen in Ihrem Namen verschickt werden?

Melden Kunden, sie hätten von Ihnen eine Rechnung mit neuer IBAN bekommen, ist wahrscheinlich Ihr eigenes Postfach betroffen. Dann ändern Sie das Passwort sofort, prüfen die Weiterleitungs- und Filterregeln im Postfach, schalten die Anmeldung mit zweitem Faktor ein und informieren Ihre Kundinnen und Kunden über einen anderen Weg, etwa per Telefon.

Wenn schon gezahlt wurde

Rufen Sie sofort Ihre Bank an. Je früher die Bank Bescheid weiß, desto eher kann sie versuchen, die Zahlung zurückzuholen. Danach erstatten Sie Anzeige bei der Polizei und sichern die Mails samt Anhängen, ohne sie weiterzuleiten. Und: Wer gezahlt hat, hat nach einem Prozess gehandelt, der die Lücke offen ließ. Die Lösung ist ein besserer Prozess, keine Schuldzuweisung.

Warum das in die Schulung gehört

Ein Rückruf kostet zwei Minuten. Damit er im Alltag wirklich passiert, muss jede Person in Buchhaltung, Einkauf und Sekretariat die Situation einmal selbst erlebt haben, idealerweise ohne echten Schaden. Ein kurzer, durchgespielter Fall bleibt besser hängen als ein Rundschreiben. Seit 1. Oktober 2026 gilt in Österreich außerdem das NISG 2026. Es verlangt von erfassten Einrichtungen unter anderem, ihren Beschäftigten regelmäßig Schulungen zur Cybersicherheit anzubieten (§ 31 Abs. 2); ob und welche Pflichten Ihren Betrieb treffen, prüfen Sie am Gesetzestext oder mit Ihrer Interessenvertretung.

Checkliste für 60 Sekunden

• Neue Bankverbindung? Nie aufgrund einer Mail übernehmen, auch nicht von der echten Adresse.
• Rückruf: Nummer aus Ihren Stammdaten, nicht aus der Mail.
• Ländercode: Passt die IBAN zum Sitz des Lieferanten?
• Bankwarnung: Stimmen Name und IBAN nicht überein, Zahlung abbrechen und nachfragen.
• Vier Augen: Zahlungen an neue oder geänderte Konten gibt eine zweite Person frei.
• Melden: Verdacht an die zuständige Stelle, Bestätigung des Lieferanten einholen, Mail aufbewahren.

Selbst ausprobieren: Unter /spielen können Sie im Browser einen Fall spielen, in dem eine Mahnung mit neuer Bankverbindung kommt. Ein Fall dauert drei bis vier Minuten; Sie suchen drei Spuren und entscheiden, wie Sie nachfragen.

Quellen: WKO Oberösterreich, Warnung zu Betrug mit geänderten Kontodaten in E-Mails, 22.7.2025; Verordnung (EU) 2024/886 über Sofortzahlungen (Empfängerüberprüfung ab 9.10.2025); FBI IC3, Public Service Announcement zu Business Email Compromise, 11.9.2024.