Über

Wer das gebaut hat

Ich bin Jose Pollman. Ich baue kleine, kostenlose Werkzeuge für jeweils eine Aufgabe und betreibe sie selbst — dieses hier, notspoofed.com für E-Mail-Authentifizierung, whattofixfirst.com für Ladezeiten, subcovered.com für die Verwaltung von Versicherungsnachweisen und knowyourmouth.com.

Dahinter steht kein Unternehmen und kein Team. Alles auf dieser Seite ist von einer Person geschrieben und wird von ihr gepflegt, und das ist in beide Richtungen wissenswert: Ihnen wird nichts verkauft, und wenn hier etwas falsch ist, dann weil ich mich geirrt habe. Korrekturen an hello@vetthisvendor.com werden beantwortet.

Über den Betrug, um den herum diese Seite entstanden ist, habe ich geschrieben — The Most Common Invoice Fraud Passes Every Check I Built — auf Medium.

Warum es das gibt

Der übliche Rechnungsbetrug ist kein erfundenes Unternehmen. Es ist ein echter Lieferant, dessen Postfach übernommen wurde: eine echte Rechnung für echte Arbeit, mit einem geänderten Feld — dem Bankkonto. Jede automatische Prüfung besteht, weil alles außer dem Konto echt ist. Das ist der Fall, für den diese Seite gebaut wurde, und deshalb sagt kein Ergebnis hier jemals „sicher zu zahlen“ und deshalb wiederholt jedes Ergebnis dieselbe Anweisung: Bestätigen Sie das Konto telefonisch, unter einer Nummer, die Sie schon hatten.

Seit dem 9. Oktober 2025 müssen Banken im Euroraum die Verification of Payee durchführen: Sie gleichen den Namen des Kontoinhabers mit der IBAN ab, bevor Sie eine Überweisung bestätigen. Das ist ein echter Fortschritt und beantwortet die eine Frage, die diese Seite nicht beantworten kann — gehört das Konto tatsächlich diesem Unternehmen. Sie sagt jedoch nichts darüber, ob das Unternehmen in Liquidation, gelöscht oder sanktioniert ist oder ob die Domain vor drei Wochen registriert wurde. Genau das sind die Fragen hier. Was die Verification of Payee abdeckt geht das im Detail durch.

Alles Weitere war eine Frage des Fundorts. Das USt-Register, ein IBAN-Validator, drei Sanktionslisten, das Handelsregister und die DNS-Einträge der Domain sind fünf verschiedene Orte. Alle fünf von Hand zu prüfen dauert zehn Minuten, also prüfen die meisten eines davon oder gar keines. Dies führt sie aus einer einzigen Eingabe aus.

Wie jede Prüfung funktioniert

USt-IdNr. Das Format wird zuerst lokal je Land validiert, damit eine vertippte Nummer auffällt, bevor überhaupt ein Register befragt wird. Anschließend geht die Nummer live an VIES, den Dienst der Europäischen Kommission, für EU- und nordirische Nummern. Dreizehn Länder werden zusätzlich gegen ihr eigenes nationales Register gelesen, und das ist der entscheidende Teil: VIES beantwortet nur, ob eine Nummer registriert ist, und ein Unternehmen in Liquidation, zahlungsunfähig oder gelöscht hat in der Regel weiterhin eine Nummer, die sich in VIES vollkommen sauber auflöst. Die nationalen Register antworten auch an den Tagen, an denen VIES es nicht tut. GB-Nummern erhalten die lokal geprüfte offizielle Prüfziffer und keine Registerabfrage — siehe unten.

IBAN. Struktur und MOD-97-Prüfsumme, hier berechnet, ohne Dritte und ohne Übertragung. Das ist Arithmetik: Sie fängt den vertauschten Ziffernpaar ab, den das Korrekturlesen übersieht, und sie kann nicht sagen, wem das Konto gehört. Die kontoführende Bank wird genannt, sofern das Land seine Bankleitzahlen veröffentlicht.

Sanktionsabgleich. Eine täglich aktualisierte lokale Kopie dreier Listen — der konsolidierten EU-Liste, der britischen OFSI-Liste und der US-amerikanischen SDN-Liste von OFAC — wird per unscharfem Namensabgleich durchsucht. Der Schwellenwert wurde gemessen und nicht geschätzt und ist so gesetzt, dass Fehltreffer selten sind, denn auf einen falschen Sanktionstreffer wird gehandelt. Abgeglichen werden sowohl der eingegebene Name als auch der vom Register gelieferte, denn eine Rechnung trägt oft einen Handelsnamen und die Liste den Rechtsnamen.

Handelsregister. Companies House für britische Lieferanten, das offizielle französische recherche-entreprises für französische. Beides sind Textsuchen über einen Namen, keine Abfrage per Nummer, daher wird ein einzelnes Unternehmen nur genannt, wenn nach Normalisierung genau ein Treffer übrig bleibt — sonst erhalten Sie die naheliegenden Treffer zur Auswahl. Für ein Land, das keines der beiden Register abdeckt, wird nichts gesucht, und die Karte sagt das, statt zu melden, Ihr lettischer Lieferant stehe „nicht im britischen Register“.

Absender-Domain. SPF, DMARC-Richtlinie, MX-Einträge und das Registrierungsalter der Domain, gelesen aus öffentlichem DNS und RDAP. Das Alter wiegt bewusst schwerer als die E-Mail-Authentifizierung: Wer eine täuschend ähnliche Domain registriert, richtet SPF und DMARC sauber ein, weil die Rechnung ankommen muss — der Betrüger authentifiziert sich also oft besser als der zwanzig Jahre alte echte Lieferant. Das Alter ist das Feld, das die beiden trennt.

Was es bewusst nicht tut

• Es gibt nie ein einziges Urteil ab. Es gibt kein „sicher zu zahlen“-Siegel und keine Risikobewertung. Jede Prüfung erhält ihre eigene, unabhängige Antwort. Eine Punktzahl würde dazu verleiten, auf eine Zahl hin zu handeln, die so viel Bedeutung nicht tragen kann.
• Es beansprucht keine Sanktionsfeststellung. Namensähnlichkeit gegen eine veröffentlichte Liste ist eine Aufforderung, genauer hinzusehen, kein rechtlicher Befund.
• Es sagt Ihnen nicht, dass das Bankkonto stimmt — außer in Polen, dem einzigen Land, das die von Unternehmen für die Umsatzsteuer registrierten Konten veröffentlicht. Überall sonst kann das keine öffentliche Quelle, weshalb jedes Ergebnis dazu auffordert, telefonisch zu bestätigen.
• Es überwacht nichts, solange Sie nicht darum bitten. Eine Prüfung ist eine Prüfung. Supplier Watch gibt es für wiederkehrende Überwachung, und es schreibt nur, wenn sich etwas ändert.
• Es speichert die Rechnung nicht. Ein PDF, das Sie in die Rechnungsprüfung ziehen, wird in Ihrem Browser gelesen; nur die von Ihnen bestätigten Angaben werden überhaupt gesendet.

Warum es kostenlos ist

Der Betrieb kostet fast nichts. Es läuft auf einem Server, der ohnehin für anderes da war, nutzt öffentliche Datenquellen und speichert so gut wie nichts. Es gibt keine Finanzierung, die zu rechtfertigen wäre, und nichts, was verkauft werden soll — es gibt also keinen Grund, eine Prüfung hinter ein Anmeldeformular zu stellen.

Es gibt keine Werbung und keine Tracker außer einem selbst gehosteten, cookiefreien Seitenzähler. Siehe Datenschutz für genau das, was das bedeutet.

Kontakt

hello@vetthisvendor.com — Korrekturen, Fragen, alles zum Werkzeug.

privacy@vetthisvendor.com — Löschung eines gespeicherten Ergebnisses vor Ablauf oder jede Frage dazu, was gespeichert wird. Siehe Datenschutz.

Quellen

• EU-USt — der VIES-Dienst der Kommission, live je Prüfung.
• Britische USt — keine Registerabfrage. HMRC hat seine Prüf-API hinter ein Genehmigungsverfahren gestellt, über das diese Seite nicht verfügt; GB-Nummern werden daher lokal gegen die offizielle Prüfziffer validiert. Das beweist, dass eine Nummer nicht vertippt oder erfunden ist; es kann nicht beweisen, dass sie registriert ist und auf wen — dafür verlinkt das Ergebnis den kostenlosen offiziellen Prüfdienst auf GOV.UK.
• Prüfziffern — für 19 Länder lokal verifiziert, nach dem jeweils veröffentlichten Verfahren. Das ist Arithmetik und funktioniert daher auch, wenn ein Register nicht erreichbar ist.
• Slowenien — das FURS-Steuerregister, täglich aktualisiert, das ein echtes, nicht umsatzsteuerlich registriertes Unternehmen von einer Nummer unterscheidet, die niemandem gehört.
• Polen — die weiße Liste des Finanzministeriums, live je Prüfung. Sie veröffentlicht die Bankkonten umsatzsteuerlich registrierter Unternehmen, wodurch Polen das einzige Land ist, in dem eine IBAN gegen ihren Inhaber geprüft werden kann.
• Rumänien — ANAF, live je Prüfung, einschließlich der Frage, ob das Unternehmen für inaktiv erklärt wurde.
• Estland — der Massenexport des Äriregister, täglich aktualisiert, einschließlich Liquidation und Insolvenz sowie der Frage, ob eine Nummer zu einer Organschaft statt zu einem einzelnen Unternehmen gehört.
• Griechenland — ΓΕΜΗ, live je Prüfung, einschließlich insolvent, in Liquidation und gelöscht.
• Bulgarien — das Handelsregister, live je Prüfung, einschließlich Zahlungsunfähigkeit, Liquidation und Löschung.
• Lettland — der Massenexport des Uzņēmumu reģistrs, täglich aktualisiert, einschließlich beendeter Unternehmen und laufender Insolvenzverfahren.
• Belgien — das öffentliche KBO/BCE-Register, live je Prüfung, einschließlich Insolvenz, Auflösung, gerichtlicher Reorganisation und eingestellter Tätigkeit.
• Litauen — das Unternehmensregister JAR zusammen mit dem Steuerzahlerregister der VMI, live. Die USt-IdNr. ist nicht die Unternehmensnummer, daher schlägt der VMI-Datensatz die Brücke; er meldet auch das Ende einer USt-Registrierung.
• Portugal — Citius, live je Prüfung, für Insolvenz- und Sanierungsverfahren, in denen der Lieferant der Schuldner ist. Die Einträge nennen auch Gläubiger, die es nicht sind.
• Tschechien, Finnland, Frankreich — die nationalen Handelsregister, für den Firmennamen, wenn VIES keinen liefert; Frankreich meldet zusätzlich ein erloschenes Unternehmen.
• Sanktionen — drei Listen, täglich aktualisiert und lokal abgeglichen: die konsolidierte EU-Liste, die britische Liste von OFSI und die US-SDN-Liste von OFAC. Die britische und die US-Liste werden bei den herausgebenden Behörden gelesen, nicht bei einem Spiegel. Schiffe und Luftfahrzeuge sind aus allen dreien ausgenommen. Maßgeblich ist allein die Veröffentlichung der jeweiligen Behörde.
• Handelsregister — die Companies House Public Data API für britische Lieferanten und das kostenlose offizielle recherche-entreprises für französische, live je Prüfung.
• Domain — öffentliche DNS-Einträge und RDAP-Registrierungsdaten.

Was Sie Land für Land erhalten ist dieselbe Information als Tabelle, und sie wird aus den Prüfungen selbst erzeugt statt von Hand geschrieben, kann also nicht hinter dem zurückbleiben, was das Werkzeug tatsächlich tut.