Prüfen, ob eine Rechnung echt ist

Es ist eine Rechnung von einem Lieferanten eingegangen, den Sie nicht kennen — oder von einem, den Sie kennen, der aber etwas anderes verlangt. Das ist die Reihenfolge, die sich lohnt, und ebenso nützlich: wo der überprüfbare Teil endet.

Die meisten betrügerischen Rechnungen werden in einem der ersten beiden Schritte gefasst. Fast keine wird dadurch gefasst, dass man das PDF noch schärfer ansieht.

Die Zehn-Punkte-Prüfung

Wenn Sie die Kurzfassung wollen: hier ist sie. Die Punkte 1 bis 3 fangen fast alles ab; die übrigen sind je eine Minute wert bei einer Rechnung, die groß ist, von einem unbekannten Absender kommt oder von der letzten abweicht.

1. Gibt es eine Bestellung? Ordnen Sie die Rechnung einer Bestellung, einer Lieferung oder einer Person zu, die sagt, sie habe das angefordert. Keine Bestellung, keine Zahlung — wie gut die Unterlagen auch aussehen.
2. Haben sich die Bankdaten seit dem letzten Mal geändert? Vergleichen Sie mit der vorherigen Rechnung, nicht mit der E-Mail, die Sie gerade vor sich haben.
3. Haben Sie unter einer Nummer angerufen, die Sie schon hatten? Bei jeder Änderung der Kontoverbindung Pflicht. Nicht die Nummer auf der Rechnung, nicht die in der Signatur.
4. Ist die USt-IdNr. registriert, und auf wen? Eine registrierte Nummer beweist, dass es die Registrierung gibt — nicht, dass sie dem Absender gehört.
5. Stimmt der Name im Register mit dem auf der Rechnung überein? Handelsnamen und Konzerngesellschaften erklären die meisten Abweichungen; fragen Sie nach den übrigen.
6. Besteht die IBAN ihre Prüfsumme, und ist sie dort ausgegeben, wo Sie es erwarten? Die Prüfsumme fängt Tippfehler praktisch immer ab und sagt nichts über den Inhaber.
7. Authentifiziert die Absender-Domain ihre eigene Post, und wie alt ist sie? Eine vor drei Wochen registrierte Domain ist etwas anderes als eine zwanzig Jahre alte.
8. Ähnelt der Name einem Sanktionseintrag? Eine Ähnlichkeit ist eine Aufforderung, genauer hinzusehen, nie eine Feststellung.
9. Sind die Pflichtangaben da, und geht die Rechnung auf? Rechnungsnummer, Datum, Name und Anschrift des Lieferanten, USt-IdNr., Leistungsbeschreibung, Netto, Satz, Steuerbetrag.
10. Ist der Lieferant noch werbend tätig? Ein Unternehmen in Liquidation behält oft monatelang eine funktionierende USt-IdNr. und ein funktionierendes Bankkonto.

Die Punkte 4 bis 8 sind die, die ein Computer besser erledigt als ein Mensch, und die Rechnungsprüfung führt alle fünf auf einmal aus: Sie ziehen das PDF hinein, USt-IdNr., Bankverbindung und E-Mail-Domain werden in Ihrem Browser daraus gelesen — die Datei selbst wird nie hochgeladen — und dann in einem Durchgang geprüft.

1. Hat das überhaupt jemand bestellt?

Bevor Sie prüfen, ob das Unternehmen existiert, prüfen Sie, ob der Einkauf existiert. Ordnen Sie die Rechnung einer Bestellung, einer Lieferung oder einer Person in Ihrem Haus zu, die sagen kann: „Ja, das habe ich angefordert.“

Dieser eine Schritt fängt die größte Kategorie gefälschter Rechnungen ab, und die ist überhaupt nicht raffiniert: plausibel aussehende Forderungen für Büromaterial, Verzeichniseinträge, Domainverlängerungen oder „Compliance-Registrierungen“, massenhaft an Unternehmen versandt in der Hoffnung, dass eine davon bezahlt wird, ohne dass jemand nachfragt. Sie setzen vollständig darauf, dass niemand prüft, ob es je eine Bestellung gab.

Verzeichnis- und Registrierungsrechnungen verdienen besondere Erwähnung. Sie sind oft formal als Angebot und nicht als Rechnung formuliert — das Kleingedruckte sagt es — und darauf angelegt, mit der Verlängerung von etwas verwechselt zu werden, das Sie bereits haben.

2. Ist das eine Änderung gegenüber dem bisherigen Vorgehen?

Haben Sie diesen Lieferanten schon bezahlt, vergleichen Sie mit der letzten Rechnung:

• Dasselbe Bankkonto?
• Dieselbe Rechtsperson und USt-IdNr.?
• Dieselbe Absenderadresse und Domain?
• Betrag und Konditionen im üblichen Rahmen?

Eine Änderung der Bankverbindung ist die wichtigste, und sie hat einen eigenen Ratgeber: Ein Lieferant möchte per E-Mail die Bankverbindung ändern.

3. Prüfen Sie die Identitätsangaben

Das sind die Teile, die ein Computer verifizieren kann, und Sie können sie alle auf einmal auf der Startseite laufen lassen. Wenn Ihnen die Rechnung als PDF vorliegt, liest die Rechnungsprüfung USt-IdNr., Bankverbindung und Absender-Domain in Ihrem Browser daraus aus und führt dieselben Prüfungen durch — nichts muss abgetippt werden. Jeder beantwortet eine enge Frage:

• USt-IdNr. Ist sie derzeit registriert, und auf wen? Eine gültige Nummer beweist, dass die Registrierung existiert; sie beweist nicht, dass der Absender sie besitzt, denn USt-IdNrn. sind öffentlich. Siehe gültige USt-IdNr., anderer Name.
• IBAN. Ist sie korrekt gebildet und im erwarteten Land ausgestellt? Die Prüfsumme fängt Tippfehler praktisch immer ab. Über den Kontoinhaber sagt sie nichts — das kann fast keine öffentliche Quelle. Siehe IBAN-Land weicht vom USt-Land ab.
• Sanktionsabgleich. Ähnelt der Name einem Eintrag auf der konsolidierten EU-Liste? Eine Ähnlichkeit, keine Feststellung. Siehe was eine mögliche Übereinstimmung bedeutet.
• Absender-Domain. Authentifiziert sie ihre eigene E-Mail, und wie alt ist sie? Eine vor drei Wochen registrierte Domain ohne DMARC-Richtlinie ist etwas völlig anderes als eine, die es seit einem Jahrzehnt gibt. Siehe keine DMARC-Richtlinie.

4. Lesen Sie das Dokument selbst

Einen Blick wert, aber in beide Richtungen schwaches Indiz — eine kompetente Fälschung hat das alles richtig, und seriöse Kleinunternehmen haben vieles davon falsch.

• Pflichtangaben. Eine EU- oder UK-Rechnung muss Rechnungsnummer, Datum, Name, Anschrift und USt-IdNr. des Lieferanten, eine Leistungsbeschreibung, den Nettobetrag, den Steuersatz und den Steuerbetrag enthalten. Fehlen bei einer großen Rechnung mehrere davon, ist das ein Grund nachzufragen.
• Rechenprobe. Entspricht die Umsatzsteuer tatsächlich dem angegebenen Satz auf den Nettobetrag?
• Stimmigkeit. Passt das Länderpräfix der USt-IdNr. zur Anschrift? Passt die Währung zum Land? Ist die Rechnungsnummer im Vergleich zu früheren plausibel?
• Der Block mit den Bankdaten. Achten Sie auf Anzeichen, dass er getrennt vom Rest bearbeitet wurde — andere Schrift, Ausrichtung oder Abstände.

5. Greifen Sie zum Telefon

Bei allem Wesentlichen und bei jeder Änderung der Bankverbindung: Rufen Sie den Lieferanten unter einer Nummer an, die Sie bereits hatten — aus einer früheren Rechnung, Ihrem Buchhaltungssystem oder von der Website, die Sie selbst aufgerufen haben. Niemals die Nummer auf der Rechnung oder in der E-Mail.

Das ist der Schritt, der den Betrug fängt, der jede andere Prüfung besteht: ein echter Lieferant, eine echte USt-IdNr., eine echte Domain, eine echte Rechnung — und das Bankkonto eines Fremden.

Drei Rechnungen und was sie verraten hat

Alle drei sind Zusammensetzungen aus Mustern, die tatsächlich vorkommen, mit erfundenen Angaben. Worauf es ankommt, ist die Form jeder einzelnen und welcher Schritt oben sie fängt.

1. Die Verlängerung, die nie ein Abonnement war

„Verlängerung eines Verzeichniseintrags — 987 EUR, zahlbar in 7 Tagen.“ Adressiert an das Unternehmen unter seinem korrekten Firmennamen und seiner Anschrift. Mit einer echt wirkenden Referenznummer. In kleinerer Schrift am Fuß: Dies ist ein Angebot, keine Rechnung.

Was stimmte: Den Absender gab es wirklich, und er war umsatzsteuerlich registriert. Name und Anschrift waren korrekt, weil beides öffentlich ist. Nichts war gefälscht.

Was es auffliegen ließ: Punkt 1. Es gab keine Bestellung. Jede Identitätsprüfung besteht sie, weil mit der Identität des Absenders nichts nicht stimmt — sondern mit der Annahme, dass ein Dokument im Eingang für etwas steht, das jemand gekauft hat.

2. Der echte Lieferant mit fremdem Konto

Eine echte Rechnung eines seit zwei Jahren bekannten Lieferanten, im selben E-Mail-Verlauf wie die letzten vier, dieselbe Bestellnummer, dasselbe Layout, dieselbe Signatur. Ein Feld weicht von der vorherigen Rechnung ab: die IBAN. Das Anschreiben entschuldigt die Änderung und erwähnt eine Prüfung.

Was stimmte: fast alles. Das Postfach war Wochen zuvor übernommen worden. Die Domain war echt, SPF und DKIM bestanden also. Die USt-IdNr. war echt. Die IBAN war formal korrekt und gehörte zu einem echten, kürzlich eröffneten Konto.

Was es auffliegen ließ: die Punkte 2 und 3 — und nichts sonst hätte es gekonnt. Das ist der Fall, um den herum diese ganze Seite gebaut ist, siehe Lieferant bittet um Änderung der Bankdaten.

3. Das Unternehmen, das den Betrieb eingestellt hatte

Eine gewöhnliche Beratungsrechnung von einem Unternehmen, dessen USt-IdNr. sich in VIES sauber auflöst, dessen Name exakt dem Register entspricht und dessen IBAN aus demselben Land stammt.

Was stimmte: jede Prüfung bestand, weil jede Prüfung nach der Registrierung fragte. Das Unternehmen war vier Monate zuvor in Liquidation gegangen. Die USt-IdNr. war weiterhin aktiv — Löschung und Insolvenz sind getrennte Verfahren mit getrennten Zeitplänen — und das Konto war weiterhin offen, nun geführt von einer Insolvenzmasse.

Was es auffliegen ließ: Punkt 10, also das nationale Handelsregister statt VIES. VIES beantwortet, ob eine Nummer registriert ist, und sonst nichts; das Register beantwortet, in welchem Zustand das Unternehmen ist. Siehe was ein Unternehmen in Liquidation für Ihre Zahlung bedeutet.

Was nichts davon Ihnen sagen kann

Es lohnt, hier klar zu sein, denn Werkzeuge, die diese Grenze verwischen, sind der Grund, warum Menschen einem grünen Haken zu sehr vertrauen:

• Wem ein Bankkonto gehört. In der EU und im Vereinigten Königreich nicht öffentlich. Polen ist die einzige Ausnahme, und diese Prüfung nutzt sie.
• Ob die Ware oder Leistung geliefert wurde. Das beantworten nur Ihre eigenen Unterlagen.
• Ob das Unternehmen zahlungsfähig ist oder liefern will. Ein eingetragenes Unternehmen mit sauberen Daten kann trotzdem ein schlechter Geschäftspartner sein.
• Ob die Person, die Ihnen schreibt, die ist, für die sie sich ausgibt. E-Mail-Authentifizierung beweist, dass eine Nachricht von einer Domain kam. Sie kann nicht beweisen, wer an der Tastatur saß — genau deshalb hebelt ein kompromittiertes Postfach sie aus.

Auch deshalb liefert das Werkzeug auf dieser Seite je Prüfung ein eigenständiges Ergebnis und nie ein einziges Urteil „sicher zu zahlen“. Jede Prüfung beantwortet ihre eigene enge Frage ehrlich. Sie zu einer Zahl zusammenzufassen würde eine Sicherheit suggerieren, die keine von ihnen — einzeln oder zusammen — geben kann.