IBAN-Land weicht vom USt-Land ab

Wenn eine Prüfung gemeldet hat, dass die USt-IdNr. in einem Land registriert und die IBAN in einem anderen ausgestellt wurde, ist zuerst zu wissen: Das ist häufig und völlig legal. Zweitens: Es sind dreißig Sekunden Aufmerksamkeit wert.

Warum es meist nichts bedeutet

Innerhalb des SEPA-Raums kostet eine Euro-Zahlung auf ein Konto in einem anderen Mitgliedstaat dasselbe und dauert genauso lange wie eine inländische. Es gibt für ein Unternehmen keinen Grund, in jedem Land, aus dem es Rechnungen stellt, ein Konto zu führen, und viele Gründe dagegen. Gewöhnliche Erklärungen sind:

• Konzern-Banking. Eine Tochtergesellschaft stellt unter ihrer lokalen USt-Registrierung Rechnungen, während der Konzern zentral vereinnahmt, oft in den Niederlanden, Irland oder Luxemburg.
• Zahlungsdienstleister. Wise, Revolut, Stripe, Mollie und Airwallex vergeben Konten dort, wo sie lizenziert sind, nicht dort, wo der Kunde sitzt. Eine belgische oder litauische IBAN auf einer Rechnung von irgendwo in Europa bedeutet meist genau das.
• Factoring. Der Lieferant hat die Forderung verkauft, und die Rechnung leitet die Zahlung berechtigterweise auf das Konto der Factoring-Gesellschaft, häufig im Ausland.
• Das Unternehmen hat seine Bankverbindung tatsächlich gewechselt und es nicht erwähnt, weil daran aus seiner Sicht nichts bemerkenswert ist.

Nichts davon ist ein Warnsignal, und genau deshalb stellt dieses Werkzeug den Unterschied nicht als eines dar. Eine Prüfung, die jede grenzüberschreitende IBAN markiert, würde bei einem großen Teil ehrlicher europäischer Rechnungen anschlagen — und eine Warnung, die meistens falsch ist, ist eine Warnung, die man wegzuklicken lernt.

Warum es trotzdem einen Blick wert ist

Der Betrug, für den das zählt, ist keine Scheinfirma. Es ist ein echter Lieferant, den Sie schon bezahlt haben, dessen E-Mail-Konto kompromittiert wurde — und das Einzige, was sich auf der Rechnung geändert hat, ist das Bankkonto. Seine USt-IdNr. ist weiterhin gültig. Seine Domain besteht weiterhin jede E-Mail-Authentifizierungsprüfung. Nichts, worauf ein Einzweck-Prüfer schaut, hat sich verändert, weil sich am Lieferanten nichts verändert hat.

Verändert hat sich das Verhältnis zwischen zwei Tatsachen: wer sie sind und wohin das Geld jetzt fließt. Genau diesen Unterschied meldet diese Prüfung, und das ist der Grund, warum das Werkzeug Register- und Bankprüfungen gemeinsam durchführt statt nacheinander.

Die Frage, die Sie stellen sollten

Sie müssen niemanden ins Verhör nehmen. Bei dem Anruf, den Sie ohnehin zur Bestätigung der Bankverbindung führen — unter einer Nummer aus einer früheren Rechnung oder Ihren eigenen Unterlagen, niemals aus der E-Mail, die vor Ihnen liegt — fragen Sie:

„Hat sich Ihr Bankkonto seit der letzten Rechnung geändert?“

Lautet die Antwort nein und ist die IBAN vor Ihnen nicht die, an die Sie zuletzt gezahlt haben, halten Sie an und eskalieren Sie. Lautet die Antwort ja, lassen Sie sich das Kontoland und die letzten vier Ziffern laut vorlesen und gleichen Sie das mit dem ab, was Sie haben.

Was es Ihnen nicht sagt

Ein übereinstimmendes Land ist keine Beruhigung. Ein Angreifer, der die Überweisung stimmig aussehen lassen will, kann ein Konto im Land des Lieferanten eröffnen, und viele tun das. Übereinstimmende Länder bedeuten, dass eine bestimmte Auffälligkeit fehlt, mehr nicht.

Ebenso läuft dieser Vergleich nur, wenn die USt-IdNr. vom Register bestätigt wurde und die IBAN ihre Prüfsumme bestanden hat. Fehlte eines von beiden oder war es nicht erreichbar oder ungültig, hat die Prüfung nichts zu vergleichen und sagt gar nichts — statt zu raten.