Lieferant möchte Bankverbindung ändern

Wenn Sie eine E-Mail eines Lieferanten vor sich haben, in der steht, seine Bankverbindung habe sich geändert, halten Sie inne, bevor Sie irgendetwas ändern. Diese Aufforderung ist die mit Abstand häufigste Form des Rechnungsbetrugs in Europa, und die Variante, die funktioniert, sieht überhaupt nicht verdächtig aus. Kam die Bitte per E-Mail, liest die E-Mail-Prüfung diese Nachricht in Ihrem Browser und sagt Ihnen, ob sie wirklich von der Domain Ihres Lieferanten stammt.

Das Einzige, was zu tun ist: Rufen Sie unter einer Nummer an, die Sie bereits hatten. Nicht die Nummer in der E-Mail, nicht die in der Signatur, nicht die auf der neuen Rechnung. Eine Nummer aus einer alten Rechnung, aus Ihrem Buchhaltungssystem oder von ihrer Website, die Sie selbst aufgerufen haben. Alles Weitere erklärt, warum genau dieser Schritt der entscheidende ist.

Warum die E-Mail völlig normal aussieht

Die erfolgreiche Variante dieses Betrugs ist kein Fremder mit einer Nachahmer-Domain. Es ist eine echte E-Mail, aus dem echten Postfach des echten Lieferanten, weil jemand in dieses Postfach gelangt ist — meist mit einem Passwort aus einem fremden Datenleck oder über eine Phishing-Seite, die es Wochen zuvor abgegriffen hat.

Einmal drinnen, liest der Angreifer den Mailverlauf. Er sieht Ihre Bestellnummern, Ihre Zahlungsziele, den Namen der Person, die Ihnen sonst schreibt, und wie diese Person unterschreibt. Oft wartet er, bis eine echte Rechnung verschickt wurde, und hakt dann im selben Verlauf mit neuen Kontodaten nach. Manchmal richtet er eine Postfachregel ein, sodass Ihre Antworten dem echten Lieferanten verborgen bleiben — weshalb „Ich habe nachgefragt und sie haben bestätigt“ keine Bestätigung ist.

Damit bestehen die üblichen Prüfungen:

• Die Absender-Domain ist echt — es ist ihre Domain, also gehen SPF und DKIM durch.
• Die E-Mail-Adresse stimmt, Zeichen für Zeichen.
• Die USt-IdNr. auf der Rechnung ist echt und registriert, denn es ist ihre USt-IdNr.
• Der Verlauf ist echt, denn es ist der echte Verlauf.
• Die neue IBAN besteht ihre Prüfsumme, denn zum Empfang des Geldes wurde ein funktionierendes Konto eröffnet.

Nichts an der Rechnung ist gefälscht. Nur das Ziel hat sich geändert.

Warum der Anruf keine Formalie ist

Jede automatische Prüfung beantwortet eine Frage nach der Identität: Ist das ein echtes Unternehmen, ist das eine echte USt-Registrierung, ist das eine korrekt gebildete Kontonummer. Keine davon beantwortet die hier allein entscheidende Frage nach der Berechtigung: Hat dieses Unternehmen Sie tatsächlich gebeten, Geld woandershin zu schicken?

Keine öffentliche Datenquelle kann das beantworten. Die Inhaberschaft eines Bankkontos ist in der EU und im Vereinigten Königreich nicht öffentlich — Polen ist die einzige Ausnahme —, also sagt Ihnen kaum eine Abfrage, auf wessen Namen das Konto läuft. Ein Mensch beim Lieferanten kann das in etwa einer Minute.

Nutzen Sie eine Nummer, die Sie bereits hatten — genau darum geht es. Wer das Postfach kontrolliert, kontrolliert auch die Telefonnummer in der Signatur der E-Mail, die er geschickt hat.

Was Sie prüfen können, während Sie auf den Rückruf warten

Nichts davon ersetzt den Anruf. Nützlich ist es, weil es gelegentlich aus einem „vermutlich in Ordnung“ eine eindeutige Antwort macht — und weil es eine Minute kostet.

• Passt das IBAN-Land zum Land der Registrierung? Ein deutscher Lieferant, dessen Konto plötzlich in einem anderen Land liegt, ist es wert, im Gespräch benannt zu werden. Oft ist es harmlos — Konzern-Treasury, Factoring oder ein Zahlungsdienstleister wie Wise oder Revolut —, aber es ist eine Tatsache, die man aussprechen sollte. Siehe IBAN-Land weicht vom USt-Land ab.
• Stimmt der Name im Register mit dem auf der Rechnung überein? Siehe gültige USt-IdNr., anderer Name.
• Ist die Domain exakt richtig? Lesen Sie sie Zeichen für Zeichen, von rechts nach links. rn sieht aus wie m, l sieht aus wie I, und ein hinzugefügter oder weggelassener Bindestrich ist unsichtbar, wenn man das Wort ohnehin kennt.
• Setzt die Domain DMARC durch? Wenn nicht, kann jeder Mail von ihr fälschen, was die Zahl der Wege vergrößert, auf denen diese E-Mail Sie erreicht haben könnte. Siehe keine DMARC-Richtlinie.

Sie können USt-IdNr., die neue IBAN und die Domain gemeinsam auf der Startseite in einem Vorgang prüfen.

Anzeichen, die man ernst nehmen sollte

Keines ist ein Beweis, und ihr Fehlen ist keine Beruhigung. Sie verschieben die Wahrscheinlichkeiten:

• Dringlichkeit rund um die Änderung. „Noch vor Monatsende“, „das alte Konto ist ab heute geschlossen“, „die Zahlung ist fehlgeschlagen, bitte erneut senden“. Dringlichkeit existiert, um Sie vom Anrufen abzuhalten.
• Eine Änderung, die zusammen mit einer Rechnung kommt, statt als eigene Mitteilung aus einem Konto, das Sie bereits kennen.
• Die Bitte, die Änderung vertraulich zu behandeln oder die Bestätigung über denselben Mailverlauf statt über einen anderen Kanal laufen zu lassen.
• Reply-to weicht von From ab. Ein Blick in die Kopfzeilen lohnt sich, auch wenn sein Fehlen nichts bedeutet, wenn das Postfach selbst kompromittiert ist.
• Der Betrag ist ungewöhnlich rund oder ungewöhnlich hoch im Vergleich zu dem, was dieser Lieferant sonst fakturiert.
• Der Erstkontakt ist eine Bankänderung. Ein Lieferant, den Sie noch nie bezahlt haben und dessen erste inhaltliche E-Mail neue Kontodaten enthält.

Wenn Sie bereits gezahlt haben

Das Tempo entscheidet über den Ausgang, tun Sie das also vor allem anderen.

1. Rufen Sie sofort Ihre Bank an und bitten Sie um einen Rückrufversuch. Geld lässt sich manchmal innerhalb von Stunden stoppen; nach ein bis zwei Tagen ist es meist weg. Verwenden Sie den Begriff „autorisierter Push-Payment-Betrug“ — er leitet Sie an das richtige Team.
2. Rufen Sie den Lieferanten unter einer bekannten Nummer an, damit er erfährt, dass sein Postfach kompromittiert ist. Er ist hier ebenfalls Opfer, und andere seiner Kunden werden heute mit derselben E-Mail angegriffen.
3. Erstatten Sie Anzeige. In Deutschland bei der Polizei, in Österreich und der Schweiz ebenso; die meisten nehmen Online-Anzeigen entgegen. Ein Aktenzeichen ist normalerweise Voraussetzung, bevor eine Bank eine Erstattung überhaupt prüft.
4. Bewahren Sie alles auf — die E-Mail mit vollständigen Kopfzeilen, die Rechnung, den Zahlungsbeleg und eine Notiz, mit wem Sie wann gesprochen haben.

Was die Verification of Payee abdeckt und was nicht

Seit dem 9. Oktober 2025 muss jede Bank im Euroraum den Namen des Zahlungsempfängers gegen die IBAN prüfen, bevor Sie eine Überweisung bestätigen. Sie geben das Konto ein, und Ihre Bank sagt Ihnen, ob der Name darauf mit dem von Ihnen eingegebenen übereinstimmt. Die Pflicht folgt aus der EU-Verordnung über Echtzeitüberweisungen und gilt für gewöhnliche Überweisungen ebenso wie für Echtzeitzahlungen.

Das ist die beste Kontrolle, die es je gegen genau diesen Betrug gab, und sie verändert den Zweck des Telefonats, statt es zu ersetzen.

Was sie erkennt. Das Konto lautet auf einen anderen Namen. Das ist die übliche Form dieses Betrugs, und die Bank sagt es Ihnen jetzt, bevor das Geld fließt.

Was sie nicht erkennt — und das ist der wissenswerte Teil:

• Eine „annähernde Übereinstimmung“. Banken melden auch Beinahe-Treffer, und ein Beinahe-Treffer sieht genau so aus wie ein legitimer abweichender Handelsname — und ebenso wie ein absichtlich ähnlicher Kontoname. Die Anzeige unterscheidet sie nicht.
• Ein auf den Namen des Lieferanten eröffnetes Strohmannkonto. Lautet das Konto tatsächlich auf diesen Namen, besteht die Prüfung. Sie prüft das Konto, nicht die Frage, wer Sie zur Zahlung aufgefordert hat.
• Alles außerhalb des Euroraums. Das Vereinigte Königreich hat seit 2020 Confirmation of Payee; ein großer Teil der übrigen Welt hat nichts dergleichen.
• Eine Zahlung auf jedem anderen Weg. Eine geänderte Lastschrift, eine Kartenzahlung, ein im Portal geänderter Dauerauftrag.

Die Regel ändert sich also nicht: eine Änderung der Bankdaten wird mündlich bestätigt, unter einer Nummer, die Sie schon hatten. Die Verification of Payee sagt Ihnen, wem das Konto gehört. Sie kann nicht sagen, ob Ihr Lieferant Sie gebeten hat, dorthin zu zahlen — und das bleibt die Frage.

Was die Prüfung des Empfängernamens abdeckt und was nicht geht das vollständig durch.

Damit es nicht wieder passiert

Die Kontrolle, die wirkt, ist eine Regel, keine Gewohnheit: Änderungen der Bankverbindung werden jedes Mal telefonisch unter einer hinterlegten Nummer bestätigt, und zwar von einer anderen Person als derjenigen, die die Anfrage erhalten hat. Aufgeschrieben, für alle geltend, ohne Ausnahmen für Menschen, die man mag.

Speichern Sie Telefonnummern von Lieferanten in Ihrem Buchhaltungssystem, nicht im Posteingang, damit die Nummer, die Sie anrufen, nicht von demjenigen bearbeitet werden kann, der die E-Mail geschickt hat. Und behandeln Sie eine nur per E-Mail bestätigte Änderung als gar nicht bestätigt — auch dann, wenn die Antwort von der richtigen Adresse kommt.

Dafür gibt es eine einseitige Prüfliste — wer wen unter welcher Nummer angerufen und wer freigegeben hat — zum Ausdrucken und Aufbewahren bei der Zahlung.