Ihre Bank prüft jetzt den Empfängernamen. Was das abdeckt.

Seit dem 9. Oktober 2025 müssen Banken im Euroraum bei einer Überweisung den Namen des Empfängers gegen die IBAN prüfen, bevor Sie bestätigen. Sie geben die Kontonummer ein, und Ihre Bank teilt Ihnen mit, ob der Name auf diesem Konto mit dem von Ihnen eingegebenen übereinstimmt.

Das ist eine wirklich gute Kontrolle, und sie beantwortet eine Frage, die diese Seite nicht beantworten kann: Gehört das Konto tatsächlich diesem Unternehmen? Kein öffentliches Register in Europa ordnet ein Bankkonto seinem Inhaber zu — Polen ist die einzige Ausnahme, und auch dort nur für umsatzsteuerlich registrierte Unternehmen. Überall sonst ist Ihre eigene Bank im Moment der Zahlung der einzige Ort, an dem diese Antwort existiert.

Nutzen Sie sie also. Wenn die Empfängerüberprüfung meldet, dass der Name nicht übereinstimmt, halten Sie an — unabhängig davon, was jede andere Prüfung ergeben hat.

Es folgt die andere Hälfte: die Fragen, für die sie nie gedacht war.

Was eine Namensübereinstimmung nicht aussagt

Die Empfängerüberprüfung vergleicht zwei Zeichenfolgen bei der Empfängerbank. Sie ist eine Prüfung des Kontos, nicht des dahinterstehenden Unternehmens. Eine perfekte Übereinstimmung ist mit allem Folgenden vollständig vereinbar.

Das Unternehmen befindet sich in Liquidation. Ein Unternehmen in Abwicklung behält sein Bankkonto und seine USt-IdNr., oft über Monate. Der Name stimmt. Die USt-IdNr. löst auf. Die Rechnung sieht gewöhnlich aus, und das Geld geht an eine Insolvenzmasse statt an ein fortgeführtes Unternehmen.

Das Unternehmen wurde aus dem Register gelöscht. Dasselbe Bild, schlechteres Ende. In Griechenland, Bulgarien und Lettland validiert die USt-IdNr. eines gelöschten Unternehmens häufig weiterhin im VIES-Dienst der EU, weil Abmeldung und Löschung unterschiedliche Verfahren sind, die verschiedene Behörden nach verschiedenen Zeitplänen durchführen.

Das Unternehmen steht auf der EU-Sanktionsliste. Die Namensübereinstimmung bestätigt, dass das Konto der von Ihnen genannten Person oder Firma gehört. Sie sagt überhaupt nichts darüber aus, ob Sie diese bezahlen dürfen.

Die E-Mail mit der Zahlungsaufforderung war gefälscht. Der häufigste Rechnungsbetrug ist keine falsche Kontonummer. Es ist ein echter Lieferant, ein echtes Konto, eine echte Rechnung — versendet aus einem kompromittierten oder täuschend ähnlichen Postfach, mit den Bankdaten des Angreifers. Hat der Angreifer ein Konto unter einem Namen eröffnet, der dem des Lieferanten nahe genug kommt, kann die Namensprüfung bestehen. Ob die Absender-Domain überhaupt fälschbar ist, ist eine eigene Frage — und sie lässt sich vorab beantworten.

Es ist ein Unternehmen, mit dem Sie noch nie zu tun hatten. Die Empfängerüberprüfung sagt Ihnen, dass das Konto demjenigen gehört, den Sie eingegeben haben. Sie kann Ihnen nicht sagen, dass dieser Jemand real ist, tätig ist oder tatsächlich die Leistung erbracht hat.

Wo die Regel noch nicht hinreicht

Zwei Lücken sind bedeutsamer, als sie zunächst wirken.

Außerhalb des Euroraums haben Anbieter bis zum 9. Juli 2027 Zeit. Zahlungsdienstleister in Mitgliedstaaten, deren Währung nicht der Euro ist, erhalten eine längere Frist. Das betrifft Dänemark, Schweden, Polen, Tschechien, Ungarn und Rumänien. Wenn Sie einen Lieferanten dort bezahlen oder von einem dortigen Konto aus zahlen, existiert die Prüfung, auf die sich Ihre Gegenüber im Euroraum bereits verlassen, möglicherweise schlicht noch nicht.

Inlandsüberweisungen in Landeswährung fallen gar nicht unter die Verordnung. Die Pflicht knüpft an Überweisungen in Euro an. Ein polnisches Unternehmen, das einen polnischen Lieferanten in Złoty bezahlt — die überwiegende Mehrheit polnischer Rechnungen —, ist davon überhaupt nicht erfasst und wird es auch im Juli 2027 nicht sein.

Polen verdient besondere Erwähnung, weil Lücke und Abhilfe im selben Land liegen. Es ist der einzige EU-Mitgliedstaat, der die Bankkonten umsatzsteuerlich registrierter Unternehmen veröffentlicht, auf der weißen Liste des Finanzministeriums. Die Zahlung auf ein nicht gelistetes Konto über 15.000 PLN kostet den Zahlenden den Betriebsausgabenabzug und kann eine gesamtschuldnerische Haftung für die nicht abgeführte Umsatzsteuer des Lieferanten begründen. Eine polnische Kontonummer lässt sich also schon heute ihrem Inhaber zuordnen, von jedermann, ohne Bank — genau die Prüfung, die die Empfängerüberprüfung künftig leisten wird und derzeit nicht leistet.

Wie beides zusammenpasst

Sie beantworten unterschiedliche Fragen, in einer sinnvollen Reihenfolge.

Frage	Beantwortet durch
Gehört dieses Konto dem genannten Empfänger?	Ihre Bank bei der Zahlung — oder in Polen die weiße Liste
Ist dieses Unternehmen umsatzsteuerlich registriert?	VIES, live
Ist es tätig, oder in Liquidation, insolvent, gelöscht?	Das nationale Handelsregister
Steht der Name auf einer EU-Sanktionsliste?	Die konsolidierte Liste
Könnte die E-Mail mit dieser Rechnung gefälscht sein?	SPF- und DMARC-Einträge der Absender-Domain

Nur die erste Zeile gehört der Empfängerüberprüfung. Der Rest muss geschehen, bevor Sie zur Zahlungsmaske gelangen — denn dort haben Sie sich bereits entschieden zu zahlen, und die Bank prüft Ihre Eingabe, nicht Ihr Urteil.

Praktisch heißt das: Prüfen Sie den Lieferanten, wenn die Rechnung eintrifft, und lassen Sie die Bank das Konto prüfen, wenn Sie zahlen. Keines ersetzt das andere, und das zweite kommt zu spät, um Ihre Meinung über das erste noch zu ändern.

Die eine Kontrolle, die beiden übergeordnet ist

Wenn sich die Bankdaten eines Lieferanten geändert haben, rufen Sie ihn unter einer Nummer an, die Sie bereits hatten — von einer früheren Rechnung, aus Ihren eigenen Unterlagen oder von der von Hand eingegebenen Website. Niemals unter einer Nummer aus der E-Mail, die die Änderung angekündigt hat.

Das ist die Kontrolle, die den Angriff erwischt, den keines der beiden Systeme sieht, und der Grund, warum diese Seite nie ein einzelnes Urteil „Zahlung unbedenklich“ abgibt. Wenn das Postfach eines echten Lieferanten kompromittiert wurde, bestehen alle automatischen Prüfungen: Das Unternehmen ist echt, die USt-IdNr. gültig, die Domain ordentlich authentifiziert — und wenn der Angreifer sorgfältig war, stimmt auch der Empfängername. Eine Stimme unter einer bekannten Nummer durchbricht diese Kette.