Geänderte Bankverbindung auf der Rechnung: So erkennst du den Betrug, bevor du zahlst

Die kurze Antwort: Eine neue IBAN allein ist kein Alarmzeichen. Bankverbindungen ändern sich ständig, und ein Auslandskonto ist heute ganz normal. Verdächtig wird es, wenn sich der gewohnte Ablauf ändert: ein anderer Absender, eine andere Ansprechperson, eine Rechnung, die irgendwie anders kommt als sonst. Übernimm eine neue Bankverbindung deshalb nie direkt aus einer Mail in deine Stammdaten. Achte bei jeder Überweisung auf die Empfängerüberprüfung deiner Bank, und frag bei der kleinsten Abweichung persönlich nach, bevor du zahlst.

Ein Fall aus der Praxis

Diesen Fall habe ich nicht bei einer Eingangsrechnung erlebt, sondern bei einer Steuerrückzahlung. In der Kanzlei galt eine klare Regel: Bevor ein Steuerguthaben zurückgefordert wird, bestätigt der Mandant die Bankverbindung, auf die das Geld gehen soll.

Genau da haben Betrüger angesetzt. Sie haben die E-Mail-Adresse des Mandanten so gut nachgemacht, dass es niemandem aufgefallen ist, und eine falsche IBAN durchgegeben. Die Rückzahlung ging auf ihr Konto. Das Geld zurückzuholen war danach unfassbar viel Arbeit.

Das Muster ist bei Eingangsrechnungen dasselbe. Und dort sehe ich gerade eine echte Lücke: Der Gesetzgeber will langfristig weg vom Papier und hin zur E-Rechnung. Trotzdem verschicken sehr viele Firmen ihre Rechnungen noch als Word- oder Excel-Datei, ohne jeden Schutz. Technisch ist so eine Datei nur ein gepacktes Archiv mit Textdateien. Wer sie unterwegs abfängt, tauscht die IBAN in wenigen Minuten aus, und der Rechnung sieht man das nicht an.

Woran du die Falle wirklich erkennst

Die üblichen Phishing-Tipps sagen: Achte auf Zeitdruck und auf ausländische Konten. In der Praxis hilft dir beides wenig.

Zeitdruck ist kein gutes Signal. In fast fünf Jahren Buchhaltung habe ich gelernt, dass Zahlungsfristen für viele Unternehmer eher eine Richtschnur als eine Regel sind. Eine Mahnung mit „bitte umgehend" ist Alltag, kein Beweis für Betrug.

Ein Auslandskonto ist kein Alarmzeichen. Ich habe als Österreicher selbst ein Geschäftskonto bei einer Onlinebank mit deutscher IBAN. Andere Anbieter vergeben sogar Konten aus dem Baltikum. Wer jede ausländische IBAN verdächtig findet, prüft sich zu Tode und übersieht trotzdem den echten Fall.

Worauf du stattdessen achten solltest: Ist etwas anders als sonst? Wenn du länger mit jemandem Geschäfte machst, weißt du ungefähr, wann und wie abgerechnet wird. Genau das ist dein bester Filter:

• Der Absender ist fast gleich. Ein Buchstabe anders, eine andere Endung, ein bekannter Name mit fremder Domain. Mailadressen nachzumachen ist leicht, das zeigt der Fall oben.
• Die Mail kommt aus einem echten Verlauf. Wenn das Postfach des Lieferanten gehackt wurde, antworten die Betrüger direkt in eurer bisherigen Konversation. Dann stimmt sogar die Adresse.
• Die Rechnung sieht aus wie immer, nur die IBAN ist neu. Gleiches Layout, gleiche Positionen, andere Bankverbindung.
• Der Weg ist ein anderer. Ein Beispiel: Deine Rechnungen kommen sonst immer von deinem Kundenbetreuer, und plötzlich schreibt die allgemeine Office-Adresse.

Meine Regel: Sobald irgendetwas auch nur eine Nuance anders ist als sonst, nimm zuerst persönlich Kontakt auf und schau dann weiter.

Wo Betriebe am verwundbarsten sind

Dass in einem kleinen Betrieb eine Person Stammdaten pflegt, bucht und überweist, ist normal und für sich noch kein Problem. Gefährlich sind zwei andere Gewohnheiten:

1. Die neue IBAN wird direkt aus der Mail übernommen. Jemand liest „Bitte beachten Sie unsere neue Bankverbindung", ändert die Stammdaten, fertig. Ab jetzt geht jede Zahlung an dieses Konto.
2. Die Zahlungen werden im Stapel freigegeben, ohne hinzuschauen. Der Chef klickt die Sammelüberweisung durch, weil es ja immer passt.

Beides ist für mich ein No-Go. Und verlass dich nicht darauf, dass es jemand anderer merkt: Dein Steuerberater kontrolliert keine IBANs. Das muss ein Unternehmen selbst im Griff haben.

Ein schlanker Prüfablauf für jedes KMU

Du musst nicht bei jeder Änderung den Lieferanten anrufen. Das ist im Alltag nicht machbar und auch nicht nötig. So bleibt es schlank:

1. Neue Bankverbindungen erst nach Prüfung übernehmen. Die Mail ist eine Information, kein Auftrag. Übernommen wird erst, wenn die Prüfung passt, und die Änderung wird mit Datum dokumentiert.
2. Die Mail genau anschauen. Gleicher Absender wie immer? Gleiche Ansprechperson, gleicher Ton, gleiches Format? Wenn ja, ist das Risiko gering.
3. Die Empfängerüberprüfung der Bank ernst nehmen. Seit 9. Oktober 2025 gleicht deine Bank bei jeder SEPA-Überweisung in Euro den Empfängernamen mit der IBAN ab, bevor du freigibst. Das Ergebnis lautet „stimmt überein", „stimmt nahezu überein", „stimmt nicht überein" oder „Prüfung nicht möglich". Alles außer „stimmt überein" heißt: erst klären, dann zahlen. Wichtig für Firmen: Bei Sammelüberweisungen kann auf diese Prüfung verzichtet werden. Wer im Stapel zahlt, sollte nachsehen, ob sie bei ihm überhaupt läuft.
4. Optional: die IBAN prüfen. Kostenlose IBAN-Rechner im Netz zeigen dir, zu welcher Bank ein Konto gehört. Taucht eine Bank auf, die zu diesem Lieferanten überhaupt nicht passt, ist das ein Hinweis. Mehr aber auch nicht: Betrüger nutzen meistens echte Konten bei ganz normalen Banken.
5. Im Zweifel anrufen, und zwar unter der Nummer, die du schon hast. Nie unter der Nummer aus der verdächtigen Mail.

Das Geld ist schon weg: Was jetzt?

Dann zählt jede Stunde. Die Reihenfolge:

1. Sofort die eigene Bank kontaktieren. Vielleicht lässt sich die Überweisung noch stoppen oder zurückholen. Je schneller, desto eher ist das Geld noch auf dem Empfängerkonto.
2. Sofort den Lieferanten informieren. Es geht um sein Geld, deine echte Rechnung ist weiterhin offen. Und vermutlich bist du nicht sein einziger Kunde, der diese Mail bekommen hat.
3. Anzeige erstatten. Kommt das Geld über die Bank nicht zurück, führt am Behördenweg ohnehin kein Weg vorbei.

Wie Firefly Aria dabei hilft

Firefly Aria vergleicht jede eingehende Rechnung mit der Historie des Lieferanten. Weicht die Bankverbindung von den bisherigen Rechnungen ab, schlägt Aria Alarm, bevor die Zahlung vorbereitet wird. Damit macht die Software genau das, was dieser Artikel empfiehlt: Sie prüft, ob etwas anders ist als sonst, auch an Tagen, an denen bei dir die Zeit knapp ist. Ob Aria zu deinem Betrieb passt, findest du im Passungs-Check heraus.

Zum Schluss

Der Finance-Bereich ist der sensibelste Bereich im Unternehmen. Hier solltest du immer sorgfältig arbeiten, denn ein Fehler ist schnell passiert und nur mühsam wieder rückgängig zu machen.

Häufige Fragen

Ist eine ausländische IBAN auf einer Rechnung verdächtig? Nein, nicht für sich allein. Viele Unternehmen haben heute Konten bei Onlinebanken mit deutscher oder baltischer IBAN. Verdächtig ist eine IBAN, die sich ohne nachvollziehbaren Grund ändert, vor allem wenn gleichzeitig der Absender oder der übliche Ablauf anders ist.

Wie prüfe ich eine neue Bankverbindung eines Lieferanten? Übernimm sie nicht direkt aus der Mail. Schau dir an, ob die Mail vom üblichen Absender und auf dem üblichen Weg kommt. Achte bei der Überweisung auf das Ergebnis der Empfängerüberprüfung deiner Bank. Wenn irgendetwas anders ist als sonst, ruf den Lieferanten unter der Nummer an, die du schon gespeichert hast.

Was ist die Empfängerüberprüfung (Verification of Payee)? Seit 9. Oktober 2025 müssen Banken in der EU bei jeder SEPA-Überweisung in Euro vor der Freigabe prüfen, ob Name und IBAN des Empfängers zusammenpassen. Du bekommst eines von vier Ergebnissen: stimmt überein, stimmt nahezu überein, stimmt nicht überein oder Prüfung nicht möglich. Bei Sammelüberweisungen können Unternehmen auf die Prüfung verzichten.

Was tun, wenn ich an eine falsche IBAN überwiesen habe? Sofort die eigene Bank kontaktieren und versuchen, die Zahlung zu stoppen oder zurückzuholen. Danach den echten Lieferanten informieren, weil seine Rechnung offen bleibt und sein Postfach vielleicht gehackt ist. Gelingt die Rückholung nicht, Anzeige bei der Polizei erstatten.

Prüft der Steuerberater die Bankverbindungen auf meinen Rechnungen? Nein. Das ist nicht seine Aufgabe. Zahlungsfreigaben und die Pflege der Lieferantendaten liegen beim Unternehmen selbst.