Rechnung mit neuer IBAN: So prüfen Sie Bankverbindungen vor der Zahlung

Inhalt in Kürze

Rechnungsbetrug mit neuer IBAN bedeutet: Eine echte oder echt wirkende Rechnung eines bekannten Lieferanten nennt ein anderes Konto, und das Geld landet bei Fremden.

Das Bundeskriminalamt schätzt die jährlichen Kosten durch CEO-Fraud bei Unternehmen mit mehr als zehn Beschäftigten auf rund 109 Millionen Euro (KKF-Aktuell 1/2024).

Die sicherste Prüfung ist ein Rückruf unter der Nummer, die Sie schon vor der Rechnung kannten. Eine Nummer aus der Mail oder der Rechnung führt zum Absender der Fälschung.

Seit dem 9. Oktober 2025 gleichen Banken im Euroraum vor jeder Überweisung den Namen mit dem Kontoinhaber ab. Die Frage, ob der Lieferant bisher ein anderes Konto hatte, beantwortet Ihr eigener Lieferantenbestand.

Der beste Zeitpunkt für die Prüfung ist das Lesen der Rechnung — dann liegt das Geld noch bei Ihnen.

Die Rechnung kommt vom Lieferanten, mit dem Sie seit Jahren arbeiten. Rechnungsnummer, Betrag und Briefkopf stimmen, nur unten steht eine IBAN, die Sie noch nie gesehen haben.

Meistens hat der Lieferant tatsächlich die Bank gewechselt. Manchmal sitzt jemand in seinem Postfach. Welcher Fall vorliegt, klären Sie mit einer Prüfung von drei Minuten, die Sie einmal einführen und dann jedes Mal gleich machen.

Eine neue IBAN auf einer bekannten Rechnung ist der Kern des IBAN-Betrugs

Rechnungsbetrug mit geänderter Bankverbindung ist eine Betrugsmasche, bei der Täter eine echte Lieferantenrechnung abfangen oder nachahmen und nur das Zahlungskonto austauschen.

Das Bundeskriminalamt fasst solche Fälle unter CEO- oder Business-E-Mail-Betrug. Gemeint ist, so die Infografik des BKA, dass eine zahlungsberechtigte Person „eine gefälschte Rechnung“ bezahlt oder eine nicht autorisierte Überweisung ausführt.

Wie groß das Problem ist, hat das BKA in seinem Forschungsbericht KKF-Aktuell 1/2024 geschätzt, Tabelle 4. Grundlage sind Unternehmen mit mehr als zehn Beschäftigten:

Der Durchschnitt verdeckt die Spannweite: Eine einzige manipulierte Rechnung über eine Maschine oder eine Jahreslizenz kostet schnell ein Vielfaches. Kleinstbetriebe mit weniger als zehn Beschäftigten fehlen in der Schätzung ganz.

Bei einem gefälschten Auftrag der Geschäftsführung fällt die ungewöhnliche Bitte auf. Bei der Rechnung mit neuer IBAN ist alles gewohnt, bis auf eine Zeile.

IBAN-Manipulation: wie Täter an echte Rechnungen kommen

Die überzeugendste gefälschte Rechnung ist eine täuschend echte, bei der nur die IBAN ausgetauscht wurde. Am leichtesten kommt der Täter an sie über ein fremdes E-Mail-Postfach, im Fachjargon Business E-Mail Compromise.

Drei Wege kommen in der Praxis vor.

Der Täter verschafft sich Zugriff auf das Postfach des Lieferanten, etwa über ein abgegriffenes Passwort, und versendet die nächste Rechnung selbst. Oder er liest dort mit und schickt kurz nach der echten Mail eine zweite mit „korrigierter“ Bankverbindung hinterher.

Der dritte Weg braucht gar keinen Einbruch. Eine Absenderadresse, die sich um einen Buchstaben vom Original unterscheidet, reicht, wenn die Rechnung schnell durchgewunken wird.

Das BKA nennt die Anzeichen, die alle drei Wege verbinden:

• Druck und Dringlichkeit: Die Zahlung soll heute noch raus
• Eine Bitte, die Ihren internen Abläufen widerspricht
• Bitte um Vertraulichkeit oder darum, den üblichen Freigabeweg auszulassen
• Eine unaufgeforderte Mail oder ein Anruf, oft von einer Absenderadresse, die es genau anzusehen lohnt
• Häufig Zahlungen ins Ausland, an Banken außerhalb Europas

Die letzten Zeilen der Mail sind oft die verräterischsten. „Bitte nutzen Sie ab sofort ausschließlich die neue Bankverbindung“ ist ein Satz, den ein Lieferant selten per Mail allein verschickt, ohne Brief und ohne Anruf.

Ein Freigabeprozess, den man umgehen kann, wird umgangen. Nicht aus Böswilligkeit — sondern weil es gerade schnell gehen musste.

Jens Hagel, Mitgründer der frag.hugo Informationssicherheit GmbH

Der Zeitdruck in der Betrugsmail zielt genau auf diesen Moment. Die Gegenmaßnahme ist deshalb eine Regel, die auch unter Zeitdruck gilt, und ein Ablauf, der kurz genug ist, um ihn jedes Mal zu gehen.

Die Prüfung, die zählt: Rückruf unter der bekannten Nummer

Eine neue Bankverbindung gilt erst als bestätigt, wenn der Lieferant sie über einen Kanal verifiziert hat, der außerhalb der Reichweite des Absenders liegt.

Das BKA empfiehlt Unternehmen ein festes „Verfahren zur Überprüfung der Rechtmässigkeit von Zahlungsaufträgen, die per E-Mail eingehen“. In der Praxis sieht das so aus:

1. IBAN vergleichen Die IBAN der neuen Rechnung neben die der zuletzt bezahlten legen. Stimmt sie überein, ist hier Schluss.
2. Zahlung anhalten Die Rechnung erst freigeben, wenn die Bankverbindung bestätigt ist, auch wenn die Frist drängt.
3. Bekannte Nummer heraussuchen Aus dem Vertrag, einer alten Rechnung oder dem eigenen Adressbuch, also aus Unterlagen, die älter sind als die Mail.
4. Zurückrufen und konkret fragen „Haben Sie Ihre Bankverbindung geändert, und wie lautet die neue IBAN?“ Der Lieferant liest die IBAN vor, Sie hören zu und vergleichen.
5. Festhalten Wer hat wann mit wem gesprochen, welche IBAN wurde bestätigt. Erst dann die Bankverbindung im Stammdatenbestand ändern und zahlen.

Der vierte Schritt hat eine Feinheit. Wer die neue IBAN selbst vorliest, bekommt ein „Ja, stimmt“ auch von jemandem, der nur halb zuhört. Wer sie sich diktieren lässt, prüft wirklich.

Und der dritte Schritt ist der, an dem die meisten Prüfungen scheitern. Eine gefälschte Mail nennt gern gleich eine Rückrufnummer dazu. Wer dort anruft, spricht mit dem Absender der Fälschung, und der bestätigt jede IBAN.

Was die Empfängerüberprüfung der Bank leistet

Die Empfängerüberprüfung gleicht vor jeder Überweisung den eingegebenen Namen mit dem Inhaber des Kontos ab; Pflicht ist sie für Banken im Euroraum seit dem 9. Oktober 2025.

Eingeführt hat sie die Verordnung (EU) 2024/886 mit einem neuen Artikel 5c. Der Dienst ist für alle Bankkunden kostenlos. Die BaFin beschreibt drei Ergebnisse:

Wer bei einer Abweichung trotzdem freigibt, übernimmt das Risiko. Hat die Bank korrekt geprüft, haftet sie laut BaFin nicht für den Schaden. Daueraufträge laufen ohne erneute Prüfung weiter, Lastschriften sind nicht erfasst.

Die Deutsche Bundesbank benennt die Reichweite selbst: Der Abgleich könne „nur Abweichungen zwischen IBAN und Name identifizieren“. Eine Zahlungsaufforderung kann trotzdem insgesamt betrügerisch sein.

Für den Rechnungsbetrug heißt das: Die Bank fängt das Konto ab, das auf einen ganz anderen Namen läuft.

Ein Konto, das der Täter auf einen passenden oder ähnlichen Firmennamen eröffnet hat, besteht den Abgleich. Die zweite Frage stellt deshalb Ihr eigener Bestand: Hat dieser Lieferant bisher ein anderes Konto genutzt?

Wer das Risiko trägt, wenn das Geld beim falschen Empfänger landet

Eine Zahlung auf ein Betrügerkonto erfüllt die Forderung grundsätzlich nicht, denn nach § 362 BGB erlischt eine Schuld erst durch Leistung an den richtigen Gläubiger.

Zivilrechtlich droht also eine erneute Zahlung; wer am Ende den Schaden trägt, entscheiden Gerichte im Einzelfall.

Zwei Oberlandesgerichte haben das unterschiedlich gesehen. Das OLG Karlsruhe verpflichtete laut Besprechung bei Heuking ein Unternehmen, den Kaufpreis eines Autos über 13.500 € ein zweites Mal zu zahlen (Urteil vom 27.07.2023, 19 U 83/22).

Zwei Minuten nach der echten Rechnung war aus dem Postfach des Händlers eine zweite mit dem Konto eines Hackers gekommen. Der Händler hatte nach Ansicht des Gerichts ausreichende Sicherheitsvorkehrungen für sein Postfach getroffen.

Das OLG Schleswig-Holstein ließ dagegen den Kunden eines Handwerkers einen Schadensersatzanspruch nach Art. 82 DSGVO entgegenhalten (Urteil vom 18.12.2024, 12 U 9/24).

Bei einer Rechnung über 15.000 € reichte eine reine Transportverschlüsselung nach Ansicht des Gerichts nicht, fasst die IHK Köln zusammen.

Für den Alltag folgt aus beiden Urteilen dasselbe: Wer zahlt, prüft eine neue Bankverbindung, bevor er überweist.

Strafrechtlich ist der Fall Sache der Polizei. Das BKA rät, sie auch bei Versuchen ohne Schaden einzuschalten; eine Strafanzeige erstatten Sie bei jeder Polizeidienststelle oder online.

IT-Sicherheit beim Rechnungssteller: Rechnungen per E-Mail schützen

Jede Firma ist zugleich Zahler und Rechnungssteller, und ein kompromittiertes Postfach auf Ihrer Seite trifft Ihre Kunden mit derselben Masche.

Die IHK Köln rät, den Rechnungsversand per E-Mail zu überprüfen, das Sicherheitsniveau nach Risiko anzupassen und die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO zu dokumentieren.

Für die E-Mail-Konten heißt das vor allem: Zwei-Faktor-Authentifizierung für jedes Postfach, das Rechnungen verschickt, und Mitarbeitende, die für die Masche sensibilisiert sind.

Dazu kommt eine einfache Gewohnheit. Ändert sich Ihre eigene Bankverbindung wirklich, kündigen Sie das per Brief an und bitten Ihre Kunden, vor der ersten Zahlung unter der bekannten Nummer zurückzurufen. Dann wird eine echte Änderung genauso geprüft wie eine gefälschte.

Eine Regel für Bankverbindungen im ganzen Haus

Eine Bankverbindung im Lieferantenstamm wird nur nach einem dokumentierten Rückruf geändert. Diese eine Regel schließt die Lücke, durch die Rechnungsbetrug fast immer kommt.

Sie passt in den bestehenden Prozess der Rechnungsfreigabe. Fünf Punkte reichen:

• Neue oder geänderte Kontodaten bestätigt eine zweite Person, telefonisch unter der bekannten Nummer
• Rechnung freigeben und Stammdaten ändern liegen bei zwei verschiedenen Personen
• Jede Bestätigung wird mit Datum, Gesprächspartner und IBAN festgehalten
• Zahlungen an ein neues Konto warten, bis die Bestätigung vorliegt
• Eine Mail mit der Bitte, ab sofort ein anderes Konto zu nutzen, geht an die Buchhaltungsleitung

Hilfreich ist, Rechnungen möglichst als Datei zu empfangen, die ein Programm lesen kann. Bei einer E-Rechnung steht die IBAN in einem eigenen Feld und lässt sich automatisch gegen den Bestand vergleichen.

Wer seinen Rechnungseingang digitalisiert, hat diesen Vergleich ohnehin im Ablauf: Die Rechnung wird gelesen, bevor sie bezahlt wird.

Wie Yupana eine neue Bankverbindung meldet, bevor Sie zahlen

Yupana merkt sich, auf welche Konten Sie jedem Lieferanten bisher gezahlt haben, und meldet sich, sobald eine Rechnung oder eine Zahlung ein neues nennt.

Yupana ist eine Software für den Mittelstand, die Kontobewegungen, Verträge, Software-Lizenzen und die BWA in einer Ansicht zusammenführt.

Die Prüfung der Bankverbindung nutzt genau diese Verbindung: Der Kontoauszug zeigt, wohin Sie bisher gezahlt haben, die Rechnung zeigt, wohin Sie zahlen sollen.

Den frühesten Zeitpunkt bietet die Rechnung. Laden Sie sie unter Dokumente hoch, sucht Yupana im Text nach IBANs und lässt Ihre eigenen Konten aus.

Bei einer XRechnung oder ZUGFeRD-Datei liest Yupana das Zahlungskonto direkt auf Ihrem Gerät. Nennt die Rechnung ein neues Konto, trägt die Meldung den Vermerk „noch nicht bezahlt“.

Jede Meldung bekommt eine Stufe. Hoch ist sie, wenn das Land wechselt, das Konto bei einem E-Geld-Institut liegt oder die IBAN bisher zu einem anderen Lieferanten gehörte.

Mittel bei einer anderen Bank im Inland, niedrig bei einem weiteren Konto derselben Bank.

Bei hoch und mittel bekommen alle, die in Ihrer Firma freigeben dürfen, sofort eine Mail. Bis zur Bestätigung hält Yupana Buchungen an das neue Konto zurück.

Beim Bestätigen wählen Sie, wie Sie geprüft haben, etwa per Rückruf unter der bekannten Nummer, und das steht danach im Prüfprotokoll.

Mit dem Vier-Augen-Prinzip gilt eine Bankverbindung erst als bestätigt, wenn eine zweite freigabeberechtigte Person sie geprüft hat. Wie das im Einzelnen aussieht, steht in der Hilfe unter Bankverbindung prüfen; den Weg einer zurückgehaltenen Buchung beschreibt der Eintrag Freigaben.

Die Prüfung steht damit neben dem übrigen Controlling: Dieselben Kontobewegungen, aus denen die Kosten je Lieferant entstehen, liefern auch dessen bekannte Bankverbindung. Was die Anwendung sonst zeigt, fasst die Seite Yupana Controlling zusammen.

Die Prüflupe prüft dort, wo die IBAN steht

Die Prüflupe ist eine kostenlose Browser-Erweiterung von Yupana, die IBANs und USt-IDs auf Webseiten und in Webmail markiert und eine neue Bankverbindung eines bekannten Lieferanten mit einem roten Warnzeichen kennzeichnet.

Sie kommt bald in den Chrome Web Store und zu Microsoft Edge Add-ons.

Ein Klick auf das Symbol, und auf der Rechnung oder in der Mail sind alle IBANs und USt-IdNr. markiert.

Zur IBAN zeigt sie Bank und BIC aus den Daten der Deutschen Bundesbank, zur USt-IdNr. auf Ihren Klick die amtliche Bestätigung des Bundeszentralamts für Steuern.

Mit „Bankverbindung merken“ legen Sie die IBAN eines Lieferanten im Browser ab, oder Ihre IT verteilt die bekannten Bankverbindungen per Richtlinie.

Nennt eine spätere Rechnung desselben Lieferanten eine andere IBAN, setzt die Prüflupe ein rotes Warnzeichen daran und zeigt die gemerkte daneben. Alles Weitere steht auf der Seite der Prüflupe und im Eintrag Prüflupe einrichten.

Bis dahin rechnen freie Werkzeuge direkt im Browser, ohne Konto:

Für die zweite Angabe auf der Rechnung gibt es den USt-ID-Prüfer. Er fragt beim Bundeszentralamt für Steuern an und liefert den Datensatz des Amts als Nachweis-PDF. Für E-Rechnungen macht der E-Rechnungs-Prüfer XRechnung und ZUGFeRD lesbar.

Was jede Prüfung braucht: einen Menschen am Telefon

Eine gültige Prüfziffer bestätigt die Form einer IBAN, die Empfängerüberprüfung den Namen des Inhabers, und der Rückruf bestätigt, dass der Lieferant dieses Konto wirklich nutzt.

Werkzeuge machen die Abweichung sichtbar. Sie sorgen dafür, dass eine neue IBAN in dem Moment auffällt, in dem noch Zeit für einen Anruf ist. Den Anruf selbst führt ein Mensch, der die richtige Nummer kennt.

Zur Einordnung: Kommt die Meldung aus dem Kontoauszug, ist die Zahlung bereits unterwegs; dann zählt, wie schnell Sie Ihre Bank um einen Rückruf der Überweisung bitten. Den früheren Zeitpunkt bietet die Rechnung, solange das Geld noch bei Ihnen liegt.

Bei einem ganz neuen Lieferanten beginnt der Vergleich, sobald Yupana zwei Zahlungen über mindestens einen Monat kennt; die erste Zahlung erscheint als neue regelmäßige Buchung. Und die Prüflupe vergleicht gegen die Bankverbindungen, die Sie oder Ihre IT gemerkt haben.

Eine neue IBAN auf der Rechnung eines bekannten Lieferanten wird immer zurückgerufen, unter der Nummer, die Sie schon vorher kannten. Die Empfängerüberprüfung der Bank prüft den Namen, Ihr Lieferantenbestand prüft das Konto. Am meisten erreicht die Prüfung beim Lesen der Rechnung, solange das Geld noch bei Ihnen liegt.

Wer wissen will, welche Lieferanten überhaupt regelmäßig Geld bekommen, beginnt mit einer sauberen Aufstellung der Ausgaben. Danach ist die Liste der Bankverbindungen, die geprüft gehören, kurz und überschaubar. Wann diese Zahlungen fällig werden, zeigt die Liquiditätsplanung.