Zahlungsumleitung erkennen: BEC, Lieferantenkonto-Übernahme und wer den Schaden trägt

Der teuerste Betrug im Rechnungseingang braucht keine gefälschte Rechnung, sondern eine geänderte Kontonummer. Wie die Maschen technisch funktionieren, warum der IBAN-Name-Abgleich seit 2025 hilft und trotzdem nicht schützt – und wieso die Haftungslage für Unternehmen anders ist als für Verbraucher.

Der teuerste Betrug im Rechnungseingang kommt ohne gefälschte Rechnung aus. Er nutzt eine echte Rechnung über eine echte Leistung an den richtigen Empfänger – und ändert eine einzige Zeile: die Bankverbindung. Alles andere stimmt, weshalb die üblichen Prüfungen anschlagen müssten und es nicht tun. Formal ist die Rechnung einwandfrei; der Schaden entsteht erst im Zahllauf, und bemerkt wird er meist erst Wochen später, wenn der echte Lieferant mahnt.

Die drei Maschen

Business E-Mail Compromise (BEC). Der Täter erlangt Zugriff auf ein Postfach – beim Lieferanten oder im eigenen Haus – oder ahmt es täuschend nach. Er liest den Schriftverkehr mit, kennt Projekt, Ansprechpartner, Tonfall und Zahlungsrhythmus und meldet sich im passenden Moment: „Unsere Bankverbindung hat sich geändert." Weil der Kontext vollständig stimmt, wirkt die Nachricht plausibel. Varianten arbeiten mit ähnlichen Domains (vertauschte Buchstaben, .co statt .com) oder mit einem gesetzten Antwort-an-Feld, das die Antwort still umleitet.

Lieferantenkonto-Übernahme im Portal. Statt einer E-Mail wird die Bankverbindung direkt im Lieferantenportal oder im Stammdatensystem geändert – über kompromittierte Zugangsdaten. Hier fehlt sogar die verdächtige Nachricht; die Änderung sieht aus wie ordentliche Pflege.

Der abgefangene Zahlungslauf. Seltener, aber besonders wirksam: Manipulation der Zahldatei zwischen Freigabe und Einreichung bei der Bank. Wirksames Gegenmittel ist eine Prüfsumme über die Zahldatei zwischen Erzeugung und Einreichung.

Der Empfängerabgleich seit 2025 – Hilfe, kein Schutz

Seit Oktober 2025 müssen Zahlungsdienstleister im Euroraum bei Überweisungen prüfen, ob der angegebene Name zur IBAN passt, und den Auftraggeber auf Abweichungen hinweisen (Verification of Payee, eingeführt mit der Instant-Payments-Verordnung). Das ist ein echter Fortschritt: Die klassische Umleitung auf ein Konto, das erkennbar auf einen Dritten lautet, wird dadurch deutlich schwerer.

Wer sich darauf verlässt, unterschätzt aber zwei Dinge:

• Der Abgleich prüft Name gegen IBAN, nicht IBAN gegen Lieferant. Nutzt der Täter ein Konto, das auf einen ähnlich lautenden oder eigens gegründeten Firmennamen läuft, passt der Name zur IBAN – und die Warnung bleibt aus.
• Der Hinweis erscheint im Zahlungsverkehr, also am Ende des Prozesses, bei einem Sammellauf mit hunderten Posten. Eine Warnung, die dort erstmals auftaucht, wird unter Zeitdruck weggeklickt.

Die Kontrolle gehört deshalb nach vorn: an den Beleg und an die Stammdaten, nicht in den Zahllauf.

Wer den Schaden trägt

Die Haftungsfrage wird regelmäßig falsch eingeschätzt, weil man Verbraucherfälle im Kopf hat. Bei der Zahlungsumleitung gilt für Unternehmen typischerweise:

• Kein nicht autorisierter Zahlungsvorgang. Die Überweisung wurde bewusst und mit den angegebenen Daten ausgelöst. Die Regeln über nicht autorisierte Zahlungen (§ 675u BGB) greifen daher nicht – die Bank hat weisungsgemäß gehandelt.
• Keine Erfüllung gegenüber dem Lieferanten. Wer an ein fremdes Konto zahlt, hat nicht an den Gläubiger geleistet; die Forderung erlischt nicht (§ 362 BGB). Der Lieferant kann erneut Zahlung verlangen.
• Kundenkennung geht vor. Wird eine Überweisung anhand der angegebenen Kundenkennung ausgeführt, gilt sie insoweit als ordnungsgemäß ausgeführt (§ 675y BGB); die Bank schuldet dann im Wesentlichen Bemühungen zur Wiederbeschaffung.

Im Ergebnis zahlt der Geschädigte zweimal. Ein Rückruf gelingt nur, solange das Geld auf dem Empfängerkonto noch vorhanden ist – in der Praxis ein Zeitfenster von Stunden bis wenigen Tagen, weil die Beträge sofort weitergeleitet werden. Deshalb ist die Meldegeschwindigkeit Teil des Prozesses: Wer den Verdacht hat, ruft sofort die Bank an, nicht nach der internen Klärung.

Was wirklich hilft

Die wirksamen Maßnahmen sind unspektakulär und organisatorisch:

1. Verifizierte Stammdatenänderung. Eine neue Bankverbindung wird nie aus der Rechnung oder der E-Mail übernommen, sondern über einen zuvor bekannten Rückkanal bestätigt – Rückruf an eine Telefonnummer aus dem eigenen Stamm, nicht an die in der Nachricht genannte. Das ist die einzige Kontrolle, die BEC strukturell schlägt, weil sie den Kanal wechselt, den der Angreifer kontrolliert.
2. IBAN-Abgleich gegen den Lieferantenstamm bei jedem Beleg. Weicht die IBAN von der hinterlegten ab, wird die Freigabe gesperrt – nicht gewarnt, gesperrt. Erst-IBANs bei Neulieferanten gehören ebenso in die Prüfung.
3. Vier-Augen-Prinzip für Stammdaten. Wer Bankdaten ändert, darf die Zahlung nicht freigeben. Und jede Änderung wird protokolliert, mit Person und Zeitpunkt.
4. Zahldatei-Integrität. Prüfsumme zwischen Erzeugung und Einreichung.
5. Signale im Begleittext. Dringlichkeit, Vertraulichkeit, Bitte um Abweichung vom üblichen Weg, neue Domain, gesetztes Antwort-an – jedes für sich schwach, in Kombination ein brauchbarer Auslöser für die manuelle Prüfung.

Der gemeinsame Nenner: Die Kontrolle greift vor der Zahlung und an der Stammdatenänderung, nicht am Rechnungsformular. Eine formal perfekte Rechnung ist gegen diese Masche kein Argument – im Gegenteil, sie ist ihr Werkzeug.

Fazit

Die Zahlungsumleitung ist der Angriff, gegen den Formalprüfungen nach § 14 blind sind, weil die Rechnung echt ist. Der Empfängerabgleich seit 2025 hebt die Hürde, schließt die Lücke aber nicht, wenn das Betrügerkonto passend benannt ist. Und die Haftung liegt beim Zahlenden: autorisiert überwiesen, nicht erfüllt, zweimal gezahlt. Wirksam sind Stammdatenkontrolle über einen unabhängigen Rückkanal, IBAN-Abgleich mit Sperre statt Warnung und Funktionstrennung – organisatorische Maßnahmen, keine technischen Wunder. Dieser Beitrag ordnet ein und ersetzt keine Rechtsberatung.