Wenn die Mahnung echt aussieht, nur die IBAN nicht
„Woran hätte ich das denn erkennen sollen?“ Diese Frage höre ich oft, wenn ein Betrieb knapp an einem Schaden vorbeigeschrammt ist. Es ist kurz vor Feierabend. Zwei Rechnungen müssen noch raus, ein Lieferant mahnt, das Telefon klingelt. Dann liegt in der Buchhaltung eine Mahnung. Perfekt gemacht. Logo stimmt, Betreff stimmt, Ton stimmt. Nur eine Kleinigkeit ist anders. Die IBAN.
Diese eine vertauschte Kontonummer trennt in vielen Fällen den Betrieb vom Schaden. Mehr ist es nicht. Kein Virenscanner schlägt an, keine Firewall. Es ist ein Mensch, der kurz stutzt. Genau diesen Reflex kann jede Buchhaltung lernen, ohne teure Software und ohne Fachjargon.
Dieser Beitrag zeigt, wie die Masche funktioniert, welche vier Prüfungen in dreißig Sekunden davor schützen und warum aus dem Betrugsfall schnell ein Datenschutz-Thema wird, für das Ihr Unternehmen verantwortlich bleibt.
Das Wichtigste in Kürze
- Gefälschte Rechnungen mit geänderter IBAN und CEO-Fraud kosten schnell fünfstellige Beträge. Ist das Geld erst überwiesen, lässt es sich oft nur schwer zurückholen.
- Der beste Schutz ist kein teures Programm, sondern ein fester Reflex in der Buchhaltung. Vier Prüfungen, zusammen rund dreißig Sekunden.
- Eine neue oder geänderte Bankverbindung immer gegen die hinterlegten Daten prüfen und auf der bekannten Nummer zurückrufen, nie auf der Nummer aus der Mail.
- Für alles, was Geld bewegt oder Kontodaten ändert, gilt das Vier-Augen-Prinzip.
- Dieselbe Masche zielt oft im zweiten Schritt auf Daten. Wer eine Kunden- oder Mitarbeiterliste falsch verschickt, verursacht eine Datenschutzverletzung, für die das Unternehmen verantwortlich bleibt.
1. Warum schon ein Zahlendreher fünfstellige Schäden macht
Wer denkt, diese Masche treffe nur die Unaufmerksamen, unterschätzt sie. Sie funktioniert auch bei Konzernen mit ganzen Sicherheitsabteilungen. Zwei Beispiele aus der europäischen Industrie zeigen, welche Folgen solche Angriffe haben können.
FACC, ein österreichischer Luftfahrtzulieferer. Durch einen Fake-President-Betrug flossen rund 50 Millionen Euro ab. Der damalige Vorstandschef wurde später im Zusammenhang mit dem Vorfall abberufen.
Leoni, ein deutscher Autozulieferer. Durch gefälschte Dokumente, Identitäten und elektronische Nachrichten wurden rund 40 Millionen Euro auf ausländische Konten überwiesen.
Beim kleinen Betrieb geht es nicht um Millionen. Es geht um den fünfstelligen Betrag, der einmal raus ist. Der tut in einem Handwerksbetrieb, einer Kanzlei oder einer Praxis genauso weh wie die Millionen beim Konzern. Manchmal mehr, weil das Polster kleiner ist. Die gute Nachricht ist, dass der Schutz nicht an der Betriebsgröße hängt. Er hängt an einer Handvoll fester Reflexe.
2. So läuft die Masche: Fake-President, CEO-Fraud und Rechnungsbetrug
Die Angriffe tragen unterschiedliche Namen. Fake-President, CEO-Fraud, Rechnungsbetrug, Business E-Mail Compromise. Der Kern ist immer gleich.
Jemand gibt sich als vertrauenswürdig aus. Als Geschäftsführung, als bekannter Lieferant, als Anwalt in einer eiligen Sache. Dann kommt eine Bitte, die für sich genommen harmlos wirkt. Eine Überweisung. Eine geänderte Bankverbindung. Eine kurze Liste mit Daten.
Der Trick liegt nicht in der Technik. Er liegt im Tempo und im Vertrauen. Es soll schnell gehen, es soll vertraulich sein, und es soll niemand nachfragen. Genau da setzt die 30-Sekunden-Prüfung an. Sie nimmt dem Betrüger sein wichtigstes Werkzeug. Die Eile.
3. Die 30-Sekunden-Prüfung: vier Handgriffe für die Buchhaltung
Prüfung 1: Neue oder geänderte Bankverbindung gegenprüfenSteht auf einer bekannten Rechnung plötzlich eine andere IBAN, oder kündigt ein Anbieter per Mail eine neue Bankverbindung an, wird nie einfach überwiesen. Erst gegen die hinterlegte Bankverbindung prüfen. Weicht sie ab, wird nicht angewiesen, bevor das geklärt ist.
Prüfung 2: Auf der bekannten Nummer zurückrufenZur Klärung beim Anbieter zurückrufen, aber auf der alten, bekannten Nummer. Nicht auf der Nummer aus der Mail, denn die führt oft zum Betrüger, der alles freundlich bestätigt. Ein kurzer Rückruf kostet dreißig Sekunden. Eine falsche Überweisung kostet den ganzen Betrag.
Prüfung 3: Vier-Augen-Prinzip bei allem, was Geld bewegtFür jede Zahlung und jede Änderung an Kontodaten geben zwei Personen frei. Ohne Ausnahme. Das ist keine Bürokratie, das ist Ihre Bremse vor dem Überweisen. Eine Vertretungsregel sorgt dafür, dass das Prinzip auch im Urlaub und bei Krankheit hält.
Prüfung 4: Warnzeichen ernst nehmenUngewöhnlicher Zeitdruck, angebliche Vertraulichkeit, ein neuer Ansprechpartner oder eine leicht abweichende Absenderadresse sind Gründe, den Vorgang sofort zu stoppen und unabhängig zu prüfen. Der Betrüger lebt davon, dass es schnell gehen soll. Nehmen Sie ihm das Tempo.
4. Wenn statt Geld Daten verlangt werden
Jetzt kommt der Punkt, der oft übersehen wird. Dieselbe perfekte Mail kommt gern ein zweites Mal. Nur will sie dann kein Geld, sondern Daten. Die Mitarbeiterliste. Die Kundendaten. Freundlich angefragt, mit gutem Vorwand, unter Zeitdruck. Und schneller rausgeschickt, als man denkt.
Auch hier gilt, erst prüfen, dann rausgeben. Den Absender über einen bekannten Weg bestätigen, bevor Daten das Haus verlassen. Der Unterschied ist hart. Geld holt die Bank manchmal zurück. Eine verschickte Datenliste nie.
Und genau da wird aus dem Betrugsfall Ihr eigenes Thema. Wer eine Kunden- oder Mitarbeiterliste an die falsche Adresse schickt, verursacht eine Datenschutzverletzung. Dann muss sofort geprüft werden, welche Maßnahmen erforderlich sind und ob der Vorfall der Aufsichtsbehörde gemeldet werden muss. Besteht eine Meldepflicht, gilt dafür in der Regel eine kurze Frist von rund 72 Stunden. Für den richtigen Umgang mit den betroffenen Daten bleibt Ihr Unternehmen verantwortlich, nicht die Bank. Deshalb ist die 30-Sekunden-Prüfung mehr als Betrugsschutz. Sie ist gelebter Datenschutz, ganz ohne Paragrafen an der Wand.
5. Zwei Beispiele aus der Praxis
Handwerksbetrieb mit zwanzig Mitarbeitenden.Eines Morgens lag in der Buchhaltung eine Mail von einem langjährigen Lieferanten. Neue Bankverbindung, ab sofort gültig, die nächste Rechnung bitte auf das neue Konto. Alles wirkte echt, sogar die Rechnungsnummer passte. Die Kollegin hat nicht überwiesen, sondern auf der alten, bekannten Nummer zurückgerufen. Der Lieferant fiel aus allen Wolken. Er hatte keine neue Bankverbindung. Die IBAN gehörte den Betrügern.
Dieselbe Woche, zweiter Versuch.Ein paar Tage später kam eine Mail, angeblich vom Steuerberater, mit der Bitte um die komplette Mitarbeiterliste samt Gehaltsdaten, dringend. Wieder griff der Reflex, erst prüfen, dann rausgeben. Ein kurzer Rückruf beim Steuerberater, und die Sache war klar. Auch das war gefälscht. Der Betrieb hat an diesem Tag keinen Cent verloren und keine einzige Datenzeile herausgegeben. Wegen zweier Anrufe auf der richtigen Nummer.
6. Schnellstart in 30 Minuten
Mit einer halben Stunde konzentrierter Arbeit machen Sie Ihre Buchhaltung spürbar sicherer.
- 5 Minuten: Die vier Prüfungen aus diesem Beitrag als kurze Regel aufschreiben.
- 5 Minuten: Festlegen, wer im Betrieb Zahlungen freigeben darf und wer vertritt.
- 5 Minuten: Vier-Augen-Prinzip für Zahlungen und Kontodaten verbindlich machen.
- 5 Minuten: Die bekannten Rückruf-Nummern der wichtigsten Lieferanten auf eine Liste setzen.
- 5 Minuten: Regel für Datenanfragen ergänzen, erst prüfen, dann rausgeben.
- 5 Minuten: Die Kurzregel dort aufhängen, wo Zahlungen freigegeben werden.
FAQ: gefälschte Rechnungen und CEO-Fraud
1. Was ist CEO-Fraud oder Fake-President-Betrug?Dabei geben sich Betrüger als Geschäftsführung, Lieferant oder Anwalt aus und bringen Mitarbeitende dazu, Geld zu überweisen oder Daten herauszugeben. Sie arbeiten mit Zeitdruck, Vertraulichkeit und gut gemachten Fälschungen.
2. Woran erkenne ich eine gefälschte Rechnung?Ein häufiges Zeichen ist eine geänderte IBAN auf einer sonst bekannten Rechnung. Dazu kommen ungewöhnlicher Zeitdruck, ein neuer Ansprechpartner oder eine leicht abweichende Absenderadresse. Im Zweifel gilt der Rückruf auf der bekannten Nummer.
3. Was mache ich, wenn schon überwiesen wurde?Sofort die eigene Bank informieren und um Rückholung der Zahlung bitten. Je schneller, desto besser. Danach den Vorfall intern dokumentieren, Anzeige bei der Polizei prüfen und klären, ob auch Daten betroffen sind.
4. Ist eine falsch versandte Datenliste immer meldepflichtig?Nein, nicht automatisch. Es liegt zunächst eine Datenschutzverletzung vor. Dann muss geprüft werden, welche Maßnahmen erforderlich sind und ob der Vorfall der Aufsichtsbehörde gemeldet werden muss. Besteht eine Meldepflicht, gilt dafür in der Regel eine Frist von rund 72 Stunden.
5. Wie führe ich das Vier-Augen-Prinzip ein, ohne alles zu verlangsamen?Es reicht, wenn eine zweite Person Zahlungen und Änderungen an Kontodaten gegenzeichnet. Für kleine Beträge können Sie eine Grenze festlegen, ab der die zweite Freigabe zwingend ist. Wichtig ist eine Vertretungsregel, damit der Ablauf auch im Urlaub hält.
6. Wann lohnt sich ein externer Datenschutzbeauftragter?Ein externer Datenschutzbeauftragter ist sinnvoll, wenn intern Zeit oder Fachwissen fehlen oder wenn viele personenbezogene Daten verarbeitet werden. Er sorgt dafür, dass aus einzelnen Regeln ein Ablauf wird, der im Alltag hält.
Wenn Sie einen Blick von außen möchten
Der Schutz vor Rechnungsbetrug ist kein Großprojekt, sondern eine Handvoll klarer Reflexe. Wenn Sie unsicher sind, ob Ihre Zahlungs- und Datenprozesse tragen oder wie Sie die Regel für Ihr Haus formulieren, hilft ein strukturierter Blick von außen. Ohne Vortrag, ohne Paragrafen-Overkill und ohne Verkaufsdruck. Sie entscheiden danach in Ruhe, was Sie selbst umsetzen und wo Unterstützung sinnvoll ist. Mehr dazu finden Sie bei LexGeneralis-Datenschutzconsulting auf lex-generalis.com.
Ihr nächster Schritt
Sie müssen nach dem Lesen nichts überstürzen. Wenn Sie wissen wollen, wo Ihr Unternehmen konkret steht, gibt es zwei einfache Wege.
- Kostenloser Webseiten-Check: Ich schaue mir Ihre Website an und sage Ihnen klar, wo typische Datenschutz-Risiken liegen, auch bei den eingebundenen Diensten. Ohne Vortrag, ohne Verpflichtung. Webseiten-Check anfragen
- Lieber direkt sprechen? In einem kurzen Time-2-Call klären wir Ihre Fragen. Termin buchen
Über den Autor
Stephan Wagner ist Jurist, TÜV-Dozent und externer Datenschutzbeauftragter. Mit LexGeneralis-Datenschutzconsulting auf Sylt begleitet er Inhaber und Geschäftsführer dabei, Datenschutz, KI und Compliance praxisnah umzusetzen. Ohne Bürokratie-Overkill, mit klarem Fokus auf Lösungen, die im Alltag funktionieren.
Disclaimer
Dieser Beitrag bietet eine allgemeine Orientierung zum Schutz vor Rechnungsbetrug und CEO-Fraud in der Buchhaltung. Er ersetzt keine individuelle Rechtsberatung und keine Prüfung des Einzelfalls durch qualifizierte Fachleute. Rechtslage und Bedrohungslage können sich ändern, maßgeblich ist der jeweils aktuelle Stand.
