Rechnungsbetrug per E-Mail: Wie Betrüger die IBAN austauschen und wie du dich schützt

Die Rechnung ist echt. Der Betrag stimmt, das Logo stimmt, die E-Mail kommt sogar vom richtigen Absender. Nur die IBAN ist eine andere. Genau diese Masche landet immer öfter bei kleinen Betrieben und Privatleuten, und sie funktioniert, weil auf den ersten Blick nichts verdächtig aussieht. Hier erkläre ich, wie die Betrüger vorgehen und wie du dich mit wenig Aufwand schützt.

So läuft der Betrug ab

• Der Einstieg: Eine täuschend echte E-Mail, etwa „Dein Postfach ist voll", eine Paketbenachrichtigung oder ein geteiltes Dokument. Der Link führt auf eine nachgebaute Anmeldeseite, zum Beispiel von Microsoft 365, und das eingegebene Passwort landet beim Angreifer.
• Der zweite Weg: Passwörter aus früheren Datenlecks. Wer dasselbe Passwort für mehrere Dienste verwendet, macht es den Tätern leicht.
• Das Mitlesen: Mit dem Zugang lesen die Täter oft wochenlang still mit. Sie legen Regeln im Postfach an, die Antworten mit Wörtern wie „Rechnung", „Zahlung" oder „IBAN" automatisch verschieben oder weiterleiten. So merkt der Inhaber nichts.
• Der Zugriff: Sobald eine echte Rechnung ansteht, schicken sie eine veränderte Version mit eigener IBAN oder eine Nachricht wie „Unsere Bankverbindung hat sich geändert". Manchmal direkt aus dem gehackten Postfach, manchmal von einer fast gleich aussehenden Adresse.

Gehackt wird oft nicht der Betrieb, der zahlt, sondern der, der die Rechnung schreibt. Deshalb sieht alles so echt aus.

Woran du es erkennen kannst

• Die Bankverbindung ändert sich plötzlich, per E-Mail mitgeteilt, oft mit einer Begründung wie „Umstellung", „Prüfung" oder „Konto vorübergehend gesperrt".
• Es gibt Zeitdruck: „Bitte heute noch überweisen", „sonst Mahnung".
• Die neue IBAN gehört zu einem anderen Land oder einer anderen Bank als bisher.
• Die Absenderadresse weicht minimal ab: ein Buchstabe vertauscht, „rn" statt „m", eine andere Endung.
• Rückfragen werden abgeblockt, ein Anruf sei gerade nicht möglich.

Kein einzelnes Merkmal beweist einen Betrug. Aber eine geänderte IBAN per E-Mail ist immer ein Grund, kurz innezuhalten.

Was du als Zahler tun kannst

• Ruf an, bevor du an eine neue IBAN zahlst. Aber nicht unter der Nummer aus der verdächtigen E-Mail, sondern unter der, die du schon kennst: aus früheren Rechnungen, der Website oder deinem Adressbuch.
• Ändere Bankdaten von Lieferanten nur über einen festen Ablauf: Rückruf, Bestätigung, Vermerk. Im Betrieb gibt eine zweite Person die Änderung frei.
• Achte auf die Empfängerüberprüfung deiner Bank. Seit Oktober 2025 gleichen Banken im Euroraum bei Überweisungen den Namen des Empfängers mit der IBAN ab und warnen, wenn beides nicht zusammenpasst. Diese Warnung ist kein Formfehler, sondern genau der Moment, in dem du stoppen solltest.
• Bei großen Beträgen hilft eine kleine Probeüberweisung nicht weiter, ein Rückruf schon.

Was du als Rechnungssteller tun kannst

Die wichtigste Maßnahme ist, dass dein eigenes Postfach gar nicht erst übernommen wird. Das ist weniger Aufwand, als viele denken:

• Zwei-Faktor-Anmeldung für das E-Mail-Konto, am besten mit einer Authenticator-App oder einem Passkey. Ein gestohlenes Passwort allein reicht dann nicht mehr.
• Ein eigenes, langes Passwort pro Dienst, gespeichert in einem Passwort-Manager.
• Regelmäßig prüfen, ob im Postfach unbekannte Weiterleitungen oder Regeln eingerichtet sind, und bei neuen Anmeldungen eine Benachrichtigung bekommen.
• SPF, DKIM und DMARC für deine Domain einrichten. Diese Einträge erschweren es, E-Mails im Namen deiner Adresse zu fälschen.
• Auf jeder Rechnung ein kurzer Hinweis: „Unsere Bankverbindung ändern wir nie per E-Mail. Im Zweifel ruf uns an."
• Updates für Computer und Handy zeitnah installieren und das Team kurz schulen: Was ist eine Phishing-Mail, und wen rufe ich an, wenn mir etwas komisch vorkommt?

Für die Einrichtung von Zwei-Faktor-Anmeldung, Postfach-Prüfung und DMARC brauchst du kein großes Projekt. Das erledige ich im Rahmen meines IT-Supports meist in ein bis zwei Terminen, auf Wunsch per Fernwartung.

Es ist passiert: Was jetzt zu tun ist

• Sofort die eigene Bank anrufen und die Überweisung zurückrufen lassen. Je schneller, desto größer die Chance, dass das Geld noch nicht weitergeleitet wurde.
• Anzeige bei der Polizei erstatten. Die Unterlagen (E-Mails, Rechnung, Zahlungsbeleg) aufheben und nichts löschen.
• Den echten Rechnungssteller verständigen, damit er sein Postfach prüfen lässt und andere Kunden warnen kann.
• Ist das eigene Postfach betroffen: Passwort ändern, alle Sitzungen abmelden, Zwei-Faktor-Anmeldung aktivieren, Weiterleitungen und Regeln prüfen.
• Prüfen, ob personenbezogene Daten betroffen sind. Dann kann eine Meldung an die Datenschutzbehörde innerhalb von 72 Stunden nötig sein.

Wer am Ende den Schaden trägt, ist oft nicht eindeutig und hängt vom Einzelfall ab. Im Zweifel lass dich rechtlich beraten. Aktuelle Warnungen zu laufenden Betrugsmaschen findest du übrigens auf der Watchlist Internet.

Kurz zusammengefasst

Eine IBAN ändert sich nie einfach so per E-Mail. Wer vor dem Zahlen einmal anruft, das eigene Postfach mit Zwei-Faktor-Anmeldung schützt und die Warnungen der Bank ernst nimmt, ist schon sehr gut aufgestellt. Wenn du wissen willst, wie gut dein Postfach geschützt ist, schau ich es mir gerne mit dir an.