IBAN prüfen und Rechnungsbetrug erkennen
Direkte Antwort: Die technische Prüfung einer E-Rechnung sagt nichts darüber, ob die IBAN dem Lieferanten gehört. Sie prüft höchstens die Prüfziffer – und jede gültige IBAN gehört irgendjemandem. Rechnungsbetrug funktioniert deshalb mit formal perfekten Rechnungen: ein gekapertes Lieferantenpostfach oder eine täuschend ähnliche Absenderadresse, eine echte Rechnung, eine fremde Bankverbindung. Schutz bieten nur organisatorische Kontrollen: Abgleich mit Stammdaten, Rückruf über bekannte Nummern, Vier-Augen-Prinzip bei Änderungen.
Wie der Betrug abläuft
- Angreifer verschaffen sich Zugang zum E-Mail-Konto eines Lieferanten oder registrieren eine ähnliche Domain (
lieferant-gmbh.destattlieferantgmbh.de). - Sie fangen eine echte Rechnung ab oder erzeugen eine korrekte E-Rechnung mit den echten Daten – und tragen ihre IBAN ein (BT-84) oder kündigen per Mail eine „neue Bankverbindung“ an.
- Die Rechnung besteht jede Validierung. Die Buchhaltung zahlt.
Bei E-Rechnungen ist das sogar einfacher automatisierbar: Die IBAN steht in einem Feld, das Systeme ungeprüft übernehmen.
Was Sie prüfen sollten
| Prüfung | Wie | Werkzeug |
|---|---|---|
| IBAN gegen Stammdaten | Vergleich mit der zuletzt bezahlten/vertraglich vereinbarten IBAN | Buchhaltung, Kreditorenstamm |
| Abweichung | Rückruf beim Lieferanten über eine bekannte Telefonnummer (nicht aus der Rechnung oder Mail) | – |
| Absender | E-Mail-Adresse buchstabengenau; Antwortadresse (Reply-To) prüfen | Mailprogramm |
| Plausibilität | Erwartete Rechnung? Bestellung vorhanden? Betrag plausibel? | Viewer: Bestellreferenz, Käuferreferenz |
| Land der IBAN | DE-IBAN eines deutschen Lieferanten plötzlich in LT, EE, FR? | Viewer zeigt IBAN im Reiter Zahlung |
| Prüfziffer | Modulo-97 (erkennt nur Tippfehler) | Generator prüft bei Eingabe; keine Echtheitsaussage |
Der Viewer zeigt die Zahlungsangaben getrennt an und weist ausdrücklich darauf hin, dass Bankverbindungen nicht geprüft werden.
Organisatorische Regeln
- Bankverbindungsänderungen nur nach Rückruf und schriftlicher Bestätigung über einen zweiten Kanal.
- Vier-Augen-Prinzip bei Neuanlage von Kreditoren und bei Änderungen.
- Zahlungsfreigabe getrennt von Rechnungserfassung.
- Schulung: „Dringend“, „vertraulich“, „neue Kontonummer“ sind Alarmsignale.
- Lieferanten bitten, Bankänderungen nie nur per E-Mail mitzuteilen.
Beispiel
Eine Spedition erhält von ihrem Reifenhändler eine XRechnung über 8.400 € – Prüfung bestanden, Bestellnummer stimmt, IBAN endet anders als beim letzten Mal. Die Buchhalterin ruft die Nummer aus dem Lieferantenstamm an: Der Händler hat keine neue Bankverbindung. Das Postfach des Händlers war kompromittiert; die Zahlung unterbleibt.
Häufige Fehler
- „Die Rechnung ist validiert, also echt.“
- Rückruf unter der Nummer aus der verdächtigen Mail.
- IBAN-Änderung per Mail akzeptieren, weil die Mail „vom Chef“ kommt.
- Prüfbericht als Freigabe verwenden.
Grenzen
Dieser Artikel beschreibt gängige Muster und Gegenmaßnahmen; er ersetzt kein Sicherheitskonzept und keine Versicherungsberatung.
Passendes Werkzeug: E-Rechnung ansehen – lokal im Browser, ohne Datei-Upload.
Quellen
- BSI: Lagebericht und Warnungen zu Business E-Mail Compromise / Rechnungsbetrug (abgerufen 22.10.2026)
- ISO 13616 – IBAN-Struktur und Prüfziffer (Modulo 97) (abgerufen 22.10.2026)