Gefälschte Lieferantenrechnungen erkennen – bevor Geld weg ist
Rechnungsbetrug per E-Mail trifft genau dort, wo niemand misstrauisch ist: bekannter Lieferantenname, vertrauter Rhythmus, stimmiger Betrag – und eine einzige veränderte Angabe. Dieser Leitfaden richtet sich ausschließlich an Unternehmen im B2B-Rechnungseingang, nicht an Verbraucher-Fälle wie Branchenbuch-Abzocke.
- Absender-Check automatisch, ohne Zusatzaufwand im Tagesgeschäft
- IBAN-Abgleich gegen Kreditorenstamm vor jeder Buchung
- Kein technisches Vorwissen nötig – kein IT-Projekt
- Server und Daten in Deutschland
Was eine gefälschte Lieferantenrechnung tatsächlich kostet
Der klassische Fall läuft so ab: Eine Rechnung kommt per E-Mail, sieht aus wie immer, der Betrag passt zur laufenden Bestellung – aber jemand hat unterwegs die Bankverbindung ausgetauscht. Das Geld ist weg, sobald die Überweisung ausgeführt ist. Rückbuchungen scheitern fast immer, weil das Empfängerkonto sofort leergeräumt wird.
Das Bundeskriminalamt dokumentiert diese Masche als „Business E-Mail Compromise" (BEC). Laut FBI IC3 Annual Report 2026 (PDF) verursachte BEC im Jahr 2025 weltweit 3,04 Milliarden US-Dollar Schaden bei knapp 25.000 gemeldeten Fällen – das sind im Schnitt rund 123.000 US-Dollar pro Vorfall. Die IHK warnt explizit vor manipulierten digitalen Rechnungen im B2B-Eingang.
Der unmittelbare Schaden schmerzt – der Folgeschaden ist oft teurer: Streit mit dem echten Lieferanten über eine unbezahlte Rechnung, Rechtskosten, Imageverlust gegenüber Kreditgebern und – in Engphasen – ein empfindlicher Riss in der Liquidität.
Warum E-Mail keine Echtheit beweist
Das SMTP-Protokoll, über das praktisch alle Geschäftsmails transportiert werden, authentifiziert den Absender nicht automatisch. Absenderadressen lassen sich ohne Spezialkenntnisse fälschen – es sei denn, die Domain des Absenders ist mit SPF, DKIM und DMARC korrekt abgesichert. Selbst dann kann eine optisch ähnliche Domain unbemerkt bleiben.
DATEV warnt ausdrücklich: Kriminelle fangen ZUGFeRD-Rechnungen per E-Mail ab, manipulieren die IBAN im XML und leiten die Datei weiter – das Dokument sieht dabei aus wie das Original.
Was im Eingang tatsächlich Schutz bietet:
- Absender-Domain prüfen – ist die Domain des Lieferanten mit DMARC fälschungssicher konfiguriert?
- IBAN gegen Kreditorenstamm abgleichen – automatisch, vor jeder Zahlung, nicht nur bei neuen Lieferanten
- Innerbetriebliches Kontrollverfahren (IKV) nach § 14 Abs. 1 UStG – verlässlicher Prüfpfad durch Abgleich mit Bestellung und Lieferschein; ersetzt seit 2011 die frühere Signaturpflicht für elektronische Rechnungen
- Verification of Payee – seit dem 9. Oktober 2025 sind Banken EU-weit nach Verordnung EU 2024/886 verpflichtet, bei SEPA-Einzelüberweisungen zu prüfen, ob Empfängername und IBAN übereinstimmen
Wie der Dienst den Absender-Check automatisch sichtbar macht
Beim Rechnungseingang prüft die Software im Hintergrund, ob die Absender-Domain des Lieferanten fälschungssicher konfiguriert ist. Das Ergebnis ist direkt im Eingangs-Dashboard sichtbar – bevor eine Buchung oder Zahlung freigegeben wird. Niemand im Team muss DNS-Einträge kennen oder selbst recherchieren.
Parallel gleicht der Dienst die IBAN in der eingegangenen Rechnung automatisch gegen die hinterlegten Stammdaten ab. Eine neu auftauchende Bankverbindung – ob im PDF-Text oder im strukturierten XML einer E-Rechnung – wird markiert und muss aktiv bestätigt werden, bevor sie in eine Zahlung einfließt.
Das ersetzt keinen Prozess, den Sie ohnehin haben sollten. Es macht ihn sichtbar und konsequent ausführbar – auch wenn das Team unter Zeitdruck steht und keine Zeit hat, manuell zu recherchieren.
Zwei Perspektiven auf dasselbe Problem
Wie funktioniert das technisch?
Für IT-Verantwortliche, ERP-Berater und Steuerberater: SMTP-Mechanik, SPF/DKIM/DMARC, Peppol als identitätsgeprüfter Transportkanal, IBAN-Whitelist im ERP und 3-Wege-Abgleich.
Technik-Artikel lesen →
Ich habe gerade dieses Problem
Für Buchhalter und Geschäftsführer ohne IT-Hintergrund: Schritt-für-Schritt-Checkliste – was jetzt konkret zu tun ist, wenn eine Rechnung verdächtig wirkt oder eine IBAN geändert wurde.
Zur Schritt-für-Schritt-Checkliste →
Woran erkenne ich, ob eine Rechnung wirklich von meinem Lieferanten stammt?
E-Mail-Absenderadressen sind ohne technische Absicherung fälschbar. Sichere Indizien sind: die Rechnung kam über einen identitätsgeprüften Kanal (z. B. Peppol/TRAFFIQX), die Absender-Domain ist mit DMARC-Richtlinie abgesichert, und die IBAN stimmt mit Ihren Stammdaten überein. Im Zweifel gilt: Rückruf beim Lieferanten über eine selbst nachgeschlagene Nummer – nicht über die in der Mail genannte oder die auf der Rechnung gedruckte.
Was bedeutet IBAN-Manipulation, und wie verbreitet ist das?
Angreifer fangen eine Rechnung per E-Mail ab – entweder beim Absender oder beim Empfänger – ändern die Bankverbindung und leiten das Dokument weiter. Laut BKA-Warnhinweis ist das eine der häufigsten Betrugsformen im Unternehmensumfeld. Auch strukturierte E-Rechnungen (ZUGFeRD, XRechnung) sind betroffen, wenn der Transportweg E-Mail lautet.
Schützt eine E-Rechnung (XRechnung, ZUGFeRD) automatisch vor Manipulation?
Nein – das Format allein schützt nicht. Entscheidend ist der Transportweg. Eine ZUGFeRD-Rechnung per E-Mail kann abgefangen und manipuliert werden, bevor sie bei Ihnen ankommt. Schutz entsteht erst durch einen identitätsgeprüften Kanal (Peppol/TRAFFIQX) oder durch konsequente Prüfung beim Eingang. Mehr dazu in unserem E-Rechnungs-Überblick.
Was ist das innerbetriebliche Kontrollverfahren (IKV) und hilft es gegen Betrug?
Das IKV nach § 14 Abs. 1 UStG ist kein bürokratisches Formular, sondern ein verlässlicher Prüfpfad: Bestellung, Lieferschein und Rechnung werden miteinander verglichen. Seit 2011 ersetzt das IKV die frühere Signaturpflicht für elektronische Rechnungen. Gleichzeitig ist es die stärkste eigene Schutzmaßnahme gegen Betrug im Rechnungseingang – vorausgesetzt, der Abgleich findet konsequent statt.
Haftet die Bank, wenn ich auf eine manipulierte IBAN überwiesen habe?
Seit dem 9. Oktober 2025 sind Banken nach der Instant-Payments-Verordnung (EU 2024/886) verpflichtet, bei SEPA-Einzelüberweisungen zu prüfen, ob Empfängername und IBAN übereinstimmen. Ob und in welchem Umfang daraus im Einzelfall eine Bankenhaftung folgt, hängt von den konkreten Umständen ab – hier empfiehlt sich die Rücksprache mit einem Fachanwalt oder Steuerberater. Eine Garantie übernimmt kein Zahlungsdienstleister.
Wie schnell ist der Dienst einsatzbereit?
Der Onboarding-Prozess ist darauf ausgelegt, dass Sie innerhalb einer einzigen Sitzung starten können – ohne IT-Projekt, ohne Schnittstellen-Einrichtung im Vorfeld, ohne Schulungstage. Die Prüfung greift ab dem ersten Rechnungseingang.
Kein fremdes Geld im Zahlungslauf
Wer eingehende Rechnungen automatisch gegen Stammdaten abgleicht, stoppt Manipulationen, bevor sie die Buchhaltung erreichen – und was das wirklich bedeutet: Sie behalten die Kontrolle darüber, welche Verbindlichkeiten tatsächlich entstehen und welche nicht.
Gebaut von Leuten, die denselben Engpass aus der Praxis kennen.
