IBAN-Betrug per XRechnung: das Risiko, das Sie nie sehen
Bei XRechnung und ZUGFeRD zahlt Ihr System aus dem XML-Datensatz, nicht aus dem, was jemand auf dem Bildschirm sieht. Ein einziger getauschter IBAN-Wert im Datensatz genügt, damit eine Überweisung auf ein Betrügerkonto läuft, bevor irgendjemand es bemerkt.
- IBAN aus dem XML lesbar und prüfbar
- Eingangskanal der Rechnung dokumentiert
- Fälligkeiten aus dem Beleg, nicht aus Handnotizen
- Kein Schreibzugriff, kein Zahlungsauslöser
Die Maschine zahlt. Der Mensch sieht etwas anderes.
XRechnung ist reines XML. Peppol und Eingangspostfächer liefern diese Datei direkt in Ihr ERP. Ihr ERP liest Betrag, Fälligkeit und IBAN aus den XML-Feldern. Die PDF-Ansicht oder die menschenlesbare Darstellung, die Sie eventuell zu Gesicht bekommen, spielt für die Buchung keine Rolle.
Genau das nutzen Betrüger aus. Die Angriffsmasche, die das BKA unter dem Begriff Rechnungsbetrug dokumentiert, folgt einem klaren Muster:
- Betrüger gelangen an eine echte Rechnung Ihres Lieferanten, per abgefangener E-Mail, kompromittiertem Postfach oder öffentlich einsehbaren Ausschreibungsunterlagen.
- Im XML tauschen sie den IBAN-Wert gegen eine eigene Kontonummer aus.
- Die Rechnung wirkt optisch weiterhin legitim, weil XML kein sichtbares Dokument ist.
- Ihr ERP überweist auf die gefälschte IBAN.
XML ist Klartext. Er lässt sich mit jedem Texteditor spurlos verändern. Die EN-16931-Norm, auf der XRechnung basiert, schreibt keine verpflichtende elektronische Signatur vor. Das Format selbst bietet keinen Schutz vor Manipulation des Datensatzes.
Was Zahlungsbetrug so folgenreich macht
Wenn eine autorisierte Überweisung ausgeführt wurde (das heißt: Ihr System hat nach interner Freigabe selbst angewiesen), trägt der Zahlungsdienstleister in der Regel keine Haftung. Die aktuelle Rechtslage dazu hat fachanwalt.de zusammengefasst (Stand: April 2026). Im Zweifel ist rechtliche Beratung unerlässlich.
Die seit dem 9. Oktober 2025 für Zahlungsdienstleister in der Eurozone verpflichtende „Verification of Payee"-Prüfung (Rechtsgrundlage: EU-VO 2024/886) lässt Ihre Bank bei jeder SEPA-Überweisung prüfen, ob IBAN und Empfängername zusammenpassen. Das schützt gegen Tippfehler und bestimmte Betrugsformen, aber nicht dagegen, dass Ihr ERP eine im XML enthaltene Fremd-IBAN überweist. Diese Prüfung liegt vor dem Zahllauf, in Ihrem Haus.
Allianz Trade verzeichnete 2022 einen Anstieg der Betrugsschäden durch Zahlungsumleitungen um 33 Prozent gegenüber dem Vorjahr, bei weiter steigender Tendenz.
Was sichtbar werden kann
Der Dienst liest eingehende Rechnungen (XRechnung, ZUGFeRD, auch aus PDF-Anhängen) und stellt die enthaltenen Felder lesbar bereit: Betrag, Fälligkeit, Lieferant und das hinterlegte Zahlungsziel, inklusive des IBAN-Werts aus dem XML.
Was das konkret bedeutet:
- Der IBAN-Wert aus dem Datensatz ist nicht verborgen. Er ist sichtbar und kann mit Ihren Kreditorenstammdaten verglichen werden, bevor eine Zahlung ausgelöst wird.
- Der Eingangskanal der Rechnung wird dokumentiert: Peppol-Netz, direkte E-Mail oder manueller Upload. Der Transportweg ist ein wesentliches Qualitätsmerkmal: Peppol mit Access Point und Identitätsprüfung ist deutlich schwerer zu manipulieren als eine XRechnung, die per freier E-Mail ankommt.
- Die Fälligkeiten in der Liquiditätsvorschau stammen direkt aus dem Beleg; jeder Datenpunkt ist auf den Originalbeleg zurückverfolgbar.
Der Dienst löst keine Zahlungen aus und hat keinen Schreibzugriff auf Ihre Konten. Er macht sichtbar: die Entscheidung und die Freigabe liegen bei Ihnen.
Mehr zu Format-Grundlagen, sicheren Eingangskanälen und weiteren Lösungen: XRechnung erklärt · Peppol-Netz erklärt
Tiefer einsteigen
Wie funktioniert das technisch?
XML-Editierbarkeit, fehlendes Pflicht-Signaturfeld in EN 16931, Transportwegvergleich E-Mail vs. Peppol, IBAN-Abgleich vor dem Zahllauf: für ERP-Verantwortliche, IT und Steuerberater.
Zum Technik-Artikel →
Ich habe das Problem
Was passiert, wenn eine manipulierte XRechnung ankommt? Drei Schritte, die schützen: alltagsnah, ohne Technikjargon, für Buchhaltung und kaufmännische Leitung.
Zur Buchhaltungsanleitung →
Häufige Fragen
Kann ich erkennen, ob eine XRechnung manipuliert wurde?
Ohne Werkzeug nicht zuverlässig: Die IBAN steckt in einem XML-Feld, das eine normale Rechnungsansicht nicht zeigt. Mit einem Dienst, der das XML ausliest, ist der IBAN-Wert sichtbar und kann mit den Kreditorenstammdaten verglichen werden, bevor eine Zahlung ausgelöst wird.
Schützt „Verification of Payee" vor IBAN-Tausch im XML?
Nur teilweise. VoP (seit 9. Oktober 2025 Pflicht nach EU-VO 2024/886) lässt Ihre Bank prüfen, ob IBAN und Empfängername zusammenpassen. Das schützt gegen Tippfehler und bestimmte Betrugsformen. Es ersetzt aber nicht den Abgleich der IBAN aus dem XML gegen Ihre eigenen Stammdaten; diese Prüfung liegt vor dem Zahllauf, bei Ihnen.
Wer haftet, wenn das Geld auf einem Betrügerkonto gelandet ist?
Bei einer autorisierten Überweisung, bei der Ihr System nach interner Freigabe angewiesen hat, trägt der Zahlungsdienstleister in der Regel keine Haftung. Diese Einschätzung ergibt sich aus der aktuellen Rechtsprechung; im konkreten Fall ist rechtliche Beratung unerlässlich. Zur Orientierung: fachanwalt.de, Stand April 2026.
Ist XRechnung generell unsicher?
Nein. Das Format erfüllt die gesetzliche Pflicht nach § 14 UStG und ist als Datenstandard sinnvoll. Das Risiko liegt im Transportweg und im fehlenden Stammdaten-Abgleich vor dem Zahllauf, nicht im Format selbst. Peppol mit Identitätsprüfung ist deutlich schwerer zu manipulieren als eine per E-Mail eingegangene XRechnung.
Kann der Dienst eine Zahlung aufhalten oder zurückbuchen?
Nein. Der Dienst hat ausschließlich Lesezugriff und löst keine Zahlungen aus. Er macht IBAN-Werte und Eingangskanäle sichtbar und prüfbar; die Entscheidung und die Freigabe liegen bei Ihnen und Ihrem ERP.
Welcher Eingangskanal ist für XRechnungen am sichersten?
Peppol mit registriertem Zugangspunkt (Access Point) und Identitätsprüfung gilt als deutlich sichererer Transportweg als freie E-Mail: Der Absender ist im Peppol-Netz identifizierbar, die Übertragung ist gesichert. Eine offene E-Mail-Adresse als einziger Eingangsweg bleibt ein erheblicher Risikofaktor. Mehr dazu: Peppol-Netz erklärt.
IBAN-Kontrolle vor dem Zahllauf
Wer die IBAN aus eingehenden Datensätzen sichtbar und mit Kreditorenstammdaten vergleichbar hat, schließt eine Lücke, die kein ERP von sich aus schließt. Die Kontrolle über jeden Zahllauf bleibt erhalten, auch wenn das XML manipuliert wurde.
Gebaut von Leuten, die denselben Engpass aus der Praxis kennen.
