Auf dieser Seite
Eine XRechnung prüfen: Betrag stimmt, Lieferant bekannt, Leistung plausibel. Und trotzdem landet die Überweisung auf dem falschen Konto. Nicht weil jemand unachtsam war, sondern weil das Format selbst einen blinden Fleck erzeugt: Was Sie im PDF sehen und was das System tatsächlich bezahlt, können zwei verschiedene Dinge sein.
Dieser Artikel erklärt in drei konkreten Schritten, was Sie als Buchhaltung oder kaufmännische Leitung tun können, ohne technisches Vorwissen zu brauchen. Den Hintergrund zur Funktionsweise von XRechnung und eine technische Analyse der Angriffsvektoren im XML gibt es separat; das Schutzkonzept im Überblick fasst alle Teile zusammen. Wer breiter einsteigen möchte: alle Lösungen im Überblick.
Wie sieht so ein Angriff aus, ganz konkret?
Ihr Lieferant schickt eine Rechnung. Die E-Mail kommt von der bekannten Adresse, der Betrag passt, die Leistungsbeschreibung stimmt. Sie öffnen das Dokument, sehen ein sauber formatiertes PDF, und geben die Rechnung zur Zahlung frei.
Was Sie nicht sehen: Eine XRechnung ist kein reines PDF. Sie besteht aus einem Datenteil, dem XML, der alle Felder strukturiert enthält, darunter auch die Kontonummer. Dieser Datenteil ist eine einfache Textdatei. Jeder Texteditor kann sie öffnen und verändern. Das PDF, das Sie sehen, ist nur die Darstellung; es hat auf die tatsächliche Zahlung keinen Einfluss.
Wenn eine solche Datei auf dem Transportweg abgefangen wird, etwa weil eine E-Mail-Verbindung nicht gesichert ist oder ein Postfach kompromittiert wurde, reicht ein einziger Eingriff im Datenteil: die Kontonummer austauschen. Alles andere bleibt unverändert. Das Dokument sieht weiterhin korrekt aus. Ihr System zahlt auf das manipulierte Konto.
Das Bundeskriminalamt dokumentiert diese Vorgehensweise als sogenannten „Business E-Mail Compromise" im Rechnungskontext, eine Masche, bei der Täter gezielt in Zahlungsprozesse eingreifen.
Drei Dinge, die Sie konkret schützen
Schritt 1: Neue Bankverbindung immer telefonisch bestätigen
Die einfachste und wirksamste Schutzregel: Sobald ein Lieferant eine Ihnen unbekannte Kontonummer nennt (egal ob erstmalig oder weil er angibt, seine IBAN habe sich geändert), rufen Sie ihn an. Nicht auf einer Nummer aus der E-Mail oder der Rechnung, sondern auf einer, die Sie unabhängig davon kennen oder selbst nachgeschlagen haben.
Diese eine Maßnahme stoppt den häufigsten Angriff. Der Aufwand: ein kurzes Telefonat. Den Anlass zu notieren (wann, mit wem, welche IBAN bestätigt) ist sinnvoll, wenn es später Fragen gibt.
Dasselbe gilt für Anfragen, die per E-Mail eine Kontoänderung ankündigen. Solche Nachrichten können gefälscht oder aus einem übernommenen Postfach gesendet sein. Der Anruf ist der einzige sichere Weg, das zu klären.
Schritt 2: Was Ihre Bank seit Oktober 2025 prüft und was nicht
Seit dem 9. Oktober 2025 sind Banken in der Eurozone gesetzlich verpflichtet, bei SEPA-Überweisungen zu prüfen, ob IBAN und Empfängername zusammenpassen. Diese Pflicht heißt „Verification of Payee" und beruht auf der EU-Verordnung 2024/886.
Das ist eine echte Verbesserung. Bei Tippfehlern in der IBAN und in bestimmten Betrugsfällen greift dieser Check. Aber er hat eine klare Grenze:
Was VoP prüft: Ob IBAN und Kontoinhaber-Name beim Zielkonto übereinstimmen, zum Zeitpunkt der Überweisung.
Was VoP nicht prüft: Ob die IBAN in der Rechnung überhaupt mit der IBAN übereinstimmt, die Sie für diesen Lieferanten in Ihrem System hinterlegt haben. Ein Angreifer, der ein eigenes Konto unter einem plausibel klingenden Firmennamen führt, besteht die VoP-Prüfung problemlos.
VoP ist eine zusätzliche Schutzschicht. Sie ersetzt den Abgleich mit Ihren eigenen Stammdaten nicht. Wenn Ihr ERP-System oder Ihre Buchhaltungssoftware eine Warnmeldung ausgibt, weil die IBAN in der Rechnung nicht mit der hinterlegten Kontonummer des Lieferanten übereinstimmt, nehmen Sie diese Meldung ernst: Das ist der Moment, in dem ein Angriff sichtbar wird.
Zur Haftungsfrage bei autorisierten Fehlüberweisungen: Wer eine Überweisung mit korrekter IBAN selbst freigibt (auch wenn die IBAN manipuliert wurde), gilt in der Regel als Auftraggeber der Zahlung. Im Zweifelsfall Ihren Steuerberater oder Ihre Bank fragen; die genaue Haftungsverteilung hängt vom Einzelfall ab.
Schritt 3: Den Eingangsweg der Rechnung kennen
Nicht alle Eingangskanäle sind gleich sicher.
E-Mail: Eine XRechnung, die als E-Mail-Anhang ankommt, hat auf dem Transportweg keinen technischen Schutz gegen Veränderungen. Die Datei passiert Mailserver und Zwischenstationen. Ein Angreifer, der an einem dieser Punkte zugreift, kann den Datenteil verändern, ohne dass das für Sie erkennbar ist.
Peppol: Peppol ist ein europäisches Netzwerk für den sicheren Austausch von Rechnungen. Jeder Teilnehmer muss sich registrieren und ist identifizierbar. Die Übertragung ist gesichert. DATEV empfiehlt für Unternehmen, den E-Mail-Kanal zugunsten von Peppol oder vergleichbarer Plattformen zu verlassen.
Das bedeutet nicht, dass jede per E-Mail eingehende Rechnung manipuliert ist; die überwiegende Mehrheit ist es nicht. Aber den Eingangsweg zu kennen und bei E-Mail-Eingang mit erhöhter Aufmerksamkeit zu prüfen, ist eine vernünftige Gewohnheit.
Wenn Sie ein zentrales, überwachtes Postfach für Eingangsrechnungen nutzen statt allgemeiner Adressen: das reduziert schon die Angriffsfläche deutlich.
Was der Dienst für Sie sichtbar macht
Der Dienst liest eingehende XRechnung- und ZUGFeRD-Belege, bevor sie in Ihrer Buchhaltung verarbeitet werden, und zeigt Ihnen die enthaltenen Felder, darunter die im Datenteil hinterlegte Kontonummer, im Klartext an. Außerdem wird dokumentiert, über welchen Kanal eine Rechnung eingegangen ist (Peppol, zentrales Postfach, manueller Upload).
Der Dienst hat ausschließlich Lesezugriff. Er löst keine Zahlungen aus und trifft keine Freigabeentscheidungen. Die Zahlung liegt bei Ihnen.
Was dabei als Nebeneffekt entsteht: Fälligkeitsdaten aus geprüften Eingangsrechnungen fließen direkt in die 13-Wochen-Liquiditätsvorschau, ein Datenpunkt, der sowohl für die Sicherheitsprüfung als auch für die Liquiditätsplanung genutzt wird.
Zum Schutzkonzept im Überblick: IBAN-Betrug per XRechnung: Risiko erkennen und absichern
Kann mir das passieren, obwohl ich nur wenige XRechnungen bekomme?
Ja. Die Anzahl spielt keine Rolle; es reicht ein einzelner manipulierter Beleg. Und je seltener solche Rechnungen ankommen, desto weniger vertraut ist der Ablauf, was die Wahrscheinlichkeit erhöht, dass eine Abweichung nicht auffällt.
Ich prüfe jede Rechnung sorgfältig. Reicht das?
Die sorgfältige Prüfung des PDFs schützt nicht gegen einen Angriff im Datenteil. Das PDF kann korrekt aussehen, während die IBAN im XML bereits ausgetauscht ist. Ohne direkten Blick auf den Datenteil oder einen automatischen Abgleich mit Ihren Stammdaten bleibt diese Manipulation unsichtbar.
Was passiert, wenn ich eine manipulierte Rechnung bezahlt habe?
Überweisungen, die Sie selbst freigegeben haben, gelten in der Regel als autorisierte Zahlungen. Die Bank ist in diesem Fall nicht automatisch zur Rückbuchung verpflichtet. Im Zweifel sofort mit Ihrer Bank sprechen und Strafanzeige stellen. Eine schnelle Reaktion kann die Chancen auf Rückholung verbessern. Rechtliche Einschätzung bitte beim Fachanwalt einholen.
Hilft Verification of Payee vollständig?
Nein. VoP ist eine sinnvolle Ergänzung, aber kein vollständiger Schutz. VoP prüft bei Ihrer Bank, ob IBAN und Kontoname zusammenpassen. Es prüft nicht, ob die IBAN in der Rechnung mit der bei Ihnen hinterlegten Lieferanten-IBAN übereinstimmt. Dieser Abgleich muss in Ihrem eigenen System stattfinden.
Muss ich technisch versiert sein, um den Dienst zu nutzen?
Nein. Die Bedienung ist auf Buchhalter und kaufmännische Mitarbeiter ausgerichtet, nicht auf IT-Fachkräfte. Die relevanten Felder, inklusive der Kontonummer aus dem Datenteil, werden lesbar dargestellt. Weiterführende Informationen zur Technik dahinter: Sicherheit und Datenverarbeitung.
Kontrolle über jede Eingangsrechnung
Wer eingehende XRechnungen nicht nur genehmigt, sondern die tatsächliche Kontonummer aus dem Datenteil kennt, bevor eine Zahlung freigeht, handelt auf geprüfter Basis. Das bedeutet Kontrolle darüber, wohin das Geld fließt, nicht nur was das PDF zeigt.
Gebaut von Leuten, die denselben Engpass aus der Praxis kennen.
