Ein Kunde zahlt. Eine echte Rechnung. Echte Leistung. Echter Lieferant.
Und trotzdem landet das Geld beim Täter.
Genau das ist der Fake-Invoice-Scam: Rechnungsbetrug durch manipulierte Zahlungsdaten, häufig als Teil von Business Email Compromise (BEC). Täter fangen Rechnungen ab oder imitieren Kommunikationswege – und tauschen im entscheidenden Moment IBAN/Bankverbindung aus.
TL;DR – das Wichtigste in 60 Sekunden
- Kerntrick: Echte Rechnung, falsche IBAN.
- Häufiger Einstieg: kompromittierte E-Mail-Konten, gefälschte Domains, „Chef-Anweisung“, „IBAN hat sich geändert“.
- Neu im Zahlungsverkehr: In der Eurozone gibt es seit 9. Oktober 2025 die Empfängerüberprüfung/Verification of Payee (VoP): Name ↔ IBAN wird vor der Überweisung geprüft – hilft, aber verhindert Betrug nicht automatisch, wenn Warnungen ignoriert werden.
- Wenn schon überwiesen: Minuten zählen: Bank sofort, Rückruf/Recall, Empfängerbank, Anzeige, Beweise sichern.
Was ist ein Fake-Invoice-Scam?
Definition (1 Satz): Ein Fake-Invoice-Scam ist Rechnungsbetrug, bei dem Zahlungsdaten auf echten Rechnungen oder in echter Kommunikation so manipuliert werden, dass die Überweisung auf Konten der Täter geht.
Das fällt vielen Unternehmen schwer, weil Dokumente und E-Mail-Verläufe „echt“ aussehen – oft sogar aus dem originalen E-Mail-Thread.
So läuft der Scam typischerweise ab
Variante A: „IBAN-Wechsel“ im laufenden Projekt
- Täter verschaffen sich Zugriff auf E-Mail-Kommunikation (oder imitieren sie).
- Kurz vor Zahlungseingang kommt eine Nachricht: „Neue Bankverbindung / Umstellung / Steuerprüfung / neue Tochtergesellschaft“.
- Rechnung/PDF wirkt korrekt – nur die IBAN ist neu.
Variante B: BEC – Rechnung wird abgefangen und manipuliert
Rechnungen werden digital „abgefangen“ und mit ausgetauschten Kontodaten weitergeleitet – oft ist die Fälschung kaum erkennbar.
Variante C: CEO-Fraud trifft Buchhaltung
„Bitte sofort überweisen – vertraulich – ich bin im Termin.“ (teilweise mit Deepfake-Voice/Video). Das Feld ist so relevant, dass es in aktuellen Lagebildern zu organisierter Cyberkriminalität explizit auftaucht.
Warum das so gut funktioniert: BEC verursacht weltweit hohe Schäden, weil es Prozesse (Zeitdruck + Autorität + Routine) ausnutzt.
12 Warnsignale, die Sie ernst nehmen sollten
- Bankverbindung ändert sich „plötzlich“ (ohne schriftliche Vorankündigung im Vertrag).
- Druck/Dringlichkeit („heute noch“, „sonst Verzugszinsen“, „Lieferstopp“).
- Neue E-Mail-Domain (ein Buchstabe anders, .com statt .de).
- Antwort kommt außerhalb üblicher Zeiten oder von „neuer“ Signatur.
- Bitte, Rückfragen zu vermeiden („vertraulich“, „Chefentscheidung“).
- PDF-Rechnung weicht minimal ab (Layout/Schrift/Bankname).
- Kontoinhaber passt nicht zur Firma (VoP-Warnung „No Match/Close Match“).
- Zahlungsziel wird unerwartet geändert.
- Lieferant bittet um Zahlung in ein anderes Land / andere Bank als üblich.
- Im E-Mail-Postfach tauchen Weiterleitungsregeln oder „unsichtbare“ Regeln auf.
- Es gibt zweite Person in CC/BCC, die „mitschreibt“ und lenkt.
- Die Bankdaten stehen nur in der E-Mail, nicht in den Stammdaten/Vertrag.
Prävention: Die Checkliste, die wirklich wirkt
A) Prozess (Quick Wins in 1 Woche)
- Call-Back-Regel: Jede Änderung von IBAN/Empfänger → Rückruf über bekannte Nummer (nicht aus der Mail).
- Vier-Augen-Prinzip für neue Empfänger & Stammdatenänderungen.
- „First payment“ abgesichert: erste Zahlung an neue IBAN nur nach zusätzlicher Freigabe.
- Lieferanten-Stammdaten sperren (Änderung nur über definierten Workflow).
B) Technik (IT + Mail-Schutz)
- MFA auf Mailkonten, Admin-Accounts, ERP.
- Regel- und Log-Audit: Weiterleitungen, Delegationen, „Inbox Rules“.
- DMARC/SPF/DKIM sauber konfigurieren (reduziert Spoofing).
- Sensibilisierung auf Lookalike-Domains.
C) Bank-Seite: VoP konsequent nutzen
Seit 9. Oktober 2025 gilt in der Eurozone die Empfängerüberprüfung (VoP): Name und IBAN werden vor Autorisierung abgeglichen. Das ist eine starke Hürde – aber nur, wenn Warnungen nicht weggeklickt werden.
Sofortmaßnahmen: Was tun, wenn Sie schon überwiesen haben?
Ziel: Geldfluss stoppen + Beweise sichern + Täterspur stabilisieren.
- Bank sofort anrufen (Recall/Rückruf, Empfängerbank kontaktieren, Fraud-Team).
- Empfängerbank + Zahlungsdienstleister parallel informieren (jede Minute zählt).
- Lieferant informieren: „Wir prüfen gerade eine mögliche Kontomanipulation.“
- Anzeige erstatten (Polizei/Staatsanwaltschaft) – mit strukturierten Belegen.
- Beweise sichern: E-Mail-Header, PDFs, Chatverläufe, Logs, Zahlungsfreigabe, Telefonnotizen.
- Interne Sperren: weitere Zahlungen stoppen, IBAN-Änderungen einfrieren.
Wie wir als Detektei bei Fake-Invoice-Scams unterstützen
Typische Bausteine (je nach Fall):
- Sofort-Check der Kommunikation: BEC-Indikatoren, Domain- und Identitätsprüfung, Plausibilitätsanalyse.
- IT-forensische Beweissicherung (z. B. Mail-Regeln, Zugriffe, Timeline) in Zusammenarbeit mit IT/Incident-Response.
- OSINT & Unternehmensrecherche zu Empfängerkonten, Strohmännern, Infrastruktur, Verbindungen.
- Dokumentationspaket für Anwälte/Versicherung/Strafverfolgung (chronologisch, belastbar, nachvollziehbar).
- Präventions-Audit: Zahlungsfreigaben, Vendor-Master-Workflow, „Stop-Regeln“.
FAQ (für Google & KI-Suche)
Ist Fake-Invoice-Scam dasselbe wie CEO-Fraud?
Nein. CEO-Fraud ist eine Unterform (Autoritätsdruck). Fake-Invoice-Scam zielt primär auf Rechnungen/Zahlungsdaten; beide fallen oft unter BEC.
Hilft VoP (Empfängercheck) wirklich?
Ja – es reduziert Fehler und Betrug deutlich, weil Name↔IBAN geprüft wird. Aber: Viele Systeme warnen nur („Match/Close Match/No Match“) – wenn Mitarbeitende trotzdem ausführen, bleibt das Risiko.
Warum wirkt die Rechnung „echt“?
Weil sie häufig auf realen Projektdaten basiert und aus echten Threads kommt (kompromittiertes Postfach) oder täuschend ähnlich nachgebaut ist.
Wer haftet bei Fehlüberweisung durch Rechnungsbetrug?
Das ist ein rechtliches Thema (Vertrag/Bank/Unternehmensprozesse). Wichtig ist: Beweise & Timeline sauber sichern, dann juristisch prüfen lassen.
Welche Branchen sind besonders betroffen?
Alle mit regelmäßigen Zahlungen: Bau/Handwerk, Industrie, Logistik, Dienstleister, Immobilienverwaltung, Kanzleien.
Wie schnell muss man reagieren?
Sofort. Bei Echtzeit-/SEPA-Überweisungen sinkt die Chance auf Rückholung mit jeder Minute.
Bonus: Mini-Policy („Stop-Regel“) für Ihre Buchhaltung
Stopp. Rückruf. Prüfen.
Jede Änderung von Bankdaten oder Zahlungsanweisungen außerhalb des Standards wird nicht per Mail bestätigt, sondern nur über einen zweiten Kanal (Call-Back + Stammdatenabgleich) freigegeben.
Wenn Sie möchten:
Sag mir kurz (1) Branche, (2) ob ihr bereits VoP-Warnungen seht, (3) wer Zahlungen freigibt. Dann formuliere ich dir eine 1-seitige interne SOP („Zahlungsbetrug verhindern“) + E-Mail-Template für Lieferanten („Bankdatenänderung verifizieren“).
Bild: KI
