Fake-Rechnungen und CEO-Fraud: So schützen Sie Ihr Unternehmen

Maschen

Die häufigsten Betrugsmaschen

Geänderte Bankverbindung

Ein bekannter Lieferant schreibt, dass sich seine Bankverbindung geändert hat – oder eine echte Rechnung kommt mit einer anderen IBAN. Oft steckt dahinter ein kompromittiertes Postfach: Die Angreifer haben Zugriff auf das E-Mail-Konto des Lieferanten oder Ihres Unternehmens, lesen still mit und greifen genau dann ein, wenn eine größere Zahlung ansteht. Die Mail kommt dann tatsächlich von der echten Adresse und antwortet im laufenden Gesprächsverlauf.

CEO-Fraud (Chef-Masche)

Eine Mitarbeiterin in der Buchhaltung erhält eine Nachricht der Geschäftsführung: Es gehe um eine vertrauliche Übernahme, eine dringende Zahlung müsse heute noch raus, bitte mit niemandem darüber sprechen. Die Absenderadresse sieht echt aus oder unterscheidet sich nur in einem Buchstaben. Zunehmend kommen auch Anrufe oder Sprachnachrichten mit KI-nachgeahmter Stimme dazu.

Fake-Rechnungen und Scheinangebote

Rechnungen für nie bestellte Leistungen – etwa angebliche Einträge in Branchenverzeichnissen, Markenregister oder Domainverlängerungen. Sie wirken amtlich und setzen auf eine Buchhaltung, die im Alltag schnell durchwinkt.

Das Muster dahinter: Alle Maschen setzen auf denselben Hebel – Vertrauen plus Zeitdruck. Technische Schutzmaßnahmen helfen, aber der wirksamste Schutz ist ein Prozess, der unabhängig davon greift, wie echt eine Nachricht aussieht.

Erkennen

Warnsignale, auf die Ihr Team achten sollte

• Geänderte Zahlungsdaten – egal wie plausibel die Begründung ist.
• Ungewöhnliche Dringlichkeit: „heute noch“, „vor Geschäftsschluss“, „sonst platzt der Deal“.
• Geheimhaltung: „Bitte nur mit mir besprechen.“
• Ungewöhnlicher Weg: Der Chef schreibt plötzlich per WhatsApp oder von einer privaten Adresse.
• Kleine Abweichungen in Absenderadresse oder Domain, etwa weltz-aero.de statt weltz.aero oder rn statt m.
• Ausländisches Konto bei einem inländischen Lieferanten oder ein Kontoinhaber, der nicht zum Firmennamen passt.
• Antworten an eine andere Adresse als die Absenderadresse.

Prozess

Der wirksamste Schutz: klare Zahlungsregeln

Diese Regeln kosten im Alltag Minuten und verhindern die meisten Schäden. Schreiben Sie sie auf, und machen Sie klar, dass sie für alle gelten – ausdrücklich auch für Anweisungen der Geschäftsleitung.

1. Rückruf bei geänderten Bankdaten: Neue oder geänderte Bankverbindungen werden nur nach einem Rückruf übernommen – unter der Nummer aus Ihren Stammdaten oder dem Vertrag, nie unter der Nummer aus der E-Mail.
2. Vier-Augen-Prinzip: Zahlungen über einem festgelegten Betrag und alle Zahlungen an neue Empfänger gibt eine zweite Person frei.
3. Kein Eilverfahren per Mail oder Chat: Anweisungen der Geschäftsleitung zu ungewöhnlichen Zahlungen werden persönlich oder telefonisch bestätigt.
4. Stammdaten schützen: Wer Bankverbindungen im Buchhaltungssystem ändern darf, ist festgelegt; Änderungen werden protokolliert.
5. Rechnungen gegen Bestellungen prüfen: Keine Zahlung ohne Bestellung, Vertrag oder bekannte Leistung.
6. Nachfragen ist erwünscht: Wer eine Zahlung stoppt und nachfragt, bekommt Rückendeckung – auch wenn es der Chef war.

Die Empfängerüberprüfung der Banken nutzen

Seit dem 9. Oktober 2025 gleichen Banken im Euroraum bei SEPA-Überweisungen und Echtzeitüberweisungen den eingegebenen Empfängernamen mit dem Namen des Kontoinhabers ab (Empfängerüberprüfung, englisch Verification of Payee). Vor der Freigabe erhalten Sie eines von vier Ergebnissen: Übereinstimmung, teilweise Übereinstimmung mit Vorschlag des richtigen Namens, keine Übereinstimmung oder Prüfung nicht möglich.

Das ist ein wertvoller Schutz gegen ausgetauschte IBANs – wenn er ernst genommen wird. Zeigt die Bank „keine Übereinstimmung“, sollte die Zahlung angehalten und der Empfänger per Rückruf geprüft werden. Wer trotz Warnung überweist, trägt das Risiko in der Regel selbst. Beachten Sie außerdem: Bei Sammelüberweisungen können Unternehmen auf die Prüfung verzichten – prüfen Sie, wie Ihre Bank und Ihre Buchhaltungssoftware das handhaben. Und die Prüfung hilft nicht, wenn die Betrüger ein Konto auf einen passenden Namen eröffnet haben.

Technik

Technische Maßnahmen

• Mehr-Faktor-Anmeldung für alle Postfächer: Der häufigste Ausgangspunkt ist ein E-Mail-Konto, dessen Passwort abgegriffen wurde. Mit Mehr-Faktor-Anmeldung reicht das Passwort nicht mehr.
• SPF, DKIM und DMARC: Diese DNS-Einträge sorgen dafür, dass niemand E-Mails mit Ihrer Domain als Absender verschicken kann, ohne dass empfangende Server das erkennen. Mit einer DMARC-Richtlinie „quarantine“ oder „reject“ landen Fälschungen im Spam oder werden abgewiesen. Wie das funktioniert, erklären wir im Ratgeber DNS-Verwaltung.
• Hinweis auf externe Absender: Ein Banner „Diese Nachricht kommt von außerhalb Ihrer Organisation“ macht gefälschte interne Mails sichtbar. In Microsoft 365 lässt sich das zentral aktivieren.
• Weiterleitungsregeln überwachen: Angreifer richten in gekaperten Postfächern oft heimliche Weiterleitungen oder Regeln ein, die Antworten verstecken. Automatische externe Weiterleitungen sollten gesperrt sein.
• Ähnliche Domains im Blick: Wichtige Tippfehler-Varianten Ihrer Domain können Sie selbst registrieren.

Das Team sensibilisieren

Buchhaltung, Assistenz und Einkauf sind die wichtigste Verteidigungslinie. Eine kurze, regelmäßige Schulung mit echten Beispielen wirkt mehr als jede Technik. Besonders wichtig: eine Kultur, in der Nachfragen normal ist. Wer Angst hat, den Chef mit einer Rückfrage zu nerven, überweist eher.

Ein Tipp: Vereinbaren Sie für vertrauliche Zahlungsanweisungen ein einfaches Bestätigungsverfahren, etwa einen Rückruf auf die interne Durchwahl. Kommt eine Anweisung ohne diesen Schritt, ist das für alle ein klares Stoppsignal.

Ernstfall

Geld überwiesen – was jetzt?

1. Sofort die Bank anrufen: nicht per E-Mail, sondern telefonisch. Bitten Sie um einen Rückruf der Zahlung (Recall). Je früher, desto größer die Chance, dass das Geld noch nicht weitergeleitet wurde – eine Garantie gibt es nicht, bei Echtzeitüberweisungen ist das Zeitfenster besonders kurz.
2. Beweise sichern: E-Mails mit vollständigen Kopfzeilen, Rechnungen, Zahlungsbelege und Telefonnotizen aufbewahren. Nichts löschen.
3. Anzeige erstatten: bei der Zentralen Ansprechstelle Cybercrime (ZAC) des Landeskriminalamts oder der örtlichen Polizei.
4. Postfach prüfen: Passwörter ändern, Mehr-Faktor-Anmeldung aktivieren, Weiterleitungen und Regeln kontrollieren und prüfen lassen, ob ein Konto kompromittiert ist.
5. Partner informieren: Den echten Lieferanten oder Kunden telefonisch warnen – möglicherweise ist dessen Postfach betroffen.
6. Versicherung und Datenschutz: Den Schaden der Cyber- oder Vertrauensschadenversicherung melden. Waren personenbezogene Daten betroffen, gilt die 72-Stunden-Meldepflicht nach DSGVO.

Checkliste

Fünf Fragen an Ihre Buchhaltung

1. Werden geänderte Bankverbindungen immer per Rückruf unter einer bekannten Nummer bestätigt?
2. Gilt für größere und neue Zahlungen das Vier-Augen-Prinzip – auch für die Geschäftsleitung?
3. Wie reagiert das Team, wenn die Empfängerüberprüfung „keine Übereinstimmung“ meldet?
4. Sind alle Postfächer mit Mehr-Faktor-Anmeldung geschützt, und ist DMARC für Ihre Domain aktiv?
5. Weiß jeder, wen er im Verdachtsfall sofort anruft?

Unser Fazit: Gegen eine perfekt gefälschte E-Mail hilft kein Bauchgefühl – gegen einen festen Rückruf-Prozess kommt dagegen kaum ein Betrüger an. Kombinieren Sie klare Zahlungsregeln mit Mehr-Faktor-Anmeldung und DMARC, und nehmen Sie die Warnung der Bank ernst.

Häufige Fragen zu Fake-Rechnungen und CEO-Fraud

Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Stand: Oktober 2026.