Falsche Rechnungen und gehackte Firmenpostfächer: Geänderte Bankdaten prüfen und nach Zahlung handeln
Ein Betrüger kann Lieferanten nachahmen, ihr echtes Postfach übernehmen oder in laufende Gespräche eingreifen. Dann folgen manipulierte Rechnungen, neue Bankdaten oder dringende Zahlungsforderungen.
Was ist passiert?
Wählen Sie die passende Situation. Stoppen Sie weitere Zahlungen und sichern Sie die ursprüngliche Kommunikation.
Eine verdächtige Rechnung kam an
Rechnung, Anhang, Betrag oder Aufforderung passen nicht zur üblichen Zusammenarbeit.
Vorgehen ansehen →Ein Lieferant nennt neue Bankdaten
Die Änderung kam per E-Mail oder steht auf einer korrigierten Rechnung.
Vorgehen ansehen →Wir haben bereits bezahlt
Geld ging auf ein neues, unbekanntes oder betrügerisch ausgetauschtes Konto.
Sofortmaßnahmen ansehen →Wir haben ein kompromittiertes Postfach entdeckt
Es gibt fremde Anmeldungen, Weiterleitungsregeln oder betrügerische Nachrichten.
Konto absichern →Eine betrügerische E-Mail muss nicht von einer fremden Adresse stammen
Der Angreifer kann ähnliche Domains, gefälschte Absenderangaben, ein echtes übernommenes Postfach oder die Identität der Geschäftsführung nutzen.
Ähnliche E-Mail-Adresse
Die Domain enthält Tippfehler, Bindestrich, andere Endung oder ähnliche Zeichen. Die Beispieladressen unten gehören zu keinen echten Lieferanten.
accounts@supplier.exampleaccounts@supp1ier.exampleGefälschter Absender
Anzeigename oder Von-Feld ähneln einer echten Firma, die Nachricht stammt aber nicht aus deren Postfach.
Echtes übernommenes Postfach
Der Angreifer kontrolliert ein echtes Konto. Nachrichten können daher die richtige Adresse nutzen und echte Gesprächsfäden fortführen.
CEO Fraud
Der Betrüger imitiert Geschäftsführung oder Vorgesetzte und verlangt eine dringende, geheime oder ungewöhnliche Zahlung.
Wie Rechnungs- und Firmen-E-Mail-Betrug abläuft
Der Angreifer kann Gespräche beobachten und eingreifen, sobald eine echte Rechnung oder Zahlung erwartet wird.
Firma und Partner identifizieren
Der Angreifer ermittelt, wer Zahlungen freigibt und mit wem die Firma handelt.
E-Mail nachahmen oder übernehmen
Er erstellt eine ähnliche Domain oder greift auf ein echtes Postfach zu.
Kommunikation beobachten
Er wartet auf Bestellung, Rechnung, Fälligkeit oder passenden Transfer.
Zahlungsdaten ändern
Er sendet eine korrigierte Rechnung oder nennt ein neues Lieferantenkonto.
Zahlung an den Angreifer
Ein Mitarbeiter glaubt, den echten Partner zu bezahlen.
Geld rasch weiterleiten
Das Geld wird weitergeleitet, abgehoben oder auf Konten verteilt.
Wie die betrügerische Zahlung begründet wird
Der Vorwand erklärt neue Bankdaten, Eile oder das Umgehen der üblichen Freigabe.
Geändertes Lieferantenkonto
„Bitte zahlen Sie ab diesem Monat auf unser neues Konto.“
Korrigierte Rechnung
„Das vorige Dokument enthielt falsche Zahlungsdaten.“
Dringende Anweisung der Geschäftsführung
„Zahlen Sie noch heute. Die Transaktion ist vertraulich.“
Ausländisches Ersatzkonto
„Unser übliches Konto ist vorübergehend nicht verfügbar. Nutzen Sie dieses.“
Falscher Anwalt oder Buchhalter
„Die Geschäftsführung hat mich mit dem Transfer beauftragt.“
Zahlungs-QR-Code auf manipulierter Rechnung
Der QR-Code enthält das Angreiferkonto, obwohl andere Angaben richtig wirken.
Was Sie bei Rechnung und Freigabe prüfen sollten
Vergleichen Sie Konto, Betrag, Währung, Bestellung und Freigabeprozess.
Lieferantenkonto
Passt es zu freigegebenen Stammdaten, Vertrag und früheren Rechnungen?
Erwartete Änderung
War die Änderung vor Eingang der neuen Rechnung unabhängig bekannt?
Betrag, Währung und Referenz
Passen sie zu Bestellung und üblichen Zahlungsvereinbarungen?
Normaler Freigabeprozess
Umgeht die Aufforderung Freigaben oder Buchhaltungskontrollen?
Unabhängige zweite Prüfung
Hat eine zweite verantwortliche Person die Änderung unabhängig geprüft?
Weniger auffälliges Rechnungsmuster
- Konto stimmt mit geprüften Stammdaten überein.
- Erwartete Bestellung und vereinbarter Betrag.
- Erwartete Währung, Fälligkeit und Zahlungsreferenz.
- Normaler Freigabeprozess.
- Kein Geheimhaltungsdruck. Diese Prüfungen senken das Risiko, garantieren aber keine Echtheit.
Verdächtiges Rechnungsmuster
- Neues Konto ohne unabhängige Prüfung.
- Unerwartetes ausländisches oder privates Konto.
- Plötzlicher Wechsel von Betrag, Währung oder Empfänger.
- Umgehen interner Freigaben.
- Druck zu Eile oder Geheimhaltung.
Wählen Sie Ihre Situation
Stoppen Sie weitere Zahlungen, prüfen Sie über einen anderen vertrauenswürdigen Kanal und sichern Sie Original-E-Mail, Rechnung und Unterlagen.
🧾 Eine verdächtige Rechnung kam an
- Bezahlen Sie noch nicht.
- Vergleichen Sie Konto, Betrag, Währung und Angaben mit geprüften Lieferantenstammdaten und früheren Rechnungen.
- Prüfen Sie nicht durch Antwort auf die E-Mail oder über Kontakte auf der neuen Rechnung.
- Erreichen Sie den Lieferanten über eine zuvor geprüfte Nummer oder einen anderen unabhängigen vertrauenswürdigen Kanal.
- Sichern Sie Original-E-Mail, Anhänge und vollständige Kopfzeilen; beziehen Sie Buchhaltung oder IT ein.
🏦 Ein Lieferant nennt neue Bankdaten
- Halten Sie Zahlungen auf das neue Konto bis zur unabhängigen Prüfung zurück.
- Bestätigen Sie nicht durch Antwort auf die Änderungsnachricht.
- Rufen Sie eine zuvor geprüfte Nummer aus bestehenden Lieferantenunterlagen oder bekanntem Vertrag an, nicht von der neuen Rechnung.
- Lassen Sie eine zweite verantwortliche Person die Änderung prüfen und freigeben.
- Dokumentieren Sie, wer wie geprüft hat.
🚨 Wir haben bereits bezahlt
- Kontaktieren Sie sofort die Bank und melden Sie vermuteten Zahlungsbetrug.
- Fragen Sie nach Stopp oder Rückruf und Kontakt zur Empfängerbank. Eine Rückholung ist nicht garantiert.
- Kontaktieren Sie den echten Lieferanten unabhängig und informieren Sie Finanzverantwortliche sowie IT/Sicherheitsteam.
- Sichern Sie Zahlungsbeleg, Empfängerkonto, Betrag, Zeitpunkt und alle Nachrichten.
- Melden Sie Tatverdacht oder Schaden bei Polizei oder zuständiger Meldestelle.
🔐 Wir haben ein kompromittiertes Postfach entdeckt
- Beziehen Sie umgehend Ihre IT ein. Ändern Sie von einem vertrauenswürdigen Gerät das Passwort und widerrufen Sie fremde Sitzungen nach dem Incident-Verfahren.
- Aktivieren oder prüfen Sie Mehrfaktor-Authentifizierung und entfernen Sie unbekannte Anmeldeverfahren.
- Prüfen Sie Weiterleitung, Regeln, Filter, Delegierung und Wiederherstellungsdaten.
- Widerrufen Sie mit der IT unbekannte App-Zugriffe, Geräte, Tokens und Berechtigungen.
- Prüfen Sie gesendete, gelöschte und archivierte E-Mails. Warnen Sie betroffene Kollegen und Partner über vertrauenswürdige Wege, abgestimmt mit der IT.
- Sichern Sie Anmeldeprotokolle und Änderungsangaben. Die IT sollte Umfang, weitere Konten und mögliche Meldepflichten prüfen.
So prüfen Sie ein neues Lieferantenkonto
Prüfen Sie außerhalb der Änderungs-E-Mail. Nutzen Sie einen Kontakt, dem die Firma bereits vor dem Vorfall unabhängig vertraute.
Zahlung zurückhalten
Zahlen Sie erst nach geprüfter Änderung.
Kontaktdaten der Nachricht meiden
Rufen Sie keine Nummer aus neuer Rechnung, Signatur oder verdächtiger E-Mail an.
Zuvor geprüfte Nummer anrufen
Nutzen Sie geprüfte Lieferantenstammdaten oder einen früheren vertrauenswürdigen Vertrag. Auch eine über Werbung gefundene Website kann falsch sein.
Zweite Freigabe verlangen
Dokumentieren Sie die Änderung und lassen Sie zwei Verantwortliche prüfen.
Dringlichkeit darf Zahlungskontrollen nicht umgehen
Normale Freigabe überspringen
Eile rechtfertigt nicht das Auslassen der zweiten Prüfung.
Transfer vor Kollegen geheim halten
Geheimhaltung kann unabhängige Prüfung verhindern.
Ungeprüft senden
Kontoänderungen erfordern unabhängige Bestätigung.
Niemanden anrufen
Die Anweisung, nur E-Mail zu nutzen, ist ein deutliches Warnsignal.
Zahlung aufteilen
Kleinere Transfers können interne Limits umgehen sollen.
Geschenkkarten kaufen
Unerwartete Forderungen nach Gutscheincodes per E-Mail müssen unabhängig geprüft werden.
Sensible Firmendaten senden
Prüfen Sie Anfragen nach Lohn- oder Personendaten über freigegebene Verfahren.
Sicherheitskontrollen abschalten
Leiten Sie Forderungen zum Abschalten von MFA, Filtern oder Freigaben an die IT weiter; behandeln Sie sie nicht als Zahlungsanweisung.
Wann eine Zahlungsforderung riskant ist
Eine Kombination dieser Zeichen bedeutet: Zahlung zurückhalten und außerhalb des ursprünglichen Gesprächs prüfen.
Neues Bankkonto
Das Konto ändert sich kurz vor Fälligkeit.
Ähnliche Domain
Tippfehler oder andere Domainendung.
Andere Reply-To-Adresse
Antworten gehen an ein anderes Ziel als den angezeigten Absender.
Unerwarteter Auslands- oder Privatempfänger
Das Konto passt nicht zum Lieferanten oder zur Vereinbarung.
Zeitdruck
Die Zahlung soll vor möglicher Prüfung erfolgen.
Geheimhaltungsforderung
Buchhaltung oder Kollegen sollen nichts vom Transfer erfahren.
Verfahren umgehen
Die Nachricht verlangt eine Freigabeausnahme.
Veränderter Kommunikationsstil
Ungewöhnlicher Ton, Signatur oder Rechnungsweg.
Passwortänderung allein reicht möglicherweise nicht
Ein Angreifer kann Weiterleitungsregeln, Wiederherstellungsverfahren oder verbundene Apps für bleibenden Zugriff hinzufügen.
Unbekannte Anmeldungen
Prüfen Sie Verlauf, Geräte, IP-Adressen und Standorte. Standorte allein beweisen keine Übernahme.
Automatische Weiterleitung
E-Mail-Kopien können an eine Angreiferadresse gehen.
Regeln und Filter
Nachrichten können verschoben, markiert oder gelöscht werden.
Wiederherstellungsdaten
Prüfen Sie Wiederherstellungstelefon, E-Mail und weitere Verfahren.
Verbundene Apps
Lassen Sie die IT unbekannte Apps, Tokens und Berechtigungen widerrufen.
Gesendete und gelöschte Nachrichten
Suchen Sie nach falschen Rechnungen und Kontoänderungsforderungen.
Verfahren zum Stoppen vor der Zahlung
Verbinden Sie MFA, geprüfte Rückrufe und zweite Freigabe. Keine einzelne Kontrolle garantiert Sicherheit.
Vier-Augen-Freigabe für Kontoänderungen
Eine Person prüft, eine zweite gibt frei.
Geprüfter Rückruf
Nutzen Sie eine zuvor geprüfte Nummer.
Geprüfte Lieferantenbankdaten
Speichern Sie freigegebene Kontodaten außerhalb normaler E-Mail-Verläufe.
MFA für Firmen-E-Mail
Mehrfaktor-Authentifizierung senkt Übernahmerisiken; phishingresistente Methoden bieten stärkeren Schutz.
Mitarbeiterschulung
Buchhaltung und Freigabeverantwortliche sollten BEC und CEO Fraud erkennen.
Vorfallsverfahren
Alle wissen, wen sie nach verdächtiger Zahlung kontaktieren müssen.
Was Sie sichern sollten
Sichern Sie Original-E-Mail, vollständige Kopfzeilen, Anhänge und Zahlungsunterlagen sicher.
Original-E-Mail
Originalnachricht, vollständige Kopfzeilen, Zeitpunkt und Message-ID.
Absender und Reply-To
Anzeigename, tatsächliche Adresse und Antwortziel.
Anhang und Rechnung
Originaldokument, Zahlungs-QR-Code und geänderte Angaben. Öffnen Sie verdächtige aktive Inhalte nicht erneut.
Gesprächsverlauf
Frühere Nachrichten und Zeitpunkt der geänderten Zahlungsbedingungen.
Zahlungsdaten
Konto, Betrag, Währung, Empfänger, Zeitpunkt und Beleg.
Prüfnachweis
Wen Sie kontaktiert haben und was bestätigt wurde.
Anmeldungen und Geräte
Fremde Sitzungen, IP-Adressen, Geräte und Zeiten.
Einstellungsänderungen
Weiterleitung, Regeln, Wiederherstellung und verbundene Apps.
Falsche Rechnungen und übernommene E-Mails – FAQ
Was ist Business Email Compromise oder BEC?
Betrug mit nachgeahmten oder übernommenen Firmen-E-Mails zur Zahlungsumleitung, zum Gelddiebstahl oder zum Erhalt sensibler Daten.
Kann eine E-Mail von der richtigen Adresse betrügerisch sein?
Ja. Ein echtes Postfach kann übernommen sein und die Nachricht ein echtes Gespräch fortsetzen.
Wie prüfen wir ein neues Bankkonto sicher?
Halten Sie die Zahlung zurück und rufen Sie eine zuvor geprüfte Lieferantennummer an. Nutzen Sie keine Kontakte der neuen Rechnung. Holen Sie eine zweite Freigabe ein.
Was ist, wenn die Rechnungsangaben stimmen?
Richtige Namen, Bestellungen, Beträge und Signaturen sind kein Beweis. Der Angreifer könnte frühere Kommunikation eingesehen haben.
Was tun wir unmittelbar nach der Zahlung?
Rufen Sie sofort die Bank an und fragen Sie nach Stopp oder Rückruf. Informieren Sie echten Lieferanten, Finanzverantwortliche und IT und melden Sie Tatverdacht der Polizei. Rückholung ist nicht garantiert.
Wie prüfen wir eine Postfachübernahme?
Lassen Sie die IT Anmeldungen, Sitzungen, Weiterleitung, Regeln, Wiederherstellung, App-Zugriffe und gesendete Post sowie den weiteren Vorfallsumfang prüfen.
Reicht eine Änderung des E-Mail-Passworts?
Nicht immer. Widerrufen Sie fremde Sitzungen und App-Zugriffe, entfernen Sie schädliche Regeln, prüfen Sie Wiederherstellung und MFA und schließen Sie die IT-geführte Vorfallsprüfung ab.
Wo melden wir den Vorfall?
Informieren Sie bei betroffenem Geld die Bank, IT/Postfachverwaltung, echten Geschäftspartner sowie Polizei oder Meldestelle. DPP nimmt Meldungen über sein tschechisches Formular entgegen.
Eine falsche Rechnung oder kompromittierte Firmenkommunikation entdeckt?
Sichern Sie Original-E-Mail, Kopfzeilen, Rechnung, Empfängerkonto und einen kurzen Ablauf. Eine DPP-Meldung ersetzt keinen Bank-, IT- oder Polizeikontakt.
Offizielle Hinweise zur Wiederherstellung
Australian Cyber Security Centre: Business email compromise (Englisch)