Diese Mail sieht echt aus: Rechnungsbetrug erkennen

Wie der Angriff wirklich abläuft

Das Muster ist fast immer dasselbe. Jemand verschafft sich Zugang zum Postfach eines Ihrer Lieferanten — oder zu Ihrem. Dort liest er mit, wochenlang. Er lernt, wer mit wem worüber schreibt, wie die Anrede lautet, welche Beträge üblich sind und wann Rechnungen kommen.

Dann greift er genau einmal zu: Er antwortet in einem laufenden Mailverlauf, hängt eine Rechnung an, die aussieht wie alle vorherigen, und erwähnt beiläufig eine neue Bankverbindung — Kontowechsel, neue Hausbank, Umstrukturierung. Nichts an dieser Mail wirkt falsch, weil fast alles daran echt ist.

Warum die Absenderadresse nichts beweist

Zwei Varianten kommen vor. Bei der ersten stimmt die Adresse tatsächlich, weil das Konto übernommen wurde. Bei der zweiten ist ein Zeichen vertauscht — ein „rn“ statt „m“, eine Null statt eines O, eine Domain mit Bindestrich. Im Posteingang steht ohnehin meist nur der Anzeigename, und den kann jeder setzen.

Kurz: Die Absenderzeile ist kein Prüfmerkmal. Sie fühlt sich nur so an.

Das eine Merkmal, auf das es ankommt

Es gibt genau einen Punkt, der diesen Betrug trägt: die geänderte Bankverbindung. Ohne sie funktioniert er nicht. Deshalb lautet die einzige Regel, die man sich merken muss:

Eine neue Kontonummer wird nie per Mail bestätigt. Nie. Nicht durch eine Rückfrage per Mail, nicht durch eine Antwort auf dieselbe Nachricht, nicht durch die Telefonnummer, die in der Mail steht. Sondern durch einen Anruf unter der Nummer, die Sie schon vorher hatten — aus Ihrem Adressbuch, von der letzten Rechnung, von der Website.

Was Sie im Betrieb festlegen sollten

• Ab welchem Betrag ein zweites Paar Augen die Zahlung freigibt.
• Dass Stammdatenänderungen — Bankverbindung, Adresse — grundsätzlich telefonisch bestätigt werden, unter der bekannten Nummer.
• Dass niemand Ärger bekommt, wenn er lieber einmal zu oft nachfragt. Das ist der wichtigste Punkt, und er kostet nichts.

Diese drei Sätze passen auf eine halbe Seite und verhindern mehr als jede Software.

Wenn schon überwiesen wurde

Dann zählt jede Stunde. Rufen Sie sofort Ihre Bank an und lassen Sie die Überweisung zurückrufen — bei Zahlungen, die noch nicht ausgeführt sind, klappt das oft. Erstatten Sie Anzeige; die Polizei braucht das für die Anfragen bei der Empfängerbank. Informieren Sie den echten Lieferanten, denn wenn dessen Postfach die Quelle war, sind auch andere Kunden betroffen. Und lassen Sie prüfen, ob bei Ihnen selbst jemand mitliest.

Was technisch hilft

Zwei-Faktor-Anmeldung auf allen Postfächern macht den häufigsten Einstieg — das gestohlene Passwort — weitgehend wertlos. Regeln, die eingehende Mails von ähnlich aussehenden Domains markieren, fangen die zweite Variante ab. Und eine Anmeldeüberwachung meldet, wenn sich jemand aus einem Land anmeldet, in dem Sie keine Kunden haben.

Nichts davon ersetzt den Anruf bei einer geänderten Kontonummer. Aber zusammen sorgt es dafür, dass es gar nicht erst so weit kommt.