Fachlich geprüft von Fatma Tabak-Özkul, Steuerberaterin
Stand: Oktober 2026
Die Rechnung sieht aus wie immer: richtiger Lieferant, richtige Auftragsnummer, vertrauter Ansprechpartner. Nur die Bankverbindung ist neu – und die Begründung klingt plausibel. Genau so funktioniert Rechnungsbetrug mit gefälschter Bankverbindung. Die Täter brauchen dafür keine Schadsoftware in Ihrem Netz, sondern nur einen Moment, in dem in der Buchhaltung niemand nachfragt. Ist das Geld überwiesen, ist es meist verloren.
Dieser Beitrag zeigt, wie die Masche technisch abläuft, welche Prüfschritte sie zuverlässig stoppen, was die seit Oktober 2025 vorgeschriebene Empfängerüberprüfung der Banken leistet – und wo ihre Grenze liegt. Am Ende geht es um die steuerliche Seite: Vorsteuer und Betriebsausgabe nach einem Schaden.
Wie läuft Rechnungsbetrug mit geänderter Bankverbindung ab?
Die polizeiliche Kriminalprävention beschreibt das Muster so: Die Täter sammeln zuerst Informationen über das Unternehmen – aus Handelsregister, Homepage, Werbebroschüren und sozialen Netzwerken. Danach sprechen sie gezielt Mitarbeiter an, die Überweisungen ausführen dürfen, und begründen die Zahlung zum Beispiel mit einer angeblichen Unternehmensübernahme oder geänderten Bankverbindungen. E-Mail-Adressen werden dabei verfälscht, Telefonnummern verschleiert.
Typisch sind drei Varianten:
- Angebliche Anweisung der Geschäftsführung (CEO-Fraud): Eine Mail „vom Chef“ verlangt eine dringende, vertrauliche Zahlung. Der Absender wirkt echt, weicht aber im Detail ab – etwa ein „m“ statt „rn“ in der Adresse.
- Übernommenes Postfach (Business E-Mail Compromise): Angreifer haben Zugriff auf das Postfach eines Lieferanten oder auf Ihr eigenes. Sie lesen mit und schicken im passenden Moment eine Rechnung mit neuer IBAN – aus einer echten Unterhaltung heraus.
- Manipulierte Rechnungsdatei: In einer PDF-Rechnung wird nur die Bankverbindung ausgetauscht. Alles andere stimmt.
Bei E-Rechnungen kommt ein Punkt hinzu, den viele Buchhaltungen noch nicht kennen: Bei hybriden Formaten wie ZUGFeRD sind nach Auffassung des Bundesfinanzministeriums die Daten im strukturierten Teil (XML) maßgebend, wenn sie vom sichtbaren PDF abweichen. Wer nur auf das PDF schaut, prüft unter Umständen nicht die Daten, die tatsächlich gelten. Das BMF empfiehlt deshalb, den XML-Teil selbst sichtbar zu machen.
Bei Rechnungsbetrug ist die gefälschte Mail meist nur das Ende der Geschichte. Davor liegen oft Wochen, in denen jemand unbemerkt im Postfach mitgelesen und eine Weiterleitungsregel versteckt hat. Wer nur die eine Zahlung zurückholen will und das Postfach nicht untersucht, wird beim nächsten Rechnungslauf wieder getroffen.
Wie solche Angriffe aus übernommenen Postfächern technisch ablaufen, beschreibt das IT-Systemhaus DAVINCI ausführlich in einem Beitrag darüber, wie Angreifer mitlesen und im richtigen Moment eine neue Bankverbindung schicken.
Welche Prüfschritte stoppen den Betrug zuverlässig?
Kein Filter erkennt jede gefälschte Mail. Wirksam sind feste Regeln im Zahlungsablauf, die unabhängig davon greifen, wie echt eine Nachricht aussieht. Die Polizei empfiehlt dazu vor allem Rückruf, Vier-Augen-Prinzip und klare interne Kontrollmechanismen.
Rückruf über eine bekannte Nummer
Jede Änderung einer Bankverbindung wird telefonisch bestätigt – über die Nummer aus Ihren Stammdaten oder dem Vertrag, nie über die Nummer aus der Mail oder der Rechnung. Auch eine Antwort auf die verdächtige Mail ist keine Prüfung: Liest der Angreifer im Postfach mit, bestätigt er die neue IBAN selbst.
Vier-Augen-Prinzip für Stammdaten und ungewöhnliche Zahlungen
Die Änderung einer Lieferanten-IBAN sollte ein eigener Vorgang sein, den eine zweite Person freigibt – getrennt von der Zahlung. Ungewöhnliche Zahlungen, etwa Eilzahlungen, Zahlungen ins Ausland oder Beträge außerhalb des üblichen Rahmens, prüft ebenfalls eine zweite Person. Wie sich solche Kontrollen insgesamt aufbauen lassen, zeigt unser Beitrag zum internen Kontrollsystem.
Warnsignale ernst nehmen
| Warnsignal | Was Sie tun |
|---|---|
| Neue Bankverbindung per Mail oder auf der Rechnung | Zahlung anhalten, Rückruf über bekannte Nummer |
| Zeitdruck, Geheimhaltung, „bitte nicht anrufen“ | Geschäftsführung über bekannten Weg informieren |
| Absenderadresse weicht minimal ab | Vollständige Adresse prüfen, nicht nur den Anzeigenamen |
| PDF und XML einer E-Rechnung zeigen unterschiedliche Daten | XML-Daten maßgeblich behandeln, Lieferant anrufen |
Tipp: Veröffentlichen Sie sparsam, wer in Ihrem Unternehmen Zahlungen freigibt und wann die Geschäftsführung verreist ist. Genau diese Informationen nutzen Täter nach Angaben der Polizei für ihre Vorbereitung.
Wer darf bei Ihnen eine Lieferanten-IBAN ändern?
Wir prüfen mit Ihnen Freigaben, Stammdatenänderungen und Zahlungsläufe in Ihrer Buchhaltung.
✓ Antwort binnen 120 Minuten ✓ kostenlos ✓ unverbindlichWas leistet die Empfängerüberprüfung der Banken – und was nicht?
Seit dem 9. Oktober 2025 müssen alle Kreditinstitute im Euroraum bei Überweisungen eine Empfängerüberprüfung durchführen (Art. 5c der SEPA-Verordnung in der Fassung der Verordnung (EU) 2024/886). Die Bank gleicht dabei den eingegebenen Empfängernamen mit dem Namen ab, der zur IBAN gehört. Laut BaFin gibt es drei Ergebnisse: Übereinstimmung, fast übereinstimmende Daten mit Anzeige des tatsächlichen Namens oder keine Übereinstimmung mit einem Warnhinweis. Die Entscheidung, ob die Überweisung trotzdem ausgeführt wird, bleibt bei Ihnen.
Das hilft gegen den klassischen Fall, in dem Name und IBAN nicht zusammenpassen. Die Grenzen sollten Sie aber kennen:
- Die Prüfung vergleicht nur Name und IBAN. Ob der Empfänger Ihr tatsächlicher Geschäftspartner ist, prüft sie nicht.
- Vorgeschrieben ist sie nur bei Überweisungen von Girokonto zu Girokonto. Bestehende Daueraufträge laufen ohne Prüfung weiter, Lastschriften sind nicht erfasst.
- Hat die Bank die Prüfung durchgeführt und Sie autorisieren trotz Warnung, haftet die Bank laut BaFin nicht für den Schaden.
Für Unternehmen ist eine Regel besonders wichtig, weil sie Zahlungsläufe aus der Buchhaltung betrifft:
Die Zahlungsdienstleister ermöglichen Zahlungsdienstnutzern, bei denen es sich nicht um Verbraucher handelt, auf die Empfängerüberprüfung zu verzichten, wenn sie mehrere Zahlungsaufträge als Bündel einreichen.
Klären Sie deshalb mit Ihrer Bank, ob für Sammelüberweisungen Ihres Unternehmens auf die Prüfung verzichtet wurde – und wie Warnhinweise bei Ihnen angezeigt werden. Der Verzicht kann nach der Verordnung jederzeit rückgängig gemacht werden.
Wichtiger Hinweis: Ist eine Zahlung bereits an Betrüger gegangen, zählt jede Stunde. Rufen Sie sofort Ihre Bank an, erstatten Sie Anzeige bei der Polizei und lassen Sie das betroffene Postfach untersuchen – einschließlich Weiterleitungsregeln und Anmeldeprotokollen, die als Beweis gesichert werden sollten. Was in den ersten Stunden zu prüfen ist, beschreibt DAVINCI im Beitrag Rechnung abgefangen: Was jetzt prüfen.
Welche steuerlichen Folgen hat ein Rechnungsbetrug?
Vorsteuer: Es kommt auf die Leistung an
Den Vorsteuerabzug gibt es nach § 15 Abs. 1 Satz 1 Nr. 1 UStG für Leistungen, die ein anderer Unternehmer für Ihr Unternehmen ausgeführt hat, und nur mit einer Rechnung nach §§ 14, 14a UStG. Daraus folgen zwei Fälle:
- Scheinrechnung ohne Leistung: Hat niemand geliefert oder geleistet, besteht kein Vorsteuerabzug. Wurde die Vorsteuer schon geltend gemacht, muss sie korrigiert werden.
- Echte Leistung, nur die Zahlung umgeleitet: Die Bankverbindung gehört nicht zu den Pflichtangaben einer Rechnung nach § 14 Abs. 4 UStG. Hat Ihr Lieferant tatsächlich geliefert und liegt seine ordnungsgemäße Rechnung vor, hängt der Vorsteuerabzug grundsätzlich nicht daran, wohin Sie gezahlt haben. Ob Sie den Betrag ein zweites Mal an den Lieferanten zahlen müssen, ist eine zivilrechtliche Frage – die klären Sie mit einem Rechtsanwalt.
Betriebsausgabe: vorsichtig und belegt
Betriebsausgaben sind Aufwendungen, die durch den Betrieb veranlasst sind (§ 4 Abs. 4 EStG). Ein Betrugsschaden aus dem laufenden Zahlungsverkehr kann deshalb den Gewinn mindern. Wann und in welcher Höhe, hängt aber davon ab, ob noch Geld zurückkommen kann – etwa von der Bank, aus einer Versicherung oder über ein Strafverfahren. Bewahren Sie Strafanzeige, Bankkorrespondenz und den Mailverlauf vollständig auf. Wir buchen den Vorgang erst, wenn die Unterlagen ein klares Bild ergeben.
Checkliste für Ihre Buchhaltung
- Änderungen von Bankverbindungen nur nach Rückruf über eine bekannte Nummer – dokumentiert
- IBAN-Änderung in den Stammdaten durch eine zweite Person freigeben
- Ungewöhnliche Zahlungen nach dem Vier-Augen-Prinzip
- Bei E-Rechnungen die XML-Daten prüfen, nicht nur das PDF
- Mit der Bank klären: Verzicht auf Empfängerüberprüfung bei Sammelüberweisungen?
- Warnhinweis „keine Übereinstimmung“ nie ungeprüft übergehen
- Mitarbeiter in Buchhaltung und Einkauf regelmäßig auf die Masche hinweisen
Mehr dazu: monatliche Buchhaltung, Vorsteuerabzug im Glossar, E-Rechnung im Glossar und so arbeitet unsere digitale Kanzlei.
Häufige Fragen
Woran erkenne ich eine gefälschte Bankverbindung auf einer Rechnung?
Typische Warnsignale sind eine neue IBAN ohne vorherige Absprache, Zeitdruck oder die Bitte um Vertraulichkeit sowie eine Absenderadresse, die nur minimal vom Original abweicht. Bei E-Rechnungen im ZUGFeRD-Format gelten bei Abweichungen die XML-Daten, nicht das PDF. Bestätigen Sie jede Änderung per Rückruf über eine Nummer aus Ihren Stammdaten – nie über die Nummer aus der Mail.
Schützt die Empfängerüberprüfung der Bank vor Rechnungsbetrug?
Teilweise. Seit dem 9. Oktober 2025 gleichen Banken im Euroraum bei Überweisungen den Empfängernamen mit der IBAN ab und warnen bei Abweichungen. Ob der Empfänger Ihr tatsächlicher Geschäftspartner ist, prüft die Bank nicht. Unternehmen können bei Sammelüberweisungen außerdem auf die Prüfung verzichten – klären Sie, ob das bei Ihnen der Fall ist.
Kann ich die Vorsteuer aus einer gefälschten Rechnung abziehen?
Nicht, wenn gar keine Leistung erbracht wurde: Der Vorsteuerabzug setzt nach § 15 Abs. 1 Satz 1 Nr. 1 UStG eine tatsächlich ausgeführte Leistung und eine ordnungsgemäße Rechnung voraus. Hat der echte Lieferant geliefert und wurde nur die Zahlung umgeleitet, hängt der Vorsteuerabzug grundsätzlich nicht an der Bankverbindung, denn sie ist keine Pflichtangabe nach § 14 Abs. 4 UStG.
Ist ein Schaden durch Rechnungsbetrug eine Betriebsausgabe?
Ein Schaden aus dem betrieblichen Zahlungsverkehr kann als betrieblich veranlasster Aufwand (§ 4 Abs. 4 EStG) den Gewinn mindern. Zeitpunkt und Höhe hängen davon ab, ob noch Erstattungen von Bank, Versicherung oder aus einem Strafverfahren möglich sind. Bewahren Sie Anzeige, Bankkorrespondenz und Mailverlauf auf und stimmen Sie die Buchung mit Ihrer Steuerberatung ab.
Was tun, wenn bereits an Betrüger überwiesen wurde?
Sofort die eigene Bank anrufen, Anzeige bei der Polizei erstatten und das betroffene Postfach untersuchen lassen, bevor Spuren verloren gehen. Danach klären Sie die steuerliche Behandlung und mit einem Rechtsanwalt die Frage, ob gegenüber dem Lieferanten noch eine Zahlungspflicht besteht.
Quellen
- Verordnung (EU) 2024/886 (Echtzeitüberweisungen, Art. 5c Empfängerüberprüfung)
- BaFin: Empfängerüberprüfung bei Überweisungen
- Polizeiliche Kriminalprävention: CEO-Fraud
- Polizeiliche Kriminalprävention: Online-Betrug – CEO-Fraud
- BSI: Social Engineering
- BMF: Fragen und Antworten zur E-Rechnung (Frage 12a)
- § 15 UStG – Vorsteuerabzug
- § 14 UStG – Ausstellung von Rechnungen
- § 4 EStG – Gewinnbegriff, Betriebsausgaben
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine steuerliche Beratung im Einzelfall. Rechtsstand siehe oben; Gesetze, BMF-Schreiben und Rechtsprechung können sich ändern.
TABAK Steuerberatung
Augustaanlage 33, 68165 Mannheim
Inhaberin und Steuerberaterin: Fatma Tabak-Özkul
