Eine Rechnung kommt wie gewohnt per E-Mail von einem bekannten Geschäftspartner. Der Absender stimmt, der E-Mail-Verlauf wirkt plausibel und auch die Rechnung selbst sieht auf den ersten Blick völlig normal aus.
Doch die Rechnung wurde nach dem Empfang der Mail von Schadsoftware manipuliert: Die Original-PDF wurde durch eine Version mit einer falschen IBAN ersetzt. Wer die Rechnung bezahlt, überweist das Geld damit nicht an den tatsächlichen Geschäftspartner, sondern direkt an die Betrüger.
So funktioniert die Masche
Bei dieser Form des Rechnungsbetrugs verschaffen sich Täter zunächst Zugriff auf die E-Mail-Kommunikation oder das E-Mail-Konto eines Unternehmens.
Sie können dann beispielsweise eine Rechnung abfangen und den PDF-Anhang manipulieren. Dabei wird insbesondere die Bankverbindung ausgetauscht. Anschließend wird die manipulierte ursprüngliche PDF durch die veränderte Version ersetzt und an das Empfängerpostfach zugestellt.
Für den Empfänger ist der Betrug schwer zu erkennen:
- Der Absender ist bekannt.
- Der E-Mail-Verlauf sieht echt aus.
- Die Rechnung enthält die richtigen Unternehmensdaten.
- Rechnungsnummer und Betrag stimmen.
- Lediglich die IBAN wurde verändert.
Genau das macht die Methode so gefährlich.
Das Problem: Die Rechnung sieht echt aus
Wer eine Rechnung per E-Mail erhält, prüft in der Regel Absender, Rechnungsnummer und Betrag. Die Bankverbindung wird dagegen häufig nur kurz mit früheren Rechnungen abgeglichen – oder gar nicht.
Eine manipulierte PDF kann deshalb problemlos durch die normalen Abläufe der Buchhaltung gelangen.
Besonders kritisch wird es, wenn die Rechnung zu einem tatsächlich erwarteten Vorgang gehört. Dann gibt es für den Empfänger zunächst keinen Grund, misstrauisch zu werden.
So können Sie sich schützen
Ändert sich die Bankverbindung eines Geschäftspartners, sollte die Änderung immer über einen zweiten, unabhängigen Kommunikationsweg bestätigt werden.
Dabei sollte nicht die Telefonnummer aus der E-Mail verwendet werden. Besser ist beispielsweise ein Anruf bei einer bereits bekannten Kontaktperson oder unter einer bereits gespeicherten Telefonnummer.
Zusätzlich empfehlen sich folgende Maßnahmen:
- IBAN bei neuen oder geänderten Bankverbindungen besonders prüfen
- Änderungen der Zahlungsdaten grundsätzlich telefonisch bestätigen
- Bei größeren Rechnungsbeträgen das Vier-Augen-Prinzip nutzen
- Mitarbeitende in Buchhaltung und Verwaltung für diese Betrugsmasche sensibilisieren
- E-Mail-Konten mit Mehr-Faktor-Authentifizierung und sicheren Passwörtern schützen
- Bei auffälligen Rechnungen oder Abweichungen beim PDF-Dokument Rücksprache mit dem Geschäftspartner halten
Besonders wichtig:
- Eine Rechnung ist nicht automatisch vertrauenswürdig, nur weil sie von einem bekannten Absender kommt.
- Wenn sich die Bankverbindung geändert hat, gilt: erst prüfen, dann überweisen.
- Was tun, wenn bereits bezahlt wurde?
- Wird eine manipulierte Rechnung erst nach der Überweisung erkannt, zählt jede Minute.
- Informieren Sie sofort Ihre Bank und versuchen Sie, die Zahlung zurückholen zu lassen. Zusätzlich sollten Sie den tatsächlichen Rechnungsaussteller kontaktieren, den Vorfall dokumentieren und Anzeige bei der Polizei erstatten.
- Auch das betroffene E-Mail-Konto sollte umgehend auf einen möglichen unbefugten Zugriff untersucht werden.
Auch technische Schutzmaßnahmen können helfen
Neben aufmerksamen Mitarbeitenden und klaren Prüfprozessen sollten Unternehmen auch auf technische Sicherheitslösungen setzen.
Spezielle Sicherheitssoftware kann E-Mails und Anhänge automatisiert auf Auffälligkeiten prüfen und beispielsweise verdächtige Absender, manipulierte Anhänge oder ungewöhnliche Veränderungen erkennen. Auch Systeme zur E-Mail-Sicherheit und zur Dokumentenprüfung können dabei helfen, manipulierte Rechnungen frühzeitig zu erkennen und aus dem normalen Zahlungsprozess herauszufiltern.
Wichtig ist dabei das Zusammenspiel: Technische Lösungen können das Risiko reduzieren, ersetzen aber nicht die Prüfung von Zahlungsdaten durch die Mitarbeitenden.
Gerade bei einer geänderten IBAN sollte deshalb weiterhin gelten: Erst prüfen, dann überweisen.
Ein bekanntes Betrugsrisiko
Die Betrugsmasche ist unter verschiedenen Bezeichnungen bekannt, unter anderem als Invoice Redirecting, Payment Diversion oder als Variante eines Man-in-the-Middle-Angriffs. Auch Banken, Polizeibehörden und Versicherer warnen vor der Manipulation von Rechnungen und Zahlungsinformationen.
Die R+V weist beispielsweise im Zusammenhang mit der Vertrauensschadenversicherung auf Payment Diversion – die Umleitung von Zahlungsströmen – hin.
Unser Tipp: Prüfen Sie insbesondere bei Änderungen von Bankverbindungen nicht nur die E-Mail, sondern den tatsächlichen Geschäftspartner.
