Die IBAN auf der Rechnung hat sich geändert. Echt oder Betrug?

Eine Rechnung von einem Lieferanten, den du seit Jahren bezahlst. Betrag plausibel, Leistung erbracht, Rechnungsnummer im gewohnten Format. Nur die Kontonummer ist eine andere, mit einem freundlichen Hinweis auf einen Bankwechsel.

Das ist ein verbreiteter Angriff im Rechnungseingang, und er ist deshalb wirksam, weil an dem Beleg fast alles stimmt.

Warum ausgerechnet die Bankverbindung

Der Angreifer braucht keinen Zugriff auf dein System. Er braucht die Information, dass eine Geschäftsbeziehung existiert, und die steht oft in einem abgefangenen E-Mail-Verlauf oder schlicht auf einer Referenzliste. Der Rest ist Kopieren. Echter Lieferantenname, echtes Layout, echte Leistungsbeschreibung, geändertes Konto.

Auffällig sind an so einem Beleg zweiundzwanzig Zeichen. Alles andere ist korrekt, und genau das macht die Sichtprüfung so unzuverlässig. Wer eine Rechnung auf Plausibilität prüft, prüft das, was stimmt.

Das Vorgehen läuft unter Business E-Mail Compromise, im Behördendeutsch als eigene Kategorie im Bundeslagebild Cybercrime des BKA geführt. Der Name hilft beim Nachlesen, beim Erkennen hilft er nicht.

Woran es dann doch auffällt

An genau einer Stelle. Die IBAN auf dem Beleg passt nicht zu der, die für diesen Lieferanten hinterlegt ist. Das klingt banal, und als Regel ist es das auch. Der Aufwand steckt nicht im Vergleich, sondern darin, dass überhaupt ein Vergleichswert existiert und dass jemand hinsieht, bevor die Zahlung rausgeht.

Unterschätzt hatte ich ein Detail. Der Vergleich darf nur laufen, wenn beide IBANs strukturell gültig sind. Eine aus einem schlechten Scan falsch gelesene Zeichenfolge fällt an der Prüfziffer durch, und ohne diese Bedingung erzeugt die Regel Fehlalarme statt Sicherheit. Eine Warnung, die oft grundlos kommt, wird nach zwei Wochen weggeklickt und schützt dann gar nicht mehr.

Sechs Regeln, jede einzeln abschaltbar

Im Freigabeschritt laufen in Invoice Dock sechs Prüfungen. Den Freigabeschritt gibt es ab dem Business-Plan, sobald ein Freigabe-Workflow eingerichtet ist. Der IBAN-Abgleich ist die kritische Prüfung, alles andere sind Nebensignale:

• IBAN weicht ab. Beleg gegen hinterlegte Lieferanten-IBAN. Kritisch.
• IBAN kürzlich geändert. Die hinterlegte Bankverbindung wurde vor kurzem gewechselt, standardmäßig innerhalb der letzten 90 Tage.
• Neuer Lieferant. Erster Beleg eines unbekannten Zahlungsempfängers, standardmäßig ab 1.000 Euro.
• Betrag ungewöhnlich hoch. Gemessen am Median der bisherigen Belege dieses Lieferanten, standardmäßig ab mehr als dem Dreifachen, frühestens ab drei bisherigen Belegen. Median statt Durchschnitt, sonst verschiebt ein einzelner Ausreißer die Referenz selbst.
• IBAN-Land passt nicht zum erfassten Sitzland des Lieferanten.
• Möglicher Doppelbeleg. Gleiche Rechnungsnummer, gleicher Lieferant, gleicher Betrag.

Dass jede Regel abschaltbar ist, ist keine Bequemlichkeit. Eine Agentur mit fünf Dauerlieferanten braucht andere Schwellen als ein Handel mit hunderten Einmalkäufen.

Die Länderregel ist bei mir sogar standardmäßig aus. Wenn das Sitzland aus einem Beleg nicht erkennbar ist, wird es auf Deutschland gesetzt, und jede ausländische IBAN eines Lieferanten ohne erkennbares Sitzland löst dann einen Fehlalarm aus. Eine Regel, die überwiegend danebenliegt, ist schlechter als keine Regel, weil sie die anderen fünf entwertet.

In Starter und Team gibt es keinen Freigabeschritt, also auch diese sechs Regeln nicht. Dort sitzt der IBAN-Vergleich im SEPA-Export. Weicht die IBAN der Überweisung von der auf dem Beleg oder von der hinterlegten ab, erzeugt der Export die Datei erst nach einer ausdrücklichen Bestätigung. Wer in diesen Plänen direkt im Onlinebanking überweist statt über die Exportdatei, bekommt keinen Abgleich.

Was die Prüfung nicht kann

Beim ersten Beleg eines Lieferanten gibt es nichts zu vergleichen. Genau dort sitzt die Lücke, die keine Software schließt, und deshalb ist die Regel für neue Lieferanten ein Hinweis und keine Prüfung.

Und der Punkt, der mir wichtiger ist als jede Regel: Ein leeres Ergebnis bedeutet, dass keine der aktivierten Regeln angeschlagen hat. Es bedeutet nicht, dass der Beleg geprüft und unbedenklich ist. Diese Unterscheidung gehört in die Oberfläche, sonst erzeugt eine Prüfung genau die Sorglosigkeit, gegen die sie gebaut wurde.

Der Schritt, den keine Software übernimmt

Wenn eine Bankverbindung abweicht, ruf beim Lieferanten an. Über eine Telefonnummer, die du schon kennst, aus einem alten Vertrag oder aus deinen Stammdaten.

Nicht über die Nummer auf dieser Rechnung. Wer das Konto ändern konnte, konnte auch die Kontaktdaten ändern, und ein Rückruf über die Nummer des Angreifers bestätigt dir die Fälschung.

Software kann den Zweifel auslösen und eine bewusste Bestätigung verlangen, bevor es weitergeht. Auflösen musst du ihn selbst, mit einem Anruf, der zwei Minuten dauert.

Wie Belege überhaupt in die Prüfung kommen: Was passiert mit meinen Rechnungsdaten, wenn eine KI sie liest?