Eine Rechnung ist sachlich richtig, der Lieferant bekannt und die Zahlungsfrist knapp. Nur die Bankverbindung soll plötzlich anders lauten. Genau an dieser Stelle darf der gewohnte Buchungsablauf nicht automatisch weiterlaufen. Eine geänderte IBAN ist kein bloßer Tippfehler im Beleg, sondern eine Änderung des Zahlungsziels. Wer sie ungeprüft in den Kreditorenstamm übernimmt, kann eine spätere, formal freigegebene Zahlung auf ein falsches Konto lenken.
Dieser Leitfaden zeigt einen praxistauglichen Kontrollweg für kleine und mittlere Unternehmen: Änderung isolieren, über einen unabhängigen Kanal bestätigen, Entscheidung dokumentieren und erst danach Stammdaten und Zahlung freigeben. Er ist eine organisatorische Orientierung, keine Garantie gegen Betrug und keine Rechtsberatung.
Warum eine plausible E-Mail nicht genügt
Bei sogenanntem CEO-Fraud geben sich Täter laut Polizeilicher Kriminalprävention als Führungskräfte oder Geschäftspartner aus und richten ihre Aufforderungen häufig an Beschäftigte im Rechnungswesen. Eine angeblich geänderte Bankverbindung kann Teil einer solchen Zahlungsumleitung sein. Das Bundesamt für Sicherheit in der Informationstechnik weist darauf hin, dass angezeigte E-Mail-Absender gefälscht werden können.
Auch eine vertraut wirkende Antwort in einer bestehenden Korrespondenz oder ein korrekt aussehendes Logo ist deshalb kein belastbarer Nachweis für die Kontoinhaberschaft. Technische Indizien können Anlass zur Vorsicht geben; die entscheidende organisatorische Kontrolle ist eine Bestätigung über einen anderen, unabhängig bekannten Kommunikationsweg. Die Polizei empfiehlt bei ungewöhnlichen Überweisungsaufträgen insbesondere die Rückfrage beim tatsächlichen Auftraggeber.
Schritt 1: Änderung vom normalen Rechnungslauf trennen
Markieren Sie den Vorgang als ungeklärt, bevor Sie eine neue IBAN speichern oder eine Zahlung anstoßen. Trennen Sie drei Fragen: Ist die Leistung erbracht und die Rechnung plausibel? Ist die Änderungsmitteilung echt? Darf die Zahlung nach der Prüfung freigegeben werden? Eine ordnungsgemäße Rechnung beantwortet die zweite Frage nicht automatisch.
Vergleichen Sie die neue Bankverbindung mit der bisher hinterlegten, der letzten erfolgreich bezahlten Rechnung und dem vorliegenden Auftrag. Halten Sie fest, wo die Änderung erstmals auftauchte: Rechnung, E-Mail, Portal oder Telefonat. Prüfen Sie auch, ob nur die IBAN oder zugleich Ansprechpartner, Domain, Zahlungsfrist und Betreff verändert wurden. Auffälligkeiten sind Warnzeichen, nicht für sich allein ein Beweis für Betrug.
Schritt 2: Kontaktweg unabhängig ermitteln
Rufen Sie nicht einfach die Telefonnummer aus der Änderungs-E-Mail an und klicken Sie nicht auf deren Bestätigungslink. Nutzen Sie eine bereits vor der Nachricht verifizierte Nummer aus dem Lieferantenstamm, einem bestehenden Vertrag oder einem anderweitig belastbaren Kontaktverzeichnis. Ist kein zuverlässiger Kontakt vorhanden, muss zuerst dieser Kontakt unabhängig beschafft und geprüft werden. Das BSI rät bei verdächtigen Nachrichten ausdrücklich dazu, nicht die darin genannten Kontaktmöglichkeiten für die Rückfrage zu verwenden.
Fragen Sie beim bekannten Ansprechpartner nach, ob eine Änderung der Zahlungsempfängerdaten beauftragt wurde, ab wann sie gelten soll und welche offenen Rechnungen betroffen sind. Geben Sie dabei nicht vorschnell die komplette neue IBAN vor: Lassen Sie die Gegenseite die wesentlichen Angaben selbst nennen und gleichen Sie sie ab. Reicht die Auskunft nicht aus oder ist die Person nicht zuständig, eskalieren Sie an einen vorher festgelegten zweiten Kontakt.
Schritt 3: Bestätigung und Freigabe dokumentieren
Ein kurzer Prüfvermerk sollte den Vorgang später nachvollziehbar machen: Datum, alter und neuer Zahlungsweg, Quelle der Änderungsmitteilung, verwendeter unabhängiger Kontaktweg, Name und Funktion der bestätigenden Person sowie Ergebnis des Abgleichs. Dokumentieren Sie nur erforderliche Daten und legen Sie den Nachweis im vorgesehenen geschützten System ab. Die ursprüngliche Nachricht und die Entscheidung sollten zusammen auffindbar bleiben.
Die Person, die den Lieferantenstamm ändert, muss nicht zwingend diejenige sein, die die Zahlung freigibt. Ein risikogerechtes Vier-Augen-Verfahren kann besonders bei neuen Empfängerkonten oder hohen Beträgen sinnvoll sein. Es ersetzt aber nicht den unabhängigen Rückruf: Zwei Personen, die dieselbe gefälschte E-Mail lesen, haben die Identität des Absenders noch nicht verifiziert. Legen Sie Zuständigkeiten, Vertretung und Eskalation schriftlich fest, damit Zeitdruck nicht zur improvisierten Ausnahme wird.
Schritt 4: Stammdaten und Zahlung bewusst getrennt behandeln
Erst nach einer positiven Prüfung wird die Bankverbindung im Lieferantenstamm aktualisiert. Dabei sollten Änderungsdatum, Bearbeiter und Freigabe nachvollziehbar bleiben. Vergleichen Sie vor der tatsächlichen Überweisung das Empfängerkonto in der Zahlungsliste nochmals mit dem freigegebenen Stammdatensatz. So wird eine richtige Stammdatenprüfung nicht durch eine alte Zahlungsvorlage, einen manuellen Eingriff oder eine abweichende Einzelüberweisung unterlaufen.
Bei ungeklärter Rückfrage bleibt die Änderung offen und die Zahlung an die neue IBAN gesperrt. Ob und wie eine fällige Forderung anderweitig abgewickelt werden kann, entscheidet das Unternehmen anhand seines Vertrags, seiner internen Regeln und der konkreten Situation. Versprechen Sie gegenüber dem Lieferanten keinen festen Bearbeitungstermin, wenn die Identitätsprüfung noch läuft.
Ein kompaktes Prüfprotokoll für den Alltag
- Auslöser: Wo wurde die neue Bankverbindung erstmals genannt?
- Abgleich: Weicht sie von Stammdaten und bisheriger Zahlungshistorie ab?
- Kontakt: Welche bereits unabhängig bekannte Nummer wurde genutzt?
- Bestätigung: Wer hat die Änderung mit welchen Angaben bestätigt?
- Entscheidung: Wer hat Stammdatenänderung und Zahlung jeweils freigegeben?
- Nachweis: Wo liegen Nachricht, Prüfvermerk und Freigabe geschützt?
Das Protokoll ist kein starres Formular. Kleine Betriebe können es einfach halten; größere Organisationen integrieren die Schritte in ihre Kreditoren- und Zahlungsprozesse. Entscheidend ist, dass die Prüfung tatsächlich vor der Änderung des Zahlungsziels stattfindet.
Was tun, wenn bereits an das falsche Konto gezahlt wurde?
Stoppen Sie weitere Zahlungen an das fragliche Konto, informieren Sie unverzüglich die zuständigen internen Stellen und kontaktieren Sie Ihre Bank, um mögliche Rückholschritte zu klären. Sichern Sie E-Mails, Rechnungen, Freigaben und Zahlungsdaten unverändert. Die Polizei empfiehlt bei Auffälligkeiten die Kontaktaufnahme mit der örtlichen Polizeidienststelle beziehungsweise dem Landeskriminalamt. Ob Geld zurückgeholt werden kann, ist vom Einzelfall abhängig; eine Zusage wäre unseriös.
FAQ zur geänderten Bankverbindung
Reicht ein Schreiben auf offiziellem Briefpapier?
Nein. Gestaltung, Unterschrift und Logo können nachgeahmt werden. Das Schreiben kann Bestandteil der Dokumentation sein, sollte aber durch einen unabhängigen Kontaktweg bestätigt werden.
Kann ich einfach auf die E-Mail antworten?
Eine Antwort bleibt im möglicherweise kompromittierten Kommunikationskanal. Für die Identitätsprüfung ist eine schon zuvor bekannte Telefonnummer oder ein anderer unabhängig verifizierter Weg geeigneter.
Ist eine abweichende IBAN automatisch Betrug?
Nein. Lieferanten können Konten rechtmäßig wechseln. Gerade weil legitime Änderungen vorkommen, braucht es einen standardisierten, respektvollen Prüfprozess statt einer pauschalen Ablehnung.
Hilft ein Vier-Augen-Prinzip allein?
Es kann Fehler und unbefugte Änderungen erschweren. Ohne unabhängige Bestätigung der neuen Bankverbindung können jedoch beide Prüfenden derselben Täuschung folgen.
Fazit: Erst Identität klären, dann Zahlungsziel ändern
Die wichtigste Reihenfolge lautet: Vorgang anhalten, unabhängig zurückrufen, Angaben abgleichen, Entscheidung dokumentieren, Stammdaten ändern und Zahlung separat kontrollieren. Damit wird aus einer vagen Vorsichtsregel ein nachvollziehbarer Prozess. Wer Grundlagen und digitale Abläufe der Buchhaltung systematisch vertiefen möchte, findet bei GrandEdu Media die Weiterbildung Finanzbuchhaltung – Grundlagen mit DATEV und eine Übersicht der DATEV-Lernwege. Für konkrete Sicherheits- und Freigaberegeln bleibt die Organisation selbst verantwortlich.