Rechnungsbetrug im Unternehmen: Maschen, Warnzeichen und Schutz

Rechnungsbetrug trifft Unternehmen jeder Größe, weil er an einer Stelle ansetzt, die jeden Tag läuft: am Bezahlen von Rechnungen. Die Täter brauchen dafür keine Schadsoftware. Es reicht ein Schreiben oder eine E-Mail, die echt genug aussieht, und eine Person in der Buchhaltung, die unter Zeitdruck überweist.

Wie Rechnungsbetrug abläuft

Das Bundeskriminalamt beschreibt den Grundablauf so: Jemand meldet sich bei einem Unternehmen und gibt vor, einen Lieferanten, Dienstleister oder Kreditgeber zu vertreten ^[1]. Er verlangt, dass die Bankverbindung für künftige Rechnungen geändert wird, und das neue Konto gehört dem Betrüger ^[1]. Die Täter nutzen dafür Telefon, Brief, E-Mail oder eine Kombination davon ^[1].

Eng verwandt ist der CEO-Betrug. Hier wird ein Mitarbeiter, der Zahlungen ausführen darf, dazu gebracht, eine gefälschte Rechnung zu bezahlen oder eine nicht autorisierte Überweisung vom Geschäftskonto vorzunehmen ^[2]. Die Polizei nennt als typische Opfer Beschäftigte aus Buchhaltung und Rechnungswesen und als häufigen Vorwand geänderte Bankverbindungen ^[3]. Vorab sammeln die Täter Wissen über das Unternehmen, etwa von der Website, aus dem Handelsregister und aus sozialen Netzwerken ^[3]. Wie die Masche mit dem angeblichen Chef funktioniert, steht ausführlich unter CEO-Fraud und Business E-Mail Compromise.

Angebote, die wie Rechnungen aussehen

Eine zweite Spielart arbeitet mit Schreiben, die wie amtliche Rechnungen wirken. Das Deutsche Patent- und Markenamt warnt vor solchen Zahlungsaufforderungen und stellt klar, dass es selbst keine Rechnungen oder Zahlungsaufforderungen verschickt ^[5]. Private Firmen bieten darin etwa eine kostenpflichtige Eintragung in kommerzielle Register an, und dass es sich nur um ein Angebot handelt, steht oft erst im Kleingedruckten oder in den AGB ^[5]. Als Warnzeichen nennt das Amt ein Konto im Ausland, einen vorausgefüllten Überweisungsträger und das Fehlen einer Behördenadresse ^[5].

Ähnlich gestaltete Formulare für Branchenverzeichnisse beschäftigten den Bundesgerichtshof. Er entschied am 26.07.2012 (VII ZR 262/11), dass eine Entgeltklausel nicht Vertragsbestandteil wird, wenn sie im Formular so unauffällig steht, dass der Empfänger sie dort nicht vermutet ^[6]. Im entschiedenen Fall stand die Zahlungspflicht von 650 Euro netto pro Jahr in einer rechten Spalte, während Fettdruck die Aufmerksamkeit auf die linke Seite lenkte ^[6].

Scheinrechnungen aus dem eigenen Haus

Nicht jede falsche Rechnung kommt von außen. Die Studie "Occupational Fraud 2026" der Association of Certified Fraud Examiners wertet 2.402 Fälle aus 143 Ländern und Gebieten aus, in denen Beschäftigte ihren Arbeitgeber schädigten, auch über Rechnungen ^[11].

Warnzeichen auf einen Blick

Viele Hinweise ergeben sich schon aus dem ersten Blick auf Schreiben und Absender. Die folgenden Punkte nennen BKA, Polizei und DPMA:

• Ein bekannter Lieferant bittet darum, künftig auf ein neues Konto zu zahlen ^[1].
• Der Absender macht Druck, verlangt Dringlichkeit oder absolute Vertraulichkeit ^{[2, 3]}.
• Die Anfrage widerspricht den internen Abläufen, oder eine hochrangige Person meldet sich direkt, mit der du sonst nie zu tun hast ^[2].
• Die Absenderadresse wirkt echt, weicht aber in einem Zeichen ab, zum Beispiel "rn" und "m", die täuschend ähnlich aussehen ^[4].
• Das Schreiben nennt ein Auslandskonto, liegt mit vorausgefülltem Überweisungsträger bei und hat keine Behördenadresse ^[5].

Rechnungen prüfen, bevor gezahlt wird

Das BKA rät Unternehmen, die verantwortlichen Beschäftigten anzuweisen, jede Rechnung vor der Bezahlung auf Unregelmäßigkeiten zu prüfen, und einen festen Prozess zur Prüfung von Zahlungsaufträgen einzuführen ^[1]. Ein Ausgangspunkt sind die Pflichtangaben, die eine Rechnung nach dem Umsatzsteuergesetz enthalten muss ^[7]:

• vollständiger Name und vollständige Anschrift des leistenden Unternehmers und des Leistungsempfängers
• Steuernummer oder Umsatzsteuer-Identifikationsnummer des leistenden Unternehmers
• Ausstellungsdatum und eine fortlaufende, einmalig vergebene Rechnungsnummer
• Menge und Art der gelieferten Gegenstände oder Umfang und Art der Leistung
• Zeitpunkt der Lieferung oder Leistung
• Entgelt nach Steuersätzen aufgeschlüsselt, dazu Steuersatz und Steuerbetrag oder ein Hinweis auf die Steuerbefreiung

Fehlende Angaben sind ein Anlass, nachzufragen. Vollständige Angaben sagen allerdings nichts darüber, wem das Konto auf der Rechnung gehört, denn Name, Anschrift und Steuernummer eines echten Lieferanten lassen sich abschreiben.

Umsatzsteuer-Identifikationsnummer bestätigen lassen

Beim Bundeszentralamt für Steuern kann jeder Inhaber einer deutschen USt-IdNr. die Nummer eines Unternehmens aus einem anderen EU-Staat bestätigen lassen ^[8]. Die einfache Bestätigung zeigt, ob die Nummer zum Zeitpunkt der Anfrage gültig ist, die qualifizierte zusätzlich, ob Firmenname, Ort, Postleitzahl und Straße zu den registrierten Daten passen ^[8]. Deutsche Nummern können Unternehmen dort grundsätzlich nicht abfragen; berechtigt sind nur Lagerhalter und Betreiber elektronischer Schnittstellen ^[8]. Bei inländischen Lieferanten bleibt also der Abgleich mit den eigenen Stammdaten und früheren Rechnungen.

Empfängerüberprüfung bei der Überweisung

Seit dem 09.10.2025 müssen Zahlungsdienstleister bei Echtzeitüberweisungen und bei herkömmlichen Überweisungen prüfen, ob der angegebene Name zur IBAN passt ^[9]. Für Unternehmen gibt es unter bestimmten Voraussetzungen die Möglichkeit, auf die Prüfung zu verzichten ^[9]. Die Bundesbank betont, dass der Abgleich nur Abweichungen zwischen IBAN und Name erkennen kann und dass eine Zahlungsaufforderung trotzdem insgesamt betrügerisch sein kann ^[9]. Hat ein Täter ein Konto auf einen Namen eröffnet, der dem des Lieferanten ähnelt, hilft der Abgleich deshalb nur begrenzt.

Bankverbindung nur nach Rückruf ändern

Die wichtigste Regel betrifft geänderte Kontodaten. Das BKA empfiehlt, jede Anfrage angeblicher Gläubiger zu prüfen, besonders wenn sie um eine neue Bankverbindung bitten, und dafür nie die Kontaktdaten aus dem Änderungsschreiben zu verwenden, sondern solche aus früherer Korrespondenz ^[1]. Die Polizei rät, bei ungewöhnlichen Zahlungsanfragen innezuhalten, über eine bekannte, offizielle Nummer zurückzurufen und ungewöhnliche Zahlungen stets von mehreren Personen prüfen zu lassen ^[4]. Wie das im Alltag aussieht, beschreibt die Seite Vier-Augen-Prinzip.

Weitere Empfehlungen des BKA richten sich an die Organisation ^[1]:

• Für Zahlungen ab einem festgelegten Betrag ein Verfahren einrichten, das Konto und Empfänger bestätigt, zum Beispiel durch ein Treffen mit dem Unternehmen.
• Nach einer bezahlten Rechnung dem Empfänger eine E-Mail schicken, die den Namen der Bank und die letzten vier Ziffern des Kontos nennt.
• Bei Firmen, an die regelmäßig gezahlt wird, feste Ansprechpartner bestimmen.
• Prüfen, welche Informationen über Verträge und Lieferanten auf der eigenen Website stehen, und festlegen, was Beschäftigte in sozialen Medien über das Unternehmen teilen.

Viele Fälle beginnen mit einer gefälschten oder übernommenen E-Mail-Adresse. Wie Unternehmen ihre eigene Domain gegen gefälschte Absender absichern, erklärt der Ratgeber SPF, DKIM und DMARC im Zusammenspiel. Welche Rolle Lieferanten selbst spielen, steht unter Lieferantenbetrug.

Was Beschäftigte in der Buchhaltung tun können

Das BKA richtet einen Teil seiner Empfehlungen direkt an die Beschäftigten, die Zahlungen auslösen ^[2]. Sie sollen die E-Mail-Adresse immer prüfen, wenn es um Geld oder sensible Daten geht, und bei Zweifeln an einer Zahlung eine kompetente Kollegin oder einen Kollegen fragen ^[2]. Die Sicherheitsverfahren für Zahlungen und Beschaffungen gelten ohne Abkürzung: keinen Schritt überspringen und Druck nicht nachgeben ^[2]. Eine verdächtige E-Mail oder ein verdächtiger Anruf geht an die IT-Abteilung ^[2]. Damit das klappt, müssen die Beschäftigten die Maschen kennen; das BKA nennt die Information der Mitarbeiter ausdrücklich als Aufgabe des Unternehmens ^[1]. Wie eine Schulung dazu aufgebaut sein kann, steht unter Beschäftigte für Betrug sensibilisieren.

Wenn die Rechnung schon bezahlt ist

Die Polizei rät, sofort die eigene Bank zu kontaktieren und zu versuchen, die Überweisung rückgängig zu machen; solange das Geld dem Empfängerkonto noch nicht gutgeschrieben ist, kann der Betrag zurückerstattet werden ^[10]. Den Schriftverkehr solltest du aufbewahren und dauerhaft sichern, etwa als Ausdruck oder Bildschirmfoto ^[10].

Anzeige ist auch dann sinnvoll, wenn noch kein Schaden entstanden ist. Polizei und BKA raten, sich bei Betrugsversuchen immer an die Polizei zu wenden, auch wenn das Unternehmen nicht Opfer wurde ^{[1, 10]}. Wer durch Täuschung das Vermögen eines anderen schädigt, um sich zu bereichern, begeht Betrug nach § 263 StGB; das Gesetz sieht Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe vor, in besonders schweren Fällen mehr ^[12]. Den Weg zur Anzeige beschreibt Betrug anzeigen.

Bei Angeboten im Rechnungslook, die schon bezahlt sind, hängt viel vom Einzelfall ab. Der Bundesgerichtshof hat versteckte Entgeltklauseln in solchen Formularen für unwirksam gehalten ^[6]. Wer unsicher ist, ob eine solche Forderung besteht, kann sie rechtlich prüfen lassen, bevor weiteres Geld fließt.

1. Behörde Rechnungsbetrug: Was können Sie tun?. Bundeskriminalamt. Stand ohne Datum. abgerufen am 29.10.2026
2. Behörde CEO/Business E-Mail Betrug (CEO-Betrug). Bundeskriminalamt. Stand ohne Datum. abgerufen am 29.10.2026
3. Behörde CEO-Fraud: Betrüger legen Unternehmensmitarbeiter herein. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
4. Behörde Online-Betrug: CEO-Fraud. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
5. Behörde Das DPMA warnt vor irreführenden Zahlungsaufforderungen. Deutsches Patent- und Markenamt. Stand 29.09.2026. abgerufen am 29.10.2026
6. Behörde Überraschende Entgeltklausel für Eintrag in ein Internet-Branchenverzeichnis unwirksam (Pressemitteilung Nr. 123/2012). Bundesgerichtshof. Stand 26.07.2012. abgerufen am 29.10.2026
7. Gesetz § 14 UStG: Ausstellung von Rechnungen. Bundesministerium der Justiz. Stand ohne Datum. abgerufen am 29.10.2026
8. Behörde Fragen und Antworten (Umsatzsteuer-Identifikationsnummer). Bundeszentralamt für Steuern. Stand ohne Datum. abgerufen am 29.10.2026
9. Behörde Fragen und Antworten zu Echtzeitüberweisungen und Empfängerüberprüfung. Deutsche Bundesbank. Stand ohne Datum. abgerufen am 29.10.2026
10. Behörde Geld bezahlt. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
11. Studie Occupational Fraud 2026: A Report to the Nations, Key Findings. Association of Certified Fraud Examiners. Stand 2026. abgerufen am 29.10.2026
12. Gesetz § 263 StGB: Betrug. Bundesministerium der Justiz. Stand ohne Datum. abgerufen am 29.10.2026

Zuletzt geprüft am 30.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.