IBAN-Manipulation: Wenn die Rechnung zum Betrug führt
Die Rechnung wirkt echt. Absender, Rechnungsbetrag und Leistungsbeschreibung stimmen. Auch die begleitende E-Mail scheint von dem bekannten Geschäftspartner zu stammen.
Nur eine entscheidende Angabe wurde verändert: die IBAN.
Der Zahlungspflichtige überweist den Rechnungsbetrag und bemerkt den Betrug möglicherweise erst Tage später, als der tatsächliche Gläubiger nachfragt, warum seine Rechnung noch nicht bezahlt wurde.
Das Geld ist auf einem fremden Konto gelandet.
Eine solche IBAN-Manipulation kann bei hohen Rechnungsbeträgen innerhalb einer einzigen Überweisung einen erheblichen Schaden verursachen. Besonders problematisch ist die rechtliche Situation, weil der Geschädigte die Überweisung häufig selbst ausgeführt und freigegeben hat.
Damit unterscheidet sich die Konstellation grundlegend von vielen Fällen unautorisierter Zahlungen.
Dennoch bedeutet eine selbst ausgeführte Überweisung nicht, dass keinerlei Ansprüche bestehen. Je nach Sachverhalt können insbesondere Rückholungsmöglichkeiten sowie Ansprüche gegen Banken, Zahlungsempfänger oder weitere Beteiligte zu untersuchen sein.
Björn-Michael Lange, Fachanwalt für Bank- und Kapitalmarktrecht, vertritt Geschädigte bei erheblichen Schäden durch IBAN-Manipulation und andere Formen des Überweisungsbetrugs.
Was ist eine IBAN-Manipulation?
Bei einer IBAN-Manipulation verändern Betrüger die Zahlungsinformationen einer tatsächlich bestehenden oder täuschend echt nachgebildeten Rechnung.
Das Ziel ist einfach: Der Zahlungspflichtige soll den geschuldeten Betrag nicht auf das Konto seines tatsächlichen Vertragspartners, sondern auf ein von den Tätern kontrolliertes oder für den Betrug verwendetes Konto überweisen.
Besonders gefährlich ist diese Betrugsform, weil häufig große Teile der Kommunikation authentisch wirken.
Die Täter verändern möglicherweise lediglich die Bankverbindung.
Für den Empfänger sieht die Rechnung deshalb auf den ersten Blick plausibel aus.
Wie funktioniert Betrug mit einer manipulierten Rechnung?
Der genaue Angriffsweg kann unterschiedlich sein.
In einem typischen Fall verfügen die Täter über Informationen zu einer tatsächlich erwarteten Zahlung. Sie kennen beispielsweise Namen der Beteiligten, Rechnungsbetrag, Projekt oder andere Details.
Anschließend wird die Kommunikation so manipuliert, dass der Zahlungspflichtige eine falsche Bankverbindung erhält.
Ein möglicher Ablauf:
- Zwischen zwei Parteien besteht ein reales Vertrags- oder Geschäftsverhältnis.
- Eine Rechnung über einen erheblichen Betrag wird erwartet.
- Täter erlangen Informationen über die Kommunikation oder den Zahlungsvorgang.
- Der Zahlungspflichtige erhält eine Rechnung oder Nachricht mit veränderter IBAN.
- Die übrigen Rechnungsdaten wirken plausibel.
- Der Geschädigte überweist auf die angegebene Bankverbindung.
- Das Geld landet auf einem fremden Konto.
- Der Betrug fällt erst auf, als der tatsächliche Gläubiger die Zahlung anmahnt.
Der Schaden kann dadurch besonders hoch sein, weil die Täter gezielt echte und bereits erwartete Zahlungen umleiten.
„Bei einer manipulierten Rechnung ist die Überweisung häufig vom Kunden selbst freigegeben worden – allerdings an eine durch Betrüger ausgetauschte IBAN. Deshalb muss genau geprüft werden, welche Ansprüche trotz autorisierter Zahlung gegen Banken oder weitere Beteiligte bestehen.“
Björn-Michael Lange | Rechtsanwalt, Partner
Rechnung manipuliert: Wie wird die IBAN ausgetauscht?
Nicht jeder Fall beruht auf derselben technischen Methode.
Möglich ist beispielsweise, dass Täter Zugang zu einem E-Mail-Konto oder anderen Kommunikationswegen erlangt haben. Ebenso können täuschend ähnliche Absenderadressen oder manipulierte Dokumente eingesetzt werden.
Deshalb sollte nicht vorschnell davon ausgegangen werden, dass zwingend das E-Mail-Konto einer bestimmten Partei „gehackt“ worden sein muss.
Für die rechtliche Prüfung sollte vielmehr rekonstruiert werden:
- Welche Rechnung wurde ursprünglich erstellt?
- Über welchen Kommunikationsweg wurde sie versandt?
- Welche Version erhielt der Zahlungspflichtige?
- Welche IBAN enthielten die verschiedenen Dokumente?
- Von welcher Adresse kamen relevante E-Mails?
- Gab es nachträgliche Hinweise auf eine angeblich geänderte Bankverbindung?
- Welche Systeme oder E-Mail-Konten waren möglicherweise kompromittiert?
Diese Rekonstruktion kann sowohl für mögliche Haftungsansprüche als auch für die Beweissicherung entscheidend sein.
Gefälschte E-Mail mit neuer Bankverbindung
Eine besonders typische Variante besteht darin, dass die eigentliche Rechnung zunächst korrekt ist, anschließend aber eine vermeintliche Änderung der Bankverbindung mitgeteilt wird.
Der Empfänger erhält beispielsweise eine Nachricht, wonach Zahlungen ab sofort auf ein neues Konto erfolgen sollen.
Die E-Mail kann sich optisch kaum von der bisherigen Kommunikation unterscheiden.
Bei laufenden Geschäftsbeziehungen ist das besonders gefährlich: Der Empfänger erwartet eine Nachricht seines Vertragspartners und hat keinen unmittelbaren Grund, an der Kommunikation zu zweifeln.
Bei der späteren Prüfung sollte deshalb insbesondere geklärt werden, wie authentisch die manipulierte Kommunikation wirkte und wo die Manipulation technisch stattgefunden haben könnte.
IBAN-Betrug bei hohen Rechnungen
Wirtschaftlich besonders gravierend sind Fälle, in denen einzelne Rechnungen über hohe Beträge betroffen sind.
Das kann beispielsweise Zahlungen im Zusammenhang mit Unternehmenstransaktionen, größeren Warenlieferungen, Bau- oder Werkleistungen oder anderen hochpreisigen Vertragsverhältnissen betreffen.
Auch bei einem Überweisungsbetrug beim Immobilienkauf kann die Manipulation von Zahlungsinformationen erhebliche Folgen haben.
Je höher der Betrag, desto wichtiger ist es, nach Entdeckung des Betrugs schnell zu handeln.
Denn neben der späteren Frage nach Schadensersatzansprüchen steht zunächst ein praktisches Ziel im Vordergrund:
Kann das überwiesene Geld noch gestoppt, zurückgerufen oder auf dem Empfängerkonto gesichert werden?
Was tun, wenn die Rechnung eine falsche IBAN enthielt?
Wird die Manipulation entdeckt, zählt Geschwindigkeit.
Geld, das noch auf dem Empfängerkonto liegt, kann eine völlig andere Ausgangssituation schaffen als Geld, das bereits weitertransferiert oder abgehoben wurde.
Zu den wichtigsten Sofortmaßnahmen und Maßnahmen zur Beweissicherung gehören:
- Eigene Bank sofort informieren: Teilen Sie mit, dass die Überweisung auf einer betrügerisch manipulierten Rechnung beruht.
- Überweisungsrückruf verlangen: Die Bank sollte unverzüglich prüfen, ob eine Rückholung noch möglich ist.
- Tatsächlichen Rechnungsaussteller kontaktieren: Verwenden Sie einen bereits bekannten und unabhängigen Kommunikationsweg.
- Empfängerbank identifizieren: Die Bankverbindung des betrügerischen Empfängers sollte dokumentiert werden.
- Keine E-Mails löschen: Bewahren Sie die vollständige Kommunikation auf.
- Originaldokumente sichern: Speichern Sie Rechnungen möglichst in ihrer ursprünglichen Form.
- Zeitlichen Ablauf dokumentieren: Notieren Sie Versand, Empfang, Überweisung und Entdeckung des Betrugs.
- Strafanzeige erstatten: Stellen Sie den Ermittlungsbehörden die vorhandenen Bank- und Kommunikationsdaten zur Verfügung.
- Bei hohem Schaden rechtliche Schritte prüfen: Je nach Situation können schnelle Maßnahmen gegenüber weiteren Beteiligten erforderlich sein.
Weitere Details sollten auf der Seite Sofortmaßnahmen und Beweissicherung gebündelt werden.
Kann die Bank die Überweisung noch zurückholen?
Das hängt wesentlich davon ab, wann der Betrug bemerkt wird und was mit dem Geld bereits geschehen ist.
Eine ausgeführte Überweisung lässt sich nicht ohne Weiteres einseitig rückgängig machen.
Dennoch sollte die eigene Bank unverzüglich über den Betrug informiert und ein Überweisungsrückruf verlangt werden.
Die praktische Aussicht auf eine Rückholung hängt unter anderem davon ab, ob das Geld noch auf dem Empfängerkonto vorhanden ist und welche Maßnahmen die beteiligten Institute noch ergreifen können.
Deshalb sollte ein Geschädigter nicht erst abwarten, bis intern geklärt ist, wie die Rechnung manipuliert wurde.
Die Rückholung des Geldes und die Aufklärung des Betrugs sollten parallel verfolgt werden.
Muss meine Bank bei IBAN-Manipulation das Geld erstatten?
Hier liegt ein wesentlicher Unterschied zu klassischem Online-Banking-Betrug mit unautorisierten Zahlungen.
Hat der Kunde selbst eine Überweisung über einen bestimmten Betrag auf die auf der manipulierten Rechnung genannte IBAN eingegeben und freigegeben, hat er den Zahlungsvorgang häufig technisch und rechtlich selbst veranlasst.
Dann kann ein autorisierter Überweisungsbetrug vorliegen.
Der gesetzliche Erstattungsanspruch für nicht autorisierte Zahlungsvorgänge nach § 675u BGB greift in einer solchen Konstellation nicht ohne Weiteres wie bei einer Überweisung, die vollständig von einem Täter ohne Zustimmung des Kontoinhabers ausgeführt wurde.
Das bedeutet allerdings nicht, dass damit jede mögliche Haftung ausgeschlossen ist.
Bei hohen Schäden sollte geprüft werden, welche Pflichten die beteiligten Banken im konkreten Sachverhalt trafen und ob weitere Anspruchsgegner vorhanden sind.
Autorisierte oder unautorisierte Überweisung?
Die Unterscheidung ist für die rechtliche Einordnung zentral.
Hat ein Täter das Online-Banking übernommen und selbst eine Überweisung ausgeführt, kann eine unautorisierte Zahlung vorliegen.
Hat der Kunde dagegen selbst den Auftrag erteilt und genau den Betrag an genau die auf der manipulierten Rechnung angegebene IBAN überwiesen, kann die Zahlung trotz der Täuschung autorisiert sein.
Der Kunde wollte dann zwar wirtschaftlich seinen echten Vertragspartner bezahlen. Sein Zahlungsauftrag richtete sich tatsächlich aber an die betrügerisch ausgetauschte Bankverbindung.
Diese Konstellation gehört deshalb typischerweise zum autorisierten Überweisungsbetrug.
Für mögliche Ansprüche gegen Banken gelten dann andere rechtliche Ausgangspunkte als bei einer klassischen nicht autorisierten Zahlung.
Was gilt, wenn der Name des Empfängers nicht zur IBAN passt?
Bei einer manipulierten Rechnung können Zahlungsempfänger und angegebene Kontoverbindung auseinanderfallen.
Welche rechtliche Bedeutung dies im konkreten Fall hat, muss anhand des verwendeten Überweisungsverfahrens, der zum Zahlungszeitpunkt erfolgten Prüfungen und der konkreten Anzeigen beziehungsweise Warnungen beurteilt werden.
Deshalb sollte genau dokumentiert werden, welche Angaben der Bankkunde bei der Überweisung eingegeben hat und welche Hinweise ihm seine Bank vor der Freigabe angezeigt hat.
Auch Screenshots oder sonstige Aufzeichnungen des Zahlungsvorgangs können hierfür relevant sein.
Haftet die Empfängerbank bei IBAN-Betrug?
Bei IBAN-Manipulation wird der Schaden häufig zunächst auf ein Konto bei einem anderen Kreditinstitut überwiesen.
Damit rückt die Haftung der Empfängerbank in den Fokus.
Eine Empfängerbank haftet nicht allein deshalb, weil bei ihr ein Konto geführt wurde, das später für einen Betrug verwendet wurde.
Bei erheblichen Schäden kann jedoch zu untersuchen sein, welche konkreten Umstände rund um das Empfängerkonto bestanden und welche Informationen oder Auffälligkeiten der Bank zu welchem Zeitpunkt vorlagen.
Relevante Fragen können beispielsweise sein:
- Wann wurde das Empfängerkonto eröffnet?
- Wer ist beziehungsweise war Kontoinhaber?
- Welche Zahlungseingänge gingen dort ein?
- Wie schnell wurde das Geld weitergeleitet?
- Gab es Auffälligkeiten oder Warnsignale?
- Wann erhielt die Empfängerbank Kenntnis vom Betrugsverdacht?
- Welche Maßnahmen waren zu diesem Zeitpunkt noch möglich?
Ob daraus Ansprüche entstehen, ist eine Frage des jeweiligen Einzelfalls.
Warum ist die Empfängerbank für die Rückholung wichtig?
Selbst wenn später keine Haftung der Empfängerbank festgestellt wird, kann sie für die praktische Rückholung des Geldes eine zentrale Rolle spielen.
Dort ist der überwiesene Betrag zunächst eingegangen.
Wird der Betrug sehr schnell gemeldet, kann deshalb entscheidend sein, ob Gelder noch vorhanden sind und welche rechtlichen oder tatsächlichen Möglichkeiten zu ihrer Sicherung bestehen.
Bei hohen Überweisungen sollte der Zahlungsweg deshalb möglichst schnell nachvollzogen werden.
Ein rein außergerichtlicher Überweisungsrückruf ist dabei von möglichen späteren rechtlichen Ansprüchen zu unterscheiden.
Wer trägt den Schaden zwischen Rechnungsaussteller und Kunden?
Neben dem Bankrecht entsteht bei manipulierten Rechnungen häufig ein zweites Problem.
Der tatsächliche Vertragspartner hat das Geld nicht erhalten.
Deshalb stellt sich die Frage, ob der Kunde die ursprüngliche Rechnung noch einmal bezahlen muss.
Diese Frage ist von der Haftung der beteiligten Banken zu unterscheiden.
Ob die Zahlung auf das Betrugskonto die ursprüngliche Forderung erfüllt hat oder ob der Gläubiger weiterhin Zahlung verlangen kann, hängt vom konkreten Vertragsverhältnis und den Umständen der manipulierten Kommunikation ab.
Dabei kann unter anderem relevant werden, in wessen Verantwortungsbereich die Manipulation stattgefunden hat und wie die falsche Bankverbindung übermittelt wurde.
Gerade bei hohen Beträgen können deshalb mehrere Rechtsverhältnisse parallel geprüft werden müssen.
Was gilt, wenn das E-Mail-Konto des Rechnungsausstellers kompromittiert war?
Kann nachgewiesen werden, dass Täter Zugriff auf die Kommunikationssysteme einer Vertragspartei hatten, können sich zusätzliche Haftungsfragen stellen.
Das gilt insbesondere dann, wenn die Täter eine bestehende Kommunikation beobachten und im passenden Moment manipulierte Zahlungsinformationen einschleusen konnten.
Allerdings sollte nicht vorschnell behauptet werden, eine bestimmte Partei habe den Angriff verursacht.
Zunächst muss technisch geklärt werden, wo und wie die Kommunikation manipuliert wurde.
Dafür können Original-E-Mails, Headerinformationen, Server- oder Login-Daten und gegebenenfalls eine IT-forensische Untersuchung relevant sein.
Welche Rolle spielt Phishing bei manipulierten Rechnungen?
Nicht jeder Rechnungsbetrug setzt einen direkten Angriff auf ein E-Mail-System voraus.
Täter können Informationen auch über Phishing und Smishing erlangen und damit spätere Nachrichten glaubwürdiger gestalten.
Ebenso können täuschend ähnliche Domains oder E-Mail-Adressen verwendet werden.
Für Geschädigte ist deshalb wichtig, nicht nur die manipulierte PDF-Rechnung zu sichern.
Auch die gesamte Kommunikation vor und nach der Überweisung kann Hinweise darauf enthalten, wie die Täter in den Zahlungsvorgang eingriffen.
Was ist Business Email Compromise?
Bei größeren geschäftlichen Schäden wird im internationalen Kontext häufig von „Business Email Compromise“ oder BEC gesprochen.
Gemeint sind Betrugsangriffe, bei denen geschäftliche E-Mail-Kommunikation oder deren Anschein genutzt wird, um Zahlungen umzuleiten.
Eine manipulierte Rechnung mit ausgetauschter IBAN kann eine solche Konstellation darstellen.
Für die bankrechtliche Prüfung ist die englische Bezeichnung allerdings weniger entscheidend als der tatsächliche Ablauf:
Wer hat welche Zahlungsinformation übermittelt, wer hat die Überweisung freigegeben und auf welchem Konto ist das Geld angekommen?
Welche Beweise sind bei IBAN-Manipulation besonders wichtig?
Bei manipulierten Rechnungen ist die Beweissicherung häufig anspruchsvoller als bei einem einzelnen unbekannten Bankumsatz.
Gesichert werden sollten insbesondere:
- ursprüngliche und manipulierte Rechnung,
- vollständige E-Mail-Kommunikation,
- Originaldateien der relevanten E-Mails,
- soweit verfügbar technische E-Mail-Informationen,
- Zahlungsauftrag und Überweisungsbeleg,
- Kontoauszug,
- Daten des Empfängerkontos,
- Kommunikation mit der eigenen Bank,
- Kommunikation mit dem Rechnungsaussteller,
- Rückruf- und Sperrversuche,
- Strafanzeige und Aktenzeichen.
Besonders wichtig ist eine genaue Chronologie der Kommunikation und Zahlung.
So sollte dokumentiert werden, wann welche Rechnung einging, wann eine Bankverbindung geändert wurde, wann die Überweisung erfolgte und wann der Betrug erkannt wurde.
Warum sollten Original-E-Mails nicht gelöscht werden?
Ein Screenshot zeigt lediglich, was auf dem Bildschirm sichtbar war.
Die ursprüngliche E-Mail kann dagegen zusätzliche technische Informationen enthalten, die für die Untersuchung des Kommunikationswegs relevant sein können.
Bei einem hohen Schaden sollten relevante Nachrichten deshalb möglichst in ihrer ursprünglichen Form aufbewahrt werden.
Das gilt auch für scheinbar unbedeutende E-Mails vor der manipulierten Rechnung.
Gerade bei einem längeren Angriff kann die Vorgeschichte helfen zu klären, wann die Täter erstmals in die Kommunikation eingegriffen haben.
Was tun, wenn die Bank jede Haftung ablehnt?
Bei einer selbst ausgeführten Überweisung wird die eigene Bank häufig darauf verweisen, dass der Kunde den Zahlungsauftrag selbst autorisiert habe.
Diese Einordnung kann bei einer klassischen IBAN-Manipulation tatsächlich ein wichtiger rechtlicher Unterschied zu unautorisierten Zahlungen sein.
Damit sollte die Prüfung aber nicht zwingend enden.
Bei einem erheblichen Schaden ist zu untersuchen:
- Welche Prüfungen fanden beim Zahlungsvorgang statt?
- Welche Informationen wurden dem Kunden angezeigt?
- Gab es Auffälligkeiten?
- Wann wurden die beteiligten Banken über den Betrug informiert?
- Welche Möglichkeiten zur Rückholung bestanden zu diesem Zeitpunkt?
- Welche Rolle spielte die Empfängerbank?
- Gibt es Ansprüche gegen andere Beteiligte?
Die Anspruchsprüfung muss deshalb den gesamten Zahlungs- und Kommunikationsweg erfassen.
IBAN-Manipulation beim Immobilienkauf
Besonders hohe Schäden können entstehen, wenn Zahlungsinformationen bei einem Immobiliengeschäft manipuliert werden.
Schon eine einzelne fehlgeleitete Überweisung kann hier einen sechsstelligen Betrag erreichen.
Wegen der besonderen wirtschaftlichen Bedeutung ist der Überweisungsbetrug beim Immobilienkauf in der Seitenstruktur als eigenständiges Thema vorgesehen.
Auch dort stehen schnelle Rückholungsmaßnahmen, die genaue Rekonstruktion der Kommunikation und die Frage möglicher Ansprüche gegen beteiligte Banken oder weitere Verantwortliche im Mittelpunkt.
Welche Unterlagen benötigt der Anwalt bei IBAN-Betrug?
Für eine effiziente anwaltliche Prüfung sollte nicht nur der Kontoauszug übersandt werden.
Benötigt wird möglichst die gesamte Geschichte der Zahlung.
Dazu gehören insbesondere die echte beziehungsweise erwartete Rechnung, die tatsächlich erhaltene Rechnung, sämtliche Nachrichten zur Bankverbindung, der Überweisungsbeleg, die Kommunikation mit der Bank und der Austausch mit dem tatsächlichen Zahlungsempfänger.
Bei einem größeren Schaden sollte außerdem festgehalten werden:
Wann wurde die Manipulation entdeckt? Wann wurde welche Bank informiert? Wann wurde ein Überweisungsrückruf veranlasst? Welche Reaktion erfolgte darauf?
Diese Zeitpunkte können für die weitere Prüfung wesentlich sein.
Wie Fachanwalt Björn-Michael Lange Fälle von IBAN-Manipulation prüft
Bei einer manipulierten Rechnung genügt es häufig nicht, allein die eigene Bank in den Blick zu nehmen.
Björn-Michael Lange ist Fachanwalt für Bank- und Kapitalmarktrecht und prüft bei erheblichen Schäden insbesondere:
- ob eine autorisierte oder unautorisierte Zahlung vorliegt,
- welche Möglichkeiten zur Rückholung des Geldes bestehen beziehungsweise bestanden,
- welche Pflichten die eigene Bank im konkreten Fall trafen,
- ob die Empfängerbank als möglicher Anspruchsgegner in Betracht kommt,
- wie und wann die Banken über den Betrug informiert wurden,
- welche Rolle der Rechnungsaussteller und die Kommunikationswege spielten,
- welche Beweise zur Manipulation vorhanden sind,
- ob weitere Verantwortliche in Betracht kommen.
Ziel ist, nicht nur die Betrugsmasche zu benennen, sondern den Zahlungsweg und sämtliche möglichen Anspruchsgegner systematisch zu untersuchen.
Häufige Fragen zur IBAN-Manipulation
Geld wegen falscher IBAN überwiesen? Jetzt Ansprüche prüfen
Eine manipulierte Rechnung kann innerhalb weniger Minuten zu einem erheblichen finanziellen Schaden führen.
Wer den Betrag selbst auf die falsche IBAN überwiesen hat, befindet sich rechtlich häufig in einer anderen Ausgangssituation als ein Opfer klassischer unautorisierter Zahlungen.
Deshalb kommt es besonders darauf an, schnell zu handeln und den gesamten Sachverhalt zu prüfen.
Neben einem sofortigen Überweisungsrückruf können bei hohen Schäden insbesondere mögliche Ansprüche im Zusammenhang mit der Empfängerbank, der beteiligten Kommunikation und weiteren Verantwortlichen relevant sein.
Auch die Frage, ob die ursprüngliche Rechnung gegenüber dem tatsächlichen Vertragspartner weiterhin zu bezahlen ist, kann wirtschaftlich erhebliche Bedeutung haben.
Fachanwalt Björn-Michael Lange prüft Fälle von IBAN-Manipulation mit erheblichen Schadenssummen und unterstützt Geschädigte bei der Prüfung und Durchsetzung ihrer Ansprüche.
Lassen Sie nach einer manipulierten Rechnung frühzeitig prüfen, welche Möglichkeiten zur Rückholung des Geldes und welche Ansprüche gegen beteiligte Banken oder weitere Verantwortliche bestehen.