Rechnungsbetrug bei digitalen Rechnungen: So schützen Sie Mandanten und Kanzlei
Mit der zunehmenden Digitalisierung des Rechnungsaustauschs verändern sich nicht nur die Prozesse in Unternehmen und Kanzleien. Auch Betrüger nutzen digitale Kommunikationswege immer professioneller.
Eine besonders gefährliche Masche ist die Manipulation von Zahlungsdaten: Kriminelle verändern beispielsweise die IBAN auf einer Rechnung und sorgen dafür, dass der Rechnungsbetrag auf ihrem eigenen Konto landet. Für Unternehmen können dadurch erhebliche finanzielle Schäden entstehen.
Als Steuerberater können Sie Ihre Mandanten dabei unterstützen, solche Risiken frühzeitig zu erkennen und ihre Rechnungsprozesse sicherer zu gestalten. Gleichzeitig lohnt es sich, die Abläufe in der eigenen Kanzlei kritisch zu prüfen.
Wie der Rechnungsbetrug funktioniert
Bei digitalem Rechnungsbetrug verschaffen sich Kriminelle beispielsweise durch Phishing, gestohlene Zugangsdaten oder Schadsoftware Zugriff auf E-Mail-Postfächer. Anschließend können sie die geschäftliche Kommunikation beobachten und auf einen geeigneten Zeitpunkt warten.
Wird eine Rechnung versendet, verändern die Täter beispielsweise die IBAN des tatsächlichen Gläubigers und leiten die manipulierte Rechnung an den Empfänger weiter. Rechnungsnummer, Leistungen, Betrag und Gestaltung können dabei unverändert bleiben. Für den Empfänger ist die Manipulation daher oftmals kaum zu erkennen.
Eine weitere Variante ist der sogenannte CEO-Fraud beziehungsweise Business Email Compromise. Dabei geben sich Täter als Führungskräfte, Geschäftspartner oder andere vertraute Personen aus und fordern unter Zeitdruck zu einer Zahlung oder Änderung von Zahlungsdaten auf.
Für Unternehmen bedeutet das: Die bloße Plausibilitätsprüfung einer Rechnung reicht nicht mehr aus. Entscheidend ist auch, ob Absender, Zahlungsdaten und Übermittlungsweg vertrauenswürdig sind.
Wer trägt den Schaden bei einer manipulierten Rechnung?
Die rechtliche Situation kann für die Beteiligten erhebliche Konsequenzen haben.
Grundsätzlich erlischt eine Geldschuld (§ 362 Abs. 1 BGB) erst, wenn die geschuldete Leistung beim tatsächlichen Gläubiger ankommt. Wird aufgrund einer manipulierten Rechnung auf ein Betrügerkonto gezahlt, kann deshalb weiterhin eine Zahlungsverpflichtung gegenüber dem eigentlichen Gläubiger bestehen.
Gleichzeitig können auch auf Seiten des Rechnungsstellers Haftungsrisiken entstehen. Das zeigt unter anderem ein Urteil des OLG Schleswig-Holstein vom 18. Dezember 2024 (12 U 9/24). In dem zugrunde liegenden Fall war eine Rechnung per E-Mail manipuliert worden. Das Gericht setzte sich dabei auch mit den Anforderungen an den Schutz personenbezogener Daten und möglichen Schadensersatzansprüchen nach Art. 82 DSGVO auseinander.
Weitere Entscheidungen zeigen, dass Gerichte die konkreten Umstände des Einzelfalls berücksichtigen – etwa auffällige Änderungen von Kontodaten oder die eingesetzten Sicherheitsmaßnahmen.
Für Ihre Mandanten sollte die Konsequenz deshalb nicht darin bestehen, sich auf eine bestimmte Haftungsverteilung im Schadensfall zu verlassen. Besser ist es, Manipulationen möglichst bereits im Rechnungsprozess zu verhindern.
Warum der klassische Rechnungsversand per E-Mail Risiken birgt
Besonders anfällig sind Prozesse, bei denen Rechnungen als gewöhnlicher Anhang per E-Mail versendet und anschließend manuell verarbeitet werden.
Gelingt Angreifern der Zugriff auf ein beteiligtes E-Mail-Konto, können Rechnungsdateien abgefangen oder verändert werden. Das Problem wird dadurch verschärft, dass professionell manipulierte Rechnungen optisch häufig nicht vom Original zu unterscheiden sind.
Auch bei hybriden Formaten wie ZUGFeRD sollten sich Unternehmen deshalb nicht allein auf die sichtbare PDF-Darstellung verlassen. ZUGFeRD enthält neben der PDF-Sichtkomponente strukturierte XML-Daten. Automatisierte Prozesse können helfen, Abweichungen zu erkennen und manuelle Übertragungsfehler zu reduzieren.
Grundsätzlich gilt: Je weniger manuelle Zwischenschritte und ungesicherte Übertragungswege ein Rechnungsprozess enthält, desto kleiner wird die Angriffsfläche.
Die smarte Lösung für KMU: Integrierter Direktversand mit moderner Buchhaltungssoftware
Als Steuerberater können Sie Ihren Mandanten einen extrem eleganten Ausweg aus diesem Sicherheitsdilemma aufzeigen. Eine moderne Cloud-Buchhaltungssoftware wie "WISO MeinBüro" löst das Problem der Zahlungsdatenmanipulation auf eine technisch geniale und für den Anwender völlig unkomplizierte Weise: Sie umgeht den unsicheren Versandweg über den klassischen E-Mail-Anhang komplett.
Anstatt dass der Mandant eine Rechnung mühsam als PDF-Datei auf seinem lokalen Computer speichert, sein externes E-Mail-Programm öffnet, die Datei manuell hochlädt und an den Kunden versendet – ein Prozess, bei dem die ungeschützte Datei an mehreren Stellen abgefangen werden kann –, ermöglicht "WISO MeinBüro" den direkten Rechnungsversand aus der gesicherten Softwareumgebung heraus. Die Software nutzt für den Versand verschlüsselte Onlineanwendungen und stellt die Rechnungen dem Empfänger über sichere, passwortgeschützte Webportale direkt zum Download bereit oder überträgt die strukturierten Rechnungsdaten auf direktem, verschlüsseltem Weg an das Empfängersystem.
Durch diese nahtlose Integration verlässt das Dokument zu keinem Zeitpunkt den geschützten Bereich der Software. Da kein klassischer, manipulierbarer E-Mail-Anhang mehr generiert wird, laufen Man-in-the-Middle-Angriffe auf dem Transportweg vollständig ins Leere. Für Ihre Mandanten bedeutet dies ein maximales Sicherheitsniveau, ohne dass sie sich mit komplexen Verschlüsselungstechnologien, DKIM-Zertifikaten oder Portaleinstellungen auseinandersetzen müssen. Sie schreiben ihre Rechnungen wie gewohnt, klicken auf "Senden", und die Software im Hintergrund erledigt die sichere Zustellung vollautomatisch. Dies schützt den Rechnungssteller nicht nur vor dem Verlust seines Geldes, sondern bewahrt ihn auch vor der potenziell ruinösen DSGVO-Haftung wegen unzureichend gesichertem E-Mail-Versand.
Fünf Schutzmaßnahmen, die Sie Ihren Mandanten empfehlen können
Technische Lösungen sind wichtig – sie sollten jedoch durch klare organisatorische Regeln ergänzt werden.
1. Änderungen von Bankverbindungen immer über einen zweiten Kanal bestätigen
Teilt ein Geschäftspartner eine neue Bankverbindung mit, sollte diese niemals allein aufgrund einer E-Mail geändert werden. Empfehlen Sie Ihren Mandanten eine konsequente Zwei-Kanal-Verifikation.
Die Bestätigung kann beispielsweise telefonisch erfolgen. Wichtig: Dafür sollte eine bereits bekannte und verifizierte Telefonnummer verwendet werden – nicht die Telefonnummer aus der Nachricht, in der die Änderung angekündigt wurde.
2. Rechnungsprozesse möglichst direkt digitalisieren
Je häufiger Rechnungen heruntergeladen, lokal gespeichert, weitergeleitet oder manuell übertragen werden, desto mehr Angriffspunkte entstehen. Durchgängige digitale Prozesse reduzieren diese Medienbrüche.
3. Zugänge konsequent absichern
E-Mail-Postfächer und Anwendungen, über die Rechnungen verarbeitet werden, sollten mit starken Passwörtern und Zwei-Faktor-Authentifizierung geschützt werden. Zugriffsrechte sollten regelmäßig überprüft werden.
4. Auffälligkeiten bei Rechnungen ernst nehmen
Besondere Vorsicht ist geboten, wenn sich Bankverbindungen kurzfristig ändern, ungewöhnlicher Zeitdruck aufgebaut wird oder eine Rechnung vom üblichen Ablauf eines Geschäftspartners abweicht. Für solche Fälle sollte es einen festen Prüf- und Freigabeprozess geben.
5. Einen Notfallprozess festlegen
Kommt es dennoch zu einer Fehlüberweisung, zählt Geschwindigkeit. Die Bank sollte unverzüglich kontaktiert werden, um Möglichkeiten eines Überweisungsrückrufs zu prüfen. Gleichzeitig sollten E-Mails, Header-Daten und Rechnungsdokumente als Beweismittel gesichert und der Vorfall angezeigt werden. Je nach Fall kann anschließend rechtlicher Rat erforderlich sein.
Auch die Kanzlei sollte ihre eigenen Prozesse prüfen
Was für Mandanten gilt, gilt ebenso für die Kanzlei. Gerade weil Steuerberater regelmäßig mit sensiblen Finanz- und Unternehmensdaten arbeiten, sollten auch die eigenen Prozesse rund um Rechnungen und Zahlungsinformationen klar geregelt sein.
Dazu gehören insbesondere sichere Benutzerkonten mit Zwei-Faktor-Authentifizierung, eindeutige Freigaberegeln für Zahlungen und Stammdatenänderungen sowie ein festgelegtes Verfahren zur Verifikation geänderter Bankverbindungen.
Ebenso wichtig ist die Sensibilisierung der Mitarbeiter. Eine technisch überzeugende Betrugsnachricht lässt sich nicht immer auf den ersten Blick erkennen. Klare Prozesse sorgen deshalb dafür, dass Sicherheit nicht allein von der Aufmerksamkeit einzelner Personen abhängt.
Fazit: Sichere Prozesse werden zum Beratungsfeld
Die E-Rechnung schafft die Grundlage für stärker automatisierte Rechnungsprozesse. Gleichzeitig macht die zunehmende Digitalisierung deutlich, wie wichtig sichere Übertragungswege, geschützte Zugänge und verlässliche Kontrollmechanismen sind.
Für Steuerberater entsteht daraus ein konkretes Beratungsfeld: Sie können Ihre Mandanten nicht nur bei der Einführung digitaler Rechnungsprozesse begleiten, sondern gleichzeitig dabei helfen, diese Prozesse gegen Rechnungsbetrug abzusichern.
Die wichtigsten Prinzipien sind dabei einfach: möglichst wenige Medienbrüche, sichere digitale Übertragungswege, Zwei-Faktor-Authentifizierung und eine konsequente Verifikation bei Änderungen von Zahlungsdaten.
So schützen Sie nicht nur Ihre Mandanten vor finanziellen Schäden, sondern stärken zugleich die Sicherheit der digitalen Zusammenarbeit zwischen Mandant und Kanzlei.