Aktuell

Echter Absender, echte Rechnung, falsche Kontonummer: So schützen sich Kommunen vor Zahlungsbetrug

Täter schreiben aus dem echten Postfach eines Partners, nur die Kontonummer ist falsch. Welche Abläufe Kämmerei und Rechnungsstelle jetzt brauchen.

27. Oktober 2026

Cyber Crime
Kommunen
E-Mail

Kernaussage

Gegen Rechnungen aus dem echten Postfach eines Geschäftspartners helfen weder Spamfilter noch ein geschultes Auge. Was hilft, sind feste Abläufe: Rückruf bei jeder Änderung der Bankverbindung über eine bekannte Nummer, Vier-Augen-Prinzip bei größeren Beträgen und die Empfängerüberprüfung der Bank auch bei Sammelüberweisungen.

Eine Gemeinde im Landkreis Traunstein hat einen Auftrag bezahlt – das Geld landete bei Kriminellen. Der Schaden lag laut Bericht der tagesschau zwischen 80.000 und 140.000 Euro. Die Rechnung kam von einem Schulbus-Unternehmer, mit dem die Gemeinde zusammenarbeitet. Absender, Rechnung und Leistung stimmten. Nur die Kontonummer war falsch.

Warum diese Masche so gut funktioniert

Die Täter verschaffen sich Zugang zum Postfach eines Geschäftspartners. Dort lesen sie mit, warten auf eine anstehende Zahlung und schicken dann aus dem echten Postfach eine echte Rechnung – mit geänderter Bankverbindung. Für die Empfänger gibt es nichts zu erkennen: kein gefälschter Absender, keine Rechtschreibfehler, kein ungewöhnlicher Ton.

Das unterscheidet die Masche von klassischem Phishing. Ähnliche Muster haben wir beschrieben bei gefälschten Behördenanfragen über echte Absender und beim Datenleck einer Autohaus-Software, bei dem Betrüger echte Rechnungsnummern kannten.

Was Kämmerei und Rechnungsstelle brauchen

Maßnahme	Worauf es ankommt
Rückruf bei jeder Änderung der Bankverbindung	Nur über eine Nummer aus den eigenen Stammdaten oder dem Vertrag – nie über die Nummer aus der Mail oder Rechnung
Fester Ablauf für Stammdatenänderungen	Änderung erst nach Rückruf, durch eine zweite Person freigegeben, mit Vermerk wer, wann, mit wem gesprochen
Vier-Augen-Prinzip ab einer Betragsschwelle	Schwelle festlegen und für alle Zahlungswege gelten lassen, auch für Sammelüberweisungen
Empfängerüberprüfung der Bank nutzen	Seit Oktober 2025 gleichen Banken Empfängername und IBAN ab. Bei Sammelüberweisungen kann darauf verzichtet werden – prüfen, ob die Finanzsoftware oder das Bankverfahren das tut
Warnungen ernst nehmen	Meldet die Bank „Name passt nicht“ oder „passt teilweise“, wird nicht überwiesen, sondern zurückgerufen

Was tun bei einem Verdacht?

Sofort die Bank anrufen: Je schneller, desto eher lässt sich eine Überweisung noch stoppen oder zurückholen.
Anzeige erstatten: In Baden-Württemberg ist die Zentrale Ansprechstelle Cybercrime beim LKA Ansprechpartner.
Den Geschäftspartner informieren: Sein Postfach ist vermutlich kompromittiert – er muss handeln, und andere Kunden sind ebenfalls gefährdet.
Eigene Postfächer prüfen: Sind Weiterleitungsregeln oder unbekannte Anmeldungen vorhanden? Bei Verdacht auf einen Angriff gilt: Netzwerkkabel ziehen, Rechner aber nicht ausschalten – sonst gehen Spuren verloren.

Übung macht den Unterschied

Ein Notfallplan, der nie geprobt wurde, funktioniert selten. Die Cybersicherheitsagentur Baden-Württemberg bietet Kommunen und Behörden kostenfreie IT-Notfallübungen an. Wie lange ein Wiederanlauf in der Praxis dauern kann, zeigt derzeit der Angriff auf das HSZ-BW: Dort sind es Wochen, nicht Tage.

Wie wir unterstützen

Wir prüfen gemeinsam mit Kämmerei und Rechnungsstelle die Zahlungsabläufe, richten Schutz für Postfächer ein, etwa gegen unerkannte Weiterleitungsregeln und verdächtige Anmeldungen, und schulen Mitarbeitende mit automatisierten Awareness-Trainings.

Sind Ihre Zahlungsabläufe gegen diese Masche gewappnet?

Wir gehen die Abläufe mit Ihnen durch und sichern die Postfächer ab, über die solche Angriffe laufen.

Kontakt aufnehmen

Quellen & weiterführende Links

Recherchestand: 27. Oktober 2026.

Häufige Fragen

Hätte ein Spamfilter das erkannt?+

In diesem Fall nicht. Die Mail kam aus dem echten, aber kompromittierten Postfach des Geschäftspartners.

Ist die Empfängerüberprüfung der Bank ein sicherer Schutz?+

Ein sehr guter, aber kein vollständiger. Sie greift nur, wenn sie genutzt wird – bei Sammelüberweisungen nicht automatisch – und wenn der Täter kein Konto auf einen passenden Namen eröffnet hat. Der Rückruf bleibt deshalb Pflicht.

Wer haftet, wenn das Geld weg ist?+

Das hängt vom Einzelfall ab. Wer bei Sammelüberweisungen auf die Empfängerüberprüfung verzichtet, trägt das Risiko falscher Empfängerdaten selbst. Klare, dokumentierte Abläufe helfen auch gegenüber Versicherung und Rechnungsprüfung.