Geld weg, Rechnung offen: Wer haftet bei Rechnungsbetrug per E-Mail?

Der Fall: So lief der Angriff bei unserem Kunden ab

Ende September 2026 erreichte uns die E-Mail eines Kunden aus der Region. Betreff und Ton waren eindeutig: Hier stimmt etwas nicht. Es ging um eine Rechnung über rund 50.000 €. Der Ablauf, wie wir ihn danach nachvollziehen konnten:

1. Die harmlose Bitte: Von einer scheinbar vertrauenswürdigen Adresse kommt die Anfrage, die letzte Rechnung noch einmal zu schicken – sie „liege nicht vor“.
2. Die neue Adresse: Kurz darauf folgt die Bitte, Rechnungen künftig an eine andere E-Mail-Adresse zu senden.
3. Die Fälschung: Die Betrüger haben nun eine echte Rechnung. Sie tauschen die Bankverbindung aus.
4. Der Versand: Die manipulierte Rechnung geht an den Endkunden – von einer Adresse, die der unseres Kunden täuschend ähnlich sieht, mit dessen echter E-Mail-Signatur.

Aufgefallen ist es erst beim Empfänger. Dort hat jemand genau hingesehen und bemerkt, dass die Absenderadresse anders war als sonst. Das Geld wurde nicht überwiesen.

„Anbei eine sehr unangenehme Mail, welche augenscheinlich sehr gut gefälscht ist. Gott sei Dank hat der Kunde in diesem Fall gut aufgepasst und ist bei der Mailadresse stutzig geworden. Es ist mir unerklärlich, wie in unserem Namen – mit perfekter Signatur – so etwas an Kunden rausgehen kann.“ – Nachricht eines COLLAS-Kunden an unser IT-Team, September 2026 (anonymisiert)

Woher wussten die Täter, wer mit wem Geschäfte macht? Vermutlich aus öffentlichen Quellen: Referenzseiten auf der Website und Beiträge in sozialen Netzwerken. Dieses Ausspähen und Ausnutzen von Vertrauen nennt man Social Engineering. Dank KI klingen solche E-Mails heute fehlerfrei. Rechtschreibfehler als Warnzeichen können Sie vergessen – mehr dazu in unserem Beitrag zum Umgang mit E-Mails im KI-Zeitalter.

Warum macht die E-Rechnung es Betrügern leichter?

Seit dem 1. Januar 2025 müssen Unternehmen in Deutschland E-Rechnungen empfangen können. Das spart Arbeit, bringt für die Buchhaltung aber zwei neue Schwachstellen mit:

Sammelpostfächer wie rechnung@ oder e-rechnung@

Diese Adressen stehen oft öffentlich auf der Website. Mehrere Personen lesen mit, niemand kennt jeden Absender persönlich. Eine gefälschte Rechnung fällt dort weniger auf.

ZUGFeRD-Rechnung: zwei Inhalte in einer Datei

Eine ZUGFeRD-Rechnung besteht aus einem PDF für das Auge und einem eingebetteten Datensatz für die Software. Die Buchhaltungssoftware liest den Datensatz. Wird nur dort die IBAN geändert, sieht das PDF völlig normal aus.

XRechnung: reine Daten

Eine XRechnung ist ein reiner Datensatz ohne gewohntes Layout. Logo und Briefkopf helfen hier nicht mehr beim Wiedererkennen – es zählt allein der Abgleich mit Ihren gespeicherten Lieferantendaten.

Für den Alltag heißt das: Prüfen Sie die IBAN im Zahlungsvorschlag Ihrer Software – nicht nur auf dem PDF.

Woran erkenne ich eine gefälschte Rechnung?

Vier Warnsignale tauchen in fast jedem Fall auf. Schon eines davon reicht, um nachzufragen.

Wer haftet, wenn das Geld weg ist?

Die kurze Antwort: meistens derjenige, der überwiesen hat. Eine Zahlung auf das Konto eines Betrügers begleicht die Rechnung nicht. Der Lieferant kann sein Geld weiterhin verlangen – der Kunde zahlt im schlimmsten Fall doppelt. So hat es etwa das Oberlandesgericht Karlsruhe 2023 gesehen.

Es gibt aber auch die andere Richtung. Das Oberlandesgericht Schleswig hat Ende 2024 entschieden: Wer Rechnungen mit hohen Beträgen unzureichend gesichert per E-Mail verschickt, kann für den Schaden seines Kunden einstehen müssen. Dann bleibt der Rechnungssteller ganz oder teilweise auf seiner Forderung sitzen.

Für beide Seiten gilt deshalb dasselbe: Wer nachweisen kann, dass er sorgfältig gearbeitet hat, steht besser da.

• Als Zahler: Geänderte Bankdaten per Rückruf bestätigen und das kurz notieren (wer, wann, mit wem).
• Als Rechnungssteller: Die eigene E-Mail-Domain technisch gegen Fälschung absichern lassen (SPF, DKIM und DMARC) und Postfächer mit Zwei-Faktor-Anmeldung schützen.

Hinweis: Dieser Abschnitt gibt einen Überblick und ersetzt keine Rechtsberatung. Im konkreten Fall entscheidet der Einzelfall – sprechen Sie mit Ihrem Rechtsanwalt.

Was tun, wenn es passiert ist?

Jetzt zählt jede Stunde. Halten Sie diese Reihenfolge ein:

1. Bank anrufen: Sofort telefonisch melden und den Rückruf der Überweisung verlangen. Je früher, desto größer die Chance.
2. IT informieren: Passwörter ändern lassen und das Postfach auf fremde Weiterleitungsregeln prüfen lassen. Betrüger lesen oft wochenlang unbemerkt mit.
3. Beweise sichern: Die verdächtigen E-Mails nicht löschen, sondern samt Anhang aufbewahren.
4. Anzeige erstatten: Unternehmen in Bayern wenden sich an die Zentrale Ansprechstelle Cybercrime (ZAC) beim Bayerischen Landeskriminalamt.
5. Datenschutz prüfen: Hatten Fremde Zugriff auf ein Postfach, kann eine Meldung an die Datenschutzaufsicht nötig sein – innerhalb von 72 Stunden (Art. 33 DSGVO). In Bayern ist das Landesamt für Datenschutzaufsicht (BayLDA) zuständig.
6. Geschäftspartner warnen: Kunden und Lieferanten kurz informieren, dass gefälschte Rechnungen in Ihrem Namen im Umlauf sind.

Unserem Kunden haben wir genau diese Schritte empfohlen und parallel geprüft, ob eines seiner Postfächer betroffen war.

Häufige Fragen zu Rechnungsbetrug mit E-Rechnungen

Was ist Rechnungsbetrug mit E-Rechnungen?

Betrüger fangen eine echte Rechnung ab oder fordern sie unter falschem Namen an, tauschen die Bankverbindung aus und schicken sie mit gefälschtem Absender an den Kunden. Der Kunde überweist an die Betrüger, die echte Rechnung bleibt offen.

Wer haftet, wenn ich auf eine gefälschte Rechnung überwiesen habe?

In der Regel bleibt die echte Rechnung offen, der Kunde muss also noch einmal zahlen. Hat der Rechnungssteller seine Rechnungen aber unzureichend gesichert verschickt, kann er nach einzelnen Gerichtsurteilen ganz oder teilweise haften. Die Rechtsprechung ist uneinheitlich.

Woran erkenne ich eine gefälschte Rechnung?

Die wichtigsten Warnsignale sind eine geänderte Bankverbindung, eine leicht abweichende Absenderadresse, die Bitte um eine neue Rechnungsadresse und Zeitdruck. Rechtschreibfehler sind kein verlässliches Merkmal mehr.

Was muss ich tun, wenn ich bereits überwiesen habe?

Rufen Sie sofort Ihre Bank an und lassen Sie die Überweisung zurückrufen. Informieren Sie danach Ihre IT, erstatten Sie Anzeige und prüfen Sie, ob eine Meldung an die Datenschutzaufsicht innerhalb von 72 Stunden nötig ist.