Rechnungsbetrug erkennen und verhindern: Leitfaden für KMU

Rechnungsbetrug erkennen ist für KMU keine optionale Kompetenz mehr – es ist eine geschäftskritische Notwendigkeit. Laut aktuellen Erhebungen des BKA und verschiedener Wirtschaftsprüfungsverbände entsteht deutschen Unternehmen jährlich ein Schaden in Milliardenhöhe durch gefälschte oder manipulierte Rechnungen. Besonders kleine und mittelständische Unternehmen sind betroffen, weil sie häufig keine dedizierten Compliance-Teams haben und betrügerische Muster deshalb länger unentdeckt bleiben. Dieser Leitfaden zeigt, welche Betrugsformen heute verbreitet sind, wie Sie Warnsignale frühzeitig identifizieren und welche konkreten Schutzmaßnahmen Sie sofort umsetzen können.

Die häufigsten Formen von Rechnungsbetrug im Mittelstand

Betrüger gehen heute hochprofessionell vor. Es reicht nicht mehr aus, offensichtlich gefälschte Dokumente zu erkennen. Unternehmen sehen sich mit mehreren spezifischen Betrugsmustern konfrontiert:

• Fake-IBAN-Betrug (Business Email Compromise): Ein Angreifer gibt sich per E-Mail als bestehender Lieferant aus und teilt eine neue Bankverbindung mit. Zahlungen landen auf einem Konto der Täter. Dieses Muster ist besonders tückisch, weil die übrigen Rechnungsdaten – Logo, Adresse, USt-IdNr. – oft korrekt sind.
• Phantomlieferanten: Es werden Rechnungen für Leistungen oder Waren gestellt, die nie erbracht wurden. Oft sind interne Komplizen beteiligt, die entsprechende Bestellungen im System anlegen.
• Duplicate Invoice Fraud: Eine legitime Rechnung wird leicht verändert (andere Rechnungsnummer, verändertes Datum) und ein zweites Mal eingereicht – manchmal mit anderen Bankdaten.
• CEO-Fraud mit Rechnungsbezug: Führungskräfte werden per E-Mail angewiesen, dringende Zahlungen freizugeben. Die Anweisungen enthalten oft Bezüge zu realen Projekten oder Lieferanten.

Praxisbeispiel: Ein Maschinenbauunternehmen aus Nordrhein-Westfalen mit 80 Mitarbeitern erhielt 2023 eine täuschend echte E-Mail eines langjährigen Zulieferers. Der Absender war minimal abgewandelt (statt „meier-technik.de" lautete die Domain „meier-techni k.de" mit einem Leerzeichen). Die Buchhaltungskraft überwies 47.000 Euro auf das angegebene Konto – das Geld war binnen 24 Stunden nicht mehr auffindbar.

Rechnungsbetrug erkennen: Konkrete Warnsignale im Prüfprozess

Ein strukturierter Prüfprozess ist der wirksamste Schutz vor Rechnungsbetrug. Die folgenden Warnsignale sollten in jeder Kreditorenbuchhaltung als Pflichtprüfung verankert sein:

• Geänderte Bankverbindungen: Jede Änderung einer IBAN muss telefonisch – über eine bekannte, nicht in der E-Mail angegebene Nummer – beim Lieferanten verifiziert werden.
• Abweichende Domain oder Absenderadresse: Vergleichen Sie Absenderdomains mit früheren Korrespondenzen. Ein einzelner vertauschter Buchstabe kann den Unterschied bedeuten.
• Fehlende oder ungültige USt-IdNr.: Eine nicht existente oder zu einem anderen Unternehmen gehörende Umsatzsteuer-Identifikationsnummer ist ein zuverlässiges Indiz für eine Fälschung. Tools wie VAT Verifizierung ermöglichen eine schnelle Echtzeit-Prüfung der USt-IdNr. direkt am VIES-System der EU.
• Ungewöhnliche Zahlungsfristen oder -aufforderungen: Sehr kurze Zahlungsfristen, kombiniert mit dem Hinweis auf eine neue Kontoverbindung, sind ein klassisches Muster.
• Rechnungen ohne vorherige Bestellung: Fehlt eine zugeordnete Bestellnummer im System, sollte die Rechnung automatisch in eine manuelle Prüfschleife gehen.

Interne Kontrollsysteme als Schutzwall gegen Fake-IBAN und Phantomlieferanten

Technische Warnsignale helfen nur dann, wenn organisatorische Prozesse sie auch aufgreifen. Für KMU empfiehlt sich ein gestuftes Kontrollsystem:

Vier-Augen-Prinzip konsequent umsetzen: Keine Freigabe von Zahlungen über einem definierten Schwellenwert (z. B. 2.000 Euro) durch eine einzelne Person. Auch wenn dies in kleinen Teams unbequem ist, reduziert es das Risiko erheblich – sowohl bei externem Betrug als auch bei internem Fehlverhalten.

Lieferantenstammdaten zentral und geschützt pflegen: Änderungen an Bankverbindungen, Adressen oder Ansprechpartnern dürfen nur nach schriftlichem Antrag und telefonischer Bestätigung durch einen autorisierten Mitarbeiter vorgenommen werden. Protokollieren Sie jeden Änderungsvorgang mit Zeitstempel und auslösender Person.

Regelmäßige Abgleiche im ERP-System: Vergleichen Sie die IBAN in eingehenden Rechnungen automatisiert mit den im System hinterlegten Bankverbindungen. Abweichungen lösen eine manuelle Eskalation aus – und keine automatische Zahlung.

Mitarbeiterschulungen: Das schwächste Glied in der Sicherheitskette ist selten die Technologie. Schulen Sie Mitarbeitende in der Buchhaltung und im Einkauf mindestens einmal jährlich zu aktuellen Betrugsmustern. Phishing-Simulationen erhöhen die Aufmerksamkeit nachweislich.

Digitale Werkzeuge und rechtliche Absicherung nutzen

Die Digitalisierung schafft nicht nur neue Angriffsflächen, sondern auch neue Schutzinstrumente. KMU sollten folgende Ansätze in Betracht ziehen:

• E-Rechnungsformate (ZUGFeRD, XRechnung): Strukturierte E-Rechnungen sind deutlich schwieriger zu fälschen als PDF-Dokumente, da sie maschinenlesbare Datenfelder enthalten, die automatisiert geprüft werden können.
• USt-IdNr.-Validierung als Standardprozess: Bei neuen Lieferanten und bei veränderten Stammdaten sollte die Umsatzsteuer-Identifikationsnummer automatisch validiert werden. Dienste wie vat-verifizierung.de prüfen die Gültigkeit einer USt-IdNr. direkt über das offizielle VIES-System der Europäischen Kommission – ein unverzichtbarer Schritt bei der Lieferantenanlage.
• Cyber-Versicherung prüfen: Viele Policen decken mittlerweile auch Schäden durch CEO-Fraud und Rechnungsbetrug ab. Überprüfen Sie, ob Ihre bestehende Versicherung dies abdeckt oder ob eine Ergänzung sinnvoll ist.
• Anzeigepflicht und Rückbuchungsfristen kennen: Im Betrugsfall sollten Sie umgehend Ihre Bank kontaktieren (SEPA-Rückruf ist innerhalb weniger Stunden möglich) und Strafanzeige bei der Polizei erstatten. Dokumentieren Sie alle Beweise sofort.

Fazit: Rechnungsbetrug erkennen als Teil einer gelebten Sicherheitskultur

Rechnungsbetrug erkennen und verhindern ist keine einmalige Maßnahme, sondern ein kontinuierlicher Prozess. KMU sind gut beraten, klare Kontrollprozesse zu etablieren, Mitarb