Es gibt eine Betrugsmasche, bei der alle üblichen Ratschläge versagen. Sie ist beim Bundesamt für Cybersicherheit die am häufigsten gemeldete überhaupt, und die Zahlen steigen: 2024 waren es 719 Fälle, 2025 bereits 971 — rund ein Drittel mehr.
Sie funktioniert so:
Jemand verschafft sich Zugang zu einem E-Mail-Postfach. Nicht zu Ihrem — es reicht, wenn es das eines Lieferanten ist, mit dem Sie regelmässig zu tun haben. Dort wird nach Rechnungen gesucht. Eine davon wird noch einmal verschickt, an denselben Empfänger, mit demselben Betreff.
Geändert wird genau eine Zeile: die Kontonummer.
Warum «aufmerksam sein» hier nichts nützt
Die üblichen Merkmale, auf die man achten soll, sind allesamt nicht vorhanden.
Die Absenderadresse ist echt — es ist ja das richtige Postfach. Der Schriftverkehr davor ist echt und steht im Verlauf. Der Betrag stimmt, weil er aus der echten Rechnung stammt. Die Sprache stimmt, weil es die echten Sätze sind. Das Logo stimmt. Die Rechnungsnummer stimmt.
Es gibt nichts zu erkennen. Genau das macht die Masche so wirksam, und genau deshalb greifen Schulungen nach dem Muster «achten Sie auf Auffälligkeiten» hier ins Leere. Wer nach Auffälligkeiten sucht, findet keine — und schöpft daraus Vertrauen.
Das unterscheidet den Fall von den gefälschten Bezahlvorgängen im Webshop oder vom unaufgeforderten Anruf des angeblichen Supports. Dort gibt es einen Bruch, den man bemerken kann. Hier nicht.
Was stattdessen wirkt
Wenn sich der Betrug nicht am Einzelfall erkennen lässt, muss die Abwehr in den Ablauf. Eine einzige Regel deckt praktisch alle Varianten ab:
Eine geänderte Kontonummer wird telefonisch bestätigt. Unter der Nummer, die Sie schon haben — nie unter der aus der Mail.
Das ist die ganze Massnahme. Sie kostet zwei Minuten pro Fall und funktioniert unabhängig davon, wie gut die Fälschung ist, wie müde jemand am Freitagabend ist und ob eine künstliche Intelligenz beim Formulieren geholfen hat.
Der Zusatz «unter der Nummer, die Sie schon haben» ist dabei nicht Beiwerk, sondern der Kern. Steht die Telefonnummer in derselben Mail wie die neue Kontonummer, bestätigt Ihnen der Betrüger seine eigene Angabe.
Drei Dinge machen die Regel im Alltag haltbar:
Sie muss aufgeschrieben sein. Eine mündliche Übereinkunft überlebt keine Ferienvertretung. Zwei Sätze in der Zahlungsanweisung genügen.
Sie muss ohne Ausnahme gelten. Sobald es «bei bekannten Lieferanten reicht auch so» heisst, ist sie wertlos — bekannte Lieferanten sind ja gerade der Fall.
Sie darf niemandem peinlich sein. Wer anruft und fragt, ob die neue Kontonummer stimmt, tut seine Arbeit. Das gehört einmal ausgesprochen, sonst unterbleibt der Anruf aus Höflichkeit.
Der Teil, der oft übersehen wird
Wer Ihnen eine manipulierte Rechnung schickt, hat Zugriff auf ein Postfach. Das ist die eigentliche Nachricht, und sie geht in der Diskussion über die eine Überweisung meist unter.
In einem Geschäftspostfach liegt der gesamte Schriftverkehr: Angebote, Konditionen, Verträge, Personalsachen, weitere Rechnungen mit weiteren Kontoverbindungen. Wer dort mitliest, kennt Ihre Zahlungsrhythmen, Ihre Ansprechpartner und den Ton, in dem Sie schreiben.
Deshalb gehören bei einem solchen Vorfall zwei Dinge zusammen: die Zahlung stoppen — und klären, wessen Postfach offen stand. Wenn es das eigene war, ist die falsche Rechnung nur der Anfang.
Was heute zu tun ist
Die Regel einführen, falls es sie nicht gibt. Zwei Sätze, heute, in der Zahlungsanweisung. Das ist der wirksamste Schritt und der billigste.
Zweistufige Anmeldung für alle Postfächer. Die meisten dieser Zugriffe entstehen durch ein erbeutetes Passwort, nicht durch einen technischen Einbruch. Ein zweiter Faktor macht ein gestohlenes Passwort weitgehend wertlos.
Weiterleitungsregeln kontrollieren. Ein beliebter Handgriff der Angreifer: eine Regel anlegen, die bestimmte Mails automatisch in einen unauffälligen Ordner verschiebt oder nach aussen weiterleitet. So bleibt der Zugriff unbemerkt, auch nachdem das Passwort gewechselt wurde. Diese Regeln sieht man nur, wenn man gezielt nachsieht.
Wenn Sie unsicher sind, ob eines Ihrer Postfächer betroffen ist: Wir sehen uns die Anmeldeprotokolle und die Weiterleitungsregeln gemeinsam an. Das ist eine Stunde Arbeit und beantwortet die Frage, die sonst offen bleibt.