Haben Sie schon einmal eine Rechnung erhalten, die auf den ersten Blick völlig legitim aussah – bis sich herausstellte, dass die Bankverbindung manipuliert wurde? Genau das ist das perfide Geschäftsmodell des Invoice Fraud. Diese Betrugsmasche kann Unternehmen teuer zu stehen kommen, denn eine fälschlicherweise getätigte Zahlung auf ein betrügerisches Konto gilt zivilrechtlich nicht als schuldbefreiend. Im schlimmsten Fall müssen Unternehmen doppelt zahlen.
Doch wie genau läuft dieser Betrug ab? Welche technischen und organisatorischen Maßnahmen sollten Unternehmen ergreifen? Und welche rechtlichen Konsequenzen ergeben sich aus aktuellen Urteilen? Wir geben Ihnen einen detaillierten Überblick und zeigen auf, wie Sie sich effektiv schützen können.
Invoice Fraud: So funktioniert die Betrugsmasche
Invoice Fraud basiert meist nicht auf komplexen Cyberangriffen, sondern auf vergleichsweise simplen Methoden. Die Täter gelangen in der Regel über gestohlene Zugangsdaten in E-Mail-Konten und manipulieren dort eingehende Rechnungen. Die häufigsten Vorgehensweisen sind:
- Kompromittierte E-Mail-Konten: Hacker erlangen Zugriff auf das E-Mail-Konto eines Unternehmens, lesen Rechnungen mit und ändern gezielt die Bankverbindung.
- Fake-Rechnungen: Kriminelle versenden täuschend echt aussehende Rechnungen im Namen eines bekannten Geschäftspartners.
Man-in-the-Middle-Angriffe (seltener): In einigen Fällen greifen Angreifer die E-Mail-Kommunikation ab und verändern den Anhang mit den Zahlungsinformationen.
Das Ergebnis: Die Rechnung wird vom Unternehmen in gutem Glauben bezahlt – und das Geld landet auf dem Konto der Betrüger.
Die rechtliche Perspektive: Das Urteil des OLG Schleswig
Ein kürzlich ergangenes Urteil des Oberlandesgerichts Schleswig (Az. 12 U 9/24) sorgt für Aufsehen. In einem Fall von Invoice Fraud entschied das Gericht, dass Unternehmen für hohe Rechnungsbeträge eine Ende-zu-Ende-Verschlüsselung (PGP oder S/MIME) nutzen müssen. Eine reine Transportverschlüsselung via TLS reiche nicht aus. Das bedeutet: Unternehmen, die Rechnungen ohne Ende-zu-Ende-Verschlüsselung per E-Mail verschicken, könnten haftbar gemacht werden, wenn der Empfänger einer manipulierten Rechnung aufsitzt.
Die Entscheidung hat erhebliche Auswirkungen auf den elektronischen Geschäftsverkehr, denn bisher galt Transportverschlüsselung als ausreichender Schutz. Kritiker bemängeln, dass PGP und S/MIME in der Praxis kaum verbreitet sind und eine Pflicht zur Nutzung erhebliche Hürden für Unternehmen bedeutet.
So schützen Sie Ihr Unternehmen vor Invoice Fraud
Der beste Schutz vor Invoice Fraud ist eine Kombination aus technischen und organisatorischen Maßnahmen. Hier sind die wichtigsten Schritte:
1. Schutz für Rechnungsempfänger
- Kontonummern verifizieren: Bei Änderungen der Bankverbindung eines Lieferanten stets eine telefonische Rückfrage bei einem bekannten Ansprechpartner durchführen.
- Zwei-Personen-Prinzip: Hohe Überweisungen sollten von mindestens zwei Personen freigegeben werden.
Warnmechanismen implementieren: Automatische Prüfungen in der Buchhaltungssoftware können helfen, ungewöhnliche Bankverbindungen zu erkennen. - Schulung der Beschäftigten: Regelmäßige Sensibilisierung für Phishing und Betrugsmethoden reduziert das Risiko erheblich.
2. Schutz für Rechnungssteller
- Sichere E-Mail-Infrastruktur: Der Versand von Rechnungen sollte mindestens mit TLS 1.3 erfolgen, besser noch mit Ende-zu-Ende-Verschlüsselung.
- Rechnungsportale nutzen: Anstatt Rechnungen per E-Mail zu versenden, können Unternehmen Rechnungen über ein sicheres Portal bereitstellen.
- Digitale Signaturen einsetzen: Eine qualifizierte elektronische Signatur hilft, die Authentizität von Rechnungen zu bestätigen.
Multi-Faktor-Authentifizierung (MFA) und sichere Passwörter: Einfache, aber effektive Maßnahmen, um den Zugriff auf E-Mail-Konten zu schützen.
Fazit: Cyberrisiken ernst nehmen – jetzt handeln!
Invoice Fraud ist eine wachsende Bedrohung für Unternehmen. Besonders KMU sind gefährdet, weil ihnen oft die Ressourcen für umfassende Sicherheitsmaßnahmen fehlen. Doch mit den richtigen Vorkehrungen lassen sich viele Betrugsfälle verhindern.
Nutzen Sie die Gelegenheit und lassen Sie Ihr Unternehmen auf Schwachstellen prüfen!
Jetzt den Cyberrisiko-Check buchen und Ihr Unternehmen schützen!
