Phishing-Betrug mit Kontowechsel: Zahlungspflichtiges Unternehmen trägt den Verlust

Der Kontowechsel-Betrug: 30.000 €, die niemand zahlen will

Ein spanisches Unternehmen erbringt Dienstleistungen für einen Kunden in Marokko. Die Arbeit ist abgeschlossen, die Rechnung wird per E-Mail verschickt, und Wochen später geht ein Überweisungsbeleg ein. Das Geld kommt nie an. Das Zielkonto gehört nicht dem Unternehmen: Es liegt bei derselben Bank, läuft aber auf einen anderen Kontoinhaber und wurde einen Tag nach dem Zahlungseingang geschlossen. Als das Unternehmen beim Kunden nachfragt, leitet dieser eine E-Mail weiter, die offenbar vom spanischen Lieferanten stammte und eine Änderung der Kontonummer ankündigte. Die Domain war bis auf die Endung identisch. Der Fall, der 30.000 Euro übersteigt, ist angezeigt und wirft zwei unbequeme Fragen auf: Wer wurde gehackt? Und wer muss den Verlust tragen?

Die Diskussion, die sich über mehrere Tage im Forum zieht, hat sich von dem anfänglichen Verdacht eines Hacks hin zur Analyse der Täuschungstechniken entwickelt. Was als Einzelfall begann, hat sich zu einem bekannten Muster entwickelt: Betrug durch gefälschte Kontodaten (Business Email Compromise, BEC), der Gemeinden, Unternehmen und Selbstständige getroffen hat.

Das Vorgehen: E-Mail-Fälschung und Weiterleitungskonten

Der Betrug erfordert keine großen technischen Kenntnisse. Es genügt, eine Domain zu registrieren, die der des getäuschten Unternehmens ähnelt — ein Buchstabe geändert, ein Bindestrich ergänzt — und eine E-Mail an den Zahler zu schicken. In diesem Fall gab die gefälschte E-Mail den Namen des Absenders, die Schriftart und die Adresse wieder, nur die Endung nicht. Der Zahler, vertraut durch jahrelange Geschäftsbeziehung, überprüfte die Änderung nicht über einen anderen Kanal. Das Empfängerkonto wurde persönlich bei einer spanischen Bank eröffnet, derselben wie die des Lieferanten, und einen Tag nach dem Zahlungseingang wieder geschlossen.

Die detaillierteren Analysen deuten darauf hin, dass der Angreifer möglicherweise wochenlang Zugang zum E-Mail-Konto einer der Parteien hatte. „Jemand von innen hat die Infos weitergegeben“, hält ein Teilnehmer fest und bringt die Möglichkeit eines Keyloggers oder Trojaners auf dem Rechner des Buchhalters ins Spiel. Ein anderer fügt hinzu, es könne sich auch um eine stille Weiterleitung im Hosting handeln: Alle eingehenden E-Mails werden an eine andere Adresse umgeleitet, ohne dass der Nutzer es bemerkt. Das wahrscheinlichste Opfer sei, so mehrere Stimmen, das Lieferantenunternehmen, denn der Angreifer kannte den genauen Zeitpunkt des Rechnungsversands und die Kundendaten.

Einigkeit herrscht jedoch nicht. Eine Richtung vertritt die Auffassung, der Zahler selbst könnte die gefälschte E-Mail verschickt haben, um das Geld auf ein eigenes Konto umzuleiten. Eine andere spekuliert über eine Absprache zwischen beiden Unternehmen, um eine Versicherungszahlung zu kassieren. Und eine dritte, einfachere These zielt auf einen unzufriedenen Mitarbeiter des zahlenden Unternehmens, der die Einzelheiten des Vorgangs kannte. Die polizeilichen Ermittlungen laufen weiter.

Wer trägt den Verlust? Die rechtliche und geschäftliche Debatte

Die entscheidende Frage ist, wer den Schaden tragen muss. Die Mehrheitsmeinung ist klar: Betrogen wurde der Zahler, der das Geld ohne Überprüfung der Echtheit der Anweisung auf ein falsches Konto überwiesen hat. „Wer die Überweisung gemacht hat, hätte sich vergewissern müssen. Nicht mal die Domain stimmt überein“, fasst ein Beteiligter zusammen. Aus dieser Sicht hat der Lieferant Anspruch auf Zahlung für die erbrachten Leistungen; der Zahler muss seinen Fehler verantworten und allenfalls versuchen, das Geld auf strafrechtlichem Weg zurückzuholen.

Andere relativieren. Manche argumentieren, die Verantwortung sei geteilt, wenn nachgewiesen wird, dass der Lieferant gehackt wurde und das Risiko nicht rechtzeitig gemeldet hat. In der Praxis haben viele Lieferanten Verluste übernommen, um Kunden nicht zu verlieren, wie ein ähnlicher Fall in Galicien zeigt. Die Diskussion hat sich auch der Verantwortung der Banken zugewandt: Wie kann es sein, dass eine Überweisung von mehr als 30.000 Euro auf ein Konto mit anderem Inhaber bei derselben Bank keinen Alarm auslöst? „Ich kann nicht nachvollziehen, dass man für eine Überweisung den Namen des Empfängers angeben muss und das Geld dann auf ein Konto eines anderen Inhabers geht, ohne dass irgendein Alarm ausgelöst wird“, beschwert sich der ursprüngliche Fragesteller.

Tatsächlich prüfen Banken bei Inlandsüberweisungen nicht immer, ob der Name des Empfängers mit dem Kontoinhaber übereinstimmt. Bei internationalen SWIFT-Überweisungen sind die Vorschriften strenger, doch Experten weisen darauf hin, dass die Prüfung nicht automatisch erfolgt. Die empfangende Bank schreibt die Beträge dem angegebenen Konto gut, und nur bei eindeutigem Verdacht wird die Transaktion zurückgebucht.

Das Ende: keine Zahlung, Prozess in Marokko

Am Ende verweigerte der marokkanische Kunde die Zahlung. Nach mehreren Gesprächen und freundlichen Worten teilte er mit, er werde das Geld nicht erneut überweisen und warte auf einen Prozess, der voraussichtlich in Marokko stattfinden wird. Das spanische Unternehmen bleibt auf einer unbezahlten Rechnung sitzen und hat kaum Chancen, den Betrag zurückzubekommen. Der ursprüngliche Fragesteller, der dieses Ende vorhergesehen hatte, bedauert, dass sein Kunde — fast ein Freund — sowohl das Geld als auch die Geschäftsbeziehung verloren hat.

Der Fall ist kein Einzelfall. In den letzten Jahren wurden identische Betrügereien gegen Gemeinden, Dienstleistungsunternehmen und Lieferanten aller Art dokumentiert. Die einhellige Empfehlung lautet, jede Änderung von Bankverbindungen über einen alternativen Kanal — ein Telefonanruf, eine Bankbescheinigung — zu überprüfen, bevor die Zahlung geleistet wird. Digitale Signaturen und E-Mail-Verschlüsselung würden helfen, doch sie sind noch wenig verbreitet. Unterdissen nutzen die Betrüger weiter das schwächste Glied aus: das Vertrauen.