Rechnung mit gefälschter IBAN: Wer haftet bei umgeleiteten Zahlungen?

Wenn Betrüger eine echte Rechnung abfangen und die IBAN austauschen, zahlt der Auftraggeber – und weiß es nicht: Die Rechtslage zur Haftung bei gefälschter IBAN auf Rechnungen ist komplex.

Der Angriff funktioniert erschreckend einfach: Betrüger verschaffen sich Zugriff auf E-Mail-Konten oder Kommunikationsserver, fangen eine legitime Rechnung ab und ersetzen dort die Bankverbindung durch ihre eigene IBAN. Das Opfer bezahlt – und glaubt, korrekt zu handeln. Der eigentliche Gläubiger sieht kein Geld. Dieses Muster – bekannt als IBAN-Manipulation oder Business Email Compromise (BEC) – verursacht weltweit Milliardenschäden.

Die Frage nach der Rechnung gefälschte IBAN Haftung ist komplex: Muss der Zahler noch einmal zahlen? Kann er von der Bank das Geld zurückfordern? Haftet der Gläubiger, wenn sein E-Mail-Konto kompromittiert wurde? Die Antworten hängen davon ab, wo im Übertragungsweg der Fehler lag – und welche Sorgfaltspflichten welche Partei verletzt hat.

Dieser Beitrag erklärt die zivilrechtliche Risikoverteilung, wann Banken nach § 675u BGB haften, welche strafrechtlichen Wege zur Verfügung stehen und wie Betroffene am schnellsten vorgehen sollten. Ergänzend bietet der Beitrag zu Bankbetrug und BGH-Haftung eine Gesamtschau zur bankrechtsrechtlichen Verantwortlichkeit.

Wie IBAN-Manipulation auf Rechnungen funktioniert

IBAN-Betrug auf Rechnungen folgt einem klaren Muster: Täter kompromittieren entweder das E-Mail-Konto des Rechnungsstellers oder des Empfängers, fangen eine bereits versendete Rechnung ab und ersetzen die darin enthaltene IBAN durch eine eigene Zielkonto-Nummer. Die manipulierte Rechnung wirkt auf den ersten Blick authentisch – Briefkopf, Rechnungsnummer und Betrag stimmen.

Besonders tückisch: Oft geht dem Angriff eine Beobachtungsphase voraus. Täter lesen E-Mail-Verläufe mit, um den richtigen Zeitpunkt abzupassen – kurz vor einem erwarteten Zahlungstermin. Dann schlagen sie zu. Der Auftraggeber zahlt fristgerecht und hat keine Ahnung, dass das Geld auf ein Betrügerkonto fließt. Wie IBAN-Namens-Abgleich-Betrug abläuft, zeigt ein verwandter Beitrag.

Strafrechtlich erfüllt dieses Vorgehen primär den Tatbestand des § 263 StGB (Betrug); § 263a StGB (Computerbetrug) kann ergänzend einschlägig sein. Liegt Geldwäsche vor – etwa wenn das Geld sofort weiterbewegt wird –, kommt § 261 StGB hinzu. Eine unverzügliche Strafanzeige löst Ermittlungen aus, die den Geldfluss rückverfolgen können.

Zivilrechtliche Risikoverteilung: Wer trägt den Schaden?

Die zivilrechtliche Risikoverteilung bei der Rechnung gefälschte IBAN Haftung ist nicht im Gesetz ausdrücklich geregelt – sie ergibt sich aus allgemeinen Grundsätzen des Schuldrechts. Grundsätzlich gilt: Wer zahlt, schuldet noch keine Befreiung von der ursprünglichen Verbindlichkeit, wenn die Zahlung an einen unberechtigten Empfänger ging. Der Gläubiger kann erneut zahlen verlangen.

Maßgeblich ist § 362 BGB: Schuldbefreiend wirkt nur eine Leistung an den richtigen Gläubiger. Wer gutgläubig an die falsche IBAN gezahlt hat, trägt das Risiko daher in der Regel gegenüber seinem Gläubiger, es sei denn, dieser hat die Manipulation verursacht oder mitverursacht. Der Schuldner muss trotzdem zahlen – es sei denn, der Gläubiger hat die Manipulation verursacht oder mitverursacht.

Liegt die Ursache im Bereich des Gläubigers – etwa weil dessen E-Mail-Konto gehackt wurde oder das interne Rechnungsversandsystem kompromittiert war –, können Schadensersatzansprüche aus § 823 BGB gegen den Gläubiger entstehen. Entscheidend ist, welche Sicherheitsvorkehrungen dieser getroffen hatte und ob ein schuldhaftes Unterlassen vorliegt.

Wann haftet die Bank bei IBAN-Betrug?

Eine direkte Bankenhaftung bei Rechnung gefälschte IBAN Haftung ergibt sich aus dem Zahlungsdiensterecht nur in engen Grenzen. § 675u BGB schreibt die Erstattung nicht autorisierter Zahlungen vor. Wurde die Überweisung vom Kontoinhaber selbst autorisiert – also bewusst freigegeben –, liegt formal keine nicht autorisierte Zahlung vor. Die Bank hat den Auftrag korrekt ausgeführt.

Eine Bankenhaftung kommt jedoch in Betracht, wenn die Bank interne Warnmechanismen nicht genutzt hat: Liegt ein IBAN-Namens-Abgleich vor, der einen Widerspruch zwischen IBAN und Kontoinhaber hätte anzeigen können, und hat die Bank diesen Abgleich unterlassen, besteht eine Sorgfaltspflichtverletzung. Dasselbe gilt, wenn die Transaktion erkennbare Betrugsmerkmale aufwies – etwa ungewöhnliche Höhe oder abweichendes Muster.

Darüber hinaus kann eine Bankhaftung nach § 826 BGB entstehen, wenn die Bank trotz Hinweisen auf möglichen Betrug keine Rückfrage gehalten hat. Die aktuelle Rechtsprechung – darunter Entscheidungen zu Social-Engineering-Angriffen – entwickelt diesen Bereich dynamisch weiter. Betroffene sollten anwaltlich prüfen lassen, ob eine Bankhaftung im Einzelfall greift. Orientierung bietet der Beitrag zu starker Kundenauthentifizierung und Bankhaftung.

Sofortmaßnahmen nach Entdeckung des IBAN-Betrugs

Sobald ein IBAN-Betrug auf einer Rechnung bemerkt wird, zählt jede Stunde. Je schneller gehandelt wird, desto höher ist die Chance, die Überweisung rückzurufen – sogenannter Payment Recall – oder eine behördliche Kontosperrung zu erwirken.

• Bank sofort informieren: Einen Rückruf der Überweisung beantragen – dieser ist binnen Stunden nach der Buchung am erfolgversprechendsten.
• Belege sichern: Originale und manipulierte Rechnung, E-Mail-Header, Zahlungsbelege, Kontoauszüge.
• Strafanzeige erstatten: Bei der Polizei wegen § 263 StGB (Betrug) – ergänzend § 263a StGB (Computerbetrug) – Anzeige erstatten – die Anzeige löst Ermittlungen aus.
• Gläubiger informieren: Den Rechnungssteller über den Vorfall benachrichtigen – gemeinsam können Ermittlungen koordiniert werden.
• IT-Sicherheit prüfen: E-Mail-Konten auf Kompromittierung untersuchen, Passwörter ändern, Zwei-Faktor-Authentifizierung aktivieren.
• Anwalt einschalten: Nur mit anwaltlicher Hilfe lassen sich Haftungsansprüche gegen Gläubiger, Bank oder Täter koordiniert durchsetzen.

Rückholung des Geldes: Welche Wege bleiben?

Der schnellste Weg ist der Payment Recall: Ein formaler Rückrufantrag bei der eigenen Bank, die ihn über das SEPA-Netzwerk an die empfangende Bank weitergibt. Ist das Betrügerkonto noch nicht geleert, kann die Empfängerbank die Rückbuchung veranlassen. Die Erfolgsquote sinkt rapide mit der Zeit – nach 24 bis 48 Stunden sind die Chancen erheblich geringer.

Parallel zum Payment Recall kann über die Staatsanwaltschaft ein § 111e StPO Vermögensarrest beantragt werden. Dieser ermöglicht das gerichtliche Einfrieren des Zielkontos, bevor das Geld weiterbewegt wird. Voraussetzung ist eine vollständig gestellte Strafanzeige mit konkreten Kontoangaben. Wie dieser Prozess abläuft, zeigt der Beitrag zu Online-Banking-Betrug und Haftung.

Ist das Geld bereits transferiert, bleiben zivilrechtliche Klagen gegen Gläubiger (bei nachweisbarem Mitverschulden), gegen die Bank (bei Sorgfaltspflichtverletzung) oder gegen identifizierte Täter. Solange Täter in Deutschland oder der EU sitzen, besteht die Möglichkeit, Schadensersatz nach § 823 BGB oder § 826 BGB einzuklagen. Die Verjährung nach § 199 BGB beginnt mit Kenntnis von Schaden und Schuldner.

Prävention: Wie Unternehmen und Privatpersonen sich schützen

Das Risiko einer Rechnung gefälschte IBAN Haftung lässt sich durch technische und organisatorische Maßnahmen erheblich reduzieren. Unternehmen sollten interne Prozesse einführen, die eine telefonische Bestätigung der IBAN bei neuen oder geänderten Bankverbindungen verpflichtend machen – stets anhand einer unabhängig verifizierten Rufnummer, nicht der auf der Rechnung.

Technisch empfiehlt sich der Einsatz von E-Mail-Signierung (S/MIME oder PGP), damit Rechnungen nicht unbemerkt verändert werden können. Zwei-Faktor-Authentifizierung für alle E-Mail-Konten schließt die häufigste Einfallstür für IBAN-Manipulation. Finanzabteilungen sollten bei Überweisungen ab bestimmten Schwellenwerten ein Vier-Augen-Prinzip einführen.

Für Privatpersonen gilt: Immer die IBAN bei wiederholten Zahlungen an Auftraggeber oder Dienstleister gegenprüfen – besonders wenn eine Rechnung plötzlich eine neue Bankverbindung enthält. Ein Anruf beim Rechnungssteller vor der Überweisung kostet zwei Minuten und kann fünfstellige Verluste verhindern. Betroffene von IBAN-Betrug finden weiterführende Hilfe im Beitrag zu Cybercrime-Opfer und Hilfe.

Ansprüche und Verjährung bei IBAN-Betrug auf Rechnungen

Die Verjährung von Schadensersatzansprüchen aus der Rechnung gefälschte IBAN Haftung richtet sich nach §§ 195, 199 BGB: drei Jahre ab Kenntnis von Schaden und Schuldner, beginnend jeweils am Jahresende. Wer den Betrug erst Monate später bemerkt – etwa weil der Gläubiger die ausgebliebene Zahlung moniert –, hat dennoch mindestens drei volle Jahre Zeit, Ansprüche geltend zu machen.

Bankenrechtliche Erstattungsansprüche nach § 675u BGB unterliegen der 13-Monats-Ausschlussfrist nach § 676b Abs. 2 BGB – auch hier zählt das Buchungsdatum. Wer zu lange wartet, verliert diesen Anspruch unwiederbringlich. Die Bankenhaftung bei Social-Engineering-Angriffen und verwandten Betrugskonstellationen zeigt vergleichbare Fristen.

Ein Anwalt für Bankrecht koordiniert alle Anspruchsgrundlagen: Schadensersatz gegen den Täter, gegen die Bank bei Sorgfaltspflichtverletzung und – sofern einschlägig – gegen den Gläubiger. Dabei werden Strafanzeige, zivilrechtliche Klage und Payment-Recall-Anträge aufeinander abgestimmt. Betroffene erhalten eine Gesamtstrategie statt isolierter Einzelmaßnahmen.

Wann ein Anwalt für Bank- und Strafrecht unverzichtbar ist

IBAN-Betrug auf Rechnungen berührt Strafrecht, Bankrecht und Vertragsrecht gleichzeitig. Die Koordination dieser Rechtsgebiete erfordert Spezialwissen. Wer ohne anwaltliche Begleitung vorgeht, riskiert, einen Rückrufantrag zu spät zu stellen, die Strafanzeige unvollständig zu formulieren oder Haftungsansprüche gegen die Bank nicht rechtzeitig geltend zu machen.

Anwaltliche Hilfe ist insbesondere geboten, wenn: Der Schaden mehr als 2.000 Euro beträgt, die Bank den Rückruf ablehnt, der Gläubiger erneute Zahlung verlangt, oder die Ermittlungsbehörden im Ausland tätig werden müssen. Ein Anwalt für Bankrecht kennt die relevanten Fristen und stellt sicher, dass alle Maßnahmen koordiniert sind.

Die AK LAW Rechtsanwaltsgesellschaft mbH hat Erfahrung in der Durchsetzung von Ansprüchen bei IBAN-Manipulation und Business Email Compromise. Betroffene Unternehmen und Privatpersonen erhalten eine strukturierte Ersteinschätzung und klare Empfehlung, welche Schritte mit welcher Priorität einzuleiten sind. Ergänzende Informationen finden sich im Beitrag zu Social Engineering und Bankenhaftung.

Fazit: Rechnung gefälschte IBAN Haftung – Schnelligkeit entscheidet

Bei Rechnung gefälschte IBAN Haftung zählt jede Stunde: Payment Recall, Strafanzeige und Vermögensarrest müssen so schnell wie möglich eingeleitet werden. Die Haftungsfrage ist komplex – Zahler, Gläubiger und Bank können jeweils Mitverantwortung tragen, je nachdem, wo die Sicherheitslücke lag.

Betroffene sollten sich nicht allein auf die Bank verlassen, sondern aktiv Schritte einleiten – anwaltlich begleitet, koordiniert und mit vollständiger Dokumentation. Die Verjährungsfristen laufen unbemerkt ab. Wer handelt, hat deutlich bessere Chancen auf Rückholung des Geldes als wer wartet. Weiterführende Hilfe bietet der Beitrag zu BaFin-Warnungen und Bankenhaftung.

AK LAW Rechtsanwaltsgesellschaft mbH – Ihr Partner im Bank- und Kapitalmarktrecht

Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.

FAQs – Häufig gestellte Fragen zu Rechnung gefälschte IBAN Haftung