Ausgetauschte Kontonummer auf der Rechnung: Firma und Kundschaft schützen

Bei der Buchhaltung geht eine E-Mail des Stammlieferanten ein: dieselbe Adresse, dieselbe Signatur, oft sogar derselbe Verlauf wie sonst. Im Text steht eine kurze Mitteilung: „Wir haben die Bank gewechselt, bitte überweisen Sie auf die neue Kontonummer“, im Anhang eine Rechnung, die aussieht wie alle früheren. Die Überweisung geht raus. Nach zwei Wochen ruft der Lieferant an und fragt, wann die offene Rechnung bezahlt wird.

Das ist kein seltenes Szenario. Im August 2026 hat das Centralne Biuro Zwalczania Cyberprzestępczości (CBZC, das polnische Zentralbüro zur Bekämpfung der Cyberkriminalität) die Festnahme von vier Personen gemeldet, die verdächtigt werden, einer Gruppe anzugehören, die Firmenpostfächer übernahm und Kontonummern auf Rechnungen austauschte. Laut CBZC überstiegen die Schäden 4 Mio. PLN. In diesem Ratgeber zeige ich, wie Sie eine ausgetauschte Kontonummer auf der Rechnung erkennen, wie Sie sie in 2 Minuten prüfen, wie Sie Ihre eigene E-Mail absichern, damit niemand Ihre Kundschaft in Ihrem Namen betrügt, und was in der ersten Stunde zu tun ist, wenn das Geld bereits abgeflossen ist. Dies ist keine Rechts- und keine Steuerberatung. Die Vorschriften beschreibe ich mit Stand 24. Oktober 2026; bei steuerlichen Folgen und bei Streit mit einem Geschäftspartner sprechen Sie bitte mit Ihrer Buchhaltung oder einer Rechtsberatung.

So funktioniert der Betrug mit der „neuen Kontonummer“

Es gibt drei Hauptszenarien:

1. Übernommenes Postfach des Lieferanten oder Ihr eigenes. Die Täter erlangen das Passwort, z. B. über eine gefälschte Anmeldeseite, und lesen mehrere Wochen lang die Korrespondenz mit. Im passenden Moment senden sie von der echten Adresse eine Rechnung mit ausgetauschter Kontonummer, oft in einem bestehenden Verlauf. Regeln im Postfach verbergen oder löschen Antworten, sodass im Postfach nichts auffällt.
2. Täuschend ähnliche Domain. Die E-Mail kommt von einer Adresse, die sich in einem Zeichen unterscheidet, z. B. buero@beisp1el.pl statt buero@beispiel.pl. Auf dem Smartphone sieht man meist nur den Namen des Absenders, daher bemerkt den Unterschied niemand.
3. Gefälschter Absender. Hat die Domain der Firma kein korrekt eingerichtetes DMARC, können Betrüger eine E-Mail senden, in der das Feld „Von“ genau wie die echte Adresse aussieht.

Der gemeinsame Nenner sind Vorwand und Eile: „Bankwechsel“, „Audit“, „Konto vorübergehend gesperrt“, „ich bin im Urlaub, bitte nicht anrufen“. Jeder dieser Sätze ist ein Signal, langsamer zu werden.

Verlassen Sie sich nicht darauf, dass die Bank das für Sie auffängt. Bei einer Überweisung in Złoty zählt die Kontonummer und nicht der Name des Empfängers (Art. 143 des Zahlungsdienstegesetzes, ustawa o usługach płatniczych). Die Empfängerüberprüfung (Verification of Payee, VoP), also der Abgleich, ob der Empfängername zur Kontonummer passt, soll Złoty-Überweisungen ab dem 9. Juli 2027 erfassen. Stand 24. Oktober 2026 ist das jedoch weiterhin ein Gesetzentwurf des Finanzministeriums vom Juni 2026. Selbst nach der Änderung warnt die Bank nur vor einer Abweichung, und die Entscheidung über die Überweisung bleibt bei Ihnen.

Weiße Liste der MwSt.-Pflichtigen: Prüfung in 2 Minuten

Die Suchmaschine der Weißen Liste (polnisch biała lista), also des amtlichen Verzeichnisses der MwSt.-Pflichtigen (Wykaz podatników VAT), ist kostenlos und funktioniert ohne Anmeldung: wykazpodatnikowvat.mf.gov.pl. Sie suchen dort nach der NIP (der polnischen Steuernummer), der REGON (der Statistiknummer des Unternehmens) oder der Kontonummer.

So prüfen Sie die „neue Nummer“:

1. Geben Sie die NIP des Lieferanten aus dem Vertrag oder aus einer früheren Rechnung ein, nicht aus der E-Mail mit der Bitte um Änderung.
2. Vergleichen Sie die Konten aus dem Verzeichnis mit der Nummer auf der neuen Rechnung. Prüfen Sie alle 26 Ziffern, nicht nur Anfang und Ende.
3. Geben Sie auch die neue Kontonummer selbst ein. Gehört sie einer Firma aus dem Verzeichnis, zeigt die Suchmaschine, welcher.
4. Speichern Sie die Bestätigung mit der Abfragekennung und legen Sie sie zu den Unterlagen der Überweisung.

Eine fehlende Nummer im Verzeichnis bedeutet nicht immer Betrug: Der Lieferant hat das neue Konto womöglich noch nicht beim Finanzamt gemeldet. Eines bedeutet sie aber immer: Sie zahlen nicht, bevor die Sache telefonisch geklärt ist. Das Verzeichnis betrifft Firmen, die in Polen für die MwSt. registriert sind, bei einem Lieferanten aus dem Ausland bleibt Ihnen also der Anruf.

Schwelle von 15.000 PLN und steuerliche Folgen

Die Weiße Liste ist auch eine steuerliche Pflicht. Begleichen Sie eine Rechnung eines aktiven MwSt.-Pflichtigen und übersteigt der einmalige Wert der Transaktion 15.000 PLN (unabhängig davon, in wie viele Überweisungen Sie ihn aufteilen), bedeutet eine Überweisung auf ein Konto außerhalb des Verzeichnisses:

• Sie können diese Zahlung nicht zu den steuerlich abzugsfähigen Betriebsausgaben zählen (Art. 22p des polnischen Einkommensteuergesetzes – ustawa o PIT – und Art. 15d des Körperschaftsteuergesetzes – ustawa o CIT),
• Sie haften gesamtschuldnerisch mit dem Lieferanten für dessen nicht gezahlte MwSt. aus dieser Transaktion (Art. 117ba der Abgabenordnung, Ordynacja podatkowa).

Diese Folgen vermeiden Sie, wenn Sie innerhalb von 7 Tagen nach Erteilung des Überweisungsauftrags die Mitteilung ZAW-NR über das e-Urząd Skarbowy (das elektronische Finanzamt) bei Ihrem Finanzamt einreichen. Sind die Gelder bei den Betrügern gelandet, fragen Sie sofort Ihre Buchhaltung, ob sich die Einreichung in Ihrer Situation lohnt. Die Frist läuft ab dem Tag der Erteilung des Überweisungsauftrags und nicht ab dem Tag, an dem der Betrug aufflog.

Anruf unter der Nummer, die Sie schon kennen

Die Weiße Liste prüft die Nummer, aber nicht den Menschen. Der wirksamste Schutz ist einfach: Jede Änderung der Kontonummer bestätigen Sie telefonisch unter einer zuvor bekannten Nummer: aus dem Vertrag, aus dem Stammsatz im Rechnungsprogramm oder von der Website des Lieferanten, die Sie von Hand in den Browser eingeben. Niemals aus der E-Mail mit der Bitte um Änderung oder aus deren Signatur, denn Betrüger, die das Postfach übernommen haben, tauschen auch die Telefonnummer in der Signatur aus.

Regeln für das Gespräch:

• Sie rufen eine Person an, die Sie kennen, und nicht eine „neue Person aus der Finanzabteilung“,
• Sie lesen die Nummer nicht selbst vor, sondern bitten Ihr Gegenüber, die neue Nummer vorzulesen, und vergleichen sie mit der Rechnung,
• eine Testüberweisung über 1 PLN beweist nichts: Auch Betrüger bestätigen, dass das Geld angekommen ist.

Auch KSeF hilft. 2026 läuft der Großteil der Rechnungen zwischen polnischen Firmen über das Krajowy System e-Faktur (KSeF, das polnische nationale E-Rechnungssystem), und die Kontonummer kann Teil der Rechnung sein. Eine Rechnung in KSeF stellt das Programm des Lieferanten aus und nicht ein E-Mail-Postfach, daher ändert ein ausgetauschtes PDF in der E-Mail sie nicht. Eine andere Nummer in KSeF als in der E-Mail ist ein starkes Warnsignal.

Ablauf „Änderung der Kontonummer“ für die Buchhaltung auf einer Seite

Die Regel funktioniert nur, wenn sie aufgeschrieben ist und für alle gilt, auch für die Firmenleitung. Unten steht die Version zum Ausdrucken für die Person, die Überweisungen ausführt.

Ablauf: Änderung der Kontonummer eines Geschäftspartners

1. Sie ändern keine Kontonummer aufgrund einer E-Mail, SMS oder eines PDFs. Jede Bitte um Änderung, auch „vom Chef“, durchläuft die vollständige Prüfung.
2. Sie prüfen die NIP des Geschäftspartners in der Weißen Liste (NIP aus dem Vertrag oder Stammsatz) und speichern die Abfragekennung.
3. Sie rufen unter der Nummer aus dem Vertrag oder dem Stammsatz an. Ihr Gegenüber liest die neue Nummer vor, Sie vergleichen. Sie notieren den Namen der Gesprächsperson, Datum und Uhrzeit.
4. Eine zweite Person gibt die Änderung im Stammsatz frei. Dieselbe Person erfasst und genehmigt eine neue Nummer nie.
5. Sie zahlen aus der Liste der in der Bank gespeicherten Empfänger und nicht, indem Sie die Nummer aus dem PDF einfügen. Einen neuen Empfänger legen Sie erst nach den Schritten 2–4 an.
6. Eile heißt Stopp. Eine Bitte „dringend, heute, ohne Anruf“ geht vor der Überweisung an die Firmenleitung.
7. Ab 15.000 PLN zahlen Sie nur auf ein Konto aus der Weißen Liste. Ausnahmen klären Sie mit der Buchhaltung ab (ZAW-NR innerhalb von 7 Tagen).

Änderungskarte der Kontonummer (bei jeder Änderung ausfüllen):

Postfach und Domain absichern, um die Kundschaft zu schützen

Betrüger können sich auch als Ihre Firma ausgeben und Ihrer Kundschaft eine „neue Kontonummer“ schicken. Dann verlieren diese Personen Geld, und Sie die Zahlung und das Vertrauen. Drei Dinge prüfe ich zuerst:

1. Zwei-Faktor-Authentifizierung (2FA) für jedes Postfach, auch für Buchhaltung, Büro und die Konten ehemaliger Beschäftigter. Am besten per Authenticator-App oder Hardware-Schlüssel, per SMS nur, wenn es keine andere Option gibt. Ein gestohlenes Passwort reicht dann nicht mehr aus.
2. Regeln und Weiterleitungen im Postfach. Prüfen Sie, ob jemand Regeln angelegt hat, die E-Mails mit den Wörtern „Rechnung“ oder „Überweisung“ in den Papierkorb verschieben oder an eine fremde Adresse weiterleiten. So verbergen Betrüger die Antworten der Geschäftspartner.
3. SPF, DKIM und DMARC für die Firmendomain. DMARC im Modus quarantine oder reject sorgt dafür, dass eine auf Ihre Adresse gefälschte E-Mail im Spam landet oder gar nicht ankommt. Wie Sie das Schritt für Schritt einrichten, habe ich im Ratgeber Firmen-E-Mails landen im Spam? SPF, DKIM und DMARC Schritt für Schritt beschrieben. Den Stand Ihrer Domain prüfen Sie kostenlos im Tool Website prüfen.

Ehrlich zu den Grenzen: DMARC schützt weder vor einer täuschend ähnlichen Domain noch vor einem übernommenen Postfach, denn dann besteht die E-Mail alle Tests. Deshalb sind alle drei Schutzmaßnahmen und eine klare Information an die Kundschaft nötig. Ein fertiger Text für die E-Mail-Signatur, die Rechnung und die Kontaktseite:

Wir ändern unsere Kontonummer nicht per E-Mail. Falls Sie die Bitte erhalten, auf eine neue Kontonummer zu zahlen, überweisen Sie bitte nicht, sondern rufen Sie uns unter [Telefonnummer] an (Nummer von der Seite [Adresse der Website]). Unser Konto können Sie in der polnischen Weißen Liste der MwSt.-Pflichtigen anhand der NIP [NIP] prüfen.

Plan für die ersten 60 Minuten nach der Überweisung

Es kommt auf die Zeit an, denn Betrüger leiten das Geld schnell weiter oder heben es an Geldautomaten ab.

Minuten 0–10: Bank

• Rufen Sie die Hotline Ihrer Bank an (Nummer von der Karte oder von der Website der Bank, nicht aus der E-Mail) und sagen Sie es direkt: „Die Überweisung ging an das Konto von Betrügern. Bitte sofort anhalten und die Empfängerbank kontaktieren.“
• Eine normale Überweisung an eine andere Bank wird im Laufe des Tages in Verrechnungsläufen ausgeführt, daher lässt sie sich manchmal noch anhalten. Eine Sofortüberweisung kommt in Sekunden an, dann bleibt nur noch die Bitte an die Empfängerbank, die Gelder zurückzuhalten.
• Notieren Sie die Vorgangsnummer, die Uhrzeit und den Namen Ihrer Ansprechperson.

Minuten 10–25: Lieferant und Ihr Postfach

• Rufen Sie den echten Lieferanten unter der bekannten Nummer an. Sein Postfach kann übernommen sein, und dann schreiben die Täter auch an andere Kundschaft.
• Falls das Leck auf Ihrer Seite gelegen haben kann, ändern Sie das Passwort Ihres Postfachs von einem anderen Gerät aus, melden Sie alle Sitzungen ab, aktivieren Sie 2FA und löschen Sie fremde Regeln.

Minuten 25–40: Beweise

• Löschen Sie keine E-Mails. Speichern Sie die Nachricht mit vollständigen Headern (in Gmail die Option „Original anzeigen“), das Rechnungs-PDF, die Überweisungsbestätigung und das Ergebnis aus der Weißen Liste.

Minuten 40–60: Meldungen

• Melden Sie den Vorfall bei CERT Polska über das Formular incydent.cert.pl. Fügen Sie Absenderadresse, Header und die Kontonummer der Betrüger bei.
• Erstatten Sie Anzeige bei der Polizei, am besten noch am selben Tag, mit Ausdrucken und der Vorgangsnummer der Bank. Die Nummer des Verfahrens geben Sie an Ihre Bank weiter. Die Bank, bei der die Betrüger ihr Konto haben, kann verdächtige Gelder selbst höchstens 72 Stunden sperren; über eine längere Sperre entscheidet die Staatsanwaltschaft (Art. 106a des Bankrechts, Prawo bankowe).

Nach der ersten Stunde

• Buchhaltung: ZAW-NR (7 Tage ab Erteilung des Überweisungsauftrags) und Verbuchung des Schadens.
• Rechtsberatung: Eine Überweisung an Betrüger befreit in der Regel nicht von der Schuld gegenüber dem Lieferanten (Art. 452 des Zivilgesetzbuchs, Kodeks cywilny), doch bei einem Einbruch in das Postfach des Lieferanten ist die Lage mitunter umstritten.
• Versicherung, falls Sie eine Cyberrisiko-Police haben.
• Kundschaft: Wenn Ihr Postfach übernommen war, warnen Sie sie telefonisch oder per SMS und nicht aus demselben Postfach.

Zusammenfassung

Eine ausgetauschte Kontonummer auf der Rechnung ist ein Vertrauensbetrug: Eine einzige E-Mail im richtigen Moment genügt. Sie schützen sich mit einer einfachen Regel: keine Änderung der Kontonummer ohne Prüfung in der Weißen Liste und ohne Anruf unter einer bekannten Nummer, und auf Seiten der Firma 2FA für die E-Mail und DMARC für die Domain. Drucken Sie den Ablauf aus diesem Ratgeber aus und geben Sie ihn der Person, die Überweisungen ausführt.

Soll ich die Sicherheit Ihrer E-Mail und Ihrer Website prüfen, bestellen Sie ein Sicherheitsaudit ab 990 PLN netto. Domain und Firmen-E-Mail mit eingerichtetem SPF, DKIM und DMARC bereite ich ab 390 PLN netto pro Jahr vor. Schreiben Sie mir: Ich antworte innerhalb von 24 Stunden, und wer zum ersten Mal mit mir arbeitet, erhält 20 % Rabatt auf den ersten Auftrag (der Rabatt gilt nicht für Domain und Hosting).