Ein Lieferant, mit dem du seit fünf Jahren arbeitest, schickt eine Rechnung wie jeden Monat. Dieselbe E-Mail-Adresse, dieselbe Signatur, derselbe Ton. Nur die Kontonummer im Text der Nachricht ist anders — „bitte auf das neue Konto überweisen, das alte wird geschlossen". Die Überweisung geht am Freitagnachmittag raus. Am Montag ruft der echte Lieferant an und fragt, wann bezahlt wird. Dann erst merkt ihr, dass das Geld an jemand ganz anderen gegangen ist.
Das ist kein hypothetisches Szenario. Es ist heute die teuerste Angriffsart auf KMU, „Business Email Compromise" — und anders als beim Phishing mit schiefem Bank-Logo sieht hier nichts verdächtig aus. Bei einem unserer Kunden, einem 30-köpfigen Bausubunternehmer aus Schlesien, kostete eine einzige solche Überweisung 187.000 PLN. Zurückgeholt wurden 62.000 PLN — nach Monaten Korrespondenz mit Banken und Polizei. Der Rest war weg.
Dieser Beitrag geht nicht darum, „die Leute zur Wachsamkeit zu schulen". Wachsamkeit skaliert nicht. Er geht darum, wie du ein einfaches Verfahren aufsetzt, das selbst eine müde Buchhalterin am Freitagnachmittag daran hindert, Geld auf das falsche Konto zu schicken.
Anatomie des Angriffs
Die aktuelle Version dieses Betrugs läuft meist so ab. Der Angreifer bricht in das Postfach deines Lieferanten ein — meistens über ein gestohlenes Passwort oder Phishing, ohne MFA. Ein paar Wochen lang liest er nur mit. Er lernt, wie der Lieferant schreibt, wie er E-Mails unterzeichnet, wann Rechnungen rausgehen, wer sie bei euch freigibt. Er weiß schon, dass die Rechnung am 25. an Anna in der Buchhaltung geht und dass Anna nicht zurückruft — sie bucht einfach.
Wenn der Moment kommt, schickt der Angreifer eine echte Rechnung aus dem echten Postfach — mit einer Änderung: der Bankverbindung. Mal im E-Mail-Text getauscht, mal im PDF. Manchmal kommt eine Woche vorher noch eine höfliche „Ankündigung" — „wir informieren Sie über einen Wechsel der Bankverbindung" — auf Firmenpapier, mit einem gescannten Unterschrift des Geschäftsführers. Die Rechnung mit dem neuen Konto wirkt danach völlig natürlich.
Keine verdächtige Domain. Kein komischer Anhang. SPF, DKIM, DMARC — alles grün, weil die Mail wirklich vom Server des Lieferanten kommt. Anti-Phishing-Filter schlagen nicht an. Deshalb funktioniert der Angriff so gut: technisch ist alles in Ordnung, nur die Wirklichkeit wurde ausgetauscht.
Warum KMU-Prozesse hier versagen
In einem großen Konzern läuft die Änderung von Zahlungsdaten eines Lieferanten über Einkauf, Prüfung im Kreditorenstamm und Freigabe durch den Vorgesetzten. In einem KMU mit 20–40 Personen fehlt diese Kette meistens. Die Rechnung geht per Mail an die Buchhaltung, die Buchhaltung bucht, der Geschäftsführer unterschreibt die Überweisung im Online-Banking — oft ohne auf die Kontonummer zu schauen, weil „das ist von Nowak, wir zahlen ihm seit fünf Jahren".
Drei Annahmen, die in der Praxis kippen:
- „Ich erkenne ihn an der E-Mail-Adresse" — der Angreifer schreibt von genau dieser Adresse, weil er Zugriff auf das Postfach hat.
- „Wenn was nicht stimmt, ruft der Lieferant an" — tut er nicht, denn aus seiner Sicht ist alles in Ordnung, die Rechnung wurde ganz normal verschickt.
- „Die Bank blockt schon eine verdächtige Überweisung" — tut sie nicht. Eine Inlandsüberweisung in einer Höhe, die zu eurer Historie passt, wirkt für die Bank nicht verdächtig.
Es fehlt euch kein „Erkennungstool". Es fehlt ein einziger Schritt im Prozess: die unabhängige Verifikation der geänderten Bankverbindung über einen anderen Kanal als die E-Mail, in der sie ankam.
Das „Callback"-Verfahren: eine Regel für die Richtlinie
Die einzige Regel, die funktioniert und die der Angreifer nicht umgehen kann, lautet: jede Änderung der Bankverbindung eines Lieferanten muss telefonisch bestätigt werden — mit einer Nummer aus dem Kreditorenstamm im ERP, nicht aus der Signatur der Mail.
Für ein Unternehmen mit 20–50 Personen sieht das praktisch so aus:
- Die Person, die die Rechnung erfasst, vergleicht die Kontonummer mit der im Lieferantenstamm im ERP (Comarch Optima, Subiekt, enova365 — egal welches).
- Weicht die Nummer ab: die Überweisung wird bis zur Verifikation angehalten.
- Verifikation ist ein Anruf beim Lieferanten unter der Nummer aus eurem CRM/ERP — nie aus der Mail, nie aus dem „Schreiben zur Kontoänderung". Gespräch mit einer konkreten Kontaktperson, nicht mit einer allgemeinen Zentrale.
- Nach Bestätigung: Änderung der Kontonummer im Lieferantenstamm mit kurzem Vermerk („Änderung telefonisch bestätigt am 12.09.2026 durch Herrn Kowalski, +48 xxx xxx xxx").
- Erst jetzt geht die Überweisung raus.
Dazu zwei unterstützende Mechanismen:
- Prüfung der VAT-Whitelist im ERP — automatische Kontrolle, ob das neue Konto auf der offiziellen Liste eingetragen ist. Ist es das nicht, geht die Überweisung entweder auf das alte Konto oder wartet auf Bestätigung. Comarch Optima, enova365 und Subiekt können das seit Jahren, man muss es nur einschalten.
- Betragsschwellen mit Vier-Augen-Prinzip — für Überweisungen über z. B. 20.000 PLN: zwei Unterschriften im Online-Banking. Kostet nichts und schneidet die meisten Angriffe ab, weil eine zweite Person andere Dinge sieht als die erste.
Das ist alles. Kein SOC, kein EDR, kein teures „Anti-BEC-Tool". Ein Satz in der Richtlinie und ein Feld „Bankverbindung telefonisch bestätigt durch" im Lieferantenstamm.
Die ersten 30 Minuten nach Entdeckung
Angenommen, die Überweisung ist doch rausgegangen. Jede Minute zählt — buchstäblich. Das Geld landet meist auf einem „Mule"-Konto und wird binnen Stunden abgehoben oder weitergeleitet. Reihenfolge der Schritte:
- Ruf die Firmen-Hotline deiner Bank an und beantrage einen „Recall" der Überweisung. Notiere die Vorgangsnummer. Für SEPA und Inland sinkt die Chance mit jeder Stunde — nach 24 Stunden ist sie einstellig.
- Kontaktier die Bank des Empfängers (steht in der Überweisungsbestätigung) — direkt, mit der Bitte, die Mittel auf dem Konto einzufrieren.
- Meld die Sache bei der Polizei — die diensthabende Staatsanwaltschaft kann eine Sicherstellung schneller anordnen als in einem Routinefall. Notiere die Aktennummer.
- Meld den Vorfall an CSIRT NASK (incydent.cert.pl) — auch wenn es „nur" um Geld geht, wird der Fall mit anderen Meldungen verknüpft und kann helfen, die Kampagne insgesamt zu tracken.
- Informier den echten Lieferanten — sein Postfach ist kompromittiert, jeder andere Kunde ist gefährdet. Kein angenehmer Anruf, aber notwendig.
- Wechsel Passwörter in euren eigenen Buchhaltungs- und Geschäftsleitungs-Postfächern und schalt MFA überall dort ein, wo es noch fehlt. Wenn der Angreifer euren Lieferanten erreicht hat, kann er auch euch erreichen.
Bei dem schlesischen Unternehmen wurde durch den schnellen Recall und die Anzeige binnen 3 Stunden ein Teil der Mittel auf dem Mule-Konto eingefroren, bevor sie abgehoben wurden. Der Rest war schon im Ausland und weg. Ohne diese erste Stunde wären auch die zurückgeholten 62.000 PLN nicht zurückgekommen.
Eine kurze Checkliste für diese Woche
Ihr braucht kein Quartalsprojekt, um dieses Risiko zu schließen. In einer Woche schafft man das Minimum:
- Callback-Verfahren in die interne Richtlinie schreiben — ein Absatz, von der Geschäftsleitung unterzeichnet.
- Im ERP die Telefonnummern der 10 größten Lieferanten ergänzen (falls sie fehlen).
- VAT-Whitelist-Prüfung für Inlandsüberweisungen aktivieren — bei Comarch Optima oder enova365 ist es eine Checkbox.
- Zweite Freigabe für Überweisungen über einer Schwelle einführen — Betrag mit der Geschäftsleitung abstimmen, typisch 10–20k PLN für Firmen mit 20–50 Personen.
- MFA in den Buchhaltungs- und Geschäftsleitungs-Postfächern aktivieren (falls noch nicht) — das schließt den Weg, den die Angreifer gegen euren Lieferanten genommen haben.
- Ein 15-Minuten-Termin mit der Buchhaltung, in dem ihr ein echtes Mail-Beispiel zeigt und sagt: „ab heute — jede Kontoänderung: Anruf mit Nummer aus dem ERP, nicht aus der Mail".
Das sind ein paar Arbeitsstunden. Eine einzige nicht ausgeführte Überweisung an einen Betrüger zahlt diesen Aufwand im Jahr vielfach zurück.
Wie geht es weiter
Zahlungsangriffe auf Lieferantenbeziehungen sind kein Problem, das vom Markt verschwindet — im Gegenteil, in den letzten zwei Jahren haben sie deutlich zugenommen. Angreifer haben verstanden, dass KMU genug Zahlungsvolumen haben, um bei einer einzigen Überweisung hunderttausende zu verlieren, und Prozesse einfach genug, damit der Angriff durchgeht.
Wenn ihr prüfen wollt, wie euer Zahlungsprozess aussieht und wo die Lücken sind — statt zu warten, bis sich ein falscher „Nowak" meldet — lasst jemand von außen draufschauen. Das erste Gespräch ist kostenlos und dauert eine halbe Stunde.
Wachsamkeit skaliert nicht. Was skaliert, ist ein einziges Feld im Lieferantenstamm: „Bankverbindung telefonisch bestätigt durch".