Gefälschte Rechnungen im Handwerk erkennen

Drei Maschen, die du kennen solltest

1. 1

   Die neue Bankverbindung: Eine Mail im Namen deines Großhändlers oder Vermieters: „Unsere Bankverbindung hat sich geändert.“ Die nächste echte Rechnung wird dann auf das Konto der Betrüger überwiesen.

2. 2

   Die erfundene Rechnung: Sie sieht aus wie eine echte, der Betrag ist plausibel, zum Beispiel für Material, ein Mietgerät oder eine Versicherung. Gezahlt wird, weil sie im Alltag zwischen Baustelle und Feierabend durchrutscht.

3. 3

   Die Rechnung in deinem Namen: Betrüger schicken deinen Kunden eine Rechnung mit deinem Namen, deinem Logo und einer fremden Kontonummer. Das Geld fehlt dann dir, und der Ärger landet bei dir.

Woran du eine Fälschung erkennst

Kein einzelnes Zeichen beweist etwas. Wenn mehrere zusammenkommen, schau genauer hin.

• Die Absenderadresse weicht leicht ab: ein Buchstabe vertauscht, eine andere Endung, ein zusätzlicher Bindestrich.
• Die Bankverbindung ist neu oder stammt aus einem anderen Land.
• Es wird Druck gemacht: „heute noch“, „sonst Mahngebühren“, „Zahlung sofort“.
• Die Rechnung gehört zu einem Auftrag oder einer Lieferung, an die du dich nicht erinnerst.
• Der Anhang ist keine normale PDF, sondern eine Zip-Datei oder ein Link zum Herunterladen.
• Antworten gehen an eine andere Adresse als die, von der die Mail kam.

Was du vor jeder Überweisung tust

• Zurückrufen: Ruf bei einer geänderten Bankverbindung unter der Nummer an, die du schon hast. Nie unter der Nummer aus der Mail.
• Vergleichen: Prüf die Kontonummer mit der letzten echten Rechnung. Weicht sie ab, überweist du nichts.
• Zu zweit prüfen: Leg einen Betrag fest, ab dem eine zweite Person draufschaut, zum Beispiel das Büro oder der Chef.
• Nicht bestellt, nicht bezahlt: Eine Rechnung ohne Auftrag zahlst du nicht, bis geklärt ist, woher sie kommt.

Wenn du schon überwiesen hast

Ruhig bleiben, aber schnell handeln. Jede Stunde zählt.

• Ruf sofort deine Bank an und bitte darum, die Überweisung zurückzuholen. Je früher, desto besser. Eine Garantie gibt es nicht.
• Erstatte Anzeige bei der Polizei und sichere die Mails samt Anhang.
• Informiere den echten Lieferanten oder Kunden, damit er gewarnt ist.
• Ändere die Passwörter des Postfachs, wenn der Verdacht besteht, dass es gehackt wurde.

Wie du verhinderst, dass jemand in deinem Namen schreibt

Jede E-Mail-Adresse mit eigener Domain lässt sich fälschen, wenn niemand prüft, ob der Absender wirklich dein Postfach ist. Dafür gibt es drei technische Einträge für deine Domain: SPF legt fest, welche Server in deinem Namen senden dürfen. DKIM versieht deine Mails mit einer Signatur. DMARC sagt dem Empfänger, was er mit Mails tun soll, die beides nicht bestehen.

Das senkt das Risiko deutlich, dass Betrüger Mails mit genau deiner Adresse verschicken. Es ist kein Rundumschutz: Adressen, die nur ähnlich aussehen, und gehackte Postfächer erkennt es nicht. Darum gehört dein Postfach selbst auch abgesichert.

• Eine Zwei-Faktor-Anmeldung für das Postfach (Code aufs Handy zusätzlich zum Passwort).
• Ein eigenes, langes Passwort für jeden Dienst, am besten in einem Passwort-Manager.
• Die Regeln im Postfach prüfen: Angreifer legen oft heimlich eine Weiterleitung oder Regel an, damit du Antworten nicht siehst.
• Alle Geräte, auch das Handy, auf dem aktuellen Stand halten.

Häufige Fragen

Schützt der Absender-Schutz vor allen gefälschten Mails?

Nein. Er verhindert, dass jemand Mails mit exakt deiner Adresse fälscht. Er hilft nicht gegen Adressen, die nur ähnlich aussehen, und nicht, wenn ein Postfach gehackt wurde. Darum gehören Rückruf und Zwei-Faktor-Anmeldung dazu.

Reicht ein Spamfilter?

Nein. Gut gemachte Fälschungen kommen oft durch, weil sie wie normale Geschäftspost aussehen. Der Filter ist eine Hilfe, ersetzt aber nicht den Blick auf die Bankverbindung.

Kann ich den Absender-Schutz auch bei GMX, T-Online oder Yahoo einrichten?

Nein, denn die Domain gehört dem Anbieter und nicht dir. Der Schutz geht nur mit einer eigenen Domain, zum Beispiel deinbetrieb.de. Die brauchst du ohnehin für eine seriöse Website.