Erst kürzlich hat es einen Unternehmer erwischt:
Mehr als 100.000 € hat er für eine Fassadenrenovierung überwiesen – allerdings nicht an den eigentlichen Handwerker, sondern an Betrüger. Der Grund: Die E-Mail-Kommunikation mit dem Dienstleister war kompromittiert, Rechnungen wurden manipuliert, Bankverbindungen ausgetauscht. Der Betrug fiel erst auf, als der echte Dienstleister nachhakte, wo denn sein Geld bleibt.
So etwas klingt nach einem Einzelfall? Leider nicht.
Warum solche Fälle zunehmen
Menschliche Schwachstellen und Insider-Risiken
Laut Studien meldeten im letzten Jahr 83 % der Unternehmen mindestens einen Insider-Angriff. Das bedeutet nicht, dass Mitarbeiter absichtlich betrügen – oft reicht ein schwaches Passwort, ein Klick auf einen Phishing-Link oder schlicht Unachtsamkeit. Gerade in hybriden Arbeitsumgebungen (Homeoffice + Büro + Cloud) fehlt oft der Überblick, wer auf welche Daten Zugriff hat.
Kosten, die explodieren
Laut IBM kostete ein Insider-Angriff im Schnitt knapp 5 Mio. US-Dollar – teurer als viele andere Angriffsmethoden. Rechnet man alles zusammen (Forensik, Rechtsberatung, Ausfallzeiten, Reputationsschäden), kommt man laut Ponemon-Report 2025 im Schnitt sogar auf 17,4 Mio. US-Dollar pro Jahr und Unternehmen.
Social Engineering & Deepfakes
Betrüger arbeiten längst nicht mehr nur mit gefälschten Mails. Sie setzen inzwischen auf Deepfakes – täuschend echte Audio- oder Videonachahmungen. Ein prominentes Beispiel: Die Firma Arup überwies rund 23 Mio. €, nachdem sich Kriminelle in einem Video-Call als Führungskraft ausgaben.
Deutschland und Österreich im Fokus
Auch hierzulande warnen Behörden vor einer steigenden Zahl an Angriffen auf Unternehmen und öffentliche Einrichtungen. Besonders im Finanz- und Bauwesen häufen sich die Fälle.
So läuft eine „100.000-Euro-Rechnung“ typischerweise ab
- E-Mail-Konto wird gehackt – durch Phishing oder schwache Sicherheitsmaßnahmen.
- Mitlesen statt sofort zuschlagen – die Täter beobachten die echten Mailverläufe und warten den perfekten Moment ab.
- IBAN-Tausch – eine Rechnung wird abgefangen und die Bankverbindung geändert.
- Druck machen – „Bitte heute noch überweisen, sonst drohen Vertragsstrafen.“
- Geldwäschekette – das Geld wird sofort weitergeleitet, über Strohmänner oder in Kryptowährungen.
Die wahre Rechnung hinter 100.000 €
Die eigentliche Überweisung ist nur der Anfang. Teuer wird es durch:
- interne und externe IT-Forensik
- Rechtsstreitigkeiten und Versicherungsfragen
- beschädigte Geschäftsbeziehungen
- Reputationsverlust
- Ausfallzeiten im Betrieb
Und: Je länger man braucht, um den Vorfall einzudämmen, desto höher steigen die Kosten.
12-Punkte-Checkliste gegen Rechnungsbetrug
Damit es gar nicht erst so weit kommt:
- Vier-Augen-Prinzip ab einem bestimmten Betrag.
- Call-Back: Bankdaten immer telefonisch gegenprüfen – aber über die Nummer im System, nicht aus der Mail.
- Klare Prozesse für Bankdaten-Änderungen.
- Whitelist für bekannte IBANs – neue Konten immer besonders prüfen.
- Sicheres Lieferantenportal statt PDF-Rechnungen per Mail.
- E-Mail-Schutz: SPF, DKIM, DMARC konsequent einsetzen.
- Zwei-Faktor-Authentifizierung (MFA) überall, besonders im Finanzbereich.
- Thread-Hijacking-Erkennung – Systeme, die verdächtige Abweichungen in Mails melden.
- Deepfake-Resilienz: Codewort-Verfahren bei Video- oder Audio-Freigaben.
- Awareness-Trainings speziell für Buchhaltung und Einkauf.
- Weniger Rechte, weniger Risiko: Zugriffe auf Finanzsysteme stark einschränken.
- Cyber-Versicherung prüfen, ob auch Social-Engineering abgedeckt ist.
Was tun im Ernstfall?
- Sofort: Bank kontaktieren, Überweisung stoppen oder zurückholen lassen.
- Innerhalb 24 Stunden: Beweise sichern (E-Mail-Header, Logs), externe Spezialisten einschalten, Lieferanten informieren, Zugänge neu absichern.
Fazit
Der 100.000-Euro-Fall zeigt: Betrüger setzen auf echte Abläufe, psychologischen Druck und immer öfter
KI-gestützte Täuschungen. Wer seine Prozesse absichert – technisch und organisatorisch – reduziert nicht nur das Risiko, sondern spart im Ernstfall Millionen.
Thomas Laszlo ist DER Experte für Notfallpläne. Schon seit Beginn seiner Karriere beschäftigt er sich mit dem Thema. Egal ob in der Hotellerie, als auch in der IT, wo er als IT-Leiter immer gleichzeitig Krisenmanager war. Seit 2019 begleitet er Unternehmen bei der Erstellung eigener Notfallpläne. Er ist Vortragender zum Thema Business Continuity bei diversen Wirtschaftsverbänden und IT-Kongressen.