E-Rechnungsbetrug in Deutschland: Der E-Mail-Kanal ist die Schwachstelle

Polens KSeF authentifiziert die Rechnung am Staatsknoten. Spaniens Fünf-Ecken-Modell legt auf jeden B2B-Versand eine Plattform und eine Kopie an die AEAT. Deutschland hat das Format authentifiziert und den Transport dem Markt überlassen. Der Markt ist bei E-Mail gelandet.

Das ist jetzt die Angriffsfläche.

Was Angreifer tatsächlich tun

Es kommt weiterhin eine Rechnung an, die der Käufer erwartet. Die Tat ist Austausch, nicht Erfindung.

Postfach-Abfangen. Ein Lieferantenpostfach oder eine Weiterleitungsregel ist kompromittiert. Ausgehende Rechnungen werden umgeleitet. Der Käufer erhält eine Datei, die wie das ZUGFeRD des Lieferanten aussieht: Logo, Positionen, Fälligkeit. Die IBAN ist die des Angreifers. Weil ZUGFeRD eine PDF-Ebene zeigt, liest der Mensch das PDF. Kaum eine Kreditorenbuchhaltung öffnet das XML. Widersprechen sich XML und PDF, gewinnt das PDF die Zahlung.

Täuschend ähnliche Domains. rechnung@lieferant-gmbh.com ist nicht rechnung@lieferantgmbh.com. SMTP stellt beides zu. Der Anhang kann eine gültig wirkende XRechnung sein, mit anderer IBAN in PaymentMeans (BT-84) und anderem Zahlungsempfänger.

Gefälschte strukturierte Dateien. Seit dem 1. Januar 2025 muss jedes deutsche Unternehmen EN-16931-Dateien annehmen. Angreifer wissen, dass Kreditorenteams gesagt bekamen: "Das XML ist die echte Rechnung." Eine wohlgeformte XRechnung, die keine Schema-Prüfung reißt, kann trotzdem den falschen Gläubiger nennen. Schema-Gültigkeit ist keine Identität.

Nachgeschobene Korrektur nach einem echten Versand. Die echte Rechnung kommt an. Minuten später eine zweite Mail, die "die Bankverbindung korrigiert", wegen einer "Prüfung" oder eines "neuen Factoring-Partners". Die zweite Mail ist die Tat. Die erste Mail war der Köder.

Das ist dieselbe Familie wie der Bankdaten-Austausch auf polnischen PDF-Rechnungen, beschrieben in unserem früheren Hinweis zu diesem Muster. In Deutschland kommt hinzu: Die rechtliche Rechnung ist jetzt strukturierte Daten, die IBAN sitzt in einem Feld, das Kreditorensoftware bereitwillig importiert.

Was keine Kontrolle ist

Innerbetriebliche Kontrollverfahren, eine qualifizierte elektronische Signatur oder ein EDI-Verfahren sind die von der BStBK genannten Wege zu Echtheit und Integrität. Peppol fügt am Access Point eine Teilnehmeridentität hinzu. E-Mail fügt nichts davon hinzu, solange Sie es nicht selbst ergänzen.

Empfängerpflichten, die wirklich Geld bewegen

Der Vorsteuerabzug verlangt weiter eine ordnungsgemäße Rechnung. Die Zahlung an die falsche IBAN ist Ihr Verlust, nicht der des Finanzamts. Bauen Sie die Prüfung in die Kreditorenbuchhaltung, nicht in eine Schulungsfolie.

1. Zahlen Sie gegen Stammdaten, nicht gegen die Rechnung. Die IBAN auf der Rechnung ist ein Vorschlag. Die IBAN im freigegebenen Kreditorensatz ist die Anweisung. Eine Änderung an BT-84 oder am Zahlungsempfänger ist ein Stammdatenänderungsantrag. Sie braucht einen zweiten Kanal: eine bekannte Telefonnummer, eine Peppol-Metadatenaktualisierung, keine Antwort auf die Rechnungsmail.
2. Vergleichen Sie das XML, nicht das PDF. Bei ZUGFeRD vergleichen Sie PaymentMeans im eingebetteten XML mit dem Kreditorensatz. Sehen Sie nur auf die PDF-Ebene, lesen Sie die Werbung.
3. Eigenes Rechnungspostfach, keine öffentliche Weiterleitung. rechnungen@ mit zwei Personen, die es besitzen. Lassen Sie Rechnungen nicht in einem gemeinsamen Gmail und einem privaten Postfach "der Geschwindigkeit wegen" landen.
4. Halt bei Erstlieferant und geändertem Zahlungsempfänger. Neue Kreditoren und IBAN-Änderungen warten. Wiederkehrende Rechnungen an eine unveränderte IBAN dürfen automatisch gebucht werden.
5. Peppol oder EDI für jeden, den Sie jeden Monat zahlen. Steht ein Lieferant für mehr als einen trivialen Anteil Ihrer Auszahlungen, nehmen Sie ihn von SMTP.

Aussteller haben eine symmetrische Pflicht. Legen Sie Zahlungsmittel in die strukturierten Felder, halten Sie sie mit der PDF-Ebene deckungsgleich, und schicken Sie keine "aktualisierten Bankdaten" aus einem Marketingpostfach. Nutzen Sie Factoring, muss der neue Zahlungsempfänger als dokumentierte Abtretung erscheinen, nicht als Fußnote in einer E-Mail.

Warum ein Portal oder Access Point das Fenster verengt

Ein Peppol-Versand adressiert eine Teilnehmer-ID, kein Postfach, das das Internet erraten kann. Die Beziehung zum Access Point ist vertraglich. BT-84 zu tauschen bleibt möglich, wenn der Aussteller kompromittiert ist. Der Angreifer sitzt dann aber nicht mehr auf der Leitung zwischen zwei privaten Mailanbietern. EDI ist dieselbe Idee mit älterer Technik.

E-Mail bleibt 2027 und 2028 für kleine Gegenparteien im Mix. Behandeln Sie sie als unsicheren Kanal: zusätzliche Wartefristen, keine IBAN-Änderung über diesen Mailverlauf, XML-Vergleich gegen Stammdaten. Kaufen Sie kein Produkt, dessen einzige Betrugserzählung lautet: "Wir sehen, ob sie die Mail geöffnet haben."

Plandesk speichert Empfänger-IBANs am Kreditorensatz, schreibt sie von dort in die E-Rechnung und kennzeichnet einen Versand, wenn die strukturierten Zahlungsmittel nicht passen. Die Kanalwahl liegt beim Käufer. Das Zählen geöffneter Mails gehört nicht ins Nachweispaket.

Dieses Material dient der allgemeinen Information und stellt keine Rechts- oder Steuerberatung dar. Prüfen Sie im Einzelfall die aktuellen Regelungen oder konsultieren Sie einen qualifizierten Berater.