Rechnung mit falscher IBAN: Wie der Sachverständige das kompromittierte Postfach ermittelt

Ein Vermittler erhält eine E-Mail von einer Adresse, die sich nur durch einen Buchstaben von der des Verkäufers unterscheidet, mit der Rechnung über den Verkauf, 103.375,64 Euro, und den Bankdaten. Er leitet alles an den Käufer weiter, der zahlt. Das Konto gehört einem Betrüger, das Geld taucht nie wieder auf. Am 17. Juni 2026 hob der französische Kassationshof (Cour de cassation) das Berufungsurteil auf, das diese Zahlung als schuldbefreiend angesehen hatte. Es bleibt eine technische Frage, die oft den Ausschlag gibt: Wo hat der Betrug seinen Ursprung?

Wer den Betrüger bezahlt, zahlt womöglich zweimal

Nach dem französischen Code civil ist eine gutgläubige Zahlung an einen „Scheingläubiger“ wirksam (Artikel 1342-3). Wer sich aber die Identität des Gläubigers anmaßt, ist nach Auffassung des Gerichtshofs kein Scheingläubiger. Der Streit verlagert sich dann oft: Hat jemand den Betrug durch Fahrlässigkeit ermöglicht? Die Antwort liegt in technischen Tatsachen.

In Belgien warnte die Föderale Gerichtspolizei Antwerpen am 14. Mai 2026 vor einer weitgehend automatisierten Variante. Mit Passwörtern, die meist aus früheren Datenlecks stammen, verschaffen sich Täter Zugang zu Postfächern und überwachen die eingehenden E-Mails. Kontonummer und strukturierte Mitteilung der angehängten Rechnung werden ersetzt; das Dokument, das identisch aussieht, wird zurück ins Postfach gelegt oder direkt an den Empfänger geschickt. Seit dem 9. Oktober 2025 müssen Banken im Euroraum kostenlos eine Empfängerüberprüfung anbieten. Sie ist nützlich, vergleicht aber nur einen Namen mit einer IBAN; über die Echtheit der Nachricht, die die Änderung angekündigt hat, sagt sie nichts.

Erste Frage: Woher stammt die Nachricht?

Die Analyse geht von der betrügerischen Nachricht im Originalformat aus (.eml- oder .msg-Datei): Bei einem Screenshot oder einer weitergeleiteten E-Mail geht das Wesentliche verloren. Die Kopfzeilen (Header) zeichnen den Weg von Server zu Server nach und enthalten das Ergebnis der Authentifizierungsprüfungen der Absenderdomain (SPF, DKIM, DMARC).

Entweder stammt die Nachricht von einer Adresse, die die des Lieferanten nachahmt, wie im französischen Fall, oft über eine ähnliche Domain: Das Postfach des Lieferanten wurde dann nicht zwingend benutzt. Oder sie stammt von der echten Adresse: Die genannten Prüfungen helfen dann, eine bloße Fälschung der Absenderadresse von einem tatsächlichen Versand aus dem Postfach des Lieferanten zu unterscheiden, der auf ein kompromittiertes Konto hindeutet. Meist kannte der Täter das Geschäft und den Betrag: Er hatte also Zugang zu echtem E-Mail-Verkehr, bei einer der Parteien oder bei einem Vermittler.

Auch der Anhang gibt Auskunft. Wer den Hashwert der Rechnung in den gesendeten Elementen mit dem der empfangenen Rechnung vergleicht, sieht, ob das Dokument verändert wurde. Interne Metadaten und Struktur der PDF-Datei, die mitunter Spuren einer früheren Version enthält, können eine Bearbeitung verraten.

Zweite Frage: Wer hatte Zugriff auf das Postfach?

In Microsoft 365, das in KMU weit verbreitet ist, ergänzen sich mehrere Protokolle:

• Die Anmeldeprotokolle (Microsoft Entra ID): wer, wann, von welcher IP-Adresse, mit welcher Anwendung, mit oder ohne Multi-Faktor-Authentifizierung. Diese reicht nicht immer aus: Bereits 2022 beschrieb Microsoft Phishing-Kampagnen, die die bereits authentifizierte Sitzung abfangen, um anschließend Zahlungsbetrug zu begehen.
• Das Überwachungsprotokoll (Microsoft Purview): die Aktionen im Postfach. Zuerst sucht man nach verdächtigen Posteingangsregeln, die zum Beispiel Nachrichten eines Kunden oder Nachrichten mit „Rechnung“ oder „Zahlung“ in einen selten geöffneten Ordner verschieben oder als gelesen markieren. Diese in der Wissensdatenbank MITRE ATT&CK erfasste Technik ermöglicht es, den Austausch ohne Wissen des Postfachinhabers fortzuführen. Gesucht wird auch nach automatischen Weiterleitungen an externe Adressen und, je nach Lizenz und Konfiguration, nach dem Ereignis MailItemsAccessed, das festzustellen hilft, welche Nachrichten geöffnet wurden.
• Die Nachrichtenablaufverfolgung: gesendete und empfangene Nachrichten der letzten 90 Tage, auch solche, die der Eindringling später gelöscht hat. Eine gelöschte Nachricht bleibt, selbst wenn sie aus „Gelöschte Elemente“ entfernt wurde, grundsätzlich standardmäßig 14 Tage wiederherstellbar.

Erhaltene Sicherheitswarnungen (riskante Anmeldung, unmögliche Reise) und die Reaktion darauf zeigen zudem, was die Organisation wissen konnte, und wann. Bei E-Mail-Anbietern für Privatkunden sind die verfügbaren Protokolle oft deutlich begrenzter.

Die Zeit arbeitet gegen den Beweis

Die in Microsoft Entra ID einsehbaren Anmeldeprotokolle reichen ohne Lizenz Entra ID P1 oder P2 nur 7 Tage zurück, mit Lizenz 30 Tage. Das Überwachungsprotokoll wird in der Standardversion 180 Tage aufbewahrt. Der Betrug fällt jedoch oft erst auf, wenn der Lieferant eine vermeintlich unbezahlte Rechnung anmahnt, manchmal Wochen später. Und was nie protokolliert wurde, lässt sich nachträglich nicht rekonstruieren.

Auf die ersten Schritte kommt es an: die Bank sofort verständigen und Anzeige erstatten; das Passwort ändern und offene Sitzungen beenden; die betrügerische Nachricht im Originalformat aufbewahren, die Protokolle exportieren und verdächtige Regeln dokumentieren, bevor sie gelöscht werden. Prüfen Sie außerdem unverzüglich, ob eine Datenschutzverletzung der Datenschutzbehörde (APD/GBA) zu melden ist: Die DSGVO verlangt dies möglichst binnen 72 Stunden. Absichern: ja. Spuren vernichten: nein.

Was der Sachverständige feststellen kann

Eine gründliche Analyse untersucht beide Seiten und gegebenenfalls einen Vermittler, der in Kopie stand. Verweigert eine Partei den Zugang zu ihren Systemen, beschränken sich die Schlussfolgerungen auf das Untersuchte. Sie bleiben maßvoll: Spuren, die mit einem nicht autorisierten Zugriff auf ein bestimmtes Postfach ab einem bestimmten Datum vereinbar sind, keine Spuren in den verfügbaren Protokollen, oder abgelaufene Protokolle, die keine Aussage erlauben. Gerade diese Vorsicht macht das Gutachten für Richter, Rechtsanwälte und Versicherer nützlich.

Fazit

Beim Betrug mit falscher IBAN führt die Frage „Wer trägt den Verlust?“ oft zu einer anderen: „Welches Postfach war undicht, und wer hätte es bemerken können?“ Die Antwort stützt sich auf Protokolle, Header und Hashwerte, nicht auf Screenshots, sofern sie rechtzeitig gesichert wurden.

Cyber Praxis übernimmt digitale Forensik und Gerichtsgutachten, von der Sicherung der Protokolle bis zum Sachverständigengutachten.

Quellen: Französischer Kassationshof (Handelskammer), 17. Juni 2026, Nr. 24-13.306, Urteilstext (Légifrance, auf Französisch); Föderale Gerichtspolizei Antwerpen, Warnung vom 14. Mai 2026 (auf Französisch).