--- id: CP-356 slug: rueckruf-bekannte-nummer-aenderung-bankverbindung lang: de title: Rückruf vor einer Änderung der Bankverbindung description: "Lieferant oder Führungskraft verlangt neue Bankdaten oder eine eilige Überweisung: Rufen Sie unter bekannter Nummer zurück, lassen Sie es freigeben." canonical_url: https://startbrain.io/cyberpedia/de/articles/rueckruf-bekannte-nummer-aenderung-bankverbindung/ markdown_url: https://startbrain.io/cyberpedia/de/articles/rueckruf-bekannte-nummer-aenderung-bankverbindung.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Rückruf vor einer Änderung der Bankverbindung“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/rueckruf-bekannte-nummer-aenderung-bankverbindung/ (CC BY 4.0) wing: 5 theme: handle_scams reflex: cr-080 schema: G5 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/rueckruf-bekannte-nummer-aenderung-bankverbindung/ fr: https://startbrain.io/cyberpedia/fr/articles/contre-appel-numero-connu-changement-rib/ en: https://startbrain.io/cyberpedia/en/articles/callback-verification-known-number-bank-details-change/ es: https://startbrain.io/cyberpedia/es/articles/contrallamada-numero-conocido-cambio-datos-bancarios/ sources: - "n": 1 title: Que faire en cas de phishing ou hameçonnage ? - Assistance aux victimes de cybermalveillance publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing published: "2020-01-10" accessed: "2026-11-03" - "n": 2 title: Recognize and Report Phishing | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 3 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 4 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 5 title: "Compromise Accounts: Email Accounts, Sub-technique T1586.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1586/002/ accessed: "2026-11-03" - "n": 6 title: "Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1114/003/ accessed: "2026-11-03" - "n": 7 title: Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1534/ accessed: "2026-11-03" --- # Rückruf vor einer Änderung der Bankverbindung Eine Nachricht verlangt, die Bankverbindung (RIB) eines Lieferanten zu ändern, oder im Namen einer Führungskraft sofort eine Überweisung auszuführen. Steckt hinter dem Absender ein Betrüger, zahlt der Beschäftigte, der die Anfrage umsetzt, an dessen Stelle. In beiden Fällen gibt sich der Urheber als vertrauenswürdige dritte Partei aus. Das ist das Muster, das Cybermalveillance.gouv.fr für Phishing beschreibt: das Opfer täuschen, um Bank- oder persönliche Daten zu erhalten [1]. Die CISA rät, die Nummer in der verdächtigen Nachricht nicht anzurufen und das Unternehmen oder die Person auf einem anderen Weg zu erreichen [2]. Diese Seite erklärt, warum dieser Schritt wirkt und welche Fallen ihn umgehen. ## In 30 Sekunden - Wo es vorkommt: über eine gefälschte Nachricht, eine SMS oder einen Telefonanruf, die eine vertrauenswürdige dritte Partei nachahmen [1]. - Was der Angreifer will: Bank- oder persönliche Daten erhalten, indem er sich als vertrauenswürdige dritte Partei ausgibt [1]. - Der Reflex: Klicken Sie auf nichts und rufen Sie keine Nummer an, die in der Nachricht steht; suchen Sie einen anderen Weg, die Person zu erreichen [2]. - Wenn es schon passiert ist: Informieren Sie sofort die zuständigen Personen in der Organisation und das Finanzinstitut [3]. ## Direkte Fragen ### Was ist eine betrügerische Anfrage zur Änderung der Bankverbindung? Es ist eine Anfrage, die scheinbar von einem Lieferanten oder einer Führungskraft stammt und darauf zielt, Bankdaten zu ändern oder eine eilige Überweisung auszulösen. Die hier zitierten Quellen behandeln diesen Fall nicht unter diesem Namen: Sie beschreiben Phishing allgemein. Laut Cybermalveillance.gouv.fr handelt es sich um eine gefälschte Nachricht, SMS oder einen Telefonanruf, die als Mitteilung einer vertrauenswürdigen dritten Partei auftreten, um persönliche oder Bankdaten zu erlangen [1]. Ziel ist es, diese Daten betrügerisch zu verwenden [1]. ### Warum unter einer bereits gespeicherten Nummer zurückrufen? Weil die Kontaktdaten in der Nachricht diejenigen sind, die der Betrüger gewählt hat. Die CISA verlangt, auf keinen Link zu klicken und keine Nummer aus der verdächtigen Nachricht anzurufen, sondern das Unternehmen oder die Person auf einem anderen Weg zu erreichen [2]. Sie rät, die Kontaktdaten von einer überprüften Website zu übernehmen oder die Person über einen anderen Kanal zu kontaktieren, um zu klären, ob sie tatsächlich geschrieben hat [2]. Ein zweiter Text der CISA geht in dieselbe Richtung: Im Zweifel kontaktiert man das Unternehmen direkt, ohne die Kontaktdaten einer Website zu verwenden, die mit der Anfrage verbunden ist, und sucht sie in früheren Unterlagen (Kontoauszüge, Briefe) [3]. ### Warum ist die Anfrage immer dringend? Dringlichkeit ist ein Warnzeichen. Die CISA nennt unter den häufigen Anzeichen eine dringliche oder emotional aufgeladene Sprache, insbesondere Nachrichten, die schwere Folgen ankündigen, wenn nicht sofort geantwortet wird [2]. MITRE hält fest, dass Phishing zur Informationsbeschaffung oft über mehrere Nachrichten mit scheinbar dringendem Charakter abläuft [4]. ### Ist eine E-Mail von der richtigen Adresse vertrauenswürdig? Nein. MITRE beschreibt Angreifer, die E-Mail-Konten kompromittieren, um sie anschließend für Phishing zu nutzen [5]. Ein Konto, das dem Opfer bereits bekannt ist, kann Vertrauen schaffen, und der Angreifer kann bestehende Korrespondenz übernehmen [5]. Die angezeigte Adresse beweist also nicht, dass der Absender der wahre Inhaber ist. ### Was tun, wenn die Zahlung schon veranlasst ist? Sofort Bescheid geben. Die CISA empfiehlt, jede preisgegebene sensible Information der richtigen Stelle in der Organisation zu melden, auch den Netzwerkadministratoren, und das Finanzinstitut unverzüglich zu kontaktieren, wenn Konten gefährdet sein könnten [3]. Cybermalveillance.gouv.fr ergänzt, die Beweise aufzubewahren, insbesondere die erhaltene Nachricht, und bei betrügerischen Abbuchungen Anzeige zu erstatten [1]. ## Wie es funktioniert Der Rückruf beruht auf einem einfachen Prinzip: Der Betrüger kontrolliert die Nachricht, nicht den Vorgang. Die vor der Anfrage gespeicherte Nummer stammt nicht vom Verfasser der Nachricht. Die CISA empfiehlt zudem, nicht die Kontaktdaten einer Seite zu verwenden, die mit der Anfrage verbunden ist, sondern sie in früheren Unterlagen zu suchen [3]. Die Identität eines Absenders lässt sich nachahmen: MITRE nennt das Fälschen der Absenderidentität, das sowohl den Empfänger als auch automatische Sicherheitswerkzeuge täuschen kann [4]. Die CISA fügt hinzu, dass die Adressen oft die eines echten Unternehmens nachahmen, indem einige Zeichen verändert oder weggelassen werden [3]. ## Was Sie tun Die folgenden Schritte stützen sich auf die Hinweise zur Überprüfung in den hier zitierten Quellen. Die Freigabe durch eine zweite Person kommt dort nicht vor: Sie ist eine interne Verfahrensregel, die das Unternehmen festlegen muss. - Antworten Sie nicht auf die Nachricht und klicken Sie auf keinen Link und keinen Anhang der Anfrage [2]. - Suchen Sie die Kontaktdaten des Anfragenden in früheren Unterlagen und nicht auf einer Website, die mit der Anfrage verbunden ist [3]. - Kontaktieren Sie das Unternehmen oder die Person direkt, um die Anfrage zu überprüfen [3], bevor Sie eine Bankverbindung ändern oder eine Überweisung ausführen. - Lassen Sie die Anfrage von einer zweiten, dafür bestimmten Person freigeben, bevor Sie den Vorgang ausführen. - Wenn Sie den Anfragenden nicht erreichen, zahlen Sie nicht und ändern Sie nichts. Melden Sie die Anfrage intern. - Bewahren Sie die erhaltene Nachricht auf: Cybermalveillance.gouv.fr betont die Aufbewahrung von Beweisen [1]. ## Die Fallen ### Dringlichkeit und Vertraulichkeit Eine Anfrage, die drängt oder verbietet, darüber zu sprechen, verhindert den Rückruf und die zweite Freigabe. Die CISA zählt die Dringlichkeit zu den Anzeichen, die man erkennen sollte [2]. Die hier zitierten Quellen beschreiben die Forderung nach Vertraulichkeit nicht: Sie ist als ein weiterer Grund zur Überprüfung zu behandeln. ### Die gefälschte oder gehackte E-Mail Eine Adresse, die der echten fast gleicht, ist ein klassisches Anzeichen: Die CISA nennt als Beispiel eine Adresse wie amazan.com [2]. Doch eine exakte Adresse genügt nicht, denn ein gehacktes Konto kann dazu dienen, die Kontakte seines Inhabers anzuschreiben [5]. Die hier zitierten Quellen nennen keinen Grund, sich allein auf die E-Mail zu verlassen. ### Die versteckte Weiterleitungsregel Ein Angreifer, der ein Konto übernommen hat, kann das Postfach unbemerkt überwachen. MITRE beschreibt E-Mail-Weiterleitungsregeln, die dazu dienen, die Aktivität des Opfers zu verfolgen und Informationen zu stehlen [6]. Diese Regeln können den Zugriff auf Nachrichten auch nach dem Zurücksetzen der Zugangsdaten erhalten und lassen sich in manchen Werkzeugen verbergen [6]. Ein scheinbar normaler Austausch kann also überwacht oder sogar umgeleitet werden. ### Die Anfrage von innen Eine Nachricht eines Kollegen oder einer Führungskraft ist nicht automatisch sicher. MITRE beschreibt internes Phishing, bei dem kompromittierte Konten andere Mitglieder der Organisation ins Visier nehmen, und nennt eine Gruppe, die Führungskräfte, die Personalabteilung und die IT angegriffen hat [7]. Die Buchhaltung wird dort nicht genannt, aber das Prinzip ist dasselbe: Die Zugehörigkeit zum Unternehmen ersetzt die Überprüfung nicht. ### Die gefälschte Rechnung Die hier zitierten Quellen beschreiben die gefälschte Rechnung nicht als solche. Ein Text der CISA warnt vor unaufgeforderten Anhängen [3]. Die CISA nennt Anfragen nach persönlichen und finanziellen Informationen [2]. Eine Rechnung mit neuen Bankdaten fällt unter diese Warnung: Der Rückruf gilt in gleicher Weise. ## Quellen 1. Cybermalveillance.gouv.fr, „Que faire en cas de phishing ou hameçonnage ? - Assistance aux victimes de cybermalveillance“, 10. Januar 2020. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing (abgerufen am 3. November 2026) 2. CISA, „Recognize and Report Phishing | CISA“. https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (abgerufen am 3. November 2026) 3. CISA, „Avoiding Social Engineering and Phishing Attacks | CISA“, 1. Februar 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (abgerufen am 3. November 2026) 4. MITRE ATT&CK, „Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1598/ (abgerufen am 3. November 2026) 5. MITRE ATT&CK, „Compromise Accounts: Email Accounts, Sub-technique T1586.002 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1586/002/ (abgerufen am 3. November 2026) 6. MITRE ATT&CK, „Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1114/003/ (abgerufen am 3. November 2026) 7. MITRE ATT&CK, „Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1534/ (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/rueckruf-bekannte-nummer-aenderung-bankverbindung/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.