Cyberpediavon Brain
DEENFR

Rückruf vor einer Änderung der Bankverbindung

Lieferant oder Führungskraft verlangt neue Bankdaten oder eine eilige Überweisung: Rufen Sie unter bekannter Nummer zurück, lassen Sie es freigeben.

In 30 Sekunden

Wo es vorkommt
Über eine gefälschte Nachricht, eine SMS oder einen Telefonanruf, die eine vertrauenswürdige dritte Partei nachahmen1.
Was der Angreifer will
Bank- oder persönliche Daten erhalten, indem er sich als vertrauenswürdige dritte Partei ausgibt1.
Der Reflex
Klicken Sie auf nichts und rufen Sie keine Nummer an, die in der Nachricht steht; suchen Sie einen anderen Weg, die Person zu erreichen2.
Wenn es schon passiert ist
Informieren Sie sofort die zuständigen Personen in der Organisation und das Finanzinstitut3.

Worum es geht

Eine Nachricht verlangt, die Bankverbindung (RIB) eines Lieferanten zu ändern, oder im Namen einer Führungskraft sofort eine Überweisung auszuführen. Steckt hinter dem Absender ein Betrüger, zahlt der Beschäftigte, der die Anfrage umsetzt, an dessen Stelle. In beiden Fällen gibt sich der Urheber als vertrauenswürdige dritte Partei aus. Das ist das Muster, das Cybermalveillance.gouv.fr für Phishing beschreibt: das Opfer täuschen, um Bank- oder persönliche Daten zu erhalten1.

Die CISA rät, die Nummer in der verdächtigen Nachricht nicht anzurufen und das Unternehmen oder die Person auf einem anderen Weg zu erreichen2. Diese Seite erklärt, warum dieser Schritt wirkt und welche Fallen ihn umgehen.

Direkte Fragen

Was ist eine betrügerische Anfrage zur Änderung der Bankverbindung?

Es ist eine Anfrage, die scheinbar von einem Lieferanten oder einer Führungskraft stammt und darauf zielt, Bankdaten zu ändern oder eine eilige Überweisung auszulösen. Die hier zitierten Quellen behandeln diesen Fall nicht unter diesem Namen: Sie beschreiben Phishing allgemein. Laut Cybermalveillance.gouv.fr handelt es sich um eine gefälschte Nachricht, SMS oder einen Telefonanruf, die als Mitteilung einer vertrauenswürdigen dritten Partei auftreten, um persönliche oder Bankdaten zu erlangen1. Ziel ist es, diese Daten betrügerisch zu verwenden1.

Warum unter einer bereits gespeicherten Nummer zurückrufen?

Weil die Kontaktdaten in der Nachricht diejenigen sind, die der Betrüger gewählt hat. Die CISA verlangt, auf keinen Link zu klicken und keine Nummer aus der verdächtigen Nachricht anzurufen, sondern das Unternehmen oder die Person auf einem anderen Weg zu erreichen2. Sie rät, die Kontaktdaten von einer überprüften Website zu übernehmen oder die Person über einen anderen Kanal zu kontaktieren, um zu klären, ob sie tatsächlich geschrieben hat2.

Ein zweiter Text der CISA geht in dieselbe Richtung: Im Zweifel kontaktiert man das Unternehmen direkt, ohne die Kontaktdaten einer Website zu verwenden, die mit der Anfrage verbunden ist, und sucht sie in früheren Unterlagen (Kontoauszüge, Briefe)3.

Warum ist die Anfrage immer dringend?

Dringlichkeit ist ein Warnzeichen. Die CISA nennt unter den häufigen Anzeichen eine dringliche oder emotional aufgeladene Sprache, insbesondere Nachrichten, die schwere Folgen ankündigen, wenn nicht sofort geantwortet wird2. MITRE hält fest, dass Phishing zur Informationsbeschaffung oft über mehrere Nachrichten mit scheinbar dringendem Charakter abläuft4.

Ist eine E-Mail von der richtigen Adresse vertrauenswürdig?

Nein. MITRE beschreibt Angreifer, die E-Mail-Konten kompromittieren, um sie anschließend für Phishing zu nutzen5. Ein Konto, das dem Opfer bereits bekannt ist, kann Vertrauen schaffen, und der Angreifer kann bestehende Korrespondenz übernehmen5. Die angezeigte Adresse beweist also nicht, dass der Absender der wahre Inhaber ist.

Was tun, wenn die Zahlung schon veranlasst ist?

Sofort Bescheid geben. Die CISA empfiehlt, jede preisgegebene sensible Information der richtigen Stelle in der Organisation zu melden, auch den Netzwerkadministratoren, und das Finanzinstitut unverzüglich zu kontaktieren, wenn Konten gefährdet sein könnten3. Cybermalveillance.gouv.fr ergänzt, die Beweise aufzubewahren, insbesondere die erhaltene Nachricht, und bei betrügerischen Abbuchungen Anzeige zu erstatten1.

1Wie es funktioniert1 min

Der Rückruf beruht auf einem einfachen Prinzip: Der Betrüger kontrolliert die Nachricht, nicht den Vorgang. Die vor der Anfrage gespeicherte Nummer stammt nicht vom Verfasser der Nachricht. Die CISA empfiehlt zudem, nicht die Kontaktdaten einer Seite zu verwenden, die mit der Anfrage verbunden ist, sondern sie in früheren Unterlagen zu suchen3.

Die Identität eines Absenders lässt sich nachahmen: MITRE nennt das Fälschen der Absenderidentität, das sowohl den Empfänger als auch automatische Sicherheitswerkzeuge täuschen kann4. Die CISA fügt hinzu, dass die Adressen oft die eines echten Unternehmens nachahmen, indem einige Zeichen verändert oder weggelassen werden3.

2Was Sie tun1 min

Die folgenden Schritte stützen sich auf die Hinweise zur Überprüfung in den hier zitierten Quellen. Die Freigabe durch eine zweite Person kommt dort nicht vor: Sie ist eine interne Verfahrensregel, die das Unternehmen festlegen muss.

  • Antworten Sie nicht auf die Nachricht und klicken Sie auf keinen Link und keinen Anhang der Anfrage2.
  • Suchen Sie die Kontaktdaten des Anfragenden in früheren Unterlagen und nicht auf einer Website, die mit der Anfrage verbunden ist3.
  • Kontaktieren Sie das Unternehmen oder die Person direkt, um die Anfrage zu überprüfen3, bevor Sie eine Bankverbindung ändern oder eine Überweisung ausführen.
  • Lassen Sie die Anfrage von einer zweiten, dafür bestimmten Person freigeben, bevor Sie den Vorgang ausführen.
  • Wenn Sie den Anfragenden nicht erreichen, zahlen Sie nicht und ändern Sie nichts. Melden Sie die Anfrage intern.
  • Bewahren Sie die erhaltene Nachricht auf: Cybermalveillance.gouv.fr betont die Aufbewahrung von Beweisen1.
3Die Fallen2 min

Dringlichkeit und Vertraulichkeit

Eine Anfrage, die drängt oder verbietet, darüber zu sprechen, verhindert den Rückruf und die zweite Freigabe. Die CISA zählt die Dringlichkeit zu den Anzeichen, die man erkennen sollte2. Die hier zitierten Quellen beschreiben die Forderung nach Vertraulichkeit nicht: Sie ist als ein weiterer Grund zur Überprüfung zu behandeln.

Die gefälschte oder gehackte E-Mail

Eine Adresse, die der echten fast gleicht, ist ein klassisches Anzeichen: Die CISA nennt als Beispiel eine Adresse wie amazan.com2. Doch eine exakte Adresse genügt nicht, denn ein gehacktes Konto kann dazu dienen, die Kontakte seines Inhabers anzuschreiben5. Die hier zitierten Quellen nennen keinen Grund, sich allein auf die E-Mail zu verlassen.

Die versteckte Weiterleitungsregel

Ein Angreifer, der ein Konto übernommen hat, kann das Postfach unbemerkt überwachen. MITRE beschreibt E-Mail-Weiterleitungsregeln, die dazu dienen, die Aktivität des Opfers zu verfolgen und Informationen zu stehlen6. Diese Regeln können den Zugriff auf Nachrichten auch nach dem Zurücksetzen der Zugangsdaten erhalten und lassen sich in manchen Werkzeugen verbergen6. Ein scheinbar normaler Austausch kann also überwacht oder sogar umgeleitet werden.

Die Anfrage von innen

Eine Nachricht eines Kollegen oder einer Führungskraft ist nicht automatisch sicher. MITRE beschreibt internes Phishing, bei dem kompromittierte Konten andere Mitglieder der Organisation ins Visier nehmen, und nennt eine Gruppe, die Führungskräfte, die Personalabteilung und die IT angegriffen hat7. Die Buchhaltung wird dort nicht genannt, aber das Prinzip ist dasselbe: Die Zugehörigkeit zum Unternehmen ersetzt die Überprüfung nicht.

Die gefälschte Rechnung

Die hier zitierten Quellen beschreiben die gefälschte Rechnung nicht als solche. Ein Text der CISA warnt vor unaufgeforderten Anhängen3. Die CISA nennt Anfragen nach persönlichen und finanziellen Informationen2. Eine Rechnung mit neuen Bankdaten fällt unter diese Warnung: Der Rückruf gilt in gleicher Weise.

Merkblatt

Kennung
CP-356
Flügel
5. Büroalltag und Reflexe
Brain-Kompetenz
Betrug abwehren (handle_scams)
Brain-Reflex
cr-080
Schema
G5 · Entscheidungsbaum Reflex
Sprachen
de, en, fr
Quellen
7 Quellen geprüft am 3. November 2026
Quellen7 Quellen
  1. Cybermalveillance.gouv.fr, „Que faire en cas de phishing ou hameçonnage ? - Assistance aux victimes de cybermalveillance“, 10. Januar 2020. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing (abgerufen am 3. November 2026)
  2. CISA, „Recognize and Report Phishing | CISA“. https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (abgerufen am 3. November 2026)
  3. CISA, „Avoiding Social Engineering and Phishing Attacks | CISA“, 1. Februar 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (abgerufen am 3. November 2026)
  4. MITRE ATT&CK, „Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1598/ (abgerufen am 3. November 2026)
  5. MITRE ATT&CK, „Compromise Accounts: Email Accounts, Sub-technique T1586.002 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1586/002/ (abgerufen am 3. November 2026)
  6. MITRE ATT&CK, „Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1114/003/ (abgerufen am 3. November 2026)
  7. MITRE ATT&CK, „Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1534/ (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Rückruf vor einer Änderung der Bankverbindung“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/rueckruf-bekannte-nummer-aenderung-bankverbindung/

BibTeX 
@misc{brain_cp356_de_2026,
  author = {Brain},
  title = {Rückruf vor einer Änderung der Bankverbindung},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/rueckruf-bekannte-nummer-aenderung-bankverbindung/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0