Zahlungsbetrug in der Hausverwaltung: gefälschte Rechnungen, geänderte Bankverbindungen und wirksame Kontrollen

Zahlungsbetrug in der Hausverwaltung: gefälschte Rechnungen, geänderte Bankverbindungen und wirksame Kontrollen

Eine Mail mit der neuen Bankverbindung des Hausmeisterdienstes, eine Rechnung mit leicht abweichender IBAN, ein Anruf, der zur Eile drängt: Zahlungsbetrug trifft Hausverwaltungen, weil dort regelmäßig vier- und fünfstellige Beträge von fremden Konten überwiesen werden. Die Angriffe setzen nicht auf Technik, sondern auf Abläufe – und lassen sich mit Abläufen auch abwehren.

Die drei häufigsten Muster

Beim Rechnungsbetrug wird eine echte Rechnung abgefangen oder nachgebaut und mit einer fremden IBAN versehen. Beim Lieferantenbetrug kündigt ein angeblicher Dienstleister per Mail eine geänderte Bankverbindung an, oft mit korrektem Briefkopf und plausibler Vorgangsnummer. Beim sogenannten Chefbetrug gibt sich der Absender als Geschäftsführung oder Beiratsvorsitz aus und verlangt eine eilige, vertrauliche Überweisung. Allen drei Mustern ist gemeinsam, dass sie eine bestehende Geschäftsbeziehung imitieren und Zeitdruck aufbauen.

Warum Gemeinschaftskonten im Fokus stehen

Auf den Konten einer Eigentümergemeinschaft liegen Hausgelder und Erhaltungsrücklagen, also Beträge, die im Verhältnis zur Größe der verwaltenden Stelle hoch sind. Zugleich sind die Zahlungsabläufe arbeitsteilig: Die Rechnung kommt aus einem Postfach, die Kontierung erfolgt im Verwaltungsprogramm, die Freigabe im Onlinebanking. Jede Schnittstelle ist eine Stelle, an der eine geänderte IBAN unbemerkt durchlaufen kann. Hinzu kommt, dass Stammdatenänderungen bei Dienstleistern alltäglich sind und deshalb selten Misstrauen auslösen.

Kontrollen, die wirken

Wirksam sind nicht Warnungen, sondern feste Regeln. Eine geänderte Bankverbindung wird ausschließlich über einen zweiten, selbst recherchierten Kanal bestätigt – per Rückruf an die seit Jahren bekannte Nummer, nicht an die Nummer aus der Mail. Stammdatenänderungen durchlaufen ein Vier-Augen-Prinzip und werden dokumentiert. Zahlungen oberhalb einer festgelegten Grenze gibt eine zweite Person frei, und im Onlinebanking sind die Rollen für Erfassung und Freigabe getrennt. Neue Zahlungsempfänger werden gegen Beschluss, Auftrag und Angebot abgeglichen – ein Empfänger, den kein Beschluss und kein Auftrag trägt, fällt dabei auf.

Woran sich Fälschungen erkennen lassen

Typisch sind eine IBAN aus einem anderen Land als dem Sitz des Dienstleisters, eine Absenderadresse mit vertauschten oder ergänzten Zeichen in der Domain, ein Antwortpfad, der von der Absenderadresse abweicht, und Formulierungen, die Vertraulichkeit oder Eile verlangen. Auch eine Rechnung, die inhaltlich stimmt, aber einen anderen Zahlungsweg nennt als alle Vorgänger, ist ein Anlass zur Prüfung. Entscheidend ist der Abgleich mit dem, was vorher galt – nicht der Eindruck, den das Dokument macht.

Wenn die Zahlung schon raus ist

Dann zählen Stunden. Die eigene Bank wird unverzüglich über den Verdacht informiert und um ein Rückholersuchen gebeten; bei SEPA-Überweisungen bestehen Chancen, solange der Betrag beim Empfängerinstitut noch nicht weitergeleitet ist. Parallel gehört der Fall zur Anzeige, Zugangsdaten werden gewechselt und der betroffene Mailverkehr gesichert. Die Eigentümergemeinschaft ist zu informieren, weil Gemeinschaftsvermögen betroffen ist und der Vorgang spätestens in der Jahresabrechnung sichtbar wird.

Haftung und Versicherungsschutz

Wer fremde Konten führt, schuldet die Sorgfalt eines ordentlichen Verwalters. Ob ein Schaden ersatzpflichtig ist, hängt davon ab, welche Kontrollen eingerichtet waren und ob sie eingehalten wurden; eine dokumentierte Freigabekette ist deshalb nicht nur Prävention, sondern auch Nachweis. Vermögensschadenhaftpflicht- und Vertrauensschadenversicherungen decken solche Fälle unterschiedlich weit ab – ein Blick in die Bedingungen, insbesondere auf Ausschlüsse für Social Engineering, gehört vor den Schadensfall und nicht danach. Zahlungsbetrug lässt sich nicht durch Aufmerksamkeit allein verhindern, weil die Angriffe genau auf einen unaufmerksamen Moment zielen. Was trägt, sind Prozesse, die auch in diesem Moment greifen.

Bildquellen: Titelbild – Quelle: Pexels, Fotograf/Beitragender: Markus Winkler | Bild 1 – Quelle: Pexels, Fotograf/Beitragender: Gustavo Fring. Lizenz: Pexels License (kostenlose kommerzielle Nutzung, keine Namensnennung erforderlich – hier dennoch zur Transparenz angegeben).