Mein Lieferant hat neue Bankdaten geschickt. Was sollte ich prüfen?

Sie zahlen seit Monaten an denselben Lieferanten, oder Sie stehen kurz davor, eine Anzahlung zu leisten. Eine E-Mail erreicht Sie von Ihrem üblichen Kontakt: Das Unternehmen habe die Bank gewechselt, oder das Konto sei „in Prüfung“, und diese Zahlung solle auf ein neues Konto gehen. Eine neue Rechnung ist beigefügt, mit Stempel und dem richtigen Logo.

Behandeln Sie die Änderung als unbestätigt, bis Sie sie über einen Kanal geprüft haben, der nicht aus der Nachricht selbst stammt. Antworten Sie nicht auf die E-Mail, um sie zu prüfen, und rufen Sie keine darin genannte Nummer an. Halten Sie die Zahlung zurück, bis der Lieferant die neuen Angaben über Kontaktdaten bestätigt, die Ihnen bereits bekannt sind, und bis der neue Zahlungsempfänger für diesen Auftrag plausibel ist. Wenn Sie bereits gezahlt haben, wenden Sie sich sofort an Ihre Bank und bitten Sie um Rückruf der Überweisung.

Warum diese Anfrage eine Pause braucht

Eine Anfrage zur Änderung der Kontodaten ist die übliche Methode beim Business Email Compromise. Der Betrüger erlangt Zugang zu einem echten Postfach, entweder dem des Lieferanten oder Ihrem, oder registriert eine ähnlich aussehende Domain, liest die Korrespondenz mit und sendet neue Zahlungsanweisungen in dem Moment, in dem eine Zahlung fällig ist. Das Internet Crime Complaint Center des FBI beschreibt dies als Betrugsmasche, die auf legitime Überweisungsaufträge abzielt und durch Kompromittierung von Geschäfts-E-Mail-Konten mittels Social Engineering oder Eindringen ausgeführt wird. In seiner Mitteilung von 2024, gestützt auf Daten von 2023, heißt es, dass Banken im Vereinigten Königreich und in Hongkong häufig als Zwischenstation für die Gelder dienten, gefolgt von China, Mexiko und den VAE. IC3.

Da die Nachricht von der echten Adresse des Lieferanten kommen und Ihren echten Auftrag zitieren kann, kann nichts in der Nachricht selbst die Anfrage bestätigen. Ein Stempel, ein Briefkopf, eine PDF-Rechnung und ein vertrauter Schreibstil lassen sich alle aus früheren E-Mails kopieren.

Lieferanten wechseln tatsächlich manchmal die Bank oder ziehen Zahlungen fortan über eine andere Gesellschaft ein. Die Pause ist kein Vorwurf; sie ist die Prüfung, die eine echte Änderung von einer betrügerischen unterscheidet.

Die Änderung über einen separaten Kanal bestätigen

Das IC3 empfiehlt, Anfragen zur Änderung von Kontodaten über sekundäre Kanäle oder Zwei-Faktor-Authentifizierung zu prüfen. IC3. In der Praxis:

• Rufen Sie eine Nummer an, die Sie bereits hatten. Verwenden Sie die Telefonnummer aus Ihrem Vertrag, aus einer früheren Rechnung, die Sie vor der Änderung erhalten haben, oder aus einem Gespräch, das Sie bereits geführt haben. Verwenden Sie keine Nummer aus der Änderungsanfrage oder aus der Signatur desselben E-Mail-Verlaufs.
• Sprechen Sie mit jemandem, den Sie kennen. Bitten Sie Ihren üblichen Kontakt und nach Möglichkeit eine zweite Person wie den Vertriebsleiter oder die Buchhaltung, die neue Kontonummer und den Namen des Zahlungsempfängers vorzulesen. Lesen Sie ihnen zunächst nichts vor.
• Nutzen Sie einen anderen Kanal, den Sie früher eingerichtet haben. Eine WeChat- oder WhatsApp-Konversation, die vor der Anfrage begann, ist ein separater Kanal; ein neues Chat-Konto, das Sie laut der E-Mail hinzufügen sollen, ist es nicht.
• Fragen Sie, warum das Konto gewechselt wurde. Eine echte Änderung hat eine gewöhnliche Antwort: eine neue Bankverbindung, eine neue einziehende Gesellschaft in der Gruppe, ein Unternehmenswechsel. Notieren Sie die Antwort; Sie werden sie mit den Unterlagen abgleichen.

Sagt der Lieferant, er habe die Anfrage nie gesendet, können beide Postfächer kompromittiert sein. Informieren Sie den Lieferanten, verwenden Sie für Zahlungsanweisungen zu diesem Auftrag keine E-Mail mehr und bewahren Sie die Nachricht für Ihre Bank auf.

Prüfen, ob der neue Zahlungsempfänger plausibel ist

Eine telefonische Bestätigung sagt Ihnen, dass der Lieferant die Anfrage gestellt hat. Sie sagt Ihnen nicht, dass der neue Zahlungsempfänger eine Partei ist, an die Sie zahlen sollten. Vergleichen Sie die neuen Angaben mit dem, was Sie über den Auftrag wissen:

• Ist der Zahlungsempfänger weiterhin der Verkäufer? Ist der Kontoname derselbe wie bei der eingetragenen Gesellschaft zuvor und wie im Vertrag, ist die Änderung eine Bankänderung. Ist der Name anders, ist es ein Wechsel des Zahlungsempfängers, der mehr als einen Telefonanruf erfordert.
• Ist es eine Variante desselben Namens? Das Konto einer chinesischen Gesellschaft kann unter einer englischen Wiedergabe ihres chinesischen Namens erscheinen. Prüfen Sie, ob der neue Name eine Schreib- oder Übersetzungsvariante ist, bevor Sie ihn als andere Partei behandeln. Der Leitfaden zu Zahlungsempfängern, deren Name nicht zum Lieferanten passt behandelt dies.
• Ist es eine Gesellschaft in Hongkong? Eine einziehende Gesellschaft in Hongkong kann rechtmäßig sein, aber ein Wechsel zu einer solchen mitten in einer Geschäftsbeziehung erfordert dieselben Nachweise wie jeder neue Zahlungsempfänger. Siehe eine Gesellschaft in Hongkong, die die Zahlung erhält.
• Ist es eine Privatperson? Bei einer kurzfristigen Aufforderung, an eine Person statt an ein Unternehmen zu zahlen, sollten Sie die Zahlung zurückhalten, bis der Verkäufer sie schriftlich erklärt hat und Sie mit der Erklärung zufrieden sind.
• Hat sich das Land der Bank geändert? Eine Empfängerbank in einem Land ohne Verbindung zum Lieferanten oder zum Auftrag ist ein Grund, innezuhalten und nachzufragen.

Bitten Sie um die neuen Zahlungsdaten auf einer aktualisierten Proforma-Rechnung oder einer Vertragsänderung des Verkäufers, die den Zahlungsempfänger nennt und festhält, dass die Zahlung an ihn Ihre Pflicht für diesen Auftrag erfüllt. Bestätigen Sie dieses Dokument über denselben separaten Kanal.

Das Unternehmen hinter der Anfrage prüfen

Wenn die Änderung mit einem neuen Firmennamen einhergeht oder Sie den ursprünglichen nie bestätigt haben, prüfen Sie den Registereintrag der Gesellschaft in Festlandchina. Sie können sie auf Englisch nachschlagen – nach englischem oder chinesischem Namen oder nach ihrem Unified Social Credit Code (USCC). Die Suche ist kostenlos; der vollständige englische Bericht ist kostenpflichtig. Ein Registereintrag bestätigt, dass ein Unternehmen existiert und was zu ihm aktenkundig ist. Er bestätigt kein Bankkonto und sagt Ihnen nicht, wer die E-Mail gesendet hat.

Die Schritte zur Prüfung des Unternehmens selbst, seiner Unterlagen und seiner Zeichnungsbefugnis finden Sie im Leitfaden zur Prüfung eines chinesischen Lieferanten.

Fragen Sie Ihre Bank, bevor Sie senden

Eine Registersuche verifiziert kein Bankkonto. Fragen Sie Ihre Bank vor dem Senden der Zahlung, welche Prüfungen sie beim Zahlungsempfänger einer internationalen Überweisung durchführen kann und was sie tun kann, wenn Sie nach dem Senden einen Betrug melden. Manche Banken können bei bestimmten Zahlungsarten den Namen des Zahlungsempfängers mit dem Empfangskonto abgleichen; fragen Sie, ob das für diese Überweisung gilt. Ist das nicht der Fall, tragen die übrigen Prüfungen in diesem Leitfaden das ganze Gewicht.

Wenn Sie bereits gezahlt haben

Handeln Sie noch am selben Tag. Das IC3 rät, bei Entdeckung einer betrügerischen Überweisung sei Eile geboten: Wenden Sie sich unverzüglich an Ihr Finanzinstitut und bitten Sie um Rückruf der Gelder, und reichen Sie unabhängig von der Höhe des Verlusts eine Beschwerde beim IC3 ein. IC3. Das IC3 ist ein Dienst der Vereinigten Staaten; wenn Sie anderswo ansässig sind, melden Sie den Fall auch der Polizei oder der Betrugsmeldestelle Ihres Landes.

• Nennen Sie Ihrer Bank Datum, Betrag, Empfängerkonto und Referenz der Überweisung.
• Bewahren Sie die E-Mails mit vollständigen Headern, die Rechnungen und alle Chat-Nachrichten auf. Löschen Sie den Verlauf nicht.
• Informieren Sie den echten Lieferanten über einen bekannten Kanal. Sein Postfach kann das kompromittierte sein, und andere Käufer erhalten möglicherweise dieselbe Anfrage.
• Ändern Sie die Passwörter Ihres eigenen E-Mail-Kontos und prüfen Sie dessen Weiterleitungsregeln, falls die Kompromittierung auf Ihrer Seite lag.

Eine Rückholung ist nicht garantiert und hängt davon ab, wie schnell die Empfängerbank erreicht wird. Je früher die Rückrufanfrage, desto besser die Chance.

Was diese Prüfungen belegen

Eine per Telefon mit einem bekannten Kontakt bestätigte Änderung, ein Zahlungsempfänger, der der Verkäufer oder eine dokumentierte einziehende Partei ist, und aktualisierte Anweisungen des Verkäufers machen es zusammen viel weniger wahrscheinlich, dass die Anfrage betrügerisch ist. Sie garantieren nicht, dass das Konto vom Lieferanten kontrolliert wird oder dass die Waren geliefert werden. Halten Sie jeden ungeklärten Punkt sichtbar und entscheiden Sie, ob er die Zahlung wert ist.

Was dieser Leitfaden nicht abdeckt

Dieser Leitfaden behandelt die Prüfung einer Anfrage zur Änderung von Zahlungsdaten, bevor Sie an einen Lieferanten in China oder Hongkong zahlen. Er behandelt nicht die E-Mail-Sicherheit im Detail, Rückholungsverfahren, Chargebacks oder Versicherungen oder das Recht eines bestimmten Landes; er ist keine Rechtsberatung.

Wenn ein Wechsel des Zahlungsempfängers Ihnen einen Vertrag, eine Rechnung und Bankdaten hinterlassen hat, die nicht mehr übereinstimmen, und Sie das Unternehmen in Festlandchina mit seinem Registereintrag abgleichen sowie den neuen Zahlungsempfänger damit vergleichen lassen möchten, können Sie mit Ihren vorhandenen Unterlagen eine Prüfung starten.