So prüfen Sie, dass Überweisungsdaten nicht gefälscht sind
Eine erfundene IBAN scheitert meist an der eingebauten Mod-97-Prüfung. Das eigentliche Risiko ist heute aber Invoice Redirection — eine echte IBAN, die einem Kriminellen gehört, der die Rechnung abgefangen hat. So verifizieren Sie Zahlungsdaten vor der Ausführung.
Wie eine IBAN aufgebaut ist
Die International Bank Account Number ist in ISO 13616 definiert. Sie beginnt mit dem zweistelligen ISO-Ländercode, gefolgt von zwei Prüfziffern und der landesspezifischen BBAN — z. B. 22 Zeichen in Deutschland, 20 in Frankreich, 27 in Italien. Die Gesamtlänge ist je Land fix.
Die zwei Prüfziffern nutzen das Mod-97-Verfahren: Land und Prüfziffern werden ans Ende gerückt, Buchstaben durch Zahlen ersetzt (A=10 … Z=35), dann Ganzzahl modulo 97. Eine gültige IBAN ergibt stets den Rest 1. Deshalb besteht eine zufällige Zeichenkette oder ein Tippfehler diese Prüfung praktisch nie. Das beweist nicht, dass das Konto existiert — nur, dass die Nummer formal korrekt ist.
Der BIC (SWIFT-Code) identifiziert das Institut selbst: 8 oder 11 Zeichen aus Institut, Land und Filiale. Innerhalb von SEPA ist der BIC seit 2016 optional — die IBAN allein genügt — aber für Auslandsüberweisungen außerhalb SEPA ist er weiterhin erforderlich.
Die eigentliche Gefahr: Rechnungsumleitung
Der Betrug, der europäische Unternehmen jährlich hunderte Millionen Euro kostet, ist keine falsche IBAN, sondern Business Email Compromise (BEC), auch Rechnungsumleitungsbetrug genannt. Angreifer verschaffen sich Zugriff auf ein E-Mail-Konto (des Zahlenden oder des Lieferanten), warten auf eine offene Rechnung und schicken eine täuschend echte Mail, in der der Lieferant angeblich 'geänderte Bankverbindung' mitteilt. Die neue IBAN ist echt und besteht jede Prüfsumme — sie gehört nur dem Betrüger.
Das Muster ist wiedererkennbar: Die Mail kommt spät im Prozess, oft in der letzten Woche vor der Zahlung. Die Absenderdomain ist ein Beinahe-Klon (Zusatzbuchstabe, vertauschtes .com/.de). Der Ton drängt zur Eile und bittet, nicht anzurufen, sondern per Mail zu antworten. Oft steht der echte Mitarbeiter zwar im CC, erhält die Nachricht aber nie.
Verifikations-Checkliste
Nutzen Sie diese sechs Schritte vor jeder Erstüberweisung und bei jeder Änderung der Bankverbindung:
1. IBAN muss die Mod-97-Prüfung bestehen — die meisten Online-Banking-Apps prüfen das automatisch. Scheitert sie, sofort ablehnen.
2. Kontoinhabernamen mit Verification of Payee prüfen, sobald angeboten (im Euroraum Pflicht für Euro-Überweisungen seit 9. Oktober 2025).
3. Bei geänderten Bankdaten den Lieferanten unter einer unabhängig ermittelten Telefonnummer anrufen — Website, alte Rechnung, nie die neue Mail.
4. Bei großen Zahlungen zuerst eine kleine Testüberweisung senden und den Eingang bestätigen lassen.
5. Absenderdomain zeichenweise prüfen; über Links fahren, um die echte URL zu sehen.
6. Keine Bankdatenänderung allein auf Basis einer einzigen Mail freigeben — Vier-Augen-Prinzip einführen.
Frequently asked questions
- Eine Prüfsumme nach ISO 13616: IBAN umsortieren, Buchstaben in Zahlen wandeln, Ganzzahl modulo 97. Gültige IBAN ergibt stets 1. Zufällige oder falsch getippte IBANs bestehen das fast nie — ein günstiger Erstfilter.
Related on Banks.eu
Informational purpose only. Rates and product terms change frequently — always verify with the issuing institution before opening an account. Some links may be affiliate or partner links and never influence editorial rankings.
