In diesem Artikel
Dienstagnachmittag. Dein üblicher Fleischlieferant ruft an — du erkennst die Stimme sofort, derselbe Mann, mit dem du seit drei Jahren zusammenarbeitest. Er klingt gehetzt: Die Bank des Betriebs sei auf ein neues System umgestiegen, und die heutige Zahlung müsse auf ein anderes Konto gehen. Er schickt es dir sofort per WhatsApp. Kannst du jetzt überweisen, er steckt zwischen zwei Lieferungen?
Die Stimme ist nicht gefälscht. Sie klingt genau wie er. Und genau das hat sich geändert: Eine korrekt klingende Stimme ist kein Beweis mehr, dass du mit der richtigen Person sprichst.
Was sich wirklich geändert hat
Rechnungsbetrug gibt es, seit es Rechnungen gibt — ein gefälschter Brief, eine gefälschte E-Mail mit einem Buchstaben zu viel in der Domain, eine Unterschrift, die nicht ganz passt. Betriebe haben inzwischen weitgehend gelernt, so etwas zu erkennen: Eine E-Mail vom "Steuerberater" mit einem Leerzeichen zu viel in der Adresse weckt Misstrauen.
Neu ist die Stimme. Untersuchungen des Sicherheitsunternehmens McAfee zeigten, dass etwa drei Sekunden Audio genügen, um eine Stimme mit rund 85% Genauigkeit zu klonen — genug, um ein geschultes Ohr zu überzeugen, erst recht ein gehetztes. Diese drei Sekunden sind überall zu finden: eine Voicemail-Ansage, eine Antwort auf eine Google-Rezension, die der Lieferant selbst eingesprochen hat, ein Ausschnitt aus einer Podcast-Folge. Niemand muss etwas Ungewöhnliches tun, um dieses Audio öffentlich zu machen; es steht oft schon da.
Das genaue Ausmaß für unabhängige Restaurants lässt sich schwer beziffern — die meisten Vorfälle werden nie gemeldet, aus Scham oder weil der Betrag zu klein erschien. Was dokumentiert ist: Bei größeren Unternehmen liegt der durchschnittliche Schaden pro Vorfall dieser Art (in den USA vom FBI unter "Business Email Compromise" erfasst) im fünf- bis sechsstelligen Eurobereich, und die Fallzahlen steigen jährlich. Der Mechanismus, der dort funktioniert, ist genau derselbe, der bei einer kleinen Küche funktioniert — nur der Betrag unterscheidet sich.
Der Grund, warum ein Familienbetrieb besonders anfällig ist, ist nicht technisch, sondern organisatorisch. In einem größeren Unternehmen setzt eine Person eine Zahlung auf und eine andere gibt sie frei. In einem Restaurant ist das oft dieselbe Person — der Inhaber, oder wer gerade zwischen zwei Schichten am Schreibtisch sitzt. Eine Anfrage, die von jemandem zu kommen scheint, dem man bereits vertraut, ist genau darauf ausgelegt, diese zweite Kontrolle zu umgehen, die ein größerer Betrieb hätte.
Die Anatomie eines einzigen Anrufs
Fünf Momente, jeweils mit Warnzeichen und Stopp
Eine Nachricht oder ein Anruf, der dringend wirkt, leicht außerhalb des üblichen Kanals (WhatsApp statt E-Mail) oder zu einer ungewöhnlichen Zeit — meist mit einer Ausrede ("die Bank ist umgestiegen", "unser System wurde geändert").
Ein echter Lieferant oder Steuerberater hat es bei einer Kontonummer nie eilig. Warten kostet ihn nichts; dich kostet es alles, wenn du jetzt überweist.
Die Stimme klingt richtig — aber es wird Druck gemacht, heute zu handeln und vorher nicht mit jemand anderem zu sprechen. "Halten wir es einfach", oder "ich wollte dich nicht mit Details behelligen".
Ein echter Geschäftspartner versteht, dass du kurz nachprüfen willst. Wer das abwehrt, gibt dir das klarste Signal von allen fünf.
Du wirst gebeten, es nicht deinem Partner, deiner Buchhaltung oder wem sonst mitzuteilen — "um es einfach zu halten" — oder es heißt, die übliche Kontaktperson sei gerade nicht erreichbar.
Das ist das deutlichste Warnzeichen von allen fünf. Ein echter Lieferant bittet dich nie, etwas vor deiner eigenen Buchhaltung geheim zu halten.
Eine geänderte Kontonummer auf einer bestehenden oder kommenden Rechnung — manchmal ein kleiner Unterschied zu der Nummer, die du seit Jahren nutzt, manchmal eine komplett andere, "nur dieses eine Mal".
Ruf die Nummer zurück, die du schon vorher hattest — nie eine Nummer, die in derselben Nachricht steht, die um die Änderung bittet.
Sobald das Geld durch eine gewöhnliche Überweisung fort ist, ist es fast sofort weg — anders als bei einer Kartenzahlung gibt es keine automatische Rückbuchung.
Das ist der letzte Moment, und genau deshalb ist jeder Moment davor die eigentliche Verteidigungslinie. Hier angekommen hängt alles davon ab, wie schnell du die Bank anrufst (siehe unten).
Bei jedem dieser fünf Momente genügt eine Gewohnheit, um es zu stoppen: ruf eine Nummer zurück, die du schon vorher hattest, nie eine aus der Nachricht mit der Änderungsbitte.
Keiner dieser fünf Momente erfordert technisches Wissen, um erkannt zu werden. Es reicht zu wissen, worauf man achten muss — und schon vor dem Anruf eine Gewohnheit dafür zu haben.
Das Rückruf-Protokoll
Es gibt eine Gewohnheit, die bei jedem der oben genannten Momente wirkt, und sie kostet fast nichts: Prüfe eine geänderte Zahlungsangabe immer über Kontaktdaten, die du bereits hattest — nie eine Nummer, E-Mail-Adresse oder einen Link aus derselben Nachricht, die um die Änderung bittet. Ruf die Nummer an, die in deinem Telefon gespeichert ist, oder die auf der letzten Rechnung stand. Nicht die, die dich gerade angerufen hat.
Drei Regeln machen dieses Protokoll praktikabel für eine Küche, in der niemand Zeit für eine Compliance-Abteilung hat:
- Jede geänderte Kontonummer verdient ein zweites Augenpaar — auch in einem Zwei-Personen-Betrieb. Das ist dein Partner, deine Buchhaltung, oder wer auch immer nicht dieselbe Person ist, die den Anruf entgegennahm UND die Zahlung ausführt. Eine einzelne Person, die beides macht, ist genau die Situation, die Betrug sucht.
- Eine erstmalige Änderung bei einer großen Rechnung verdient eine kurze Pause — einen Tag, oder bis du den Lieferanten unter der alten Nummer erreicht hast. Eine echte Änderung übersteht diese Pause problemlos; eine betrügerische meist nicht, denn der Druck, jetzt zu handeln, war der ganze Zweck.
- Vereinbare mit deinem Team, dass niemand für einen Kontrollanruf ausgelacht wird. Der Hauptgrund, warum dieses Protokoll scheitert, ist nicht Unwissenheit — es ist, dass sich jemand unwohl fühlt, den Lieferanten zurückzurufen "um zu prüfen, ob er es wirklich war". Mach das zur Norm, nicht zur Ausnahme.
Ohne Rückruf versus mit Rückruf
Dieselbe Anfrage, zwei Wege
Nachricht mit geänderter Kontonummer kommt an
Zahlung wird sofort ausgeführt
Geld ist weg — keine Rückbuchung möglich
Nachricht mit geänderter Kontonummer kommt an
Rückruf an die schon bekannte Nummer (< 2 Minuten)
Betrug erkannt — nichts verloren
Die Verteidigung kostet unter zwei Minuten. Der Fehler, den sie verhindert, kostet den Rechnungsbetrag.
Wie verdächtig ist dieser Anruf?
Keines der Merkmale unten beweist für sich genommen Betrug — aber je mehr davon zutreffen, desto größer der Grund, vor dem Zahlen erst zurückzurufen. Hake ab, was auf ein gerade geführtes oder laufendes Gespräch zutrifft.
Risikocheck für dieses Gespräch
Hake ab, was zutrifft — das Urteil aktualisiert sich automatisch
Urteil
Geringes Risiko
Wenige Warnzeichen vorhanden. Trotzdem nicht verkehrt, vor der Bestätigung kurz die bekannte Nummer zurückzurufen — das kostet zwei Minuten.
0 / 7 Merkmale angekreuzt
Diese Liste ersetzt keinen gesunden Menschenverstand — ein Gespräch mit null Merkmalen kann trotzdem Betrug sein, und ein einzelnes Merkmal beweist nichts. Sie ist eine Erinnerungsstütze für den Moment, in dem du dich gehetzt fühlst und prüfen willst, ob das normal ist.
Wenn es schon passiert ist
Merkst du erst nach der Überweisung, dass etwas nicht stimmte, zählt jede Minute. Geh in dieser Reihenfolge vor:
- Ruf sofort die Betrugshotline deiner Bank an — nicht den normalen Kundendienst. Banken können eine Überweisung manchmal noch zurückholen, solange das Geld nicht vollständig beim Empfängerkonto angekommen ist, aber dieses Fenster ist meist eine Frage von Minuten bis wenigen Stunden, nicht Tagen.
- Erstatte Anzeige bei der Polizei. Auch wenn der Betrag klein erscheint: Eine Anzeige ist für eine eventuelle Versicherungsforderung nötig und hilft der Polizei, das Muster zu erkennen, wenn derselbe Betrüger weitere Betriebe anspricht.
- Informiere deinen echten Lieferanten oder Steuerberater. Sie können andere Kunden warnen, die denselben Anruf erhalten könnten — und es ist für sie genauso unangenehm, dass ihr Name und ihre Stimme dafür missbraucht werden.
- Schäm dich nicht, es im Team zu melden. Das passiert Betrieben jeder Größe: 2024 überwies die britische Tochter eines deutschen Energiekonzerns Berichten zufolge 220.000 Euro, nachdem der Geschäftsführer einen Anruf erhielt, der exakt wie der Geschäftsführer der deutschen Muttergesellschaft klang, mit einer geklonten Stimme, die um eine dringende Zahlung für einen Deal bat. Wenn das dort passieren kann, ist es kein persönliches Versagen, wenn es dir passiert.
Diese Woche einzurichten
Vier Dinge, die du diese Woche einrichten kannst, ohne System oder Budget:
- Schreib das Rückruf-Protokoll wörtlich auf — eine Zeile auf einem Blatt neben der Kasse oder dem Schreibtisch: "Geänderte Kontonummer: alte Nummer zurückrufen, nie die neue."
- Erzähl es allen, die mit Zahlungen zu tun haben — auch wer nur an deinem freien Tag mal eine Rechnung bezahlt.
- Vereinbare ein Codewort oder eine Kontrollfrage mit deinen Stammlieferanten und der Buchhaltung für telefonische Änderungen — etwas, das eine geklonte Stimme nicht einfach wüsste.
- Sorge für ein zweites Augenpaar bei jeder Zahlung über einem Betrag, den du als bedeutend ansiehst — auch wenn das bedeutet, dass Partner oder Buchhaltung vor dem Absenden eine Nachricht bekommen.
Der Kern der Sache
Eine geklonte Stimme überzeugt, weil sie genau das ist, was sie zu sein vorgibt: eine korrekt klingende Stimme. Was nicht stimmt, sind die Eile, die Bitte um Verschwiegenheit und die geänderte Nummer — und diese drei Dinge sind ohne jedes technische Wissen erkennbar. Eine Gewohnheit, ein Rückruf an eine schon bekannte Nummer, stoppt fast jede Variante dieser Geschichte, bevor Geld fließt.