Online-Zahlungsbetrug, Payment Diversion: Umleitung von Zahlungsströmen
Betrüger leiten mithilfe z. B. gefälschter Mitteilungen oder manipulierter Rechnungen Zahlungen auf eigene Konten um. Lesen Sie, wie Unternehmen sich vor Payment-Diversion-Angriffen schützen.
Payment Diversion, Das Wichtigste in Kürze
- Payment Diversion ist eine Betrugsmasche, bei der Zahlungen über geänderte Bankverbindungsdaten auf Konten von Kriminellen umgeleitet werden.
- Die Angriffsmethoden sind vielfältig – von gefälschten Rechnungen und QR-Codes bis hin zu Business E-Mail Compromise (BEC).
- Täuschend echte Mitteilungen per E-Mail, Brief, Fax oder Telefon machen die Masche besonders gefährlich.
Definition, Was ist Payment Diversion?
Payment Diversion (auch Payment Diversion Fraud) bezeichnet eine Form von Cyberbetrug, bei dem Zahlungen von Unternehmen auf Konten von Angreifern umgeleitet werden. Ausgangspunkt ist meist eine scheinbar harmlose Mitteilung an die Buchhaltung – etwa die angebliche Änderung der Bankverbindung eines Lieferanten. Wird diese ungeprüft übernommen, fließen die Zahlungen direkt auf das Konto der Betrüger.
Besonders gefährlich: Briefe, Faxe, Anrufe oder auch E-Mails lassen sich technisch leicht manipulieren, sodass sie scheinbar von vertrauten Absendern stammen. Das Gefährliche daran ist, dass der Betrug erst einige Zeit später auffällt, meistens wenn es zur Mahnung durch den Geschäftspartner kommt. Auf Grund der verstrichenen Zeit sind die Chancen, das Geld zurückzubekommen, dann aber gering.
Welche Arten von Payment Diversion gibt es?
Die eingesetzten Methoden sind vielfältig: manipulierte Rechnungen, gefälschte Zahlungsinformationen in E-Mails oder Mitteilungen zu neuen Kontodaten. Auch QR-Codes auf Rechnungen oder Links in E-Mails können abweichende Bankverbindungen enthalten.
Besonders verbreitet ist der Business E-Mail Compromise (BEC), eine Betrugsmasche, die auch beim sogenannten CEO-Fraud zum Einsatz kommt. Dabei verschaffen sich Angreifer Zugriff auf den E-Mail-Verkehr eines Unternehmens bzw. auf einzelne E-Mailkonten von Mitarbeitern und versenden Nachrichten im Namen realer Kontakte. Da die Nachrichten von tatsächlich existierenden E-Mail-Adressen kommen, erscheinen diese besonders glaubwürdig.
Typischer Ablauf, Wie läuft ein Payment-Diversion-Angriff ab?
Mitteilung der Bankdatenänderung
Ein Lieferant, Geschäftspartner oder sogar ein vermeintlicher Mitarbeiter informiert über eine neue Bankverbindung. Die Mitteilung kann per E-Mail, Brief, Fax oder Anruf kommen.
Übernahme in die Stammdaten
Die neue Kontoverbindung wird in der Buchhaltung oder im ERP-System hinterlegt, oft ohne weitere Rückfrage oder Verifizierung.
Zahlung auf falsches Konto
Alle folgenden Überweisungen (z. B. Begleichung einer Rechnung, Daueraufträge, Gehalts- oder Bonuszahlungen) werden automatisch auf das Konto der Angreifer umgeleitet.
Besonders heikel ist, dass diese Änderungen oft kurz vor dem Zahlungsziel angekündigt werden, um zeitlichen Druck aufzubauen und den Prüfprozess zu verhindern.
Warnzeichen, Wie erkenne ich Payment Diversion?
Verdächtiger Absender
Ungewohnte E-Mail-Adressen, Schreibfehler oder abweichende Ansprechpartner können auf Payment Diversion hinweisen.
Zeitpunkt
Die Änderungsmitteilung erscheint kurz vor Fälligkeit einer Rechnung.
Abweichungen zu Stammdaten
Übermittelte Bankinformationen stimmen nicht mit den gespeicherten Daten überein.
Unstimmigkeiten beim Land
Die Bankverbindung gehört zu einem Land, das nicht zum Sitz des Lieferanten passt.
Gefälschte QR-Codes oder Links
Die Codes bzw. Links enthalten andere Bankverbindungsdaten als die Rechnung selbst. Wer die Zahlungsinformation vor Auftragsfreigabe nicht prüft, fällt schnell auf Payment Diversion rein.
Manipulierte Mitarbeitenden-Bankverbindung
Angreifer geben sich als Mitarbeitende aus und berichten von einer geänderten Bankverbindung, um Gehaltszahlungen auf ihr Konto umzuleiten.
Änderungsmitteilung ohne Rechnungsbezug
Mitteilungen über eine angebliche Änderung der Bankverbindung sind auch ohne Rechnungsbezug möglich. Dies tritt häufig bei Unternehmen auf, die nach festen Verträgen auf Leistung bezahlen.
Prävention, Wie kann Payment Diversion verhindert werden?
Payment-Diversion-Angriffe lassen sich wirksam abwehren, wenn Unternehmen technische Schutzmaßnahmen ergreifen, klare Prüfprozesse definieren und vor allem ihre Mitarbeitenden für Cyberrisiken sensibilisieren. Die folgenden Maßnahmen helfen dabei, das Risiko deutlich zu reduzieren:
1. IT-Sicherheit und Schutz vor BEC-Angriffen
Business E-Mail Compromise (BEC) ist eine der größten Gefahren im Zusammenhang mit Payment Diversion. Anders als beim klassischen Phishing nutzen Angreifer dabei legitime E-Mail-Konten, die zuvor kompromittiert wurden.
- Schützen Sie E-Mail-Konten durch starke Passwörter und Zwei-Faktor-Authentifizierung. Implementieren Sie Sicherheitstechnologien, die Ihre E-Mail-Domaines vor Missbrauch schützen.
- Nutzen Sie verschlüsselte E-Mail-Kommunikation und überwachen Sie diese auf verdächtige Aktivitäten.
2. Sorgfältige Prüfung von Bankdaten
- Verifizieren Sie bei neuen Lieferanten die Bankdaten – am besten im persönlichen Gespräch.
- Hinterfragen Sie Auffälligkeiten wie abweichende Beträge, kurzfristige Änderungen der Kontoverbindung oder ungewöhnliche Formulierungen. Achtung: Auch Stammdaten selbst könnten bereits vorher manipuliert worden sein. Hier hilft die Dokumentation von Änderungen zwecks Nachvollziehbarkeit.
- Bei Unsicherheiten rufen Sie die offizielle Telefonnummer des Absenders an – verwenden Sie nicht die in der Nachricht angegebenen Kontaktdaten.
3. Vorsicht bei QR-Codes und Links
- Im Rahmen von Payment Diversion werden häufig manipulierte QR-Codes oder eingebettete Links eingesetzt. Prüfen Sie daher, ob die Zahlungsinformationen im QR-Code oder im Link mit den bei Ihnen hinterlegten Daten übereinstimmen.
4. Einheitliche Prozesse für Stammdatenänderungen
Bankverbindungen und Lieferanschriften gehören zu den sensibelsten Unternehmensdaten. Daher gilt:
- Geben Sie Stammdatenänderungen nur über definierte Prozesse und im Vier-Augen-Prinzip frei – egal ob es schnell gehen muss oder nicht.
- Lassen Sie sich jede Änderungsanfrage auf einem separaten Kanal bestätigen (z. B. Rückruf bei einem bekannten Ansprechpartner).
- Prüfen Sie Ihre internen Prozesse bei der Änderung von Kunden- oder Mitarbeiterdaten.
- Dokumentieren Sie jede Änderung transparent, um Manipulationen nachvollziehen zu können.
5. Zeitliche Puffer bei Überweisungen
- Reichen Sie Überweisungen nicht erst kurz vor den Cut-off-Zeiten ein, damit Ihre Bank Sie noch rechtzeitig bei Betrugsverdacht kontaktieren kann.
- Nutzen Sie zusätzliche Schutzmechanismen wie die Empfängerüberprüfung (Verification of Payee), die seit dem 9. Oktober 2025 verfügbar ist.
6. Sensibilisierung der Mitarbeiter
Technische Maßnahmen allein reichen nicht aus. Menschen sind das wichtigste Glied in der Abwehrkette:
- Mitarbeitende – insbesondere in Buchhaltung, HR und Einkauf – sollten regelmäßig geschult werden, um zu Betrugsmaschen wie Payment Diversion auf dem neuesten Stand zu sein.
- Fördern Sie eine Unternehmenskultur, in der Mitarbeiter bei Zweifeln keine Angst vor Rückfragen haben müssen.
Reaktion im Ernstfall, Was können Opfer von Payment Diversion tun?
- 1.Beweise sichern
Sammeln und dokumentieren Sie alle Hinweise auf den Betrugsversuch, etwa E-Mails, Briefe, Faxe sowie Kontoauszüge. Diese Unterlagen sind entscheidend für spätere Ermittlungen und mögliche rechtliche Schritte. - 2.Bank informieren
Ihr Unternehmen sollte die Bank umgehend informieren, damit entsprechende Maßnahmen eingeleitet werden können. Kontaktieren Sie Ihren Firmenkundenbetreuer bzw. rufen Sie unsere Firmenkunden-Hotline +49 69 1362 6360 (Montag – Freitag 8:00 – 18.00 Uhr) an. - 3.Polizei einschalten
Erstatten Sie unbedingt Anzeige – entweder bei Ihrer örtlichen Polizeidienststelle oder an die Zentrale Ansprechstelle Cybercrime (ZAC) Ihres Bundeslandes. Übergeben Sie sämtliche Beweismaterialien zusammen mit der Anzeige.
Die Commerzbank an Ihrer Seite, Was tun wir für Ihre Sicherheit im Firmenkundenportal?
Höchste Sicherheitsstandards
Das Firmenkundenportal mit seinen verschiedenen Anwendungen wird regelmäßig von Sicherheitsteams getestet und in der Entwicklung geprüft bzw. weiterentwickelt.
Deaktivierung von betrügerischen Phishing-Seiten
Wir können nicht verhindern, dass eine Phishing-Mail in Ihrem Postfach landet. Wir sorgen jedoch für die Abschaltung der darin verlinkten gefälschten Webseiten ‒ meistens gelingt dies umgehend.
2-Faktor-Authentifizierung
Die Anmeldung im Online Portal wird mit Hilfe der 2-Faktor-Authentifizierung (2-FA) als zusätzliche Sicherheitsmaßnahme durchgeführt. Auch wenn Phishing damit nicht vollständig verhindert werden kann, dient es dem besseren Schutz Ihres Kontos.
Persönliche Beratung
Bei Fragen oder Sicherheitsbedenken wenden Sie sich bitte direkt an Ihren Firmenkundenbetreuer.