Phishing, Fake-Rechnungen, falsche Behörden und dubiose Branchenbücher – Unternehmen geraten zunehmend ins Visier

Unternehmen müssen sich längst nicht mehr nur vor schlecht geschriebenen Spam-Mails und offensichtlich gefälschten Rechnungen schützen. Die vorliegende aktuelle Warnübersicht der Wirtschaftskammer Österreich zeigt eine bemerkenswerte Bandbreite von Betrugsversuchen: Sie reicht von gefälschten Behörden- und Kammernachrichten über falsche Rechtsanwaltskanzleien bis zu Branchenbuchangeboten, Zahlungsaufforderungen und Bestellbetrug.

Besonders gefährlich ist dabei ein gemeinsames Prinzip: Die Täter versuchen, sich das Vertrauen einer bereits bekannten Institution oder eines seriösen Unternehmens auszuleihen.

So werden beispielsweise Nachrichten im Namen der Wirtschaftskammer, des Finanzministeriums, von FinanzOnline, Statistik Austria, des Patentamts oder der Datenschutzbehörde verschickt. Die Empfänger sollen Unternehmensdaten aktualisieren, Bankdaten angeben, Rechnungen bezahlen oder Dokumente öffnen.

Selbst Rechtsanwaltskanzleien werden imitiert

Die Professionalität reicht noch weiter. In der Warnübersicht finden sich sowohl eine angebliche Kanzlei „Ziegler und Partner“ als auch Betrugsmails vermeintlicher Rechtsanwaltskanzleien wegen angeblicher Copyright-Verletzungen. Außerdem wird ausdrücklich vor Phishing-Mails gewarnt, die sogar im Namen tatsächlich existierender Kanzleien versandt werden.

Damit verliert eine der klassischen Sicherheitsregeln an Wirkung: Ein seriös klingender Absendername ist kein ausreichender Echtheitsnachweis.

Unternehmen sollten deshalb nicht die Kontaktdaten aus einer verdächtigen Nachricht verwenden, sondern die betreffende Organisation über unabhängig recherchierte Kontaktdaten erreichen.

Vorsicht vor dem Geschäft mit dem Firmenregister

Ein weiterer Schwerpunkt sind vermeintliche Firmen-, Gewerbe- und Branchenregister.

Die Warnliste nennt unter anderem irreführende beziehungsweise problematische Angebote zu Telefonbuch- und Brancheneinträgen sowie Schreiben unter Bezeichnungen wie „Aktuelles Firmen-Register“, „AWI – Allgemeine Wirtschaftsinformation Industrie, Handel & Gewerbe“, „Online-Firmenfinder“, „FFOL | Firmenbuch online“, „Gewerbe Informationsverzeichnis“ oder Angebote für Stadt- und Ortsplaneinträge.

Gerade solche Schreiben können auf den ersten Blick wie eine amtliche Aufforderung wirken. Entscheidend ist deshalb die Frage: Wer ist tatsächlich der Vertragspartner – und welche Kosten entstehen durch Unterschrift, Bestätigung oder Rücksendung?

Die gefährlichste Kombination: Autorität plus Zeitdruck

Besondere Vorsicht ist geboten, wenn mehrere psychologische Elemente zusammenkommen:

Eine angebliche Behörde meldet sich. Eine Rechnung sei überfällig. Unternehmensdaten müssten „dringend“ bestätigt werden. Eine Frist laufe ab. Ein Link müsse angeklickt werden.

Die Warnübersicht dokumentiert beispielsweise falsche Nachrichten über angeblich überfällige Mitgliedsrechnungen, Kammerumlagen, Zahlungsaufforderungen und sogar vermeintliche Betriebsprüfungen durch das Finanzamt.

Das Ziel ist häufig, den Empfänger vom Prüfen zum schnellen Handeln zu bewegen.

Wenn das Unternehmen bereits hereingefallen ist

Dann zählt Geschwindigkeit. Gleichzeitig sollte nicht hektisch alles gelöscht oder verändert werden, denn gerade E-Mails, Header, Rechnungen, Verträge, Telefonnummern und Zahlungsdaten können später wichtige Beweismittel darstellen.

Ein sinnvolles Sofortprogramm sieht so aus:

1. Weitere Zahlungen sofort stoppen. Keine Nachzahlungen, „Freischaltgebühren“, angeblichen Steuern oder Rückholgebühren leisten. Zahlungsberechtigungen intern sperren.
2. Bank beziehungsweise Zahlungsdienstleister unverzüglich kontaktieren. Bei einer gerade ausgeführten Überweisung sollte geprüft werden, ob sie noch angehalten oder ein Rückruf veranlasst werden kann. Bei kompromittierten Karten oder Kontozugängen sind entsprechende Sperren erforderlich.
3. Beweise sichern. E-Mails einschließlich Header, Anhänge, Rechnungen, Verträge, Screenshots, Chats, Telefonnummern, Kontoverbindungen, IBANs, Domains, Zahlungsbelege und Gesprächsnotizen unverändert aufbewahren.
4. Zugangsdaten ändern. Wurden Passwörter oder Zugangsdaten eingegeben, sollten die betroffenen Konten abgesichert und vorhandene Mehrfaktor-Authentifizierung aktiviert beziehungsweise erneuert werden. Bei geschäftlichen Systemen gehört die IT-Abteilung oder der IT-Dienstleister sofort dazu.
5. Geschäftspartner warnen. Wurde beispielsweise das E-Mail-Konto eines Geschäftsführers übernommen, können Täter im nächsten Schritt Lieferanten oder Mitarbeiter mit gefälschten Zahlungsanweisungen anschreiben.
6. Strafanzeige prüfen beziehungsweise erstatten. Bei einem konkreten Betrugsverdacht sollten die gesicherten Unterlagen den zuständigen Strafverfolgungsbehörden zur Verfügung gestellt werden. Bei erheblichen Schäden empfiehlt sich zusätzlich frühzeitig anwaltliche Beratung.
7. Vertragliche Ansprüche prüfen lassen. Nicht jeder problematische Branchenbucheintrag oder jede irreführende Rechnung ist rechtlich identisch. Ob ein Vertrag zustande gekommen ist und ob Anfechtung, Kündigung, Rückforderung oder Schadensersatz in Betracht kommen, hängt vom konkreten Sachverhalt ab.
8. Keine „Recovery Scam“-Falle riskieren. Nach einem Betrugsfall können sich vermeintliche Anwälte, Ermittler oder Spezialfirmen melden und versprechen, verlorenes Geld gegen Vorauszahlung zurückzuholen. Auch deren Identität und Berechtigung muss unabhängig überprüft werden.

Ein besonders wichtiger Grundsatz für Geschäftsführer

Bei größeren Schäden sollte ein Betrugsfall nicht nur als IT-Problem behandelt werden. Er kann Liquidität, Compliance, Datenschutz, Versicherungsschutz und unter Umständen gesellschaftsrechtliche Pflichten der Geschäftsleitung berühren.

Droht durch den Verlust eine ernsthafte Liquiditätskrise, sollte die Geschäftsführung deshalb unverzüglich die Zahlungsfähigkeit und Finanzplanung aktualisieren und fachkundig prüfen lassen, welche rechtlichen Pflichten daraus entstehen.

Das gilt insbesondere dann, wenn ein Unternehmen nicht durch eine Fake-Rechnung geschädigt wurde, sondern auf einen vermeintlichen Investor oder Kreditgeber vertraut hat und eine zugesagte Finanzierung plötzlich ausbleibt.

Die wichtigste Präventionsregel lautet daher:

Eine Finanzierungszusage ist keine Liquidität. Erst tatsächlich verfügbares Geld kann sicher in die Zahlungsplanung einbezogen werden.

Die aktuelle Warnübersicht zeigt zudem, dass sich Betrugsversuche keineswegs auf E-Mails beschränken: Dokumentiert werden unter anderem SMS, automatisierte Anrufe, unangekündigte Haustürbesuche und unerbetene Telefonanrufe.

Fazit: Unternehmen brauchen heute nicht nur Spamfilter, sondern einen organisatorischen Prüfprozess. Neue Bankverbindungen, ungewöhnliche Rechnungen, Änderungen von Zahlungsdaten und unerwartete Behördenkontakte sollten grundsätzlich über einen zweiten, unabhängig verifizierten Kommunikationsweg bestätigt werden.