Milliardenschaden durch Überweisungsbetrug, meist vom Opfer selbst freigegeben

Überweisungsbetrug: 2,5 Milliarden Euro, meist vom Opfer selbst freigegeben

Überweisungsbetrug ist in Europa die teuerste Form des Zahlungsbetrugs. 2024 gingen im Europäischen Wirtschaftsraum (EWR) auf diesem Weg rund 2,5 Milliarden Euro verloren. Das ist mehr als bei Karten, Lastschriften, Bargeld und E-Geld zusammen. In den meisten Fällen hat dabei niemand ein Konto geknackt. Das Opfer hat die Zahlung selbst angewiesen und ordnungsgemäß freigegeben.

Überweisungsbetrug in Zahlen: was der Bericht von EZB und EBA zeigt

Die Europäische Zentralbank (EZB) und die Europäische Bankenaufsichtsbehörde (EBA) werten gemeinsam aus, welche Betrugsfälle Banken und Zahlungsdienstleister melden. Die Meldepflicht stammt aus der Zahlungsdiensterichtlinie PSD2. Der aktuelle Bericht erschien am 15. Dezember 2025 und umfasst die Jahre 2022 bis 2024. Für 2024 beziffert er den gesamten Zahlungsbetrug im EWR auf 4,2 Milliarden Euro, 17 Prozent mehr als im Vorjahr.

Überweisungen haben die niedrigste Betrugsquote aller Zahlungsinstrumente und zugleich den höchsten Schaden.

Quelle: EBA/EZB, 2025 Report on Payment Fraud, Tabelle 1 und Kapitel 2.

Überweisungen verursachen damit rund 60 Prozent des gesamten Schadens. Der Betrugswert stieg gegenüber 2023 um 24 Prozent, bei Karten um 4 Prozent. Deutschland meldet mit 474 Millionen Euro den höchsten Überweisungsbetrug aller Länder im Bericht.

Warum die niedrigste Quote den größten Schaden verbirgt

Eine Betrugsquote von 0,001 Prozent klingt beruhigend. Sie ist so klein, weil über Überweisungen enorme Summen fließen. Eine durchschnittliche Überweisung hatte 2024 einen Wert von 5.370 Euro.

Die Zahl der Fälle erzählt eine andere Geschichte als ihr Wert. 2024 meldeten die Zahlungsdienstleister rund 1,16 Millionen betrügerische Überweisungen und rund 17 Millionen betrügerische Kartenzahlungen. Auf Überweisungen entfielen also sechs Prozent aller Betrugsfälle, aber 60 Prozent des Schadens. Ein Überweisungsbetrug kostete im Schnitt 2.155 Euro, ein Kartenbetrug 76 Euro.

Der Bericht erklärt das mit der Art des Angriffs. Beim Kartenbetrug testen Täter massenhaft gestohlene Kartendaten mit kleinen Beträgen. Bei Überweisungen lohnt sich das kaum. Hier suchen Betrüger gezielt einzelne Opfer aus und bereiten den Angriff auf sie zu. Für das eigene Risiko zählt deshalb nicht die Quote, sondern die Höhe des einzelnen Falls.

Grenzüberschreitende Zahlungen sind besonders anfällig. Sie machen rund 20 Prozent des Überweisungswerts aus, aber 40 bis 50 Prozent des Betrugswerts.

Der Betrüger braucht keinen Zugang, er braucht eine Freigabe

74 Prozent des Betrugswerts bei Überweisungen gingen 2024 auf Manipulation des Zahlers zurück. Ein Jahr zuvor waren es 65 Prozent. Der Täter gibt sich als Geschäftsführer, Lieferant oder Bankmitarbeiter aus. Er bringt sein Opfer dazu, die Zahlung selbst anzuweisen. International heißt das Muster Authorised Push Payment Fraud (APP-Betrug). In Unternehmen kennt man es als CEO-Fraud oder als Rechnungsbetrug mit angeblich geänderter Bankverbindung.

Gegen dieses Muster hilft die starke Kundenauthentifizierung (SCA) wenig. Sie bestätigt, dass ein Berechtigter die Zahlung auslöst. Sie bestätigt nicht, dass der Empfänger der richtige ist. Laut Bericht zeigen per SCA bestätigte Überweisungen sogar höhere Betrugsquoten als Überweisungen ohne SCA. Die Aufsicht erklärt das so: SCA kommt vor allem bei hohen und riskanten Zahlungen zum Einsatz, und dort setzen die Täter an.

Den Schaden tragen meist die Zahler. Bei Überweisungen blieben 2024 rund 85 Prozent der Verluste bei den Kunden, bei Karten 38 Prozent. Der Bericht vermutet einen Grund in der Auslegung des Rechts: Gilt eine per SCA bestätigte Zahlung als autorisiert, bleibt der Zahler auf dem Schaden sitzen.

Der Bericht trennt nicht zwischen Verbrauchern und Unternehmen. Die Schadensstatistik des Kreditversicherers Allianz Trade zeigt aber dasselbe Bild für Firmen. Dort stiegen 2025 die Schäden durch Social Engineering um 60 Prozent. Beim Fake-President-Betrug wuchsen die Schäden um 81 Prozent, obwohl die Zahl der Fälle sank. Weniger Angriffe richten also mehr Schaden an.

„Unsere Bank prüft doch den Empfänger“

Seit dem 9. Oktober 2025 prüfen Banken im Euroraum vor jeder SEPA-Überweisung, ob Name und IBAN des Empfängers zusammenpassen. Diese Empfängerüberprüfung, Verification of Payee (VoP), ist ein echter Fortschritt. Der Bericht von EZB und EBA reicht noch nicht so weit. Ob VoP die Zahlen senkt, zeigt erst die nächste Ausgabe.

VoP prüft allerdings den Namen, nicht die Plausibilität der Zahlung. Beim CEO-Fraud nennt der Täter oft ein Konto, dessen Name stimmt. VoP meldet dann einen Treffer, obwohl die Zahlung Betrug ist. Bei Sammelüberweisungen können Unternehmen außerdem auf die Prüfung verzichten (mehr zum VoP-Opt-out). Und der Hinweis der Bank kommt spät: Er erscheint erst, wenn die Zahlung schon beauftragt wird.

Was ein Freigabeprozess gegen Manipulation leisten muss

Gegen Manipulation hilft keine weitere Unterschrift. Es hilft ein Prüfschritt zwischen Zahlungsvorschlag und Freigabe. Er stellt die Fragen, die der Manipulierte nicht mehr stellt.

Änderungen an Bankverbindungen sichtbar machen. Wurde die IBAN eines Lieferanten kurz vor der Zahlung geändert, muss der Freigebende das an der Zahlung sehen. Ein Eintrag im Änderungsprotokoll reicht nicht, denn dort schaut beim Freigeben niemand nach. Wie so ein Fall abläuft, zeigt das Beispiel der IBAN, die vier Tage vor der Zahlung geändert wurde.

Gegen die Stammdaten prüfen, nicht gegen die Rechnung. Eine gefälschte Rechnung ist in sich stimmig. Auffällig wird sie erst im Vergleich mit dem, was über den Empfänger bekannt ist: die Bankverbindung der letzten Zahlung, die üblichen Beträge, die letzten Änderungen am Datensatz. Welche Änderungen sicherheitsrelevant sind, beschreibt unser Beitrag zur Stammdaten-Validierung im Zahlungsverkehr.

Den Hinweis dort zeigen, wo entschieden wird. Eine Warnung per E-Mail geht im Postfach unter. Der Hinweis gehört in die Freigabeansicht, direkt neben den Betrag.

Auffälligkeiten kombinieren. Einen einzelnen Hinweis klickt man weg. Eine geänderte Bankverbindung, eine neue Adresse und ein ungewöhnlich hoher Betrag zusammen ergeben ein Bild, das niemand übersieht.

Kritische Hinweise nicht wegklicken lassen. Eine geänderte Bankverbindung ist kein Hinweis unter vielen. Sie braucht eine bewusste, dokumentierte Entscheidung des Freigebenden. Bei erhöhtem Risiko gehört die Zahlung zusätzlich zu einer zweiten Person.

Den Rückruf über einen bekannten Kanal vorschreiben. Bei geänderten Bankdaten ruft das Team beim Lieferanten an, und zwar unter der Nummer aus den eigenen Stammdaten. Die Nummer aus der E-Mail des Absenders ist tabu.

Die klügste Einwendung lautet: Was, wenn der Täter die Bankverbindung direkt im ERP-System ändert? Dann steht die falsche IBAN in den Stammdaten, und ein reiner Abgleich findet nichts. Deshalb reicht der Abgleich allein nicht. Es braucht den Blick auf die Änderung selbst: wann sie erfolgte, durch wen und wie kurz vor der Zahlung.

Wo diese Prüfungen nicht greifen. Legt ein Täter über den regulären Prozess einen neuen Lieferanten mit eigener Bankverbindung an, gibt es keine Änderung, die auffallen könnte. Hier helfen Funktionstrennung und das Vier-Augen-Prinzip bei der Stammdatenpflege, nicht die Prüfung der Zahlung. Wer Bankdaten ändert, sollte die zugehörige Zahlung nicht selbst freigeben.

Wo der Banking Connector ansetzt

Der Banking Connector prüft jede Zahlung vor der Freigabe gegen die Stammdaten des Empfängers und markiert geänderte Bankverbindungen als kritischen Befund direkt in der Freigabemaske. Der Freigebende muss diesen Befund bewusst bestätigen, bevor die Zahlung zur Bank geht (mehr zum Risikomanagement im Banking Connector).

Der letzte Moment, in dem das Geld noch Ihnen gehört

Überweisungsbetrug scheitert selten an der Technik der Bank. Er gelingt, weil ein Mensch eine Zahlung für richtig hält und sie freigibt. Die wirksamste Kontrolle ist deshalb keine zusätzliche Bestätigung, wer zahlt. Es ist eine Frage im richtigen Moment: Seit wann gilt diese IBAN? Die Freigabe ist der letzte Moment, in dem das Geld noch Ihnen gehört.