Die Rechnung ist echt. Nur die Kontoverbindung hat sich geändert.

Ein guter Lieferant meldet sich nicht oft. Er liefert, er schreibt eine Rechnung, er wartet auf die Überweisung, und dazwischen hört man nichts von ihm. Genau darin liegt der Wert der Beziehung: Man muss nicht jedes Mal neu prüfen, wer da schreibt. Man kennt die Firma seit Jahren, den Ansprechpartner beim Namen, den Ton der Post, das Layout der Rechnung, sogar die leicht altmodische Schriftgröße in der Fußzeile. Vertrauen, das über Jahre gewachsen ist, braucht keine tägliche Erneuerung. Es funktioniert im Hintergrund, ohne dass noch jemand hinsieht.

Kaum ein Lieferant genießt so viel eingespieltes Vertrauen wie der eigene Steuerberater. 89.549 von ihnen führt die Bundessteuerberaterkammer zum 1. Januar 2026, jeder mit eigener Kanzlei, eigener Handschrift in der Kommunikation, eigenem festen Platz im Kalender: die Umsatzsteuervoranmeldung, die Lohnabrechnung, im Sommer die Rückfrage zur Rückstellung. Man kennt sich.

Die Mail, die im Juli kommt, unterscheidet sich äußerlich in nichts von den zwanzig davor. Absender: der Steuerberater, mit demselben Namen, derselben Signatur unter der Mail wie immer. Betreff: die Quartalsrechnung, wie jedes Quartal. Der Ton: höflich, kurz, professionell, ohne den kleinsten Fehler in der Rechtschreibung, ein auffällig gepflegtes Deutsch, wie man es von einer Kanzlei erwartet, die auf sich hält. Unter der Mail, klein, steht ohnehin, was Sicherheit heute bedeutet: SPF bestanden, DKIM bestanden, DMARC bestanden. Drei grüne Häkchen, die jede moderne Mailsoftware automatisch mitliefert. Eine Kanzlei, die sich um solche Details kümmert, hat auch sonst ihre Technik im Griff.

Angehängt ist die Rechnung als PDF, unten rechts ein digitales Siegel: rechtsgültig signiert über eine der bekannten E-Signatur-Plattformen, dieselbe, über die schon die Vollmacht und das SEPA-Lastschriftmandat für die laufenden Gebühren liefen. Ein Blick genügt, das Siegel ist da, geprüft, gültig. Die Unterschrift extra zu verifizieren erübrigt sich; das hat die Plattform bereits getan.

Am Ende der Rechnung, ein einzelner Satz, so beiläufig gesetzt wie eine Postleitzahl:

> *„Bitte beachten Sie unsere neue Bankverbindung.“*

Ein Kontowechsel ist kein Ereignis, über das man sich wundert. Kanzleien wechseln Banken, fusionieren, digitalisieren ihre Kontenstruktur. Die neue IBAN steht direkt darunter, in derselben Schriftart wie der Rest der Rechnung.

Wer es genau nimmt, prüft ohnehin die Absenderadresse, wie man es seit Jahren gelernt hat, bevor man zahlt. Sie stimmt. Buchstabe für Buchstabe dieselbe Adresse wie in jeder Mail zuvor, aus demselben Postfach, unter derselben, sechs Nachrichten langen Antwortkette, die Betreffzeile durchgezogen bis zur ersten Anfrage im Frühjahr. Kein Grund zum Zögern.

Der letzte Schritt liegt bei Ihnen, wie er es immer tut. Online-Banking öffnen, die IBAN aus der Rechnung übertragen, den Betrag bestätigen, die TAN eingeben. Zehn Sekunden. Ein Häkchen. Überweisung ausgeführt. Niemand hat gedrängt. Es war die eigene Hand, am eigenen Rechner, mit dem eigenen zweiten Faktor. So schnell war Buchhaltung nie.

Was aus diesem Postfach als Nächstes verschickt wird, betrifft nicht mehr nur den einen Fall. Dieselbe Absenderadresse, dieselbe Signatur, derselbe gepflegte Ton erreichen in den Tagen danach jeden anderen Mandanten der Kanzlei, jeder mit einer eigenen, leicht abgewandelten neuen Kontoverbindung. Umgekehrt gilt derselbe Satz für das eigene Unternehmen. Wird das eigene Postfach auf demselben Weg übernommen, ist es die eigene Adresse, die eigene Signatur, der eigene, über Jahre aufgebaute Name, unter dem am nächsten Tag die eigenen Kunden zur Kontoänderung aufgefordert werden. Wer Rechnungen verschickt, ist nicht nur möglicher Zahler, sondern ebenso möglicher Absender.

Die Prüfregel, auf die sich alles bisher stützte, funktioniert nur gegen die eine Fälschung, die sie kennt: eine fremde Adresse, die der echten nur ähnelt. Hier war die Adresse echt, weil das Postfach es war. Werkzeuge zur Übernahme von Google- und Microsoft-Konten kursieren inzwischen als fertiger Baukasten; ZeroBEC analysierte einen solchen unter dem Namen „Nyasher“ am 29. Juni 2026. Neun Tage später beschrieb der Unternehmer David Weekly, wie ihn eine Nachricht aus dem echten, gekaperten Konto eines Bekannten erreichte, nicht aus einer Fälschung. Erreicht der Zugriff den ganzen Verteiler eines Lieferanten, hat die Branche dafür einen eigenen Namen geprägt: Vendor Email Compromise, ein Begriff der Firma Abnormal. Der IC3-Jahresbericht 2025 des FBI führt Business Email Compromise mit 3,04 Milliarden Dollar Schaden aus 24.768 Meldungen als zweitgrößten Betrugsposten (S. 8). Kein Passwort musste dafür gestohlen werden, kein Link angeklickt.

Auch das digitale Siegel unter der PDF bestätigt in diesem Fall nichts, was zählt. Wer bei einer der bekannten E-Signatur-Plattformen ein reguläres Konto anlegt und über die offizielle Schnittstelle verschickt, dessen Mail besteht SPF, DKIM und DMARC, weil der Absender tatsächlich die Plattform ist; der Entwickler Jeroen Derks zeigte das an einem gängigen Massenversender. Das US-Gesundheitsministerium warnte 2024 vor Kampagnen, die echte DocuSign-Umschläge für genau solche Zwecke missbrauchen, Darktrace beschrieb dasselbe Muster. Die drei grünen Häkchen unter der Mail bestätigen den Versandweg. Sie bestätigen nicht, wessen Kontoverbindung im Dokument steht. Was sich davon überhaupt noch prüfen lässt, entscheidet vor allem die Voreinstellung des eigenen Geräts¹.

Wer stattdessen anruft, um die neue IBAN zu bestätigen, sollte wissen, woher die Nummer stammt. Cisco Talos dokumentierte am 2. Juli 2025, wie Angreifer eigene Rückrufnummern in ihre Nachrichten setzen und ganze Callcenter für die Anrufe einrichten, sodass der Rückruf beim Täter landet, nicht bei der Kanzlei. Die Infrastruktur dahinter ist kein Einzeltäter mit Laptop: Am 15. Juli 2026 zerschlug die niederländische Polizei eine Organisation mit über 700 Mitarbeitern in rund 20 Callcentern, geschätzter Umsatz 100 Millionen Euro im Monat. Auch das schlechte Deutsch, an dem sich solche Mails früher erkennen ließen, poliert inzwischen ein Sprachmodell weg. Der Entwickler Max Schmitt beschrieb am 29. Mai 2026, wie ihn eine vermeintliche Kundin in tadellosen Mails auf eine Seite führte, die vom Original nicht zu unterscheiden war, nur auf einer anderen Domain lag. Sein Passwortmanager hatte für diese Domain kein Passwort gespeichert, das Feld blieb leer, der einzige Hinweis im ganzen Vorgang. Hätte er die Zugangsdaten auswendig gewusst und selbst eingetippt, läge sein Konto heute beim Angreifer.

Für alles bisher Beschriebene reichte ein einziges gekapertes Postfach. Es gibt einen zweiten, teureren Weg hinein, der kein Postfach braucht und den kein Mandant je zu Gesicht bekommt.

Kanzlei-Software bindet häufig fremden Code ein, ein Zahlungswidget, einen Chat-Baustein, ein Analyse-Skript, jeweils über eine einzige Codezeile. Wird der Anbieter eines solchen Bausteins übernommen, liegt der Schadcode augenblicklich auf jeder Seite, die ihn einbindet. Sansec dokumentierte das an Polyfill.io: Nach einem Eigentümerwechsel griff das Skript mobil und unbemerkt Zahlungsdaten ab, ein durchsichtiges iframe darüber lenkte die Klicks an einen fremden Empfänger. Auch ein signiertes Software-Update ist nur so vertrauenswürdig wie die Pipeline, die es baut: Mandiant rekonstruierte im März 2023, wie beim Telefonanlagen-Anbieter 3CX ein signiertes, trojanisiertes Update automatisch an alle Kunden ausgeliefert wurde, die Signatur zertifizierte die Schadsoftware mit. Ein IT-Dienstleister, der eine Kanzlei-IT mitverwaltet, hält dafür meist einen Generalschlüssel: Microsoft warnte am 25. Oktober 2021 vor der Gruppe NOBELIUM, die über die delegierten Administrationsrechte eines einzelnen Dienstleisters gleichzeitig in dessen gesamten Kundenkreis gelangte. Ein Einbruch bei einem einzigen großen Anbieter erreicht dann alle seine Kunden zugleich, wie beim Angriff auf die Fernwartungssoftware Kaseya im Juli 2021, den die US-Behörde CISA als Eins-zu-tausend-Ereignis dokumentierte. Diese Ebene sieht weder Mandant noch Kanzlei; wer die Sicherheitsinfrastruktur hinter einer solchen Lieferkette tatsächlich baut², bleibt meist unbekannt.

All das ist teuer, langsam und im eingangs geschilderten Fall unnötig. Die billigste Tür stand offen, bevor jemand ein Konto übernehmen, eine Plattform kapern oder ein Update vergiften musste.

Ob eine Kanzlei-Domain gegen gefälschte Absender überhaupt abgesichert ist, steht öffentlich im DNS, im Eintrag namens DMARC. Für eine eigene Erhebung wurden alle Domains aus dem amtlichen Verzeichnis der Bundessteuerberaterkammer abgefragt, nichts als die Antworten, die jeder Browser ohnehin erhält. Das Register selbst liefert dabei mehr Einträge, als es Berufsträger gibt: 97.978 Domain-Einträge stehen den 89.549 amtlich geführten Steuerberatern gegenüber, weil das Register auch Gesellschaften, Zweigstellen und mehrfach eingetragene Kanzleien zählt. Nach Abzug von 22.399 Freemail-Adressen, deren Schutz beim jeweiligen Anbieter liegt, verbleiben 33.041 eigenständige Kanzlei-Domains, 33.016 davon überhaupt auflösbar. Eine Erhebung, die diese Kante glättete und nur die runde Zahl nennt, wäre die unehrlichere.

Bei 51,4 Prozent dieser Domains fehlt der DMARC-Eintrag vollständig. Bei 73,5 Prozent fehlt er oder bleibt wirkungslos. Nur 20,2 Prozent weisen einen gefälschten Absender tatsächlich ab. Selbst die Bundessteuerberaterkammer, bstbk.de, dem eigenen Berufsstand vorstehend, trug zum Messzeitpunkt keinen solchen Eintrag.

Ein gesetzter DMARC-Eintrag schließt nur die billigste Tür: Er verhindert, dass jemand ohne jeden Kontozugriff einfach als die Domain schreibt. Gegen ein übernommenes Postfach, eine echte E-Signatur-Plattform, eine gekaperte Rückrufnummer wirkt er nicht.

Was dagegen wirkt, ist ein Ablauf, der nicht mehr geprüft, sondern befolgt wird. Eine Kontoänderung, die allein per Mail mitgeteilt wird, wird nie ausgeführt, ohne Rückruf über eine Nummer, die nicht aus derselben Mail stammt, sondern aus dem Vertragsordner oder der letzten Rechnung vor der angeblichen Änderung. Im Zahllauf entscheidet nie eine Person allein über eine neue IBAN, sondern zwei, unabhängig voneinander. Und ein DMARC-Eintrag mit p=reject nimmt der günstigsten Variante des Angriffs wenigstens die Grundlage.

Ob eine Kanzlei oder irgendein anderer Lieferant beraubt wird oder selbst zum Absender wird, entscheidet nicht die eigene Vorsicht, sondern die Sorgfalt einer fremden Kette: der Lieferant selbst, dessen IT-Partner, dessen Plattform-Anbieter, der Versanddienst im Mailweg. Der Unterschied zwischen einer Vorsorge, die vor der Mail ansetzt, und einer Versicherung, die erst danach reguliert³, liegt genau in diesem einen Schritt: dem Rückruf, der nie unterbleibt.

Grundlage des DMARC-Befunds ist eine eigene Vollerhebung aller 33.041 eigenständigen Steuerberater-Kanzlei-Domains aus dem amtlichen Verzeichnis der Bundessteuerberaterkammer (Juli 2026, ausgehend von 97.978 registrierten Domain-Einträgen abzüglich 22.399 Freemail-Adressen): ausgewertet wurden ausschließlich öffentlich abrufbare DNS-Antworten, keine einzelne Domain wird namentlich genannt. Zahlen zu Berufsstand und Schadenssumme stammen von der Bundessteuerberaterkammer (Berufsstatistik 2025, Stand 1. Januar 2026) und vom FBI Internet Crime Complaint Center (IC3 Annual Report 2025). Die beschriebenen Angriffstechniken sind dokumentiert bei hhs.gov, sansec.io, cloud.google.com und microsoft.com sowie cisa.gov.