F: E-Rechnung von neuem Absender – echt oder Phishing? So prüfen Sie vor dem Bezahlen

Thema

VB.NET

SDK-Mitglieder

FillZUGFeRD_Structure() GetMonetarySummation() InvoicePaymentMeansCount InvoicePaymentMeansIBAN LastError SellerName ValidateInvoicePDF() ValidationReport VATNumber

Business Terms

BT-84 Kennung des Zahlungskontos BT-31 Umsatzsteuer-Identifikationsnummer des Verkäufers BT-49 Elektronische Adresse des Käufers BT-27 Name des Verkäufers BT-34 Elektronische Adresse des Verkäufers BT-115 Fälliger Zahlungsbetrag

Codebeispiele

VB.NET, XML

Veröffentlicht

12. November 2026

Kurz: Eine echte E-Rechnung ist eine Datei: eine ZUGFeRD- bzw. Factur-X-PDF mit eingebettetem XML oder eine XRechnung als reines XML. Sie verlangt keine Anmeldung, keinen Klick auf einen Link und keinen Anruf. Prüfen Sie die Datei vor dem Bezahlen maschinell gegen EN 16931 und gleichen Sie USt-IdNr. des Verkäufers (BT-31) und IBAN (BT-84) mit Ihren Stammdaten ab. Im Aloaha ZUGFeRD SDK geht das mit ValidateInvoicePDF bzw. ValidateInvoiceXML und FillZUGFeRD_Structure. Rechnungssteller sollten jede Umstellung vorher ankündigen und Absender und Format nennen.

Warum die Frage gerade jetzt kommt

Ab Januar 2027 müssen Unternehmen mit mehr als 800.000 € Vorjahresumsatz im Inland E-Rechnungen ausstellen, ab Januar 2028 grundsätzlich alle. Viele Lieferanten stellen deshalb jetzt um, oft über einen E-Invoicing-Dienstleister. Für den Empfänger ändert sich dann zweierlei: Die Rechnung kommt von einer neuen Absenderadresse, und im Anhang steckt ein XML statt der gewohnten PDF.

Wie heise online im November 2026 berichtete, hielten Kunden von Microsoft Deutschland genau so eine Umstellung zunächst für Phishing: Die Rechnungen kamen über einen Dienstleister von einer fremden Domain, obwohl Microsoft die Änderung angekündigt hatte (heise online). Die Vorsicht ist richtig. Gefälschte Rechnungsmails gehören zu den häufigsten Wegen, über die Angreifer Zugangsdaten abgreifen oder eine Bankverbindung austauschen.

Gesucht wird das Thema unter vielen Namen: E-Rechnung Phishing, gefälschte E-Rechnung, Rechnung von unbekanntem Absender, XML-Anhang in der Rechnungsmail, Rechnungsbetrug, Business E-Mail Compromise (BEC), CEO-Fraud mit Rechnung, geänderte IBAN auf der Rechnung, fake invoice.

Woran Sie eine echte E-Rechnung erkennen

Eine neue Absenderadresse allein ist also noch kein Beweis für Phishing. Entscheidend ist, was die Mail von Ihnen will und was in der Datei steht.

Vor dem Bezahlen prüfen: was die Prüfung leistet

Das Aloaha ZUGFeRD SDK prüft E-Rechnungen lokal mit den veröffentlichten Regeln von CEN und KoSIT, ohne die Rechnung in ein Portal hochzuladen:

• Format: Ist überhaupt eine E-Rechnung enthalten – ZUGFeRD/Factur-X (alle Profile), XRechnung 3.0 in CII oder UBL? Bei einer PDF werden das eingebettete XML, der Anhang und die XMP-Metadaten geprüft.
• XML-Schema: Ist die Datei formal korrekt aufgebaut?
• Geschäftsregeln EN 16931: Pflichtangaben vorhanden, Positions- und Gesamtsummen stimmig, Steuersatz passt zur Steuerkategorie, Codes aus den erlaubten Listen (Regeln BR-…, BR-CO-…, BR-CL-…).
• XRechnung-Regeln: bei XRechnungen zusätzlich die deutschen Regeln (BR-DE-…).

Das Ergebnis ist True (angenommen) oder False (abgelehnt), dazu jede Meldung mit Regel-ID, Stufe und Erklärung.

Ohne Programmierung: Wer einzelne Rechnungen von Hand prüfen möchte, öffnet sie in der Aloaha ZUGFeRD GUI. Sie zeigt auch eine reine XML-Rechnung (XRechnung oder ZUGFeRD-XML) als lesbare Rechnung an und prüft sie mit denselben Regeln. Noch einfacher geht es mit dem Aloaha ZUGFeRD PDF Viewer: Er öffnet eine XML-Rechnung direkt, wandelt sie automatisch in eine lesbare PDF um und prüft sie per Klick auf Prüfen. So sehen Sie Verkäufer, Beträge und IBAN, ohne das XML lesen zu müssen.

Wichtig: Die Prüfung sagt, ob eine Rechnung korrekt ist – nicht, ob sie echt ist. Eine ZUGFeRD- oder XRechnung-Datei ist nicht signiert. Ein Betrüger kann eine formal einwandfreie Rechnung mit seiner eigenen IBAN erzeugen. Der zweite Schritt ist deshalb der Abgleich mit Ihren Stammdaten. Weil USt-IdNr., IBAN und Betrag in festen Feldern stehen, kann Ihre Software das automatisch erledigen.

Beispiel: prüfen und mit den Stammdaten abgleichen (VB.NET)

Das Beispiel prüft eine eingegangene PDF, liest sie mit FillZUGFeRD_Structure ein (PDF oder XML, CII oder UBL) und vergleicht USt-IdNr. und IBAN mit Ihren Stammdaten. IstBekannteBankverbindung steht für Ihre eigene Abfrage im ERP.

' VB.NET
Dim alo As New Aloaha_ZUGFeRD.XML("IHR-LIZENZSCHLUESSEL")
Dim datei As String = "C:\Eingang\rechnung.pdf"

' 1. Ist es eine gültige E-Rechnung?
If Not alo.ValidateInvoicePDF(datei) Then
    If alo.LastError <> "" Then
        Console.WriteLine("Keine prüfbare E-Rechnung: " & alo.LastError)
    Else
        Console.WriteLine(alo.ValidationReport)
    End If
    Return   ' nicht zur Zahlung freigeben
End If

' 2. Daten einlesen und mit den Stammdaten vergleichen
If alo.FillZUGFeRD_Structure(datei, "IHR-LIZENZSCHLUESSEL") Then
    Dim ustId As String = alo.VATNumber(False)   ' BT-31 Verkäufer
    Dim betrag As String = alo.GetMonetarySummation(Aloaha_ZUGFeRD.iXML.SummationType.DuePayableAmount)   ' BT-115
    Dim freigabe As Boolean = (alo.InvoicePaymentMeansCount > 0)

    For i As Integer = 0 To alo.InvoicePaymentMeansCount - 1
        Dim iban As String = alo.InvoicePaymentMeansIBAN(i, True).Replace(" ", "")   ' BT-84
        If iban <> "" AndAlso Not IstBekannteBankverbindung(ustId, iban) Then
            freigabe = False
            Console.WriteLine("Achtung: unbekannte IBAN " & iban & " für " & alo.SellerName)
        End If
    Next

    Console.WriteLine(alo.SellerName & " / " & ustId & " / " & betrag & " / Freigabe: " & freigabe)
End If

So sieht die Bankverbindung im XML einer ZUGFeRD- oder XRechnung (CII) aus:

<ram:SpecifiedTradeSettlementPaymentMeans>
  <ram:TypeCode>58</ram:TypeCode>
  <ram:PayeePartyCreditorFinancialAccount>
    <ram:IBANID>DE02120300000000202051</ram:IBANID>
  </ram:PayeePartyCreditorFinancialAccount>
</ram:SpecifiedTradeSettlementPaymentMeans>

Die Zahlungsfreigabe sollte bei einer neuen oder geänderten Bankverbindung immer ein Mensch erteilen – nach Rückruf beim Lieferanten unter einer Nummer aus Ihren Stammdaten, nicht aus der Mail.

Typische Fehler

• Dem Absender vertrauen statt dem Inhalt: Eine bekannte Absenderadresse schützt nicht. Bei einem übernommenen Postfach kommt die gefälschte Rechnung von der echten Adresse. Auch Mails, die über die Systeme großer Anbieter laufen, bestehen SPF-, DKIM- und DMARC-Prüfungen.
• Dem Link in der Mail folgen: Für eine E-Rechnung müssen Sie sich nirgends anmelden. Wer einen Zwei-Faktor-Code auf einer verlinkten Seite eingibt, gibt im schlimmsten Fall sein Postfach ab.
• Nur das PDF-Bild ansehen: Bei ZUGFeRD gilt das XML. Steht im Bild eine andere IBAN als im XML, ist die Rechnung manipuliert oder fehlerhaft.
• Prüfung mit Echtheit verwechseln: „Validator sagt gültig“ heißt nur: formal korrekt. Den Abgleich mit den Stammdaten ersetzt das nicht.
• Echte Rechnungen aussortieren: Spamfilter verschieben XML-Anhänge und unbekannte Absender gern in die Quarantäne. Prüfen Sie nach einer angekündigten Umstellung den Spamordner und eine feste Rechnungseingangsadresse.

Was Rechnungssteller tun sollten

Wer selbst auf E-Rechnung umstellt, kann seinen Kunden den Phishingverdacht ersparen:

1. Früh ankündigen – mit Datum, Format (ZUGFeRD, XRechnung, Peppol) und der neuen Absenderadresse. Und zwar an die Buchhaltung, nicht nur an den Einkauf oder die IT.
2. An die richtige Adresse senden: die elektronische Adresse des Käufers (BT-49) oder eine vereinbarte Rechnungseingangsadresse, nicht irgendeine Kontaktadresse aus dem CRM. Ihre eigene Adresse gehört in BT-34.
3. Beim bekannten Absender bleiben, wenn möglich. Wer die E-Rechnung mit dem SDK in der eigenen Software erzeugt, verschickt sie weiter aus dem eigenen Haus und mit der eigenen Domain.
4. Nichts verlangen, was nach Phishing aussieht: keine Portal-Anmeldung, keine Links zum Herunterladen der Rechnung, keine Bankverbindungsänderung per Mail.
5. Vor dem Versand prüfen: Eine Rechnung, die beim Kunden durch die Prüfung fällt, wirkt erst recht verdächtig. Wie das geht, steht in Wie prüfe ich meine XRechnung vor dem Versand?

Mehr zur Empfängerseite für kleine und mittlere Betriebe: E-Rechnung im Mittelstand: empfangen, prüfen, anzeigen, handeln. Die Formate selbst erklärt ZUGFeRD, XRechnung und Factur-X – die Unterschiede.

Stand: November 2026. Keine Rechts- oder Steuerberatung.

Business Terms in diesem Artikel: BT-84 BT-31 BT-49 BT-27 BT-34 BT-115