Neuer IBAN-Namensabgleich beim Online-Banking: Warum ich Warnungen nie wieder einfach wegklicke

Ich habe vorgestern zum ersten Mal eine Überweisung storniert und neu aufgesetzt, nur weil meine Banking-App beim Namen gemotzt hat. Früher hätte ich das Abweichungs-Banner einfach genervt mit “Trotzdem ausführen” weggetippt. Diesmal habe ich kurz innegehalten.

Und das war genau richtig.

Jahrelang war Online-Banking bei Tippfehlern oder gefälschten Rechnungen ein regelrechtes Stiefkind der Sicherheit. Wer Geld auf ein fremdes Konto schickte, weil Gauner auf einer gefälschten Handwerker-Rechnung klammheimlich die IBAN ausgetauscht hatten, stand am Ende komplett alleine da. Die Banken zogen sich elegant aus der Affäre. Ihr Standardspruch lautete gebetsmühlenartig: Wir verarbeiten nur Zahlen, keine Namen. Die Rechtslage nach Paragraf 675r BGB gab ihnen sogar recht. Ob auf dem Überweisungsträger “Autohaus Schmidt” oder “Krypto-Esel Limited” stand, war den Systemen vollkommen egal. Hauptsache, die 22 Stellen der IBAN stimmten.

Damit ist jetzt Schluss. Die EU hat die Kreditinstitute endlich dazu verpflichtet, vor jeder Freigabe per SEPA oder Echtzeitüberweisung einen automatischen Namensabgleich durchzuführen. Das Prinzip nennt sich “Verification of Payee”. Es ist im Grunde der digitale Türsteher, auf den Millionen Bankkunden seit Jahrzehnten gewartet haben.

Jahrelange Ausreden der Banken

Bisher war das Überweisen im Online-Banking wie das Einwerfen eines Briefes in einen unbeschrifteten Briefkasten. Wenn die Hausnummer passte, war es dem Postboten egal, wer an der Tür wohnte. Genau diese Lücke haben Betrüger exzessiv ausgenutzt. Sie fingen Papierrechnungen im Briefkasten ab oder hackten schlecht gesicherte E-Mail-Postfächer von Handwerkern und Dienstleistern. Auf den Dokumenten tauschten sie nur eine einzige Zeile aus: die IBAN. Der Firmenname blieb unverändert stehen.

Wer die Rechnung ehrlich bezahlen wollte, tippte brav den Namen des Malers oder Klempners ein, kopierte die IBAN aus dem Schreiben – und schickte das Geld direkt auf das Konto von Strohmännern. Bemerkt wurde der Schwindel meist erst Wochen später, wenn die echte Mahnung vom Handwerker im Kasten lag. Und das Geld war auf Nimmerwiedersehen weg. Auch beim sogenannten Cheffalle-Trick oder bei Vorkasse-Befürchtern auf Kleinanzeigen-Plattformen funktionierte diese Masche perfekt.

Dass die Kreditinstitute jetzt verpflichtet sind, die Daten direkt bei der Empfängerbank in Echtzeit abzufragen, ändert das Spielbrett komplett. Die Abfrage passiert unbemerkt im Hintergrund, genau in dem Moment, bevor du deine PIN oder TAN eingibst oder deinen Fingerabdruck auf das Smartphone-Display legst.

Vier Signale im Überweisungsfenster

Wenn du künftig eine Überweisung im Browser oder in der App anlegst, spuckt das System nach dem Ausfüllen genau eine von vier Rückmeldungen aus.

Erstens: Die vollständige Übereinstimmung. Im Fachjargon heißt das schlicht “Match”. Eingegebener Name und eingetragenes Zielkonto passen exakt zusammen. Die Überweisung läuft völlig geräuschlos durch, genau so, wie du es seit Jahren gewohnt bist.

Zweitens: Die geringfügige Abweichung, auch “Close Match” genannt. Das passiert extrem schnell bei kleinen Tippfehlern, Buchstabendrehern oder wenn du “Thomas Müller” schreibst, das Konto aber officially auf “Müller Thomas” läuft. Auch bei Firmenbezeichnungen schlägt das System hier an, wenn beispielsweise das Zusatzkürzel der Gesellschaftsform fehlt. Die App weist dich direkt darauf hin und schlägt vor, den offiziell hinterlegten Namen per Klick zu übernehmen.

Drittens: Keine Übereinstimmung – das klassische “No Match”. Hier schlägt die Sicherheitsampel knallrot an. Eingegebener Name und IBAN-Inhaber haben absolut nichts miteinander zu tun. Das ist das klassische Alarmsignal für gefälschte Rechnungen, Fake-Shops oder betrügerische Vorkasse-Aufforderungen.

Viertens: Die fehlende Prüfung. Falls die IT-Systeme der Empfängerbank kurzzeitig nicht erreichbar sind oder gewartet werden, meldet das Banking-Portal, dass die Prüfung aktuell unmöglich war. Du kannst dann selbst entscheiden, ob du das Risiko eingehen willst oder lieber ein paar Stunden wartest.

Wer Warnungen ignoriert, zahlt am Ende selbst

Die neue Technik schützt dich allerdings nur dann, wenn du dir das reflexartige Wegklicken von Warnfenstern austrainierst. Jahrelange Nutzung von Smartphones hat viele von uns dazu erzogen, Pop-ups oder Hinweisbanner gar nicht mehr richtig zu lesen, sondern sofort auf “Weiter” oder “OK” zu tippen.

Genau dieser Reflex wird im Online-Banking jetzt zur teuren Falle.

Wenn deine Bank dir bei der Überweisung ein klares “No Match” anzeigt und dich vor möglichem Rechnungsbetrug warnt, du die Überweisung aber trotzdem stur freigibst, ändert sich die rechtliche Lage drastisch. In diesem Moment handelst du aus Sicht der Rechtsprechung grob fahrlässig. Wenn das Geld dann bei einem Betrüger landet, bleibst du auf dem gesamten Schaden sitzen. Du hast das Alarmsignal gesehen und wissentlich ignoriert.

Meldet das System deiner Bank dagegen grün – also eine vollständige Übereinstimmung – und das Geld landet trotzdem auf einem falschen oder betrügerisch verknüpften Konto, dreht sich der Spieß um. In diesem Fall haftet die Bank für den entstandenen Schaden und muss dir die Summe erstatten, weil ihre Prüfung fehlerhaft war.

Ich habe für mich daraus eine ganz einfache Konsequenz gezogen: Sobald mir meine Banking-App eine Abweichung anzeigt, breche ich den Vorgang ab und vergleiche die Daten noch einmal in Ruhe mit den Originalunterlagen. Wenn bei einer Handwerker-Rechnung ein rotes Warnsignal auftaucht, greife ich zum Hörer und rufe den Betrieb unter der bekannten Telefonnummer an, um die Bankverbindung abzugleichen. Zwei Minuten Kontrolle retten im Zweifel mehrere tausend Euro.