IBAN-PrüfungLieferantendaten absichern und Zahlungsrisiken minimieren

Aufbau und Struktur der IBAN

Eine IBAN besteht nach ISO 13616 aus einem zweistelligen Ländercode, einer meist zweistelligen Prüfziffer sowie der nationalen Kontokennung, die in Deutschland typischerweise Bankleitzahl und Kontonummer kombiniert. Die maximale Länge beträgt in der Praxis 34 Zeichen, wobei die tatsächliche Länge je nach Land variiert. Jedes Land legt ein festes Format fest, gegen das eine gültige IBAN geprüft werden kann. Bereits eine einzige falsche Ziffer führt in der Regel zu einem ungültigen Prüfziffernergebnis, was die Integritätsprüfung zuverlässig macht.

• Ländercode (2 Buchstaben)
• Prüfziffer (meist 2 Ziffern)
• Nationale Bank- und Kontokennung

Abgrenzung zur Lieferantenbankdatenprüfung

Die IBAN-Prüfung ist eine Teilmenge der umfassenderen Lieferantenbankdatenprüfung. Während die IBAN-Prüfung ausschließlich die formale Validität des Kontonummernformats adressiert, umfasst die Lieferantenbankdatenprüfung auch BIC-Abgleich, Kontoinhaberabgleich, Plausibilität von Bankland und Währung sowie die Übereinstimmung mit Handelsregister- oder Steuerdaten. Im Risikomanagement des Einkaufs werden beide Ebenen kombiniert, weil Betrüger häufig formal gültige, aber fremde Konten angeben.

Bedeutung im Einkaufsprozess

Bankverbindungen sind Lieferantenstammdaten mit direktem Geldfluss. Ein Fehler oder eine Manipulation führt zu Fehlzahlungen, die in der Praxis oft nur schwer rückholbar sind. Die IBAN-Prüfung greift daher an einem kritischen Punkt des Bestellprozesses an und ergänzt organisatorische Kontrollen wie die Einkaufsrichtlinie MRO vs. Capex oder definierte Freigabestufen in der Einkaufsorganisation.

Stufe 1: Formale und algorithmische Validierung

Im ersten Schritt werden Länge, Zeichensatz und Länderformat geprüft. Anschließend verifiziert ein Prüfziffernalgorithmus die Integrität der Nummer. Einige Länder nutzen erweiterte nationale Prüfverfahren, die zusätzlich Bankleitzahl oder Kontonummer absichern. Diese Prüfungen laufen typischerweise automatisch im ERP- oder Zahlungssystem, oft bereits bei der Eingabe der Bankverbindung. Zusammen mit der Katalogverwaltung und anderen Stammdatenprozessen lässt sich die Prüfung nahtlos in die Bestellprozessoptimierung integrieren.

Stufe 2: Plausibilität und Kontextprüfung

Eine formal korrekte IBAN kann trotzdem verdächtig sein. Übliche Plausibilitätsregeln betreffen das Verhältnis von Bankland zu Firmensitz, die Währung des Kontos, den BIC zur selben Bank sowie plötzliche Änderungen bestehender Bankverbindungen. In der Praxis gilt: Je höher das Zahlungsvolumen oder je kritischer der Lieferant als A-Lieferant, desto strenger die Plausibilitätsprüfung. Verdachtsmomente fließen in die Risikoanalyse des Lieferanten ein.

Stufe 3: Kontoinhaberabgleich und Rückverifikation

Der Kontoinhaberabgleich vergleicht den Kontoinhaber mit dem offiziellen Firmennamen aus Handelsregister, Gewerbeanmeldung oder Rechnung. Viele Banken bieten hierzu Abgleichsdienste an. Zusätzlich bewährt sich in der Praxis die Rückverifikation über eine bereits bekannte Kontaktkanäle aus dem Lieferantenstamm – niemals über im verdächtigen Schreiben angegebene Telefonnummern oder E-Mail-Adressen. Änderungen von Bankverbindungen sollten grundsätzlich durch eine zweite Person freigegeben werden.

Qualitäts- und Fehlerraten

Zentrale Kennzahl ist der Anteil formaler Fehler, die vor Zahlungsausführung abgefangen werden. In der Praxis liegen Fehlerquoten bei manuell erfassten Bankdaten häufig im niedrigen Prozentbereich – jedes abgefangene Fehlexemplar vermeidet teure Rücklastschriften und Rechercheaufwand. Ergänzend wird gemessen, wie viele Prüfungen überhaupt automatisiert erfolgen und wie oft manuelle Nacharbeiten nötig sind.

Betrugspräventions-Kennzahlen

Für die Betrugsprävention zählen die Anzahl identifizierter verdächtiger Bankverbindungsänderungen, die Quote der Vier-Augen-Freigaben und die Dauer bis zur Verifikation einer neuen Bankverbindung. Auch die Auswirkungen auf den Supplier Financial Health Check werden erfasst: Zahlungsblockaden wegen offener Prüfungen dürfen kritische Lieferanten nicht unangemessen verzögern, sind aber bei Auffälligkeiten eine legitime Schutzmaßnahme bis hin zur Lieferanteneskalation.

Prozesseffizienz

Zusätzlich interessiert der Prozessdurchlauf von der Anlage bis zur Zahlungsfreigabe. Hier zeigt sich der Effekt auf die Bestellprozessoptimierung: Automatisierte Prüfregeln verkürzen in der Praxis die Durchlaufzeiten deutlich und entlasten die Sachbearbeitung. Die Kennzahlen sollten periodisch ausgewertet und in den internen Kontrollbericht des Managements aufgenommen werden.

Was die Prüfung leistet – und was nicht

Die algorithmische Prüfung erkennt zuverlässig Tippfehler und vertauschte Ziffern. Sie erkennt jedoch nicht, ob ein Konto einem Betrüger gehört, der eine real existierende, fremde IBAN angibt. Genau dieses Muster prävaliert beim Fake-Supplier-Betrug: Angreifer geben sich als Lieferant aus, oft mit manipulierten E-Mail-Ketten, und ändern die Bankverbindung. Auch das Risiko des Länderrisikos im Einkauf – etwa Konten in Hochrisikojurisdiktionen – ist formal nicht erkennbar und bedarf eigener Bewertungsregeln.

Organisatorische Kontrollen

Wichtigste Kontrollen sind der Vier-Augen-Grundsatz bei Bankverbindungsänderungen, die Rückverifikation über bekannte Kontaktkanäle sowie definierte Freigabeschwellen je nach Zahlungsbetrag. Diese Regeln sollten in der Einkaufsrichtlinie verankert und geschult werden. Verstöße können im Extremfall bis zur Termination for Cause führen, wenn ein Lieferant an einer betrügerischen Umleitung beteiligt war oder fahrlässig handelte.

Integration in das Lieferantenrisikomanagement

Bankdaten gehören in ein ganzheitliches Lieferantenrisikomanagement. Es lohnt sich, Auffälligkeiten bei Bankverbindungen in den Audit-Score Lieferant einfließen zu lassen und wiederkehrende Prüfintervalle für kritische Lieferanten zu definieren. Compliancethemen wie AEO-Zertifizierung und Sanktionslistenabgleich der Bankverbindungen ergänzen das Bild. Rechtliche Pflichten, etwa aus Geldwäschegesetz oder Sanktionsrecht, sind stets im Einzelfall zu prüfen.

Automatisierte Validierung in ERP- und E-Procurement-Systemen

Moderne ERP- und E-Procurement-Systeme prüfen IBAN, BIC und Kontoinhaber direkt bei der Erfassung und blockieren ungültige Datensätze. Verknüpft mit einer zentralen Golden-Record-Struktur für Lieferantenstammdaten lässt sich sicherstellen, dass es nur eine einzige, geprüfte Bankverbindung je Lieferant gibt. Das verhindert, dass veraltete oder manipulierte Daten aus lokalen Listen in den Zahlungslauf gelangen.

Standardisierter Datenaustausch mit Lieferanten

Immer mehr Unternehmen fordern Bankverbindungen über strukturierte Onboarding-Portale oder standardisierte Formate an, statt sie aus PDF-Rechnungen abzutippen. Das reduziert Transkriptionsfehler und schafft einen lückenlosen Audit Trail. In der Katalogverwaltung und bei Onboarding-Workflows lässt sich die IBAN-Prüfung als Pflichtschritt einbauen, bevor ein Lieferant freigeschaltet wird.

Zahlscheinkonzepte und Betrugsmuster im Wandel

Business Email Compromise bleibt die häufigste Angriffsform: Betrüger manipulieren E-Mail-Ketten zu Rechnungen und setzen gezielt neue IBANs. Als Gegenmaßnahme verbreiten sich Betragsoptimierungen wie kryptographisch signierte Lieferantendaten, kontinuierliche Änderungsmonitoring und KI-gestützte Anomalieerkennung. Zahlungssperren bei geänderten Bankverbindungen bis zur erfolgreichen Rückverifikation gelten in der Praxis als bewährter Standard.

Onboarding neuer Lieferanten

Beim Onboarding sollte die IBAN-Prüfung gemeinsam mit der Lieferantenbankdatenprüfung, dem Handelsregisterabgleich und der Prüfung von Qualitätsvereinbarung und Garantievereinbarung erfolgen. Erst wenn alle Stammdaten – einschließlich Bankverbindung – verifiziert sind, wird der Lieferant für den Bestellprozess freigeschaltet. Bei internationalen Lieferanten ist zusätzlich zu bewerten, ob das Bankland Hinweise auf ein Länderrisiko im Einkauf oder Sanktionsrisiken gibt.

Änderungsmanagement bestehender Verbindungen

Änderungen bestehender Bankverbindungen sind das kritischste Szenario. In der Praxis bewährt sich: Jede Änderung erfordert eine dokumentierte Rückverifikation über einen bekannten Ansprechpartner, eine Freigabe durch eine zweite Person und eine Karenzzeit bis zur ersten Zahlung. Hohe Erstzahlungen auf ein neues Konto sollten grundsätzlich gesperrt oder zumindest gesondert geprüft werden.