Die europäische Verordnung (EU) 2024/886, die seit dem 9. Oktober 2025 gilt, hat die Überprüfung des Namens des Begünstigten, der mit einer IBAN verbunden ist, für Überweisungen in Euro im SEPA-Raum verpflichtend gemacht. Diese Verpflichtung verändert die Kontrollpraktiken grundlegend, beseitigt jedoch nicht die strukturellen Grenzen im Zusammenhang mit dem Bankgeheimnis und dem geografischen Geltungsbereich des Systems.
Überprüfung des Begünstigten SEPA: Was die Verordnung konkret ändert
Der durch die Verordnung auferlegte Mechanismus beruht auf einem automatisierten Vergleich zwischen dem Namen des vom Sender eingegebenen Begünstigten und dem bei der empfangenden Bank registrierten Namen. Der Zahlungsdienstleister muss diese Kontrolle kostenlos anbieten, sowohl für klassische Überweisungen als auch für Instant-Überweisungen.
Das zurückgegebene Ergebnis beschränkt sich auf vier mögliche Antworten: Übereinstimmung, nahe Übereinstimmung, keine Übereinstimmung oder Überprüfung nicht möglich. Es wird keine vollständige Identität an den Sender übermittelt. Das System warnt, blockiert jedoch die Überweisung nicht automatisch.
Wir finden regelmäßig Informationen auf Guide Banque, die die praktischen Fälle dieser Überprüfung für Privatpersonen und Unternehmen detailliert darstellen.
Ein technischer Punkt, den die meisten Artikel für die breite Öffentlichkeit nicht ansprechen: Die Fristen für die Anwendung sind je nach Land und Art des Anbieters gestaffelt. Nicht alle Einrichtungen im Euro-Raum sind bereits für diese Kontrolle betriebsbereit, was vorübergehende Unterschiede je nach Bank des Begünstigten schafft.
Realer Umfang der IBAN-Überprüfung außerhalb des SEPA-Raums
Die Verpflichtung zur Überprüfung von Name-IBAN betrifft ausschließlich Anbieter, die in der Europäischen Union oder im EWR ansässig sind, für Überweisungen, die in Euro und im Rahmen von SEPA getätigt werden. Eine Überweisung auf ein Konto bei einer Einrichtung außerhalb dieses Rahmens kann möglicherweise keiner automatisierten Überprüfung unterzogen werden.
In der Praxis bedeutet dies, dass eine Überweisung in Euro auf eine Schweizer IBAN, eine britische IBAN nach dem Brexit oder eine von einem Anbieter für elektronische Währungen, der nicht im EWR ansässig ist, ausgegebene IBAN potenziell jeder Überprüfung des Begünstigten entgeht. Das Risiko von betrügerischen Überweisungen bleibt in diesen Fällen somit bestehen.
Für Unternehmen, die internationale Zahlungsströme abwickeln, empfehlen wir, sich nicht ausschließlich auf das SEPA-regulatorische System zu verlassen. Lösungen zur Überprüfung durch direkte Bankabfragen (z. B. SWIFT gpi) oder durch Open Banking decken einen breiteren Bereich ab, sind jedoch nicht standardisiert und hängen von bilateralen Vereinbarungen zwischen den Einrichtungen ab.
Grenzen der IBAN-Kontrolle im Hinblick auf Betrug durch Manipulation
Der Bericht 2025 des Observatoriums für die Sicherheit von Zahlungsmitteln hebt einen deutlichen Anstieg von Betrügereien durch Manipulation hervor. Das klassische Szenario bleibt der Betrug durch falsche Anbieter oder falsche Bankberater, bei dem das Opfer selbst eine betrügerische IBAN übermittelt, nachdem es durch soziale Ingenieurkunst getäuscht wurde.
Die Überprüfung des Namens des Begünstigten schützt nicht vor dieser Art von Betrug, wenn der Betrüger ein Konto auf seinen eigenen Namen (oder auf den Namen einer Scheinfirma) eröffnet hat. Das Paar Name-IBAN ist dann technisch konsistent, und die Kontrolle gibt eine positive Übereinstimmung zurück.
Drei Situationen, in denen die automatisierte Überprüfung unzureichend ist:
- Der Betrüger verwendet eine virtuelle IBAN, die von einem Anbieter für elektronische Währungen ausgegeben wurde, die mit einer verifizierten, aber von ihrem ursprünglichen Zweck abgeleiteten Identität verbunden ist.
- Der legitime Begünstigte hat kürzlich die Bank gewechselt, und die alte IBAN wird recycelt oder neu zugewiesen, was eine irreführende nahe Übereinstimmung erzeugt.
- Die Überweisung zielt auf ein Land ab, in dem der empfangende Anbieter den Überprüfungsmechanismus noch nicht implementiert hat, was systematisch “Überprüfung nicht möglich” zurückgibt.
Ein Ergebnis “Überprüfung nicht möglich” bedeutet nicht, dass die IBAN betrügerisch ist, sondern erfordert erhöhte Wachsamkeit: direkter Anruf beim Begünstigten unter einer bekannten Nummer, Abgleich mit einem Bankauszug (RIB), der über einen anderen Kanal erhalten wurde.
Manuelle Kontrolle der IBAN: Was die technische Struktur offenbart
Vor jeder Überprüfung des Begünstigten ermöglicht die Struktur der IBAN die Eliminierung offensichtlich ungültiger Angaben. Die ersten beiden Buchstaben identifizieren das Land (FR für Frankreich), gefolgt von zwei Prüfziffern, die gemäß der Norm ISO 7064 (Modulo 97) berechnet werden. Eine IBAN, deren Prüfziffer nicht mit der Sequenz der Kontonummer übereinstimmt, ist notwendigerweise fehlerhaft.
In Frankreich ermöglichen die folgenden Zeichen die Identifizierung der Bankeinrichtung (Bankcode mit fünf Ziffern) und der Geschäftsstelle (fünf Ziffern). Diese Informationen sind öffentlich und in den Verzeichnissen der Bank von Frankreich einsehbar. Die Identifizierung der Bank bedeutet nicht die Identifizierung des Inhabers, aber sie ermöglicht die Erkennung einer IBAN, die inkohärent mit den von einem Anbieter oder Partner angegebenen Informationen ist.
Für ausländische IBAN variiert die Länge je nach Land. Eine deutsche IBAN hat eine andere Zeichenanzahl als eine spanische IBAN. Die Überprüfung der erwarteten Länge im Vergleich zum Ländercode erkennt grobe Eingabefehler, noch bevor ein Validierungsdienst angefordert wird.
IBAN-Überprüfungsstrategie im Unternehmen: Schichten kombinieren
Wir beobachten, dass die am besten geschützten Unternehmen mehrere Kontrollstufen übereinanderlegen, anstatt sich auf einen einzigen Mechanismus zu verlassen:
- Automatisierte syntaktische Kontrolle (Gültigkeit des Schlüssels, Länge, Ländercode) bei der Eingabe in das ERP oder die Treasury-Software.
- Überprüfung des Begünstigten über das SEPA-System, das für Überweisungen in Euro innerhalb des EWR verpflichtend ist.
- Dokumentarischer Abgleich: Anforderung eines unterzeichneten oder gestempelten RIB, Vergleich mit den historischen Bankdaten des Dritten.
- Systematischer Rückruf bei jeder Änderung der Bankdaten, unter einer zuvor registrierten Telefonnummer.
Die Änderung der Bankdaten ist der kritischste Moment im Zahlungszyklus. Die Mehrheit der Betrügereien durch falsche Anbieter tritt genau in diesem Schritt auf, wenn die Wachsamkeit nachlässt angesichts einer Anfrage, die administrativ zu sein scheint.
Das SEPA-regulatorische System stellt ein zusätzliches Sicherheitsnetz dar, ist jedoch kein Ersatz für die interne Kontrolle. Ergebnisse wie “nahe Übereinstimmung” oder “Überprüfung nicht möglich” sollten einen Ermittlungsprozess auslösen und dürfen niemals ignoriert werden, um eine Zahlung zu beschleunigen.
