LuxHawk.lu (+352) 27 52 67 45

← Zurück zu Wissen

Das Geld der Miteigentümergemeinschaft: Überweisungsbetrug und gefälschte Bankverbindung

Gebäude und Miteigentum 10 min Autor : Arnaud Colin Aktualisiert : 19/09/2026

Zusammenfassung

Der Betrüger greift nicht die Bank an: Er schiebt sich zwischen den Zahlenden und den rechtmäßigen Empfänger, entweder indem er die Kontrolle über den Buchhaltungsrechner übernimmt, an dem die Überweisungen freigegeben werden, oder indem er eine geänderte Bankverbindung in eine E-Mail einschleust, die einen bekannten Ansprechpartner nachahmt. In Luxemburg hat das CIRCL 2025 betrügerische Überweisungen dokumentiert, die durch eine gefälschte Rechnung und ein Fernzugriffswerkzeug vorbereitet wurden; in Frankreich hat der Kassationshof 2026 entschieden, dass die Zahlung an einen Identitätsbetrüger den Schuldner nicht befreit und er ein zweites Mal zahlen muss. Der Schutz liegt in Verfahren: Prüfung jeder Änderung von Bankdaten über einen unabhängigen Kanal, Freigabe nach dem Vier-Augen-Prinzip, Chipkarte aus dem Lesegerät genommen.

Ein Syndic, ein Hausverwalter oder eine Verwaltungsgesellschaft lebt von Überweisungen: Kostenvorschüsse, Mieten, Rechnungen der Dienstleister, Lastenabrechnungen. Genau diesen Geldfluss versucht ein Betrüger umzuleiten. Er greift nicht den Tresor der Bank an; er schiebt sich zwischen den Zahlenden und den rechtmäßigen Empfänger, entweder indem er die Kontrolle über den Rechner übernimmt, an dem die Zahlungen signiert werden, oder indem er vortäuscht, die Bankverbindung des Empfängers habe sich geändert. Zwei aktuelle Vorgänge beschreiben diese beiden Mechanismen mit Quellen ersten Ranges: eine Kampagne, die das CIRCL 2025 in Luxemburg dokumentiert hat, und eine Reihe französischer Warnungen und Gerichtsentscheidungen zwischen 2022 und 2026, die die Frage beantworten, die sich jeder Verwaltungsbeirat irgendwann stellt: Wenn das Geld an einen Betrüger geflossen ist, wer bleibt Schuldner?

Luxemburg 2025: die gefälschte Rechnung, die den Buchhaltungsrechner übernimmt

Am 26. Februar 2025 veröffentlicht das nationale Zentrum für die Reaktion auf Sicherheitsvorfälle, das CIRCL, den Bericht TR-93 (Version 1.0, ohne Einschränkung weitergebbar, TLP:CLEAR). Er nennt kein Opfer: Er fasst mehrere Meldungen von Organisationen und Privatpersonen zusammen, die von ihrer Bank erfahren haben, dass unbekannte Überweisungen von ihren Konten abgingen. Das Datum der Vorfälle selbst wird nicht genannt. Am 3. März 2025 verbreitet die Aufsichtsbehörde des Finanzsektors, die CSSF, den Bericht weiter und empfiehlt den betroffenen Einrichtungen unter ihrer Aufsicht dringend, ihn zur Kenntnis zu nehmen und entsprechend zu handeln.

Der Angriffsweg ist eine gefälschte Rechnung, die per E-Mail eingeht. Wer sie öffnet, installiert unwissentlich ein Werkzeug für den Fernzugriff aus der Familie der Fernwartungsprogramme (RMM), die IT-Fachleute rechtmäßig einsetzen. Der Virenschutz blockiert es nicht, da die Software an sich nicht bösartig ist; der Angreifer installiert im Übrigen mehrere davon, um seinen Zugang zu behalten. Anschließend beobachtet er den Rechner, der häufig einem Buchhalter oder einem Finanzverantwortlichen gehört, und fängt die PIN der Chipkarte in dem Moment ab, in dem sie zur Freigabe einer Zahlung in Multiline eingegeben wird. Mit dieser abgefangenen PIN gehen die betrügerischen Überweisungen ins Ausland. Der Bericht weist auch darauf hin, dass bösartige E-Mails an die Kontakte im Adressbuch des Opfers verschickt werden, sodass jeder kompromittierte Rechner zum Sprungbrett für die nächsten wird.

Was den Angriff möglich gemacht hat, beruht auf keiner Softwareschwachstelle: Der Bericht nennt keine CVE. Alles beruht auf einer menschlichen Handlung, dem Öffnen der Rechnung, auf einem legitimen Werkzeug, das die klassischen Schutzmaßnahmen passieren lassen, und auf einer Chipkarte, deren PIN an einem Computer eingetippt wird, den jemand anderes beobachtet.

Die Auswirkungen sind nicht konsolidiert: Das CIRCL veröffentlicht weder Namen von Opfern noch einen Gesamtbetrag. Es nennt zwei Beispiele, rund 30.000 € in zehn Vorgängen und 1.000.000 € in einem einzigen, und weist darauf hin, dass die Banken bestimmte Vorgänge erkannt haben. Für die betroffene Organisation ist die Wiederherstellung aufwendig: Ein einfacher Durchlauf des Virenschutzes löst nichts, der Rechner muss vollständig neu aufgesetzt werden.

Die Empfehlungen des CIRCL sind konkret: ein Erkennungswerkzeug auf den Rechnern (EDR), konfiguriert mit einer Positivliste der einzig zugelassenen Fernwartungsprogramme; die Alternativen LuxTrust Mobile oder LuxTrust Scan zur Chipkarte; die Karte aus dem Lesegerät genommen, sobald sie nicht mehr gebraucht wird; eine Freigabe der Zahlungen nach dem Vier-Augen-Prinzip; die Multi-Faktor-Authentifizierung. Der Bericht spricht weder von Syndic noch von Miteigentümergemeinschaft. Die Übertragung stammt von uns, und sie liegt auf der Hand: Der Buchhaltungsrechner eines Syndic tut genau das, was der TR-93 beschreibt, nämlich Überweisungen im Namen jeder verwalteten Miteigentümergemeinschaft vorbereiten und signieren.

Frankreich 2022–2023: die gefälschte Bankverbindung, die den Verwalter nachahmt

Der zweite Mechanismus braucht keine Software auf dem Rechner des Opfers. Eine glaubwürdige E-Mail genügt. Cybermalveillance.gouv.fr stellt in einem Artikel vom 10. Januar 2024, aktualisiert am 15. Juli 2025, seit Ende 2022 mehrere Wellen betrügerischer E-Mails fest, die auf die Umleitung von Mieten abzielen.

In Frankreich warnt Foncia seine Kunden im November 2022 auf LinkedIn und erneut Ende September 2023. Kunden waren Opfer von Überweisungsbetrug geworden, der auf ihrer tatsächlichen Situation aufbaute: gefälschte E-Mails im Erscheinungsbild von Foncia forderten sie auf, auf eine beigefügte Bankverbindung zu zahlen. Die Antwort des Unternehmens ist eher eine Regeländerung als ein Werkzeug: Es hat jeden Versand und jede Anforderung von Bankdaten per E-Mail untersagt, verweist seine Kunden auf den Kundenbereich MyFoncia, stellt die Multi-Faktor-Authentifizierung in den Vordergrund und hat einen eigenen Meldekanal eingerichtet (emeria.signalement.net). Foncia veröffentlicht außerdem eine Seite „Comment se protéger“ („Wie Sie sich schützen“) für seine Kunden.

Am 30. Dezember 2022 lässt France 3 Occitanie eine Agentur aus Albi, Midi Immobilier, zu Wort kommen und berichtet, dass auch Notariate auf der Hut sind. Die Agentur erklärt, dass die Betrüger die Namen ihrer Kunden in den Google-Bewertungen finden und dass sie kurzlebige Postfächer verwenden, die acht Tage aktiv sind. Bei dieser Agentur hatte kein Betrugsversuch Erfolg, was zeigt, dass es einen Schutz gibt.

Der Angriffsweg ist also ein Identitätsmissbrauch per E-Mail: eine Domain mit Bindestrich wie „foncia-gestion.com“ oder eine Domain, die sich von der echten nur um einen einzigen Buchstaben unterscheidet, eine Vorlage im Erscheinungsbild des Verwalters und zutreffende Details aus öffentlichen oder gestohlenen Daten. In manchen Fällen wurde das Postfach des Fachmanns selbst kompromittiert, und die E-Mail geht dann von der echten Domain aus. Auch hier keine Softwareschwachstelle: Die Schwäche liegt im Verfahren, das eine per E-Mail angekündigte Änderung der Bankverbindung akzeptiert.

Wer zahlt, wenn das Geld weg ist? Zwei Entscheidungen aus dem Jahr 2026

Die Frage, die einen Verwaltungsbeirat interessiert, lautet nicht nur „wie“, sondern „wer trägt den Verlust“. Zwei französische Entscheidungen aus dem Jahr 2026 beantworten sie, und sie fallen nicht so aus, wie es sich der Zahlende erhofft.

Am 17. Juni 2026 erlässt die Handelskammer des Kassationshofs das Urteil Nr. 24-13.306, veröffentlicht im Bulletin. Der Sachverhalt ist alltäglich: eine E-Mail, deren Adresse sich von der des Lieferanten um einen einzigen Buchstaben unterscheidet, eine Rechnung über 103.375,64 €, eine geänderte Bankverbindung. Der Schuldner hatte an den Betrüger gezahlt. Der Gerichtshof entscheidet auf der Grundlage von Artikel 1342-3 des Code civil, dass „ein Dritter, der die Identität des Gläubigers missbraucht, kein Scheingläubiger ist“. Die Zahlung hat keine befreiende Wirkung: Der Schuldner bleibt verpflichtet und muss ein zweites Mal zahlen. Das Urteil wird teilweise aufgehoben, und die Sache wird an die Cour d’appel de Lyon zurückverwiesen. Der Rechtsstreit betraf zwei Unternehmen; für eine Miteigentümergemeinschaft ist diese Entscheidung als Formulierung eines Grundsatzes zu lesen, nicht als Entscheidung über einen Kostenvorschuss.

Am 25. März 2026 hat das Tribunal judiciaire de Paris einen verwandten Fall entschieden, über den Clubic am 4. April 2026 berichtet hat. Der Sachverhalt stammt aus dem Oktober 2022: Die E-Mail eines Notars wird abgefangen, die darin enthaltene IBAN ersetzt, und bei einer Transaktion über 320.000 € werden 96.400 € an den Betrüger überwiesen. 27.792,62 € werden zurückgeholt; der Nettoschaden beläuft sich auf 68.607,38 €. Das Gericht verurteilt den Notar, davon 70 % zu tragen, also 48.025,17 €, wegen qualifizierter Unvorsichtigkeit („imprudence caractérisée“): Er hatte die Bankverbindung ohne Vorsichtsmaßnahme als Anhang einer E-Mail versandt. Das Opfer trägt 30 % selbst. Die Banken werden von der Haftung freigestellt.

Diese beiden Entscheidungen sind französisch; sie sagen nicht, wie ein luxemburgisches Gericht in einem vergleichbaren Fall urteilen würde. Sie beschreiben jedoch eine Argumentation, die ein Syndic kennen sollte: Wer an einen Identitätsbetrüger zahlt, hat nicht gezahlt, und der Fachmann, der Bankdaten ohne Vorsichtsmaßnahme per E-Mail in Umlauf bringt, kann für einen großen Teil des Verlusts haftbar gemacht werden.

Was ein Gebäude oder eine Miteigentümergemeinschaft in Luxemburg daraus lernen kann

Beide Vorgänge führen zur selben Feststellung: Keiner der beschriebenen Angriffe nutzt eine technische Schwachstelle aus. Sie nutzen ein Zahlungsverfahren aus, oder dessen Fehlen. Die folgenden Maßnahmen sind unmittelbar aus den Empfehlungen des CIRCL, der Antwort von Foncia und den beiden Entscheidungen abgeleitet.

  • Eine Änderung der Bankverbindung wird nie per E-Mail abgewickelt. Jede neue Bankverbindung, ob von einem Lieferanten, einem Miteigentümer oder dem Syndic, wird über einen unabhängigen Kanal geprüft: einen Anruf unter der bereits bekannten Nummer, nie unter der in der E-Mail angegebenen, oder ein authentifiziertes Portal. Der Syndic tut gut daran, seinen Miteigentümern schriftlich mitzuteilen, dass er ein neues Bankkonto nie per E-Mail ankündigen wird, so wie Foncia es getan hat.
  • Eine ausländische IBAN oder ein Kontoinhaber, dessen Name vom erwarteten abweicht, ist ein Alarmsignal, kein Detail, das sich später klären lässt.
  • Die vom CIRCL empfohlene Freigabe nach dem Vier-Augen-Prinzip und Überweisungslimits auf den Konten der Miteigentümergemeinschaft werden von einem anderen Rechner aus ausgeübt als dem, der die Überweisungen vorbereitet. Wenn derselbe Computer vorbereitet und freigibt, erledigt der Angreifer, der ihn kontrolliert, beides.
  • Die Chipkarte verlässt das Lesegerät, sobald sie nicht mehr gebraucht wird. Eine PIN, die an einem Rechner eingegeben wird, den ein Unbekannter beobachtet, kommt der Übergabe der Unterschrift gleich. Das CIRCL nennt die Alternativen LuxTrust Mobile oder LuxTrust Scan.
  • Der Virenschutz sieht ein legitimes Fernwartungsprogramm nicht. Das CIRCL empfiehlt ein Erkennungswerkzeug auf den Rechnern (EDR) mit einer Positivliste der einzig zugelassenen Werkzeuge. Jedes Fernzugriffsfenster, das nicht angefordert wurde, wird sofort gemeldet.
  • Die Multi-Faktor-Authentifizierung für das E-Mail-Postfach und die Verwaltungsportale, die sowohl das CIRCL als auch Foncia nennen, schließt den Weg über das kompromittierte Postfach, bei dem die gefälschte E-Mail von der echten Domain ausgeht.
  • Der Verwaltervertrag des Syndic und die Verträge mit den Dienstleistern können schriftlich festlegen, über welchen Kanal Bankdaten übermittelt und geprüft werden. Das Tribunal judiciaire de Paris hat festgehalten, dass ein Fachmann, der eine Bankverbindung ohne Vorsichtsmaßnahme als Anhang versendet, eine qualifizierte Unvorsichtigkeit begeht; ein schriftliches Verfahren ist auch das, womit sich die Vorsicht nachweisen lässt.
  • Der Beauftragte, der die Kompromittierung seines Postfachs entdeckt, warnt unverzüglich alle seine Auftraggeber. Die Betrüger bedienen sich des Adressbuchs; jeder Kontakt wird zum Ziel. Wenn personenbezogene Daten von Miteigentümern eingesehen worden sein könnten, gilt der Maßstab der DSGVO: Meldung an die Aufsichtsbehörde, in Luxemburg die CNPD, innerhalb von 72 Stunden (Artikel 33) und Benachrichtigung der betroffenen Personen ohne unangemessene Verzögerung (Artikel 34).
  • Wenn eine Überweisung abgegangen ist: zuerst die Bank, um die Rückholung der Mittel in den folgenden Stunden zu erreichen, dann die Strafanzeige. Wenn die Bank anruft, um eine Überweisung zu bestätigen, die niemand kennt, ist das der Vorfall: Der Rechner wird nicht bereinigt, sondern vollständig neu aufgesetzt, und das CIRCL wird benachrichtigt.

Die meisten dieser Maßnahmen sind weniger eine Investition als eine Entscheidung, die vor dem Vorfall getroffen wird: darüber, wer eine Zahlung freigibt, wie eine Bankverbindung in die Buchhaltung gelangt und was zu tun ist, wenn die Bank anruft.

Quellen