Datenleck bei Autohäusern: Warum richtige Rechnungsdaten vor Betrug nicht schützen

Wer auf sein bestelltes Auto wartet, könnte eine Zahlungsaufforderung mit der richtigen Rechnungsnummer und dem vereinbarten Kaufpreis für glaubwürdig halten. Nach einem Datenleck bei einer Software für Autohäuser warnen aktuelle Berichte genau vor diesem Risiko: Kriminelle könnten echte Angaben aus dem Kaufvorgang verwenden, um Zahlungen auf fremde Konten umzulenken. Der Bayerische Rundfunk berichtete am 14. Oktober 2026 über den Vorfall. Eine bereits laufende Betrugswelle ist durch die ausgewerteten Berichte nicht belegt.

Was über das Datenleck bekannt ist

Laut einer bei MarketScreener veröffentlichten dpa-AFX-Meldung bestätigte die Polizei einen Cyberangriff auf einen IT-Dienstleister im Raum Würzburg. Nach bisherigem Ermittlungsstand führte der Zugriff über eine Drittanbietersoftware mit einer schwerwiegenden Sicherheitslücke. Der Softwareanbieter erklärte gegenüber der Agentur, dass unter anderem Auftrags- und Rechnungsnummern, Liefertermine sowie Kauf-, Zahlungs- und Finanzierungsbeträge erbeutet worden seien.

Betroffen seien vor allem, aber nicht ausschließlich, Händler mit Marken des Volkswagen-Konzerns. Volkswagen bestätigte laut Agentur den Einsatz der Software bei Volkswagen Group Retail Deutschland und die Information betroffener Kunden. Die dort genannten rund 120 Autohäuser beschreiben die Größe dieses Unternehmensbereichs. Sie sind keine Zahl nachweislich kompromittierter Standorte. Wie viele Händler und Kunden tatsächlich betroffen sind, ist offen.

Wie aus richtigen Angaben eine falsche Rechnung werden kann

Ein fiktives Beispiel macht die Gefahr verständlich: Eine Kundin hat ein Fahrzeug bestellt, die Übergabe steht bevor. In einer E-Mail wird sie gebeten, den noch offenen Betrag zu überweisen. Die Auftragsnummer stimmt, ebenso der Preis. Nur die Bankverbindung ist neu. Als Erklärung wird eine Umstellung der Buchhaltung genannt. Würde die Kundin diese Angaben als ausreichenden Echtheitsbeleg betrachten, könnte sie das Geld auf ein Konto der Täter überweisen. Dieses Beispiel veranschaulicht das Risiko; es beschreibt keinen dokumentierten Betrugsfall aus dem aktuellen Datenleck.

Bei einer solchen Täuschung haben die richtigen Angaben eine bestimmte Funktion: Sie passen zu einem Geschäft, das die Empfängerin tatsächlich abgeschlossen hat. Die gefälschte Nachricht kann dadurch wie eine gewöhnliche Fortsetzung des Autokaufs wirken. Die Frage, ob der Absender die Bestellung kennt, reicht deshalb zur Prüfung nicht aus. Entscheidend bleibt, ob das Autohaus diese Zahlungsaufforderung und dieses Konto tatsächlich bestätigt.

Die technische Herkunft der Informationen muss dabei sauber unterschieden werden. Ein Datenabfluss bei einem Dienstleister bedeutet für sich genommen nicht, dass auch das E-Mail-Postfach eines Händlers übernommen wurde. Aus dem aktuellen Fall lässt sich daher weder eine bestimmte Absenderadresse noch eine konkrete Gestaltung späterer Betrugsnachrichten ableiten.

Die Zahlungsumleitung ist eine bekannte Betrugsmasche

Wie Rechnungen mit echten Angaben manipuliert werden, dokumentierte das damalige Schweizer Nationale Zentrum für Cybersicherheit bereits im Jänner 2023. Der heute beim Bundesamt für Cybersicherheit abrufbare Bericht beschreibt Angreifer, die in gehackten E-Mail-Konten nach Rechnungen suchen. Sie kopieren die Dokumente, ändern die IBAN und schicken sie erneut im Namen des Rechnungsstellers. In einem gemeldeten Fall wurde zusätzlich der QR-Code für die Zahlung angepasst.

Dieser ältere Fall ist kein Beleg für Folgeangriffe auf die jetzt betroffenen Autokäufer. Er zeigt aber, dass eine professionell aussehende Rechnung samt passendem Zahlungs-QR-Code manipuliert sein kann. Auch ein Konto im eigenen Land ist für sich genommen kein Echtheitsnachweis: Im Schweizer Beispiel machte gerade die inländische Bankverbindung den Versuch schwerer erkennbar.

Eine neue Bankverbindung braucht einen unabhängigen Rückruf

Wer eine unerwartete Kontoumstellung erhält, sollte vor der Zahlung das Autohaus über einen unabhängig bekannten Kontakt erreichen. Die Commerzbank empfiehlt bei dieser Masche ausdrücklich, die bereits vorliegenden Kontaktdaten zu verwenden und die Bankverbindung mit dem bekannten Ansprechpartner abzugleichen. Eine Telefonnummer aus der verdächtigen E-Mail kann ebenso zur Täuschung gehören wie die neue IBAN.

Für den Autokauf lässt sich daraus eine einfache Vorgehensweise ableiten: Den bisherigen Ansprechpartner über die Nummer aus den Vertragsunterlagen anrufen und die Änderung bestätigen lassen. Eine kurze Antwort auf die fragliche Nachricht liefert diese unabhängige Bestätigung nicht. Wer unter Zeitdruck gesetzt wird, sollte die Zahlung bis zur Klärung zurückstellen. Eine echte organisatorische Umstellung lässt sich mit dem Händler besprechen.

Wurde bereits auf ein verdächtiges Konto überwiesen, sollte sofort die eigene Bank verständigt und ein Überweisungsrückruf angefragt werden. Die Commerzbank weist darauf hin, dass bereits gutgeschriebene Beträge schwer zurückzuholen sein können, und empfiehlt eine Anzeige bei der Polizei. Eine Rückzahlung ist daher nicht garantiert. Für die nächste Zahlungsaufforderung gilt: Die richtige Rechnungsnummer erklärt, welche Bestellung gemeint ist. Ob das Geld an den richtigen Empfänger geht, muss gesondert geprüft werden.