DSGVO-konform

IBAN-Abgleich bei Banküberweisungen — Tools, Methoden, Best Practices

6 Min. Lesezeit

Was bedeutet IBAN-Abgleich konkret?

Im Buchhaltungs- und Zahlungs­verkehrs­kontext meint IBAN-Abgleich die systematische Prüfung von Empfänger-IBANs vor der Auszahlung — und nach der Auszahlung den Abgleich von Sollbuchungen mit den Buchungs­bestätigungen der Bank. Beide Schritte sind Pflicht­bestandteile eines sauberen Internal-Control-Systems (IKS) im Zahlungs­verkehr.

Vor der Zahlung prüft man typischerweise: (1) Format und Länge entsprechen dem Land, (2) die Modulo-97-Prüfziffer ist korrekt, (3) die BLZ ist gültig, (4) seit Februar 2024 in der EU: der Empfängername passt laut VoP-Antwort zur IBAN. Nach der Zahlung gleicht man die ausgehende SEPA-Datei (pain.001) mit der Rückmeldung der Bank (CAMT.054 / pain.002) ab.

Methoden im Vergleich

Welche Methode passt, hängt vom Zahlungs­volumen ab:

Volumen / WocheMethodeToolingVoP-Abdeckung
1–20 ZahlungenOnline-Validator manuellBrowser-Tool wie iban-rechner.proWird beim Auslösen durch die Hausbank geprüft
20–100 ZahlungenBulk-CSV-UploadCSV-Validator oder ERP-PluginIn der Bank-API integriert
100+ ZahlungenVollintegrierte ERP-SchnittstelleSAP / DATEV / Lexware mit IBAN-ServiceEBICS-VoP via Hausbank
Massenzahlungen / Lohnpain.001 + CAMT-RückabgleichTreasury-System (z. B. SAP TR, BELLIN)Inline mit Pflichtprüfung pro Datensatz
IBAN-Abgleich-Methoden nach Zahlungsvolumen

Modulo 97 reicht nicht — VoP ist seit 2024 Standard

Die mathematische Modulo-97-Prüfung erkennt Tippfehler, beweist aber weder, dass das Konto existiert, noch dass der eingegebene Empfängername stimmt. Genau deshalb hat die EU mit Verordnung 2024/886 für SEPA-Überweisungen die Verification-of-Payee-Pflicht eingeführt: Vor jeder Freigabe prüft die Bank des Zahlers automatisch, ob der eingegebene Empfängername zur IBAN passt.

Das Ergebnis ist dreiteilig: "Match" (Name + IBAN passen), "Close Match" (z. B. abweichende Schreibweise — die Bank zeigt den korrekten Namen an), "No Match" (passt nicht — der Zahler trägt bei Freigabe die Haftung). Für die Buchhaltung bedeutet das: Ein VoP-Mismatch sollte als Pflicht-Abbruchgrund im Workflow hinterlegt werden, sonst greift bei Fehlüberweisungen die Haftung des Zahlers.

Best Practice: Vier-Augen-Prinzip + maschinelle Validierung

Für mittelständische Unternehmen hat sich folgendes Setup bewährt: (1) Stamm­daten­pflege mit IBAN-Validator beim Anlegen jedes Lieferanten/Mitarbeiters, (2) Vier-Augen-Prinzip bei Änderungen an existierenden Bankver­bindungen — gerade bei "Bitte ab heute auf neues Konto"-Mails ist das die wichtigste Verteidigung gegen CEO-Fraud, (3) automatisierter Bulk-Abgleich vor jedem Zahlungslauf, (4) tägliche CAMT-Reconciliation mit der Rückmeldungsdatei der Bank.

Zusammenfassung

  • Modulo 97 prüft die Mathematik, VoP prüft den Empfängernamen — beide gehören zum sauberen Abgleich.
  • Ab ~100 Zahlungen pro Woche lohnt eine ERP-Integration mit Bulk-Validierung und CAMT-Rückabgleich.
  • Bei "neue Bankverbindung"-Mails immer Rückbestätigung über die im Stammsatz hinterlegte Nummer — nicht über die in der Mail genannte.

Häufig gestellte Fragen

Was kostet ein IBAN-Abgleich?
Manuelle Online-Validatoren sind kostenlos. Bulk-Tools für ERPs liegen je nach Anbieter zwischen 50 € und 500 € im Monat. Die VoP-Prüfung ist innerhalb der Bank-Schnittstelle (EBICS, FinTS) Pflichtbestandteil und kostenfrei.
Welche Daten reichen für den IBAN-Abgleich?
Für die Modulo-97-Prüfung reicht die IBAN allein. Für VoP zusätzlich der Empfängername. Für die Reconciliation zusätzlich Zahlungs­referenz, Betrag und Buchungsdatum.
Ist eine bestätigte VoP-Antwort eine Garantie?
Sie ist eine starke Indikation, aber keine 100-Prozent-Garantie. Bei "Match" liegt das Risiko ganz überwiegend bei der Bank des Empfängers, falls der Name dennoch nicht stimmt. Bei "No Match" und trotzdem freigegebener Zahlung trägt der Zahler die Haftung.
Wie reagiert man bei IBAN-Änderung eines Lieferanten?
Strikt: telefonische Rückbestätigung über die im Stammsatz hinterlegte (alte) Telefonnummer, niemals über die in der Mail genannte. Vier-Augen-Prinzip im ERP, Stichprobe nach 1 Woche per CAMT-Rückläufer. CEO-Fraud beginnt fast immer mit einer "neuen Bankverbindung"-E-Mail.

Quellen

Im Glossar

Weiterlesen