Scheinunternehmen prüfen und Auftraggeberhaftung vermeiden

Ob ein Unternehmen ein Scheinunternehmen ist, umgangssprachlich eine Scheinfirma, prüfst du in der öffentlichen Liste des Bundesministeriums für Finanzen. Die Prüfung gehört vor jede Auftragserteilung: Wusste der Auftraggeber davon oder hätte er es wissen müssen, haftet er nach § 9 SBBG für die Löhne der dort Beschäftigten, ab 1. Jänner 2027 auch für die Krankenversicherungsbeiträge. Firmenakte zeigt den Eintrag in der BMF-Liste gemeinsam mit Firmenbuch und GISA in einem Profil.

Ein Subunternehmer, der auf keiner Liste steht – bis er draufsteht. Dann geht die Rechnung für die Löhne seiner Leute an den, der ihn beauftragt hat. Gegen dieses Risiko hilft kein Bauchgefühl, sondern eine Prüfung mit Datum und Quelle. Wie das mit der Firmenbuch-API praktisch aussieht.

Warum ein einmaliger Blick nicht reicht

Das Bundesministerium für Finanzen veröffentlicht jedes rechtskräftig festgestellte Scheinunternehmen in einer öffentlichen Liste. Die Liste wächst laufend, und sie schaut zurück: Der Zeitpunkt, ab dem ein Unternehmen als Scheinunternehmen gilt, liegt häufig Monate bis zwei Jahre vor der Veröffentlichung.

Für Auftraggeber ist das heikel, weil die Haftung nach § 9 SBBG genau so gebaut ist:

• Maßstab ist die Auftragserteilung. Gehaftet wird, wenn der Auftraggeber damals wusste oder wissen musste, dass er ein Scheinunternehmen beauftragt.
• Auslöser ist die Rechtskraft. Die Haftung entsteht mit der rechtskräftigen Feststellung und umfasst den Zeitraum ab Beauftragung.
• Die Kette zählt mit. Seit September 2024 erstreckt sich die Haftung auch auf jedes weitere Unternehmen, das das Scheinunternehmen seinerseits beauftragt hat.

Daraus folgt zweierlei: Jede Auftragserteilung braucht eine dokumentierte Prüfung. Und laufende Partner gehören beobachtet, weil jeder Folgeauftrag eine neue Auftragserteilung ist.

Was sich 2026 und 2027 ändert

Die Bundesinnung Bau weist darauf hin, dass auch verdeckte Formen der Überlassung unter den höheren Satz fallen, etwa wenn der Auftraggeber das Material beistellt oder kein abgrenzbares Werk entsteht (WKO, Bauzeitung 07/2026).

Was die Liste zeigt – und was nicht

Die BMF-Liste enthält alle Feststellungen seit 1. Jänner 2016: Name, Anschrift, Firmenbuchnummer und UID, soweit vorhanden, dazu Veröffentlichungsdatum, Rechtskraft des Bescheids und den Zeitpunkt, ab dem das Unternehmen als Scheinunternehmen gilt. Darauf stehen GmbHs genauso wie Einzelunternehmer ohne Firmenbuchnummer.

Ein sauberer Treffer ist kein Freibrief. Die Liste zeigt nur rechtskräftige Feststellungen. Der bloße Verdacht nach § 8 SBBG ist nicht öffentlich. Deshalb gehören Firmenbuch und GISA zur Prüfung dazu.

Woran ein Verdacht ansetzt, nennt das Gesetz in § 8 Abs. 3 SBBG selbst. Drei dieser Anhaltspunkte kannst du vor der Beauftragung selbst prüfen:

• Niemand an der Firmenbuchanschrift. Unter der eingetragenen Adresse ist kein Betrieb und niemand erreichbar.
• Keine Betriebsmittel, keine Mitarbeiter. Es fehlen Personal, Geräte oder Vermögen, die zum angegebenen Geschäftszweig passen, etwa wenn eine wenige Monate alte Gesellschaft Kapazität für eine ganze Baustelle anbietet.
• Kein Kontakt zu den Organen. Die Geschäftsführung ist persönlich nicht erreichbar. Häufige Wechsel in kurzer Folge sind ein zusätzliches Warnsignal.

Dazu kommt ein Blick ins GISA: Klingt der Unternehmensgegenstand nach Bau, ohne dass eine aktive Gewerbeberechtigung dafür eingetragen ist, ist Vorsicht angebracht.

Ob eine Prüfung im Einzelfall ausreicht, entscheiden Behörde und Gericht. Ohne dokumentierte Prüfung fehlt aber das wichtigste Argument.

Ohne Code auf Firmenakte nachsehen

Für eine einzelne Prüfung brauchst du keine Schnittstelle. Such das Unternehmen im Firmenverzeichnis nach Name oder Firmenbuchnummer. Steht das Unternehmen auf der BMF-Liste, zeigt die Firmenseite das gleich oben an. Darunter stehen die Firmenbuchdaten, die Geschäftsführung und die Gewerbeberechtigungen. Halte Datum und Ergebnis beim Auftrag fest, damit die Prüfung später nachweisbar ist.

Wie du die Gewerbeberechtigung im Detail liest, steht im Artikel Gewerbeschein und Gewerbeberechtigung prüfen. Die Bilanz des Partners findest du über Jahresabschluss und Bilanz einer Firma einsehen.

Scheinunternehmen per API prüfen

Vor der Auftragserteilung liest du das Profil des Auftragnehmers samt Kundmachungen. Die Firmenbuchnummer wird als Alias aufgelöst:

curl "https://api.firmenakte.at/api/v2/companies/fnr:$FN?include=notices" \
  -H "x-api-key: $KEY"

Die Antwort enthält unter flags das Feld isShamCompany. Steht ein Unternehmen auf der BMF-Liste, liegt unter notices ein Eintrag mit kind: "sham-company", Veröffentlichungsdatum und den Angaben aus der Kundmachung. Im selben Profil stehen insolvency und die Registerdaten für die Plausibilitätsprüfung.

Speichere das Ergebnis mit dem Abrufzeitpunkt beim Auftrag. Das ist dein Prüfnachweis: Wer hat wann wen geprüft, und was stand zu diesem Zeitpunkt im Register.

Laufend beobachten statt jedes Mal suchen

Für den Bestand drehst du es um. GET /changes mit register=shamList liefert jede neue Kundmachung als Ereignis vom Typ company.shamListed, inklusive shamSince, also dem Zeitpunkt der Scheinunternehmer-Eigenschaft. Du gleichst nur noch die neuen Ereignisse mit deinem Lieferantenstamm ab.

import os, httpx

BASE = "https://api.firmenakte.at/api/v2"
HEAD = {"x-api-key": os.environ["FA_KEY"]}

after = state.get("sham_after")            # zuletzt verarbeitete Sequenz
while True:
    params = {"register": "shamList", "type": "company.shamListed", "limit": 100}
    if after:
        params["after"] = after
    r = httpx.get(f"{BASE}/changes", headers=HEAD, params=params, timeout=15)
    r.raise_for_status()
    seite = r.json()

    for e in seite["items"]:
        if state.seen(e["id"]):            # Ereignisse ueber id deduplizieren
            continue
        partner = erp.partner_by_firmenakte_id(e["subject"]["id"])
        if partner:
            erp.flag(partner, "bmf_scheinunternehmen",
                     seit=e["data"].get("shamSince"))   # Freigaben stoppen, pruefen
            einkauf.alarm(partner, e)
        state.mark(e["id"])

    after = seite["nextCursor"]
    state.set("sham_after", after)         # auch nach leeren Seiten speichern
    if len(seite["items"]) < 100:
        break

Der Treffer kündigt oder löscht nichts automatisch. Er hält die nächste Zahlungsfreigabe an und legt den Fall jemandem vor, der entscheidet.

Wo die Prüfung im Prozess sitzt

Der Abgleich läuft in deiner eigenen Datenbank: Firmenakte liefert die neuen Kundmachungen über die API, dein System prüft, ob einer deiner Partner betroffen ist. Für den gesamten Bestand reicht ein einmaliger Lauf über alle Firmenbuchnummern, danach nur noch der Feed.

Die Einführung in drei Schritten

1. Lieferanten mit Firmenbuchnummer verknüpfen. POST /companies/resolve ordnet Namen eindeutig zu oder liefert Kandidaten zur Prüfung. Einzelunternehmer ohne FN gleichst du über Name, Anschrift und UID ab.
2. Prüfung an die Auftragserteilung hängen. Ein Abruf pro Auftrag, gespeichert mit Datum. Größter Hebel, kleinster Eingriff.
3. Feed abonnieren. Neue Kundmachungen laufen täglich gegen den Bestand, Treffer stoppen die nächste Zahlung.

Häufige Fragen

Was ist ein Scheinunternehmen?

Ein Unternehmen, das vorrangig darauf angelegt ist, Lohnabgaben, Sozialversicherungsbeiträge oder BUAG-Zuschläge nicht zu bezahlen, oder das Personen zur Sozialversicherung anmeldet, die gar nicht für es arbeiten. Erfasst sind auch Unternehmen, die andere vor allem mit Rechnungen ohne echte Leistung unterstützen. Festgestellt wird das von der Finanzverwaltung per Bescheid, erst danach kommt das Unternehmen auf die Liste.

Wo finde ich die Liste der Scheinunternehmen?

Das Bundesministerium für Finanzen veröffentlicht sie auf service.bmf.gv.at, mit CSV-Download und RSS-Feed. Sie enthält alle rechtskräftigen Feststellungen seit 1. Jänner 2016.

Haftet der Auftraggeber, wenn sein Subunternehmer ein Scheinunternehmen ist?

Ja, wenn er bei der Auftragserteilung wusste oder wissen musste, dass es sich um ein Scheinunternehmen handelt. Er haftet dann als Bürge und Zahler für das Entgelt der dort Beschäftigten, ab 2027 auch für die Beiträge an die Krankenversicherung.

Reicht ein Blick in die Liste als Nachweis?

Die Liste zeigt nur rechtskräftige Feststellungen, keine Verdachtsfälle. Eine dokumentierte Prüfung mit Datum, ergänzt um Firmenbuch und GISA, ist die beste Grundlage. Eine Garantie gegen die Haftung ist sie im Einzelfall nicht.

Was ist der Unterschied zur Auftraggeberhaftung im Bau?

Die Auftraggeberhaftung nach § 67a ASVG gilt pauschal bei weitergegebenen Bauleistungen, unabhängig vom Wissen des Auftraggebers. Sie entfällt, wenn der Auftragnehmer auf der HFU-Liste steht oder der Haftungsbetrag abgeführt wird. Die Haftung für Scheinunternehmen nach dem SBBG kommt unabhängig davon dazu und gilt in jeder Branche.

Stehen auch Einzelunternehmer auf der Liste?

Ja. Für sie gibt es keine Firmenbuchnummer, der Abgleich läuft dann über Name, Anschrift und UID-Nummer.

Fazit

Die Haftung für Scheinunternehmen wird größer, und ab 2027 kommen die Krankenversicherungsbeiträge dazu. Die Liste ist öffentlich, die Prüfung dauert Sekunden. Was im Anlassfall zählt, ist der Nachweis, dass sie zum richtigen Zeitpunkt stattgefunden hat.