Wie können Betrüger von einem Konto abheben, wenn sie Bankleitzahl und Kontonummer haben?

Habe gelesen, dass Betrüger Geld von einem Konto abheben können, und dafür benötigen sie nur BLZ und Kontonummer. Wie genau geht das? Dann könnten ja Betrüger überall Geld abheben, oder? Viele Institutionen (wie z.B. Universitäten) und Unternehmen stellen ihre Kontodaten ja ins Netz. Dann müsste das ja eine offene Einladung für Betrüger sein.