Rechnungsbetrug per E-Mail: Wie Unternehmen sich schützen können

Dass kriminelle Energie in Zeiten des elektronischen Mail-Verkehrs neue Züge annehmen kann, ist allseits bekannt. Eine beliebte Masche: Der Unternehmer sendet eine Rechnung per Mail an seinen Kunden. Der Rechnungsbetrüger oder sogenannte Man in the Middle fängt die-se ab und manipuliert die angegebene Kontonummer, bevor er die Mail an den eigentlichen Empfänger weiterleitet. Was bleibt, ist ein bereicherter Betrüger und die Frage als Rechnungssteller: "Wie komme ich nun an mein Geld?" Wie risikoreich es ist, Rechnungen über den elektronischen Mail-Verkehr zu übermitteln, zeigt auch ein Fall, den das Oberlandesgericht Karlsruhe (OLG) am 27. Juli 2023 verhandelt hat. Dabei ging es um einen Autohändler, der an einen anderen Unternehmer einen Gebrauchtwagen für 13.500 Euro verkaufte. Die Rechnung leitete der Verkäufer an den Kunden per Mail weiter. Neben dieser Mail erhielt der Käufer wenige Minuten nach Eingang jedoch eine weitere Mail mit einer abgeänderten Rechnung. Ohne dies zu hinterfragen, zahlte er. Was erst zu einem späteren Zeitpunkt klar wurde: Das Geld erhielt nicht wie beabsichtigt der Autohändler, sondern ein Hacker. Dieser hatte die Rechnung aus der ersten Mail abgefangen, die Kontonummer manipuliert und dann eine zweite E-Mail zugestellt. Nachdem der Betrug ans Licht kam, klagte der Verkäufer vor dem Landgericht Mosbach (LG) auf Zahlung der 13.500 Euro, die ihn nicht erreicht hatten. Sicherheitsvorkehrungen treffen Der Käufer dagegen weigerte sich, erneut zu zahlen. Schließlich sei es die Schuld des Rechnungsstellers gewesen, dass der Hacker auf die Mail zugreifen konnte. So habe dieser keine ausreichenden Schutzmaßnahmen getroffen wie beispielsweise eine Ende-zu-Ende-Verschlüsselung. Bei diesem Verfahren verschlüsselt der Absender die Daten, und erst der Empfänger entschlüsselt sie wieder. Das soll Nachrichten vor Manipulation und Mitlesen durch Dritte schützen. Dieser Ansicht schloss sich auch erstinstanzlich das LG Mosbach (Aktenzeichen 1O 271/21) an. Der Käufer sei hier seiner Pflicht, zu zahlen, nachgekommen. Der Rechnungssteller müsse sich den Hacker-Zugriff zurechnen lassen. Denn er selbst habe gegen die Bestimmungen der Datenschutzgrundverordnung (DSGVO) verstoßen, indem er seinen geschäftlichen Mail-Verkehr nicht ausreichend gegen Zugriffe Dritter geschützt hatte. Dabei verwies das Gericht auf eine Orientierungshilfe des Gremiums deutscher Datenschutzaufsichtsbehörden (Datenschutzkonferenz, DSK) vom Juni 2021, das bestimmte Verschlüsselungstechniken für einen sicheren Mail-Verkehr für notwendig erachtete. Praxis-Standards entscheidend Das OLG Karlsruhe hob diese Entscheidung allerdings aus den Angeln. Dieses sah es zunächst als unerheblich an, ob der Verkäufer gegen DSGVO-Vorschriften verstoßen hat. Maßgeblich dafür, ob der Käufer seiner Pflicht nachkam, eine Zahlung zu leisten, indem er an den Betrüger zahlte, sei allein, ob der Verkäufer ihn hierzu ermächtigt oder dies nachträglich genehmigt hatte. Dies ergebe sich schon allein aus dem Gesetz. Der Käufer erfüllt seine Zahlungspflicht aus dem Kaufvertrag also nicht schon, wenn er gutgläubig davon ausgeht, dass ein Nichtberechtigter - in diesem Fall der Rechnungsbetrüger - empfangsberechtigt ist. Auch einen Schadensersatzanspruch aus Paragraf 280 Absatz 1 sowie Paragraf 241 Absatz 2 des Bürgerlichen Gesetzbuchs (BGB) der Käuferin gegen den Kläger lehnte das Ge-richt ab. Der Verkäufer hatte demnach keine vertragliche Nebenpflicht verletzt, da seine getroffenen Sicherheitsvorkehrungen ausreichend gewesen seien und er sich somit nicht schuldhaft verhalten habe. Denn das Gesetz sieht keine Pflicht des Rechnungsstellers vor, seinen E-Mail-Verkehr zu verschlüsseln. Welche Sicherheitsvorkehrungen Absender und Empfänger von Mails treffen müssen, be-stimmt sich zum einen danach, was die Geschäftswelt im Mailverkehr üblicherweise erwartet. Zum anderen können die Parteien diese alternativ individuell vereinbaren. Voraussetzung dafür ist stets, dass die Vorkehrungen zumutbar sind. OLG: Ausreichend sicher Insbesondere in seiner Entscheidung abgelehnt hat das OLG eine Pflicht des Absenders, ein sogenanntes Sender Policy Framework zu nutzen. Darunter versteht man ein Verfahren, mit dem prüfbar ist, ob der sendende Mailserver berechtigt ist, E-Mails im Namen der Domain zu verschicken, also etwa "@unternehmensname.de". Da Endnutzer - wie hier der Autohändler als Rechnungssteller - im Normalfall keinen eigenen Mailserver betreiben und so keinen Einfluss auf das Verfahren haben, könne dieses laut Gericht schon keine Sicherheitserwartung des Käufers begründen. Ebenso verhält es sich mit der Pflicht, PDF-Dateien zu verschlüsseln. Eine solche besteht nach dem OLG nur, wenn die Parteien sensible Daten wie Betriebsgeheimnisse austauschen. Auch die Ansicht der Empfängerin, der Absender wäre hier zu einer Ende-zu-Ende-Verschlüsselung verpflichtet gewesen, lehnte das Karlsruher Ge-richt ab. Selbst das Bundesamt für Sicherheit in der Informationstechnik äußerte sich dahin gehend, dass die Verschlüsselungsart zwar nötig sei, jedoch eher selten genutzt werde. Auch das spreche eindeutig dagegen, dass die Allgemeinheit eine solche erwarte. Für ausreichend hielt es das OLG, dass der Verkäufer für sein E-Mail-Konto ein neunstelliges Passwort verwendete, das lediglich zwei weitere Personen im Be-trieb kannten und die Zuständigen dieses alle zwei bis vier Wochen änderten. Zudem verfügte der Computer des Klägers über eine Windows Firewall und eine Antiviren-Software. Diese Maßnahmen reichten nach Ansicht des Gerichts aus, um die allgemeinen Sicherheitserwartungen zu erfüllen. Käufer muss genau prüfen Während das OLG Karlsruhe mit seiner Entscheidung Rechnungssteller zum Aufatmen bringt, legt es im Gegenzug den Empfängern erhöhte Pflichten auf. Wer sein Geld überweist, muss vorsichtig sein, und ist selbst dafür verantwortlich, eine Rechnung genaustens zu prüfen. Anderes kann sich nur ergeben, wenn die Parteien vertraglich vereinbart haben, dass der Absender der E-Mail erhöhte Schutzvorkehrungen treffen muss. Trotzdem werden Rechnungssteller vom Ge-richt nicht ganz aus der Pflicht entlassen: Entsprechen ihre Sicherheitsvorkehrungen nicht dem im Geschäftsalltag üblichen Standard, und verschulden sie da-mit in der Folge einen Versand der ge-fälschten Mail an den Empfänger, der den Betrag auf das falsche Konto bezahlt, so können sie schadenersatzpflichtig gegenüber dem Kunden sein. In dem Fall würden die Forderung des Rechnungsstellers und der Schadensersatz gegeneinander aufgerechnet und der Rechnungssteller könnte leer ausgehen. Mit in diese Schadensersatzabwägung fließt laut den Richtern aber auch ein, ob den Kunden eine Mitschuld trifft, weil er die empfangene Rechnung nicht ausreichend und sorgfältig auf Unstimmigkeiten geprüft hat. Er muss im Fall von Unstimmigkeiten zudem beim Rechnungssteller nachfragen. Inwieweit sich andere Gerichte zukünftig diesen Ansichten anschließen, bleibt allerdings abzuwarten. Schließlich steckt das IT-Sicherheitsrecht noch in den Kinderschuhen. Online Wie schützen? Welche Maßnahmen Rechnungsstellern und -empfängern dabei helfen können, sich vor einem Betrug durch Hacker besser zu schützen, erfahren Abonnenten der VerkehrsRundschau in einer Checkliste. Diese steht kostenfrei auf unserer Profiplattform VR plus zum Download bereit. www.verkehrsrundschau.de/plus/Rechnungs-Hack

IfW Kiel senkt Konjunkturprognose

EU-Einigung: Rumänien und Bulgarien treten Schengenraum bei

VR-Edi: Es wird Zeit, dass sich was dreht

VR-Nachgefragt: Wie Milence das E-Lkw-Ladenetz in Europa aufbaut

Mehr Platz für Pharmalogistik bei der Spedition Eberl

Alle Schlagzeilen

Rechnungsbetrug per E-Mail: Wie Unternehmen sich schützen können

MEISTGELESEN

Verdi ruft zu Streiks bei Paketdiensten und Speditionen auf

MTTE: Vollelektrische TEF 1500-Kühlanlage für Sattelauflieger

50 Schmitz Cargobull-Auflieger aus Produktionswerk Manchester für die Lockwood Group

STELLENANGEBOTE

Eisenbahnbetriebsleiter / Ingenieur für Schienenfahrzeuge (m/w/d)

Zollbeauftragter (m/w/d) mit Teamleitung im Vertriebsinnendienst

Zollbeauftragter (m/w/d) mit Teamleitung im Vertriebsinnendienst

Teamleiter Lager / Logistik (m/w/d)

Teamleitung im Einsatzführungsdienst der Bundeswehr (m/w/d)

WEITERLESEN

NEWSLETTER