Kunde muss gefälschte Rechnung nicht doppelt zahlen

Kriminelle hacken Rechnungen – Urteil des OLG Schleswig

Berlin, München 20.02.2025. Eine neue Betrugsmasche betrifft Rechnungen von Handwerkern und anderen Unternehmen, die per E-Mail verschickt werden. Cyber-Kriminelle haben Methoden entwickelt, diese E-Mails abzufangen und die Kontoverbindung zu fälschen. Ergebnis ist, dass der Kunde den Rechnungsbetrag direkt auf ein Konto der Betrüger überweist. Ein zweites Mal muss der Kunde die Rechnung dann in der Regel nicht bezahlen. Denn der Absender der Rechnung muss dafür sorgen, dass die Daten ausreichend gesichert sind und nicht gehackt werden können.

Rechnungen werden immer häufiger per E-Mail und nicht postalisch verschickt. Das spart zwar Zeit und Kosten, öffnet aber auch die Tür für Betrüger. Diese hacken sich in den Account des Unternehmens oder fangen E-Mails ab und schicken unter einem Vorwand noch eine zweite Mail an den Kunden, die vermeintlich von dem Unternehmen stammt. Darin wird der Kunde gebeten, den Rechnungsbetrag auf das angegebene Konto zu überweisen; die in der ursprünglichen Rechnung angegebene Kontoverbindung sei nicht mehr aktuell.

Kommt der Kunde dieser Aufforderung nach und überweist den Betrag auf das angegebene Konto, landet das Geld direkt bei den Betrügern. Neben allem Ärger stellt sich dann auch die Frage, wer den Schaden tragen muss. Muss der Kunde die Rechnung ein zweites Mal bezahlen, weil das Unternehmen das Geld nicht erhalten hat oder steht das Unternehmen selbst in der Verantwortung, weil es nicht für ausreichende Sicherheitsvorkehrungen gesorgt hat?

„In vielen Fällen muss der Kunde kein zweites Mal zahlen, denn das Unternehmen muss die notwendigen Sicherheitsvorkehrungen treffen und Mails an die Kunden ausreichend verschlüsseln. Dem Kunden kann ein Schadensersatzanspruch in Höhe der auf das Drittkonto getätigten Überweisung zustehen, den er der Forderung des Werkunternehmers gemäß § 242 BGB entgegenhalten kann“, sagt Rechtsanwalt Matthias Ruigrok van de Werve, CLLB-Rechtsanwälte.

Dass Kunden von Unternehmen bei einem Datenhacking Vermögenseinbußen drohen, ist ein Risiko, das dem Versand von Rechnungen per E-Mail immanent ist. Dementsprechend muss die Kommunikation mit den Kunden verschlüsselt erfolgen, z.B. durch eine Ende-zu-Ende-Verschlüsselung, entschied das Oberlandesgericht Schleswig-Holstein.

„Das Urteil zeigt, dass Unternehmen für den sicheren Versand der Rechnung verantwortlich sind und die Kunden nicht ein zweites Mal zur Kasse gebeten werden können“, sagt Rechtsanwalt Ruigrok van de Werve, von der Kanzlei CLLB.

Mehr Informationen: https://www.cllb.de/