Rechnungsbetrug: Haften Sie für gehackte E-Mails?
Ein aktuelles Gerichtsurteil macht Versender für finanzielle Schäden haftbar, wenn Rechnungen per E-Mail abgefangen werden. Prüfen Sie jetzt dringend Ihre Versandprozesse, um teure Konsequenzen zu vermeiden.
Die digitale Rechnungsstellung per E-Mail ist für die meisten kleinen und mittleren Unternehmen (KMU) zum etablierten Standard geworden. Sie ist schnell, kosteneffizient und fügt sich nahtlos in digitalisierte Buchhaltungsprozesse ein. Doch während der Fokus auf Effizienz liegt, wird die Sicherheit dieser alltäglichen Kommunikationskanäle oft sträflich vernachlässigt. Ein wegweisendes Urteil verdeutlicht nun, dass diese Nachlässigkeit existenzbedrohende Konsequenzen haben kann. Die strategische Bedeutung sicherer digitaler Prozesse geht weit über den reinen Datenschutz hinaus; sie ist ein entscheidender Faktor zur Abwehr direkter Finanzverluste und erheblicher Haftungsrisiken.
Der Präzedenzfall: Das Urteil des OLG Schleswig-Holstein analysiert
Das Urteil des Schleswig-Holsteinischen Oberlandesgerichts (Az.: 12 U 9/25) vom Januar 2025 rückt ein alltägliches, aber hochriskantes Szenario in den Fokus. Ein Handwerksbetrieb versendete eine Schlussrechnung über rund 15.000 Euro als PDF-Anhang per E-Mail an seine Kundin. Diese E-Mail wurde auf dem Übertragungsweg von Cyberkriminellen abgefangen. Die Angreifer manipulierten die in der Rechnung enthaltenen Kontodaten und leiteten die E-Mail anschließend an die Kundin weiter. Im Glauben, die korrekte Rechnung erhalten zu haben, überwies diese den Betrag an die Betrüger. Der Handwerksbetrieb erhielt sein Geld nie und klagte auf Zahlung.
Die juristische Argumentation des Gerichts ist für KMU ein Weckruf. Zunächst stellte das Gericht fest, dass die Forderung des Handwerkers durch die Fehlüberweisung der Kundin nicht erloschen war. Im entscheidenden zweiten Schritt gewährte das Gericht der Kundin jedoch einen Schadensersatzanspruch in exakt gleicher Höhe gegen den Handwerksbetrieb. Die Rechtsgrundlage dafür: Artikel 82 Absatz 2 der Datenschutz-Grundverordnung (DSGVO). Die Begründung: Der Betrieb habe durch den unzureichend gesicherten Versand der Rechnung, welche personenbezogene Daten enthielt, gegen seine Pflichten aus der DSGVO verstoßen.
Die entscheidende Feststellung des Gerichts war, dass die vom Handwerker angeführte reine Transportverschlüsselung (SMTP über TLS) als technische Schutzmaßnahme als unzureichend bewertet wurde. Angesichts des hohen finanziellen Risikos, das mit dem Rechnungsversand verbunden ist, sei eine Ende-zu-Ende-Verschlüsselung das „Mittel der Wahl“. Der Handwerksbetrieb konnte nicht nachweisen, ausreichende technische und organisatorische Maßnahmen zum Schutz der Daten ergriffen zu haben und blieb somit auf seinem Schaden sitzen.
Die Konsequenzen für die Praxis: Mehr als nur ein Datenleck
Die unmittelbaren Folgen dieses Urteils für den Geschäftsalltag sind gravierend und müssen als klares strategisches Risiko bewertet werden. Anders als bei vielen Datenschutzvorfällen, bei denen es primär um den Verlust personenbezogener Daten und mögliche Bußgelder durch Aufsichtsbehörden geht, steht hier ein direkter und unmittelbarer Finanzverlust im Vordergrund. Das versendende Unternehmen kann für den Schaden haftbar gemacht werden, der entsteht, wenn Dritte die Kommunikation manipulieren.
Für KMU bedeutet dies konkret:
• Verlust der Forderung: Sie können Ihre rechtmäßige Forderung gegenüber dem Kunden verlieren, da dieser seinen eigenen Schaden mit Ihrer Forderung aufrechnen kann.
• Kein Versicherungsschutz: Viele Cyber-Versicherungen decken derartige „mittelbare“ Schäden, die aus einer unzureichenden Datensicherheit resultieren, nicht oder nur unzureichend ab.
• Reputationsschaden: Ein solcher Vorfall kann das Vertrauen von Kunden und Geschäftspartnern nachhaltig erschüttern.
Die Kernaussage des Gerichts ist unmissverständlich: Wer sensible Finanzdokumente unzureichend schützt, trägt das wirtschaftliche Risiko selbst. Damit wird die IT-Sicherheit vom reinen Kostenfaktor zu einer essenziellen Voraussetzung für die finanzielle Stabilität des Unternehmens.
Ihr Aktionsplan: Vier Schritte zur sofortigen Risikominimierung
Unternehmen müssen jetzt proaktiv handeln, um sich vor den dargestellten Risiken zu schützen. Die folgenden vier Maßnahmen bieten eine konkrete Handlungsanleitung zur sofortigen Risikominimierung, die direkt auf die richterliche Argumentation antwortet:
1. Rechnungsprozesse überprüfen Das Gericht hat die alleinige Nutzung einer Transportverschlüsselung als fahrlässig eingestuft. Daher müssen Sie als Erstes umgehend den gesamten Versandprozess für Rechnungen, Mahnungen und andere sensible Finanzdokumente analysieren. Identifizieren Sie, an welchen Stellen Daten übertragen werden und welche Sicherheitsstandards dabei zum Einsatz kommen. Klären Sie, ob Sie sich bisher ausschließlich auf eine Transportverschlüsselung (TLS) verlassen haben.
2. Sichere Übertragungswege etablieren Um der richterlichen Forderung nachzukommen, die Ende-zu-Ende-Verschlüsselung als „Mittel der Wahl“ zu betrachten, müssen Sie die Implementierung einer solchen für den E-Mail-Versand evaluieren. Prüfen Sie als Alternative die Einrichtung eines sicheren Kundenportals, über das Ihre Kunden Rechnungen und Dokumente geschützt abrufen können, anstatt sie direkt per E-Mail zu versenden. Dies verlagert die Kommunikation auf eine von Ihnen kontrollierte und gesicherte Plattform.
3. Verifikationsprozesse einführen Da das Urteil zeigt, dass Sie die finanziellen Konsequenzen tragen, wenn eine manipulierte Rechnung bezahlt wird, sollten Sie technische Maßnahmen durch organisatorische absichern. Etablieren Sie einen verbindlichen internen Prozess, bei dem Änderungen von Bankverbindungen – sowohl bei Ihnen als auch bei Ihren Geschäftspartnern – stets über einen zweiten, unabhängigen Kommunikationskanal (z. B. einen Telefonanruf) verifiziert werden müssen, bevor eine Zahlung ausgelöst oder eine Rechnung versendet wird.
4. Mitarbeiter sensibilisieren Technische Maßnahmen allein sind wirkungslos, wenn der Faktor Mensch unberücksichtigt bleibt. Schulen Sie Ihre Mitarbeiter in der Buchhaltung, im Vertrieb und allen anderen relevanten Abteilungen gezielt zu den Risiken des „Invoice Fraud“. Sensibilisieren Sie sie für die Erkennungsmerkmale manipulierter E-Mails und die zwingende Notwendigkeit, ausschließlich gesicherte Kommunikationswege zu nutzen.
Fazit und Handlungsaufruf
Das Urteil des OLG Schleswig-Holstein ist mehr als nur eine juristische Spitzfindigkeit; es ist ein klares Signal, dass die Verantwortung für die Sicherheit digitaler Kommunikation beim Versender liegt. Das Ignorieren dieses Risikos ist keine Option mehr und kann zu erheblichen, potenziell existenzbedrohenden Finanzverlusten führen, die nicht durch Versicherungen gedeckt sind. Es ist dringend an der Zeit, die eigenen Prozesse kritisch zu hinterfragen und anzupassen. Lassen Sie Ihre Versand- und Kommunikationsprozesse von Experten überprüfen, um rechtssicher aufgestellt zu sein und Ihr Unternehmen wirksam vor finanziellem Schaden zu schützen.