Worum geht es?

Elektronische Rechnungen werden heute regelmäßig per E‑Mail – meist als PDF‑Anhang – versandt und haben die Papierrechnung in vielen Bereichen abgelöst. Parallel dazu nehmen Fälle zu, in denen Rechnungen auf dem digitalen Übertragungsweg manipuliert und Zahlungen auf Konten von Betrügern umgeleitet werden. Die Rechtsprechung, insbesondere Entscheidungen des OLG Schleswig (12 U 9/24), des OLG Karlsruhe (19 U 83/22) und des Bundesgerichtshofs (IV ZR 161/24), befassen sich mit der Frage, welche IT‑Sicherheitsmaßnahmen Unternehmen beim elektronischen Rechnungsversand schulden, wann die Datenschutz‑Grundverordnung (DSGVO) eingreift und wie Zahlungs- und Haftungsrisiko verteilt sind.

Entscheidung des OLG Schleswig: Strenge Anforderungen bei Verbrauchern (B2C)

In dem vom OLG Schleswig entschiedenen Fall versandte ein Handwerksunternehmen eine Schlussrechnung per E‑Mail an die private Bauherrin. Die angehängte PDF‑Rechnung wurde derart manipuliert, dass die IBAN auf ein Konto eines unbekannten Dritten geändert war, auf das die Kundin in Unkenntnis der Manipulation zahlte. Die Zahlung auf das Drittkonto führte nach Auffassung des Gerichts zwar nicht zur Erfüllung der Werklohnforderung, weil der Dritte weder rechtsgeschäftlich ermächtigt war noch die Zahlung weiterleitete oder der Unternehmer die Leistung genehmigt hatte. Gleichwohl konnte die Kundin dem Werklohnanspruch einen Schadensersatzanspruch aus Art. 82 DSGVO entgegenhalten. Das Gericht bejahte die Anwendbarkeit der DSGVO, weil beim Rechnungsversand personenbezogene Daten der privaten Kundin verarbeitet wurden, etwa Name, Anschrift und Informationen zum Werkvertrag. Entscheidend war sodann die Frage, ob die vom Unternehmer getroffenen technischen und organisatorischen Maßnahmen (TOMs) nach Art. 24 und 32 DSGVO „geeignet“ waren, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Das OLG Schleswig stellte klar, dass ein unbefugter Zugriff Dritter auf personenbezogene Daten für sich genommen noch nicht den Schluss auf eine Ungeeignetheit der TOMs erlaubt, der Verantwortliche aber darlegen und beweisen muss, dass seine Maßnahmen gleichwohl ausreichend waren. Diesen Entlastungsnachweis sah der Senat im konkreten Fall als nicht geführt an. Eine bloße Transportverschlüsselung (SMTP über TLS), wie sie die Klägerin eingesetzt haben wollte, bewertete das Gericht als nicht ausreichend und nicht „geeignet“ im Sinne der DSGVO. Vielmehr sei bei geschäftlichen E‑Mails mit personenbezogenen Daten und hohem finanziellen Risiko die Ende‑zu‑Ende‑Verschlüsselung zu wählen. Der Unternehmer haftete deshalb nach Art. 82 DSGVO auf Ersatz des Schadens, der darin bestand, dass die Kundin den Rechnungsbetrag auf das falsche Konto gezahlt hatte und ein zweites Mal zahlen müsste. Ein Mitverschulden der privaten Kundin verneinte das Gericht trotz Abweichungen der manipulierten Rechnung von früheren Rechnungen (u.a. optische Unterschiede, fehlender QR‑Code, veränderte Kontoverbindung) mit der Begründung, dass einer privaten Kundin nicht vorzuwerfen sei, bei geänderter Kontoverbindung keine Rückfrage zu halten.

Entscheidung des OLG Karlsruhe: Verkehrsüblichkeit und Mitverschulden (B2B)

Demgegenüber befasste sich das OLG Karlsruhe mit einem Fall im B2B‑Bereich. Eine GmbH verkaufte einem anderen Unternehmen einen Pkw, versandte die Rechnung per E‑Mail und kurz darauf ging beim Käufer eine weitere, manipulierte E‑Mail mit geänderter Kontoverbindung ein. Der Käufer überwies den Kaufpreis an einen Dritten. Auch hier stellte das Gericht zunächst fest, dass die Zahlung auf ein fremdes Konto den Kaufpreisanspruch nicht erfüllte. Eine Ermächtigung zur Leistung an den Dritten lag nicht vor, ebenso wenig eine Genehmigung oder Weiterleitung. Im Unterschied zum OLG Schleswig verneinte das OLG Karlsruhe jedoch die Anwendbarkeit der DSGVO, da es um eine rein unternehmerische Beziehung ohne relevante Verarbeitung personenbezogener Daten natürlicher Personen ging. Mangels konkreter gesetzlicher Vorgaben für Sicherheitsvorkehrungen beim Versand geschäftlicher E‑Mails richtete das Gericht den Maßstab auf die berechtigten Sicherheitserwartungen des maßgeblichen Verkehrs unter Berücksichtigung der Zumutbarkeit aus.

Das OLG Karlsruhe prüfte, ob der Rechnungssteller verpflichtet war, besondere Maßnahmen wie SPF‑Einträge, eine Verschlüsselung der PDF‑Rechnung, eine Ende‑zu‑Ende‑Verschlüsselung oder eine Transportverschlüsselung einzusetzen. Es verneinte eine solche Pflicht: SPF stehe bei Nutzung von Standard‑Mailprovidern nicht in der Einflusssphäre des Unternehmens und könne daher nicht verkehrsüblich verlangt werden. Eine Verschlüsselung von PDF‑Rechnungen sei im normalen Geschäftsverkehr für nicht besonders sensible Daten nicht üblich. Eine Ende‑zu‑Ende‑Verschlüsselung werde zwar vom BSI empfohlen, sei aber wenig verbreitet und setze zudem entsprechende Empfangsvoraussetzungen beim Adressaten voraus, sodass sich hieraus keine allgemeine Verkehrserwartung ableiten lasse. Eine Transportverschlüsselung wurde durch vom Provider eingesetztes SSL/TLS gewährleistet. Insgesamt nahm das OLG Karlsruhe daher keine Nebenpflichtverletzung des Rechnungsstellers an. Hingegen nahm es ein erhebliches Mitverschulden des Empfängers an, weil die zweite E‑Mail und die manipulierte Rechnung deutliche Unstimmigkeiten aufwiesen, und zwar sprachliche Fehler, eine widersprüchliche Bankverbindung sowie einen Kontoinhaber, der erkennbar in keinem Zusammenhang mit dem Verkäufer stand, und der Geschäftsführer des Käufers die Nachricht nicht vollständig gelesen hatte. Unter diesen Umständen hätte der Käufer nachfragen müssen.

Entscheidung des BGH: Gefahrtragung bei manipulierten Überweisungen

Ende des Jahres 2025 hat der Bundesgerichtshof in einer Entscheidung zur Fehlüberweisung infolge gefälschter Kontobezeichnung die grundsätzliche Gefahrtragung bei Überweisungen betont. In diesem Fall hatten die Parteien einen Vergleich geschlossen. Auf dem Weg zwischen den Anwaltskanzleien war die schriftliche Fassung des Vergleichs an der Stelle der Kontobezeichnung durch einen unbekannten Dritten manipuliert worden, sodass statt des vereinbarten Anderkontos der anwaltlichen Vertreterin eine andere Bankverbindung nachträglich in den Vertragstext manipulativ eingefügt war. Die Beklagten überwiesen sodann auf dieses Konto. Rückholungsversuche scheiterten. Der BGH hat klargestellt, dass eine Geldschuld grundsätzlich erst mit vorbehaltloser Gutschrift auf einem Konto des Gläubigers erfüllt ist und eine Leistung an einen Dritten nur dann Erfüllungswirkung entfaltet, wenn dieser vom Gläubiger ermächtigt ist oder der Gläubiger die Leistung genehmigt bzw. der Dritte an den Gläubiger weiterleitet. Eine solche Ermächtigung ließ sich weder aus der (manipulierten) Kontobezeichnung noch aus dem Schweigen der Klägerseite zu der geänderten Kontoverbindung herleiten. Da die Forderung nicht erloschen war, stellte sich die Frage, wer die Verlustgefahr der fehlgeleiteten Überweisungen trägt. Der BGH verwies auf die gesetzliche Regelung zum Zahlungsort (§ 270 BGB), wonach der Schuldner das Risiko des Verlusts bei Geldüberweisung trägt. Die bloße Vereinbarung der Überweisungsart ändert an dieser Gefahrverteilung grundsätzlich nichts.

Anerkannt ist, dass in eng begrenzten Ausnahmefällen ein Übergang der Verlustgefahr auf den Gläubiger in Betracht kommen kann, wenn dieser durch ihm zurechenbares Verhalten eine besondere Gefahrenlage geschaffen hat. Im vorliegenden Fall verneinte der BGH dies jedoch. Selbst wenn die Fälschung der Kontodaten auf dem Postweg erfolgt sei, beruhe der manipulative Eingriff auf einem derart ungewöhnlichen Kausalverlauf, nämlich der Verletzung des Briefgeheimnisses und Urkundenfälschung durch unbekannte Dritte, dass er dem Gläubiger nicht zugerechnet werden könne. Einen Anspruch auf hälftige Risikoteilung nach Treu und Glauben lehnte der BGH ebenfalls ab, weil § 270 BGB den zufälligen Untergang ausdrücklich regele und ein „Nachjustieren“ der gesetzlichen Gefahrverteilung über Treu und Glauben dem Konzept der Vorschrift widersprechen würde.

Fazit und Praxisfolgen

Die Entscheidungen zeigen im Zusammenspiel, dass Fragen der IT‑Sicherheit beim Rechnungsversand und der Zahlungsabwicklung zwar eine zusätzliche Haftungsebene eröffnen, die zivilrechtliche Grundstruktur von Erfüllung und Gefahrtragung aber unberührt bleibt. Wird auf ein manipuliertes Konto überwiesen, tritt regelmäßig keine Erfüllung ein. Der Gläubiger behält seinen Zahlungsanspruch. Ob daneben Schadensersatzansprüche, etwa aus Art. 82 DSGVO oder aus vertraglicher Nebenpflichtverletzung, gegen den Rechnungssteller oder Dritte bestehen, hängt von der Angemessenheit der getroffenen technischen und organisatorischen Maßnahmen sowie vom Mitverhalten des Zahlungspflichtigen ab.

Für die Praxis bedeutet dies: 

Unternehmen sollten den elektronischen Rechnungsversand nicht mehr als bloße Komfortfrage, sondern als haftungsrelevanten Prozess verstehen. Im B2C‑Bereich rückt die DSGVO in den Vordergrund. In dieser Hinsicht ist bei Rechnungen, die personenbezogene Daten enthalten und erhebliche Beträge betreffen, eine risikoorientierte Prüfung der IT‑Sicherheitsmaßnahmen nach Art. 32 DSGVO unerlässlich, inklusive Dokumentation der Gründe, weshalb bestimmte Maßnahmen (z.B. Transportverschlüsselung, Ende‑zu‑Ende‑Verschlüsselung, digitale Signaturen oder Portallösungen) als „geeignet“ angesehen werden. Im B2B‑Verkehr dominiert weiterhin der Maßstab der berechtigten Sicherheitserwartungen des Verkehrs. Ein Mindestniveau an IT‑Sicherheit (professionelle E‑Mail‑Infrastruktur, gepflegte Systeme, solide Passwortpolitik) ist vorzuhalten, ohne dass derzeit eine allgemeine Pflicht zur Ende‑zu‑Ende‑Verschlüsselung besteht. Parallel müssen auch Rechnungsempfänger ihre internen Prüfprozesse schärfen, insbesondere bei geänderten Kontoverbindungen und auffälligen Rechnungen, um einen Mitverschuldensvorwurf zu vermeiden.

Angesichts der zunehmenden Regulierung (DSGVO, Pflichten zur E‑Rechnung, künftige Empfängerprüfungen im Zahlungsverkehr) empfiehlt es sich, den gesamten elektronischen Rechnungs- und Zahlungsprozess technisch und rechtlich zu überprüfen, ein angemessenes Sicherheits- und Dokumentationskonzept zu entwickeln und klare interne Regeln für den Umgang mit Rechnungen und Kontodatenänderungen zu etablieren. 

Hierbei unterstützen wir Sie natürlich gerne.