Hackerangriff: Was tue ich, wenn gefälschte Rechnungen verschickt wurden?

Wer trägt die Verantwortung bei Hackerangriffen? Vorsicht bei der Überweisung aufgrund manipulierter E-Mails

Ein aktuelles Urteil zeigt die Risiken des E-Mail-Verkehrs im geschäftlichen Umfeld und wer die Verantwortung trägt, wenn Zahlungen aufgrund manipulierter E-Mails an Betrüger gehen. In einem Fall, der vor dem Oberlandesgericht  Karlsruhe (Urt. v. 27.07.2023, Az. 19 U 83/22) verhandelt wurde, hatte eine Firma 13.500 EUR auf ein falsches Konto überwiesen, nachdem sie eine manipulierte Rechnung per E-Mail erhalten hatte. Diese Rechnung wurde durch einen Hacker bei einem Angriff auf das E-Mail-Konto des Verkäufers abgeändert.

Worum ging es?

Die Klägerin, die ein Auto verkauft hatte, versendete eine Rechnung per E-Mail. Kurz danach erhielt die Käuferin eine zweite E-Mail mit einer neuen Rechnung, in der ein anderes Konto angegeben war. Es stellte sich heraus, dass diese zweite E-Mail von einem Hacker versendet wurde. Die Käuferin überwies den Betrag auf das falsche Konto.

Wer ist verantwortlich?

Das Gericht stellte klar, dass die Zahlung auf das falsche Konto nicht zur Erfüllung der Zahlungspflicht führte. Der Verkäufer konnte weiterhin den Kaufpreis verlangen. Gleichzeitig stellte das Gericht fest, dass der Käufer möglicherweise einen Schadensersatzanspruch gegen den Verkäufer geltend machen kann, wenn Sicherheitsmängel im E-Mail-Verkehr vorliegen.

Wichtige Punkte der Entscheidung:

Keine gesetzlichen Vorgaben für E-Mail-Sicherheit: Es gibt keine klaren gesetzlichen Vorgaben zur E-Mail-Sicherheit im Geschäftsverkehr. Die notwendigen Schutzmaßnahmen richten sich nach den „berechtigten Sicherheitserwartungen“ des Verkehrs.

Zahlung auf das falsche Konto befreit nicht von der Zahlungspflicht: Die Überweisung auf das Konto eines Betrügers erlischt die Zahlungspflicht nicht. Der Käufer hätte trotz der Zahlung noch einmal an den eigentlichen Verkäufer zahlen müssen.

Schadensersatzanspruch des Käufers: Wenn der Verkäufer unzureichende Sicherheitsvorkehrungen trifft, kann der Käufer Schadensersatz geltend machen. Im vorliegenden Fall hatte der Verkäufer jedoch ausreichende Sicherheitsmaßnahmen ergriffen, sodass kein Schadensersatzanspruch bestand.

Betrugsmasche nimmt zu und verursacht hohe Schäden

Diese Art von Betrug, oft als CEO-Fraud oder Business Email Compromise (BEC) bekannt, tritt in den letzten Jahren immer häufiger auf und verursacht massive finanzielle Schäden. Betrüger greifen gezielt E-Mail-Konten an oder fälschen Absender-Adressen, um Überweisungen auf ihre eigenen Konten umzuleiten. Oftmals sind die E-Mails so geschickt gemacht, dass selbst aufmerksame Empfänger die Manipulation nicht sofort erkennen. Unternehmen weltweit verlieren durch solche Angriffe Milliarden Euro jährlich.

Gerade kleine und mittelständische Unternehmen sind von solchen Betrugsversuchen betroffen, da sie oft weniger ausgefeilte IT-Sicherheitsmaßnahmen haben. Es ist daher besonders wichtig, sowohl technische Schutzmaßnahmen wie Zwei-Faktor-Authentifizierung zu ergreifen als auch Mitarbeiter im Umgang mit verdächtigen E-Mails zu schulen.

Fazit:

Für Unternehmen ist es entscheidend, ihre E-Mail-Konten gut zu sichern, um sich gegen solche Angriffe zu schützen. Aber auch Käufer sollten aufmerksam sein und auf Unstimmigkeiten in Rechnungen achten. Bei Zweifeln sollte immer Rücksprache gehalten werden, um teure Fehler zu vermeiden.

Falls Sie rechtliche Beratung oder Unterstützung im Bereich IT-Sicherheit oder bei Betrugsfällen im Geschäftsverkehr benötigen, stehen wir Ihnen gerne zur Seite.