Falsche Kontoverbindung: Elektronischer Rechnungsverkehr ohne Ende-zu-Ende-Verschlüsselung ist Risiko des Versenders

Unternehmen sollten sich in Sachen Eigensicherung den folgenden interessanten und äußerst praxisrelevanten Fall des Schleswig-Holsteinischen Oberlandesgerichts (OLG) gut merken. Denn er betrifft den Rechnungsversand per E-Mail - also den Weg, den wohl die meisten Firmen in Deutschland mittlerweile wählen, um an ihr Geld zu kommen.

Ein Unternehmen führte Installationsarbeiten im Haus einer Kundin durch. Zwei der insgesamt drei Rechnungen wurden durch sie auch problemlos bezahlt. Dann folgte eine dritte Rechnung über 15.000 EUR, die genau wie die vorherigen Rechnungen per E-Mail im PDF-Format übermittelt wurde. Auch diesen Betrag beglich die Kundin zwar, doch kam das Geld beim Installationsunternehmen nie an. Denn die Rechnung war auf ungeklärte Weise durch einen Dritten manipuliert und damit der berechnete Betrag auf das Konto dieses unbekannten Dritten überwiesen worden. Nun wollte das Unternehmen seine Rechnung (trotzdem) bezahlt bekommen - irgendwie verständlich. Und die Kundin - ebenso verständlich - weigerte sich, so dass das Ganze vor dem OLG landete.

Wenn eine per E-Mail versandte Werklohnrechnung gehackt und unbefugt verändert wird und der Kunde deshalb an einen unbekannten Dritten zahlt, muss der Kunde laut Urteil des OLG nicht noch einmal an den Werkunternehmer zahlen. Das gilt jedenfalls dann, wenn dieser die Rechnung ohne sogenannte "Ende-zu-Ende-Verschlüsselung" versandt hat und deshalb gegen ihn ein Schadensersatzanspruch aus Art. 82 Datenschutz-Grundverordnung besteht.

Hinweis: Das Urteil hat Sprengkraft, denn letztendlich wird nahezu jedes Unternehmen mit dem vorbezeichneten Risiko bedroht sein. Der Versand von Rechnungen per E-Mail ohne weitere Verschlüsselung birgt ab sofort enorme Risiken.

(aus: Ausgabe 05/2025)