Manipulierte Bankverbindungen in E-Mails sind längst kein seltenes Phänomen mehr. Der Kaufvertrag ist geschlossen, die Rechnung liegt per E-Mail vor und der Käufer überweist den vereinbarten Kaufpreis auf die dort angegebene Bankverbindung. Erst später stellt sich heraus: Die E-Mail oder der Rechnungsanhang wurde von Betrügern manipuliert, die IBAN ausgetauscht und das Geld auf ein fremdes Konto umgeleitet. Für den Käufer kann dies besonders bitter enden. Denn die Zahlung an den Betrüger befreit ihn grundsätzlich nicht von seiner Verpflichtung gegenüber dem Verkäufer. Im schlimmsten Fall muss er deshalb ein zweites Mal zahlen.
Genau dies hat das OLG Oldenburg mit rechtskräftigem Beschluss vom 17.04.2026 – 5 U 89/25 entschieden. Die Entscheidung zeigt zugleich, dass bei sogenannten Man-in-the-Middle-Angriffen nicht automatisch derjenige den Schaden trägt, dessen E-Mail äußerlich als Grundlage der Überweisung erscheint. Maßgeblich ist vielmehr, ob sich dem Verkäufer eine eigene Pflichtverletzung nachweisen lässt.
Die Rechtslage ist allerdings komplexer, als die einfache Formel „Wer falsch überweist, zahlt zweimal“ vermuten lässt. Andere Gerichte haben in vergleichbaren Konstellationen eine Schadensersatzhaftung des Rechnungsausstellers wegen unzureichender IT-Sicherheit angenommen. Hinzu kommt seit Oktober 2025 die verpflichtende Empfängerüberprüfung im Zahlungsverkehr, durch die Name und IBAN des Zahlungsempfängers vor der Überweisung abgeglichen werden. Die Frage, wer am Ende auf dem Schaden sitzen bleibt, hängt deshalb stark vom konkreten Einzelfall ab.
Der Fall des OLG Oldenburg: Kaufpreis von knapp 17.000 Euro landet bei Betrügern
Der vom OLG Oldenburg entschiedene Fall spielte sich bei einem Gebrauchtwagenkauf ab. Der Käufer hatte Ende 2024 bei einem Autohaus einen gebrauchten Pkw zu einem Kaufpreis von knapp 17.000 Euro erworben. Einige Tage später bat seine Tochter das Autohaus per E-Mail um Mitteilung der Bankverbindung, damit der Kaufpreis überwiesen werden könne.
Unbekannte Täter griffen in diesen E-Mail-Verkehr ein. Sie verwendeten eine andere E-Mail-Adresse, leiteten die Kommunikation weiter und manipulierten anschließend die vom Autohaus übersandte PDF-Datei. Die darin enthaltene IBAN des Autohauses wurde durch die Bankverbindung der Täter ersetzt. Der Käufer überwies daraufhin den gesamten Kaufpreis auf das betrügerische Konto. Das Geld wurde anschließend ins Ausland weitergeleitet.
Das Autohaus übergab den Wagen dennoch. Erst später stellte sich heraus, dass der Kaufpreis niemals auf dessen Konto eingegangen war.
Das Autohaus verlangte deshalb die Zahlung erneut. Das Landgericht Oldenburg gab der Klage statt. Die hiergegen gerichtete Berufung des Käufers blieb ohne Erfolg. Das OLG Oldenburg bestätigte mit Beschluss vom 17.04.2026 – 5 U 89/25 die Entscheidung. Der Käufer musste den Kaufpreis ein zweites Mal zahlen. Die Entscheidung ist rechtskräftig.
Warum die Überweisung an den Betrüger die Kaufpreisforderung nicht erfüllt
Ausgangspunkt ist § 433 Abs. 2 BGB. Danach ist der Käufer verpflichtet, dem Verkäufer den vereinbarten Kaufpreis zu zahlen.
Eine Forderung erlischt nach § 362 Abs. 1 BGB erst, wenn die geschuldete Leistung an den Gläubiger bewirkt worden ist. Bei einer Überweisung bedeutet dies grundsätzlich, dass der geschuldete Betrag auf dem vom Gläubiger bestimmten Konto gutgeschrieben werden muss und diesem zur Verfügung steht.
Genau daran fehlt es, wenn das Geld auf dem Konto eines Betrügers landet.
Die Zahlung an einen unberechtigten Dritten hat grundsätzlich keine Erfüllungswirkung. Etwas anderes kann gemäß § 362 Abs. 2 BGB in Verbindung mit § 185 BGB beispielsweise dann gelten, wenn der Gläubiger den Dritten zur Entgegennahme ermächtigt hat oder die Zahlung nachträglich genehmigt. Ein Betrüger, der eigenmächtig die IBAN in einer Rechnung austauscht, ist selbstverständlich weder Empfangsberechtigter noch vom Verkäufer zur Entgegennahme des Geldes ermächtigt.
Das OLG Karlsruhe hat dies mit Urteil vom 27.07.2023 – 19 U 83/22 ausdrücklich hervorgehoben. Auch dort war eine Rechnung manipuliert und anschließend auf ein fremdes Konto gezahlt worden. Die Zahlung führte nicht zur Erfüllung der ursprünglichen Forderung nach § 362 BGB.
Der Grundsatz lautet daher: Der Schuldner trägt grundsätzlich das Risiko, dass seine Zahlung beim richtigen Gläubiger ankommt.
Dass der Käufer selbst gutgläubig war und den Betrug nicht erkannt hat, ändert an der fehlenden Erfüllungswirkung zunächst nichts.
Kann die manipulierte E-Mail dem Verkäufer zugerechnet werden?
In solchen Fällen versuchen betroffene Käufer häufig einzuwenden, sie hätten genau diejenige Bankverbindung verwendet, die ihnen scheinbar vom Verkäufer mitgeteilt worden sei. Daraus folgt jedoch nicht automatisch, dass die manipulierte Zahlungsanweisung dem Verkäufer rechtlich zugerechnet wird.
Entscheidend ist, ob die manipulierte Erklärung tatsächlich aus dem Verantwortungsbereich des Verkäufers stammt oder ob ihm zumindest eine Verletzung eigener Schutz- oder Sorgfaltspflichten vorgeworfen werden kann.
Im Fall des OLG Oldenburg hatten die Ermittlungen gerade nicht ergeben, dass das IT-System des Autohauses gehackt worden war. Vielmehr war festgestellt worden, dass die Kommunikation während der Übertragung abgefangen und verändert worden war. Besondere Sicherheitsstandards für den E-Mail-Verkehr hatten Käufer und Verkäufer nicht vereinbart.
Damit fehlte es an einer Grundlage dafür, die Manipulation dem Autohaus zuzurechnen.
Schadensersatz gegen den Verkäufer wegen unsicherer E-Mail-Kommunikation?
Damit ist die Prüfung allerdings noch nicht beendet. Auch wenn die ursprüngliche Kaufpreisforderung fortbesteht, kann der Käufer möglicherweise seinerseits einen Schadensersatzanspruch gegen den Verkäufer haben.
Rechtsgrundlage können insbesondere § 280 Abs. 1 BGB in Verbindung mit § 241 Abs. 2 BGB sein.
Nach § 241 Abs. 2 BGB ist jeder Vertragspartner verpflichtet, auf die Rechte, Rechtsgüter und Interessen des anderen Teils Rücksicht zu nehmen. Daraus können auch Schutzpflichten für die sichere Abwicklung der Kommunikation entstehen. Verletzt der Verkäufer eine solche Pflicht schuldhaft und verursacht dies beim Käufer einen Schaden, kann grundsätzlich Schadensersatz nach § 280 Abs. 1 BGB verlangt werden.
Im Fall des OLG Oldenburg half dies dem Käufer jedoch nicht. Der Senat stellte maßgeblich darauf ab, dass die Tochter des Käufers selbst den Kommunikationsweg per E-Mail gewählt hatte, indem sie das Autohaus ausdrücklich gebeten hatte, die Bankverbindung auf diesem Wege mitzuteilen. Bereits deshalb sah das Gericht im konkreten Fall keinen Schadensersatzanspruch gegen den Verkäufer.
Muss ein Unternehmen Rechnungen Ende-zu-Ende verschlüsseln?
Genau an diesem Punkt besteht derzeit eine interessante Spannung innerhalb der Rechtsprechung.
Das OLG Schleswig hatte mit Urteil vom 18.12.2024 – 12 U 9/24 einen vergleichbaren Sachverhalt deutlich strenger beurteilt.
Auch dort war eine per E-Mail versandte Rechnung manipuliert worden. Der Kunde zahlte aufgrund der ausgetauschten Kontodaten auf das Konto eines Betrügers. Das OLG Schleswig stellte zwar ebenfalls klar, dass die Zahlung auf das falsche Konto die ursprüngliche Forderung nicht erfüllt hatte. Es gewährte dem Kunden jedoch einen Schadensersatzanspruch gegen das Unternehmen. Diesen konnte der Kunde der fortbestehenden Forderung nach § 242 BGB entgegenhalten, sodass er im Ergebnis nicht nochmals zahlen musste.
Das OLG Schleswig stützte die Haftung insbesondere auf Art. 82 DSGVO und leitete die Sicherheitsanforderungen unter anderem aus Art. 5 DSGVO, Art. 24 DSGVO und Art. 32 DSGVO ab. Für den dort zu beurteilenden Fall hielt der Senat die verwendete reine Transportverschlüsselung nicht für ausreichend und verlangte wegen des hohen finanziellen Risikos eine Ende-zu-Ende-Verschlüsselung.
Diese Auffassung ist allerdings keineswegs unumstritten.
LG Karlsruhe widerspricht dem OLG Schleswig
Das LG Karlsruhe hat mit Urteil vom 20.05.2026 – 8 O 266/25 ausdrücklich eine andere Linie eingeschlagen.
Dort hatten Käufer Goldbarren im Gesamtwert von mehr als 109.000 Euro erworben. Auch in diesem Fall erhielten sie manipulierte Rechnungen mit einer falschen Bankverbindung und überwiesen das Geld an die Täter.
Das LG Karlsruhe entschied ebenfalls, dass eine Zahlung auf das manipulierte Konto die Kaufpreisforderung nicht nach § 362 BGB erfüllt. Eine allgemeine Pflicht zur Ende-zu-Ende-Verschlüsselung geschäftlicher E-Mails bestehe jedoch weder aufgrund der DSGVO noch aufgrund allgemeiner zivilrechtlicher Nebenpflichten nach § 241 Abs. 2 BGB, sofern keine besonderen Sicherheitsanforderungen vereinbart worden seien.
Das Gericht setzte sich dabei ausdrücklich mit der Entscheidung des OLG Schleswig auseinander, folgte ihr aber nicht.
Damit zeigt sich: Eine generelle Verpflichtung jedes Unternehmens, Rechnungen ausschließlich Ende-zu-Ende verschlüsselt zu versenden, lässt sich der bisherigen Rechtsprechung nicht entnehmen.
Entscheidend ist, wo der Angriff stattgefunden hat
In der Praxis ist deshalb die technische Rekonstruktion des Angriffs häufig der entscheidende Punkt.
Denkbar sind insbesondere mehrere Szenarien: Ein Täter kann Zugriff auf das E-Mail-Konto des Verkäufers erlangt haben. Ebenso kann das Postfach des Käufers kompromittiert worden sein. Möglich ist ferner eine Manipulation während der Übertragung oder der Versand einer vollständig gefälschten Nachricht über eine täuschend ähnliche E-Mail-Adresse.
Für einen Schadensersatzanspruch aus § 280 Abs. 1 BGB in Verbindung mit § 241 Abs. 2 BGB muss regelmäßig dargelegt und bewiesen werden, dass gerade eine Pflichtverletzung im Verantwortungsbereich des Verkäufers für den Schaden ursächlich geworden ist.
Das OLG Karlsruhe, Urteil vom 27.07.2023 – 19 U 83/22, hat die Anforderungen an die Sicherheitsvorkehrungen im geschäftlichen E-Mail-Verkehr nach den berechtigten Sicherheitserwartungen des Verkehrs unter Berücksichtigung der Zumutbarkeit bestimmt.
Auch das LG Karlsruhe, Urteil vom 20.05.2026 – 8 O 266/25, beschäftigte sich eingehend damit, welcher Verantwortungsbereich von der Manipulation betroffen war und welche Sicherheitsvorkehrungen vernünftigerweise erwartet werden konnten.
Für die anwaltliche Praxis bedeutet dies: E-Mail-Header, Originaldateien, Serverprotokolle und sonstige technische Spuren sollten möglichst sofort gesichert werden.
Auffälligkeiten können ein Mitverschulden des Käufers begründen
Selbst wenn auf Verkäuferseite eine Pflichtverletzung festgestellt werden kann, ist damit noch nicht gesagt, dass der Käufer seinen gesamten Schaden ersetzt verlangen kann.
Nach § 254 BGB muss sich ein Geschädigter eigenes Mitverschulden anrechnen lassen.
Verdächtig können beispielsweise sein:
- eine plötzlich geänderte Bankverbindung,
- ein bislang unbekannter Zahlungsempfänger,
- eine ausländische IBAN,
- ein privater Kontoinhaber statt des bekannten Unternehmens,
- sprachliche oder typografische Auffälligkeiten,
- ungewöhnlicher Zeitdruck,
- Widersprüche zwischen verschiedenen Rechnungen,
- eine Änderung der Zahlungsdaten unmittelbar vor Fälligkeit oder
- eine Warnmeldung der Bank bei der Empfängerüberprüfung.
Das OLG Karlsruhe hielt in seinem Urteil vom 27.07.2023 – 19 U 83/22 beispielsweise für relevant, dass die manipulierte Kommunikation erhebliche Auffälligkeiten aufwies. Solche Umstände können eine Rückfrage beim tatsächlichen Vertragspartner erforderlich machen und im Schadensfall ein Mitverschulden nach § 254 BGB begründen.
Wer bei offensichtlichen Warnsignalen dennoch einen fünf- oder sechsstelligen Betrag überweist, muss daher mit einer erheblichen Kürzung möglicher Schadensersatzansprüche rechnen.
Seit Oktober 2025 besonders wichtig: Empfängerüberprüfung von Name und IBAN
Die Rechtslage hat sich inzwischen auch im Zahlungsverkehr weiterentwickelt.
Seit dem 9. Oktober 2025 gilt im Euro-Raum die sogenannte Empfängerüberprüfung beziehungsweise „Verification of Payee“. Grundlage ist Art. 5c der Verordnung (EU) Nr. 260/2012 in der durch die Verordnung (EU) 2024/886 geänderten Fassung.
Vor einer Überweisung muss der Zahlungsdienstleister grundsätzlich prüfen, ob der vom Zahler angegebene Name des Zahlungsempfängers zur verwendeten IBAN passt. Bei einer fehlenden oder nicht hinreichenden Übereinstimmung erhält der Zahler einen entsprechenden Hinweis.
Für Fälle manipulierter Rechnungen ist dies von erheblicher Bedeutung.
Steht auf der Rechnung beispielsweise „Autohaus Müller GmbH“, während die Täter-IBAN tatsächlich auf eine völlig andere Person lautet, kann die Empfängerüberprüfung den Zahler auf die Abweichung aufmerksam machen.
Wer eine solche Warnmeldung bewusst ignoriert und die Überweisung trotzdem freigibt, wird künftig regelmäßig erhebliche Schwierigkeiten haben, den entstandenen Schaden vollständig auf andere Beteiligte abzuwälzen. Insbesondere kann dies bei der Prüfung eines Mitverschuldens nach § 254 BGB erhebliches Gewicht erlangen.
Was gilt, wenn die Bank die Empfängerüberprüfung nicht ordnungsgemäß durchführt?
Die europäische Regelung enthält zudem eine ausdrückliche Haftungsfolge.
Kommt der Zahlungsdienstleister des Zahlers seiner Pflicht zur Empfängerüberprüfung nicht nach und führt gerade dieser Verstoß dazu, dass eine Überweisung fehlerhaft ausgeführt wird, sieht Art. 5c Abs. 8 der Verordnung (EU) Nr. 260/2012 grundsätzlich eine Erstattungspflicht vor.
Das kann die Risikoverteilung bei manipulierten Bankverbindungen erheblich verändern.
Zu unterscheiden ist daher künftig sorgfältig: Hat die Bank ordnungsgemäß gewarnt und der Kunde dennoch überwiesen? Oder hat die Bank den vorgeschriebenen Empfängerabgleich überhaupt nicht oder fehlerhaft durchgeführt?
Im zweiten Fall können Ansprüche gegen den Zahlungsdienstleister in Betracht kommen.
Keine automatische Erstattung durch die Bank bei selbst autorisierter Überweisung
Davon zu unterscheiden sind die klassischen Fälle nicht autorisierter Zahlungsvorgänge.
§ 675u BGB verpflichtet eine Bank grundsätzlich zur Erstattung, wenn ein Zahlungsvorgang nicht vom Kontoinhaber autorisiert wurde.
Bei einer manipulierten Rechnung liegt die Sache jedoch häufig anders. Der Kunde gibt die Überweisung selbst frei. Er irrt lediglich darüber, wem das angegebene Konto tatsächlich gehört.
Die Überweisung ist dann grundsätzlich autorisiert im Sinne des § 675j BGB. Allein der Umstand, dass der Zahler Opfer eines Betrugs geworden ist, führt deshalb nicht automatisch zu einem Erstattungsanspruch nach § 675u BGB.
Gerade deshalb ist die seit Oktober 2025 vorgeschriebene Empfängerüberprüfung so relevant.
Datenschutzrecht kann zusätzlich eine Rolle spielen
Bei manipulierten Rechnungen kann außerdem Art. 82 DSGVO Bedeutung erlangen.
Danach kann eine betroffene Person Ersatz für materielle oder immaterielle Schäden verlangen, die ihr durch einen Verstoß gegen die Datenschutz-Grundverordnung entstanden sind.
Das OLG Schleswig, Urteil vom 18.12.2024 – 12 U 9/24, hatte einen solchen Anspruch im Zusammenhang mit einer manipulierten Rechnung bejaht und die Anforderungen an die Sicherheit des E-Mail-Versands insbesondere anhand von Art. 5 DSGVO, Art. 24 DSGVO und Art. 32 DSGVO bewertet.
Das LG Karlsruhe, Urteil vom 20.05.2026 – 8 O 266/25, hat demgegenüber eine Haftung nach Art. 82 DSGVO im dort entschiedenen Fall abgelehnt und eine allgemeine Pflicht zur Ende-zu-Ende-Verschlüsselung verneint.
Auch datenschutzrechtlich kommt es deshalb entscheidend auf die konkrete Gestaltung des Angriffs, die betroffenen Daten und die im Einzelfall erforderlichen und zumutbaren Sicherheitsmaßnahmen an.
Muss der Verkäufer vor Herausgabe der Ware den Zahlungseingang kontrollieren?
Im Fall des OLG Oldenburg hatte das Autohaus das Fahrzeug herausgegeben, obwohl der Kaufpreis tatsächlich noch nicht auf seinem Konto eingegangen war.
Der Käufer argumentierte deshalb sinngemäß, das Autohaus hätte den Schaden verhindern können, wenn es den Zahlungseingang vor der Übergabe kontrolliert hätte.
Auch damit hatte er keinen Erfolg.
Nach Auffassung der Gerichte dient eine solche Kontrolle in erster Linie dem Schutz des Verkäufers selbst. Dass ein Verkäufer freiwillig auf eine Kontrolle verzichtet und die Ware dennoch herausgibt, begründet deshalb nicht ohne Weiteres eine Schutzpflicht gegenüber dem Käufer.
Was sollten Käufer bei einer plötzlich geänderten Bankverbindung tun?
Gerade bei größeren Zahlungen sollte eine geänderte Bankverbindung niemals ungeprüft übernommen werden.
Wer bislang auf ein bestimmtes Firmenkonto gezahlt hat und plötzlich eine neue IBAN oder einen abweichenden Kontoinhaber mitgeteilt bekommt, sollte die Änderung über einen zweiten Kommunikationsweg bestätigen lassen.
Am sichersten ist ein Anruf unter einer bereits bekannten Telefonnummer. Nicht verwendet werden sollte eine Telefonnummer, die ausschließlich in der verdächtigen E-Mail selbst angegeben ist.
Seit Einführung der Empfängerüberprüfung sollte außerdem jede Warnmeldung der Bank ernst genommen werden. Bei einer fehlenden Übereinstimmung zwischen Name und IBAN sollte die Überweisung grundsätzlich abgebrochen und die Bankverbindung überprüft werden.
Was sollten Unternehmen beim Versand von Rechnungen beachten?
Auch Rechnungsaussteller sollten die aktuelle Rechtsprechung nicht zum Anlass nehmen, sich auf den Standpunkt zurückzuziehen, dass das Zahlungsrisiko ausschließlich beim Kunden liegt.
Die Entscheidung des OLG Schleswig zeigt, dass Unternehmen durchaus einer eigenen Haftung ausgesetzt sein können, wenn Sicherheitsdefizite nachgewiesen werden. Auf der anderen Seite machen die Entscheidungen des OLG Karlsruhe und des LG Karlsruhe deutlich, dass daraus keine schematische Verpflichtung zur Ende-zu-Ende-Verschlüsselung jeder geschäftlichen E-Mail folgt.
Sinnvoll sind insbesondere technisch aktuelle E-Mail-Systeme, Mehrfaktor-Authentifizierung für geschäftliche E-Mail-Konten, regelmäßige Sicherheitsupdates, Schutz vor kompromittierten Zugangsdaten und klare interne Prozesse für die Mitteilung oder Änderung von Bankverbindungen.
Praktisch besonders wirksam kann ein deutlicher Hinweis auf Rechnungen sein, dass Änderungen der Bankverbindung niemals ausschließlich per E-Mail erfolgen und im Zweifel telefonisch bestätigt werden müssen.
Je höher die regelmäßig versandten Rechnungsbeträge sind, desto stärker spricht zudem vieles dafür, zusätzliche Sicherheitsmaßnahmen vorzusehen.
Was ist unmittelbar nach einer Fehlüberweisung zu tun?
Wer bemerkt, dass Geld aufgrund einer manipulierten Rechnung auf ein Betrügerkonto überwiesen wurde, sollte keine Zeit verlieren.
Die eigene Bank sollte sofort aufgefordert werden, einen Überweisungsrückruf einzuleiten und die Empfängerbank zu kontaktieren. Parallel sollte Strafanzeige erstattet werden.
Daneben müssen sämtliche elektronischen Beweismittel gesichert werden. Besonders wichtig sind die Original-E-Mail einschließlich vollständigem Header, die Original-PDF-Datei, sämtliche vorherigen E-Mails, Rechnungen, Kontodaten und Screenshots etwaiger Warnmeldungen der Bank.
Die bloße Weiterleitung einer verdächtigen E-Mail kann technische Informationen verlieren. Deshalb sollte nach Möglichkeit die Originalnachricht unverändert archiviert werden.
Anschließend ist zu prüfen, gegen wen Ansprüche bestehen können: gegen den Täter beziehungsweise Kontoinhaber, gegen den Verkäufer wegen einer möglichen Pflichtverletzung nach § 280 Abs. 1 BGB in Verbindung mit § 241 Abs. 2 BGB, gegen den Zahlungsdienstleister wegen einer fehlerhaften Empfängerüberprüfung oder gegebenenfalls gegen weitere Beteiligte.
Die Rechtsprechung ist noch nicht abschließend vereinheitlicht
Der Beschluss des OLG Oldenburg vom 17.04.2026 – 5 U 89/25 fügt sich grundsätzlich in die bisherige Linie ein, wonach die Zahlung auf das Konto eines Betrügers die Forderung des tatsächlichen Gläubigers nicht nach § 362 BGB erfüllt.
Er macht aber zugleich deutlich, dass die weitere Haftungsfrage wesentlich davon abhängt, ob eine konkrete Pflichtverletzung des Verkäufers bewiesen werden kann.
Das OLG Schleswig, Urteil vom 18.12.2024 – 12 U 9/24, hat die Anforderungen an die Sicherheit elektronisch versandter Rechnungen erheblich höher angesetzt. Das OLG Karlsruhe, Urteil vom 27.07.2023 – 19 U 83/22, und das LG Karlsruhe, Urteil vom 20.05.2026 – 8 O 266/25, verfolgen demgegenüber eine zurückhaltendere Linie.
Eine höchstrichterlich abschließend geklärte einheitliche Risikoverteilung für sämtliche Varianten manipulierter Rechnungs-E-Mails besteht daher derzeit nicht.
Seit Einführung der Empfängerüberprüfung am 9. Oktober 2025 kommt zudem eine neue Ebene hinzu. Künftige Gerichtsverfahren werden sich zunehmend damit beschäftigen müssen, ob eine Warnung der Bank erfolgte, ob sie beachtet wurde und ob der Zahlungsdienstleister seine gesetzlichen Prüfpflichten eingehalten hat.
Fazit: Eine falsche IBAN kann dazu führen, dass der Kaufpreis zweimal gezahlt werden muss
Wer aufgrund einer manipulierten E-Mail auf das Konto eines Betrügers zahlt, darf nicht davon ausgehen, damit seine Verpflichtung gegenüber dem eigentlichen Verkäufer erfüllt zu haben. Der Beschluss des OLG Oldenburg vom 17.04.2026 – 5 U 89/25 zeigt dies mit erheblicher Deutlichkeit: Obwohl der Käufer knapp 17.000 Euro bereits an die Betrüger verloren hatte, musste er den Kaufpreis gegenüber dem Autohaus nochmals zahlen.
Das Ergebnis ist dogmatisch konsequent. Erfüllung tritt nach § 362 BGB grundsätzlich erst ein, wenn das Geld beim richtigen Gläubiger ankommt. Gleichwohl darf die Haftungsprüfung damit nicht enden. Hat der Verkäufer durch unsichere Systeme oder sonstige Pflichtverletzungen den Angriff schuldhaft ermöglicht, können Gegenansprüche aus § 280 Abs. 1 BGB in Verbindung mit § 241 Abs. 2 BGB oder gegebenenfalls aus Art. 82 DSGVO bestehen. Ebenso kann seit Oktober 2025 eine Haftung des Zahlungsdienstleisters relevant werden, wenn die gesetzlich vorgeschriebene Empfängerüberprüfung unterblieben oder fehlerhaft durchgeführt worden ist.
Für die Praxis ist deshalb entscheidend, nach einem solchen Betrugsfall nicht vorschnell zu zahlen oder Ansprüche anzuerkennen. Zunächst muss technisch und rechtlich geklärt werden, wo die Manipulation stattgefunden hat, welche Sicherheitsmaßnahmen bestanden, ob Warnsignale erkennbar waren und ob die Bank den vorgeschriebenen Abgleich zwischen Empfängername und IBAN ordnungsgemäß vorgenommen hat. Gerade bei größeren Beträgen kann diese Prüfung darüber entscheiden, wer am Ende einen fünf- oder sechsstelligen Schaden tragen muss.
