Manipulierte Bankverbindungen in E-Mails sind längst kein seltenes Phänomen mehr. Der Kaufvertrag ist geschlossen, die Rechnung liegt per E-Mail vor und der Käufer überweist den vereinbarten Kaufpreis auf die dort angegebene Bankverbindung. Erst später stellt sich heraus: Die E-Mail oder der Rechnungsanhang wurde von Betrügern manipuliert, die IBAN ausgetauscht und das Geld auf ein fremdes Konto umgeleitet. Für den Käufer kann dies besonders bitter enden. Denn die Zahlung an den Betrüger befreit ihn grundsätzlich nicht von seiner Verpflichtung gegenüber dem Verkäufer. Im schlimmsten Fall muss er deshalb ein zweites Mal zahlen.
Genau dies hat das OLG Oldenburg mit rechtskräftigem Beschluss vom 17.04.2026 – 5 U 89/25 entschieden. Die Entscheidung zeigt zugleich, dass bei sogenannten Man-in-the-Middle-Angriffen nicht automatisch derjenige den Schaden trägt, dessen E-Mail äußerlich als Grundlage der Überweisung erscheint. Maßgeblich ist vielmehr, ob sich dem Verkäufer eine eigene Pflichtverletzung nachweisen lässt.
Die grundsätzliche Risikoverteilung hat auch der Bundesgerichtshof mit Urteil vom 08.10.2025 – IV ZR 161/24 bestätigt. Selbst wenn unbekannte Dritte die Kontoverbindung in einem übermittelten Dokument manipulieren, bleibt der Zahlungsschuldner grundsätzlich zur Leistung an den tatsächlichen Gläubiger verpflichtet.
Die Rechtslage ist allerdings komplexer, als die einfache Formel „Wer falsch überweist, zahlt zweimal“ vermuten lässt. Andere Gerichte haben in vergleichbaren Konstellationen eine Schadensersatzhaftung des Rechnungsausstellers wegen unzureichender IT-Sicherheit angenommen. Hinzu kommt seit Oktober 2025 die verpflichtende Empfängerüberprüfung im Zahlungsverkehr, durch die Name und IBAN des Zahlungsempfängers vor der Überweisung abgeglichen werden. Die Frage, wer am Ende auf dem Schaden sitzen bleibt, hängt deshalb stark vom konkreten Einzelfall ab.
Der Fall des OLG Oldenburg: Kaufpreis von knapp 17.000 Euro landet bei Betrügern
Der vom OLG Oldenburg entschiedene Fall spielte sich bei einem Gebrauchtwagenkauf ab. Der Käufer hatte Ende 2024 bei einem Autohaus einen gebrauchten Pkw zu einem Kaufpreis von knapp 17.000 Euro erworben. Einige Tage später bat seine Tochter das Autohaus per E-Mail um Mitteilung der Bankverbindung, damit der Kaufpreis überwiesen werden könne.
Unbekannte Täter griffen in diesen E-Mail-Verkehr ein. Sie verwendeten eine andere E-Mail-Adresse, leiteten die Kommunikation weiter und manipulierten anschließend die vom Autohaus übersandte PDF-Datei. Die darin enthaltene IBAN des Autohauses wurde durch die Bankverbindung der Täter ersetzt. Der Käufer überwies daraufhin den gesamten Kaufpreis auf das betrügerische Konto. Das Geld wurde anschließend ins Ausland weitergeleitet.
Das Autohaus übergab den Wagen dennoch. Erst später stellte sich heraus, dass der Kaufpreis niemals auf dessen Konto eingegangen war.
Das Autohaus verlangte deshalb die Zahlung erneut. Das Landgericht Oldenburg gab der Klage statt. Die hiergegen gerichtete Berufung des Käufers blieb ohne Erfolg. Das OLG Oldenburg bestätigte mit Beschluss vom 17.04.2026 – 5 U 89/25 die Entscheidung. Der Käufer musste den Kaufpreis ein zweites Mal zahlen. Die Entscheidung ist rechtskräftig.
Warum die Überweisung an den Betrüger die Kaufpreisforderung nicht erfüllt
Ausgangspunkt ist § 433 Abs. 2 BGB. Danach ist der Käufer verpflichtet, dem Verkäufer den vereinbarten Kaufpreis zu zahlen.
Eine Forderung erlischt nach § 362 Abs. 1 BGB erst, wenn die geschuldete Leistung an den Gläubiger bewirkt worden ist. Bei einer Überweisung bedeutet dies grundsätzlich, dass der geschuldete Betrag auf dem vom Gläubiger bestimmten Konto gutgeschrieben werden muss und diesem zur Verfügung steht.
Genau daran fehlt es, wenn das Geld auf dem Konto eines Betrügers landet.
Die Zahlung an einen unberechtigten Dritten hat grundsätzlich keine Erfüllungswirkung. Etwas anderes kann gemäß § 362 Abs. 2 BGB in Verbindung mit § 185 BGB beispielsweise dann gelten, wenn der Gläubiger den Dritten zur Entgegennahme ermächtigt hat oder die Zahlung nachträglich genehmigt. Ein Betrüger, der eigenmächtig die IBAN in einer Rechnung austauscht, ist selbstverständlich weder Empfangsberechtigter noch vom Verkäufer zur Entgegennahme des Geldes ermächtigt.
Das OLG Karlsruhe hat dies mit Urteil vom 27.07.2023 – 19 U 83/22 ausdrücklich hervorgehoben. Auch dort war eine Rechnung manipuliert und anschließend auf ein fremdes Konto gezahlt worden. Die Zahlung führte nicht zur Erfüllung der ursprünglichen Forderung nach § 362 BGB.
Der Grundsatz lautet daher: Der Schuldner trägt grundsätzlich das Risiko, dass seine Zahlung beim richtigen Gläubiger ankommt.
Dass der Käufer selbst gutgläubig war und den Betrug nicht erkannt hat, ändert an der fehlenden Erfüllungswirkung zunächst nichts.
BGH bestätigt: Das Risiko einer manipulierten Bankverbindung trägt grundsätzlich der Zahlungsschuldner
Dass der Zahlungsschuldner grundsätzlich das Risiko einer fehlgeleiteten Überweisung trägt, hat inzwischen auch der Bundesgerichtshof ausdrücklich bestätigt. Mit Urteil vom 08.10.2025 – IV ZR 161/24 befasste sich der BGH mit einer besonders ungewöhnlichen Form des Zahlungsbetrugs.
Manipulierte Kontoverbindung in einem anwaltlichen Vergleich
Die Parteien hatten sich zur Abgeltung eines Pflichtteilsanspruchs auf eine Zahlung von 30.000 Euro verständigt. Der Betrag sollte auf das anwaltliche Anderkonto der Gläubigervertreterin überwiesen werden.
Die Rechtsanwältin unterzeichnete die schriftliche Vergleichsvereinbarung und versandte sie per Briefpost an den Rechtsanwalt der Gegenseite. Auf dem Übermittlungsweg wurde die angegebene Kontoverbindung von einem unbekannten Dritten manipuliert. Anstelle des ursprünglich bezeichneten Anderkontos erschien nunmehr eine andere Bankverbindung.
Der gegnerische Rechtsanwalt bemerkte die Veränderung nicht. Seine Mandanten überwiesen daraufhin in zwei Teilbeträgen insgesamt 20.000 Euro auf das manipulierte Konto. Das Geld konnte nicht zurückerlangt werden.
Die Gläubigerin bestand gleichwohl auf Zahlung der vereinbarten 30.000 Euro. Nachdem das Landgericht die Klage zunächst abgewiesen hatte, gab das Oberlandesgericht Köln dem Zahlungsbegehren statt. Die hiergegen gerichtete Revision blieb vor dem Bundesgerichtshof erfolglos.
Keine Erfüllung durch Überweisung an einen unberechtigten Dritten
Der BGH stellte zunächst klar, dass eine Geldschuld bei vereinbarter Banküberweisung grundsätzlich erst dann erfüllt ist, wenn der geschuldete Betrag dem Konto des Gläubigers vorbehaltlos gutgeschrieben wird und dieser endgültig darüber verfügen kann.
Eine Überweisung auf das Konto eines unberechtigten Dritten genügt hierfür nicht. Nach § 362 Abs. 2 BGB in Verbindung mit § 185 BGB kann zwar auch eine Leistung an einen Dritten schuldbefreiend wirken. Voraussetzung ist aber grundsätzlich, dass der Gläubiger den Dritten zum Empfang der Leistung ermächtigt hat oder die Leistung nachträglich genehmigt.
Allein die Angabe einer bestimmten IBAN in einem manipulierten Dokument begründet eine solche Ermächtigung nicht. Auch der gute Glaube des Schuldners an die Richtigkeit der Kontoverbindung führt grundsätzlich nicht zum Erlöschen der Forderung.
§ 270 BGB: Das Verlustrisiko verbleibt grundsätzlich beim Schuldner
Von besonderer Bedeutung sind die Ausführungen des BGH zur gesetzlichen Verteilung der Verlustgefahr.
Nach § 270 Abs. 1 BGB hat der Schuldner Geld im Zweifel auf seine Gefahr an den Gläubiger zu übermitteln. Diese Risikoverteilung gilt grundsätzlich auch bei einer vereinbarten Banküberweisung.
Der Bundesgerichtshof hat allerdings nicht grundsätzlich ausgeschlossen, dass das Verlustrisiko in besonderen Ausnahmefällen auf den Gläubiger übergehen kann. In Rechtsprechung und Literatur wird ein solcher Gefahrübergang unter anderem aus dem Rechtsgedanken des § 270 Abs. 3 BGB in Verbindung mit § 242 BGB hergeleitet.
Dies kommt insbesondere dann in Betracht, wenn der Gläubiger durch ein ihm zuzurechnendes Verhalten selbst eine besondere Gefahr für die ordnungsgemäße Geldübermittlung geschaffen hat. Ob dieser Ansatz dogmatisch zutrifft, ließ der BGH ausdrücklich offen.
Im entschiedenen Fall fehlte es jedenfalls an den Voraussetzungen einer solchen Ausnahme. Dass die Rechtsanwältin den Vergleich auf dem Postweg statt elektronisch übermittelt hatte, begründete nach Auffassung des BGH keine ihr zurechenbare Gefahrerhöhung. Die kriminelle Manipulation einer verschlossenen Briefsendung während der Postbeförderung stelle einen so ungewöhnlichen Kausalverlauf dar, dass das Verlustrisiko nicht auf die Gläubigerseite verlagert werden könne.
Ebenso wenig genügte die bloße Möglichkeit, dass die Manipulation bereits im Verantwortungsbereich der Gläubigervertreterin erfolgt sein könnte. Für einen entsprechenden Gefahrübergang bedarf es eines nachgewiesenen, dem Gläubiger zurechenbaren Verhaltens.
Welche Bedeutung hat das BGH-Urteil für manipulierte Rechnungen per E-Mail?
Obwohl die Entscheidung einen manipulierten Brief und keine gefälschte Rechnungs-E-Mail betrifft, lassen sich daraus wichtige Grundsätze für den elektronischen Zahlungsverkehr ableiten.
1. Die bloße Tatsache, dass eine Zahlungsanweisung scheinbar vom Gläubiger stammt, genügt nicht, um eine Zahlung auf ein Betrügerkonto als Erfüllung der ursprünglichen Forderung anzusehen.
2. Eine Verlagerung des Zahlungsrisikos auf den Gläubiger setzt besondere Umstände voraus. Die bloße Möglichkeit, dass dieser den Betrug durch zusätzliche Sicherheitsvorkehrungen hätte verhindern können, reicht hierfür nicht aus.
3. Die eigenständige Frage, ob der Rechnungsaussteller vertragliche Schutzpflichten oder datenschutzrechtliche Vorgaben verletzt hat und deshalb Schadensersatz schuldet, bleibt gesondert zu prüfen.
Gerade in diesem letzten Punkt unterscheiden sich die vom OLG Karlsruhe, OLG Schleswig und LG Karlsruhe entschiedenen Sachverhalte. Während der BGH die grundsätzliche Gefahrtragung bei Geldüberweisungen klargestellt hat, bleibt die konkrete Reichweite der IT-Sicherheits- und Schutzpflichten beim elektronischen Rechnungsversand weiterhin Gegenstand einer differenzierten rechtlichen Bewertung.
Kann die manipulierte E-Mail dem Verkäufer zugerechnet werden?
In solchen Fällen versuchen betroffene Käufer häufig einzuwenden, sie hätten genau diejenige Bankverbindung verwendet, die ihnen scheinbar vom Verkäufer mitgeteilt worden sei. Daraus folgt jedoch nicht automatisch, dass die manipulierte Zahlungsanweisung dem Verkäufer rechtlich zugerechnet wird.
Entscheidend ist, ob die manipulierte Erklärung tatsächlich aus dem Verantwortungsbereich des Verkäufers stammt oder ob ihm zumindest eine Verletzung eigener Schutz- oder Sorgfaltspflichten vorgeworfen werden kann.
Im Fall des OLG Oldenburg hatten die Ermittlungen gerade nicht ergeben, dass das IT-System des Autohauses gehackt worden war. Vielmehr war festgestellt worden, dass die Kommunikation während der Übertragung abgefangen und verändert worden war. Besondere Sicherheitsstandards für den E-Mail-Verkehr hatten Käufer und Verkäufer nicht vereinbart.
Damit fehlte es an einer Grundlage dafür, die Manipulation dem Autohaus zuzurechnen.
Schadensersatz gegen den Verkäufer wegen unsicherer E-Mail-Kommunikation?
Damit ist die Prüfung allerdings noch nicht beendet. Auch wenn die ursprüngliche Kaufpreisforderung fortbesteht, kann der Käufer möglicherweise seinerseits einen Schadensersatzanspruch gegen den Verkäufer haben.
Rechtsgrundlage können insbesondere § 280 Abs. 1 BGB in Verbindung mit § 241 Abs. 2 BGB sein.
Nach § 241 Abs. 2 BGB ist jeder Vertragspartner verpflichtet, auf die Rechte, Rechtsgüter und Interessen des anderen Teils Rücksicht zu nehmen. Daraus können auch Schutzpflichten für die sichere Abwicklung der Kommunikation entstehen. Verletzt der Verkäufer eine solche Pflicht schuldhaft und verursacht dies beim Käufer einen Schaden, kann grundsätzlich Schadensersatz nach § 280 Abs. 1 BGB verlangt werden.
Im Fall des OLG Oldenburg half dies dem Käufer jedoch nicht. Der Senat stellte maßgeblich darauf ab, dass die Tochter des Käufers selbst den Kommunikationsweg per E-Mail gewählt hatte, indem sie das Autohaus ausdrücklich gebeten hatte, die Bankverbindung auf diesem Wege mitzuteilen. Bereits deshalb sah das Gericht im konkreten Fall keinen Schadensersatzanspruch gegen den Verkäufer.
Muss ein Unternehmen Rechnungen Ende-zu-Ende verschlüsseln?
Genau an diesem Punkt besteht derzeit eine interessante Spannung innerhalb der Rechtsprechung.
Das OLG Schleswig hatte mit Urteil vom 18.12.2024 – 12 U 9/24 einen vergleichbaren Sachverhalt deutlich strenger beurteilt.
Auch dort war eine per E-Mail versandte Rechnung manipuliert worden. Der Kunde zahlte aufgrund der ausgetauschten Kontodaten auf das Konto eines Betrügers. Das OLG Schleswig stellte zwar ebenfalls klar, dass die Zahlung auf das falsche Konto die ursprüngliche Forderung nicht erfüllt hatte. Es gewährte dem Kunden jedoch einen Schadensersatzanspruch gegen das Unternehmen. Diesen konnte der Kunde der fortbestehenden Forderung nach § 242 BGB entgegenhalten, sodass er im Ergebnis nicht nochmals zahlen musste.
Das OLG Schleswig stützte die Haftung insbesondere auf Art. 82 DSGVO und leitete die Sicherheitsanforderungen unter anderem aus Art. 5 DSGVO, Art. 24 DSGVO und Art. 32 DSGVO ab. Für den dort zu beurteilenden Fall hielt der Senat die verwendete reine Transportverschlüsselung nicht für ausreichend und verlangte wegen des hohen finanziellen Risikos eine Ende-zu-Ende-Verschlüsselung.
Diese Auffassung ist allerdings keineswegs unumstritten.
LG Karlsruhe widerspricht dem OLG Schleswig
Das LG Karlsruhe hat mit Urteil vom 20.05.2026 – 8 O 266/25 ausdrücklich eine andere Linie eingeschlagen.
Dort hatten Käufer Goldbarren im Gesamtwert von mehr als 109.000 Euro erworben. Auch in diesem Fall erhielten sie manipulierte Rechnungen mit einer falschen Bankverbindung und überwiesen das Geld an die Täter.
Das LG Karlsruhe entschied ebenfalls, dass eine Zahlung auf das manipulierte Konto die Kaufpreisforderung nicht nach § 362 BGB erfüllt. Eine allgemeine Pflicht zur Ende-zu-Ende-Verschlüsselung geschäftlicher E-Mails bestehe jedoch weder aufgrund der DSGVO noch aufgrund allgemeiner zivilrechtlicher Nebenpflichten nach § 241 Abs. 2 BGB, sofern keine besonderen Sicherheitsanforderungen vereinbart worden seien.
Das Gericht setzte sich dabei ausdrücklich mit der Entscheidung des OLG Schleswig auseinander, folgte ihr aber nicht.
Damit zeigt sich: Eine generelle Verpflichtung jedes Unternehmens, Rechnungen ausschließlich Ende-zu-Ende verschlüsselt zu versenden, lässt sich der bisherigen Rechtsprechung nicht entnehmen.
Entscheidend ist, wo der Angriff stattgefunden hat
In der Praxis ist deshalb die technische Rekonstruktion des Angriffs häufig der entscheidende Punkt.
Denkbar sind insbesondere mehrere Szenarien: Ein Täter kann Zugriff auf das E-Mail-Konto des Verkäufers erlangt haben. Ebenso kann das Postfach des Käufers kompromittiert worden sein. Möglich ist ferner eine Manipulation während der Übertragung oder der Versand einer vollständig gefälschten Nachricht über eine täuschend ähnliche E-Mail-Adresse.
Für einen Schadensersatzanspruch aus § 280 Abs. 1 BGB in Verbindung mit § 241 Abs. 2 BGB muss regelmäßig dargelegt und bewiesen werden, dass gerade eine Pflichtverletzung im Verantwortungsbereich des Verkäufers für den Schaden ursächlich geworden ist.
Das OLG Karlsruhe, Urteil vom 27.07.2023 – 19 U 83/22, hat die Anforderungen an die Sicherheitsvorkehrungen im geschäftlichen E-Mail-Verkehr nach den berechtigten Sicherheitserwartungen des Verkehrs unter Berücksichtigung der Zumutbarkeit bestimmt.
Auch das LG Karlsruhe, Urteil vom 20.05.2026 – 8 O 266/25, beschäftigte sich eingehend damit, welcher Verantwortungsbereich von der Manipulation betroffen war und welche Sicherheitsvorkehrungen vernünftigerweise erwartet werden konnten.
Für die anwaltliche Praxis bedeutet dies: E-Mail-Header, Originaldateien, Serverprotokolle und sonstige technische Spuren sollten möglichst sofort gesichert werden.
Auffälligkeiten können ein Mitverschulden des Käufers begründen
Selbst wenn auf Verkäuferseite eine Pflichtverletzung festgestellt werden kann, ist damit noch nicht gesagt, dass der Käufer seinen gesamten Schaden ersetzt verlangen kann.
Nach § 254 BGB muss sich ein Geschädigter eigenes Mitverschulden anrechnen lassen.
Verdächtig können beispielsweise sein:
- eine plötzlich geänderte Bankverbindung,
- ein bislang unbekannter Zahlungsempfänger,
- eine ausländische IBAN,
- ein privater Kontoinhaber statt des bekannten Unternehmens,
- sprachliche oder typografische Auffälligkeiten,
- ungewöhnlicher Zeitdruck,
- Widersprüche zwischen verschiedenen Rechnungen,
- eine Änderung der Zahlungsdaten unmittelbar vor Fälligkeit oder
- eine Warnmeldung der Bank bei der Empfängerüberprüfung.
Das OLG Karlsruhe hielt in seinem Urteil vom 27.07.2023 – 19 U 83/22 beispielsweise für relevant, dass die manipulierte Kommunikation erhebliche Auffälligkeiten aufwies. Solche Umstände können eine Rückfrage beim tatsächlichen Vertragspartner erforderlich machen und im Schadensfall ein Mitverschulden nach § 254 BGB begründen.
Wer bei offensichtlichen Warnsignalen dennoch einen fünf- oder sechsstelligen Betrag überweist, muss daher mit einer erheblichen Kürzung möglicher Schadensersatzansprüche rechnen.
Seit Oktober 2025 besonders wichtig: Empfängerüberprüfung von Name und IBAN
Die Rechtslage hat sich inzwischen auch im Zahlungsverkehr weiterentwickelt.
Seit dem 9. Oktober 2025 gilt im Euro-Raum die sogenannte Empfängerüberprüfung beziehungsweise „Verification of Payee“. Grundlage ist Art. 5c der Verordnung (EU) Nr. 260/2012 in der durch die Verordnung (EU) 2024/886 geänderten Fassung.
Vor einer Überweisung muss der Zahlungsdienstleister grundsätzlich prüfen, ob der vom Zahler angegebene Name des Zahlungsempfängers zur verwendeten IBAN passt. Bei einer fehlenden oder nicht hinreichenden Übereinstimmung erhält der Zahler einen entsprechenden Hinweis.
Für Fälle manipulierter Rechnungen ist dies von erheblicher Bedeutung.
Steht auf der Rechnung beispielsweise „Autohaus Müller GmbH“, während die Täter-IBAN tatsächlich auf eine völlig andere Person lautet, kann die Empfängerüberprüfung den Zahler auf die Abweichung aufmerksam machen.
Wer eine solche Warnmeldung bewusst ignoriert und die Überweisung trotzdem freigibt, wird künftig regelmäßig erhebliche Schwierigkeiten haben, den entstandenen Schaden vollständig auf andere Beteiligte abzuwälzen. Insbesondere kann dies bei der Prüfung eines Mitverschuldens nach § 254 BGB erhebliches Gewicht erlangen.
Was gilt, wenn die Bank die Empfängerüberprüfung nicht ordnungsgemäß durchführt?
Die europäische Regelung enthält zudem eine ausdrückliche Haftungsfolge.
Kommt der Zahlungsdienstleister des Zahlers seiner Pflicht zur Empfängerüberprüfung nicht nach und führt gerade dieser Verstoß dazu, dass eine Überweisung fehlerhaft ausgeführt wird, sieht Art. 5c Abs. 8 der Verordnung (EU) Nr. 260/2012 grundsätzlich eine Erstattungspflicht vor.
Das kann die Risikoverteilung bei manipulierten Bankverbindungen erheblich verändern.
Zu unterscheiden ist daher künftig sorgfältig: Hat die Bank ordnungsgemäß gewarnt und der Kunde dennoch überwiesen? Oder hat die Bank den vorgeschriebenen Empfängerabgleich überhaupt nicht oder fehlerhaft durchgeführt?
Im zweiten Fall können Ansprüche gegen den Zahlungsdienstleister in Betracht kommen.
Keine automatische Erstattung durch die Bank bei selbst autorisierter Überweisung
Davon zu unterscheiden sind die klassischen Fälle nicht autorisierter Zahlungsvorgänge.
§ 675u BGB verpflichtet eine Bank grundsätzlich zur Erstattung, wenn ein Zahlungsvorgang nicht vom Kontoinhaber autorisiert wurde.
Bei einer manipulierten Rechnung liegt die Sache jedoch häufig anders. Der Kunde gibt die Überweisung selbst frei. Er irrt lediglich darüber, wem das angegebene Konto tatsächlich gehört.
Die Überweisung ist dann grundsätzlich autorisiert im Sinne des § 675j BGB. Allein der Umstand, dass der Zahler Opfer eines Betrugs geworden ist, führt deshalb nicht automatisch zu einem Erstattungsanspruch nach § 675u BGB.
Gerade deshalb ist die seit Oktober 2025 vorgeschriebene Empfängerüberprüfung so relevant.
Datenschutzrecht kann zusätzlich eine Rolle spielen
Bei manipulierten Rechnungen kann außerdem Art. 82 DSGVO Bedeutung erlangen.
Danach kann eine betroffene Person Ersatz für materielle oder immaterielle Schäden verlangen, die ihr durch einen Verstoß gegen die Datenschutz-Grundverordnung entstanden sind.
Das OLG Schleswig, Urteil vom 18.12.2024 – 12 U 9/24, hatte einen solchen Anspruch im Zusammenhang mit einer manipulierten Rechnung bejaht und die Anforderungen an die Sicherheit des E-Mail-Versands insbesondere anhand von Art. 5 DSGVO, Art. 24 DSGVO und Art. 32 DSGVO bewertet.
Das LG Karlsruhe, Urteil vom 20.05.2026 – 8 O 266/25, hat demgegenüber eine Haftung nach Art. 82 DSGVO im dort entschiedenen Fall abgelehnt und eine allgemeine Pflicht zur Ende-zu-Ende-Verschlüsselung verneint.
Auch datenschutzrechtlich kommt es deshalb entscheidend auf die konkrete Gestaltung des Angriffs, die betroffenen Daten und die im Einzelfall erforderlichen und zumutbaren Sicherheitsmaßnahmen an.
Muss der Verkäufer vor Herausgabe der Ware den Zahlungseingang kontrollieren?
Im Fall des OLG Oldenburg hatte das Autohaus das Fahrzeug herausgegeben, obwohl der Kaufpreis tatsächlich noch nicht auf seinem Konto eingegangen war.
Der Käufer argumentierte deshalb sinngemäß, das Autohaus hätte den Schaden verhindern können, wenn es den Zahlungseingang vor der Übergabe kontrolliert hätte.
Auch damit hatte er keinen Erfolg.
Nach Auffassung der Gerichte dient eine solche Kontrolle in erster Linie dem Schutz des Verkäufers selbst. Dass ein Verkäufer freiwillig auf eine Kontrolle verzichtet und die Ware dennoch herausgibt, begründet deshalb nicht ohne Weiteres eine Schutzpflicht gegenüber dem Käufer.
Was sollten Käufer bei einer plötzlich geänderten Bankverbindung tun?
Gerade bei größeren Zahlungen sollte eine geänderte Bankverbindung niemals ungeprüft übernommen werden.
Wer bislang auf ein bestimmtes Firmenkonto gezahlt hat und plötzlich eine neue IBAN oder einen abweichenden Kontoinhaber mitgeteilt bekommt, sollte die Änderung über einen zweiten Kommunikationsweg bestätigen lassen.
Am sichersten ist ein Anruf unter einer bereits bekannten Telefonnummer. Nicht verwendet werden sollte eine Telefonnummer, die ausschließlich in der verdächtigen E-Mail selbst angegeben ist.
Seit Einführung der Empfängerüberprüfung sollte außerdem jede Warnmeldung der Bank ernst genommen werden. Bei einer fehlenden Übereinstimmung zwischen Name und IBAN sollte die Überweisung grundsätzlich abgebrochen und die Bankverbindung überprüft werden.
Was sollten Unternehmen beim Versand von Rechnungen beachten?
Auch Rechnungsaussteller sollten die aktuelle Rechtsprechung nicht zum Anlass nehmen, sich auf den Standpunkt zurückzuziehen, dass das Zahlungsrisiko ausschließlich beim Kunden liegt.
Die Entscheidung des OLG Schleswig zeigt, dass Unternehmen durchaus einer eigenen Haftung ausgesetzt sein können, wenn Sicherheitsdefizite nachgewiesen werden. Auf der anderen Seite machen die Entscheidungen des OLG Karlsruhe und des LG Karlsruhe deutlich, dass daraus keine schematische Verpflichtung zur Ende-zu-Ende-Verschlüsselung jeder geschäftlichen E-Mail folgt.
Sinnvoll sind insbesondere technisch aktuelle E-Mail-Systeme, Mehrfaktor-Authentifizierung für geschäftliche E-Mail-Konten, regelmäßige Sicherheitsupdates, Schutz vor kompromittierten Zugangsdaten und klare interne Prozesse für die Mitteilung oder Änderung von Bankverbindungen.
Praktisch besonders wirksam kann ein deutlicher Hinweis auf Rechnungen sein, dass Änderungen der Bankverbindung niemals ausschließlich per E-Mail erfolgen und im Zweifel telefonisch bestätigt werden müssen.
Je höher die regelmäßig versandten Rechnungsbeträge sind, desto stärker spricht zudem vieles dafür, zusätzliche Sicherheitsmaßnahmen vorzusehen.
Was ist unmittelbar nach einer Fehlüberweisung zu tun?
Wer bemerkt, dass Geld aufgrund einer manipulierten Rechnung auf ein Betrügerkonto überwiesen wurde, sollte keine Zeit verlieren.
Die eigene Bank sollte sofort aufgefordert werden, einen Überweisungsrückruf einzuleiten und die Empfängerbank zu kontaktieren. Parallel sollte Strafanzeige erstattet werden.
Daneben müssen sämtliche elektronischen Beweismittel gesichert werden. Besonders wichtig sind die Original-E-Mail einschließlich vollständigem Header, die Original-PDF-Datei, sämtliche vorherigen E-Mails, Rechnungen, Kontodaten und Screenshots etwaiger Warnmeldungen der Bank.
Die bloße Weiterleitung einer verdächtigen E-Mail kann technische Informationen verlieren. Deshalb sollte nach Möglichkeit die Originalnachricht unverändert archiviert werden.
Anschließend ist zu prüfen, gegen wen Ansprüche bestehen können: gegen den Täter beziehungsweise Kontoinhaber, gegen den Verkäufer wegen einer möglichen Pflichtverletzung nach § 280 Abs. 1 BGB in Verbindung mit § 241 Abs. 2 BGB, gegen den Zahlungsdienstleister wegen einer fehlerhaften Empfängerüberprüfung oder gegebenenfalls gegen weitere Beteiligte.
Was der BGH geklärt hat – und welche Haftungsfragen weiterhin offen sind
Mit seinem Urteil vom 08.10.2025 – IV ZR 161/24 hat der Bundesgerichtshof die grundsätzliche Risikoverteilung bei fehlgeleiteten Überweisungen bestätigt: Das Risiko, dass eine Geldleistung den berechtigten Gläubiger nicht erreicht, trägt im Ausgangspunkt der Schuldner. Auch eine durch unbekannte Dritte manipulierte Zahlungsanweisung führt nicht automatisch zu einer Verlagerung der Verlustgefahr.
Der rechtskräftige Beschluss des OLG Oldenburg vom 17.04.2026 – 5 U 89/25 fügt sich in diese Rechtsprechung ein. Er verdeutlicht zugleich, dass sich der Käufer nicht allein deshalb von seiner Zahlungspflicht befreien kann, weil die gefälschten Kontodaten scheinbar vom Verkäufer übermittelt wurden.
Damit ist die Haftung bei manipulierten Rechnungen allerdings noch nicht abschließend geklärt. Insbesondere bestehen hinsichtlich der erforderlichen Sicherheitsmaßnahmen beim geschäftlichen E-Mail-Verkehr unterschiedliche Auffassungen.
Während das OLG Schleswig mit Urteil vom 18.12.2024 – 12 U 9/24 unter den dortigen Umständen eine Haftung wegen unzureichender Verschlüsselung angenommen hat, lehnen das OLG Karlsruhe und das LG Karlsruhe eine allgemeine Verpflichtung zur Ende-zu-Ende-Verschlüsselung geschäftlicher Rechnungen ab.
Für die endgültige Schadensverteilung bleiben deshalb die Umstände des Einzelfalls maßgeblich. Zu prüfen ist insbesondere, ob dem Rechnungsaussteller eine konkrete Schutzpflichtverletzung zur Last fällt, ob diese den Schaden verursacht hat und ob der Zahlende erkennbare Warnsignale missachtet hat.
Hinzu kommt für Überweisungen seit dem 9. Oktober 2025 die verpflichtende Empfängerüberprüfung nach Art. 5c der Verordnung (EU) Nr. 260/2012 in der Fassung der Verordnung (EU) 2024/886. Sie eröffnet bei Pflichtverletzungen des Zahlungsdienstleisters zusätzliche Haftungsmöglichkeiten, während eine vom Kunden ignorierte Warnung gegen eine Schadensverlagerung sprechen kann.
Fazit: Eine falsche IBAN kann dazu führen, dass der Kaufpreis zweimal gezahlt werden muss
Wer aufgrund einer manipulierten E-Mail auf das Konto eines Betrügers zahlt, darf nicht davon ausgehen, damit seine Verpflichtung gegenüber dem eigentlichen Verkäufer erfüllt zu haben. Der Beschluss des OLG Oldenburg vom 17.04.2026 – 5 U 89/25 zeigt dies mit erheblicher Deutlichkeit: Obwohl der Käufer knapp 17.000 Euro bereits an die Betrüger verloren hatte, musste er den Kaufpreis gegenüber dem Autohaus nochmals zahlen.
Das Ergebnis ist dogmatisch konsequent. Erfüllung tritt nach § 362 BGB grundsätzlich erst ein, wenn das Geld beim richtigen Gläubiger ankommt. Gleichwohl darf die Haftungsprüfung damit nicht enden. Hat der Verkäufer durch unsichere Systeme oder sonstige Pflichtverletzungen den Angriff schuldhaft ermöglicht, können Gegenansprüche aus § 280 Abs. 1 BGB in Verbindung mit § 241 Abs. 2 BGB oder gegebenenfalls aus Art. 82 DSGVO bestehen. Ebenso kann seit Oktober 2025 eine Haftung des Zahlungsdienstleisters relevant werden, wenn die gesetzlich vorgeschriebene Empfängerüberprüfung unterblieben oder fehlerhaft durchgeführt worden ist.
Für die Praxis ist deshalb entscheidend, nach einem solchen Betrugsfall nicht vorschnell zu zahlen oder Ansprüche anzuerkennen. Zunächst muss technisch und rechtlich geklärt werden, wo die Manipulation stattgefunden hat, welche Sicherheitsmaßnahmen bestanden, ob Warnsignale erkennbar waren und ob die Bank den vorgeschriebenen Abgleich zwischen Empfängername und IBAN ordnungsgemäß vorgenommen hat. Gerade bei größeren Beträgen kann diese Prüfung darüber entscheiden, wer am Ende einen fünf- oder sechsstelligen Schaden tragen muss.
