Warum die Zahlung an den Betrüger nichts erledigt
Der juristische Ausgangspunkt ist eindeutig: Eine Schuld erlischt nach § 362 BGB erst, wenn das Geld beim Gläubiger ankommt. Eine Überweisung auf ein fremdes Konto erfüllt nichts – auch wenn der Zahlende in gutem Glauben gehandelt hat.
Hinzu kommt § 270 Abs. 1 BGB: Geld reist auf Gefahr des Schuldners. Das Risiko, dass es unterwegs verloren geht, trägt grundsätzlich, wer zahlt.
Der Bundesgerichtshof hat das zuletzt bestätigt (Urteil vom 08.10.2025, Az. IV ZR 161/24).
Ein Vergleich über einen Pflichtteil war per Briefpost verschickt, unterwegs abgefangen und die Kontonummer ausgetauscht worden. Die Zahlenden überwiesen auf das falsche Konto – und mussten ein zweites Mal zahlen.
Eine Ausnahme sieht der BGH nur, wenn der Gläubiger das Risiko selbst gesetzt hat. Dass er den gewöhnlichen Postweg gewählt hatte, reichte dafür nicht.
Das bedeutet: Wer überweist, trägt das Risiko. Verschieben lässt es sich nur über einen Gegenanspruch – der Zahlende muss dem Rechnungssteller eine eigene Pflichtverletzung nachweisen. Genau an dieser Stelle gehen die Gerichte auseinander.
Fall 1: Der gewerbliche Käufer zahlt zweimal
Das Oberlandesgericht Karlsruhe hatte über einen Fall zwischen zwei Unternehmen zu entscheiden (Urteil vom 27.07.2023, Az. 19 U 83/22).
Verkauft wurde ein Gebrauchtwagen für 13.500 €. Um 11:44 Uhr schickte der Verkäufer die Rechnung per E-Mail.
Um 11:46 Uhr kam aus demselben Postfach eine zweite Rechnung – identisch bis auf die Bankverbindung, die auf eine Privatperson lautete. Der Käufer zahlte auf dieses Konto.
Das Gericht verurteilte ihn, den Kaufpreis ein weiteres Mal zu zahlen. Einen Schadensersatzanspruch gegen den Verkäufer sah es nicht, denn im Geschäftsverkehr zähle, was Geschäftspartner an Sicherheit vernünftigerweise erwarten dürfen:
- Transportverschlüsselung genügt
- Ende-zu-Ende-Verschlüsselung ist kein Standard
- Verschlüsselte PDF-Rechnungen sind unüblich
- Fehlende Zwei-Faktor-Anmeldung war kein Pflichtverstoß
Die DSGVO hielt das Gericht für nicht anwendbar, weil keine personenbezogenen Daten einer natürlichen Person betroffen waren. Die Revision wurde nicht zugelassen.
Bemerkenswert ist ein Zusatz: Selbst wenn ein Anspruch bestanden hätte, wäre ihm ein erhebliches Mitverschulden des Käufers entgegengestanden.
Die zweite E-Mail siezte, obwohl sich die Geschäftsführer duzten, und enthielt einen verstümmelten Satz. Auf der Rechnung standen zwei verschiedene Konten – und gelesen hatte der Geschäftsführer die Nachricht nach eigener Aussage nicht vollständig.
Konkret bedeutet das: Zwischen Unternehmen bleibt der Schaden in aller Regel beim Zahler.
Fall 2: Der Handwerksbetrieb verliert seinen Werklohn
Genau umgekehrt entschied das Oberlandesgericht Schleswig (Urteil vom 18.12.2024, Az. 12 U 9/24).
Ein Betrieb für Haustechnik hatte einem privaten Auftraggeber die Schlussrechnung über rund 15.000 € als PDF per E-Mail geschickt. Unbekannte manipulierten die Bankverbindung, der Kunde zahlte an sie.
Das Landgericht Kiel verurteilte den Kunden noch zur erneuten Zahlung. Das Oberlandesgericht wies die Klage des Betriebs dagegen ab.
Die Begründung: Mit der Rechnung verarbeitet der Betrieb personenbezogene Daten des Kunden und muss sie nach Art. 32 DSGVO angemessen schützen. Eine reine Transportverschlüsselung reiche bei Rechnungen mit hohem finanziellem Missbrauchsrisiko nicht aus.
Geeignet sei eine Ende-zu-Ende-Verschlüsselung – oder der Postweg. Den Aufwand hielt das Gericht auch für einen mittelständischen Handwerksbetrieb für zumutbar.
Aus dem Verstoß erwuchs ein Schadensersatzanspruch nach Art. 82 DSGVO, den der Kunde der Werklohnforderung entgegenhalten konnte. Der Betrieb blieb auf seiner Rechnung sitzen; das Urteil ist rechtskräftig.
Das bedeutet: Im Privatkundengeschäft kann sich das Risiko vollständig umdrehen.
Der eigentliche Unterschied: Datenschutz schützt Menschen, keine Firmen
Die beiden Urteile lassen sich zu einem guten Teil über den Anwendungsbereich der DSGVO erklären. Sie schützt personenbezogene Daten natürlicher Personen.
Eine Rechnung an einen Privatkunden enthält solche Daten. Damit gelten die strengen Anforderungen an die Datensicherheit – und ein Verstoß löst einen eigenen Schadensersatzanspruch aus.
Bei einer Rechnung an ein Unternehmen sah das OLG Karlsruhe keine personenbezogenen Daten berührt. Übrig bleiben die allgemeinen vertraglichen Schutzpflichten, und die orientieren sich an dem, was im Geschäftsverkehr üblich ist.
Ganz gesichert ist diese Trennlinie allerdings nicht. Auch Rechnungen an Firmen nennen häufig Ansprechpartner mit Namen, und Einzelunternehmer oder Freiberufler sind selbst natürliche Personen. Welche Verschlüsselung angemessen ist, wird in der Fachliteratur ohnehin unterschiedlich beantwortet.
Konkret bedeutet das: Dieselbe E-Mail mit derselben PDF-Rechnung kann vor Gericht zwei völlig verschiedene Folgen haben – je nachdem, wer sie empfängt.
Zwischen den Extremen: der geteilte Schaden
Dass auch im Privatkundengeschäft nicht automatisch der Rechnungssteller verliert, zeigt das Landgericht Koblenz (Urteil vom 26.03.2025, Az. 8 O 271/22).
Ein Zaunbauer hatte für 11.000 € gearbeitet. Aus seinem gehackten E-Mail-Konto erhielt der private Bauherr erst die Rechnung, dann die Nachricht, die Bankverbindung habe sich geändert, und schließlich eine fremde IBAN.
Das Gericht bejahte einen DSGVO-Anspruch des Kunden, rechnete ihm aber 75 % Mitverschulden an. Spätestens die angekündigte Kontoänderung und der völlig fremde Zahlungsempfänger hätten ihn zur Nachfrage veranlassen müssen.
Das Gericht bezeichnete E-Mail als „unsicheren und damit fälschungsanfälligen Kommunikationsweg“, dessen Risiko beide Seiten bewusst in Kauf nehmen. Der Zaunbauer erhielt 8.250 € – drei Viertel seines Werklohns.
Das bedeutet: Wer offensichtliche Warnsignale übergeht, trägt einen großen Teil des Schadens selbst – auch als Privatkunde.
Ein Unternehmen, zwei Rollen
Für den Mittelstand liegt die eigentliche Brisanz darin, dass die meisten Betriebe auf beiden Seiten stehen. Sie bezahlen Lieferantenrechnungen und schreiben selbst Rechnungen – an Firmen und oft auch an Privatkunden:
- Als Zahler: Doppelzahlung droht
- Rechnung an Firmen: Risiko meist beim Kunden
- Rechnung an Privatkunden: Forderung kann ausfallen
Für Handwerk, Bau und Haustechnik ist das kein theoretisches Risiko. Beide hier genannten Privatkunden-Fälle betrafen Betriebe, die ihre Rechnungen per E-Mail verschickt hatten.
Wie verbreitet die Masche insgesamt ist, zeigt die Schadenstatistik des Kreditversicherers Allianz Trade: Der Zahlungsbetrug, bei dem sich Täter als Lieferant ausgeben und eine abweichende Bankverbindung nennen, lag zuletzt an der Spitze der Social-Engineering-Maschen in deutschen Unternehmen. Erst 2025 wurde er vom Bestellerbetrug überholt.
Und die Cyberversicherung?
Viele Unternehmen verlassen sich darauf, dass eine Cyberversicherung solche Schäden auffängt. Wie trügerisch das sein kann, zeigt das Landgericht Hagen (Urteil vom 15.10.2024, Az. 9 O 258/23).
Ein Unternehmen hatte nach E-Mails, die scheinbar von seinem Lieferanten kamen, dessen Bankverbindung geändert und mit vier Überweisungen insgesamt 85.000 € auf ein fremdes Konto gezahlt. Kompromittiert war vermutlich der Mailserver des Lieferanten – die eigenen Systeme waren intakt.
Der Cyberversicherer lehnte ab, und das Gericht gab ihm recht. Die Bedingungen setzten eine Sicherheitsverletzung im eigenen Netzwerk des Versicherungsnehmers voraus und nahmen Fälle ausdrücklich aus, in denen kein Eingriff in dieses Netzwerk stattgefunden hat.
Auch der Vertrauensschaden-Baustein im selben Vertrag half nicht: Er setzte ebenfalls eine Informationssicherheitsverletzung voraus, die es hier nicht gab. Die Bedingungen hielt das Gericht für wirksam.
Konkret bedeutet das: Der typische Fall – der Lieferant wird gehackt, Sie werden getäuscht – liegt außerhalb dessen, was viele Cyberpolicen versichern.
Wo der Schutz tatsächlich liegt
Für den eigenen Schaden als Zahler ist in der Regel die Vertrauensschadenversicherung zuständig. Moderne Bedingungswerke erfassen nicht mehr nur Delikte eigener Mitarbeiter, sondern auch die Täuschung durch externe Täter – etwa über gefälschte Lieferantenrechnungen.
Umfang und Voraussetzungen unterscheiden sich allerdings erheblich zwischen den Anbietern. Einige Cybertarife bieten zudem einen eigenen Baustein für Täuschungsschäden, häufig mit niedrigen Sublimits.
Für Rechnungssteller im Privatkundengeschäft geht es um etwas anderes: den Schadensersatzanspruch des Kunden nach Art. 82 DSGVO. Die Betriebshaftpflicht ist hier meist nicht die Lösung, weil reine Vermögensschäden dort nur eingeschränkt mitversichert sind, wenn überhaupt.
In Betracht kommt vor allem der Haftpflichtteil der Cyberversicherung – sofern er an Datenschutzverletzungen anknüpft und nicht nur an Angriffe auf die eigenen Systeme.
Bei der Prüfung der eigenen Verträge helfen sechs Fragen:
- Deckt die Cyberpolice Täuschung durch Dritte?
- Auch bei Angriffen auf fremde Systeme?
- Wie hoch ist das Sublimit?
- Umfasst die Vertrauensschadenversicherung Social Engineering?
- Welche Prüfschritte verlangt der Versicherer?
- Greift die Cyber-Haftpflicht bei Datenschutzverletzungen?
Cyber- und Vertrauensschadenversicherung sind dabei keine Alternativen. Sie decken unterschiedliche Wege desselben Betrugs ab und müssen deshalb aufeinander abgestimmt sein.
Was die Gerichte als Warnsignal werten
Die Urteile zeigen recht genau, welche Auffälligkeiten in der Buchhaltung erkannt werden müssen:
- Kurzfristig angekündigte neue Bankverbindung
- Privatperson oder fremder Empfänger als Kontoinhaber
- Zwei Bankverbindungen auf einer Rechnung
- Ungewohnte Anrede oder Tonlage
- Verstümmelte oder fehlerhafte Sätze
Wer solche Signale übergeht, muss sich das im Streitfall als Mitverschulden anrechnen lassen – im Fall des Landgerichts Koblenz zu drei Vierteln.
Was Sie intern regeln sollten
Als Zahler:
- Bankdatenänderungen nur nach Rückruf freigeben
- Rückrufnummer aus eigenen Stammdaten verwenden
- Stammdatenpflege und Zahlungsfreigabe trennen
- Prüfung und Ergebnis dokumentieren
Als Rechnungssteller:
- Postfächer mit Mehrfaktor-Anmeldung sichern
- Privatkunden-Rechnungen verschlüsselt oder per Portal
- Hinweis: Bankverbindung ändert sich nie per E-Mail
- Bankverbindung schon in der Auftragsbestätigung nennen
Ab 2027 kommt ein weiterer Punkt hinzu. Dann müssen Unternehmen mit mehr als 800.000 € Vorjahresumsatz im inländischen Geschäftsverkehr E-Rechnungen ausstellen, ab 2028 alle.
Strukturierte Rechnungen werden zunehmend automatisch verarbeitet. Die Warnsignale, an denen Gerichte einen aufmerksamen Sachbearbeiter messen, sieht dann womöglich niemand mehr – die Kontrolle gehört deshalb an die Stelle, an der Stammdaten geändert werden.
Fazit: Das Risiko folgt dem Empfänger
Bei einer manipulierten Rechnung ist der Ausgangspunkt immer derselbe: Wer zahlt, trägt das Risiko. Ob es sich verschiebt, hängt davon ab, ob der Rechnungssteller eine eigene Pflicht verletzt hat – und diese Pflichten sind gegenüber Privatkunden deutlich strenger als gegenüber Unternehmen.
Für mittelständische Betriebe heißt das: Als Zahler braucht es feste Prüfprozesse, als Rechnungssteller an Privatkunden einen sicheren Versandweg. Und auf Versicherungsseite die Gewissheit, dass Cyber- und Vertrauensschadenversicherung zusammen den Weg abdecken, den Betrüger tatsächlich nehmen.
Das bedeutet: Die Frage ist nicht, ob Sie eine Cyberversicherung haben, sondern ob sie greift, wenn der Angriff gar nicht bei Ihnen stattfindet.
👉 Sprechen Sie mit uns – wir prüfen, ob Ihre Cyber- und Vertrauensschadenversicherung manipulierte Rechnungen auch dann abdecken, wenn der Angriff beim Lieferanten stattfindet, und stimmen beide Verträge aufeinander ab. Persönlich, unabhängig und vorausschauend.
