Manipulierte IBAN in Rechnung oder Schreiben – wer zahlt den Schaden?

Ein Zahlendreher, 20.000 Euro weg: So läuft der Betrug ab

Der Ablauf ist immer gleich. Ein Unternehmen versendet eine Rechnung als PDF per E-Mail. Kriminelle greifen die Nachricht oder das Postfach ab, ersetzen allein die Bankverbindung und lassen Logo, Rechnungsnummer, Betrag und Leistungsbeschreibung unverändert. Der Kunde zahlt fristgerecht, das Geld landet beim Täter, und der Rechnungssteller sieht die Forderung weiter als offen. Erkannt wird der Vorfall meist erst bei der Mahnung.

Der technische Hintergrund ist ernüchternd. Die verbreitete Transportverschlüsselung mittels TLS schützt nur die Strecke zwischen den Mailservern und ist keine Ende-zu-Ende-Verschlüsselung, sodass die Nachricht auf Zwischenstationen im Klartext vorliegen kann.

Tritt Erfüllung durch Zahlung ein?

Eine Geldschuld ist erst erfüllt, wenn der Betrag dem Konto des Gläubigers vorbehaltlos gutgeschrieben wird. Die Überweisung auf ein fremdes Konto führt nicht zum Leistungserfolg nach § 362 Abs. 1 BGB, und der Schuldner muss im Ergebnis ein zweites Mal zahlen. Der Bundesgerichtshof hat mit Urteil vom 08.10.2025 bestätigt, dass die Verlustgefahr nach § 270 Abs. 1 BGB beim Schuldner bleibt (BGH, Urt. v. 08.10.2025 – Az. IV ZR 161/24).

Weder eine Empfangsermächtigung noch eine Genehmigung nach § 185 BGB entsteht dadurch, dass ein Dritter ein Dokument mit fremder IBAN übersendet, und bloßes Schweigen des Gläubigers genügt hierfür ebenfalls nicht.

Eine Verlagerung des Risikos über § 270 Abs. 3 BGB setzt voraus, dass der Gläubiger die Gefahr durch eigenes gewöhnliches Verhalten erhöht hat, etwa durch einen Wohnsitzwechsel. Der strafbare Eingriff eines unbekannten Dritten ist demgegenüber ein atypischer Kausalverlauf, der dem Gläubiger nicht angelastet wird.

Wann der Rechnungssteller doch haftet

Damit ist der Rechnungssteller nicht automatisch aus dem Risiko. Bei nachgewiesenen IT-Sicherheitsdefiziten kommt ein Schadensersatzanspruch aus § 280 Abs. 1 in Verbindung mit § 241 Abs. 2 BGB bzw. eine Kürzung des Rechnungsbetrages über ein Mitverschulden in Betracht, den der Kunde dem Zahlungsanspruch entgegenhalten kann (OLG Schleswig, Urt. v. 18.12.2024 – 12 U 9/24). Eine schematische Pflicht zur Ende-zu-Ende-Verschlüsselung jeder geschäftlichen E-Mail folgt daraus jedoch nicht (OLG Karlsruhe, Urt. v. 27.07.2023 – 19 U 83/22; LG Karlsruhe, Urt. v. 20.05.2026 – 8 O 266/25).

Umgekehrt scheiterte ein Käufer, der einen Gebrauchtwagenkaufpreis von knapp 17.000 Euro auf ein Täterkonto überwiesen hatte, weil dem Autohaus keine eigene Pflichtverletzung nachzuweisen war (OLG Oldenburg, Beschl. v. 17.04.2026 – 5 U 89/25). Eine Pflicht des Verkäufers, den Zahlungseingang vor Herausgabe der Ware zu kontrollieren, besteht gegenüber dem Käufer nicht, da diese Kontrolle dem Selbstschutz des Verkäufers dient. Eine höchstrichterlich abschließend geklärte Risikoverteilung für sämtliche Varianten manipulierter Rechnungs-E-Mails existiert derzeit nicht.

Hilft die Bank? DSGVO und Empfängerabgleich im Realitätscheck

Art. 82 DSGVO kann grundsätzlich Bedeutung erlangen, hängt aber von der konkreten Angriffsgestaltung und den betroffenen Daten ab. Gegenüber der Bank hilft § 675u BGB regelmäßig nicht, weil der Kunde die Überweisung selbst freigibt und die Zahlung damit nach § 675j BGB autorisiert ist. Seit dem 09.10.2025 gilt die verpflichtende Empfängerüberprüfung, und bei einem Verstoß des Zahlungsdienstleisters sieht Art. 5c Abs. 8 der Verordnung (EU) Nr. 260/2012 eine Erstattungspflicht vor. Wer eine Warnmeldung ignoriert, riskiert ein erhebliches Mitverschulden nach § 254 BGB.

Fünf Regeln, die Ihnen den Schaden ersparen

• Geänderte Bankverbindungen stets über einen zweiten, bereits bekannten Kommunikationsweg bestätigen lassen, nicht über eine Rufnummer aus der verdächtigen E-Mail.
• Warnhinweise der Bank beim Empfängerabgleich nie ungeprüft übergehen.
• Auf Rechnungen ausdrücklich klarstellen, dass Änderungen der Bankverbindung niemals nur per E-Mail erfolgen.
• Mehrfaktor-Authentifizierung, aktuelle Systeme und klare interne Prozesse für Bankdatenänderungen einführen.
• Nach einer Fehlüberweisung sofort Überweisungsrückruf bei der Bank veranlassen und Strafanzeige erstatten.

Geld weg? Jetzt zählt jede Sekunde

Wir prüfen für Gläubiger und Schuldner, ob Erfüllung eingetreten ist, ob Gegenansprüche wegen IT-Sicherheitsdefiziten bestehen und ob Ansprüche gegen den Zahlungsdienstleister in Betracht kommen. Handeln Sie schnell, denn die Rückholung nicht weitergeleiteter Zahlungen ist zeitkritisch.

Wir freuen uns auf Ihre Kontaktaufnahme – telefonisch unter der 0931-22222 oder per E-Mail an info@steinbock-partner.de.