Skip to content

Kaufpreiszahlung bei Rechnungsmanipulation: Wer haftet bei Fehlüberweisung?

Goldbarren gekauft, die Rechnung per E-Mail bezahlt – weil Kriminelle die Bankverbindung unbemerkt manipulierten, wartet der Edelmetallhändler nun vergeblich auf das Geld des Kunden. Muss der Käufer den vereinbarten Kaufpreis nun ein zweites Mal überweisen, um seine Edelmetalle zu erhalten?
Mann am Laptop vergleicht eine ausgedruckte Rechnung mit Online-Banking-Daten in einem Arbeitszimmer.
Das Landgericht Karlsruhe entschied, dass Käufer das Risiko bei Überweisungen auf kriminell manipulierte Rechnungen selbst tragen. Symbolfoto: KI

Zum vorliegenden Urteilstext springen: 8 O 266/25

Das Wichtigste im Überblick

Das Gericht weist die Klage ab, weil die Zahlung nicht bei der Beklagten ankam.
  • Die Kläger verloren den Prozess um Goldbarren und Schadensersatz.
  • Die Überweisung auf das falsche Konto erfüllte die Kaufpreiszahlung nicht.
  • Die Beklagte musste keine verschlüsselten Rechnungen senden.
  • Die DSGVO half den Klägern nicht.

  • Gericht: Landgericht Karlsruhe
  • Datum: 20.05.2026
  • Aktenzeichen: 8 O 266/25
  • Verfahren: Urteil
  • Rechtsbereiche: Kaufrecht, Zahlungsrecht, Datenschutzrecht
  • Relevant für: Käufer, Verkäufer, Unternehmen mit E-Mail-Rechnungen

Wer zahlt bei manipulierten Rechnungen?

Nach § 433 Abs. 2 des Bürgerlichen Gesetzbuches (BGB) ist ein Käufer verpflichtet, dem Verkäufer den vereinbarten Kaufpreis zu zahlen. Wenn Rechnungen auf einem elektronischen Übermittlungsweg durch unbefugte Dritte manipuliert werden, stellt sich unweigerlich die Frage nach der vertraglichen Risiko- und Gefahrtragung. Das rechtliche Risiko für Fehler oder betrügerische Eingriffe beim Rechnungsversand wird dabei stets jener Sphäre zugeordnet, aus der der Versendungsfehler stammt beziehungsweise in der das Gesetz ohnehin das Risiko verortet.

Vor dem Landgericht Karlsruhe scheiterte der Versuch eines Ehepaares, ein solches Übermittlungsrisiko vollständig auf einen Verkäufer abzuwälzen, woraufhin die Klage wurde vollständig abgewiesen (Az. 8 O 266/25, Urteil vom 20.05.2026). Die Käufer forderten von dem beklagten Unternehmen die Lieferung von insgesamt 42 Feingoldbarren im Gesamtwert von 109.185,00 Euro. Konkret ging es um 28 Barren zu jeweils einer Unze für je 1.870,00 Euro, fünf Barren zu je 100 Gramm für je 5.965,00 Euro sowie neun Barren zu je 50 Gramm für je 3.000,00 Euro. Der Ehemann hatte per E-Mail Rechnungen erhalten, die optisch den korrekten Dokumenten der Verkäuferseite entsprachen, jedoch manipulierte Kontodaten aufwiesen.

Betrügerische Zahlungsaufforderung per E-Mail

Im Vertrauen auf die Richtigkeit der Dokumente überwies der Ehemann am 04.04.2023 einen ersten Teilbetrag von 56.825,00 Euro und am 05.04.2023 weitere 52.360,00 Euro auf ein unberechtigtes Konto bei einer „O-Bank Zweigniederlassung Deutschland“. Erst am 14.04.2023 wendete er sich per E-Mail an den Geschäftsführer des Verkäufers, äußerte einen Manipulationsverdacht durch Kriminelle und bat um eine postalische Übersendung der Originaldokumente. Die echten Rechnungen wiesen eine Bankverbindung bei der Sparkasse aus. Da die Zahlung dort nie einging, blieb die Lieferung der Goldbarren aus. Das Gericht wies die Klage der Käuferseite rechtskräftig ab, da die Kaufpreiszahlung das Unternehmen nicht erreichte und die inhaltliche Fälschung nach dem unstreitigen Ablauf durch unbekannte Dritte außerhalb des Verantwortungsbereichs des Verkäufers stattfand.

Redaktionelle Leitsätze

  1. Wer den Kaufpreis auf ein von Betrügern manipuliertes Konto überweist, erfüllt seine Zahlungspflicht nicht; die Pflicht zur Kaufpreiszahlung an den tatsächlichen Gläubiger bleibt bestehen, solange keine Gutschrift auf dessen Konto erfolgt und keine Ermächtigung zur Zahlung an Dritte vorlag.
  2. Das gesetzliche Übermittlungsrisiko bei der Geldübersendung trägt nach § 270 Abs. 1 BGB der Schuldner; eine Verlagerung dieses Risikos auf den Rechnungssteller setzt eine ausdrückliche vertragliche Vereinbarung voraus und ergibt sich nicht allein daraus, dass dieser die Rechnung unverschlüsselt per E-Mail versandt hat.
  3. Ein Schadensersatzanspruch aus Art. 82 DSGVO scheidet aus, wenn bei einer gefälschten Rechnung nicht die personenbezogenen Daten des Geschädigten, sondern lediglich die Bankverbindungsdaten des Rechnungsstellers verändert wurden und der genaue Ort des unbefugten Zugriffs nicht substantiiert dargelegt werden kann.
Infografik: Das gesetzliche Übermittlungsrisiko für Geldschulden liegt beim Käufer, weshalb die Zahlung auf ein manipuliertes Betrügerkonto nicht von der Kaufpreisschuld befreit.
Gefälschte Rechnung: So schützen Sie Ihr Geld

Wann gilt die Überweisung als erfüllt?

Nach § 362 Abs. 1 BGB erlischt ein bestehendes Schuldverhältnis nur dann, wenn die geschuldete Leistung tatsächlich an den richtigen Gläubiger fließend bewirkt wird. Eine Leistung an einen Dritten entfaltet nach § 362 Abs. 2 BGB in Verbindung mit § 185 BGB ausschließlich dann eine befreiende Erfüllungswirkung, wenn der Gläubiger im Vorfeld dazu ermächtigt hat oder diese Fehlzahlung im Nachhinein genehmigt. Bleibt eine entsprechende Gutschrift auf dem tatsächlichen Bankkonto des Gläubigers aus, greift zu dessen Schutz die Einrede des nicht erfüllten Vertrages gemäß den §§ 320, 322 BGB. Das bedeutet konkret: Solange das Geld nicht auf dem echten Konto des Verkäufers eingegangen ist, darf dieser die Lieferung der Ware rechtmäßig verweigern.

Das Ehepaar machte in dem Verfahren geltend, die vertragliche Pflicht zur Kaufpreiszahlung ordnungsgemäß erfüllt zu haben. Die Angabe der unbekannten Bank sei für sie unauffällig gewesen, da die entsprechende Region für Gold bekannt sei und das genannte Kreditinstitut über Zweigstellen in Deutschland verfüge. Sie hätten den geforderten Betrag auf das in den E-Mail-Rechnungen genannte Konto überwiesen, und der Verkäufer müsse für den Versand sowie für mögliche Manipulationen seiner eigenen Rechnungen geradestehen. Die Verkäuferseite habe die Dokumente eventuell sogar selbst abgeändert, um die Zahlung zu vereinnahmen und die Edelmetalle nicht liefern zu müssen.

Verweigerte Erfüllungswirkung durch das Gericht

Das Edelmetallunternehmen bestritt den Erhalt der Summe entschieden. Das in der manipulierten E-Mail genannte Konto gehöre nicht zur Firma, mit der fremden Bank habe man nichts zu tun und man habe auch keinerlei Rechnungsfälschung vorgenommen. Das Gericht schloss sich dieser Darstellung an und verneinte eine Erfüllungswirkung der Überweisung. Das Geld erreichte den Verkäufer nie, und es lag keinerlei Ermächtigung zur Zahlung an eine unberechtigte Bank vor. Allein die Überweisung an einen Betrüger befreit nach richterlicher Auffassung nicht von der Verpflichtung, den Kaufpreis vertragsgemäß an den tatsächlichen Vertragspartner zu entrichten.

Dass es nicht im Interesse des Gläubigers liegt, bei Vereinbarung eines ohnehin naheliegenden Übermittlungswegs letzte Restrisiken eines zufälligen Verlusts zu übernehmen, und seine Willenserklärung damit nicht in diesem Sinne zu verstehen ist, ist auch für den Schuldner erkennbar. – so das Landgericht Karlsruhe

Ihre rechtliche Konsequenz bei Fehlleitung: Da die Zahlung an Betrüger keine schuldbefreiende Erfüllungswirkung hat, bleibt Ihre Pflicht zur Kaufpreiszahlung bestehen. Sie müssen den geforderten Betrag im Zweifel noch einmal an den echten Verkäufer entrichten, um Ihre Ware beanspruchen zu können.

Wer trägt das Überweisungsrisiko?

Ein gesetzlicher Grundsatz des § 270 Abs. 1 BGB besagt, dass der Schuldner die weitreichende Verlustgefahr sowie sämtliche Kosten für die Übermittlung von Geld an den Gläubiger trägt. Eine Verschiebung dieser gesetzlichen Gefahrtragung auf den Empfänger erfordert eine ausdrückliche vertragliche oder anderweitig klar vereinbarte Abweichung zwischen den Parteien. Die einfache Übersendung einer Rechnung auf elektronischem Weg begründet ohne weitere Umstände keine automatische Risikoübernahme des Verkäufers für spätere Manipulationen des Inhalts durch nicht ermittelbare Dritte.

Die abgewiesenen Käufer versuchten zivilrechtlich zu argumentieren, das Risiko für den elektronischen Rechnungsversand und alle damit verbundenen Gefahren müsse allein das Unternehmen als Absender tragen. Nach Ansicht der Käuferseite lag ein dem Verkäufer zurechenbares Fehlverhalten bei der Angebotsabgabe vor. Das Landgericht Karlsruhe folgte dieser Argumentation jedoch nicht. Es urteilte, dass die Käufer als Schuldner der Zahlung die gesetzliche Gefahrtragung für die Geldübermittlung allein tragen müssen, da in diesem Vertragsverhältnis keine abweichende Vereinbarung getroffen wurde.

Das Fälschen und in betrügerischer Absicht Verändern einer Urkunde nach Übergabe einer verschlossenen Postsendung an ein Postbeförderungsunternehmen stellt einen solch ungewöhnlichen und unwahrscheinlichen Kausalverlauf dar. – so das Landgericht Karlsruhe
Achtung Falle:

Wer eine Rechnung per E-Mail erhält und auf ein von Betrügern manipuliertes Konto überweist, bleibt im Regelfall auf dem Schaden sitzen. Rechtlich trägt der Zahlende das Übermittlungsrisiko des Geldes. Ein Anspruch gegen den Verkäufer besteht nur dann, wenn nachweislich dessen eigene IT-Systeme kompromittiert waren – der bloße unverschlüsselte Rechnungsversand begründet noch keine Haftung des Absenders.

Unwahrscheinlicher Kausalverlauf und Prozesshürden

Das Gericht betonte in seiner Entscheidung ausdrücklich, dass eine nachträgliche Inhaltsänderung einer E-Mail nach deren Absenden durch unbefugte Dritte einen ungewöhnlichen und höchst unwahrscheinlichen Kausalverlauf darstellt. Es gab keinerlei Anhaltspunkte dafür, dass die Manipulation der Bankdaten aus der geschäftlichen Sphäre des Verkäufers stammte. Der primäre Antrag auf Lieferung der Goldbarren scheiterte zudem an einer prozessrechtlichen Hürde: Das Ehepaar hatte im Verfahren eine Verurteilung zur Lieferung „Zug um Zug“ gegen eine erneute Zahlung des Kaufpreises ausdrücklich abgelehnt. Zug um Zug bedeutet konkret, dass der Verkäufer die Goldbarren im direkten, gleichzeitigen Austausch gegen das Geld übergeben muss. Nach § 308 der Zivilprozessordnung durfte das Gericht den Verkäufer daher nicht zu einer solchen abweichenden Leistung verurteilen – denn ein Gericht darf den Klägern nichts zusprechen, was diese im Prozess ausdrücklich abgelehnt haben.

Vermeiden Sie diesen Prozessfehler: Sollten Sie in ein gerichtliches Verfahren geraten, lehnen Sie einen Antrag auf Lieferung „Zug um Zug“ gegen erneute Kaufpreiszahlung nicht kategorisch ab. Wenn Sie diesen Antrag als Hilfsantrag zulassen, sichern Sie sich die Möglichkeit auf ein zumindest teilweises Obsiegen, anstatt eine vollständige Klageabweisung zu kassieren.

Wann besteht Verschlüsselungspflicht per E-Mail?

Die Feststellung einer vertraglichen Nebenpflichtverletzung nach den §§ 280 Abs. 1, 241 Abs. 2 BGB setzt stets das Vorhandensein einer konkreten Schutzpflicht oder Aufklärungspflicht voraus. Eine vertragliche Nebenpflichtverletzung bedeutet konkret, dass ein Vertragspartner neben der Hauptleistung auch die Pflicht hat, das Vermögen und die Rechte des anderen vor Schäden zu schützen. Im gewöhnlichen und alltäglichen Geschäftsverkehr existiert aktuell keine generelle gesetzliche Pflicht zu einer Ende-zu-Ende-Verschlüsselung beim Versand von Rechnungen über elektronische Postfächer. Das juristisch geschuldete Sicherheitsmaß richtet sich vielmehr nach den berechtigten Sicherheitserwartungen des allgemeinen Verkehrs sowie nach der Zumutbarkeit für die beteiligten Parteien.

Als Hilfsantrag begründete das Ehepaar einen Schadensersatzanspruch in Höhe von 109.185,00 Euro zuzüglich Zinsen damit, dass die unverschlüsselte Übersendung der Dokumente durch das beklagte Unternehmen zumindest grob fahrlässig gewesen sei. Ein Hilfsantrag bedeutet konkret: Dieser zusätzliche Antrag wird vor Gericht nur für den Fall gestellt, dass der Hauptantrag – hier die kostenfreie Lieferung der Goldbarren – abgewiesen wird. Zur Untermauerung bezogen sich die Käufer auf ein früheres Urteil des Oberlandesgerichts Schleswig vom 18.12.2024 (Az. 12 U 9/24), nach welchem Rechnungen in vergleichbaren Konstellationen eigentlich nur noch verschlüsselt hätten übersandt werden dürfen.

Sicherheitserwartungen und Kommunikationsverhalten

Das Karlsruher Gericht schmetterte diesen Vorwurf ab und stellte fest, dass es hier keine vertragliche oder gesetzliche Pflicht zur Ende-zu-Ende-Verschlüsselung gab. Eine solche hohe Sicherheitsvorkehrung war bei Vertragsabschluss weder vereinbart noch von der Käuferseite im Vorfeld gewünscht worden. Den Richtern fiel bei der Prüfung besonders ins Gewicht, dass die Käufer selbst augenscheinlich keine besonders hohen Sicherheitserwartungen hegten: Sogar nachdem der Betrug offensichtlich geworden war, kommunizierten sie weiterhin gänzlich unverschlüsselt mit dem Geschäftsführer der Firma. Auch aus einer Antwortmail des Unternehmens vom 14.04.2023 ließ sich kein Schadensersatzanspruch ableiten. Diese Nachricht verwies lediglich auf aufgekommene „Kosten“ und ließ nach den Maßstäben der §§ 133, 157 BGB keinen generellen Willen des Verkäufers erkennen, unbegrenzt für einen entstandenen Schaden einstehen zu wollen.

Praxistipp zur Beweisführung: Wenn Sie einem Vertragspartner mangelnde Sicherheitsvorkehrungen vorwerfen wollen, müssen Sie selbst konsistent handeln. Nutzen Sie nach der Entdeckung eines Betrugsverdachts keinesfalls unverschlüsselte E-Mails für die weitere Kommunikation, da Gerichte dies sonst als Beweis für Ihre eigenen geringen Sicherheitserwartungen werten.

Greift die DSGVO bei gefälschten Rechnungen?

Ein datenschutzrechtlicher Anspruch auf Schadensersatz gemäß Artikel 82 der Datenschutz-Grundverordnung (DSGVO) verlangt als zwingende Grundvoraussetzung die Eröffnung des persönlichen und sachlichen Anwendungsbereichs dieses Regelwerks. Der Schutzbereich der DSGVO erstreckt sich nach geltendem Recht ausschließlich auf die personenbezogenen Daten von natürlichen Personen. Für einen erfolgreichen Schadensersatz muss überdies ein nachweisbarer Verstoß gegen konkrete datenschutzrechtliche Pflichten sowie eine lückenlose Kausalität zwischen eben diesem Verstoß und dem final eingetretenen Schaden bewiesen werden.

Das Ehepaar stützte seinen Schadensersatzanspruch zusätzlich auf die europäische Datenschutzverordnung und zitierte dafür abermals die Entscheidung des OLG Schleswig. Das Landgericht Karlsruhe trat dieser Argumentation jedoch entschieden entgegen und lehnte den Anspruch aus der DSGVO vollständig ab. Dabei widersprachen die Karlsruher Richter der Rechtsauffassung ihrer Kollegen aus Schleswig ausdrücklich und folgten dieser Linie nicht.

Fehlender Schutzbereich und unklare Kausalität

Die Ablehnung begründete die Kammer mit dem fehlenden Schutzbereich der Datenschutzverordnung. In diesem Fall wurden bei der Fälschung der E-Mails gar keine personenbezogenen Daten der Käufer verändert oder unbefugt verarbeitet, sondern lediglich die Bankverbindungsdaten des Unternehmens. Zudem handelt es sich bei dem beklagten Unternehmen um keine natürliche Person. Selbst wenn man den Schutzbereich theoretisch als eröffnet ansähe, fehlte es an einem konkreten Datenschutzverstoß, da eine Pflicht zur Verschlüsselung nicht bestand. Letztlich ließ sich auch der Kausalverlauf nicht mehr rekonstruieren: Die Käuferseite konnte nicht substantiiert darlegen, an welchem Punkt – ob beim Absender, bei einem Angestellten, auf dem weltweiten Übertragungsweg oder erst beim Empfänger – der unbefugte Zugriff durch die Kriminellen überhaupt stattfand. Substantiiert darlegen bedeutet konkret: Die Kläger hätten die genauen technischen Details und den exakten Ort des Hacking-Angriffs lückenlos beweisen müssen – bloße Vermutungen reichen vor Gericht nicht aus.

Was bedeutet das Urteil praktisch?

Das Urteil des Landgerichts Karlsruhe (Az. 8 O 266/25) verdeutlicht das erhebliche finanzielle Risiko beim elektronischen Rechnungsverkehr. Als Käufer tragen Sie nach § 270 BGB grundsätzlich das Verlustrisiko bei der Geldübermittlung. Da das Karlsruher Gericht der verbraucherfreundlicheren Ansicht des OLG Schleswig explizit widersprochen hat, herrscht derzeit eine uneinheitliche Rechtsprechung. Sie können sich im Ernstfall nicht darauf verlassen, dass der Rechnungssteller für Sicherheitslücken beim E-Mail-Versand haftet.

Das müssen Sie jetzt tun: Verifizieren Sie bei jeder größeren Überweisung ungewöhnliche oder geänderte Bankverbindungen vorab telefonisch über einen sicheren, bewährten Kanal (etwa die offizielle Servicenummer im Impressum). Verlassen Sie sich niemals blind auf E-Mail-Dokumente und handeln Sie sofort, wenn Ihnen Unregelmäßigkeiten auffallen: Kontaktieren Sie Ihre Bank für eine Rückbuchung und erstatten Sie Anzeige.

Ihre Handlungsoption zur DSGVO-Haftung: Bevor Sie Schadensersatzansprüche nach der DSGVO geltend machen, prüfen Sie genau, wessen Daten manipuliert wurden. Wurden lediglich die Kontodaten des Verkäufers ausgetauscht, sind Ihre eigenen personenbezogenen Daten nicht betroffen – eine datenschutzrechtliche Klage ist dann von vornherein aussichtslos.

Praxis-Hürde: Nachweis des Hack-Sicherheitslecks

Der Erfolg Ihrer Klage hängt in diesen Fällen fast ausschließlich davon ab, ob Sie die genaue Bruchstelle der Kommunikation beweisen können. Sie müssen den Nachweis erbringen, dass der Zugriff der Täter innerhalb der Sphäre des Rechnungsausstellers erfolgte (z. B. durch einen gehackten Mailserver des Verkäufers). Ist der genaue Ort des Datenabgreifens unklar oder geschah dies auf dem Transportweg im Netz, geht dies rechtlich zu Ihren Lasten.


Rechnungsbetrug: Rechtliche Handlungsoptionen prüfen

Wurden Sie Opfer einer manipulierten Rechnung und stehen vor der Herausforderung, Ihr Geld zurückzufordern oder eine Doppelzahlung abzuwenden? Unsere Kanzlei prüft Ihren Sachverhalt auf bestehende Haftungsansprüche und bewertet die prozessualen Erfolgsaussichten gegen den Rechnungssteller. Wir unterstützen Sie dabei, Ihre Rechte gegenüber Banken und Vertragspartnern rechtssicher durchzusetzen.

Jetzt unverbindlich Situation prüfen lassen

Experten Kommentar

Viele Betroffene verschwenden nach dem ersten Schock wertvolle Stunden mit fruchtlosen Vorwürfen gegen den Vertragspartner. In der Realität werden diese Gelder über sogenannte Finanzagenten-Konten blitzschnell ins Ausland transferiert. Wer hier nicht innerhalb der ersten 24 Stunden aktiv reagiert und die eigene IT sowie die Banken einschaltet, kämpft später nur noch um wertlose Titel gegen nicht existierende Täter.

Ich rate in solchen Krisenmomenten dringend zu einem sofortigen, koordinierten Vorgehen. Erstatten Sie unverzüglich Anzeige und informieren Sie sofort Ihre eigene Cyber- oder Haftpflichtversicherung. Nur eine lückenlose, zeitnahe Dokumentation des Kommunikationswegs sichert Ihnen später die Deckung durch den eigenen Versicherer.


Symbolbild für Rechtsfragen (FAQ): Allegorische Justitia mit Waage und Richterhammer.

Häufig gestellte Fragen (FAQ)

Muss ich doppelt zahlen, wenn ich auf ein Konto aus einer gehackten E-Mail überwiesen habe?

JA, Sie müssen den Kaufpreis im Zweifel doppelt zahlen, da eine Überweisung auf ein von Betrügern manipuliertes Konto keine schuldbefreiende Wirkung hat. Gemäß § 362 Abs. 1 BGB erlischt Ihre Zahlungspflicht nur dann, wenn das Geld tatsächlich auf dem korrekten Konto des Gläubigers eingeht. Da der echte Verkäufer den Betrag nie erhalten hat und das gesetzliche Übermittlungsrisiko nach § 270 BGB beim Schuldner liegt, bleibt Ihr Anspruch auf die Ware so lange verwehrt, bis die Zahlung beim richtigen Empfänger verbucht wurde.

Die rechtliche Begründung liegt darin, dass eine Zahlung an einen unbekannten Dritten nur dann als Erfüllung gilt, wenn der Verkäufer Sie ausdrücklich dazu ermächtigt hat, was bei einem Hackerszenario nicht der Fall ist. Wer auf ein gefälschtes Konto überweist, hat seine vertragliche Pflicht nicht erfüllt, weil der Verkäufer keine Verfügungsgewalt über die Mittel erlangt. Der Verkäufer kann daher die Lieferung der Ware rechtmäßig verweigern (Einrede des nicht erfüllten Vertrages), bis er den vereinbarten Betrag auf seinem eigenen Konto verbucht hat. Eine Haftung des Verkäufers für den manipulierten Rechnungsversand käme nur in Betracht, wenn dieser nachweislich seine eigenen IT-Sicherheitspflichten grob verletzt hätte, was in der Praxis oft schwer zu beweisen ist.

Eine seltene Ausnahme von dieser strengen Zahlungspflicht besteht nur dann, wenn Sie mit dem Verkäufer vorab eine ausdrückliche vertragliche Risikoübernahme für den digitalen Rechnungsversand vereinbart haben oder dieser den Betrug durch grobe Fahrlässigkeit in seiner Sphäre erst ermöglicht hat. Ohne eine solche Vereinbarung oder einen gerichtsfesten Nachweis eines Sicherheitslecks beim Absender tragen Sie als Käufer allein das Risiko für Fehler auf dem Übermittlungsweg des Geldes.


Zurück zur FAQ Übersicht

Haftet der Verkäufer für den Schaden, wenn er Rechnungen unverschlüsselt per E-Mail versendet?

NEIN / ES KOMMT DARAUF AN – Eine Haftung des Verkäufers allein wegen des unverschlüsselten E-Mail-Versands besteht grundsätzlich nicht, da im gewöhnlichen Geschäftsverkehr keine generelle gesetzliche Pflicht zur Ende-zu-Ende-Verschlüsselung von Rechnungen gemäß den §§ 280, 241 Abs. 2 BGB anerkannt ist. Eine Haftung setzt regelmäßig voraus, dass im Vorfeld eine verschlüsselte Kommunikation ausdrücklich vertraglich vereinbart wurde oder nachweislich die IT-Systeme des Verkäufers kompromittiert waren.

Die rechtliche Begründung liegt darin, dass der unverschlüsselte Versand an sich noch keine Verletzung einer vertraglichen Schutzpflicht darstellt, solange die Parteien keinen höheren Sicherheitsstandard festgelegt haben. Gerichte werten es zudem als wichtiges Indiz gegen einen Schadensersatzanspruch, wenn der Käufer selbst weiterhin unverschlüsselt kommuniziert, da dies gegen eine objektiv hohe Sicherheitserwartung spricht. Gemäß § 270 Abs. 1 BGB trägt grundsätzlich der Käufer als Schuldner das Übermittlungsrisiko für den Geldbetrag, sodass Manipulationen Dritter auf dem Übertragungsweg rechtlich seiner Sphäre zugerechnet werden.

Eine Ausnahme kann bestehen, wenn nachgewiesen wird, dass der Zugriff der Täter zwingend innerhalb der Sphäre des Rechnungsausstellers, etwa durch einen gehackten Firmen-Mailserver, erfolgte. Da die Rechtsprechung zur Verschlüsselungspflicht (beispielsweise zwischen dem LG Karlsruhe und dem OLG Schleswig) derzeit uneinheitlich ist, sollten Käufer proaktiv in ihren Verträgen oder den AGB des Geschäftspartners nach spezifischen Vereinbarungen zur elektronischen Kommunikation suchen.


Zurück zur FAQ Übersicht

Kann ich Schadensersatz verlangen, wenn das IT-System des Verkäufers offensichtlich gehackt wurde?

ES KOMMT DARAUF AN, ob Sie zweifelsfrei nachweisen können, dass die Sicherheitslücke oder die Manipulation der Rechnungsdaten tatsächlich innerhalb der IT-Infrastruktur des Verkäufers stattgefunden hat. Ein Schadensersatzanspruch wegen der Verletzung von Schutzpflichten gemäß den §§ 280 Abs. 1, 241 Abs. 2 BGB ist rechtlich möglich, scheitert in der Praxis jedoch häufig an der strengen Beweislast des Käufers.

Die rechtliche Schwierigkeit besteht darin, dass der Käufer die sogenannte Beweislast für die Pflichtverletzung trägt und somit die exakte Bruchstelle der Kommunikation substantiiert (detailgenau und belegbar) darlegen muss. Da das gesetzliche Übermittlungsrisiko für Geldzahlungen nach § 270 Abs. 1 BGB grundsätzlich beim Schuldner liegt, geht eine Unklarheit über den Ort des Hackereingriffs zu Ihren Lasten. Wenn nicht ausgeschlossen werden kann, dass der Zugriff auf dem allgemeinen Transportweg im Internet oder innerhalb Ihrer eigenen Systeme erfolgte, besteht kein Anspruch gegen den Verkäufer, da allein der unverschlüsselte Rechnungsversand nach aktueller Rechtsprechung (z. B. LG Karlsruhe, Az. 8 O 266/25) noch keine Haftung begründet.

Um Ihre Chancen zu wahren, sollten Sie den Verkäufer schriftlich zur Auskunft über dessen IT-Sicherheitsprotokolle und bekannte Server-Kompromittierungen auffordern. Ohne ein professionelles IT-Sicherheitsgutachten oder Erkenntnisse aus strafrechtlichen Ermittlungsakten, die den Hack eindeutig der Sphäre des Verkäufers zuordnen, bleibt ein gerichtliches Vorgehen aufgrund der prozessualen Hürden mit einem hohen Kostenrisiko verbunden.


Zurück zur FAQ Übersicht

Habe ich Anspruch auf DSGVO-Schadensersatz, weil meine Rechnungsdaten durch Dritte manipuliert wurden?

NEIN, Sie haben in der Regel keinen Anspruch auf Schadensersatz nach Art. 82 DSGVO, wenn lediglich die Bankverbindung des Rechnungsstellers auf einer Rechnung manipuliert wurde. Ein solcher Anspruch setzt voraus, dass Ihre eigenen personenbezogenen Daten unrechtmäßig verarbeitet wurden, was bei der bloßen Änderung von Unternehmens-Kontodaten durch kriminelle Dritte nicht der Fall ist.

Die rechtliche Begründung liegt im sachlichen Schutzbereich der Datenschutz-Grundverordnung, der sich ausschließlich auf die Daten natürlicher Personen bezieht. Da bei einer Rechnungsfälschung meist nur die Bankverbindung des gewerblichen Verkäufers – also die Daten einer juristischen Person oder eines Unternehmens – ausgetauscht wird, liegt kein Verstoß gegen Ihre persönlichen Datenschutzrechte vor. Zudem scheitern solche Klagen oft an der Beweislast, da der Geschädigte präzise nachweisen müsste, dass das Datenleck ursächlich in der Sphäre des Absenders auftrat und nicht etwa auf dem allgemeinen Übertragungsweg oder im eigenen Postfach.

Eine Ausnahme besteht nur dann, wenn neben den Bankdaten auch Ihre sensiblen Käuferdaten (wie Name, Anschrift oder individuelle Kundennummern) aus einem gehackten System des Verkäufers entwendet wurden. Selbst in diesem Fall muss für einen finanziellen Schadensersatz jedoch eine lückenlose Kausalität zwischen der Datenschutzverletzung und dem eingetretenen Vermögensschaden durch die Fehlüberweisung bestehen.


Zurück zur FAQ Übersicht


Hinweis/Disclaimer: Teile der Inhalte dieses Beitrags, einschließlich der FAQ, wurden unter Einsatz von Systemen künstlicher Intelligenz erstellt oder überarbeitet und anschließend redaktionell geprüft. Die bereitgestellten Informationen dienen ausschließlich der allgemeinen unverbindlichen Information und stellen keine Rechtsberatung im Einzelfall dar und können eine solche auch nicht ersetzen. Trotz sorgfältiger Bearbeitung kann keine Gewähr für Richtigkeit, Vollständigkeit und Aktualität übernommen werden. Die Nutzung der Informationen erfolgt auf eigene Verantwortung; eine Haftung wird im gesetzlich zulässigen Umfang ausgeschlossen.

Wenn Sie einen ähnlichen Fall haben und konkrete Fragen oder Anliegen klären möchten, kontaktieren Sie uns bitte für eine individuelle Prüfung Ihrer Situation und der aktuellen Rechtslage.


Das vorliegende Urteil


LG Karlsruhe – Az.: 8 O 266/25 – Urteil vom 20.05.2026




* Der vollständige Urteilstext wurde ausgeblendet, um die Lesbarkeit dieses Artikels zu verbessern. Klicken Sie auf den folgenden Link, um den vollständigen Text einzublenden.
Ersteinschätzung anfragen: Person tippt auf Smartphone für digitale Anwalts-Ersthilfe.

Jetzt Hilfe vom Anwalt!

Rufen Sie uns an um einen Beratungstermin zu vereinbaren oder nutzen Sie unser Kontaktformular für eine unverbindliche Beratungsanfrage bzw. Ersteinschätzung.

Hinweis: Informationen in unserem Internetangebot dienen ausschließlich Informationszwecken und stellen keine Rechtsberatung dar. Sie können eine individuelle rechtliche Beratung, die die Besonderheiten des jeweiligen Einzelfalls berücksichtigt, nicht ersetzen. Ebenso kann sich die aktuelle Rechtslage durch neue Urteile und Gesetze geändert haben. Teile dieses Beitrags könnten mithilfe von KI-Unterstützung erstellt worden sein, um eine effiziente und präzise Darstellung der Informationen zu gewährleisten. Trotz umfassender Kontrolle können Irrtümer enthalten sein. Für eine rechtssichere Auskunft oder eine persönliche Rechtsberatung kontaktieren Sie uns bitte.

Ratgeber und hilfreiche Tipps unserer Experten.

Lesen Sie weitere interessante Urteile.

Unsere Kontaktinformationen.

Rechtsanwälte Kotz GbR

Siegener Str. 104 – 106
D-57223 Kreuztal – Buschhütten
(Kreis Siegen – Wittgenstein)

Hier finden Sie uns!

Telefon: 02732 791079
(telefonisch werden keine juristischen Auskünfte erteilt!)

Telefax: 02732 791078

E-Mail Anfragen:
info@ra-kotz.de
ra-kotz@web.de

zum Kontaktformular

Ersteinschätzungen nur auf schriftliche Anfrage >>> per Anfrageformular.

Rechtsanwalt Hans Jürgen Kotz
Fachanwalt für Arbeitsrecht

Rechtsanwalt und Notar Dr. Christian Kotz
Fachanwalt für Verkehrsrecht
Fachanwalt für Versicherungsrecht
Notar mit Amtssitz in Kreuztal

Über uns

Bürozeiten:

Montags bis Donnerstags von 8-18 Uhr
Freitags von 8-16 Uhr

Individuelle Terminvereinbarung:
Mo-Do nach 18 Uhr und Samstags möglich.
Wir richten uns flexibel an die Bedürfnisse unserer Mandanten.

Das sagen Kunden über uns
Unsere Social Media Kanäle

 

Kundenbewertungen & Erfahrungen zu Rechtsanwälte Kotz. Mehr Infos anzeigen.

Ersteinschätzung

Wir analysieren für Sie Ihre aktuelle rechtliche Situation und individuellen Bedürfnisse. Dabei zeigen wir Ihnen auf, wie in Ihren Fall sinnvoll, effizient und möglichst kostengünstig vorzugehen ist.

Fragen Sie jetzt unverbindlich nach unsere Ersteinschätzung und erhalten Sie vorab eine Abschätzung der voraussichtlichen Kosten einer ausführlichen Beratung oder rechtssichere Auskunft.

Hinweis: Telefonisch können leider keine Erstanfragen beantwortet werden. Anfragen auf Ersteinschätzung bitte nur über unser Anfrageformular stellen. 

Aktuelle Jobangebote

Jobangebote in der Kanzlei Kotz
Rechtsanwaltsfach-angestellte(r) und Notarfachangestellte(r) (m/w/d)

jetzt bewerben