Das Landgericht (LG) Rostock hatte einen Fall zu entscheiden, der in der Praxis immer häufiger vorkommt: Ein Bauunternehmen zahlte versehentlich auf ein falsches Konto, weil es einer manipulierten E-Mail folgte. Doch wer trägt in einem solchen Fall die Verantwortung? Die Entscheidung des Gerichts gibt wichtige Hinweise zur Haftung bei Zahlungsbetrug durch Phishing.
Der Fall: Eine Rechnung, zwei E-Mails – aber nur eine echte
Die Klägerin, ein Bauunternehmen, hatte mit der Beklagten, ebenfalls ein Bauunternehmen, einen Vertrag über Maler- und Trockenbauarbeiten abgeschlossen. Im Rahmen dieses Vertrags stellte sie eine Abschlagsrechnung über 37.730 Euro, die per E-Mail an die Beklagte verschickt wurde.
Doch hier begann das Problem: Die Beklagte erhielt kurz nach der ersten E-Mail eine weitere Nachricht mit einer optisch nahezu identischen Rechnung – allerdings mit einer abweichenden Bankverbindung. Die Beklagte zahlte den Rechnungsbetrag auf das in der zweiten E-Mail angegebene Konto. Später stellte sich heraus: Die zweite E-Mail war manipuliert, das Geld landete nicht bei der Klägerin, sondern bei Betrügern.
Die Klägerin forderte daraufhin die Zahlung erneut von der Beklagten. Diese weigerte sich und argumentierte, dass sie bereits gezahlt habe und die Klägerin selbst schuld sei, da ihr E-Mail-System offenbar gehackt worden sei.
Das Urteil: Keine Erfüllung durch Zahlung auf falsches Konto
Das LG Rostock gab der Klägerin Recht und verurteilte die Beklagte zur Zahlung der offenen Rechnung. Die zentralen Argumente des Gerichts:
-
Die Zahlung auf ein falsches Konto befreit nicht von der Schuld
Nach § 362 Abs. 1 BGB erlischt eine Forderung nur, wenn die Zahlung an den Gläubiger erfolgt. Da die Überweisung an ein unbefugtes Konto ging, wurde die Schuld der Beklagten nicht erfüllt. -
Keine Pflichtverletzung der Klägerin
Die Beklagte hatte behauptet, das E-Mail-System der Klägerin sei gehackt worden und diese trage daher eine Mitschuld. Doch das Gericht sah das anders: Es konnte nicht bewiesen werden, dass die Klägerin fahrlässig gehandelt oder ihr IT-System unzureichend gesichert hatte. -
Eigene Sorgfaltspflichten der Beklagten verletzt
Entscheidend war, dass die Beklagte die betrügerische E-Mail hätte erkennen können. Mehrere Hinweise sprachen dafür:- Die Bankverbindung hatte sich im Vergleich zu früheren Zahlungen geändert.
- Die manipulierte E-Mail enthielt Formatierungsfehler, z. B. fehlerhafte Umlaute.
- Die neue Bankverbindung führte zu einer ausländischen Bank.
Nach Ansicht des Gerichts hätte die Beklagte bei solch auffälligen Abweichungen Rücksprache mit der Klägerin halten müssen, bevor sie die Zahlung veranlasste. Da sie dies unterließ, trug sie die Verantwortung für die Fehlüberweisung.
-
Kein „dolo-agit“-Einwand
Die Beklagte hatte sich zudem auf den Rechtsgrundsatz „dolo agit, qui petit, quod statim redditurus est“ berufen, also dass niemand eine Zahlung verlangen kann, die er sofort zurückgeben müsste. Dies setzte aber voraus, dass die Klägerin eine eigene Pflichtverletzung begangen hätte, die zu einem Schadensersatzanspruch der Beklagten geführt hätte. Da dies nicht der Fall war, ging der Einwand ins Leere.
Fazit: Wer zahlt, muss prüfen
Das Urteil verdeutlicht: Unternehmen müssen bei ungewöhnlichen Änderungen in Zahlungsanweisungen besonders vorsichtig sein. Eine einfache Überprüfung, etwa ein kurzer Anruf beim Vertragspartner, hätte den Betrug verhindern können. Wer solche Warnzeichen ignoriert und leichtfertig auf ein anderes Konto zahlt, bleibt im Zweifel auf dem Schaden sitzen.
Das Oberlandesgericht Schleswig-Holstein sah dies aber anders.