Manipulierte Rechnung in E-Mail
In der Praxis werden Rechnungen für Dienstleistungen oder Werkleistungen von Betrieben oftmals als pdf-Anhang einer E-Mail versendet. Allerdings zeigt ein aktueller Fall des Oberlandesgerichts Schleswig (vgl. Urteil v. 18.12.2024, Az.: 12 U 9/24), dass die Unternehmen hierbei Vorsicht walten lassen müssen.
Im konkreten Fall hatten Cyber-Kriminelle eine E-Mail mit Rechnung im PDF-Anhang eines SHK-Betriebs gehackt und die in der Rechnung enthaltenen Kontodaten verändert. Es handelte sich dabei um eine Schlussrechnung mit einem Rechnungsbeitrag in Höhe von 15.000 Euro. Der Kunde überwies den Rechnungsbetrag auf das geänderte Konto der Cyber-Kriminellen.
Nachdem der Betrieb keinen Zahlungseingang verbuchen konnte, kam es zum Rechtsstreit zwischen dem Betrieb und dem Kunden, ob eine weitere Zahlung durch den Kunden zu veranlassen ist.
Das Gericht entschied, dass der Kunde keine erneute Zahlung vornehmen musste.
Insoweit wurde festgestellt, dass die vom Betrieb gewählte Rechnungsübermittlungsart die notwendigen Sicherheitsvorkehrungen habe vermissen lassen. Das Gericht führte aus, dass die Transportverschlüsselung, die das Unternehmen beim Versand der Mail in Form von SMTP über TLS verwendete, unzureichend gewesen sei. Insbesondere genüge dies nicht für einen „geeigneten“ Schutz im Sinne der Datenschutzgrundverordnung (DSGVO). Geht man davon aus, dass es sich bei Konto- und Adressdaten im Rechnungskontext um sensible oder persönliche Inhalte handele, komme bei der Übermittlung nur eine Ende-zu-Ende-Verschlüsselung in Betracht, wenn durch Verfälschung der angehängten Rechnung für den Kunden ein hohes finanzielles Risiko besteht. Ein durchsetzbarer Vergütungsanspruch des SHK-Betriebs wurde daher verneint.
SHK-Betrieben ist daher angeraten, dass sie ihre Rechnungen im E-Mail-Verkehr nur Ende-zu-Ende-verschlüsselt verschicken oder per Post, um nicht Gefahr zu laufen ihren Vergütungsanspruch zu verlieren.
