Wer trägt den Schaden bei einer Überweisung auf das Konto des Betrügers?

Ein Parallelfall zum Urteil des  OLG Schleswig vom 18. Dezember 2024 – 12 U 9/24 – und die neue Bedeutung der Empfängerüberprüfung bei Banküberweisungen.

 

Die Rechnung sieht echt aus. Absender, Auftragsdaten, Rechnungsbetrag und Leistungsbeschreibung stimmen. Nur die IBAN ist falsch. Der Kunde überweist beispielsweise einen Abschlag von 18.000 Euro für eine Solaranlage auf das in der Rechnung angegebene Konto. Wenige Tage später meldet sich das Solarunternehmen: Das Geld sei nicht angekommen. Unbekannte hätten offenbar die Rechnung oder den E-Mail-Verkehr manipuliert.

Wer trägt in einem solchen Fall die 18.000 Euro?

Die zunächst überraschende Antwort lautet: Die Tatsache, dass der Kunde gutgläubig auf die ihm übersandte Rechnung gezahlt hat, erfüllt die Forderung des Unternehmers grundsätzlich noch nicht. Ob der Kunde trotzdem nicht ein zweites Mal zahlen muss, entscheidet sich vielmehr nach der Verantwortlichkeit für die Manipulation, den Sicherheitsmaßnahmen des Unternehmers und inzwischen zusätzlich danach, welche Empfängerüberprüfung die Bank vor Ausführung der Überweisung vorgenommen hat.

Ausgangspunkt der rechtlichen Diskussion ist das Urteil des Schleswig-Holsteinischen Oberlandesgerichts vom 18. Dezember 2024 – 12 U 9/24. Die Entscheidung hat die Risikoverteilung bei manipulierten Rechnungen erheblich verändert.

Der Fall des OLG Schleswig

Ein Unternehmen für Haustechnik hatte Installationsarbeiten für eine private Auftraggeberin erbracht. Zwei Abschlagsrechnungen wurden ordnungsgemäß per E-Mail übersandt und bezahlt. Anschließend versandte das Unternehmen auch die Schlussrechnung als PDF-Anhang einer E-Mail.

Diese Rechnung wurde auf ungeklärte Weise von einem Dritten manipuliert. Die Bankverbindung des Unternehmens wurde durch eine andere Kontoverbindung ersetzt. Die Kundin bemerkte die Manipulation nicht und überwies den Rechnungsbetrag von 14.924,20 Euro auf das Konto des unbekannten Dritten.

Das Unternehmen verlangte daraufhin erneut Zahlung.

Das Landgericht Kiel gab ihm zunächst Recht. Das OLG Schleswig änderte das Urteil jedoch ab und wies die Zahlungsklage ab.

Die juristische Konstruktion des OLG ist bemerkenswert: Es hat nicht angenommen, dass die Überweisung auf das Betrügerkonto die Werklohnforderung erfüllt habe. Stattdessen nahm es einen Schadensersatzanspruch der Kundin gegen das Unternehmen in entsprechender Höhe an, den sie der weiterhin bestehenden Werklohnforderung entgegenhalten konnte.

Zahlung auf das Betrügerkonto ist grundsätzlich keine Erfüllung

Zunächst gilt der allgemeine Grundsatz des § 362 Abs. 1 BGB: Eine Forderung erlischt, wenn die geschuldete Leistung an den Gläubiger bewirkt wird.

Bei einer Überweisung bedeutet dies grundsätzlich, dass der Betrag auf einem Konto des Gläubigers gutgeschrieben werden muss und diesem zur Verfügung steht.

Wird dagegen aufgrund einer manipulierten Rechnung auf das Konto eines unbekannten Dritten überwiesen, erhält der Gläubiger gerade keine Zahlung. Die Leistung an den Betrüger ist grundsätzlich weder eine Leistung an den Gläubiger noch an einen von ihm zum Empfang ermächtigten Dritten.

Das OLG Schleswig bestätigt deshalb ausdrücklich:

Die Zahlung auf das manipulierte Konto hatte die Werklohnforderung nicht nach § 362 BGB zum Erlöschen gebracht.

Das ist für die rechtliche Einordnung entscheidend. Es ist ungenau zu sagen, der Kunde habe seine Rechnung bereits „bezahlt“. Er hat Geld überwiesen – aber zunächst nicht an seinen Gläubiger.

Die eigentliche Frage lautet daher, ob der Kunde seinerseits gegen den Unternehmer einen Schadensersatzanspruch in Höhe des verlorenen Betrages besitzt.

Schadensersatz wegen unzureichender Sicherung des Rechnungsversands

Genau dies hat das OLG Schleswig bejaht.

Das Unternehmen hatte seine Rechnung lediglich mittels einer sogenannten Transportverschlüsselung über TLS versandt. Dabei ist die Kommunikation auf einzelnen Transportwegen zwischen den beteiligten Servern verschlüsselt. Die Nachricht selbst ist jedoch nicht zwingend über den gesamten Weg vom Absender bis zum Empfänger so geschützt, dass sie ausschließlich vom vorgesehenen Empfänger entschlüsselt werden kann.

Das OLG Schleswig hielt dieses Sicherheitsniveau bei einer Rechnung mit erheblichem finanziellen Risiko nicht für ausreichend.

Maßgebend waren Art. 5, 24 und 32 DSGVO. Das Gericht argumentierte, ein Unternehmen, das personenbezogene Daten seiner Kunden elektronisch verarbeitet und Rechnungen per E-Mail versendet, müsse technische und organisatorische Maßnahmen treffen, die dem konkreten Risiko angemessen seien. Gerade die Manipulation einer Rechnung könne erhebliche Vermögensschäden verursachen. Bei einem entsprechenden Risiko könne deshalb eine Ende-zu-Ende-Verschlüsselung erforderlich sein.

Das Gericht sprach der Kundin deshalb einen Schadensersatzanspruch aus Art. 82 DSGVO in Höhe des fehlgeleiteten Betrages zu.

Die Folge war wirtschaftlich eindeutig:

Der Werklohnanspruch bestand zwar fort. Der Unternehmer hätte den erhaltenen Betrag wegen seines Schadensersatzanspruchs jedoch unmittelbar wieder an die Kundin herausgeben müssen. Einer solchen Forderung steht nach § 242 BGB der Grundsatz „dolo agit, qui petit, quod statim redditurus est“ entgegen – niemand kann etwas verlangen, was er unmittelbar wieder zurückgewähren müsste.

Die Kundin musste deshalb nicht ein zweites Mal zahlen.

Das Urteil ist kein allgemeiner Grundsatz, dass immer der Rechnungssteller haftet

Die Entscheidung darf allerdings nicht überinterpretiert werden.

Bereits das OLG Karlsruhe hatte mit Urteil vom 27. Juli 2023 – 19 U 83/22 – einen vergleichbaren Sachverhalt anders beurteilt. Dort war eine zweite, manipulierte E-Mail von der E-Mail-Adresse des Verkäufers eingegangen. Diese enthielt jedoch zahlreiche Auffälligkeiten: eine geänderte Kontoverbindung, sprachliche Unstimmigkeiten, widersprüchliche Bankangaben und als Kontoinhaber eine natürliche Person, die mit dem Unternehmen erkennbar nichts zu tun hatte.

Das OLG Karlsruhe verurteilte den Käufer zur erneuten Zahlung von 13.500 Euro. Es stellte zugleich einen wichtigen Grundsatz auf: Verletzt der Gläubiger Sicherheitsvorkehrungen beim elektronischen Rechnungsversand, kann zwar ein Schadensersatzanspruch des Kunden entstehen. Welche Sicherheitsmaßnahmen erforderlich sind, richtet sich aber nach den berechtigten Sicherheitserwartungen des Verkehrs unter Berücksichtigung ihrer Zumutbarkeit.

Damit rückt die konkrete Erkennbarkeit des Betrugs in den Mittelpunkt.

Der Solarfall

Übertragen auf eine Abschlagsrechnung über 18.000 Euro für eine Solaranlage ergibt sich damit folgende Ausgangslage:

Erhält der Kunde von dem scheinbar bekannten E-Mail-Konto des Solarunternehmens eine in allen wesentlichen Einzelheiten authentisch wirkende Rechnung, die lediglich eine manipulierte IBAN enthält, und überweist er den Rechnungsbetrag auf dieses Konto, ist zunächst keine Erfüllung gegenüber dem Solarunternehmen eingetreten.

Ob der Kunde nochmals zahlen muss, hängt aber insbesondere davon ab,

• ob das tatsächliche E-Mail-Konto oder IT-System des Solarunternehmens kompromittiert wurde,

• welche Sicherheitsmaßnahmen dort bestanden,

• ob die manipulierte Rechnung personenbezogene Daten des Kunden enthielt,

• ob konkrete Hinweise auf die Manipulation bestanden,

• ob eine neue oder ungewöhnliche Kontoverbindung verwendet wurde,

• ob bereits frühere Rechnungen mit einer anderen IBAN vorlagen und

• wie die Bank die seit Oktober 2025 vorgeschriebene Empfängerüberprüfung durchgeführt hat.

Der letzte Punkt verändert die Rechtslage für aktuelle Fälle erheblich.

Seit Oktober 2025: Empfängerüberprüfung vor der Überweisung

Seit dem 9. Oktober 2025 müssen Zahlungsdienstleister im Euroraum grundsätzlich vor SEPA-Überweisungen – nicht nur vor Echtzeitüberweisungen – eine Empfängerüberprüfung oder „Verification of Payee“ (VoP) durchführen.

Grundlage ist insbesondere Art. 5c der durch die Verordnung (EU) 2024/886 geänderten SEPA-Verordnung.

Dabei wird geprüft, ob der vom Zahler eingegebene Name des Zahlungsempfängers zu dem Kontoinhaber der angegebenen IBAN passt. Das Ergebnis muss dem Kunden vor der Autorisierung der Überweisung mitgeteilt werden.

Die Prüfung kann vereinfacht zu vier unterschiedlichen Ergebnissen führen:

Übereinstimmung: Name und IBAN passen zusammen.

Geringfügige Abweichung: Es besteht ein sogenannter „Close Match“; beispielsweise unterscheiden sich Schreibweise, Firmenzusatz oder einzelne Buchstaben.

Keine Übereinstimmung: Die eingegebene Empfängerbezeichnung passt nicht zu dem Kontoinhaber der angegebenen IBAN.

Überprüfung nicht möglich: Die Bank kann aus technischen oder sonstigen Gründen kein belastbares Ergebnis liefern.

Die Bundesbank weist ausdrücklich darauf hin, dass geringfügige Abweichungen etwa dadurch entstehen können, dass bei einem Unternehmen nicht exakt die hinterlegte Firma eingegeben wird. Die Empfängerüberprüfung ist damit keine fehlerfreie Identitätsfeststellung, sondern ein zusätzliches Sicherungsinstrument.

Führt ein Warnhinweis automatisch zu Mitverschulden?

Nein.

Auch nach Einführung der Empfängerüberprüfung gibt es keinen Rechtssatz, wonach der Kunde bei jeder Warnmeldung den Schaden allein tragen müsste.

Für die Auseinandersetzung zwischen Unternehmer und Kunde ist vielmehr § 254 BGB maßgebend. Danach hängt der Umfang des Schadensersatzes davon ab, inwieweit der Schaden überwiegend von dem einen oder dem anderen Teil verursacht wurde.

Ein vollständiger Match spricht erheblich gegen ein Mitverschulden des Kunden. Wer vom eigenen Kreditinstitut vor der Freigabe die Information erhält, Name und IBAN stimmten überein, hat grundsätzlich zusätzlichen Anlass, die Rechnung für authentisch zu halten.

Bei einem Close Match wird ebenfalls regelmäßig nicht allein daraus eine erhebliche Sorgfaltspflichtverletzung folgen können. Gerade bei Unternehmensnamen können Rechtsformzusätze, Abkürzungen und unterschiedliche Schreibweisen Abweichungen verursachen.

Auch die Meldung „Überprüfung nicht möglich“ besagt noch nicht, dass die IBAN falsch ist. Sie warnt lediglich davor, dass die Bank keine verlässliche Prüfung durchführen konnte.

Anders liegt der Fall bei einem ausdrücklichen „No Match“. Teilt die Bank dem Kunden unmittelbar vor einer Überweisung über 18.000 Euro eindeutig mit, dass der eingegebene Name des Solarunternehmens nicht zu dem Kontoinhaber der angegebenen IBAN passt, und führt der Kunde die Überweisung dennoch ohne Rückfrage aus, liegt ein erhebliches Mitverschuldensargument nahe.

Aber auch hier beträgt das Mitverschulden nicht automatisch 50 Prozent oder gar 100 Prozent. Es bleibt eine Gesamtwürdigung erforderlich.

War beispielsweise das tatsächliche E-Mail-Konto des Solarunternehmens gehackt, enthielt die Nachricht richtige Auftrags-, Kunden- und Rechnungsdaten und hatte das Unternehmen elementare IT-Sicherheitsmaßnahmen versäumt, steht diesem Verursachungsbeitrag möglicherweise ein eigener Sorgfaltsverstoß des Kunden gegenüber. Dann ist nach § 254 BGB abzuwägen.

Eine gefestigte obergerichtliche Rechtsprechung zur konkreten Quotierung des Mitverschuldens aufgrund einer seit Oktober 2025 angezeigten VoP-Warnmeldung hat sich wegen der Neuheit des Systems bislang noch nicht herausgebildet.

Die Empfängerüberprüfung muss im Streitfall konkret bewiesen werden

Von erheblicher praktischer Bedeutung ist deshalb eine Frage, die häufig übersehen wird: Was wurde dem Kunden tatsächlich angezeigt?

Es genügt im Prozess nicht ohne Weiteres, abstrakt darauf hinzuweisen, seit Oktober 2025 gebe es eine Empfängerüberprüfung.

Entscheidend ist der konkrete Zahlungsvorgang.

Festzustellen sind insbesondere der eingegebene Empfängername, die IBAN, Zeitpunkt und Ergebnis der VoP-Abfrage sowie der Warnhinweis, der dem Kunden vor der Autorisierung tatsächlich angezeigt wurde.

Gerade zwischen den Meldungen

„Name stimmt nicht mit dem Kontoinhaber überein“

und

„Empfänger konnte nicht überprüft werden“

liegt haftungsrechtlich ein erheblicher Unterschied.

Deshalb sollten nach Bekanntwerden des Betrugs unverzüglich die bei der Bank vorhandenen technischen Daten gesichert werden. Dazu gehören insbesondere VoP-Anfrage und -Antwort, Ergebniscode, Zeitstempel, eingegebener Empfängername, verwendete IBAN, Wortlaut beziehungsweise Kategorie der dem Kunden angezeigten Meldung und die anschließende Autorisierung.

Die Verordnung selbst geht davon aus, dass die Empfängerüberprüfung gerade vor der Autorisierung erfolgt. Führt ein Zahlungsdienstleister die Prüfung nicht ordnungsgemäß durch und führt dies zu einer Fehlüberweisung, sieht das Unionsrecht zudem eine eigenständige Verantwortlichkeit des Zahlungsdienstleisters vor. Umgekehrt soll die Bank grundsätzlich nicht für die Verwendung einer falschen IBAN haften, wenn die Empfängerüberprüfung korrekt durchgeführt und eine entsprechende Warnung vom Kunden ignoriert wurde.

Damit kann im Einzelfall neben das Verhältnis zwischen Solarunternehmen und Kunden noch ein drittes Haftungsverhältnis treten: dasjenige zwischen Kunde und Bank.

Drei unterschiedliche Risikosphären müssen getrennt werden

Bei manipulierten Online-Rechnungen sollte deshalb nicht vorschnell gefragt werden: „Wer ist schuld?“ Juristisch sind vielmehr drei Risikosphären getrennt zu untersuchen.

Erstens die Sphäre des Rechnungsausstellers.
Wurde sein E-Mail-Account kompromittiert? Waren Passwörter, Zwei-Faktor-Authentifizierung, Mailserver, Rechnungssoftware und interne Prozesse angemessen geschützt? War erkennbar, dass Kunden bei Manipulation erhebliche Beträge verlieren konnten?

Zweitens die Sphäre des Kunden.
War die Rechnung plausibel? Stimmten Absender und bisherige Kommunikation? War die Bankverbindung bereits bekannt? Wurde plötzlich ein neues Konto mitgeteilt? Gab es sprachliche oder optische Auffälligkeiten? Und insbesondere: Welche Meldung erhielt der Kunde bei der Empfängerüberprüfung?

Drittens die Sphäre der Bank.
Wurde die vorgeschriebene Empfängerüberprüfung überhaupt durchgeführt? War das Ergebnis technisch zutreffend? Wurde es vor der Autorisierung eindeutig mitgeteilt? Oder erhielt der Kunde trotz tatsächlich abweichenden Kontoinhabers eine positive Übereinstimmungsanzeige?

Erst die Zusammenschau dieser drei Ebenen ermöglicht eine belastbare Haftungsentscheidung.

Fazit

Das Urteil des OLG Schleswig vom 18. Dezember 2024 hat einen wichtigen Grundsatz herausgearbeitet: Das Risiko einer manipulierten elektronischen Rechnung liegt nicht automatisch beim Kunden, nur weil dieser die falsche IBAN eingegeben und die Überweisung selbst autorisiert hat.

Zwar bewirkt die Zahlung auf das Betrügerkonto grundsätzlich keine Erfüllung der Forderung. Hat jedoch der Rechnungsaussteller durch unzureichende Sicherheitsmaßnahmen die Manipulation ermöglicht oder nicht ausreichend verhindert, kann ihm ein Schadensersatzanspruch des Kunden in gleicher Höhe entgegenstehen.

Für Überweisungen seit dem 9. Oktober 2025 kommt mit der verpflichtenden Empfängerüberprüfung ein neuer, möglicherweise entscheidender Faktor hinzu.

Sie verschiebt das Risiko aber nicht automatisch auf den Kunden. Entscheidend bleibt, was die Bank konkret geprüft und vor der Überweisung tatsächlich angezeigt hat. Ein eindeutiges „No Match“, das der Kunde bei einer fünfstelligen Zahlung ignoriert, kann ein erhebliches Mitverschulden begründen. Ein „Close Match“, eine technisch nicht mögliche Prüfung oder gar eine bestätigte Übereinstimmung haben eine wesentlich andere Qualität.

Für den Rechtsstreit über eine manipulierte Rechnung gehört deshalb heute neben der Original-E-Mail einschließlich Headerdaten, der ursprünglichen und manipulierten Rechnung sowie den Sicherheitsmaßnahmen des Rechnungsstellers zwingend auch die technische Dokumentation der Empfängerüberprüfung zur Beweissicherung.

Gerade bei einer Zahlung von 18.000 Euro kann diese eine einzige Meldung im Online-Banking darüber entscheiden, ob der Kunde den Schaden vollständig ersetzt verlangen kann, ob eine Haftungsteilung nach § 254 BGB erfolgt oder ob er den Betrag tatsächlich ein zweites Mal an den Unternehmer zahlen muss.