Phishing-Falle kostet Firma 37.000 Euro

Ein falscher Klick – und mehrere Zehntausend Euro sind weg: Ein aktuelles Urteil des Landgerichts Rostock vom 20. November 2024 (Az.: 2 O 450/24) hat klargestellt, wer bei einer Phishing-Attacke mit manipulierten E-Mails haftet. Das Gericht entschied, dass der Empfänger einer gefälschten Rechnung weiterhin zur Zahlung verpflichtet ist, wenn er auf ein falsches Konto überweist, obwohl Anzeichen für eine Fälschung erkennbar waren.

Der Fall im Überblick

Ein Bauunternehmen (Klägerin) hatte mit einer anderen Firma (Beklagte) einen Vertrag über Maler- und Trockenbauarbeiten abgeschlossen. Die Klägerin versandte eine Abschlagsrechnung per E-Mail. Kurz darauf erhielt die Beklagte eine nahezu identische E-Mail mit einer gefälschten Rechnung, in der die Bankverbindung manipuliert war. Die Beklagte überwies rund 37.730 Euro auf das in der gefälschten E-Mail angegebene Konto.

Da das Bauunternehmen das Geld nicht erhielt, forderte es die Zahlung erneut. Die Beklagte weigerte sich und argumentierte, sie sei Opfer eines Phishing-Angriffs geworden und habe ihre Schuld durch die Überweisung bereits beglichen.

Gericht: Zahlung auf falsches Konto befreit nicht von Zahlungspflicht

Das Gericht folgte dieser Argumentation, wie Heise berichtet, jedoch nicht. Es stellte klar, dass eine Zahlung gemäß nur dann schuldbefreiend wirkt, wenn sie an den tatsächlichen Gläubiger erfolgt. Da die Überweisung auf ein unbefugtes Konto getätigt wurde, sei die Forderung nicht erloschen.

Zudem sah das Gericht keine Pflichtverletzung aufseiten des Bauunternehmens. Die Beklagte hatte behauptet, dessen E-Mail-System sei kompromittiert worden, konnte dafür jedoch keine stichhaltigen Beweise vorlegen. Vielmehr sah das Gericht bei der Beklagten eine Verletzung eigener Sorgfaltspflichten: Die E-Mail wies mehrere Auffälligkeiten auf – unter anderem eine neue Bankverbindung, Formatierungsfehler und die Verwendung eines ausländischen Bankkontos. Angesichts dieser Merkmale hätte die Beklagte nach Ansicht des Gerichts Rücksprache mit dem Absender halten müssen, bevor sie die Zahlung veranlasste.

Fazit

Das Urteil des Landgerichts Rostock verdeutlicht, dass Empfänger von Rechnungen verpflichtet sind, bei Unstimmigkeiten sorgfältig zu prüfen und gegebenenfalls Rücksprache zu halten. Online-Händler:innen sollten daher ihre Kommunikations- und Sicherheitsstandards überprüfen und gegebenenfalls anpassen, um sich und ihre Kunden vor Phishing-Angriffen zu schützen.

Artikelbild: http://www.depositphotos.com