Wer haftet, wenn Zahlungen auf ein falsches Konto gehen? In einer aktuellen Entscheidung hatte sich der OGH mit einem Fall zu befassen, in dem ein Dritter mittels einer gefälschten E-Mail – im Wege des sogenannten E-Mail-Spoofings – eine falsche Kontoverbindung übermittelte und der Schuldner daraufhin auf dieses Konto überwies.
Die Klägerin, ein französisches Unternehmen, schloss mit der Beklagten, einem österreichischen Unternehmen, einen Vertrag über die Lieferung von Waren. Auf den Rechnungen des französischen Unternehmens war zwar eine französische Kontoverbindung angegeben, jedoch scheiterte die Überweisung. Eine Nachfrage durch die Beklagte ergab, dass es sich um die richtigen Kontodaten handle. Wenig später erhielt die österreichische Beklagte eine E-Mail, die vermeintlich von der Klägerin stammte, mit der Aufforderung, den Rechnungsbetrag auf ein anderes, nunmehr deutsches, Konto zu überweisen. Da der Name des neuen Empfängers nicht mit dem der Klägerin übereinstimmte, fragte die Beklagte per E-Mail nach. Die Antwort lautete, es sei egal, welchen Empfängernamen man bei der Überweisung angebe. Die Überweisung scheiterte erneut und der Beklagten wurde in einer weiteren, vermeintlich von der Klägerin stammenden, E-Mail erklärt, dass es wegen eines Fehlers zu einer Rücküberweisung gekommen sei. Gleichzeitig wurde ihr eine belgische Kontoverbindung übermittelt, auf die die Beklagte dann erfolgreich überwies. Tatsächlich handelte es sich aber um einen „E-Mail-Spoofing“-Angriff unbekannter Dritter. Die Beklagte überwies also auf ein Betrügerkonto. Als die französische Klägerin später Zahlung auf das ursprünglich vereinbarte Konto verlangte, verweigerte die Beklagte dies mit dem Hinweis, sie habe bereits geleistet.
E-Mail-Spoofing ist eine Methode, bei der der Absender einer E-Mail gefälscht wird, um den Empfänger über die wahre Identität des Versenders zu täuschen. Ziel solcher Angriffe kann es sein, den Empfänger dazu zu bringen, auf einen Link zu klicken, einen Anhang zu öffnen oder Geld an Betrüger zu überweisen, indem Rechnungen mit gefälschten Kontodaten verschickt werden. Der OGH (Oberste Gerichtshof) sah sich mit der wesentlichen Rechtsfrage konfrontiert, wer das Risiko einer durch Betrüger fehlgeleiteten Zahlung zu tragen hat.
Das Erst- und Berufungsgericht entschieden zunächst zugunsten der Klägerin: Die österreichische Beklagte habe rechtlich nie auf ein Konto der Klägerin eingezahlt und trage gemäß § 907a Abs 2 letzter Satz ABGB das Risiko des Verlusts des Geldbetrags, da die Bankverbindung nicht durch die Klägerin geändert worden war. Es würde die vertragliche Sorgfaltspflicht überspannen, müsste die Klägerin alle erdenklichen Betrugswege in ihrem Computer- und E-Mail-System verhindern. Die Klägerin könne, vereinfacht gesagt, nichts dafür. Der Oberste Gerichtshof (OGH) stellte klar, dass der Klägerin die Änderung der Kontoverbindung nicht zugerechnet werden könne, da die betrügerische E-Mail von einem Dritten stamme. Eine analoge Zurechnung nach § 863 ABGB scheide aus, da keine zurechenbare Rechtsscheinlage für eine Anscheinsvollmacht vorliegt. Bezüglich der Gefahrtragung betonte der OGH, dass bei einer Bringschuld die Zahlung des Schuldners erst mit Zugang beim Gläubiger oder auf dessen Konto als erbracht gelte. Die Ausnahme des § 907a Satz 2 ABGB gelte nur bei tatsächlicher Kontoänderung durch den Gläubiger. Auch eine mögliche technische Nachlässigkeit der Klägerin beim Schutz vor Betrugsangriffen begründe keine Sittenwidrigkeit oder Treuwidrigkeit der Forderung. Die Beklagte durfte sich daher auf das ursprünglich vereinbarte und auf den Rechnungen der Klägerin angegebene Konto verlassen.
Diese Entscheidung macht deutlich, dass ungewöhnliche Zahlungsaufforderungen – insbesondere mit abweichendem Kontoinhaber, Auslandskonto oder fehlender Signatur – kritisch zu hinterfragen sind und im Zweifelsfall Rücksprache mit dem Vertragspartner gehalten werden sollte, bevor Zahlungen geleistet werden.
OGH 14.01.2025, 8Ob121/24p
12.03.2025