Wird eine per E-Mail übermittelte Bankverbindung durch einen „Man-in-the-Middle-Angriff“ manipuliert und überweist der Käufer den Kaufpreis daraufhin auf das Konto der Betrüger, tritt grundsätzlich keine Erfüllung der Kaufpreisforderung ein. Eine Haftung des Verkäufers kommt nur in Betracht, wenn ihm ein pflichtwidriges Verhalten anzulasten ist, das den Schaden verursacht oder mitverursacht hat.
Wer aufgrund einer manipulierten E-Mail den Kaufpreis an Betrüger statt an den Verkäufer überweist, muss unter Umständen ein zweites Mal zahlen. Entscheidend ist hierbei, dass sich nicht feststellen lässt, dass der Verkäufer den erfolgreichen Betrug durch unzureichende Sicherheitsmaßnahmen ermöglicht oder mitverursacht hatte.
Ausgangspunkt des aktuell vom Oberlandesgerichts Oldenburg entschiedenen Rechtsstreits war der Kauf eines gebrauchten Pkw Ende 2024. Der Käufer hatte das Fahrzeug bei einem Autohaus im Raum Oldenburg für knapp 17.000 € erworben. Einige Tage nach Vertragsschluss bat seine Tochter das Autohaus per E-Mail um Mitteilung der Kontodaten, damit ihr Vater den Kaufpreis überweisen könne. In die anschließende Kommunikation schalteten sich unbekannte Täter ein. Im Rahmen eines sogenannten „Man-in-the-Middle-Angriffs“ wurde die E-Mail-Kommunikation abgefangen und manipuliert. Eine Nachricht wurde von einer E-Mail-Adresse, die nicht der Tochter des Käufers gehörte, an das Autohaus weitergeleitet. Das Autohaus antwortete darauf und übersandte seine Bankverbindung in einem PDF-Anhang. Die Täter änderten die darin enthaltene IBAN, bevor die Nachricht die Tochter des Käufers erreichte. Der Käufer überwies die knapp 17.000 € daraufhin auf das Konto der Betrüger. Von dort wurde das Geld unmittelbar ins Ausland transferiert. Das Autohaus übergab dem Käufer anschließend wie vereinbart das Fahrzeug. Erst später stellte sich heraus, dass der Kaufpreis nicht auf dem Konto des Verkäufers eingegangen war. Das Autohaus verlangte daraufhin erneut Zahlung.
Das erstinstanzlich hiermit befasste Landgericht Oldenburg gab der Klage mit Urteil vom 21. November 2025 statt. Die Überweisung auf das Konto der Betrüger habe die Kaufpreisforderung nicht erfüllt. Der Umstand, dass der Käufer gutgläubig davon ausgegangen sei, auf die ihm mitgeteilte Bankverbindung des Autohauses zu zahlen, ändere daran nichts.
Auch mit seinem Einwand, das Autohaus habe den Betrug durch unzureichende Sicherheitsmaßnahmen ermöglicht und handele deshalb rechtsmissbräuchlich, konnte sich der Käufer nicht durchsetzen. Nach den Ermittlungen war die E-Mail während der Übertragung abgefangen und verändert worden. Anhaltspunkte dafür, dass die Computersysteme des Autohauses kompromittiert worden waren, bestanden dagegen nicht. Besondere Sicherheitsvorkehrungen für die Kommunikation per E-Mail hatten die Parteien ebenfalls nicht vereinbart. Einen vom Käufer geltend gemachten Verstoß gegen die Datenschutz-Grundverordnung sah das Landgericht ebenfalls nicht.
Dem Autohaus konnte nach Auffassung des Landgerichts auch nicht entgegengehalten werden, dass es das Fahrzeug herausgegeben hatte, ohne zuvor den tatsächlichen Eingang des Kaufpreises zu überprüfen. Eine solche Kontrolle diene in erster Linie dem eigenen Schutz des Verkäufers. Unterlasse er sie, begründe dies daher nicht ohne Weiteres eine Haftung gegenüber dem Käufer.
Das Oberlandesgericht Oldenburg bestätigte diese Beurteilung im Berufungsverfahren:
Der Kaufpreisanspruch sei durch die Überweisung an die unbekannten Täter nicht erloschen. Zugleich stehe dem Käufer kein Schadensersatzanspruch gegen das Autohaus zu, den er der Kaufpreisforderung entgegenhalten könnte. Dabei stellte das Oberlandesgericht insbesondere darauf ab, dass die Tochter des Käufers selbst den Kommunikationsweg per E-Mail gewählt hatte, indem sie das Autohaus ausdrücklich aufgefordert hatte, die Kontodaten auf diesem Weg zu übermitteln.
Damit trägt im konkreten Fall der Käufer das Risiko des fehlgeleiteten Geldes. Er muss den Kaufpreis von knapp 17.000 € erneut an das Autohaus zahlen. Die Entscheidung ist rechtskräftig.
Bedeutung für die Praxis
Die Entscheidung verdeutlicht die erheblichen zivilrechtlichen Risiken manipulierter Zahlungsanweisungen im elektronischen Geschäftsverkehr. Die gutgläubige Überweisung auf ein von Betrügern eingeschleustes Konto befreit den Schuldner grundsätzlich nicht von seiner Zahlungspflicht, weil die geschuldete Leistung den Gläubiger nicht erreicht. Das wirtschaftliche Verlustrisiko liegt damit zunächst beim Zahlenden. Eine Verlagerung dieses Risikos auf den Zahlungsempfänger setzt konkrete Anhaltspunkte für eine Pflichtverletzung voraus, etwa wenn dessen IT-Systeme unzureichend gesichert sind oder vereinbarte Sicherheitsvorkehrungen missachtet werden. Für die Praxis empfiehlt es sich daher insbesondere bei höheren Beträgen, erstmals oder kurzfristig geänderte Bankverbindungen über einen zweiten, unabhängigen Kommunikationsweg zu verifizieren. Zugleich zeigt die Entscheidung, dass aus der bloßen Nutzung von E-Mail-Kommunikation nicht ohne Weiteres eine verschärfte Haftung desjenigen folgt, der seine Zahlungsdaten auf diesem Weg übermittelt.
Oberlandesgericht Oldenburg, Beschluss vom 17. April 2026 – 5 U 89/25
Bildnachweis:
- VW Sharan: Peter Wilhelm | CC0 1.0 Universal
