Gehackte PDF-Rechnung ist Risiko der Firma
Betriebe sollten ihre Rechnungen per E-Mail nur Ende-zu-Ende-verschlüsselt verschicken. Diese Botschaft sendet ein Urteil des Oberlandesgerichts (OLG) Schleswig. Denn ein Kunde haftet nicht, wenn eine Firmen-Rechnung auf dem Weg zu ihm abgefangen und manipuliert wird, so dass der Kunde schließlich auf das falsche Konto einzahlt.
Begründung des Oberlandesgerichts: Erfüllt habe der Kundin die Zahlungsforderung der Firma zwar nicht. Ein zweites Mal zahlen muss er aber dennoch nicht. Grund: Mit der Rechnungsstellung wurden personenbezogene Daten computertechnisch verarbeitet. Deswegen hätte die Firma die in Art. 5, 24 und 32 DS-GVO enthaltenen Grundsätze beachten müssen. Das habe sie mit Versand der Rechnung als gewöhnlichen E-Mail-Anhang nicht getan.
Ende-zu-Ende-Verschlüsselung notwendig
Die Transportverschlüsselung, die das Unternehmen beim Versand der Mail in Form von SMTP über TLS verwendete, sei unzureichend und nicht zum Schutz der Daten geeignet. Gerade bei sensiblen oder persönlichen Inhalten komme nur eine Ende-zu-Ende-Verschlüsselung in Betracht, so das Gericht. Den für eine Ende-zu-Ende-Verschlüsselung erforderlichen technischen und finanziellen Aufwand müsse auch ein mittelständischer Betrieb investieren.
Fazit: Wird eine per E-Mail versandte Rechnung gehackt, ist das Unternehmen im Risiko. Die Firma kann nicht damit rechnen, dass der Kunde erneut zahlt, wenn die Rechnung ohne Ende-zu-Ende-Verschlüsselung zugestellt und von Hackern manipuliert wurde.
Urteil: OLG Schleswig vom 18.12.2024, Az.: 12 U 9/24