Schlagwort-Archiv: Cyberkriminalität

bgh urteil zur verlagerung des zahlungsrisikos bei manipulierten

BGH-Urteil zur Verlagerung des Zahlungsrisikos bei manipulierten Bankverbindungen – Haftung und neue EU-Regelung „Verification of Payee“

Die zunehmende Zahl von Betrugsfällen, bei denen Bankverbindungen im E-Mail-Verkehr manipuliert werden (Man-in-the-Middle- oder Invoice-Fraud), stellt Verbraucher und Unternehmen vor erhebliche finanzielle Risiken. Während die EU seit Oktober 2025 einen verpflichtenden IBAN-Namensabgleich für alle SEPA-Überweisungen einführt, bleibt das deutsche Zivilrecht nach wie vor maßgeblich für die Frage, wer das Verlustrisiko bei einer fehlerhaften Zahlung trägt. Dieser Artikel fasst die aktuelle Rechtslage zusammen, beleuchtet das aktuelle BGH-Urteil, die EU-Verordnung und ein praxisnahes OLG-Urteil aus Oldenburg.

Grundlage des Zahlungsrisikos nach deutschem Recht

Nach § 270 Abs. 1 BGB liegt das Übermittlungs- und Verlustrisiko bei Geldschulden grundsätzlich beim Schuldner. Dieses Prinzip wurde durch ein aktuelles Urteil des Bundesgerichtshofs (BGH) vom 8. Oktober 2025 (Az. IV ZR 161/24) bestätigt.

BGH-Urteil im Detail

Der Bundesgerichtshof stellte klar, dass die Fälschung von Kontodaten durch Dritte einen „atypischen Kausalverlauf“ darstellt. Dieser Verlauf rechtfertigt keine Verlagerung der Verlustgefahr nach §§ 270 Abs. 3, 242 BGB auf den Gläubiger. Das Gericht betonte, dass das Risiko einer fehlerhaften Überweisung nach wie vor beim Zahlenden verbleibt, solange kein eigenes vorwerfbares Fehlverhalten im Systembetrieb des Gläubigers nachgewiesen werden kann.

Damit ist das im Oldenburger Urteil behandelte Szenario kein Einzelfall, sondern Teil einer einheitlichen bundesgerichtlichen Leitlinie zum Zahlungsrisiko bei manipulierten Zahlungsdaten.

EU-weite Verpflichtung zum IBAN-Namensabgleich (Verification of Payee)

Die EU-Verordnung 2024/886, bekannt als „Verification of Payee“ (VoP), schafft seit dem 9. Oktober 2025 eine gesetzliche Grundlage für den automatisierten Abgleich von IBAN und Empfängername bei allen SEPA-Überweisungen im Euroraum. Der relevante Artikel ist Art. 5c der Instant Payments Regulation.

  • Ab dem 09.10.2025 müssen Zahlungsdienstleister den Abgleich kostenlos anbieten.
  • Bei einer Unstimmigkeit wird ein Warnhinweis (z. B. „No Match“ oder „Close Match“) angezeigt.
  • Ignoriert der Zahler die Warnung und führt die Überweisung trotzdem aus, haftet er allein für den entstandenen Verlust und verliert etwaige Erstattungsansprüche gegenüber seiner Bank.

Praxisbeispiel OLG Oldenburg – Manipulierte E-Mail beim Autokauf

Ein besonders anschauliches Urteil liefert das Oberlandesgericht (OLG) Oldenburg vom 17. April 2026 (Az. 5 U 89/25). Hierbei ging es um einen gebrauchten Pkw, dessen Kaufpreis von knapp 17 000 Euro aufgrund einer manipulierten E-Mail an eine falsche IBAN überwiesen wurde.

Kaufpreisforderung bleibt bestehen

Das OLG bestätigte, dass die Zahlung an die unbekannten Dritten keine Erfüllung des Kaufvertrags nach § 362 BGB darstellt. Der Anspruch des Verkäufers bleibt daher bestehen, und der Käufer muss den Kaufpreis erneut zahlen.

Auch kein Datenschutzverstoß

Das Gericht stellte zudem fest, dass kein Schadensersatzanspruch aus Art. 82 DSGVO besteht. Die Verarbeitung personenbezogener Daten durch das Autohaus war im vorliegenden Fall nicht verletzt, da lediglich der Name des Käufers in der E-Mail wiederholt wurde.

Weitere wesentliche Punkte des Urteils:

  • Das Autohaus war nicht verpflichtet, den Zahlungseingang vor Übergabe des Fahrzeugs zu überprüfen; diese Kontrolle dient dem eigenen Schutz.
  • Es bestand kein vertraglich vereinbartes Sicherheitsverfahren für den E-Mail-Verkehr, sodass ein Fehler in der Kommunikation nicht dem Autohaus zugerechnet werden konnte.
  • Selbst bei einer angenommenen Pflichtverletzung des Autohauses fehlte die erforderliche Kausalität, da die Manipulation der E-Mail bereits vor dem Eingriff des Autohauses erfolgte.

Statistischer Kontext: Schaden durch Business Email Compromise

Laut dem FBI-Internet Crime Complaint Center (IC3) belief sich der weltweite Gesamtschaden durch Business Email Compromise (BEC) im Jahr 2024 auf 55 Mrd. USD. Diese Zahl verdeutlicht das Ausmaß der Gefahr, die von manipulierten Zahlungsdaten ausgeht.

Grenzen und Gegenargumente der Verification of Payee

Obwohl die VoP-Regelung einen wichtigen Schritt zur Risikominimierung darstellt, gibt es nachweisliche Einschränkungen:

  • Bei Sammel- bzw. Batch-Überweisungen im Firmenkundenbereich greift die Prüfung nur bei explizitem Opt-in.
  • Die Regelung schützt nicht, wenn Betrüger bereits ein Bankkonto unter gefälschtem Namen eröffnet haben (technische Ausnahme 1.3.7).
  • Ein möglicher Mitverschuldensanspruch des Verkäufers kann nach § 254 BGB in Betracht kommen, wenn der Käufer nachweisen kann, dass ein IT-Sicherheitsmangel beim Verkäufer vorlag (z. B. kompromittiertes Postfach ohne Zwei-Faktor-Authentifizierung).

Praktische Handlungsempfehlungen für Zahlende

Um das Risiko einer Fehlleitung zu reduzieren, sollten sowohl Verbraucher als auch Unternehmen folgende Schritte beachten:

  • Bei jedem SEPA-Zahlungsauftrag den Namen des Zahlungsempfängers mit der IBAN vergleichen.
  • Warnhinweise („No Match“, „Close Match“) ernst nehmen und vor Abschluss der Überweisung Rücksprache mit dem Empfänger halten.
  • Sichere Kommunikationswege nutzen – idealerweise verschlüsselte E-Mail-Verfahren oder gesicherte Kundenportale.
  • Interne Prozesse für die Überprüfung von Zahlungseingängen etablieren, insbesondere bei hohen Beträgen.
  • Regelmäßig die IT-Sicherheitsmaßnahmen (z. B. Zwei-Faktor-Authentifizierung) überprüfen, um mögliche Angriffsflächen zu schließen.

Fazit

Die jüngsten Entscheidungen des BGH und des OLG Oldenburg bestätigen, dass das finanzielle Risiko bei manipulierten SEPA-Überweisungen nach deutschem Recht grundsätzlich beim Zahler bleibt. Die EU-Verordnung 2024/886 ergänzt diese Regelung durch einen verpflichtenden IBAN-Namensabgleich, der bei Ignorieren der Warnungen zu einer vollständigen Haftung des Zahlenden führt. Trotz dieser Maßnahmen bestehen noch Lücken – insbesondere bei Sammelüberweisungen und bei technisch anspruchsvollen Betrugsmaschen. Unternehmen und Verbraucher sollten daher sowohl die gesetzlichen Vorgaben als auch bewährte Sicherheitspraktiken konsequent umsetzen, um finanzielle Verluste zu vermeiden.

Quellen

reform der deutschen nachrichtendienste historische trennungsgebote operative

Reform der deutschen Nachrichtendienste: Historische Trennungsgebote, operative Befugnisse und verfassungsrechtliche Herausforderungen

Das Bundeskabinett hat am 12. August 2026 einen 732-seitigen Gesetzentwurf zur umfassenden Reform der deutschen Nachrichtendienste beschlossen. Ziel ist die Neufassung der Rechtsgrundlagen für den Bundesnachrichtendienst (BND) und das Bundesamt für Verfassungsschutz (BfV) mit dem Ziel, den Behörden erstmals offensive operative Eingriffsbefugnisse zu ermöglichen. Die Reform wird als „Zeitenwende“ im deutschen Sicherheitsrecht bezeichnet, weil sie das seit dem Polizeibrief von 1949 geltende Trennungsgebot zwischen Polizei und Geheimdiensten neu definiert und damit tiefgreifende verfassungsrechtliche Fragen aufwirft.

Umfang und Kernpunkte des Gesetzentwurfs

Der Gesetzentwurf umfasst 732 Seiten und enthält mehrere zentrale Neuerungen:

  • Einführung operativer Eingriffsbefugnisse für BND und BfV, darunter Cyber-Gegenangriffe (Hackbacks), gezielte IT-Systeminfiltration, Manipulation von Lieferketten und das verdeckte Betreten von Wohnungen.
  • Erlaubnis für den BND, strategische Daten aus dem internationalen Internetverkehr bis zu einem Jahr lang zu speichern.
  • Erweiterung der Befugnisse des Verfassungsschutzes für Online-Durchsuchungen und verdeckte Einsätze, wenn die Polizei nicht eingreifen kann.

Die neuen Regelungen sollen die Fähigkeit der Nachrichtendienste stärken, hybride Bedrohungen wie Cyberangriffe, Desinformation und internationale Sabotage wirksam zu begegnen.

Historische Wurzeln des Trennungsgebots

Das Trennungsgebot hat seinen Ursprung im sogenannten „Polizei-Brief“ der alliierten Militärgouverneure von 1949. Dieser Brief untersagte bewusst, dass Geheimdienste polizeiliche Eingriffsrechte erhalten, um eine Wiederholung der NS-Zeit und die Konzentration von Staatsgewalt zu verhindern. Das Bundesverfassungsgericht hat diese Trennung in seiner Rechtsprechung immer wieder betont, insbesondere im Kontext der Fernmeldeüberwachung (Urteil 2020, 2024). Der aktuelle Gesetzentwurf stellt damit eine erste Abweichung von diesem historischen Grundsatz dar.

  • Jahr des Polizeibriefs: 1949 (historischer Ursprung).
  • Verfassungsrechtliche Grundsätze: strikte Separation zwischen informationeller Vorabklärung (Nachrichtendienste) und operativer Gefahrenabwehr (Polizei).

Operative Eingriffsbefugnisse – Was ist neu?

Die Reform räumt den Nachrichtendiensten erstmals Befugnisse ein, die bislang ausschließlich Polizeikräften vorbehalten waren:

  • Hackbacks: Aktive Gegenmaßnahmen gegen Hackergruppen, die das eigene Netzwerk angreifen.
  • IT-Systeminfiltration: Gezieltes Eindringen in fremde IT-Systeme zur Aufklärung und Prävention.
  • Manipulation von Lieferketten: Eingriffe in kritische Infrastrukturen, um feindliche Sabotage zu verhindern.
  • Verdecktes Betreten von Wohnungen: Vorbereitung von Überwachungsmaßnahmen, wenn die Polizei nicht handlungsfähig ist.

Gleichzeitig soll der BND strategische Internetdaten bis zu zwölf Monate lang auf Vorrat speichern können, um langfristige Analysefähigkeiten zu erhalten.

Internationaler Vergleich: Deutschland im Kontext

Im internationalen Vergleich zeigen Studien, dass operative Befugnisse für Geheimdienste in vielen Rechtsstaaten verbreitet sind. Laut einer Analyse des Internationalen Netzwerks für Rechtsstaatlichkeit (INET) aus dem Jahr 2024 besitzen 27 Rechtsstaaten im Durchschnitt 70 % der dort untersuchten operativen Eingriffsbefugnisse. Deutschland hebt sich jedoch durch das stark ausgeprägte Trennungsgebot ab, das im Vergleich zu Ländern wie Frankreich oder Großbritannien – wo Geheimdienste traditionell umfangreiche Eingriffsrechte besitzen – stärker einschränkend wirkt.

  • Internationale Durchschnittsquote operativer Befugnisse: 70 % (INET, 2024).
  • Deutschland: Historisch betontes Trennungsgebot, das nun durch die Reform herausgefordert wird.

Expertise und Bewertung durch Fachkommissionen

Mehrere Expertenkommissionen haben die Notwendigkeit aktiver Maßnahmen untersucht. Die vom Bundeskanzleramt beauftragte Nachrichtendienstevaluation von 2023 erstreckte sich über 173 Seiten und identifizierte 18 zentrale Verfassungs- und Grundrechtskonflikte. Die Evaluation betonte, dass passive Beobachtung allein bei Cyberangriffen unzureichend sei, operative Maßnahmen jedoch nur in einem verfassungskonformen Rahmen zulässig seien.

  • Umfang der Expertenevaluation: 173 Seiten (2023).
  • Anzahl der identifizierten Verfassungsfragen: 18 (2023).

Die Gutachten unterstreichen, dass eine rechtlich gesicherte Grundlage für operative Eingriffe fehlen und erst durch die geplante Reform geschaffen werden soll.

Politische und gesellschaftliche Kontroversen

Die Reform stößt sowohl auf parteipolitische Kritik als auch auf breiten gesellschaftlichen Widerstand. Die AfD, die Linke und die Grünen warnen vor Doppelstrukturen und einer Belastung des Trennungsgebots. Medienvertreter wie Roland Preuß (SZ), Mona Jaeger (FAZ) und Christian Rath (taz) berichten über die Debatte. Während einige Kommentatoren – etwa Reinhard Müller (FAZ) – eine Lockerung des Trennungsgebots für nötig halten, betont Frederik Eikmanns (taz) die Gefahr einer „Geheimpolizei“ ohne einklagbaren Rechtsschutz. Laut einer YouGov-Umfrage aus dem Jahr 2025 lehnen 72 % der Befragten operative Eingriffe von Nachrichtendiensten ab.

  • Öffentliche Ablehnung operativer Eingriffe (YouGov 2025): 72 %.
  • Kritikpunkte: fehlende Kontrollmechanismen, mögliche Missbrauchsgefahr, Belastung des Trennungsgebots.

Verfassungsrechtliche Risiken und mögliche Gerichtsverfahren

Die Neuregelungen könnten das verfassungsrechtliche Trennungsgebot stark belasten und vor dem Bundesverfassungsgericht (BVerfG) landen. Das BVerfG hat bereits in Urteilen von 2020 und 2024 betont, dass Geheimdienste nicht ohne klare verfassungsrechtliche Grenzen operative Maßnahmen ergreifen dürfen. Die geplante einjährige Speicherfrist für strategische Internetdaten wird als besonders problematisch angesehen, weil das Gericht bereits strenge Verhältnismäßigkeitsanforderungen für umfangreiche Datenspeicherungen formuliert hat.

  • Relevante BVerfG-Urteile: 2020 (Fernmeldeüberwachung), 2024 (weitere Grundrechtsbindung).
  • Gefahr: Klagen vor dem BVerfG wegen Verletzung des Trennungsgebots und fehlender Verhältnismäßigkeit.

Fazit

Der Gesetzentwurf zur Reform der deutschen Nachrichtendienste stellt einen historischen Einschnitt dar. Er erweitert die Befugnisse von BND und BfV um offensive, operative Maßnahmen, die bislang ausschließlich der Polizei vorbehalten waren, und ermöglicht langfristige Datenspeicherung im Internetverkehr. Gleichzeitig fordert die Reform das seit 1949 geltende Trennungsgebot heraus und wirft erhebliche verfassungsrechtliche Fragen auf. Internationale Vergleiche zeigen, dass Deutschland in diesem Bereich eine Sonderstellung einnimmt, während Experten und die Öffentlichkeit vor unzureichender Kontrolle und möglichen Grundrechtsverletzungen warnen. Die bevorstehenden gerichtlichen Prüfungen am Bundesverfassungsgericht werden entscheiden, ob die neue Befugnislandschaft mit dem Grundgesetz vereinbar ist.

Quellen