In der Praxis werden Rechnungen für Dienstleistungen oder Werkleistungen von Betrieben oftmals als pdf-Anhang einer E-Mail versendet. 

Mitte des Jahres 2024 hatte sich das Team Recht mit einem Vorgang zu beschäftigen, bei dem eine per E-Mail übermittelte Rechnung nachträglich durch Cyberkriminelle manipuliert worden ist. Die betroffene Kundschaft des SHK-Betriebs hat nach einer ersten Rechnung nochmals eine E-Mail erhalten, in der sie dazu aufgefordert wurde, eine korrigierte IBAN für die Zahlung zu verwenden. 

Ohne nochmals beim SHK-Betrieb nachzufassen, bezahlte die Kundschaft den in Rechnung gestellten Betrag auf die vermeintlich korrigierte IBAN. Dieser kam nur nie beim SHK-Betrieb an. Vielmehr wurde der Betrag unmittelbar nach der Überweisung auf ausländische Konten transferiert. Trotz unmittelbarer Anzeige bei der Polizei und Meldung bei der Bank war das Geld verloren. 

In diesem Stadium meldete sich der betroffene SHK-Betrieb beim Referat Recht des Fachverbandes, um klären zu lassen, ob und inwieweit die Kundschaft eine erneute Zahlung zu veranlassen hatte. 

Interessanterweise hatte sich auch das Oberlandesgericht Schleswig-Holstein (vgl. Urteil v. 18.12.2024, Az.: 12 U 9/24) mit einem entsprechenden Fall befassen müssen. Im konkreten Fall hatten Cyber-Betrüger eine E-Mail mit Rechnung im PDF-Anhang eines SHK-Betriebs gehackt und die in der Rechnung enthaltenen Konto-daten verändert. Es handelte sich dabei um eine Schlussrechnung mit einem Rechnungsbetrag in Höhe von 15.000 Euro. Der Kunde überwies den Rechnungs-betrag auf das geänderte Konto der Cyber-Betrüger. 
Nachdem der Betrieb keinen Zahlungseingang verbuchen konnte, kam es zum Rechtsstreit zwischen dem Betrieb und dem Kunden. Es wurde darüber gestritten, ob nochmals eine weitere Zahlung durch den Kunden geschuldet war.  Das Gericht entschied, dass der Kunde keine erneute Zahlung vornehmen musste.

Insoweit wurde festgestellt, dass die vom Betrieb gewählte Rechnungsübermittlungsart die notwendigen Sicherheitsvorkehrungen habe vermissen lassen. Das Gericht führte aus, dass die Transportverschlüsselung, die das Unternehmen beim Versand der Mail in Form von SMTP über TLS verwendete, unzureichend gewesen sei. Insbesondere genüge dies nicht für einen „geeigneten“ Schutz im Sinne der Datenschutzgrundverordnung (DSGVO). Geht man davon aus, dass es sich bei Konto- und Adressdaten im Rechnungskontext um sensible oder persönliche Inhalte handele, komme bei der Übermittlung nur eine Ende-zu-Ende-Verschlüsselung in Betracht, wenn durch Verfälschung der angehängten Rechnung für den Kunden ein hohes finanzielles Risiko besteht. Ein durchsetzbarer Vergütungsanspruch des SHK-Betriebs wurde daher verneint.

SHK-Betrieben ist daher angeraten, dass sie ihre Rechnungen im E-Mail-Verkehr nur Ende-zu-Ende-verschlüsselt verschicken oder per Post, um nicht Gefahr zu laufen ihren Vergütungsanspruch zu verlieren. Insgesamt werden die Betriebe mehr Verantwortung im digitalen Geschäftsverkehr tragen müssen, um sich nicht dem Risiko von Schadensersatzforderungen auszusetzen.