Gefälschte Rechnung mit falscher IBAN: Muss ich noch einmal zahlen?
Die Rechnung kam von der richtigen E-Mail-Adresse, sah aus wie immer und trug das Logo des Handwerksbetriebs – nur die IBAN war eine andere. Sie haben bezahlt, und Wochen später kommt die Mahnung: Das Geld sei nie angekommen. Betrüger haben das Postfach des Unternehmens gehackt oder die E-Mail unterwegs abgefangen und die Bankverbindung ausgetauscht. Jetzt stellt sich die Frage: Müssen Sie ein zweites Mal zahlen? Ich erkläre Ihnen die Rechtslage, die Gerichte bisher uneinheitlich beurteilen, und was Sie sofort tun sollten.
So läuft der Rechnungsbetrug ab
Die Täter verschaffen sich Zugriff auf das E-Mail-Postfach eines Unternehmens – oft eines Handwerksbetriebs – oder fangen E-Mails auf dem Übertragungsweg ab. Sie warten, bis eine Rechnung verschickt wird, und ändern im PDF die Bankverbindung. Manchmal folgt kurz nach der echten Rechnung eine zweite E-Mail mit dem Hinweis, die Kontoverbindung habe sich geändert. Für Kundinnen und Kunden ist das kaum zu erkennen, denn die Nachricht kommt scheinbar oder tatsächlich vom richtigen Absender. Das Geld landet auf einem Konto der Täter und wird meist schnell weitergeleitet.
Muss ich noch einmal zahlen?
Der rechtliche Ausgangspunkt ist für Betroffene unerfreulich: Eine Schuld erlischt nur, wenn an den Gläubiger oder eine von ihm ermächtigte Person gezahlt wird (§ 362 BGB). Die Zahlung an die Betrüger ist grundsätzlich keine Erfüllung. Der Handwerker kann seine Rechnung also weiterhin verlangen. Das Risiko, dass Geld auf dem Überweisungsweg verloren geht, trägt nach dem Gesetz grundsätzlich der Zahlende (§ 270 BGB).
Der Bundesgerichtshof hat das im Oktober 2025 bestätigt: Wird eine Kontoverbindung von einem unbekannten Dritten gefälscht, geht das Verlustrisiko nicht auf den Gläubiger über, wenn die Fälschung nicht seiner Sphäre zuzurechnen ist (BGH, Urteil vom Oktober 2025 – IV ZR 161/24; dort war ein Vergleichstext auf dem Postweg manipuliert worden). Damit ist aber noch nicht gesagt, dass Sie den Schaden am Ende allein tragen.
Gegenanspruch: Schadensersatz und Aufrechnung
Der entscheidende Hebel ist ein eigener Schadensersatzanspruch gegen das Unternehmen, mit dem Sie gegen dessen Forderung aufrechnen können. Er kann sich aus einer Verletzung vertraglicher Schutzpflichten ergeben oder aus Art. 82 DSGVO, wenn das Unternehmen Ihre Daten nicht ausreichend geschützt hat (Art. 5, 24 und 32 DSGVO). Wie die Gerichte das bewerten, ist bisher uneinheitlich:
- OLG Schleswig, Urteil vom 18.12.2024 – 12 U 9/24: Ein Unternehmen hatte eine Schlussrechnung über rund 15.000 Euro an eine Privatkundin per E-Mail mit bloßer Transportverschlüsselung verschickt. Die Rechnung wurde manipuliert, die Kundin zahlte an Betrüger. Das Gericht sah darin einen Verstoß gegen die DSGVO: Bei einem so hohen finanziellen Risiko hätte das Unternehmen eine Ende-zu-Ende-Verschlüsselung verwenden müssen. Die Kundin durfte mit ihrem Schadensersatzanspruch aus Art. 82 DSGVO aufrechnen und musste nicht erneut zahlen. Die Revision zum BGH wurde zugelassen.
- OLG Karlsruhe, Urteil vom 27.07.2023 – 19 U 83/22: Hier ging es um einen Autoverkauf zwischen zwei Unternehmen. Kurz nach der echten Rechnung kam eine gefälschte mit anderer IBAN. Das Gericht verneinte eine Pflicht zur Ende-zu-Ende-Verschlüsselung im gewöhnlichen Geschäftsverkehr, hielt die Schutzmaßnahmen des Verkäufers für ausreichend und wandte die DSGVO nicht an. Die Käuferin musste ein zweites Mal zahlen.
- LG Rostock, Urteil vom 20.11.2024 – 2 O 450/24: Auch hier musste der Kunde erneut zahlen. Das Gericht stellte darauf ab, dass die gefälschte E-Mail deutliche Auffälligkeiten enthielt und die Bankverbindung zu einer ausländischen Bank wechselte.
- LG Karlsruhe, Urteil vom 20.05.2026 – 8 O 266/25: Keine allgemeine Pflicht zur Ende-zu-Ende-Verschlüsselung; die Bankdaten einer GmbH seien keine personenbezogenen Daten, Art. 82 DSGVO greife daher nicht.
Eine höchstrichterliche Klärung, wann Unternehmen Rechnungen verschlüsselt versenden müssen, gibt es – soweit ersichtlich – bislang nicht. Es kommt daher auf den Einzelfall an, insbesondere darauf,
- ob Sie als Privatperson oder als Unternehmen gekauft haben und ob personenbezogene Daten betroffen sind,
- welche Sicherheitsmaßnahmen das Unternehmen getroffen hatte (Verschlüsselung, Zwei-Faktor-Anmeldung, Schutz des Postfachs),
- wie hoch der Betrag war und
- ob es Warnsignale gab, die Sie hätten stutzig machen müssen – etwa ein neuer Kontoinhaber, eine ausländische IBAN oder auffällige Formatierungsfehler. Solche Umstände können als Mitverschulden (§ 254 BGB) zu Ihren Lasten gehen.
Was die Bank tun kann
Ihre Bank kann einen Rückruf (Recall) an die Empfängerbank senden. Sie kann das Geld aber nicht eigenmächtig zurückholen: Ist es schon abgehoben oder weitergeleitet, bleibt der Rückruf oft erfolglos. Deshalb zählt jede Stunde.
Seit dem 9. Oktober 2025 müssen Banken im Euroraum vor jeder Überweisung eine Empfängerüberprüfung (Verification of Payee) anbieten. Dabei wird geprüft, ob der eingegebene Name zur IBAN passt. Haben Sie trotz eines Warnhinweises überwiesen, haftet die Bank in der Regel nicht. Hat die Prüfung dagegen nicht ordnungsgemäß funktioniert, können Ansprüche gegen die Bank bestehen. Mehr zu Ansprüchen gegen Banken bei Betrug finden Sie auf meiner Seite zum Bankrecht bei Betrug.
Strafanzeige und Beweissicherung
Erstatten Sie Strafanzeige bei der Polizei – in Brandenburg und Berlin auch online über die Internetwache. Die Ermittlungsbehörden können das Empfängerkonto ermitteln lassen; das hilft später auch zivilrechtlich. Sichern Sie zudem alle Beweise:
- die gefälschte E-Mail im Original mit vollständigem E-Mail-Header (Quelltext) bzw. als .eml- oder .msg-Datei – eine bloße Weiterleitung oder ein Screenshot reicht nicht,
- die echte und die manipulierte Rechnung als PDF,
- Kontoauszug und Überweisungsbeleg, einschließlich des Ergebnisses der Empfängerüberprüfung,
- den gesamten Schriftverkehr mit dem Unternehmen.
Der Header zeigt, über welche Server die E-Mail lief und ob sie tatsächlich aus dem Postfach des Unternehmens stammte. Das ist oft der Schlüssel für die Frage, in wessen Sphäre der Angriff stattfand.
Verhandeln statt sofort streiten
Weil die Rechtslage offen ist, tragen beide Seiten ein Prozessrisiko. In vielen Fällen ist eine Einigung mit dem Handwerker sinnvoll – etwa eine Teilung des Schadens. Ich prüfe die Beweislage und verhandle für Sie auf dieser Grundlage. Zahlen Sie nicht unter dem Druck einer Mahnung, bevor Sie Ihre Gegenansprüche kennen.
Wenn Sie der Unternehmer sind
Wurde Ihre Rechnung umgeleitet, bleibt Ihr Zahlungsanspruch grundsätzlich bestehen. Sie müssen aber damit rechnen, dass Ihre Kundin oder Ihr Kunde mit einem Schadensersatzanspruch aufrechnet. Lassen Sie Ihr Postfach prüfen, informieren Sie betroffene Kunden und prüfen Sie, ob Sie den Vorfall als Datenschutzverletzung binnen 72 Stunden der Aufsichtsbehörde melden müssen (Art. 33 DSGVO). Für die Zukunft: Rechnungen mit Ende-zu-Ende-Verschlüsselung oder über ein Kundenportal versenden und Kontoänderungen nie nur per E-Mail mitteilen.
Was Sie jetzt tun sollten
- Sofort die Bank informieren und einen Rückruf veranlassen.
- Strafanzeige erstatten und das Aktenzeichen notieren.
- Das Unternehmen telefonisch über eine bekannte Nummer informieren – nicht über Kontaktdaten aus der verdächtigen E-Mail.
- Die E-Mails im Original mit Header sichern und nichts löschen.
- Keine zweite Zahlung und kein Schuldanerkenntnis, bevor die Rechtslage geprüft ist.
- Prüfen, ob eine Rechtsschutzversicherung besteht.
So vertrete ich Sie
- Ersteinschätzung – Sie schildern mir den Ablauf. Ich sage Ihnen, welche Sofortmaßnahmen nötig sind und wie Ihre Ausgangslage aussieht.
- Prüfung – ich werte E-Mails, Header, Rechnungen und Zahlungsbelege aus und prüfe Gegenansprüche gegen das Unternehmen und gegebenenfalls gegen die Bank.
- Verhandlung – ich mache Ihre Ansprüche geltend, erkläre die Aufrechnung und verhandle über eine faire Lösung.
- Gericht – kommt keine Einigung zustande, vertrete ich Sie vor Gericht.
Der Erstkontakt ist kostenlos. Die ausführliche Beratung und die Prüfung Ihrer Unterlagen sind kostenpflichtig; die Kosten nenne ich Ihnen vorab. Eine Rechtsschutzversicherung kann sie übernehmen.
Häufige Fragen
Ich habe an die falsche IBAN gezahlt – ist meine Rechnung damit bezahlt?
Grundsätzlich nein. Die Zahlung an die Betrüger erfüllt die Forderung des Unternehmens nicht (§ 362 BGB). Möglicherweise haben Sie aber einen Schadensersatzanspruch, mit dem Sie aufrechnen können – das hängt vom Einzelfall ab.
Muss der Handwerker seine Rechnungen verschlüsselt verschicken?
Das ist umstritten. Das OLG Schleswig hat bei einer Rechnung über rund 15.000 Euro an eine Privatkundin eine Ende-zu-Ende-Verschlüsselung verlangt. Das OLG Karlsruhe und das LG Karlsruhe sehen im Geschäftsverkehr keine allgemeine Pflicht dazu. Eine Entscheidung des BGH zu dieser Frage gibt es – soweit ersichtlich – noch nicht.
Holt meine Bank das Geld zurück?
Die Bank kann einen Rückruf an die Empfängerbank schicken. Ob das Geld zurückkommt, hängt davon ab, ob es noch auf dem Konto liegt. Deshalb sollten Sie die Bank sofort informieren.
Hilft mir die Empfängerüberprüfung der Bank?
Seit Oktober 2025 gleicht die Bank Name und IBAN vor der Überweisung ab und warnt bei Abweichungen. Wer trotz Warnung zahlt, trägt das Risiko in der Regel selbst. Ging die Zahlung ohne Warnung durch, obwohl Name und IBAN nicht passten, sollte geprüft werden, ob die Bank haftet.
Was mache ich, wenn das Unternehmen mit Inkasso droht?
Widersprechen Sie der Forderung schriftlich unter Hinweis auf den Betrugsfall und Ihre Gegenansprüche, und lassen Sie sich beraten. Zahlen Sie nicht nur, um den Druck loszuwerden – eine Aufrechnung ist nach der Zahlung deutlich schwieriger durchzusetzen.
Informieren Sie sofort Ihre Bank und erstatten Sie Strafanzeige. Sichern Sie die E-Mail im Original mit Header – sie ist Ihr wichtigstes Beweismittel.