Gericht macht E-Mail-Rechnungen zur Haftungsfalle

Obwohl sie im Verbrauchergeschäft meist gar keine Pflicht sind, sind Rechnungen, die per Mail versandt werden, im Online-Handel gang und gäbe. Aber dahingehend ist auch die Sicherheit der enthaltenen sensiblen Daten ein wichtiger Aspekt. Das OLG Schleswig verlangt eine ausreichende Verschlüsselung. Was bedeutet das konkret und welche Optionen haben Online-Shops?

Handel in der Pflicht: Das OLG Schleswig-Urteil zur E-Mail-Verschlüsselung

Das Oberlandesgericht (OLG) Schleswig hat mit seinem Urteil vom 18. Dezember 2024 (Az.: 12 U 9/24) eine klare Ansage gemacht: Unternehmen, die Rechnungen per E-Mail verschicken, müssen deren Sicherheit deutlich erhöhen. In dem zugrunde liegenden Fall manipulierten unbekannte Dritte eine per E-Mail versandte Bau-Rechnung, änderten die Bankverbindung und veranlassten so eine Fehlüberweisung in Höhe von 15.000 Euro auf das Konto der Kriminellen.

Das Gericht entschied, dass eine einfache Transportverschlüsselung nicht ausreicht, sondern eine Ende-zu-Ende-Verschlüsselung erforderlich sei, um dem Schutz sensibler Daten zu genügen. Das Gericht argumentierte, dass bei einem hohen finanziellen Risiko durch mögliche Verfälschungen eine reine Transportverschlüsselung keinen „geeigneten“ Schutz darstellt.

Das Bauunternehmen konnte die Zahlung trotz der möglicherweise offensichtlichen Manipulationen (z. B. neues Layout, andere Bankverbindung) nicht noch einmal von der Kundin verlangen, sondern ging leer aus.

Rechtliche Einordnung: Was bedeutet das Urteil konkret?

Die DSGVO verpflichtet Unternehmen dazu, angemessene Schutzmaßnahmen für personenbezogene Daten zu ergreifen. Die Wahl der Mittel richtet sich nach dem Risiko. Laut OLG Schleswig reicht eine einfache Transportverschlüsselung (TLS) für eine E-Mail mit Bankdaten nicht aus, da Angreifer während des Transports oder durch Phishing die Daten manipulieren können.

Allerdings hat dieses Urteil in der Fachwelt Diskussionen ausgelöst, da die Umsetzung einer Ende-zu-Ende-Verschlüsselung im B2C-Bereich als praxisfern angesehen wird. Viele Menschen verfügen nicht über die technischen Mittel oder das Wissen, um Ende-zu-Ende-verschlüsselte E-Mails zu empfangen und zu entschlüsseln. Zudem schreibt die DSGVO keine spezifischen Verschlüsselungsmethoden vor.

Fazit: Sicherheitsniveau erhöhen, aber pragmatisch bleiben

Online-Händlerinnen und -Händler sind seit einer Weile mit der neuen E-Rechnungspflicht konfrontiert, hinzu kommen allgemeine DSGVO-Anforderungen und die üblichen bürokratischen Hürden. Es ist also nur allzu verständlich, wenn der Frust über eine neue Anforderung groß scheint. Das OLG Schleswig hält jedoch zusätzliche Sicherheitsanforderungen an den Rechnungsversand für notwendig.

Eine Ende-zu-Ende-Verschlüsselung ist jedoch in der Praxis oft schwer umzusetzen. Unternehmen sollten daher alternative Lösungen wie Kundenportale oder passwortgeschützte PDFs in Betracht ziehen, um den Anforderungen gerecht zu werden, ohne die Benutzerfreundlichkeit für ihre Kunden zu beeinträchtigen.

Artikelbild: http://www.depositphotos.com