Das Oberlandesgericht (OLG) Karlsruhe hat in einem aktuellen Urteil einen Fall behandelt, bei dem ein Hacker eine per E-Mail versandte Rechnung manipulierte. Der Sachverhalt wirft wichtige Fragen zur Haftung und zu angemessenen Sicherheitsmaßnahmen im geschäftlichen E-Mail-Verkehr auf.
Sachverhalt
Ein Autohändler verkaufte ein Fahrzeug und versandte nach der Übergabe die Rechnung per E-Mail an den Käufer. Kurz darauf erhielt der Käufer eine zweite E-Mail, die scheinbar vom selben Absender kam, aber eine manipulierte Rechnung mit einer anderen Bankverbindung enthielt. Der Käufer überwies daraufhin 13.500 Euro auf dieses Konto, das einem Hacker gehörte
Entscheidung des OLG Karlsruhe
Das Gericht entschied, dass durch die Zahlung an den Hacker keine Erfüllung der Kaufpreiszahlung eintrat. Zudem hat der Käufer keinen Schadensersatzanspruch gegen den Verkäufer
Beurteilung der Sicherheitsmaßnahmen
Das OLG stellte fest:
- Es existieren keine gesetzlichen Vorgaben zur E-Mail-Verschlüsselung im Geschäftsverkehr.
- Die Sicherheitserwartungen richten sich nach der Verkehrsanschauung und Zumutbarkeit.
- Eine Ende-zu-Ende-Verschlüsselung ist im geschäftlichen Verkehr nicht erwartbar.
- PDF-Dokumente müssen bei normalen Rechnungen nicht verschlüsselt werden1.
Ausreichende Sicherheitsmaßnahmen des Autohändlers
Das Gericht beurteilte die Sicherheitsmaßnahmen des Autohändlers als ausreichend:
- Verwendung eines komplexen, neunstelligen Passworts aus Buchstaben und Zahlen
- Regelmäßige Änderung des Passworts alle zwei bis vier Wochen
- Begrenzter Personenkreis (nur zwei Personen) mit Passwortkenntnis
- Einsatz der Windows Firewall mit regelmäßigen Aktualisierungen
- Nutzung einer Vollversion einer Internet-Security-Software
Rechtliche Bewertung
Ablehnung des datenschutzrechtlichen Ansatzes
Das OLG Karlsruhe lehnte den Ansatz der Vorinstanz ab, die sich auf das Datenschutzrecht (insbesondere Art. 32 DSGVO) gestützt hatte. Das OLG argumentierte, dass im vorliegenden Fall keine personenbezogenen Daten betroffen seien und die DSGVO daher keine Rolle spiele
Prüfung vertraglicher Nebenpflichten
Das Gericht prüfte, ob der Autohändler eine vertragliche Nebenpflicht gemäß § 241 Abs. 2 BGB verletzt hatte. Es kam zu dem Schluss, dass die getroffenen Sicherheitsmaßnahmen den berechtigten Sicherheitserwartungen im Geschäftsverkehr entsprachen
Praxisrelevanz
Das Urteil des OLG Karlsruhe setzt einen wichtigen Maßstab für die Beurteilung von IT-Sicherheitsmaßnahmen im geschäftlichen E-Mail-Verkehr:
- Unternehmen müssen nicht jede denkbare Sicherheitsmaßnahme treffen.
- Es genügt, wenn die im Verkehr erwartbaren und zumutbaren Maßnahmen ergriffen werden.
- Die Beurteilung orientiert sich nicht primär am Stand der Technik oder BSI-Empfehlungen, sondern an den Erwartungen des Rechtsverkehrs.
Dieses Urteil wird voraussichtlich in Zukunft häufig als Argumentationsgrundlage herangezogen werden. Es ist jedoch zu erwarten, dass die Rechtsprechung im IT-Sicherheitsrecht sich weiterentwickeln und möglicherweise zu abweichenden Bewertungen kommen wird. Insbesondere könnten folgende Aspekte in zukünftigen Fällen relevant werden:
- Die Relevanz von Datenschutz-Anforderungen (wie Art. 32 DSGVO) für zivilrechtliche Fragen
- Die Kausalität zwischen fehlenden Sicherheitsmaßnahmen und entstandenem Schaden
- Die Darlegungs- und Beweislast bei komplexen technischen Sachverhalten1
Unternehmen sollten trotz dieses Urteils weiterhin angemessene Sicherheitsmaßnahmen für ihre E-Mail-Kommunikation implementieren, um Risiken zu minimieren und im Streitfall eine gute Ausgangsposition zu haben.
Würdigung
Das Urteil des OLG Karlsruhe liest sich gut aus Sicht des Gläubigers, der eine Rechnung versandt und die vom Verkehr zu erwartenden Sicherheitseinstellungen getroffen hat. Zwei-Faktor-Authentifizierung wurde im Urteil des OLG Karlsruhe nur als Nebenkriegsschauplatz behandelt. Tatsächlich kommt es doch nur darauf an, um Mailkonten zu schützen – Ende-zu-Ende-Verschlüsselung, Virenschutzsoftware oder Firewalls setzen an ganz anderen Punkten an, die für die E-Mail-Sicherheit nicht entscheidend sind. Nur eine Multi-Faktor-Authentifizierung, ggf. auch über einen yubikey Hardware-Token, kann den Schutz vor Zugriffen Dritter sicherstellen. Wir halten daher das Urteil des OLG Karlsruhe zwar für beachtenswert. Wegweisend ist das Urteil aber nicht.