DE: Manipulierte IBAN – Käufer bleibt auf Schaden sitzen

18. Juni 2026 Benn-Ibler Rechtsanwälte

Statt wertvoller Goldbarren blieb den Käufern am Ende nur ein sechsstelliger Schaden. Nachdem Kriminelle die Bankverbindung auf einer per E-Mail versandten Rechnung manipuliert hatten, überwiesen die Käufer mehr als EUR 100.000 auf ein fremdes Konto. Das deutsche Landgericht Karlsruhe musste klären, wer das Risiko eines solchen Cyberbetrugs trägt und ob Unternehmen verpflichtet sind, Rechnungen nur verschlüsselt zu versenden.

Manipulierte Rechnung – Zahlung an falsches Konto

Die Kläger erwarben von der Beklagten insgesamt 42 Feingoldbarren zum Kaufpreis von 109.185 Euro. Vor der Zahlung erhielten sie per E-Mail Rechnungen, die äußerlich den Originalrechnungen entsprachen. Allerdings war die dort angegebene Bankverbindung manipuliert worden. Die Kläger überwiesen den gesamten Kaufpreis auf das angeführte Konto eines Dritten.

Nachdem die Goldbarren nicht geliefert wurden, stellte sich heraus, dass die Beklagte nie Inhaberin des angegebenen Kontos war. Die Kläger verlangten daraufhin entweder die Lieferung der Goldbarren oder hilfsweise Schadenersatz in Höhe des überwiesenen Betrages. Sie argumentierten insbesondere, die Beklagte hätte Rechnungen nur verschlüsselt versenden dürfen und hafte daher für den entstandenen Schaden.

Keine Erfüllungswirkung bei Überweisung auf falsches Konto

Laut Gericht habe die Überweisung auf das manipulierte Konto keine Erfüllung gemäß § 362 Bürgerliches Gesetzbuch (BGB) bewirkt, da der Kaufpreis nicht auf einem Konto der Verkäuferin vorbehaltlos gutgeschrieben worden sei. Das Verlustrisiko einer fehlgeleiteten Überweisung trage grundsätzlich der Schuldner.

Eine Haftung der Beklagten wegen Verletzung vertraglicher Nebenpflichten verneinte das Gericht ebenfalls. Weder aus dem Kaufvertrag noch aus allgemeinen Verkehrspflichten ergebe sich eine Verpflichtung zur Verwendung einer Ende-zu-Ende-Verschlüsselung im geschäftlichen E-Mail-Verkehr. Besondere Sicherheitsstandards seien zwischen den Parteien nicht vereinbart worden.

Auch ein Anspruch nach Art 82 Datenschutzgrundverordnung (DSGVO) scheide aus. Nach Ansicht des Gerichts wurden nicht personenbezogene Daten der Kläger, sondern lediglich die Kontodaten der Verkäuferin manipuliert. Der sachliche Anwendungsbereich der DSGVO sei daher nicht eröffnet.

LG Karlsruhe 8 O 266/25 (20.05.2026)