OGH zum Fake-President Fraud

4. Feb. 2022 Benn-Ibler Rechtsanwälte

Die Strategie des „Fake-President Fraud“ ist nicht auf eine Täuschung entscheidungsbefugter Personen ausgelegt, sondern auf die Umgehung oder unautorisierte Nutzung von vorhandenen Prozessen durch geschickte Manipulation und Täuschung eines weisungsabhängigen Mitarbeiters. Eine Geschäftsführer-Haftung besteht nur bei individuellem, schuldhaftem Verhalten.

Der Beklagte war einer von drei Geschäftsführern der klagenden Partei und gleichzeitig Vorstandsvorsitzender ihrer Muttergesellschaft, einer börsennotierten Aktiengesellschaft. Ende des Jahres 2015 wurde die Klägerin Opfer eines „Fake-President-Frauds“ (FPF). Diese Betrugsmethode wird meist über E-Mails angebahnt und die Mitarbeiter eines Unternehmens von den Tätern unter Vortäuschung falscher Identitäten zur Überweisung von Geld manipuliert. Die Klägerin begehrt den Ersatz des ihr durch diesen Angriff entstandenen Vermögensschaden und brachte vor, dass der Beklagte seine gesetzlichen Pflichten als Geschäftsführer dadurch verletzt habe, dass er das Fehlen eines internen Kontrollsystems zu verantworten habe.

Das Ziel eines internen Kontrollsystems ist es, das Vermögen zu sichern, die Genauigkeit und Zuverlässigkeit der Abrechnung zu gewährleisten und die Einhaltung der Geschäftspolitik zu unterstützen.

Im vorliegenden Fall lag ein Kontrollsystem vor. Entgegen den Vorgaben wurde jedoch das Vier-Augen-Prinzip nicht eingehalten. Nach Austausch von insgesamt 92 E-Mails ließ sich die Gruppenleiterin zur Überweisung von mehreren Zahlungen in Gesamthöhe von rund EUR 54 Mio auf die ihr vom Fake President genannten Konten überreden.

Fake-President Fraud, das auf Methoden des „social engineering“ beruht, will die angesprochenen Mitarbeiter gerade zur Umgehung der Kontrolleinrichtungen verleiten. Die hier angewandte Methode geht über die herkömmlichen, durch ihre zahlreichen Fehler und plumpen Formulierungen leicht als Betrugsversuch erkennbaren E-Mails erheblich hinaus.

Die Ausnutzung menschlicher Eigenschaften ist ein zentrales Element der technologisch und psychologisch versierten bis hochprofessionellen Angreifer. Dem Mitarbeiter wird durch Vertrauensbezeugungen und Lob geschmeichelt, eine Vertrauensbasis hergestellt, die durch telefonische Kontakte und vorgebliche Beteiligung seriöser Autoritäten – im vorliegenden Fall durch die Finanzmarktaufsicht – verstärkt wird. Vorhandene Zweifel werden zerstreut, falsche Urkunden eingesetzt, alles mit dem Ziel, dass der Mitarbeiter die bestehenden Sicherungssysteme bewusst, vermeintlich im Auftrag des Vorstands und im Interesse des Unternehmens, ausnahmsweise zu umgehen bereit ist.

Die Geschäftsführer sind nach § 25 Abs 1 GmbHG verpflichtet, bei ihrer Geschäftsführung die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden. Eine Haftung des Gesellschaftsorgans setzt voraus, dass es seinen Ermessensspielraum überschreitet, eine evident unrichtige Sachentscheidung oder eine geradezu unvertretbare Entscheidung trifft. Grundlage der Haftung nach § 25 GmbHG ist eine individuelle, schuldhafte Pflichtverletzung. Für das Fehlverhalten von Angestellten haften Geschäftsführer nur dann, wenn sie ihre Organisations- und Überwachungspflichten schuldhaft verletzt haben und dieses Versäumnis schadenskausal war.

OGH 8 ObA 109/20t (03.08.2021)