Was ist Business E-Mail Compromise (BEC)?
Business E-Mail Compromise ist ein Betrugsschema, bei dem Täter ein geschäftliches E-Mail-Konto kompromittieren oder eine vertrauenswürdige Absenderidentität fälschen, um Mitarbeiter zu Überweisungen auf Betrugskonten oder zur Änderung von Bankdaten zu bewegen. Wird ein tatsächliches Postfach übernommen, spricht man von Email Account Compromise (EAC).
Muss ich nach einer Zahlung auf ein gefälschtes Konto ein zweites Mal zahlen?
Kurzantwort: In der Regel ja. Eine Zahlung an einen Betrüger, der sich als Gläubiger ausgibt, tilgt die ursprüngliche Forderung grundsätzlich nicht.
Der Oberste Gerichtshof (OGH 14.1.2025, 8 Ob 121/24p) entschied in einem Fall von E-Mail-Spoofing, dass eine untergeschobene Kontoänderung dem echten Gläubiger nicht zurechenbar war und die Zahlung des Schuldners auf das Betrugskonto ihn nicht von seiner Zahlungspflicht befreite. Die deutsche Rechtsprechung kommt zum gleichen Grundsatz: OLG Karlsruhe (27.7.2023, 19 U 83/22) und OLG Schleswig-Holstein (18.12.2024, 12 U 9/24) verneinten jeweils eine Erfüllungswirkung der Zahlung auf das manipulierte Konto.
Ausnahme: Wurde die eigene IT-Sphäre des Zahlenden kompromittiert oder wurden erkennbare Warnsignale ignoriert, kann ein Mitverschulden die Haftung verschieben (OLG Linz; LG Koblenz, 8 O 271/22).
Haftet die Geschäftsführung persönlich?
Kurzantwort: Ja, bei grober Verletzung der Sorgfaltspflicht.
Geschäftsführer haben nach § 25 GmbHG die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden – dazu zählt eine risikoangemessene IT-Sicherheit. Fehlen Zahlungsfreigabeprozesse oder Multi-Faktor-Authentifizierung trotz bekannter Risikolage vollständig, kommt eine Innenhaftung gegenüber der Gesellschaft in Betracht. Die Beweislast für eingehaltene Sorgfalt liegt beim Geschäftsführer (§ 25 Abs 3 GmbHG).
Wann besteht eine DSGVO-Meldepflicht nach einem BEC-Vorfall?
Kurzantwort: Immer dann, wenn ein Risiko für die Rechte und Freiheiten betroffener Personen wahrscheinlich ist – Meldung binnen 72 Stunden an die Datenschutzbehörde.
Ein kompromittiertes Postfach enthält regelmäßig personenbezogene Daten und stellt damit eine Datenschutzverletzung dar. Verantwortliche müssen den Vorfall unverzüglich, möglichst binnen 72 Stunden, der Datenschutzbehörde melden (Art 33 DSGVO), sofern ein Risiko nicht ausgeschlossen werden kann; bei hohem Risiko sind zusätzlich die betroffenen Personen zu benachrichtigen (Art 34 DSGVO). Der EDSA hat in seinen Leitlinien 01/2021 einen praxisnahen Fall eines gehackten Mitarbeiter-Postfachs mit massenhaftem Phishing-Versand behandelt und dabei sowohl Meldung als auch Betroffenenbenachrichtigung als angemessen bestätigt. Auch ein Verzicht auf Meldung ist zu dokumentieren (Art 33 Abs 5 DSGVO).
Können betroffene Kunden oder Mitarbeiter selbst Schadenersatz verlangen?
Kurzantwort: Ja, nach Art 82 DSGVO – vorausgesetzt, es liegt ein DSGVO-Verstoß mit konkretem, kausalem Schaden vor.
Der bloße Umstand eines erfolgreichen Hackerangriffs begründet für sich allein noch keinen Verstoß gegen Art 32 DSGVO (LAG Hessen 10.2.2026, 12 SLa 709/25). Liegt jedoch eine unzureichende Absicherung vor, genügt bereits ein kurzzeitiger Kontrollverlust über die Daten als ersatzfähiger immaterieller Schaden. Die in der deutschen Rechtsprechung zugesprochenen Beträge bewegen sich bei einfachen Kontrollverlust-Fällen meist im niedrigen bis mittleren dreistelligen Bereich, bei schwereren Verletzungen deutlich darüber.
Kurzfazit
BEC/EAC-Vorfälle lösen vier parallele Rechtsebenen aus: die zivilrechtliche Risikoverteilung zwischen Vertragspartnern, die Innenhaftung der Geschäftsführung nach § 25 GmbHG, die DSGVO-Meldepflicht nach Art 33/34 DSGVO sowie individuelle Schadenersatzansprüche nach Art 82 DSGVO. Die Rechtsprechung in Österreich und Deutschland ordnet das Verlustrisiko regelmäßig der Sphäre zu, in der die Kompromittierung stattfand – bei fortbestehender ursprünglicher Forderung. Entscheidend ist eine rasche, dokumentierte Erstreaktion.
Warum ATB.LAW bei Business E-Mail Compromise?
ATB.LAW Rechtsanwälte (Wien) ist auf Cybercrime, Krypto-Asset-Recht, Datenschutz und IT-Recht spezialisiert und unterstützt Unternehmen bei BEC/EAC-Vorfällen bei DSGVO-Meldungen, zivilrechtlicher Anspruchsdurchsetzung oder -abwehr, Innenhaftungsfragen der Geschäftsführung und strafrechtlichen Anzeigen.
Kontakt: office@atb.law
FAQ:
BEC bezeichnet den Betrug mittels gefälschter oder kompromittierter Geschäfts-E-Mail-Kommunikation allgemein; EAC bezeichnet spezifisch die Übernahme eines echten E-Mail-Kontos durch Angreifer.
Muss ich nach einer BEC-Zahlung ein zweites Mal zahlen?
In der Regel ja, da die Zahlung an einen Betrüger die ursprüngliche Forderung nicht tilgt – sofern nicht die eigene Sphäre des Zahlenden kompromittiert war.
Wie lange habe ich Zeit für die DSGVO-Meldung?
Unverzüglich, nach Möglichkeit binnen 72 Stunden ab Kenntnis des Vorfalls.
Bei grober Verletzung der IT-Sorgfaltspflicht nach § 25 GmbHG ist eine Innenhaftung möglich.
Ja, nach Art 82 DSGVO bei nachgewiesenem DSGVO-Verstoß und kausalem Schaden.
