<\/p>\n
<\/p>\n
Business E-Mail Compromise ist ein Betrugsschema, bei dem T\u00e4ter ein gesch\u00e4ftliches E-Mail-Konto kompromittieren oder eine vertrauensw\u00fcrdige Absenderidentit\u00e4t f\u00e4lschen, um Mitarbeiter zu \u00dcberweisungen auf Betrugskonten oder zur \u00c4nderung von Bankdaten zu bewegen. Wird ein tats\u00e4chliches Postfach \u00fcbernommen, spricht man von Email Account Compromise (EAC).<\/p>\n
Kurzantwort:<\/strong> In der Regel ja. Eine Zahlung an einen Betr\u00fcger, der sich als Gl\u00e4ubiger ausgibt, tilgt die urspr\u00fcngliche Forderung grunds\u00e4tzlich nicht.<\/p>\n Der Oberste Gerichtshof (OGH 14.1.2025, 8 Ob 121\/24p) entschied in einem Fall von E-Mail-Spoofing, dass eine untergeschobene Konto\u00e4nderung dem echten Gl\u00e4ubiger nicht zurechenbar war und die Zahlung des Schuldners auf das Betrugskonto ihn nicht von seiner Zahlungspflicht befreite. Die deutsche Rechtsprechung kommt zum gleichen Grundsatz: OLG Karlsruhe (27.7.2023, 19 U 83\/22) und OLG Schleswig-Holstein (18.12.2024, 12 U 9\/24) verneinten jeweils eine Erf\u00fcllungswirkung der Zahlung auf das manipulierte Konto.<\/p>\n Ausnahme:<\/strong> Wurde die eigene IT-Sph\u00e4re des Zahlenden kompromittiert oder wurden erkennbare Warnsignale ignoriert, kann ein Mitverschulden die Haftung verschieben (OLG Linz; LG Koblenz, 8 O 271\/22).<\/p>\n Kurzantwort:<\/strong> Ja, bei grober Verletzung der Sorgfaltspflicht.<\/p>\n Gesch\u00e4ftsf\u00fchrer haben nach \u00a7 25 GmbHG die Sorgfalt eines ordentlichen Gesch\u00e4ftsmannes anzuwenden \u2013 dazu z\u00e4hlt eine risikoangemessene IT-Sicherheit. Fehlen Zahlungsfreigabeprozesse oder Multi-Faktor-Authentifizierung trotz bekannter Risikolage vollst\u00e4ndig, kommt eine Innenhaftung gegen\u00fcber der Gesellschaft in Betracht. Die Beweislast f\u00fcr eingehaltene Sorgfalt liegt beim Gesch\u00e4ftsf\u00fchrer (\u00a7 25 Abs 3 GmbHG).<\/p>\n Kurzantwort:<\/strong> Immer dann, wenn ein Risiko f\u00fcr die Rechte und Freiheiten betroffener Personen wahrscheinlich ist \u2013 Meldung binnen 72 Stunden an die Datenschutzbeh\u00f6rde.<\/p>\n Ein kompromittiertes Postfach enth\u00e4lt regelm\u00e4\u00dfig personenbezogene Daten und stellt damit eine Datenschutzverletzung dar. Verantwortliche m\u00fcssen den Vorfall unverz\u00fcglich, m\u00f6glichst binnen 72 Stunden, der Datenschutzbeh\u00f6rde melden (Art 33 DSGVO), sofern ein Risiko nicht ausgeschlossen werden kann; bei hohem Risiko sind zus\u00e4tzlich die betroffenen Personen zu benachrichtigen (Art 34 DSGVO). Der EDSA hat in seinen Leitlinien 01\/2021 einen praxisnahen Fall eines gehackten Mitarbeiter-Postfachs mit massenhaftem Phishing-Versand behandelt und dabei sowohl Meldung als auch Betroffenenbenachrichtigung als angemessen best\u00e4tigt. Auch ein Verzicht auf Meldung ist zu dokumentieren (Art 33 Abs 5 DSGVO).<\/p>\nHaftet die Gesch\u00e4ftsf\u00fchrung pers\u00f6nlich?<\/h2>\n
Wann besteht eine DSGVO-Meldepflicht nach einem BEC-Vorfall?<\/h2>\n
K\u00f6nnen betroffene Kunden oder Mitarbeiter selbst Schadenersatz verlangen?<\/h2>\n