Neue mobile.de Betrugsmasche per Email: Was tun bei Zahlung auf falsche Rechnung?

Der Kauf eines Mercedes über eine große Online-Plattform wie Mobile.de oder Autoscout24 ist Alltag – für Privatpersonen wie für Unternehmen, auch grenzüberschreitend wie diesem Fall: Genau diese Routine machen sich Kriminelle zunutze. Mit gehackten Händlerkonten und manipulierten Rechnungen leiten sie Kaufpreiszahlungen auf eigene Konten um. Der wirtschaftliche Schaden geht schnell in den fünfstelligen Bereich. Wir erklären, wie diese Masche funktioniert, wer am Ende den Schaden trägt und welche rechtlichen Möglichkeiten Betroffene haben.

Was ist Rechnungsbetrug und Zahlungsumleitung beim Autokauf?

Beim Rechnungsbetrug – fachlich Zahlungsumleitungsbetrug oder Business E-Mail Compromise (BEC) – fangen Täter die Kommunikation zwischen Verkäufer und Käufer ab oder verschaffen sich Zugriff auf ein Konto einer der beiden Seiten. Anschließend versenden sie täuschend echt wirkende Kaufunterlagen und Rechnungen, in denen lediglich eine Sache verändert wurde: die Bankverbindung. Der Käufer überweist den Kaufpreis im guten Glauben – nur eben auf das Konto der Täter.

Besonders gefährlich ist die Masche beim Autokauf über Online-Plattformen, weil hier hohe Beträge auf einmal fließen, die Kommunikation fast vollständig per E-Mail läuft und die Unterlagen seriös aussehen. Wird das Konto des Händlers auf der Plattform übernommen, stammen die gefälschten Nachrichten scheinbar direkt vom echten Verkäufer.

Ein typischer, neuer Fall aus unserer Praxis

Ein Unternehmen aus dem EU-Ausland wollte über Mobile.de einen Mercedes Benz bei einem deutschen Autohaus kaufen. Im Zuge der Vertragsanbahnung erhielt es per E-Mail Kaufunterlagen, eine Rechnung und Zahlungsanweisungen, die authentisch wirkten und scheinbar unmittelbar vom Autohaus stammten. Das Unternehmen überwies rund 55.000 Euro auf das angegebene deutsche Bankkonto.

Erst später stellte sich heraus: Die Zahlungsdaten waren manipuliert. Die Plattform bestätigte schriftlich, dass das Händlerkonto des Autohauses zum maßgeblichen Zeitpunkt kompromittiert war – es lag ein unberechtigter Fremdzugriff (Man in the middle) vor. Das Geld war auf einem fremden Konto gelandet, das Fahrzeug nie geliefert worden. Der Fall zeigt das ganze Dilemma: Die Quelle der Manipulation lag erkennbar beim Händler – und trotzdem ist die Haftung alles andere als ein Selbstläufer.

Wer trägt den Schaden? Die rechtliche Ausgangslage

Die zentrale Frage lautet immer: Hat der Käufer durch die Überweisung seine Pflicht erfüllt – oder nicht?

Zahlung auf das falsche Konto bedeutet in der Regel keine Erfüllung

Nach deutschem Recht wird eine Geldschuld nur erfüllt, wenn an den richtigen Gläubiger gezahlt wird (§ 362 BGB). Wer an Betrüger zahlt, leistet an einen Nichtberechtigten – die Schuld besteht grundsätzlich fort. Das hat erhebliche Folgen:

• Wurde das Fahrzeug bereits geliefert, kann der Verkäufer den Kaufpreis ein zweites Mal verlangen.
• Wurde – wie in unserem Fall – nichts geliefert, hat der Käufer schlicht sein Geld verloren und steht ohne Gegenleistung da.

Das OLG Karlsruhe hat genau das bestätigt: Eine Zahlung auf ein durch Hacking manipuliertes Konto bewirkt keine Erfüllung; der Käufer musste erneut zahlen (Urteil vom 27.07.2023, Az. 19 U 83/22). Aber es gibt noch eine Rettung:

Welche Ansprüche bestehen gegen den Autohändler?

Wer sein Geld an die Täter verloren hat, will es vom Händler zurück – schließlich wurde dessen Konto gehackt. So einfach ist es rechtlich aber nicht.

Schadensersatz wegen verletzter Sorgfaltspflichten

Der wichtigste Ansatz ist ein Schadensersatzanspruch wegen Verletzung vorvertraglicher Schutzpflichten (§§ 280, 311 Abs. 2, 241 Abs. 2 BGB). Der Händler muss seine Kommunikation so sichern, dass das Vermögen seiner Geschäftspartner nicht durch unzureichende IT-Sicherheit gefährdet wird.

Das Problem: Es gibt keine gesetzlich vorgeschriebenen Verschlüsselungsstandards für geschäftliche E-Mails. Maßstab sind die berechtigten Sicherheitserwartungen des Verkehrs unter Berücksichtigung der Zumutbarkeit. Das OLG Karlsruhe verlangte einen konkreten Nachweis der Sorgfaltspflichtverletzung – allein die Tatsache, dass ein Hack gelungen ist, genügt dafür nicht.

Entscheidend ist daher, wie das Konto übernommen wurde: etwa durch ein abgefangenes Passwort, eine fehlende Zwei-Faktor-Authentifizierung oder einen Phishing-Angriff. Genau hier liegt der Schlüssel – und genau hier helfen die technischen Protokolldaten der Plattform.

Tipp: Eine Kontaktaufnahme direkt mit der Plattform – hier Mobile.de – kann helfen, um den entscheidenden Nachweis zu erhalten.

Der entscheidende Unterschied: Privatkäufer oder Unternehmen

Ein zweiter Weg hat zuletzt für Aufsehen gesorgt: der Schadensersatz nach Art. 82 DSGVO. Das OLG Schleswig entschied, dass ein Unternehmen, das eine Rechnung nur transportverschlüsselt (statt Ende-zu-Ende) versendet, gegen die Datensicherheitspflichten der DSGVO verstößt. Der geschädigte Kunde konnte diesem einen Schadensersatzanspruch entgegenhalten und musste die Rechnung nicht erneut zahlen (Urteil vom 18.12.2024, Az. 12 U 9/24; ähnlich LG Rostock, Az. 2 O 450/24).

Aber Achtung: Diese Entscheidung betraf einen Privatkunden (Verbraucher). Die DSGVO schützt personenbezogene Daten natürlicher Personen – nicht den Vermögensschaden eines Unternehmens. Kauft also eine Firma (B2B), greift dieser für Verbraucher so wirkungsvolle Weg im Kern nicht. Für unseren Mandanten – ein Unternehmen – fällt der „Schleswig-Weg“ damit weitgehend weg. Das ist eine der wichtigsten Weichenstellungen überhaupt: Privatkäufer haben hier deutlich bessere Karten als Unternehmen.

Warum das gehackte Händlerkonto allein nicht reicht

Deliktische Ansprüche (§ 823 BGB) helfen gegen den Händler meist nicht weiter: Ein reiner Vermögensschaden ist hier nicht geschützt, und der Händler ist selbst Hacking-Opfer, nicht Täter. Ansprüche aus Betrug richten sich gegen die – in aller Regel unbekannten – Täter und scheitern praktisch an deren Identifizierung.

Kann man die Versicherung des Händlers direkt verklagen?

In aller Regel nein. Im deutschen Recht gilt das Trennungsprinzip: Erst muss die Haftung gegen den Händler feststehen, bevor dessen Versicherung in Anspruch genommen werden kann. Eine Direktklage gegen den Haftpflichtversicherer ist nur in engen Ausnahmen möglich (§ 115 VVG) – etwa bei einer Pflichtversicherung oder bei Insolvenz des Händlers.

Der realistische Weg verläuft daher zweistufig: Zuerst die Haftung des Händlers durchsetzen, dann dessen Freistellungsanspruch gegen die Versicherung pfänden und überweisen lassen. Ob überhaupt Deckung besteht, hängt vom konkreten Vertrag ab – reine Vermögensschäden sind in vielen Betriebshaftpflichtpolicen ausgeschlossen, und Cyber-Versicherungen haben eigene Bedingungen und Selbstbehalte.

Was tun bei Rechnungsbetrug (Business Email Compromise)?

Schnelligkeit entscheidet darüber, ob noch Geld zurückzuholen ist. Wir empfehlen folgende Schritte:

• Sofort die Bank kontaktieren und ein Rückrufverfahren (Recall) einleiten – idealerweise innerhalb von Stunden.
• Strafanzeige bei der Polizei erstatten, im Inland wie im Ausland.
• Alle Beweise sichern: Zahlungsnachweis, sämtliche E-Mails inklusive Kopfzeilen (Header), Rechnungen und Vertragsunterlagen.
• Die Plattform einschalten und die Bestätigung über die Kontokompromittierung sowie die technischen Protokolldaten anfordern – sie sind für die spätere Haftungsfrage entscheidend.
• Frühzeitig rechtlich prüfen lassen, ob und gegen wen Ansprüche bestehen, statt nur den Ausgang des Recall-Verfahrens abzuwarten.

Fazit

Rechnungsbetrug beim Autokauf ist kein Einzelfall mehr, sondern Tagesgeschäft – und die Rechtsprechung dazu steht erst am Anfang. Ob der Händler haftet, hängt im Einzelfall stark von der konkreten Sicherheitslücke und einem möglichen Mitverschulden des Käufers ab. Für Privatkäufer eröffnet die DSGVO einen wirksamen Hebel; Unternehmen müssen den schwierigeren Weg über die vorvertraglichen Schutzpflichten gehen. In beiden Fällen gilt: Wer die Beweislage früh und vollständig sichert, verbessert seine Position erheblich.

Als auf IT-Recht und Cybercrime spezialisierte Kanzlei prüfen wir Maisch.law Rechtsanwälte die Haftungslage, sichern Beweise und vertreten Geschädigte sowohl außergerichtlich als auch gerichtlich. Sprechen Sie uns an – eine fundierte Ersteinschätzung schafft Klarheit über Ihre Erfolgsaussichten.

Häufige Fragen zum Rechnungsbetrug beim Autokauf (FAQ)

Muss ich nach einem Zahlungsumleitungsbetrug ein zweites Mal zahlen?

Wenn Sie auf ein manipuliertes Konto gezahlt haben, ist Ihre Schuld grundsätzlich nicht erfüllt. Wurde die Ware geliefert, kann der Verkäufer erneut Zahlung verlangen. Im besten Fall können Sie diesem Anspruch einen eigenen Schadensersatzanspruch entgegenhalten – das gelingt Verbrauchern derzeit leichter als Unternehmen.

Haftet der Autohändler, wenn sein Konto gehackt wurde?

Nicht automatisch. Ein erfolgreicher Hack allein begründet noch keine Haftung. Sie müssen darlegen, dass der Händler konkrete Sicherheitspflichten verletzt hat – zum Beispiel durch eine schwache Absicherung des Kontos. Die technischen Protokolldaten der Plattform sind dafür oft der entscheidende Beweis.

Worin liegt der Unterschied zwischen Privatkäufern und Unternehmen?

Privatkäufer können sich auf einen Schadensersatzanspruch nach Art. 82 DSGVO berufen, wenn der Händler die E-Mail-Kommunikation unzureichend verschlüsselt hat. Dieser Weg schützt jedoch nur natürliche Personen. Unternehmen müssen ihren Schaden über die allgemeinen vorvertraglichen Schutzpflichten geltend machen, was deutlich schwieriger ist.

Kann ich die Versicherung des Händlers direkt verklagen?

In der Regel nicht. Außerhalb von Pflichtversicherungen und Insolvenzfällen müssen Sie zuerst die Haftung des Händlers durchsetzen und können erst danach auf dessen Versicherung zugreifen.

Was ist der wichtigste Schritt direkt nach dem Betrug?

Kontaktieren Sie umgehend Ihre Bank und veranlassen Sie ein Rückrufverfahren. Je schneller die Überweisung gestoppt wird, desto höher die Chance, dass das Geld noch nicht abgebucht wurde. Parallel sollten Sie Anzeige erstatten und alle Beweise sichern.