Betrug durch Rechnungsverfälschung in E-Mails: Wird der Schuldner von seiner Zahlungspflicht befreit?

Nach den von der Staatsanwaltschaft erhobenen Daten wurden in Spanien im Jahr 2020 mehr als 16.900 Gerichtsverfahren wegen Cyberkriminalität eingeleitet, was einem Anstieg von 28,69 % gegenüber dem Vorjahr entspricht. In den folgenden Jahren sind diese Zahlen noch gestiegen.

Schätzungsweise 65 bis 70 Prozent der Opfer dieser Art von Straftaten sind kleine und mittlere Unternehmen. Der Grund dafür ist offensichtlich: die wiederholte Nutzung digitaler Mittel - für die Aufbewahrung und Verwaltung von Informationen, für den Zahlungsverkehr usw. - in Verbindung mit einem Mangel an Ressourcen und Wissen über Präventionsmaßnahmen, machen die KMU zum Hauptziel dieser Kriminellen.

Eine der beliebtesten Formen der Internetkriminalität ist die als "Man in the Middle" bekannte Technik. Mit dieser Technik fängt der Cyberkriminelle die zwischen zwei Parteien ausgetauschte Kommunikation ab, überwacht die Nachrichten und manipuliert sie, wenn es soweit ist, nach Belieben.

Eine der häufigsten Typologien, auf die wir in diesem Artikel eingehen werden, ist der Rechnungsbetrug per E-Mail. In diesen Fällen wird der Täter tätig, wenn der Anbieter seinem Kunden im Rahmen der Bezahlung von Dienstleistungen eine Rechnung schickt. Zu diesem Zeitpunkt sendet der Täter von seinem eigenen E-Mail-Konto oder einem E-Mail-Konto mit einem sehr ähnlichen Adressennamen eine E-Mail, in der er über eine Änderung der Kontonummer informiert, auf die die Zahlung erfolgen soll.

Sobald der Schuldner den Betrag auf das neue Konto eingezahlt hat, verschwindet der Täter spurlos. Oft wird der Einbruch erst einige Wochen später entdeckt, wenn der Anbieter, der die Einzahlung auf seinem Bankkonto nicht sieht, seinen Kunden kontaktiert und erfährt, was passiert ist.

Wie wir bereits erwähnt haben, ist diese Technik bei Kriminellen weit verbreitet und wurde bereits von unseren Straf- und Zivilgerichten geahndet. Sie hatten Gelegenheit, unter anderem über die zentrale Frage dieses Artikels zu entscheiden: Hat die vom Schuldner geleistete Zahlung eine befreiende Wirkung? Mit anderen Worten: Muss der Schuldner, sobald der Vorfall aufgedeckt wurde, seinem Gläubiger den Betrag zahlen, der bereits auf dem Konto des Cyberkriminellen gutgeschrieben wurde, oder wird er durch die Zahlung von seiner Verpflichtung befreit?

Um diese Frage zu klären, müssen wir zunächst von der allgemeinen Regel in Artikel 1162 des Bürgerlichen Gesetzbuchs ausgehen, die besagt, dass die Zahlung an denjenigen erfolgen muss, "zu dessen Gunsten die Verpflichtung begründet wurde".

Es gibt jedoch zwei Ausnahmen von der allgemeinen Regel: (i) die in Artikel 1163 des Bürgerlichen Gesetzbuchs vorgesehene: "[...] eine an einen Dritten geleistete Zahlung ist insoweit wirksam, als sie dem Gläubiger zugute kommt"; und insbesondere (ii) die in Artikel 1164 des Bürgerlichen Gesetzbuchs enthaltene: "Eine gutgläubige Zahlung an die Person, die im Besitz der Leistung ist, befreit den Schuldner".

Auf der Grundlage dieser beiden Grundsätze hat sich unsere Rechtsprechung zur befreienden Wirkung der im Rahmen eines "Man in the Middle"-Betrugs geleisteten Zahlung geäußert, insbesondere zu den Voraussetzungen oder Elementen, die für die Beantwortung der gestellten Frage geprüft werden müssen.

Zur Klarstellung verweisen wir zuerst auf die Entscheidung des Landgerichts von Madrid (10. Abteilung), Urteil Nr. 501/2019 vom 28. Oktober:

" Kurz gesagt, ist in diesem letzten Fall, von dem die Entschließung der zur Verhandlung gestellten Angelegenheit abhängt, davon auszugehen, dass für die befreiende Wirkung der vom Schuldner an den Scheingläubiger geleisteten Zahlung das Zusammentreffen von drei Voraussetzungen erforderlich ist: die tatsächliche Zahlung durch den Schuldner; der Besitz des Guthabens oder der Anschein der Inhaberschaft des Guthabens, der plausibel oder objektiv glaubhaft sein muss, d. h. den guten Glauben rechtfertigen muss, wenn an eine andere Person als den wahren Gläubiger gezahlt wird; und der gute Glaube des Schuldners oder der Zahlungsempfänger; [...] der bloße subjektive Glaube oder die Überzeugung, dass an den wahren Gläubiger gezahlt wird, reicht nicht aus, da es erforderlich ist, dass ein solcher Glaube auch dann besteht, wenn die nach den Umständen des Falles wirklich erforderliche Sorgfalt angewandt wurde, und er muss sich aus objektiven und zuverlässigen Daten ergeben. Objektiver guter Glaube, der im Gegensatz zum subjektiven guten Glauben nicht vorausgesetzt wird, sondern von der Partei, die sich darauf beruft, bewiesen werden muss (Art. 217 EGV). Und wenn diese Voraussetzungen, wie im vorliegenden Fall, nicht gegeben sind, ist der Schuldner verpflichtet, an seinen Gläubiger zu zahlen, unbeschadet des Anspruchs auf Rückgabe dessen, was er für den Gläubiger hielt [...]".

Damit die von einem gutgläubigen Dritten an einen Nichtgläubiger geleistete Zahlung eine befreiende Wirkung entfalten kann, müssen folgende Voraussetzungen erfüllt sein: (i) es muss sich um eine tatsächliche Zahlung handeln; (ii) es muss der begründete und gerechtfertigte Anschein bestehen, dass der Kredit in seinem Besitz ist; und (iii) der Schuldner muss gutgläubig sein, was objektiv zu verstehen ist und im Lichte der Anwendung der gebotenen Sorgfaltspflicht geprüft wird.

In diesen Fällen, in denen weder die Zahlung an einen Dritten noch der subjektive gute Glaube, d. h. die Überzeugung, dass derjenige, der zahlt, an den wahren Gläubiger zahlt, für die befreiende Wirkung der Zahlung ausschlaggebend ist, wird das Zusammentreffen von objektivem gutem Glauben, der sich, wie wir bereits dargelegt haben, aus der Anwendung der gebotenen Sorgfalt ergibt, bestimmt. Nur die Einhaltung einer solchen Sorgfalt, die sich auf die Besonderheiten des jeweiligen Falles bezieht, erlaubt es uns, die Angemessenheit des Anscheins zu bejahen, der die Zahlung an einen Dritten rechtfertigt und die Schuld befreit.

Daher ist es nicht möglich, eine allgemeine Antwort auf die gestellte Frage zu geben, sondern wir müssen notwendigerweise die besonderen Umstände jedes einzelnen Falles berücksichtigen.

Im Gegensatz zu dem vorangegangenen Fall, in dem das Gericht entschied, dass der Schuldner dem wahren Gläubiger den bereits an den Cyberkriminellen gezahlten Betrag zurückzahlen muss, wird in dem folgenden Fall, der vom Handelsgericht Bilbao Nr. 2 in seinem Urteil Nr. 152/2021 vom 11. März entschieden wurde, das Gegenteil festgestellt:

"Mit der Präzisierung, die ich in Bezug auf den Betrag vornehmen werde, wird die Anfechtung zugunsten der Konkurspartei entschieden, da in Anbetracht der Gesamtumstände als erwiesen gelten muss, dass Balzola mit der erforderlichen Sorgfalt gehandelt hat. Er handelte nämlich, nachdem er eine E-Mail von derselben Person, mit der er zuvor die Zahlung vereinbart hatte, und von derselben E-Mail-Adresse erhalten hatte. Noch wichtiger ist, dass er bei der Überweisung eine Quittung erhielt, aus der hervorging, dass der Begünstigte der Überweisung das anfechtende Unternehmen war. Balzola hatte also keinen Grund, eine unerlaubte Handlung zu vermuten, weshalb die von ihm geleistete Zahlung wirksam sein sollte".

Zusammenfassend lässt sich also feststellen, dass die befreiende Wirkung einer vom Schuldner in gutem Glauben an einen Dritten, der nicht der Gläubiger ist, geleisteten Zahlung davon abhängt, ob der Gläubiger mit der gebotenen Sorgfaltspflicht gehandelt hat, und dass es nicht möglich ist, eine einheitliche Antwort für alle Fälle zu finden. Zu diesem Zweck ist es wichtig, die Umstände jedes einzelnen Falles zu bewerten, indem zahlreiche Elemente beachtet werden, wie z. B.: (i) die vom Täter verwendete E-Mail-Adresse; (ii) das Vorhandensein offensichtlicher äußerer Anzeichen, die auf ein mögliches Hacking hinweisen; (iii) das Vorhandensein früherer Geschäftsbeziehungen, bei denen die Zahlung auf ein anderes Konto oder über einen anderen Kontakt erfolgte; usw.

Pedro Pérez-Cuesta Llaneras
Avocat chez Illeslex Abogados