Rechnungen per E-Mail: Gerichte erhöhen Druck auf Handwerksbetriebe
Rechnungen per E-Mail: Gerichte erhöhen Druck auf Handwerksbetriebe
Zwei aktuelle Gerichtsurteile bringen viele Handwerksbetriebe ins Grübeln: Wer Rechnungen per E-Mail verschickt, muss sie künftig deutlich besser absichern. Nach Ansicht der Gerichte reicht die übliche E-Mail-Übertragung nicht aus, um sensible Kundendaten zu schützen. Im schlimmsten Fall können Unternehmen sogar auf offenen Rechnungen sitzen bleiben.
Hackerangriffe auf Rechnungen beschäftigen Gerichte
In den zugrunde liegenden Fällen hatten Betrüger E-Mails mit Rechnungen abgefangen und verändert. Kunden überwiesen das Geld daraufhin auf manipulierte Konten. Das Problem: Aus Sicht der Gerichte lag die Verantwortung nicht allein bei den Betrügern.
Die Richter argumentierten, dass die Unternehmen die Daten beim Versand nicht ausreichend geschützt hatten. Da Rechnungen auch personenbezogene Informationen enthalten, greifen hier die Anforderungen der Datenschutz-Grundverordnung (DSGVO). Wird der Schutz vernachlässigt, können Kunden Schadenersatz verlangen.
Ein Handwerker verlor die komplette Auftragssumme
Besonders deutlich wurde das beim Urteil des Oberlandesgerichts Schleswig-Holstein. Ein Betrieb verlor rund 15.000 Euro, weil die Rechnung per unzureichend geschützter E-Mail verschickt worden war. Das Geld war auf einem Betrügerkonto gelandet.
In einem weiteren Verfahren vor dem Landgericht Koblenz wurde die Haftung etwas anders bewertet: Dort musste der Kunde einen Teil des Schadens selbst tragen, weil auch er nicht aufmerksam genug gewesen war. Dennoch blieb ein erheblicher Teil beim Unternehmen hängen.
Warum normale E-Mails laut Gerichten nicht mehr ausreichen
Viele E-Mails werden heute automatisch über sogenannte Transportverschlüsselung (TLS) übertragen. Dabei werden Daten auf dem Weg durchs Internet zwar verschlüsselt gesendet, jedoch nicht durchgehend.
Die Nachricht wird über mehrere Server geleitet. An diesen Zwischenstationen kann sie kurzfristig unverschlüsselt vorliegen. Genau hier sehen Sicherheitsbehörden und Gerichte eine mögliche Schwachstelle, die Angreifer ausnutzen können.
Gefordert: Ende-zu-Ende-Verschlüsselung
Nach Ansicht der Gerichte müssen Unternehmen deshalb stärker auf Ende-zu-Ende-Verschlüsselung setzen. Dabei wird die E-Mail bereits beim Absender verschlüsselt und erst beim Empfänger wieder entschlüsselt. Nur diese beiden Parteien können den Inhalt lesen.
Technisch erfolgt das meist über zwei Standards:
- S/MIME, der vor allem in Unternehmen verbreitet ist
- OpenPGP, das häufig im privaten Umfeld genutzt wird
Allerdings bringt dieses System neue Herausforderungen mit sich. Beide Seiten müssen kompatible Verfahren nutzen und ihre Verschlüsselung korrekt einrichten. Genau das macht die Lösung im Alltag kompliziert.
Verbände halten Umsetzung im Alltag für schwierig
Auch Branchenverbände sehen hier ein Problem. Der Zentralverband Deutsches Baugewerbe weist darauf hin, dass eine flächendeckende Ende-zu-Ende-Verschlüsselung im Austausch mit Privatkunden oder öffentlichen Auftraggebern kaum praktikabel sei.
Gerade kleinere Betriebe stoßen schnell an technische und organisatorische Grenzen. Deshalb wird zunehmend diskutiert, ob klassische E-Mails überhaupt noch das richtige Mittel sind, um wichtige Dokumente wie Rechnungen oder Verträge zu versenden.
Trend zu Plattformen und E-Rechnungsnetzwerken
Im Geschäftsverkehr könnten künftig andere Lösungen dominieren. Ein Beispiel ist das internationale PEPPOL-Netzwerk, das für standardisierte elektronische Rechnungen genutzt wird und bereits von öffentlichen Auftraggebern eingesetzt wird.
Auch Anbieter von Unternehmenssoftware oder Buchhaltungssystemen stellen eigene Plattformen bereit, über die Dokumente sicher ausgetauscht werden können.
Alternativen für Rechnungen an Privatkunden
Für Rechnungen an Endkunden gibt es derzeit mehrere Möglichkeiten, die zumindest zusätzliche Sicherheit bieten:
- Kundenportale: Rechnungen werden in einem geschützten Onlinebereich bereitgestellt.
- Downloadlinks aus der Unternehmens-Cloud: Kunden laden Dokumente über einen individuellen Link herunter.
- Digitale Signaturen: Sie verhindern zwar keine Manipulation, machen Änderungen aber sichtbar.
Welche Lösung am besten passt, hängt stark von den technischen Abläufen im Betrieb und bei den Kunden ab.
Übergangslösung: Bankdaten im Vertrag festhalten
Bis sich sichere Standards etabliert haben, empfehlen Experten eine pragmatische Maßnahme: Die Bankverbindung für Rechnungszahlungen sollte bereits im Vertrag eindeutig festgelegt werden. So lässt sich das Risiko reduzieren, dass manipulierte Kontodaten unbemerkt übernommen werden.
Podcast-Tipp zum Thema Rechnungsversand
Wer sich tiefer mit den rechtlichen Hintergründen beschäftigen möchte, findet weitere Einblicke im Podcast Werken mit Recht. In der Episode „Abgerechnet wird per Mail – oder doch nicht?“ wird ausführlich erklärt, welche Risiken beim Rechnungsversand bestehen und welche Lösungen Unternehmen nutzen können.
Fazit: Rechnungsversand wird zum Sicherheits-Thema
Die Urteile zeigen deutlich, dass der digitale Rechnungsversand rechtlich zunehmend sensibel wird. Unternehmen müssen ihre Prozesse überprüfen und überlegen, ob klassische E-Mails noch ausreichen.
Für viele Betriebe dürfte der Trend in Richtung sicherer Plattformen, E-Rechnungsnetzwerke und strukturierter digitaler Prozesse gehen.
Quelle: Magazin Norddeutsches Handwerk