Rechnungsversand per E-Mail: Betrüger kassieren Rechnungsbeträge!

KURZFASSUNG 1. Kriminelle Hacker attackieren vermehrt den Email-Verkehr der Autohäuser mit Fahrzeugkäufern, um dort unbemerkt die Kontodaten auf versandten Verträgen und Rechnungen zu ersetzen und so die Kaufpreiszahlungen auf andere Konten zu leiten. 2. Für den Händler erforderlich ist deshalb eine laufende Überprüfung seines EDV-Sicherheitssystems und eine sofortige umfassende Reaktion bei Bemerken eines solchen Angriffs. Zu empfehlen ist, Rechnungen generell nicht per Email zu versenden. 3. Wenn der Fahrzeughändler alles ihm mögliche unternommen hat, um Schaden von seinen Kunden abzuhalten, können Schadensersatzansprüche allerdings ausgeschlossen und vom Käufer weiterhin Kaufpreiszahlung verlangt werden. Der elektronische Versand von Rechnungen ist heute Standard. Weil es einfach ist, werden auch Vertragsunterlagen im Neu- und Gebrauchtwagenverkauf nicht nur im Distanzgeschäft bevorzugt per E-Mail ausgetauscht. Dies nutzen Betrüger mit zunehmender Intensität, um sich unbemerkt in der Korrespondenz zwischen dem Fahrzeugverkäufer und dem Kunden dazwischen zu schalten und die Kaufpreiszahlungen auf andere Konten umzuleiten. Vor allem bei hochpreisigen Fahrzeugen ist dies ein ausgesprochen lukratives "Geschäft". Auch wenn zunächst der Fahrzeugkäufer der Geschädigte ist, kann dies jedenfalls dann zu einer Haftung und Eintrittspflicht des Betriebes führen, wenn Sicherheitslücken im EDV-System bestehen und auf solche nicht unmittelbar reagiert wird. Das Vorgehen der Betrüger Die Betrüger hacken das E-Mail-System des Betriebes und greifen dabei per E-Mail versandte Fahrzeugbestellungen, Auftragsbestätigungen und Rechnungen ab. Vor Weiterleitung an den Kunden ersetzen sie das auf den Unterlagen angegebene Konto des Betriebes durch ein anderes Konto, auf welches die Hacker selbst oder über Dritte zugreifen können. Auch die Antworten und die Rückleitung der vom Kunden unterschriebenen Bestellung an den Betrieb erfolgen über denselben "Umweg". Die Bankverbindung wird dabei wieder auf die ursprünglichen Angaben zurückgesetzt, sodass sich für den Betrieb die gegenüber dem Kunden erfolgte Manipulation nicht feststellen lässt. In der Konsequenz überweist der Kunde den Fahrzeugkaufpreis dann nicht an den Betrieb, sondern auf das manipuliert angegebene Konto. Die Abwicklung des Kaufvertrages bleibt wegen fehlendem Kaufpreiseingang offen und erst, wenn der Kunde die Zahlungsbestätigung anfordert oder sein Fahrzeug abholen möchte, wird der erfolgte Betrug entdeckt. Aktuelle Fälle Die entsprechende Betrugsmasche soll sich im asiatischen Raum entwickelt haben. Zwischenzeitlich sind auch hierzulande bereits zahlreiche Fälle bekannt, in denen Fahrzeughändler Opfer entsprechender Angriffe wurden. Jeder Betrieb hat damit zu rechnen, dass auch er jederzeit Ziel solcher Angriffe sein kann. Im Fall eines Fahrzeughändlers im süddeutschen Raum wurden aktuell die E-Mail-Accounts der Verkaufsabteilung gehackt und im engen zeitlichen Zusammenhang mit einem Gesamtschaden in Höhe von über 300.000 Euro insgesamt vier verschiedene Gebrauchtwagenkäufer zur Zahlung auf falsche Konten veranlasst. Dabei handelte es sich um Konten bei deutschen Banken, beispielsweise einer Bank C 24 in Frankfurt. Wer jeweils Inhaber dieser Konten ist oder war, wird erst im Rahmen der laufenden Ermittlungen festzustellen sein. Bereits jetzt kann aber mit großer Wahrscheinlichkeit davon ausgegangen werden, dass sich die Betrüger keiner eigenen Konten bedient haben, sondern mehr oder weniger arglose Dritte mit Provisionsversprechen zur Mithilfe bewegt haben. Nachdem der Fahrzeughändler über seine Kunden Kenntnis von den fehlgeleiteten Zahlungen erhalten hat, musste er im Rahmen der unmittelbar eingehenden Überprüfungen nachträglich feststellen, dass die vermeintlich von den Kunden direkt eingegangenen E-Mails einschließlich der unterschriebenen Fahrzeugbestellungen bei den E-Mail-Adressen der Kunden jeweils gleichbleibend geringfügige Abweichungen aufwiesen. So fehlte beispielsweise bei einem Kunden im Vornamen der Buchstabe "i". Die Abweichungen waren derart minimal, dass sie nicht aufgefallen sind und auch nicht auffallen mussten. Auch ein geringeres Datenvolumen der in den Rücklauf gelangten Fahrzeugbestellungen wurde erst im Rahmen der nachträglichen Überprüfung festgestellt. Sofortige Reaktion erforderlich In einem Fall wie dem oben geschilderten ist eine sofortige Reaktion des Betriebes erforderlich. Zur Vermeidung von Folgefällen muss mit Präferenz die Einbruchstelle der kriminellen Betrüger in das firmeneigene EDV-System beseitigt werden. Bei den laufend offenen Verkaufsvorgängen sind die Kunden zu kontaktieren und vor gegebenenfalls falschen Kontoangaben zu warnen. Keinesfalls darf eine solche Warnung aber über das gehackte E-Mail-System erfolgen. Es sind sichere Wege der Kommunikation zu wählen wie beispielsweise ein Telefonanruf, mit welchem die richtige Bankverbindung gleich unmittelbar abgeglichen werden kann. Ein solches Telefonat oder Mitteilung auf anderem Wege könnte vom Kunden allerdings theoretisch wiederum für einen Phishing-Versuch gehalten werden, sodass gegebenenfalls zusätzliche Nachweise anzubieten sind beispielsweise über vorangegangene Reparaturrechnungen oder über einen Aufruf der Homepage. Unabhängig davon ist der Kunde durch die Mitteilung jedenfalls gewarnt und kann dem Verkäufer im Falle einer dennoch folgenden Fehlüberweisung keine Untätigkeit vorhalten. Den bereits geschädigten Kunden ist eine sofortige Strafanzeige bei der Staatsanwaltschaft wegen Betrug nahezulegen, dort bei der Fachstelle für Cyberkriminalität. Ebenso zumindest der Versuch, das überwiesene Geld über die Bank zurückzuholen oder wenigstens blockieren zu lassen. Auch der Betrieb sollte sinnvollerweise Strafanzeige stellen. Dies jedenfalls in den Fällen, in denen die Kunden nicht die entsprechenden Schritte unternehmen, vor allem aber auch in den Fällen des bloßen Versuches, in denen eine Fehlüberweisung noch verhindert werden konnte. Organisatorische Maßnahmen An erster Stelle der zu empfehlenden Vorsorgemaßnahmen steht natürlich eine laufende Überprüfung des EDV-Sicherheitssystems, insbesondere ob nach aktuellen Standards ausreichender Schutz gegen unbefugtes Eindringen in das EDV-System besteht. Gleichwohl werden sich Cyberangriffe nicht immer vermeiden lassen, so das grundsätzlich darüber nachgedacht werden sollte, zumindest die Rechnungen im Fahrzeugverkauf nicht per E-Mail zu verschicken. Alternativ stehen in vielen Betrieben beispielsweise App-Systeme zum Versand über Handy zur Verfügung. Gedacht werden kann natürlich auch an eine Rechnungsübermittlung über Social Media-Systeme oder gar mit der guten alten Briefpost. Ein weiterer Baustein ist die Schulung und Sensibilisierung der Verkäufer betreffend Verdachtsmomente bei Vertragsanbahnungen per E-Mail, um Ungereimtheiten in der Korrespondenz bereits vor Rechnungsversand zu erkennen. So weisen unter anderem das Fehlen oder das Ersetzen von Zeichen oder Buchstaben in Rückantworten auf eine nachträgliche Bearbeitung der empfangenen Nachricht hin. In jedem Fall erweist sich zumindest parallel ein persönlicher oder telefonischer Kontakt mit dem Kunden immer als hilfreich, spätestens die unmittelbare Nachfrage nach dem Rechnungserhalt mit Abgleich der Kontonummer. Rechtliche Situation Wenn der Kunde den Kaufpreis für das Fahrzeug wegen einer von Betrügern manipulierten Angabe der Bankverbindung auf der Rechnung nicht auf das Konto des Fahrzeugverkäufers überwiesen hat, berührt dies nicht die Wirksamkeit des zugrunde liegenden Kaufvertrages und der hieraus resultierenden Verpflichtungen zur Übergabe des Fahrzeuges auf Seiten des Verkäufers und zur Kaufpreiszahlung auf Seiten des Käufers. In der Konsequenz kann der Verkäufer weiterhin die Abnahme des Fahrzeuges und die Bezahlung des Kaufpreises fordern. Dies gilt jedenfalls unter der Voraussetzung, dass dem Fahrzeugverkäufer kein schuldhaftes Versäumnis vorgehalten werden kann, möglichen Schaden beim Kunden zu vermeiden. Auch die Tatsache, dass in den aktuell besprochenen Fällen die Hacker vorbereitend bereits mit der Fahrzeugbestellung in der dortigen Kopfzeile bei den allgemeinen Geschäftsangaben des Verkäufers die Bankverbindung geändert hatten, führt nicht zur Unwirksamkeit des Kaufvertrages. Die verbindlich getroffene Einigung, welches Fahrzeug der Käufer vom Verkäufer zu welchem Preis erwerben soll, kann damit nicht infrage gestellt und nicht davon abhängig gesehen werden, ob der Käufer der Fahrzeugbestellung außerhalb der konkret getroffenen Vereinbarungen zum Fahrzeugkauf überhaupt eine Bankverbindung des Verkäufers entnehmen konnte und ob eine solche zutreffend angegeben war. Die Erklärungen der Kaufvertragsparteien zu Angebot und Annahme sind dem jeweils anderen Vertragspartner auch zugegangen. Unerheblich ist, dass der Austausch der Erklärungen zum Vertragsabschluss unfreiwillig und unerkannt nicht auf direktem Wege erfolgte. Auch wenn die Rechtsposition des Fahrzeugverkäufers gegenüber derjenigen des Kunden erst einmal die deutlich bessere ist, bleibt die unangenehme Aufgabe, dies mit dem sicherlich völlig unerfreuten Käufer zu kommunizieren und die Situation zu erklären. Rechtsanwalt Robert Glocker kanzlei@raehaug-partner.de www.haug-partner.de KOMMENTAR Betrug im Internet ist kein neues Thema. So sind die Mitarbeiter der meisten Betriebe bereits geschult, gefakte Rechnungen und Mahnungen ebenso zu erkennen wie Phising-Angriffe zum Ausspionieren von Bankdaten und Passwörtern. Auch die nachträgliche Mitteilung angeblich geänderter Kontoverbindungen lässt bereits Misstrauen aufkommen. Die Betrugsmethoden werden aber rapide weiterentwickelt und dabei immer weiter verfeinert. Die aktuelle Vorgehensweise der Hacker erfordert schon gar keine Mitwirkungshandlungen des Gehackten mehr und ist deshalb im Alltagsgeschäft bereits so gut wie nicht mehr zu bemerken. Es ist daher eine Überlegung wert, ob es nicht besser ist, Rechnungen zur Not auch wieder in den Briefkasten einzuwerfen. Zu lösen wäre das Problem allerdings am einfachsten, wenn man die Banken wieder verpflichten würde, die Kontonummern mit dem Zahlungsempfänger abzugleichen.

HWGruppe: Neuer Name, neues Logo, neue Werte

Autoindustrie: Habeck will EU-Klimastrafen verhindern

TÜV-Report 2025: Von Mängelzwergen und Problemriesen

E-Auto-Bestseller in Europa: Skoda verdrängt Tesla

Digitale Ausgabe: Die Top-Themen von AUTOHAUS 22/2024

Alle Schlagzeilen

Rechnungsversand per E-Mail: Betrüger kassieren Rechnungsbeträge!

HASHTAG

#AUTOHAUS next

Erwerb von Grund und Boden und Gebäude: Kaufpreisaufteilung

Leapmotor: "Sehr viel Auto für wenig Geld"

IT-Security: Ist Ihr Unternehmen sicher?

MEISTGELESEN

Dacia: "Wir erobern von anderen Marken"

100 Jahre Emil Frey: Europas größte automobile Firmenparty

Leapmotor: "Sehr viel Auto für wenig Geld"

STELLENANGEBOTE

Werkstattmeister Karosserie (m/w/d)

Leiter IT (w/m/d)

Servicetechniker (m/w/d)

Juniorverkäufer (m/w/d)

Audi Kfz-Mechatroniker (m/w/d)

WEITERLESEN

NEWSLETTER