OLG Oldenburg v. 17.4.2026 – 5 U 89/25: Zahlungsverpflichtung nach Identitätsdiebstahl – Käufer muss trotz manipulierter Bankverbindung erneut zahlen

Leitsatz: Wer aufgrund einer manipulierten E-Mail den Kaufpreis auf ein fremdes Konto überweist, wird gegenüber dem Verkäufer nicht frei. Der Kaufpreisanspruch bleibt bestehen, sofern dem Verkäufer kein pflichtwidriges Verhalten nachgewiesen werden kann.

Sachverhalt

Der Beklagte kaufte bei einem Autohaus einen Gebrauchtwagen für rund 17.000 €. Seine Tochter bat per E-Mail um Mitteilung der Kontodaten. Unbekannte Dritte griffen in die E-Mail-Kommunikation ein („Man-in-the-Middle-Angriff“), fälschten die in einem PDF-Anhang enthaltene IBAN und leiteten die manipulierte E-Mail an die Tochter weiter.

Der Beklagte überwies den Kaufpreis auf das Betrügerkonto. Das Fahrzeug wurde übergeben, der Kaufpreis ging beim Autohaus jedoch nicht ein. Die Täter transferierten das Geld unmittelbar ins Ausland.

Entscheidung des OLG Oldenburg

Das OLG Oldenburg bestätigte das erstinstanzliche Urteil. Die Zahlung an die Unbekannten erfüllte den Kaufpreisanspruch nicht (§ 362 BGB). Der gutgläubige Irrtum des Käufers über die Kontoverbindung ändert daran nichts.

Einen Rechtsmissbrauch durch das Autohaus verneinte das Gericht. Ein Angriff auf dessen Computersysteme ließ sich nicht feststellen; besondere Sicherheitsverfahren für den E-Mail-Verkehr waren nicht vereinbart. Auch ein DSGVO-Verstoß lag nicht vor. Die fehlende Kontrolle des Zahlungseingangs vor Übergabe des Fahrzeugs diente dem Eigeninteresse des Verkäufers und begründet keine Haftung gegenüber dem Käufer.

Ein Schadensersatzanspruch des Käufers schied ebenfalls aus. Seine Tochter hatte selbst den unsicheren Übermittlungsweg per E-Mail gewählt. Ein konkretes Pflichtverletzungsverhalten des Autohauses war nicht nachweisbar.

Praxishinweis

Die Entscheidung verdeutlicht das erhebliche Risiko ungesicherter E-Mail-Kommunikation im Zahlungsverkehr. Man-in-the-Middle-Angriffe nehmen zu. Käufer sollten Bankverbindungen deshalb stets telefonisch oder über einen zweiten, unabhängigen Kommunikationsweg verifizieren, bevor sie größere Beträge überweisen.

Verkäufern ist zu empfehlen, Kontodaten ausschließlich über gesicherte Kanäle zu übermitteln oder auf gesonderte Vereinbarungen über Sicherheitsstandards hinzuwirken. Die Entscheidung zeigt zugleich, dass der Einwand des Rechtsmissbrauchs (§ 242 BGB) und ein Schadensersatzanspruch nur unter engen Voraussetzungen greifen. Erforderlich ist insbesondere der Nachweis eines konkreten Pflichtverletzungsverhaltens des Gläubigers.

Haben Sie Fragen zu Zahlungspflichten nach Identitätsdiebstahl, zur Sicherheit im elektronischen Zahlungsverkehr oder zu Ihren Rechten bei Man-in-the-Middle-Angriffen? Als Fachanwalt für Bank- und Kapitalmarktrecht berate ich Sie kompetent und zielgerichtet. Kontaktieren Sie mich über www.jusra.de.