Eine Transportverschlüsselung (TLS) gilt heute als Mindeststandard für den rechtssicheren E-Mail-Versand. TLS wird im geschäftlichen Verkehr allgemein als sicher und datenschutzrechtlich ausreichend betrachtet, sofern keine besonders sensiblen Daten oder besondere Umstände vorliegen.
Ein befreundeter Jurist sagte mir gegenüber einmal:“ eine Mail hat die Vertraulichkeit einer Postkarte“ und damit liegt er ziemlich richtig. Bei sensiblen Daten oder höherem Schutzbedarf reicht daher eine TLS-Verschlüsselung aber nicht aus, es empfiehlt sich hier eine Ende-zu-Ende-Verschlüsselung oder die sichere Bereitstellung der Informationen über geschützte Portale. Wer und wie haftet aber und in welchem Umfang, wenn beispielsweise ein PDF-Anhang, wie eine Rechnung, beim Absender, beim Transport oder beim Empfänger manipuliert wurde. In der Praxis ist das nicht selten der Fall.
PDF-Rechnung per Mail versenden – was der Paragraph sagt, weiß nur der Jurist!“
Wie ist aber die Haftungsfrage, wenn eine Mail mit PDF-Anhang manipuliert wurde? Hierzu gibt es ein aktuelles Urteil des LG Rostock (Az: 2 O 450/24) das Klarheit schafft. Im vorliegenden Fall wurde die Bankverbindung im PDF-Dokument manipuliert, so dass die Zahlung auf ein falsches Konto geleistet wurde.
Kernaussagen des Urteils:
- Eine Zahlung an ein gefälschtes Konto stellt keine Erfüllung der Rechnungspflicht dar (§ 362 BGB). Der Unternehmer, der die Rechnung gestellt hat, hat also weiterhin Anspruch auf Zahlung vom Kunden, wenn die Zahlung an das falsche Konto erfolgte, ohne Genehmigung oder Autorisierung dafür.
- Das Gericht sah keine Pflichtverletzung des Unternehmens in Bezug auf die Sicherheit der E-Mail-Kommunikation. Der Einsatz von E-Mail im Geschäftsverkehr ist üblich und allgemein bekannt, dass E-Mails ein unsicherer Übertragungsweg sind. Es gibt keine generelle Verpflichtung, E-Mails mit Ende-zu-Ende-Verschlüsselung zu versenden.
- Ein Mitverschulden der Kundin wurde festgestellt, da sie trotz warnender Hinweise wie veränderte Bankverbindung, fehlerhafte Zeichen und HTML-Darstellungen nicht nachfragte oder reagierte. Sie trägt somit ein erhebliches Mitverantwortungsrisiko.
Ich dachte immer, ein PDF-Dokument ist sicher? Sicher ist, dass nichts sicher ist!
Ein Angreifer kann ein PDF im E-Mail-Anhang recht schnell abändern, besonders wenn er direkten Zugriff auf das E-Mail-Konto, den Mailserver oder den E-Mail-Verkehr („Man in the Middle“) hat. Die Manipulation kann automatisiert oder manuell erfolgen und läuft in der Regel innerhalb von Sekunden bis wenigen Minuten ab, was im Rahmen der üblichen Mailweiterleitung nahezu unbemerkt bleibt.
„Sicherheit bei PDFs: Auch Hacker haben gelegentlich Lust auf Papierkram!“
- PDF-Dateien sind kompakte Container, deren Inhalte wie Texte oder Bilder schnell editierbar sind.
- Werkzeuge oder Skripts erlauben automatisierte Modifikationen, sodass ein Austausch innerhalb weniger Sekunden technisch möglich ist.
- Weil die Mailheader sich dabei oft kaum ändern, ist die Manipulation schwer erkennbar.
Ein schneller Austausch des PDFs innerhalb von Minuten ist aus Angreifersicht technisch gut machbar, gerade wenn Authentifizierungs- und Integritätsmechanismen fehlen. Der Angreifer muss keine große Zeitverzögerung riskieren, um das Dokument zu manipulieren. Ein Angreifer könnte ein PDF im E-Mail-Anhang grundsätzlich sehr schnell und oft innerhalb von Sekunden bis Minuten manipulieren, wenn er Zugriff auf das E-Mail-Konto, den Mailserver oder den Datenverkehr zwischen Sender und Empfänger hat. Die schnelle Änderbarkeit von PDF-Dateien und automatisierte Tools machen einen raschen Austausch technisch möglich.
„Rechnungen per Mail – To mail or not to mail? Das ist hier die Frage!“
Unternehmen sollten daher ihre IT-Sicherheitskonzepte prüfen, geeignete Schutzmaßnahmen implementieren und Kunden über mögliche Risiken informieren, um Streitigkeiten und Schaden zu vermeiden. Das gilt aber auch, -und wahrscheinlich in noch größerem Maße- im Privaten Bereich. Wer sich besser schützen möchte, der sollte auch über den Einsatz von S/MIME Zertifikate nachdenken.
Eine S/MIME-Signatur ist eine digitale Signatur, die mithilfe eines sogenannten S/MIME-Zertifikats beim Versenden von E-Mails angewendet wird. Sie bestätigt dem Empfänger, dass die E-Mail tatsächlich vom angegebenen Absender stammt und auf dem Übertragungsweg nicht verändert wurde und schützt daher auch die Integrität.
Schützen Sie daher Ihre Daten besser als die DSGVO Ihren Kaffeebecher –