Mobile-Menu
  DB Podcast

Uneinigkeit bei den Gerichten Maximale Sicherheit oder Erreichbarkeit: Wie viel Verschlüsselung brauchen E‑Mail‑Rechnungen?

Ein Gastbeitrag von Melanie Ludolph 3 min Lesedauer

Anbieter zum Thema

FIS Informationssysteme und Consulting GmbH

Rechnungen per E-Mail gehören im E-Commerce zum Alltag. Lange Zeit war das rechtlich kaum ein Thema. Das ändert sich derzeit. Mehrere Gerichte beschäftigen sich mit der Frage, welche Sicherheitsanforderungen beim Versand elektronischer Rechnungen gelten.

(Bild: © A_Bruno/stock.adobe.com)
(Bild: © A_Bruno/stock.adobe.com)

DARUM GEHT'S

Rechtliche Unsicherheit: Gerichte bewerten die erforderliche Sicherheit beim Versand von E-Mail-Rechnungen unterschiedlich, wodurch unklar bleibt, wer im Schadensfall das Risiko trägt.

Ende-zu-Ende-Verschlüsselung: Technisch hohes Sicherheitsniveau, aber im Massenmarkt kaum verbreitet und daher als allgemeiner Standard für Verbraucherkommunikation fraglich.

Maßstab Verbraucherrealität: Sicherheitsanforderungen sollten sich daran orientieren, was Nutzer tatsächlich anwenden können, nicht an theoretisch möglichen Technologien.

Ausgangspunkt sind Fälle, in denen Rechnungen auf dem Übertragungsweg per E-Mail manipuliert wurden und Zahlungen auf fremden Konten landeten. Die Frage lautet dann regelmäßig: Wer trägt das Risiko? Die Antworten fallen unterschiedlich aus. Während das Schleswig-Holsteinische Oberlandesgericht hohe Anforderungen an die Absicherung elektronischer Kommunikation erkennen lässt, hat das Landgericht Karlsruhe jüngst entschieden, dass beim Versand von Rechnungen an Verbraucher eine Transportverschlüsselung genügt. Eine Ende-zu-Ende-Verschlüsselung sei nicht erforderlich.

Auf den ersten Blick wirkt das wie eine technische Detailfrage. Tatsächlich geht es um etwas Grundsätzlicheres: Welchen Maßstab legt man an digitale Kommunikation an?

Die Digitalisierung darf nicht dazu führen, dass an alltägliche Kommunikationsvorgänge plötzlich Anforderungen gestellt werden, die in der analogen Welt niemand ernsthaft erwarten würde.

Melanie Ludolph, Rechtsanwältin bei Fieldfisher

Der Verbraucher als Maßstab

Wer hohe Verschlüsselungsanforderungen fordert, sollte zunächst eine einfache Frage beantworten: Wie viele Verbraucher können überhaupt Ende-zu-Ende-verschlüsselte E-Mails empfangen? Die meisten Kunden nutzen Web.de, GMX, Gmail oder Outlook. Sie bestellen online, erhalten ihre Rechnung und bezahlen sie. Zertifikate, öffentliche Schlüssel oder S/MIME-Konfigurationen gehören dagegen nicht zu ihrem Alltag. Genau deshalb erscheint die Diskussion stellenweise bemerkenswert. Denn wenn eine Kommunikationsform besondere technische Kenntnisse voraussetzt, stellt sich die Frage, ob sie überhaupt als allgemeiner Maßstab für die Kommunikation mit Verbrauchern taugt.

Anders formuliert: Kann von Unternehmen verlangt werden, einen Kommunikationsweg zu nutzen, den viele Empfänger selbst nicht ohne Weiteres nutzen können?

Der Vergleich mit der Briefpost

Besonders deutlich wird das bei einem Gedankenexperiment. Wäre dieselbe Rechnung per Brief verschickt worden, würde kaum jemand darüber diskutieren, ob der Umschlag ausreichend gegen Manipulationen geschützt war. Auch Briefe können verloren gehen, abgefangen oder verändert werden. Dennoch gelten sie als üblicher und zulässiger Kommunikationsweg. Warum sollte bei E-Mails etwas anderes gelten? Die Digitalisierung darf nicht dazu führen, dass an alltägliche Kommunikationsvorgänge plötzlich Anforderungen gestellt werden, die in der analogen Welt niemand ernsthaft erwarten würde.

Was daraus folgt

Natürlich müssen Unternehmen angemessene Sicherheitsmaßnahmen ergreifen. Die Frage ist jedoch, was angemessen bedeutet. Technisch lässt sich nahezu immer ein noch höheres Sicherheitsniveau verlangen. Daraus folgt aber nicht automatisch, dass dieses Niveau auch rechtlich geboten sein sollte.

Sicherheitsanforderungen müssen sich letztlich daran messen lassen, ob sie im Alltag tatsächlich funktionieren. Die Entscheidung des LG Karlsruhe überzeugt deshalb vor allem aus einem Grund: Sie orientiert sich an der Realität der Kommunikation mit Verbrauchern. Solange Ende-zu-Ende-verschlüsselte E-Mails im Massenmarkt die Ausnahme sind, erscheint es wenig überzeugend, Unternehmen genau diesen Standard faktisch abzuverlangen. Sicherheit ist wichtig. Sie sollte aber dort ansetzen, wo Menschen tatsächlich kommunizieren – und nicht dort, wo sie es theoretisch könnten.

E-Mail - Rechnungen – Sicherheit Melanie Ludolph
ist Rechtsanwältin bei der europäischen Wirtschaftskanzlei Fieldfisher. Seit fast zehn Jahren berät sie Unternehmen und internationale Konzerne aus verschiedenen Branchen zu allen Aspekten des Datenschutzrechts sowie angrenzenden Rechtsgebieten.

Bildquelle: Fieldfisher

Jetzt Newsletter abonnieren

Verpassen Sie nicht unsere besten Inhalte

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte