Phishing in der Kanzlei – Haftung und Versicherungsschutz bei Fremdgeld auf falschem Konto

Phishing in der Kanzlei kostet schnell fremdes Geld. Eine gefälschte E-Mail mit neuer Bankverbindung genügt, und das Geld des Mandanten liegt bei Betrügern. Anja Krebs, Syndikusrechtsanwältin bei der Allianz Versicherungs-AG im Bereich VH-Schaden, hat im Anwaltsblatt zusammengestellt, wann Anwältinnen und Anwälte für solche Fehlüberweisungen haften und wann die Vermögensschadenhaftpflichtversicherung einspringt. Kurz gesagt ist Fahrlässigkeit versichert, Wissentlichkeit nicht. Die Grenze liegt näher, als viele annehmen.

Wie die Angriffe ablaufen

Krebs nennt neben dem klassischen Phishing per E-Mail auch Anrufe (Vishing), SMS (Smishing) und den sogenannten CEO-Fraud, bei dem sich Täter als Vorgesetzte oder Mandanten ausgeben. Allen Varianten gemeinsam ist Social Engineering. Die Täter setzen auf Zeitdruck, Angst, Hilfsbereitschaft oder das Vertrauen in bekannte Absender. Kanzleien sind lohnende Ziele, weil über Fremdgeldkonten hohe Beträge fließen, die Kommunikation überwiegend elektronisch läuft und sich aus Kanzlei-Website, Handelsregister und beA-Verzeichnis viel über Mandate und Zahlungsströme ablesen lässt. Typisch ist die manipulierte Rechnung oder die gefälschte Mandantenanweisung mit geänderter IBAN. Phishing dient außerdem als Einstieg für Schadsoftware, wie die TerminalFix-Kampagne zeigt, vor der das BSI im September gewarnt hat.

Eigenschaden oder Drittschaden

Leert ein Angreifer das Geschäftskonto der Kanzlei, liegt ein Eigenschaden vor. Die VH-Versicherung deckt ihn grundsätzlich nicht, weil kein Dritter geschädigt ist. Anders ist es, wenn eine Anwältin auf eine manipulierte Rechnung hin Mandantengeld vom Fremdgeldkonto auf ein falsches Konto überweist. Dann ist der Mandant geschädigt, und die VH-Versicherung kommt in Betracht, sofern die übrigen Voraussetzungen vorliegen. Die Pflicht dahinter steht im Gesetz. Nach § 43a Abs. 7 BRAO sind Anwältinnen und Anwälte bei anvertrauten Vermögenswerten zur erforderlichen Sorgfalt verpflichtet. § 4 BORA regelt Weiterleitung und Verwaltung von Fremdgeldern im Einzelnen.

Wo der Versicherungsschutz endet

Die VH-Versicherung deckt auch leichte Fahrlässigkeit, schließt aber die wissentliche Pflichtverletzung aus. Wissentlich handelt, wer die verletzte Pflicht positiv kennt und sich bewusst ist, gegen sie zu verstoßen. Eine Schädigungsabsicht ist nicht nötig. Die Beweislast trägt grundsätzlich der Versicherer. Bei elementaren Berufspflichten, deren Kenntnis bei jedem Berufsträger vorausgesetzt werden kann, gelten aber Beweiserleichterungen (BGH, Urteil vom 17.12.2014 – IV ZR 90/13). Wer ohne jede Rückfrage beim Mandanten eine per E-Mail mitgeteilte neue Kontoverbindung für eine sechsstellige Überweisung übernimmt, verletzt nach Krebs eine solche elementare Pflicht. Ob darin zugleich Wissentlichkeit liegt, entscheidet der Einzelfall.

Wie schnell die Deckung entfallen kann, zeigt ein Fall aus der Schadenpraxis. Eine Hausverwalterin gab auf einer gefälschten Bankseite ihre Zugangsdaten ein und autorisierte anschließend 14 Überweisungen per Push-TAN, Schaden über 130.000 Euro. Das LG Frankfurt am Main bestätigte den Deckungsausschluss, weil die vierzehnfache Freigabe ohne Prüfung eine elementare Berufspflicht verletze (Urteil vom 9. August 2024 – 2-08 O 286/22). Umgekehrt fehlt es am Versicherungsfall, wenn realisierbare Erstattungsansprüche bestehen, etwa gegen die Bank nach § 675u BGB bei einem nicht autorisierten Zahlungsvorgang oder gegen sogenannte Money Mules, die ihr Konto für die Weiterleitung der Beute hergeben.

E-Mail-Sicherheit nach dem OLG Karlsruhe

Das OLG Karlsruhe hatte über eine Rechnung über 13.500 Euro zu entscheiden (Urteil vom 27. Juli 2023 – 19 U 83/22). Zwei Minuten nach der echten E-Mail erhielt die Empfängerin eine zweite von derselben Absenderadresse, mit manipulierter Rechnung und anderer Bankverbindung. Die Zahlung auf das falsche Konto erfüllte die Schuld nicht (§ 362 BGB). Eine Pflicht des Absenders zu Ende-zu-Ende-Verschlüsselung, PDF-Verschlüsselung oder Sender Policy Framework verneinte der Senat, weil all das nicht verkehrsüblich sei. Er betonte aber das erhebliche Mitverschulden der Empfängerin (§ 254 BGB). Die gefälschte E-Mail wechselte die Anrede, enthielt sprachliche Fehler und nannte einen Kontoinhaber ohne Bezug zum Geschäft. Für die VH-Praxis folgert Krebs, dass das Übergehen solcher Warnsignale den Grad der Fahrlässigkeit erhöht und im Extremfall zur Wissentlichkeit führen kann.

Der IBAN-Namensabgleich

Seit dem 9. Oktober 2025 müssen Banken aufgrund der Verordnung (EU) 2024/886 bei Überweisungen prüfen, ob der angegebene Empfängername zur IBAN passt, und bei Abweichungen warnen. Wer vom Fremdgeldkonto trotz eines solchen Warnhinweises überweist, ohne beim Mandanten oder Zahlungsempfänger nachzufragen, wird sich nach Krebs kaum auf schuldloses Handeln berufen können. Verlassen sollte man sich auf den Abgleich trotzdem nicht. Die Täter fälschen inzwischen auch den Empfängernamen.

VH-Versicherung und Cyber-Police

Die VH-Versicherung greift bei einer beruflichen Pflichtverletzung, die einem Dritten einen Vermögensschaden zufügt. Die Cyber-Versicherung setzt beim Cyberereignis selbst an und kann auch Eigenschäden und verschuldensunabhängige Kosten abdecken, etwa die Wiederherstellung der IT nach einem Angriff. Beide können sich ergänzen. Ob Schäden durch reines Social Engineering erfasst sind, hängt von den jeweiligen Versicherungsbedingungen ab.

Was Kanzleien konkret tun können

• Neue Kontoverbindungen nie allein auf eine E-Mail hin übernehmen. Das BSI rät, zweifelhafte Aufforderungen über einen anderen Kommunikationsweg zu verifizieren. Naheliegend ist ein Anruf unter der bereits bekannten Nummer des Mandanten, nicht unter der aus der verdächtigen Nachricht.
• Klare interne Regeln für Zahlungsfreigaben vom Fremdgeldkonto festlegen und bei höheren Beträgen das Vier-Augen-Prinzip anwenden.
• Den Warnhinweis des IBAN-Namensabgleichs nie wegklicken, sondern zuerst rückfragen.
• Auf typische Warnsignale achten, etwa geänderte Anrede, sprachliche Fehler, einen sachfremden Kontoinhaber oder auffälligen Zeitdruck.
• Alle Mitarbeiterinnen und Mitarbeiter mit Kontozugang regelmäßig schulen und das dokumentieren. Im Schadenfall belegt die Dokumentation, dass die Kanzlei ihren Organisationspflichten nachgekommen ist.
• Den Grundschutz pflegen. Das BSI nennt aktuelle Updates für Betriebssystem und Programme, aktuelle Virenschutzsoftware und eine aktive Firewall. Links und Anhänge aus zweifelhaften E-Mails werden nicht geöffnet.

Für die Vertraulichkeit der Mandatskommunikation verlangt § 2 Abs. 2 BORA ohnehin organisatorische und technische Maßnahmen, die risikoadäquat und zumutbar sind. Gegen Phishing hilft Technik allein aber wenig. Entscheidend ist der eingeübte Ablauf vor jeder Überweisung. Er schützt die Mandanten und zugleich den eigenen Versicherungsschutz.

Stand 22.10.2026