Der Rechnungsversand per E-Mail ist unsicher

Urteil mit Signalwirkung: Warum der Rechnungsversand per E-Mail keine gute Idee ist – und was Unternehmen jetzt tun sollten 

Ein aktuelles Urteil des Oberlandesgerichts Schleswig-Holstein hat eine Diskussion neu entfacht, die in Fachkreisen schon länger geführt wird: Ist der Versand von Rechnungen per E-Mail überhaupt noch zeitgemäß – geschweige denn sicher?  

Die Richter haben eine klare Antwort gegeben. Und die sollte alle Unternehmen aufhorchen lassen, die noch auf PDF-Rechnungen per Mail setzen. Denn es geht nicht nur um IT-Sicherheit, sondern um Haftung, Datenschutz und letztlich um die Existenzfähigkeit digitaler Geschäftsprozesse.

Was ist passiert? 

Im konkreten Fall ging es um eine Rechnung, die ein Unternehmen unverschlüsselt per E-Mail an einen Kunden versendet hatte. Die PDF-Rechnung wurde jedoch auf dem Weg manipuliert – ein klassischer Man-in-the-Middle-Angriff. Die ursprüngliche Bankverbindung wurde durch die eines Dritten ersetzt. Der Kunde beglich die Rechnung, allerdings auf das manipulierte Konto. 

Die Folge: Das Geld war weg – und die Schuld rechtlich nicht getilgt. Noch schwerwiegender: Das Rechnung stellende Unternehmen wurde vom Gericht für den entstandenen Schaden haftbar gemacht. 

Das Urteil des OLG Schleswig-Holstein im Überblick 

Die Kernaussagen des Urteils (Az.: 12 U 9/24) haben weitreichende Bedeutung: 

• Der Versand einer Rechnung per E-Mail birgt ein erhebliches Sicherheitsrisiko.
• Eine einfache Transportverschlüsselung (etwa mit TLS) reicht nach Auffassung des Gerichts  nicht aus.
• Unternehmen sind verpflichtet, technische und organisatorische Maßnahmen zu treffen, um Manipulationen durch Dritte zu verhindern.
•    Fehlen diese Schutzmaßnahmen, können sie (zumindest) nach Art. 82 DSGVO haftbar gemacht werden.
• Die Beweislast für Zugang und Unverfälschtheit der Rechnung liegt beim Rechnungssteller – ein Nachweis, der vielen Experten bei E-Mail als  nahezu unmöglich erscheint. 

Das Urteil hat damit eine klare Signalwirkung: Wer auf den Versandweg E-Mail für die eigenen digitalen Rechnungen setzt, trägt das Risiko – rechtlich wie wirtschaftlich. 

Warum die E-Mail 2025 kein geeigneter Übertragungsweg ist

E-Mail war lange Zeit der Standardweg für digitale Kommunikation – und auch für Rechnungen. Doch das Internet und die Bedrohungslage haben sich verändert. Cyberangriffe wie Phishing, Spoofing oder PDF-Manipulationen sind längst keine Ausnahme mehr. Der E-Mail-Versand stellt heute ein Einfallstor für Betrug dar

Besonders brisant wird das im Kontext von Geschäftsdokumenten: Rechnungen enthalten sensible Daten, sind rechtlich relevant und werden zunehmend automatisiert verarbeitet. Wenn an dieser Stelle Unsicherheit herrscht, ist der Schaden schnell groß – und oft irreversibel.

Die E-Mail ist auch für E-Rechnungen ungeeignet

Mit der schrittweise zündenden  E-Rechnungspflicht in Deutschland ab 2025 verändert sich nicht nur das Format von B2B-Rechnungen, sondern auch der Anspruch an deren Verarbeitung und Übertragung. Unternehmen müssen Rechnungen künftig in strukturierter elektronischer Form ausstellen – beispielsweise im Format XRechnung oder ZUGFeRD. 

Doch auch diese neuen Formate verlieren schnell erheblich an Wirkung, wenn sie über einen unsicheren Kanal wie E-Mail verschickt werden. Denn die Vorteile strukturierter Daten – wie Automatisierung, Echtzeitverarbeitung oder Nachverfolgbarkeit – lassen sich nur in einem geschützten Übertragungsumfeld wirklich zu einhundert Prozent nutzen.  

Ungesichert versandt über E-Mail ohne Ende-zu-Ende-verschlüsselung öffnen sie neuen und perfideren Betrugsmaschen womöglich nur weitere Tore. Was also tun? Wir sagen es Ihnen! 

Was ist die Alternative zum Empfangen und Versenden? Das Peppol-Netzwerk 

Eine sichere und zunehmend etablierte Alternative zur E-Mail ist das sogenannte Peppol-Netzwerk. Peppol steht für „Pan-European Public Procurement Online“ und wurde ursprünglich für die digitale Beschaffung im öffentlichen Sektor entwickelt. Heute ist Peppol ein international anerkanntes Netzwerk, das den sicheren, standardisierten Austausch von Rechnungen zwischen Unternehmen und Behörden ermöglicht. 

Wie funktioniert Peppol? 

Peppol basiert auf einem Vier-Knoten-Modell, bei dem Versender und Empfänger über sogenannte Access Points  miteinander kommunizieren. Diese stellen sicher, dass nur autorisierte Teilnehmer miteinander Daten austauschen können – standardisiert, manipulationssicher und nachprüfbar. 

Ein Unternehmen, das Rechnungen über Peppol versendet, kann damit nicht nur nachweisen, wann und an wen es die Rechnung geschickt hat – sondern auch, dass der Inhalt nicht verändert wurde. Genau diese Sicherheit fehlt beim E-Mail-Versand. 

Warum jetzt der richtige Zeitpunkt für Unternehmen zum Umstieg ist 

Die Entscheidung des OLG Schleswig-Holstein kommt zu einem Zeitpunkt, an dem sich ohnehin ein großer Wandel abzeichnet. Seit dem 1. Januar 2025 müssen Unternehmen in Deutschland in der Lage sein, E-Rechnungen zu empfangen. Ab 2026 sind die meisten von ihnen auch zur Ausstellung verpflichtet. Spätestens 2028 gilt die Pflicht für alle – mit lediglich einzelnen Ausnahmen, hauptsächlich für sehr niedrige Rechnungsbeträge oder Fahrtickets. 

In diesem Zusammenhang stellt sich nicht mehr die Frage, ob Unternehmen auf digitale Rechnungsprozesse umsteigen sollten – sondern wie sie es tun. 

Ein sogenannter E-Rechnungs- und/oder Softwareanbieter, der den Zugang zum Peppol-Netzwerk bereits integriert hat, kann hier den entscheidenden Unterschied machen. Er ermöglicht nicht nur die Erstellung konformer E-Rechnungen, sondern kümmert sich auch um den sicheren Versand und Empfang – automatisiert, schnell und ohne Zusatzaufwand. 

Billit: Sicher, einfach, Peppol-ready 

Mit Billit erhalten Unternehmen eine Plattform, die nicht nur rechtskonforme E-Rechnungen unterstützt, sondern auch den sicheren Austausch über das Peppol-Netzwerk ermöglicht. Und das ohne technischen Mehraufwand oder komplexe Schnittstellen – sondern eingebettet in eine intuitiv bedienbare Oberfläche, speziell für kleine und mittlere Unternehmen. 

Wer heute noch auf E-Mail setzt, verpasst nicht nur einen wichtigen Digitalisierungsschritt, sondern setzt sich auch rechtlichen Risiken aus. Wer auf Billit setzt, ist für die Zukunft gerüstet  – rechtssicher, effizient und DSGVO-konform. 

Was das für Sie bedeutet? 

Das Urteil des OLG Schleswig-Holstein ist mehr als eine juristische Einzelfallentscheidung – es ist ein Weckruf. Unternehmen müssen ihre Prozesse zur Rechnungsstellung und -übertragung auf den Prüfstand stellen. E-Mail ist in dieser Hinsicht keine tragfähige Lösung mehr. 

Die sichere, digitale Zukunft liegt in Netzwerken wie Peppol – und in Plattformen wie Billit, die diese Entwicklung von Anfang an mitdenken. 

Jetzt ist der richtige Zeitpunkt, sich zukunftssicher aufzustellen.