Kommende E-Rechnungspflicht. Tools dazu

[KOJOTE]

Der Versandt von Rechnungen per E-Mail und seine Tücken:

Was ist passiert?

Ein mittelständisches Unternehmen schickte eine Rechnung an einen Kunden als PDF-Dokument im Anhang zu einer nicht Ende-zu-Ende verschlüsselten E-Mail. Die E-Mail wurde gehackt, und die Kontodaten wurden von Unbekannten geändert. Der Kunde zahlte den Rechnungsbetrag an den Betrüger. Das Unternehmen ging vor Gericht und forderte die Zahlung der Rechnung.

Wie hat das Gericht entschieden?

Das Landgericht Kiel hat den Kunden zur Zahlung verurteilt. Der hat gegen das Urteil Berufung eingelegt. Das OLG Schleswig gab ihm nun Recht. Zwar habe der Kunde auf das falsche Konto gezahlt. Das Unternehmen behalte also seinen Anspruch gegen den Kunden. Aber der Kunde habe gegen das Unternehmen einen Anspruch auf Schadensersatz. Diesen könne er dem Unternehmen entgegenhalten und müsse daher die Rechnung nicht noch einmal zahlen. Das OLG meint, ein mittelständisches Unternehmen müsse vorsichtig mit den persönlichen Daten des Kunden umgehen. Deshalb hätte es die Rechnung mit einer sicheren Ende-zu-Ende-Verschlüsselung verschicken müssen. Datenhacking sei ein Risiko, das man vorhersehen könne.

Quelle:
https://www.schleswig-holstein.de/DE/justiz/gerichte-und-justizbehoerden/OLG/Das_Gericht/Aktuelles/Meldungen_OLG_SL_spez/Meldungen/Urteil_Rechnungsversand?

Also:
Die Zukunft sind wohl ViDA / Peppol / E-Rechnungsnetzwerke.
Strukturierte Rechnungen (XRechnung, ZUGFeRD-Profil XRECHNUNG) sollten wir nicht mehr per Mail versenden, sondern über zentrale Plattformen einreichen - gilt wohl ab 2028 sowieso (B2B/Behörden). S/MIME ist in den meisten Fällen kaum praktikabel, oder?

Auch bei privaten Rechnungen (B2C) dürfen sensible Inhalte ja nicht ungeschützt versendet werden.
Also doch wieder per Post schicken?
Oder passwortgeschütze PDF versenden und das Passwort später telefonisch übermitteln?

Wilde Zeiten.

 

[Mac1985]

Das heissgeliebte OLG Schleswig mal wieder ... ich erinnere mich nur an ein wundersames Schreiben mit "obwohl das Urteil der Vorinstanz offensichtlich rechtsfalsch war, ist es doch ausführlich begründet und da kein Allgemeines Interesse an dem Rechtsraum besteht, wird die Revision abgelehnt" (der Rechtsraum war Insolvenz, also für alle die damit zu tun bekommen - merken, Insolvenzrecht sind nur "bedauerliche Einzelfälle" mit stark begrenzter Revisionsfähigkeit von Fehlurteilen).

 

[wegus]

Man kann es drehen und wenden wie man will. E-Mail ist kein sicheres Verfahren mehr. Wenn beide Seiten zustimmen es zu verwenden, dann kann ich dem Gericht jedoch nicht folgen - weiß doch jede Seite um die Risiken.

Generell wird aber der Weg zum Austausch von Dokumenten sicher weg von E-Mail gehen müssen.

 

[Madcat]

dann kann ich dem Gericht jedoch nicht folgen

Ich kann dem Gericht, leider, sehr wohl folgen. Ja, Email ist nicht sicher. Aber wie kann ich da auf die Idee kommen, dann keine Ende-zu-Ende-Verschlüsselung zu verwenden bei sensiblen Daten? IMHO ist das grob fahrlässig vom Unternehmen gewesen. So etwas MUSS ich als Unternehmen wissen. Man-in-the-middle Angriffe sind ja jetzt auch nix neues dass es erst seit "Gestern" gibt, das war schon zu meinen Studienzeiten vor 20 Jahren ein Thema.

 

[wegus]

Aber wie kann ich da auf die Idee kommen, dann keine Ende-zu-Ende-Verschlüsselung zu verwenden bei sensiblen Daten?

Völlig richtig!

 

[Günther J]

Frag mal einen Handwerksmeister (nur symbolisch), der seine Rechnung mit zwei Fingern tippt, nach Verschlüsselung. Dem hat mal irgendwer gezeigt, wie man e-Mails verschickt. Da kenne ich aus meinem Umfeld mehrere, da ist das so.

 

[Mac1985]

Frag mal einen Handwerksmeister (nur symbolisch), der seine Rechnung mit zwei Fingern tippt, nach Verschlüsselung. Dem hat mal irgendwer gezeigt, wie man e-Mails verschickt. Da kenne ich aus meinem Umfeld mehrere, da ist das so.

Die kleinen Handwerker in meiner direkten Umgebung schicken mir inzwischen vollelektronisch ihre Rechnungen per Smartphone - man darf da keine falschen Vorstellungen haben = "Das Handwerk" ist in vielen Dingen sehr viel weiter als die Konzernspielplätze. So unterschiedlich können Erfahrungen sein.

 

[Madcat]

Die kleinen Handwerker in meiner direkten Umgebung schicken mir inzwischen vollelektronisch ihre Rechnungen per Smartphone - man darf da keine falschen Vorstellungen haben = "Das Handwerk" ist in vielen Dingen sehr viel weiter als die Konzernspielplätze. So unterschiedlich können Erfahrungen sein.

Diese Erfahrung ist bei mir ähnlich. OK, die echt alten Meister aus'm Handwerk, da kannste froh sein wenn die die Tastatur von der Maus unterscheiden können aber spätestens in meiner Altersklasse (50 und Jünger)...die haben zumindest gefühlt mehr Know-How als so mancher IT-Admin, den ich kennenlernen durfte. Grade die unter 40 sind richtig richtig fitt, da staun selbst ich was die auf dem Kasten haben im Bereich IT.

 

[Günther J]

Die kleinen Handwerker in meiner direkten Umgebung schicken mir inzwischen vollelektronisch ihre Rechnungen

Natürlich, solche kenne ich auch. Das sind sogar die meisten. Ich wollte die Aussage von @Madcat („wie kann ich nur…“) relativieren, dass es diverse Selbstständige gibt, die sich solcher Gefahren nicht bewusst sind. Das „warum“ ist ein anderes Thema.

 

[gishmo]

Nach meiner Erfahrung ist die Zahl der Digital Rookies recht hoch. Von daher sehe ich das ähnlich wie @Günther J . Für viele ist IT ein Buch mit sieben Siegeln. Und so lange es irgendwie geht, ist alles egal. Frag einfach mal Menschen, die selbst recht gut mit dem Rechner umgehen, was der Unterschied zwischen HTTP und HTTPS ist. Ich wette, die meisten wissen nicht mal wofür das steht.

 

[fox78]

Frag mal einen Handwerksmeister (nur symbolisch), der seine Rechnung mit zwei Fingern tippt, nach Verschlüsselung. Dem hat mal irgendwer gezeigt, wie man e-Mails verschickt. Da kenne ich aus meinem Umfeld mehrere, da ist das so.

Frag einfach mal Menschen, die selbst recht gut mit dem Rechner umgehen, was der Unterschied zwischen HTTP und HTTPS ist. Ich wette, die meisten wissen nicht mal wofür das steht.

Das ist auch nicht deren Job!

 

[gishmo]

@fox78 das sieht der Gesetzgeber allerdings anders: https://www.macuser.de/threads/das-falsche-selbstverstaendnis-der-it-branche.956957/post-12576773

 

[accuphan]

Die kleinen Handwerker in meiner direkten Umgebung schicken mir inzwischen vollelektronisch ihre Rechnungen per Smartphone - man darf da keine falschen Vorstellungen haben = "Das Handwerk" ist in vielen Dingen sehr viel weiter als die Konzernspielplätze. So unterschiedlich können Erfahrungen sein.

Ich schließe mich an: Konzern-E-Mails (eigene Server, Outlook) landen bei mir (Apple-Rechner; Server bei Strato), ohne dass ich was von Verschlüsselung erlebe. Vielleicht gibt es sie und ich weiß es nur nicht. Vielleicht funktioniert das alles automatisch. Aber ich habe keine Ende-zu-Ende-Verschlüsselungssoftware installiert; und der Partner bräuchte dieselbe, wenn ich das richtig verstanden habe.

Wahrscheinlich sind alle Hinweise hier zu E-Mails, Verschlüsselung und Sicherheit richtig und wichtig. Ich nehme an, dass das alles nicht umgesetzt wird, solange es zu aufwendig ist.