Ein Käufer überweist 320.000 Euro Kaufpreis — und das Geld landet nicht beim Verkäufer, sondern auf einem Konto in Estland. Zwei Minuten vor der Überweisung war eine letzte E-Mail im Postfach: „Bitte beachten Sie unsere geänderte Bankverbindung.“ Absender: scheinbar der Makler. In Wahrheit eine täuschend echt aussehende Adresse, in Sekunden generiert. So sieht ein moderner BECiBusiness E-Mail Compromise. Angriff, bei dem Täter ein Geschäfts-Postfach kompromittieren oder täuschend nachbauen und an entscheidender Stelle eine gefälschte Nachricht einspeisen — meist mit geänderter Bankverbindung.-Angriff aus. Für Maklerbüros ist er inzwischen eines der am stärksten unterschätzten Haftungsrisiken. Und die Cyber-Versicherung zahlt überraschend oft nicht.
Worum es geht
Bei der „Kaufpreisumleitung“ greifen Täter das digitale Kommunikationsumfeld einer Immobilientransaktion an. Sie verschaffen sich Zugriff auf das Postfach des Maklers, des Notars oder einer der Parteien, lesen die laufende Korrespondenz mit, kopieren den Stil — und schicken am entscheidenden Tag eine täuschend echte E-Mail mit einer neuen Kontoverbindung. Der Käufer überweist gutgläubig auf das Täterkonto. Das Geld ist innerhalb von Stunden weg, der Käufer hat seine Zahlungspflicht juristisch nicht erfüllt, der Streit beginnt.
Wichtig zur Einordnung: Beim klassischen BEC-Angriff bleibt das eigene IT-System des Versicherten technisch oft intakt. Genau diese Sachlage ist der Knackpunkt, an dem viele Cyber-Standardpolicen die Deckung verweigern — siehe LG Hagen, 9 O 258/23.
Warum gerade Maklerbüros so exponiert sind
Drei Faktoren machen Maklerbüros zu attraktiven Zielen. Erstens die Höhe der Beträge: Es geht selten um 5.000 Euro, oft um sechs- und siebenstellige Summen. Zweitens die Vielzahl der Beteiligten: Verkäufer, Käufer, Makler, Notar, Bank, oft auch Steuerberater und Verwalter — viele Postfächer, viele potentielle Einfallstore. Drittens die zeitliche Dichte: In den letzten Tagen vor Beurkundung und Kaufpreisfälligkeit laufen die E-Mails im Minutentakt. Eine zusätzliche Mail mit neuer Bankverbindung fällt im Stress kaum auf.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bestätigt im Lagebericht 2025 eine Verschiebung der Angriffsschwerpunkte weg vom klassischen Banken-Phishing hin zu mittelständischen Branchen und eine deutliche Zunahme sogenannter VishingiVoice Phishing. Telefonischer Betrugsversuch. Angreifer geben sich als IT-Support oder Kollege aus, um Zugangsdaten oder Zahlungsfreigaben zu erschleichen.-Angriffe — telefonischer Verstärkung von E-Mail-Betrügereien. Das Profil mittelständischer Immobilienbüros (digital, finanziell sensibel, terminbestimmt) passt exakt in dieses Beuteschema.
Was die Gerichte dazu sagen — und was das für Sie heißt
1. Der Käufer bleibt schuldig — OLG Karlsruhe, 19 U 83/22
Der wichtigste Eckpfeiler stammt vom OLG Karlsruhe, Urteil vom 27.07.2023, Az. 19 U 83/22. Wer auf ein vom Täter manipuliertes Konto überweist, erfüllt seine Zahlungspflicht regelmäßig nicht. Die rechtliche Grundlage steht in § 362 Abs. 1 BGB in Verbindung mit § 185 BGB: Eine Leistung an einen Nichtberechtigten wirkt nur dann schuldbefreiend, wenn der Gläubiger sie genehmigt — und das wird er nicht tun, wenn das Geld bei Täter und nicht bei ihm landet. Konsequenz: Der Käufer muss in der Regel ein zweites Mal überweisen, diesmal an die echte Kontoverbindung.
Was bedeutet das für den Makler? Auf den ersten Blick: nichts, der Schaden trifft den Käufer. Auf den zweiten Blick: viel. Denn der Käufer wird sich fragen, wer ihm die falsche Mail geschickt hat — und der Antwort kann ein Schadensersatzanspruch gegen Makler oder Notar nach § 280 Abs. 1 BGB in Verbindung mit § 241 Abs. 2 BGB folgen, wenn dem Büro eine Verletzung von Schutz- oder Sorgfaltspflichten nachweisbar ist.
2. Cyber-Versicherung zahlt überraschend oft nicht — LG Hagen, 9 O 258/23
Hier wird es ernst für die Versicherungsplanung. Das Landgericht Hagen hat am 15.10.2024 unter Az. 9 O 258/23 entschieden: Eine Cyber-Versicherung muss keine 85.000 Euro Schaden aus einer betrügerisch umgeleiteten Zahlung übernehmen, wenn die IT des Versicherungsnehmers nicht selbst gestört oder manipuliert wurde. Die Begründung des Gerichts: Beim klassischen Fake PresidentiSonderform des BEC. Täter geben sich gezielt als Vorgesetzte oder Geschäftsführer aus und weisen Mitarbeiter zu einer eiligen, vertraulichen Überweisung an.– oder BEC-Angriff bleibe das eigene System des Versicherten technisch intakt. Es handle sich nicht um einen IT-Sicherheitsvorfall im Sinne der typischen Bedingungswerke, sondern „nur“ um Täuschung. Damit fehle das versicherte AuslösekriteriumiDas Ereignis, das die Versicherungsdeckung scharf schaltet — etwa der erstmalige Eintritt eines IT-Sicherheitsvorfalls. Fehlt das beschriebene Ereignis, leistet die Versicherung nicht..
Diese Entscheidung ist kein Einzelfall, sondern markiert eine klare Linie der Rechtsprechung. Viele am Markt üblichen Cyber-Standardpolicen decken den VertrauensschadeniVermögensschaden durch vorsätzliche, unerlaubte Handlung — typisch arglistige Täuschung oder Untreue. Beispiel: umgeleiteter Kaufpreis durch gefälschte E-Mail. — also den Vermögensschaden durch reine Täuschung ohne Hacking — nicht oder nur mit sehr engem SublimitiZusätzliche, niedrigere Höchstgrenze für bestimmte Schadenarten innerhalb der allgemeinen Versicherungssumme. Beispiel: 5 Mio. Gesamtsumme, aber nur 100.000 Euro für Vertrauensschäden.. Wer als Makler ausschließlich auf seinen Cyber-Vertrag setzt, riskiert eine schmerzhafte Lücke.
3. Die Pflichtenkette des Maklers
Auch ohne dass das Maklerbüro selbst gehackt wurde, kann eine Mithaftung entstehen. Die Rechtsprechung erkennt im geschäftlichen E-Mail-Verkehr angemessene technische und organisatorische Sicherheitsmaßnahmen als geschuldet an. Das bedeutet nicht „Stand der Technik nach BSI-Empfehlung“, aber doch das, was im Verkehr erwartbar und zumutbar ist: SPFiSender Policy Framework. Technischer E-Mail-Standard, der festlegt, welche Mailserver im Namen einer Internet-Domain Nachrichten versenden dürfen. Erschwert Absender-Fälschung., DKIMiDomainKeys Identified Mail. Signiert ausgehende E-Mails kryptografisch, damit der empfangende Server die Echtheit prüfen kann. und DMARCiDomain-based Message Authentication, Reporting and Conformance. Regelwerk, das empfangenden Servern sagt, was mit Mails passieren soll, die SPF/DKIM nicht bestehen — Zurückweisung oder Quarantäne. im eigenen Mailserver, regelmäßige Mitarbeiterschulung, klare Prozesse für Kontoänderungen (z. B. Vier-Augen-Prinzip und telefonische Rückbestätigung). Wer diese Mindeststandards nicht erfüllt, läuft Gefahr, in eine Mithaftung zu rutschen, selbst wenn der Angriff technisch im Postfach eines Dritten begann.
Was das konkret für Ihren Versicherungsschutz bedeutet
Ein praxistauglicher Versicherungsschutz für ein Maklerbüro besteht in der Regel aus drei Bausteinen. Die VermögensschadenhaftpflichtiVermögensschadenhaftpflicht. Berufshaftpflicht für reine Vermögensschäden bei beratenden oder treuhandnahen Berufen (Makler, Verwalter). Deckt Schäden, die kein Sach- oder Personenschaden sind. nach § 34c GewO mit ausreichender Aufstockung über die Mindestdeckungssumme deckt die zivilrechtliche Inanspruchnahme durch geschädigte Käufer ab. Die Cyber-Versicherung sichert die Folgen eines tatsächlichen IT-Angriffs ab — Wiederherstellung, Forensik, Betriebsunterbrechung, Krisenkommunikation. Der entscheidende Zusatz aber ist ein Vertrauensschaden- und BEC-Baustein mit einer Versicherungssumme, die zum durchschnittlichen Transaktionsvolumen Ihres Büros passt — nicht das Standard-Sublimit, sondern eine bewusst gewählte, höhere Summe.
1. Vertrag: BEC & Vertrauensschaden gedeckt?
Lesen Sie Ihre Cyber-Police mit Blick auf „Vertrauensschaden“ und „Social Engineering“ / „CEO-Fraud“. Fehlen diese Bausteine, bleibt die Police im realen Schadenfall oft leer. Beachten Sie auch das Sublimit — 50.000 oder 100.000 Euro reichen bei siebenstelligen Kaufpreisen nicht.
2. Technik: Mailserver-Standards belegt?
Drei Begriffe gehören in jede moderne Konfiguration: SPF, DKIM und DMARC. Lassen Sie sich von Ihrem IT-Dienstleister bestätigen, dass die drei aktiviert und auf „reject“ oder mindestens „quarantine“ konfiguriert sind. Im Streitfall ein wichtiger Beleg für angemessene Sorgfalt.
3. Prozess: Vier-Augen plus Telefon-Rückruf
Jede Änderung einer Bankverbindung wird vor der ersten Überweisung telefonisch rückbestätigt — unter einer aus den Originalunterlagen bekannten Nummer, nicht der aus der verdächtigen E-Mail. Dokumentieren Sie diesen Prozess in einer Büro-Arbeitsanweisung. Im Streitfall der Unterschied zwischen „angemessen“ und „grob fahrlässig“.
Unser Fazit
Die größte unterschätzte Lücke im Versicherungsschutz vieler Maklerbüros ist nicht die fehlende Cyber-Police, sondern die in ihr fehlende oder zu klein bemessene Vertrauensschadendeckung für den klassischen BEC-Angriff. Ergänzend sind technische und organisatorische Mindestmaßnahmen kein „nice to have“ — sie sind im Streitfall der Beleg dafür, dass Sie angemessen vorgesorgt haben.
Quellen: LG Hagen, Urteil vom 15.10.2024, Az. 9 O 258/23 (NRWE-Datenbank) · OLG Karlsruhe, Urteil vom 27.07.2023, Az. 19 U 83/22 · BSI, „Die Lage der IT-Sicherheit in Deutschland 2025″ · §§ 280 Abs. 1, 241 Abs. 2, 362 Abs. 1, 185 BGB; § 34c GewO; § 15 MaBV.
Prüfen Sie Ihren Versicherungsschutz in wenigen Minuten
Welche Bausteine Ihre Cyber- und Vermögensschadenhaftpflicht nach diesem Urteil mindestens haben sollten — der Risiko-Check für Hausverwalter und Makler zeigt es Ihnen strukturiert und ohne Vor-Ort-Termin.
Jan Pohl
Pohl Versicherungsmakler e.K. · Ungebundener Versicherungsmakler mit Schwerpunkt Immobilienwirtschaft
VSH-Register: D-6LQ8-VHMG3-85 · Aufsicht: IHK Aachen · HRA 10268, AG Aachen
Die digitalen Checks liefern eine strukturierte Ersteinschätzung auf Basis Ihrer Angaben. Sie ersetzen keine individuelle Versicherungsberatung. Eine verbindliche Prüfung erfolgt erst nach fachlicher Auswertung durch einen Versicherungsmakler.
Welche Policen ein Maklerbüro sonst braucht: Versicherungen für Immobilienmakler im Überblick.
