Haftung entstandene Kosten durch gehackten Hosting-Account

Sehr geehrte Damen und Herren,

Ich habe folgendes Problem:
Ich bin als Einzelunternehmer im Webdesign tätig (Kleinunternehmer im Nebenwerber) und habe im Juni 2014 eine Website für einen Kunden erstellt. Dazu war es notwendig den aktuellen Hostingvertrag des Kunden bei seinem Hosting-Provider um minimale Leistungen zu erweitern. Die Zugangsdaten zu seinem Account waren ihm nicht bekannt und wurden durch mich in seinem Auftrag ermittelt bzw. zurückgesetzt. Die Erlaubnis zur Buchung der notwendigen Optionen ließ ich mir vom Kunden bestätigen. Alles in allem ein normales Projekt.
Nun im Januar 2015 bekam ich von ihm die Mitteilung, dass der Hosting-Provider insgesamt ca. 400€ von seinem Konto abgebucht hatte. Daraufhin versuchte ich mich in seinem Account anzumelden, um zu gucken, was die Kosten verursacht hatte. Dies gelang mir jedoch nicht da das Passwort und die E-Mailadresse zum Zurücksetzen durch einen Unbekannten Dritten geändert wurden. Nachdem ich im Auftrag des Kunden die Mailadresse und das Passwort mit dem Support des Anbieters widerhergestellt hatte, sah ich das im No. 2014 ein Server zu ca. 170€ / monatl. gebucht wurde und im Dezember ein weiter zu ca. 150€ / monatl. Diese Kosten wurden daraufhin vom Konto des Kunden abgebucht. Die Server-Verträge haben eine Laufzeit von 24 Monaten.

Ich darauf hin dem Kunden ein Schreiben formuliert, in dem wir dem Hosting-Anbieter die Lage erklärt haben und auf Stornierung der Server bitten, worauf noch keine Antwort kam. Nur wird dieser dazu nicht verpflichtet sein, schätze ich, zumal die 14-tägige Widerrufsfrist auch verstrichen ist. Aber durch die Änderung der E-Mailadresse bekam der Kunde die Buchung nicht mit. Er hätte jedoch beim ersten Abbuchen stutzig werden müssen.

In wie weit bin ich als Webdesigner für diese Kosten verantwortlich/haftbar zu machen? (Ich habe die Server definitiv nicht gebucht)
Ist der Hosting-Anbieter zur Kostenerstattung verpflichtet?
Ist der Hosting-Anbieter zur Herausgabe der Daten dem Kunden gegenüber verpflichtet? (hinterlegte E-Mailadresse und Buchungsart während der betroffenen Zeit)

Vielen Dank für Ihre Antworten und freundliche Grüße.

Einsatz editiert am 07.01.2015 11:13:15