Bank haftet nicht für Geldverlust durch Phishing-Angriff bei grober Fahrlässigkeit des Kunden

Bank haftet nicht für Geldverlust durch Phishing-Angriff bei grober Fahrlässigkeit des Kunden

OLG Frankfurt, 06.12.2023 – 3 U 3/23

RA und Notar Krau

Das Oberlandesgericht (OLG) Frankfurt am Main hat entschieden, dass eine Bank nicht für Schäden haftet, die einem Kunden durch einen Phishing-Angriff entstehen, wenn der Kunde selbst grob fahrlässig gehandelt hat. Im vorliegenden Fall ging es um einen Betrag von knapp 50.000 €, der nach einem solchen Angriff vom Konto des Kunden abgebucht wurde.

Was ist passiert?

Ein Kunde einer Bank erhielt eine verdächtige SMS. Darin stand, sein Konto sei eingeschränkt und er solle sich über einen Link für ein „neues S-CERT Verfahren“ anmelden. Der Absender der SMS sah täuschend echt aus, da die Bank diese Nummer bereits für frühere Mitteilungen genutzt hatte.

Der Kunde klickte auf den Link und wurde kurz darauf von einer Person angerufen, die sich als Bankmitarbeiter ausgab. Auf Anweisung dieser Person bestätigte der Kunde „etwas“ in seiner PushTAN-App mittels Gesichtserkennung. Kurz darauf wurde sein Überweisungslimit erhöht und eine Überweisung von 49.999,99 € von seinem Konto vorgenommen.

Der Kunde behauptete, er habe die Überweisung nicht selbst veranlasst und lediglich einmal etwas in der App bestätigt, nicht aber die Limiterhöhung und die Überweisung selbst. Er war der Meinung, die Bank habe nicht genug Sicherheitsvorkehrungen getroffen und ihn nicht ausreichend über Risiken aufgeklärt.

Was hat das Gericht entschieden?

Das Landgericht Frankfurt am Main hatte die Klage des Kunden bereits abgewiesen. Das OLG Frankfurt hat diese Entscheidung nun bestätigt. Das Gericht urteilte, dass der Kunde grob fahrlässig gehandelt hat und die Bank daher den entstandenen Schaden nicht ersetzen muss.

Bank haftet nicht für Geldverlust durch Phishing-Angriff bei grober Fahrlässigkeit des Kunden

Warum grob fahrlässig?

Das OLG sah mehrere Punkte, die für eine grobe Fahrlässigkeit des Kunden sprechen:

• Reaktion auf die Phishing-SMS: Banken warnen seit Jahren ausdrücklich vor solchen Phishing-Nachrichten. Der Kunde hätte misstrauisch werden müssen, da der Link in der SMS auf eine untypische Internetadresse (.top-Domain) verwies und nicht auf die offizielle Bankseite. Es ist allgemein bekannt, dass Banken niemals per SMS auffordern, auf Links zu klicken und dort Zugangsdaten einzugeben oder Bestätigungen vorzunehmen.
• Telefonanruf und Bestätigung: Auch wenn die SMS von einer bekannten Nummer kam, ist bekannt, dass Absenderinformationen bei SMS gefälscht werden können („SMS spoofing“). Der Kunde wurde angerufen und zur Bestätigung von Transaktionen über die App aufgefordert. Dies ist unüblich und hätte ihn stutzig machen müssen, da bei Telefonbanking der Kunde selbst die Bank anruft, nicht umgekehrt.
• Fehlende Prüfung der PushTAN-Details: Die PushTAN-App zeigt in der Regel genau an, welche Aktion (z.B. eine Überweisung) mit welchem Betrag bestätigt werden soll. Wenn der Kunde diese deutlichen Hinweise ignoriert und die Freigabe ohne Prüfung erteilt, handelt er grob fahrlässig. Selbst wenn der Kunde, wie von ihm behauptet, einen „untypischen Ablauf“ in der App wahrgenommen hat, hätte er den Vorgang abbrechen und die Bank informieren müssen.
• Unglaubwürdigkeit der Kundenaussage: Das Gericht fand die Aussage des Kunden, er habe sich nicht mehr genau erinnern können, was er bestätigt habe, und nur eine einzige Bestätigung vorgenommen, nicht glaubwürdig. Angesichts der Tatsache, dass der Kunde als erfahrener Rechtsanwalt und Steuerberater im Umgang mit Bankgeschäften vertraut sein sollte und die drei in kurzer Zeit erfolgten Bestätigungen (Limiterhöhung, Überweisung, PIN-Änderung) protokolliert waren, ging das Gericht davon aus, dass er mehrfach bestätigt haben musste.

Was bedeutet das Urteil?

Dieses Urteil unterstreicht die Wichtigkeit der Sorgfaltspflichten von Bankkunden im Online-Banking. Werden persönliche Sicherheitsmerkmale (wie PINs, TANs oder Bestätigungen per App) nach einem Phishing-Angriff grob fahrlässig freigegeben, kann die Bank die Rückerstattung des abgebuchten Betrags verweigern. Kunden müssen bei verdächtigen Nachrichten und Anrufen extrem vorsichtig sein und die Details von Transaktionen in ihren Banking-Apps genau prüfen, bevor sie diese freigeben.

Haben Sie weitere Fragen zu diesem Urteil oder zu ähnlichen Fällen?