Bankenhaftung bei Phishing-Angriffen im Online-Banking

Bankenhaftung bei Phishing-Angriffen im Online-Banking

RA und Notar Krau

Stellen Sie sich vor, Sie nutzen Online-Banking und werden Opfer eines Betrugs. Plötzlich sind Tausende von Euro von Ihrem Konto verschwunden, ohne dass Sie etwas davon bemerkt oder gar angewiesen haben. Wer haftet in solchen Fällen? Diese Frage klärt ein Urteil des Landgerichts Oldenburg vom 15. Januar 2016 (Az.: 8 O 1454/15), das sich mit einem Phishing-Angriff auseinandersetzt.

Der Fall: Opfer einer raffinierten Phishing-Attacke

Ein Kunde, der seit etwa 15 Jahren Online-Banking bei seiner Bank nutzte, stellte fest, dass von seinen Konten insgesamt 11.244,62 € abgebucht wurden, ohne dass er diese Überweisungen getätigt hatte. Er war davon überzeugt, Opfer einer Phishing-Attacke geworden zu sein. Phishing ist der Versuch, über gefälschte Webseiten, E-Mails oder Nachrichten an persönliche Daten wie Passwörter oder Kreditkartennummern zu gelangen.

Besonders perfide an diesem Fall: Der Kunde hatte zuvor Probleme beim Einloggen ins Online-Banking und sprach mit einem Bankmitarbeiter. Dieser empfahl ihm, eine bestimmte Software zu installieren, die im Online-Banking-Postkorb bereitgestellt wurde. Während der Installation dieser Software wurde er auch nach Details zu seinem Mobiltelefon gefragt. Später stellte sich heraus, dass durch diese Aktion nicht nur sein PC, sondern auch sein Handy mit einer Schadsoftware infiziert wurde. Die Betrüger konnten so beide Geräte kontrollieren und unbemerkt die Überweisungen tätigen, selbst wenn das eigentlich sichere mTAN-Verfahren (Transaktionsnummer per SMS) genutzt wurde.

Der Kunde sperrte sofort seine Konten, erstattete Anzeige bei der Polizei und forderte sein Geld von der Bank zurück. Die Bank weigerte sich zu zahlen und warf dem Kunden grobe Fahrlässigkeit vor. Sie behauptete, er habe kein funktionierendes Antivirenprogramm gehabt und leichtfertig eine App auf seinem Handy installiert, deren Herkunft er nicht kannte. Außerdem habe er die Funktion „Unbekannte Quellen erlauben“ auf seinem Handy aktiviert.

Die Entscheidung des Gerichts: Die Bank muss zahlen!

Das Landgericht Oldenburg entschied zugunsten des Kunden und verurteilte die Bank, die Konten wieder auf den ursprünglichen Stand zu bringen und den gesamten Betrag von 11.244,62 € zurückzuzahlen.

Hier sind die wichtigsten Gründe für die Entscheidung des Gerichts:

Beweislast der Bank:

Grundsätzlich muss die Bank beweisen, dass eine Überweisung vom Kunden autorisiert wurde. Es reicht nicht aus, nur zu sagen, dass PIN, TAN und Benutzername verwendet wurden. Die Bank muss die Autorisierung eindeutig nachweisen. Im vorliegenden Fall konnte die Bank das nicht.

Keine grobe Fahrlässigkeit des Kunden:

Das Gericht sah in dem Verhalten des Kunden keine grobe Fahrlässigkeit. Es betonte, dass der Angriff der Betrüger hochaprofessionell und raffiniert war. Der Kunde wurde nicht misstrauisch, weil er wusste, dass sein Handy für das mTAN-Verfahren wichtig war und die Fragen zum Handytyp im Rahmen der Installation der empfohlenen Software auftauchten. Die Umgehung des Zwei-Faktoren-Systems (PC und Handy) durch die Betrüger war besonders ausgeklügelt.

Bankenhaftung bei Phishing-Angriffen im Online-Banking

Antivirenprogramm:

Die Bank konnte nicht beweisen, dass der Kunde kein Antivirenprogramm nutzte. Das Gericht ging sogar davon aus, dass ein funktionierender PC meist ein solches Programm hat. Allein die Infektion des Computers beweist nicht, dass kein ausreichender Schutz vorhanden war, da auch aktuelle Schutzprogramme nicht immer sofort neue Viren erkennen können. Der Kunde hatte zudem glaubhaft versichert, dass er ein Antivirenprogramm installiert hatte, das sich regelmäßig aktualisierte.

Keine Beweisvereitelung:

Die Bank warf dem Kunden vor, seinen PC „gereinigt“ und das Handy zurückgesetzt zu haben, wodurch Beweise verloren gegangen seien. Das Gericht wies diesen Vorwurf zurück. Der Kunde hatte sich sofort an die Polizei und die Bank gewandt. Die Bank hatte ihm keine Anweisungen zur Beweissicherung gegeben. Es kann dem Kunden nicht zugemutet werden, monatelang mit infizierten Geräten zu leben, da er diese für den Alltag benötigt.

„Unbekannte Quellen zulassen“: Die Bank konnte nicht nachvollziehbar erklären, was diese Einstellung genau bedeutet oder wie sie das Sicherheitsrisiko erhöht. Es kann von einem Laien nicht erwartet werden, dass er über solches Spezialwissen verfügt, insbesondere da die Bank in ihren eigenen Sicherheitshinweisen nicht speziell darauf hingewiesen hatte.

Was bedeutet das für Sie?

Dieses Urteil ist ein wichtiges Signal: Bei Phishing-Attacken, die durch hochprofessionelle Methoden erfolgen und die üblichen Sicherheitsmechanismen (wie das Zwei-Faktoren-System) aushebeln, liegt die Beweislast klar bei der Bank. Wenn die Bank nicht nachweisen kann, dass der Kunde grob fahrlässig gehandelt hat, muss sie den entstandenen Schaden ersetzen.

Allerdings ist es weiterhin unerlässlich, dass Sie als Nutzer größte Sorgfalt walten lassen:

Seien Sie misstrauisch: Klicken Sie niemals auf Links in unbekannten E-Mails oder SMS und installieren Sie keine Software, deren Herkunft Sie nicht eindeutig überprüfen können.

Nutzen Sie aktuelle Sicherheitssoftware: Ein aktuelles Antivirenprogramm und eine Firewall sind grundlegende Schutzmaßnahmen, auch wenn sie keinen 100%igen Schutz garantieren können.

Prüfen Sie TAN-Nachrichten genau: Lesen Sie die Details in einer TAN-SMS immer genau durch. Passt der angezeigte Betrag und der Empfänger zu der Transaktion, die Sie durchführen möchten?

Informieren Sie Ihre Bank sofort: Wenn Sie den Verdacht haben, Opfer eines Betrugs geworden zu sein, sperren Sie umgehend Ihre Konten und informieren Sie Ihre Bank sowie die Polizei.

Dieser Fall zeigt, dass die Gerichte bei raffinierten Phishing-Methoden, die selbst bei Vorsicht schwer zu erkennen sind, eher die Bank in der Pflicht sehen. Das entbindet den Kunden aber nicht von der allgemeinen Sorgfaltspflicht im Umgang mit Online-Banking.

Haben Sie schon einmal Erfahrungen mit Phishing-Attacken gemacht oder Fragen dazu, wie Sie sich besser schützen können?