Erstattung nicht autorisierter Zahlungsvorgänge im Online-Banking

Erstattung nicht autorisierter Zahlungsvorgänge im Online-Banking

RA und Notar Krau

Stellen Sie sich vor, Sie haben ein Online-Banking-Konto bei einer Bank. Eines Tages stellen Sie fest, dass große Geldbeträge von Ihrem Konto abgebucht wurden, die Sie niemals autorisiert haben. Was würden Sie tun? Sie würden wahrscheinlich erwarten, dass Ihre Bank Ihnen das Geld zurückerstattet. Genau um so einen Fall ging es in einem Urteil des Landgerichts Köln vom 17. Dezember 2020 (Az. 21 O 36/20).

Worum ging es in diesem Fall?

Eine Klägerin, die sowohl für sich selbst als auch für eine andere Firma (die Zedentin) handelte, hatte ein Online-Banking-Konto bei einer Bank. Beide nutzten das sogenannte smsTAN-Verfahren für Überweisungen. Das bedeutet, dass man eine Transaktionsnummer (TAN) per SMS auf das Handy bekommt, um eine Überweisung zu bestätigen. Eine Frau C1 war die Bevollmächtigte, die regelmäßig Überweisungen für beide Parteien durchführte.

Am 19. Februar 2019 wurde morgens eine zweite Handynummer für den Empfang der TANs registriert. Kurze Zeit später wurden noch zwei weitere Überweisungen von Frau C1 über die alte Nummer durchgeführt. Am Nachmittag desselben Tages erhielten zwei Mitarbeiter, darunter ein Werksstudent namens Herr C2, eine E-Mail, die besagte, dass der Computer von Frau C1 mit der Schadsoftware „Emotet“ infiziert war. Diese Software ist dafür bekannt, Zugangsdaten auszulesen, auch die für das Online-Banking.

Noch am selben Abend und am nächsten Morgen kam es zu mehreren, nicht autorisierten Überweisungen. Insgesamt wurden über 77.000 Euro vom Konto der Zedentin und fast 4.800 Euro vom Konto der Klägerin abgebucht. Das Besondere: Diese Überweisungen wurden mit den richtigen Zugangsdaten und TANs durchgeführt. Die entsprechenden TANs wurden jedoch an die neu registrierte Mobilfunknummer geschickt, nicht an die alte.

Die Klägerin forderte daraufhin von der Bank die Erstattung des Geldes, was die Bank jedoch ablehnte. Die Zedentin trat ihre Ansprüche an die Klägerin ab, sodass die Klägerin die Bank für den gesamten Betrag verklagte.

Was behaupteten die Parteien?

Die Klägerin behauptete, Frau C1 habe keine SMS zur Registrierung einer neuen Handynummer erhalten und daher auch keine TAN dafür eingegeben. Sollte doch eine SMS versendet worden sein, sei diese direkt an die Betrüger umgeleitet worden. Außerdem sei die E-Mail über die „Emotet“-Infektion der Geschäftsführung weder der Klägerin noch der Zedentin bekannt gemacht worden.

Die Bank hingegen bestritt, dass keine SMS versendet oder keine TAN eingegeben wurde. Sie behauptete, die Registrierung der neuen Nummer sei nur möglich gewesen, wenn Frau C1 die TAN selbst eingegeben hätte oder ein Dritter sowohl die Online-Banking-Zugangsdaten als auch Zugang zum Handy von Frau C1 gehabt hätte. Die Bank wies auch darauf hin, dass Frau C1 bei den letzten legalen Überweisungen einen Hinweis erhalten haben müsste, dass eine neue Handynummer registriert war und sie hätte auswählen müssen, welche Nummer sie für die TAN nutzen wollte.

Wie hat das Gericht entschieden?

Das Landgericht Köln hat die Klage abgewiesen. Das bedeutet, die Klägerin hat ihr Geld nicht zurückbekommen.

Erstattung nicht autorisierter Zahlungsvorgänge im Online-Banking

Warum?

Grundsätzlich gilt im Online-Banking, dass die Bank das Geld erstatten muss, wenn Zahlungen nicht vom Kunden autorisiert wurden. In diesem Fall waren die Zahlungen nicht von der Klägerin oder der Zedentin autorisiert worden.

Aber: Die Bank konnte sich auf eine Ausnahme berufen. Diese besagt, dass der Kunde den Schaden selbst tragen muss, wenn er ihn durch eine grob fahrlässige Verletzung seiner Pflichten verursacht hat. Das Gericht war der Meinung, dass hier eine solche grobe Fahrlässigkeit vorlag.

Das Gericht argumentierte, dass der Mitarbeiter Herr C2 bereits Stunden vor den betrügerischen Abbuchungen per E-Mail über die „Emotet“-Infektion des Arbeitsplatzrechners von Frau C1 informiert worden war. Eine einfache Google-Suche hätte ergeben, dass „Emotet“ eine bekannte Schadsoftware ist, die von Betrügern für Online-Banking-Angriffe genutzt wird. Da Frau C1 sensible Online-Banking-Vorgänge über diesen Computer abwickelte, hätte es sich aufdrängen müssen, weitere Informationen einzuholen und dann sofort jegliches Online-Banking einzustellen und die Bank zu kontaktieren. Hätte man so gehandelt, wäre der Schaden nicht entstanden.

Das Gericht sah das Verschulden des Mitarbeiters C2 als der Klägerin und Zedentin zuzurechnen an. Es spielte keine Rolle, ob die Geschäftsführung direkt über die E-Mail informiert wurde, da Herr C2 selbst damit befasst war.

Was lernen wir aus diesem Urteil?

Dieses Urteil unterstreicht die Verantwortung des Kunden im Online-Banking. Es zeigt, dass man bei Anzeichen von Computer-Schadsoftware oder verdächtigen Vorgängen äußerst vorsichtig sein muss. Ignorieren von Warnungen oder das Unterlassen einfacher Recherchen, wenn es um die Sicherheit von Online-Banking-Zugängen geht, kann als grobe Fahrlässigkeit gewertet werden. In solchen Fällen kann die Bank die Erstattung von unautorisierten Zahlungen ablehnen, selbst wenn die Betrüger die TANs verwendet haben. Es ist entscheidend, bei jedem Verdacht sofort zu handeln und die Bank zu informieren.