Haftung für Schäden durch Betrug beim Online-Banking – grobe Fahrlässigkeit

Haftung für Schäden durch Betrug beim Online-Banking – grobe Fahrlässigkeit

LG Heilbronn, 16.05.2023 – Bm 6 O 10/23, 6 O 10/23

RA und Notar Krau

Ein Mann verklagte seine Bank, nachdem er Opfer eines Online-Banking-Betrugs wurde. Betrüger riefen ihn an, gaben sich als Bankmitarbeiter aus und brachten ihn dazu, ihnen mehrere TANs (Transaktionsnummern) telefonisch mitzuteilen. Kurz darauf stellte er fest, dass insgesamt 8.433,72 € von seinem Konto abgebucht worden waren. Er forderte die Bank auf, ihm diesen Betrag zu erstatten und seine Anwaltskosten zu übernehmen.

Was ist passiert?

Der Kläger ist Kunde einer Bank und nutzt deren Online-Banking-System mit dem sogenannten pushTAN-Verfahren. Dabei muss jede Überweisung, die im Online-Banking gestartet wird, über eine separate App (SecureGo-App) auf demselben Smartphone mit einer TAN bestätigt werden. Die Bankbedingungen sehen ausdrücklich vor, dass TANs nicht telefonisch oder in Textform weitergegeben werden dürfen.

Am 24. September 2021 erhielt der Kläger einen Anruf von jemandem, der sich als IT-Mitarbeiter der Bank ausgab. Der Anrufer teilte ihm mit, dass Dritte versucht hätten, seinen Kreditrahmen zu erhöhen und zwei Zahlungen getätigt worden seien. Er forderte den Kläger auf, TANs zu generieren und ihm diese telefonisch mitzuteilen, angeblich um den Kreditrahmen zurückzusetzen und die betrügerischen Zahlungen rückgängig zu machen. Der Kläger glaubte dem Anrufer und gab ihm drei TANs durch.

Später stellte der Kläger fest, dass zwei Abhebungen von insgesamt 8.433,72 € von seinem Konto stattgefunden hatten. Die Bank lehnte eine Erstattung des Schadens ab, da der Kläger die erforderlichen Sorgfaltspflichten verletzt habe.

Was war die Position des Klägers?

Der Kläger argumentierte, dass er nicht grob fahrlässig gehandelt habe. Er sei davon ausgegangen, mit einem echten Bankmitarbeiter zu sprechen, da der Anruf von einer Heilbronner Festnetznummer kam, die der Banknummer ähnelte, und die Geschichte des Anrufers plausibel klang. Er behauptete auch, dass er in der Banking-App nicht erkennen konnte, wofür die TANs genau verwendet werden sollten. Er wusste nicht, dass er damit Überweisungen autorisierte. Zudem vermutete er ein Sicherheitsleck bei der Bank, da es in der gleichen Zeit zu ähnlichen Betrugsfällen gekommen sei. Er war auch der Meinung, die Bank hätte misstrauisch werden und ihn kontaktieren müssen, da die Abhebungen kurz nacheinander erfolgten und die Empfängernamen ungewöhnlich waren.

Was war die Position der Bank?

Die Bank beantragte die Abweisung der Klage. Sie führte an, dass die Überweisungen aufgrund technisch sicherer Protokolle als autorisiert gelten. Hilfsweise erklärte sie, dass der Kläger grob fahrlässig gehandelt habe, indem er die TANs am Telefon weitergab. Dies sei ein Verstoß gegen seine Pflichten aus dem Zahlungsdienstvertrag und den Sonderbedingungen für das Online-Banking. Die Bank betonte, dass sie selbst keine Kenntnis von den Zugangsdaten des Klägers habe und dass das verwendete 2-Faktor-Authentifizierungsverfahren technisch nicht zu überwinden sei. Nur durch die Mitwirkung des Klägers sei der Betrug möglich gewesen. Sie wies auch darauf hin, dass die SecureGo-App zum Zeitpunkt des Vorfalls klar angezeigt habe, wofür die generierte TAN verwendet wird, einschließlich Betrag und Empfänger-IBAN.

Wie hat das Gericht entschieden?

Das Landgericht Heilbronn wies die Klage des Mannes ab.

Haftung für Schäden durch Betrug beim Online-Banking – grobe Fahrlässigkeit

Keine Autorisierung durch den Kläger, aber…:

Das Gericht stellte fest, dass die Überweisungen nicht vom Kläger autorisiert waren. Es betonte, dass die Regeln über die Anscheinsvollmacht hier nicht anwendbar sind, das heißt, man kann dem Kläger die Zustimmung zu den Zahlungen nicht einfach zurechnen, nur weil er die TANs weitergegeben hat. Das Gericht wies auch darauf hin, dass das pushTAN-Verfahren, bei dem TANs auf demselben Gerät in einer separaten App angezeigt werden, ein erhöhtes Sicherheitsrisiko birgt. Es erfülle nicht die Anforderung von mindestens zwei voneinander unabhängigen Elementen zur Authentifizierung nach dem Zahlungsdiensteaufsichtsgesetz (ZAG), wodurch eine hohe Sicherheit für einen sogenannten Anscheinsbeweis (der besagt, dass die Transaktion autorisiert war, wenn die Bank nachweisen kann, dass ihre Sicherheitsmaßnahmen funktionierten) nicht gegeben ist.

…aber grobe Fahrlässigkeit des Klägers:

Obwohl die Zahlungen nicht autorisiert waren, erlosch der Anspruch des Klägers auf Erstattung durch die Aufrechnung der Bank mit ihrem eigenen Schadenersatzanspruch. Das Gericht befand, dass der Kläger grob fahrlässig gehandelt hatte.

Verstoß gegen Bankbedingungen:

Der Kläger verstieß gegen die vereinbarten Sonderbedingungen für das Online-Banking, die ausdrücklich die telefonische Weitergabe von TANs verbieten.

Offensichtlichkeit des Betrugs:

Es ist allgemein bekannt, dass Online-Banking ausschließlich online erfolgt und nicht telefonisch. Dem Kläger, der seit Langem Online-Banking nutzt, hätte auffallen müssen, dass Bankmitarbeiter ihn nicht telefonisch nach TANs fragen.

Mehrere TANs in kurzer Zeit:

Innerhalb von sechs Minuten gab der Kläger mindestens drei verschiedene TANs am Telefon weiter, ohne die Person am anderen Ende der Leitung zu kennen oder zu überprüfen, ob die Nummer der Bank gehörte.

Anzeige des Verwendungszwecks:

Das Gericht stellte fest, dass die SecureGo-App dem Kläger klar angezeigt hatte, wofür jede generierte TAN verwendet werden sollte (z.B. Überweisungsbetrag und Empfänger). Trotzdem gab er die TANs weiter, obwohl der angezeigte Zweck (Überweisungen) im krassen Gegensatz zu dem stand, was ihm der Betrüger erzählte (Rückgängigmachung von Zahlungen).

Kein Mitverschulden der Bank:

Das Gericht sah auch kein Mitverschulden der Bank. Die Behauptungen des Klägers über ein Datenleck oder andere Betrugsfälle bei der Bank waren nicht ausreichend belegt. Eine Bank ist außerdem nicht verpflichtet, jede Kontobewegung zu überwachen oder Kunden bei ungewöhnlichen Transaktionen zu warnen, es sei denn, es gibt massive und offensichtliche Anhaltspunkte für eine Straftat. Solche Anhaltspunkte sah das Gericht in diesem Fall nicht.

Da der Kläger grob fahrlässig gehandelt hatte und somit selbst für den entstandenen Schaden verantwortlich war, wurde seine Klage auf Erstattung abgewiesen. Er muss auch die Kosten des Rechtsstreits tragen.

Haftung für Schäden durch Betrug beim Online-Banking – grobe Fahrlässigkeit

Was bedeutet das für Sie?

Dieses Urteil unterstreicht die Eigenverantwortung von Bankkunden beim Online-Banking. Es macht deutlich, wie wichtig es ist, die Sorgfaltspflichten im Umgang mit Zugangsdaten und TANs ernst zu nehmen. Banken sind zwar für die Sicherheit ihrer Systeme verantwortlich, aber Kunden müssen auch ihren Teil dazu beitragen, indem sie niemals sensible Informationen wie TANs oder Passwörter telefonisch, per E-Mail oder über Messenger-Dienste an Dritte weitergeben, selbst wenn diese sich als Bankmitarbeiter ausgeben.

Betrüger nutzen oft „Social Engineering“, um Vertrauen aufzubauen und an Daten zu gelangen. Seien Sie immer misstrauisch bei solchen Anrufen und überprüfen Sie im Zweifel die Identität des Anrufers direkt bei Ihrer Bank über offizielle Kontaktwege.