Haftung für Schäden durch Betrug beim Online-Banking

Haftung für Schäden durch Betrug beim Online-Banking

RA und Notar Krau

Dieses Urteil des Landgerichts Heilbronn vom 16. Mai 2023 (Aktenzeichen: 6 O 10/23) behandelt einen Fall von Online-Banking-Betrug und die Frage, wer den entstandenen Schaden tragen muss.

Der Fall

Ein Kunde (der Kläger) der Bank nutzte Online-Banking mit dem pushTAN-Verfahren (auch SecureGo-Verfahren genannt). Dabei erhält man Transaktionsnummern (TANs) über eine separate App auf dem Smartphone, die zur Bestätigung von Überweisungen in der Banking-App eingegeben werden müssen.

Am 24. September 2021 erhielt der Kunde einen Anruf von einer Person, die sich als Mitarbeiterin der Bank-IT-Abteilung ausgab. Die Anruferin erzählte dem Kunden, dass Dritte versucht hätten, seinen Kreditrahmen zu erhöhen und zwei unbefugte Zahlungen getätigt worden seien. Um dies rückgängig zu machen, forderte die Anruferin den Kunden auf, mehrere TANs telefonisch weiterzugeben. Der Kunde tat dies, da er davon ausging, mit einem echten Bankmitarbeiter zu sprechen.

Später stellte der Kunde fest, dass insgesamt 8.433,72 € von seinem Konto abgehoben worden waren. Er erstattete Anzeige und forderte von seiner Bank die Erstattung des Schadens. Die Bank lehnte dies ab und begründete dies damit, dass der Kunde seine Sorgfaltspflichten verletzt habe.

Die Argumente des Kunden

Der Kunde argumentierte im Wesentlichen:

• Er habe nicht erkennen können, welche Vorgänge er mit den TANs tatsächlich autorisierte. Zum Zeitpunkt des Vorfalls sei in der Banking-App nicht ersichtlich gewesen, wofür die TANs benötigt wurden.
• Der Anrufer habe sich plausibel verhalten und eine Heilbronner Festnetznummer verwendet, die der Nummer seiner Filiale ähnelte.
• Die telefonische Weitergabe der TANs stelle keinen Verstoß gegen die Bankbedingungen dar, da diese nur die Weitergabe an „Dritte“ verbieten würden, er die TANs aber vermeintlich an einen Bankmitarbeiter gegeben habe.
• Es könnte ein Sicherheitsleck bei der Bank gegeben haben, da es in der gleichen Zeit weitere ähnliche Betrugsfälle gab.
• Die Bank hätte misstrauisch werden müssen, da die Überweisungen innerhalb weniger Minuten stattfanden, die Empfängernamen ungewöhnlich waren und kein Verwendungszweck angegeben wurde. Die Bank hätte den Kunden kontaktieren müssen.

Haftung für Schäden durch Betrug beim Online-Banking

Die Argumente der Bank

Die Bank entgegnete, dass der Kunde keinen Anspruch auf Erstattung habe, weil:

• Die Überweisungen als autorisiert gelten, da der Kunde die TANs selbst generiert und weitergegeben habe.
• Der Kunde grob fahrlässig gehandelt habe, indem er die selbst generierten TANs telefonisch an Dritte weitergab.
• Die Bank die 2-Faktor-Authentifizierung nutze, die technisch kaum zu überwinden sei. Nur durch die pflichtwidrige Mitwirkung des Kunden sei der Betrug möglich gewesen.
• Der Kunde gegen die Sonderbedingungen für das Online-Banking verstoßen habe, die ausdrücklich die telefonische Weitergabe von TANs verbieten.
• Der Kunde auf seinem Smartphone bei der Generierung der TAN klar und verständlich sehen konnte, wofür die TAN verwendet wurde (Betrag und Empfänger).

Die Entscheidung des Gerichts

Das Landgericht Heilbronn wies die Klage des Kunden ab.

1. Keine Autorisierung, aber Gegenanspruch der Bank: Das Gericht stellte zunächst fest, dass die Überweisungen nicht vom Kunden autorisiert waren. Die Bank trägt die Beweislast dafür, dass eine Zahlung autorisiert wurde. Die Argumentation der Bank, die Überweisungen würden aufgrund technisch nicht manipulierbarer Beweismittel als autorisiert gelten (Paragraf 675w BGB), greife hier nicht, da das pushTAN-Verfahren, bei dem TANs und Banking-App auf demselben Gerät genutzt werden, ein erhöhtes Gefährdungspotenzial aufweist. Es fehle an einer „Authentifizierung aus wenigstens zwei voneinander unabhängigen Elementen“ im Sinne des Gesetzes, weshalb die für einen Anscheinsbeweis (starke Vermutung für die Autorisierung) erforderliche sehr hohe Sicherheit nicht gegeben sei.
2. Grobe Fahrlässigkeit des Kunden: Trotzdem musste die Bank den Schaden nicht erstatten, da sie einen Schadensersatzanspruch gegen den Kunden geltend machen konnte. Das Gericht sah ein grobes Verschulden des Kunden als gegeben an.
   • Verstoß gegen vertragliche Bedingungen: Der Kunde verstieß gegen die Sonderbedingungen des Online-Bankings, die ausdrücklich verbieten, TANs mündlich (z.B. per Telefon) außerhalb des Online-Bankings weiterzugeben.
   • Allgemeinwissen über Betrugsmaschen: Es ist allgemein bekannt, dass Bankkunden durch betrügerische Anrufe oder E-Mails zur Preisgabe von Zugangsdaten oder TANs verleitet werden sollen. Dies hätte dem Kunden bewusst sein müssen.
   • Mehrere TANs telefonisch weitergegeben: Der Kunde gab in einem kurzen Zeitraum mehrere unterschiedliche TANs telefonisch an eine ihm unbekannte Person weiter, die nicht unter einer bekannten Banknummer anrief.
   • Sichtbarkeit des Verwendungszwecks: Der Kunde räumte in der Verhandlung ein, dass in der SecureGo-App bei der Generierung der TAN deren Verwendungszweck, einschließlich des Überweisungsbetrags und des Empfängers, angezeigt wurde. Trotz dieser deutlichen Anzeige gab er die TANs telefonisch weiter, im Glauben, damit Überweisungen rückgängig zu machen, obwohl das Gegenteil angezeigt wurde. Das Gericht sah dies als besonders fahrlässig an.
3. Kein Mitverschulden der Bank: Das Gericht sah kein Mitverschulden der Bank. Die Behauptungen des Kunden über ein Sicherheitsleck bei der Bank waren nicht ausreichend begründet. Auch die Tatsache, dass die Bank bei schnellen, aufeinanderfolgenden Überweisungen mit ungewöhnlichen Empfängern nicht eingriff, begründete kein Mitverschulden. Banken sind nicht generell verpflichtet, jede einzelne Transaktion auf mögliche Betrugsfälle zu überprüfen, es sei denn, es gibt massive und offensichtliche Anhaltspunkte.

Fazit: Der Kunde erhielt sein Geld nicht zurück. Obwohl die Überweisungen nicht von ihm autorisiert waren, handelte er nach Ansicht des Gerichts grob fahrlässig, indem er die TANs telefonisch an die Betrüger weitergab, obwohl er den Verwendungszweck in der App sehen konnte und allgemeine Warnungen vor solchen Betrugsmaschen bekannt sind. Die Bank hatte daher einen Gegenanspruch auf Schadensersatz, der den Anspruch des Kunden auf Erstattung vollständig aufhob.

Haben Sie noch weitere Fragen zu diesem Urteil oder zum Online-Banking-Betrug?