Online-Banking und grobe Fahrlässigkeit: Wann Kunden haften

Online-Banking und grobe Fahrlässigkeit: Wann Kunden haften

OLG München, Hinweisbeschluss vom 4.9.2023 – 19 U 1508/23 e

RA und Notar Krau

Stellen Sie sich vor, Sie nutzen Online-Banking und plötzlich ist Geld von Ihrem Konto verschwunden, ohne dass Sie eine Überweisung autorisiert haben. Wer trägt in solchen Fällen den Schaden? Ein aktueller Fall vor dem Oberlandesgericht (OLG) München gibt hier wichtige Aufschlüsse.

Der Fall: Ein Hackerangriff und ein folgenreicher Anruf

Ein Kunde, der seit vielen Jahren Online-Banking bei seiner Bank nutzte, wurde Opfer eines Hackerangriffs. Unbekannte Täter verschafften sich Zugriff auf seine Online-Banking-Zugangsdaten (VR-Netkey und PIN). Mit diesen Daten beantragten die Betrüger die Freischaltung des sogenannten SecureGo-Verfahrens für Online-Banking-Transaktionen auf einem eigenen Gerät.

SecureGo ist eine Methode, bei der Sie Transaktionsnummern (TANs), also einmalige Passwörter für Überweisungen, direkt in einer speziellen App auf Ihrem Smartphone oder Tablet erhalten. Für die Freischaltung dieser App auf einem neuen Gerät ist ein Freischaltcode nötig, den die Bank per Post versendet.

Obwohl der Kunde bereits ein funktionierendes SecureGo-Verfahren hatte und die Zusendung eines neuen Freischaltcodes nicht beantragt hatte, erhielt er diesen Code per Post. Kurz darauf rief ihn ein Unbekannter an, der sich als Bankmitarbeiter ausgab. Der Anrufer erklärte, dass eine Aktualisierung des SecureGo-Verfahrens notwendig sei und forderte den Kunden auf, den gerade erhaltenen Freischaltcode telefonisch mitzuteilen. Der Kunde kam dieser Aufforderung nach, da er annahm, dies sei für das Update erforderlich.

Mit dem Freischaltcode und den bereits gehackten Zugangsdaten konnten die Betrüger ihr eigenes Mobilgerät freischalten und damit selbst TANs erzeugen. In der Folge führten sie mehrere unautorisierte Überweisungen vom Konto des Kunden durch. Als der Kunde den Betrug bemerkte, sperrte die Bank sofort die Konten und versuchte, die Überweisungen zurückzuholen, leider ohne Erfolg.

Der Kunde forderte von seiner Bank das Geld zurück. Er argumentierte, dass der Freischaltcode kein „personalisiertes Sicherheitsmerkmal“ sei und dessen Weitergabe daher keine grobe Fahrlässigkeit darstelle. Die Bank hielt dagegen: Der Freischaltcode sei sehr wohl ein personalisiertes Sicherheitsmerkmal, dessen Weitergabe eine grobe Fahrlässigkeit darstelle, und rechnete mit einem eigenen Schadensersatzanspruch gegen den Kunden auf.

Die Entscheidung des Gerichts: Grobe Fahrlässigkeit des Kunden

Das Landgericht, und später auch das OLG München, gaben der Bank Recht. Hier die wichtigsten Punkte des Urteils:

Grundsätzlicher Anspruch des Kunden:

Zunächst hat ein Kunde, dessen Konto durch unautorisierte Transaktionen belastet wurde, grundsätzlich einen Anspruch auf Erstattung des Geldes durch die Bank (Paragraf 675u Satz 2 BGB). Das bedeutet: Wenn die Überweisung nicht von Ihnen autorisiert wurde, muss die Bank den Betrag erstatten.

Keine „Rechtsscheinsvollmacht“:

Das Gericht stellte klar, dass in solchen Betrugsfällen nicht davon ausgegangen werden kann, dass der Kunde durch leichtfertige Weitergabe seiner Daten den Anschein erweckt hat, die Betrüger seien berechtigt gewesen, die Transaktionen durchzuführen. Eine solche „Rechtsscheinsvollmacht“ greift hier nicht.

Aber: Gegenanspruch der Bank bei grober Fahrlässigkeit:

Die Bank hat jedoch einen eigenen Anspruch auf Schadensersatz gegen den Kunden, wenn dieser seine Sorgfaltspflichten grob fahrlässig verletzt hat (Paragraf 675v Abs. 3 Nr. 2 BGB). Wenn dieser Schadenersatzanspruch genauso hoch ist wie der Erstattungsanspruch des Kunden, kann die Bank die Ansprüche gegeneinander aufrechnen – der Kunde bekommt dann kein Geld zurück.

Was ist ein „personalisiertes Sicherheitsmerkmal“?

Das OLG München stellte klar, dass der Freischaltcode für das SecureGo-Verfahren ein personalisiertes Sicherheitsmerkmal im Sinne des Gesetzes ist. Personalisierte Sicherheitsmerkmale sind alle Daten, Codes oder Passwörter, die die Bank dem Kunden exklusiv zur Verfügung stellt, um seine Identität zu überprüfen und Transaktionen zu autorisieren. Dazu gehören nicht nur die klassischen TANs, sondern auch Codes wie dieser Freischaltcode, der die Erzeugung von TANs erst ermöglicht. Die Geheimhaltung dieser Merkmale ist eine zentrale Pflicht des Kunden.

Online-Banking und grobe Fahrlässigkeit: Wann Kunden haften

Wann liegt „grobe Fahrlässigkeit“ vor?

Grobe Fahrlässigkeit bedeutet, dass jemand die im Verkehr erforderliche Sorgfalt in einem besonders schweren Maße verletzt. Vereinfacht gesagt: Derjenige beachtet nicht das, was jedem in dieser Situation sofort einleuchten müsste.

Im vorliegenden Fall sah das Gericht mehrere Gründe für grobe Fahrlässigkeit des Kunden:

Allgemein bekannte Betrugsmaschen:

Es ist heutzutage allgemein bekannt, dass Betrüger versuchen, Kunden telefonisch zur Preisgabe von Online-Banking-Zugangsdaten oder Codes zu bewegen, indem sie sich als Bankmitarbeiter ausgeben. Banken fragen niemals telefonisch nach solchen sensiblen Daten. Selbst wenn die Bank nicht explizit auf ihrer Webseite gewarnt hat, muss ein durchschnittlicher Nutzer des Online-Bankings dies wissen.

Ungewöhnliche Umstände des Freischaltcodes:

Der Kunde hatte den Freischaltcode für SecureGo nicht selbst angefordert, nutzte das Verfahren aber bereits. Dies hätte ihn stutzig machen müssen.

Anweisungen im Schreiben der Bank ignoriert:

Das Schreiben der Bank zum Freischaltcode erklärte klar, dass der Code in der SecureGo-App auf einem mobilen Gerät eingegeben werden muss – und nicht telefonisch weitergegeben werden soll. Der Kunde ignorierte diese deutlichen Anweisungen.

Das Gericht kam zu dem Schluss, dass das Verhalten des Kunden objektiv schwerwiegend und subjektiv nicht entschuldbar war. Er hätte dem unbekannten Anrufer unter keinen Umständen den Freischaltcode mitteilen dürfen.

Was bedeutet das für Sie?

Dieses Urteil unterstreicht die große Verantwortung, die Online-Banking-Nutzer tragen:

Niemals Zugangsdaten oder Codes preisgeben:

Ihre Bank wird Sie niemals telefonisch, per E-Mail oder SMS nach Ihrer PIN, TANs oder Freischaltcodes fragen. Geben Sie diese Informationen niemals weiter, egal wie überzeugend der Anrufer klingt.

Umgang mit Freischaltcodes:

Seien Sie besonders vorsichtig mit Freischaltcodes, die Sie per Post erhalten. Prüfen Sie immer, ob Sie diese selbst angefordert haben und befolgen Sie genau die Anweisungen der Bank, wie der Code zu verwenden ist.

Informiert bleiben:

Seien Sie sich der gängigen Betrugsmaschen (Phishing, Spoofing etc.) bewusst. Banken informieren oft auf ihren Webseiten über aktuelle Bedrohungen.

Kurz gesagt:

Wenn Sie Ihre personalisierten Sicherheitsmerkmale – wie PIN, TAN oder Freischaltcodes – aufgrund von grober Fahrlässigkeit an Dritte weitergeben und dadurch ein Schaden entsteht, müssen Sie diesen Schaden in der Regel selbst tragen.

Haben Sie noch Fragen zu diesem Thema oder möchten Sie mehr über spezifische Sicherheitsmaßnahmen beim Online-Banking erfahren?