PushTAN-Betrug: Wenn Betrüger am Telefon zur TAN-Freigabe drängen – Wer zahlt den Schaden?

PushTAN-Betrug: Wenn Betrüger am Telefon zur TAN-Freigabe drängen – Wer zahlt den Schaden?

RA und Notar Krau

Das Oberlandesgericht (OLG) Bremen hat in einem Beschluss vom 30. August 2024 (Az.: 1 U 32/24) entschieden, dass ein Bankkunde den Schaden eines PushTAN-Betrugs selbst tragen muss, wenn er grob fahrlässig gehandelt hat. Dabei ging es um die Frage, ob die Bank haften muss, wenn Betrüger einen Kunden durch geschickte Vortäuschung (sogenanntes „Social Engineering“) dazu bringen, eine PushTAN freizugeben.

Der konkrete Fall

Ein Kunde (Kläger) nutzte bei seiner Bank (Beklagte) das Online-Banking mit dem PushTAN-Verfahren. Das bedeutet: Für Überweisungen meldet er sich online an und bestätigt dann den Vorgang mit einer PushTAN, die er über eine spezielle App auf seinem Smartphone erhält.

Am 4. Januar 2023 erhielt der Kunde mehrere Anrufe von Betrügern. Der genaue Inhalt der Gespräche war strittig, aber der Kunde gab letztlich eine PushTAN für eine Echtzeitüberweisung von 10.000 Euro frei. Dieses Geld ging dann an ein Konto, das einem Dritten gehörte. Der Kunde behauptete später, die Anrufer hätten die Rufnummer der Bank angezeigt und sich als Mitarbeiter des Sicherheitsdienstes ausgegeben. Sie hätten ihm erzählt, dass sein Konto unbefugt belastet worden sei und er die PushTAN freigeben müsse, um das Geld „zurückzubuchen“. Um seine Angaben glaubwürdig zu untermauern, konnten die Betrüger Kontodaten des Kunden nennen. Nach dem Vorfall sei sein Online-Banking-Zugang tatsächlich gesperrt gewesen. Der Kunde behauptete auch, dass ihm beim Freigeben der PushTAN in der App weder der Betrag noch der Empfänger angezeigt wurden und er ein Überweisungslimit von 2.500 Euro gehabt hätte. Zudem vermutete er Sicherheitslücken bei der Bank.

Die Bank hingegen erklärte, dass der Kunde die PushTAN bewusst freigegeben habe und daher selbst schuld sei. Sie wies darauf hin, dass sie bereits im März 2021 und September 2022 Sicherheitshinweise veröffentlicht hatte, die vor solchen Betrugsanrufen warnten, insbesondere vor dem sogenannten „Call-ID-Spoofing“ (Fälschen der Rufnummernanzeige). Bei jeder PushTAN-Freigabe werde zudem ein Warnhinweis angezeigt, dass man nur selbst veranlasste Zahlungen freigeben solle. Die Bank behauptete, dem Kunden seien der Überweisungsbetrag und die Empfänger-IBAN bei der Freigabe angezeigt worden.

PushTAN-Betrug: Wenn Betrüger am Telefon zur TAN-Freigabe drängen – Wer zahlt den Schaden?

Das Urteil des Landgerichts (Vorinstanz)

Das Landgericht Bremen hatte die Klage des Kunden bereits abgewiesen. Es stellte fest, dass die Überweisung zwar nicht vom Kunden selbst veranlasst wurde und somit als nicht autorisiert galt. Dies würde dem Kunden grundsätzlich einen Anspruch auf Rückerstattung geben.

ABER: Das Landgericht entschied, dass der Kunde grob fahrlässig gehandelt hatte. Begründung:

• Der Anruf eines angeblichen Bankmitarbeiters, der eine PushTAN für eine „Rückbuchung“ verlangt, ist ungewöhnlich und hätte Misstrauen wecken müssen.
• Es wurde als Schutzbehauptung angesehen, dass dem Kunden die Daten der Überweisung (Betrag, Empfänger) in der App nicht angezeigt worden seien. Im Gegenteil, es sei davon auszugehen, dass die App anzeigte, dass er eine Überweisung freigab und nicht eine Rückbuchung.
• Der Kunde wurde durch die Sicherheitshinweise der Bank auf solche Betrugsmaschen und das Fälschen von Rufnummern hingewiesen. Diese Informationen sind auch in der Öffentlichkeit breit bekannt.
• Ein behauptetes Limit von 2.500 Euro konnte der Kunde nicht beweisen.

Die Entscheidung des Oberlandesgerichts (Berufung)

Der Kunde legte Berufung gegen das Urteil des Landgerichts ein. Das OLG Bremen beabsichtigte jedoch, die Berufung des Klägers einstimmig zurückzuweisen. Das Gericht stimmte der Argumentation des Landgerichts im Wesentlichen zu und begründete dies wie folgt:

1. Zahlung war wirksam autorisiert, aber angefochten: Das OLG erklärte, dass die Freigabe der PushTAN durch den Kunden eine wirksame Autorisierung des Zahlungsvorgangs darstellte. Zwar sei der zugrunde liegende Zahlungsauftrag (die Überweisung an den Betrüger) nicht vom Kunden erteilt worden. Die Freigabe der TAN selbst sei jedoch eine Willenserklärung des Kunden an die Bank, die nach dem objektiven Empfängerhorizont (also aus Sicht der Bank) als Zustimmung zu der angezeigten Transaktion zu verstehen war, auch wenn der Kunde glaubte, etwas anderes zu tun. Allerdings konnte der Kunde diese Autorisierung anfechten, da er einem Irrtum über den Inhalt seiner Erklärung (Annahme, es sei eine Rückbuchung, tatsächlich aber eine Überweisung) unterlag. Die Aufforderung an die Bank, das Geld zu erstatten, wurde als konkludente (stillschweigende) Anfechtungserklärung gewertet. Dadurch wurde die Autorisierung von Anfang an unwirksam, und der Kunde hätte grundsätzlich einen Anspruch auf Rückerstattung gehabt.
2. Bank hat Gegenanspruch wegen grober Fahrlässigkeit: Trotz des Rückerstattungsanspruchs des Kunden konnte die Bank diesen jedoch durch einen eigenen Schadensersatzanspruch in gleicher Höhe aufrechnen. Diesen Anspruch hat die Bank, wenn der Kunde grob fahrlässig seine Pflichten verletzt hat.
   • Pflichtverletzungen des Kunden: Der Kunde hat gegen die Pflicht verstoßen, seine Authentifizierungselemente (hier die PushTAN) vor unbefugtem Zugriff zu schützen. Dies beinhaltet auch das Verbot, TANs mündlich am Telefon weiterzugeben. Zudem hat er die Sicherheitshinweise der Bank nicht beachtet, die klar vor solchen Betrugsanrufen warnten. Auch wenn dem Kunden die Überweisungsdaten (Betrag, Empfänger) in der App nicht angezeigt worden wären, hätte er durch die bloße Freigabe einer TAN ohne sichtbaren Verwendungszweck die Kontrolle über sein Sicherheitsmerkmal aus der Hand gegeben.
   • Grobe Fahrlässigkeit: Die Freigabe einer PushTAN auf telefonische Aufforderung eines Unbekannten hin ist ein schwerer Sorgfaltspflichtverstoß. Es ist allgemeines Wissen, dass persönliche Sicherheitsmerkmale nicht am Telefon preisgegeben werden dürfen, insbesondere nicht für angebliche „Rückbuchungen“. Das „Call-ID-Spoofing“ (Fälschen der angezeigten Rufnummer) ändert daran nichts, da allgemein bekannt ist, dass Rufnummern leicht gefälscht werden können. Dass der Anrufer Kontodaten kannte oder der Zugang zum Online-Banking gesperrt war, rechtfertigt das Verhalten des Kunden ebenfalls nicht, da diese Informationen auch aus anderen betrügerischen Quellen stammen können und der Kunde auch einem echten Bankmitarbeiter keine TAN mündlich mitteilen darf. Der Kunde selbst hatte Zweifel und überprüfte die Angaben des Anrufers durch Einloggen ins Online-Banking – das hätte ihn zur besonderen Vorsicht anhalten müssen.
   • Kein Mitverschulden der Bank: Das OLG sah kein Mitverschulden der Bank. Das behauptete Überweisungslimit von 2.500 Euro konnte der Kunde nicht beweisen. Auch für angebliche Sicherheitslücken bei der Bank oder die fehlende Anzeige der Überweisungsdaten (was der Kunde behauptete) fehlten dem Gericht überzeugende Beweise. Die Bank ist zudem nicht verpflichtet, einzelne Transaktionen in Echtzeit auf Betrug zu überprüfen.

Ergebnis: Der Kunde muss den Schaden selbst tragen, da er grob fahrlässig handelte. Er hatte zwar einen Anspruch auf Rückerstattung, aber die Bank konnte diesen Anspruch durch ihren eigenen Schadensersatzanspruch wegen der groben Fahrlässigkeit des Kunden ausgleichen. Das Urteil des Landgerichts wurde somit im Wesentlichen bestätigt.

PushTAN-Betrug: Wenn Betrüger am Telefon zur TAN-Freigabe drängen – Wer zahlt den Schaden?

Dieses Urteil unterstreicht einmal mehr die Gefahren des Social Engineering im Online-Banking. Es ist entscheidend, niemals persönliche Zugangsdaten oder TANs am Telefon preiszugeben, selbst wenn der Anrufer glaubwürdig erscheint und Daten kennt. Banken weisen immer wieder darauf hin, dass sie niemals am Telefon zur Freigabe von TANs auffordern.

Haben Sie noch Fragen zu diesem Urteil oder wie Sie sich vor solchen Betrugsversuchen schützen können?