Zur Sorgfaltspflicht des Nutzers von Online-Banking-Verfahren

Zur Sorgfaltspflicht des Nutzers von Online-Banking-Verfahren

KG, Urteil vom 29.11.2010 – 26 U 159/09

RA und Notar Krau

Online-Banking und Ihre Sicherheit: Was Sie wissen müssen

Online-Banking ist bequem, aber es birgt auch Risiken. Dieser Text erklärt Ihre Pflichten als Nutzer, damit Sie sich und Ihr Geld schützen können. Es geht um einen Fall, bei dem eine Kundin durch einen Betrug, auch „Phishing-Attacke“ genannt, Geld verloren hat und wer dafür am Ende zahlen muss – die Bank oder der Kunde.

Was ist passiert? Der Fall der Phishing-Attacke

Eine Frau wollte per Online-Banking Überweisungen tätigen. Nachdem sie ihre PIN eingegeben hatte, öffnete sich ein gefälschtes Fenster, das ihrer Bankseite täuschend ähnlich sah. Dort wurde sie aufgefordert, vier unbenutzte TANs (Transaktionsnummern) einzugeben, weil die Anmeldung angeblich fehlgeschlagen sei. Sie kam dieser Aufforderung nach. Am nächsten Tag stellte sie fest, dass 14.500 Euro von ihrem Konto auf unbekannte Konten überwiesen worden waren.

Wer ist schuld? Die Kernfrage

Das Gericht musste entscheiden, ob die Kundin oder die Bank für den Schaden verantwortlich ist. Dabei ging es um die sogenannte Sorgfaltspflicht beider Seiten.

Die Bank sagt: Die Kundin hat grob fahrlässig gehandelt, weil sie vier TANs eingegeben hat und ihr Computer möglicherweise nicht ausreichend geschützt war. Außerdem gab es einen Warnhinweis auf der Bankseite.

Die Kundin sagt: Die Bank ist schuld, weil ihr System veraltet war (das alte TAN-System statt des sichereren iTAN-Systems) und die Betrugsseite so echt aussah. Sie meint, ihr Verhalten sei keine grobe Fahrlässigkeit gewesen.

Ihre Sorgfaltspflicht als Online-Banking-Nutzer

Das Gericht hat klargestellt, was von einem durchschnittlichen Online-Banking-Nutzer erwartet wird:

Grundlegendes Wissen über Gefahren: Sie müssen wissen, dass es Manipulationen an Bank- oder Kundensoftware geben kann.

Achten Sie auf Verdachtsmomente: Wenn etwas ungewöhnlich erscheint, müssen Sie reagieren, selbst wenn die Webseite aussieht wie die Ihrer Bank. Im konkreten Fall war die Aufforderung zur Eingabe von vier TANs zur Anmeldung ein klares Warnsignal. Normalerweise wird eine TAN für eine einzelne Transaktion und nicht zur reinen Anmeldung benötigt, und schon gar nicht mehrere TANs auf einmal.

Brechen Sie im Zweifel ab und fragen Sie nach: Wenn Sie einen Verdacht haben, sollten Sie den Vorgang sofort abbrechen und Ihre Bank kontaktieren, um sicherzustellen, dass die Aufforderung wirklich von ihr kommt. Die Tatsache, dass die gefälschte Seite täuschend echt aussah, entschuldigt nicht, Warnsignale zu ignorieren.

Schutz Ihrer Zugangsdaten: Ihre Pflicht zur Geheimhaltung umfasst nicht nur das sichere Aufbewahren Ihrer PIN und TANs, sondern auch, angemessen auf verdächtige Situationen zu reagieren.

Wichtig: Das Gericht hat festgestellt, dass die Kundin in diesem Fall ihre Pflicht zur Geheimhaltung ihrer Zugangsdaten schuldhaft verletzt hat, indem sie die vier TANs eingegeben hat. Dies wurde als einfache Fahrlässigkeit bewertet.

Zur Sorgfaltspflicht des Nutzers von Online-Banking-Verfahren

Die Rolle der Bank und ihre Sorgfaltspflicht

Auch die Bank hat Pflichten. Das Gericht sah folgende Versäumnisse bei der Bank:

Veraltetes Sicherheitssystem:

Die Bank nutzte noch das alte, herkömmliche TAN-System, obwohl die Betrugsmethode mit der Abfrage mehrerer TANs bekannt war und ein sichereres System, das iTAN-System (bei dem eine zufällig generierte, einzelne TAN für jede Transaktion angefordert wird), bereits existierte und bei den meisten Banken im Einsatz war. Ein veraltetes System, das hinter den aktuellen Sicherheitsstandards zurückbleibt, stellt eine Sorgfaltspflichtverletzung der Bank dar. Das iTAN-System hätte diesen speziellen Betrug verhindert.

Unzureichender Warnhinweis:

Die Bank hatte zwar einen Warnhinweis auf ihrer Webseite, dieser war aber nicht prominent genug platziert (im unteren Bereich der Seite, eventuell nur durch Scrollen sichtbar) und wies nicht deutlich genug auf die spezifische Betrugsmasche hin, die zu diesem Zeitpunkt bereits bekannt war. Angesichts der bekannten und akuten Gefahr hätte ein auffälligerer Hinweis platziert werden müssen.

Fazit des Gerichts: Wer zahlt wie viel?

Das Gericht hat entschieden, dass sowohl die Kundin als auch die Bank zum Schaden beigetragen haben. Bei der Abwägung der Schuldanteile kam das Gericht zu dem Schluss, dass die Bank den überwiegenden Teil des Schadens (70%) tragen muss, während die Kundin 30% des Schadens selbst verantworten muss.

Der Hauptgrund für die höhere Schuld der Bank war, dass ihr verwendetes TAN-System als veraltet angesehen wurde und ein Missbrauch der erlangten TANs mit dem neueren iTAN-System nicht möglich gewesen wäre.

Was bedeutet das für Sie?

Dieser Fall zeigt deutlich:

Seien Sie wachsam: Vertrauen Sie nicht blind auf das Aussehen einer Webseite. Seien Sie besonders misstrauisch, wenn Sie zur Eingabe ungewöhnlich vieler oder wiederholter Daten aufgefordert werden.

Kennen Sie die Sicherheitsverfahren Ihrer Bank: Informieren Sie sich, wie Ihre Bank die Anmeldung und Transaktionen sichert (z.B. welche Art von TAN-Verfahren sie nutzt) und wie Sie Warnungen erkenntlich machen.

Schützen Sie Ihren Computer: Sorgen Sie für aktuelle Antivirenprogramme, auch wenn dies im konkreten Fall nicht als alleiniger Sorgfaltspflichtverstoß der Kundin angesehen wurde, ist es eine grundlegende Schutzmaßnahme.

Ihre Bank hat auch eine Verantwortung: Banken müssen moderne und sichere Systeme anbieten und ihre Kunden klar und deutlich vor bekannten Gefahren warnen.

Im Zweifel gilt immer: Lieber einmal zu viel bei der Bank nachfragen, als auf eine Betrugsmasche hereinzufallen!