Source: https://openjur.de/u/721428.html
Timestamp: 2019-02-20 06:11:22+00:00

Document:
LG Darmstadt, Urteil vom 28.08.2014 - 28 O 36/14 - openJur
Urteil vom 28.08.2014 - 28 O 36/14
LG Darmstadt, Urteil vom 28.08.2014 - 28 O 36/14
openJur 2014, 19747
Die Klägerin nutzte das Smart-TAN-plus-Verfahren der Beklagten auf Grundlage der zwischen den Parteien vereinbarten Sonderbedingungen für das Online-Banking (Bl. 81 f. d. A.). Diese sehen unter Ziffer 7.4 vor, dass der Bankkunde verpflichtet ist, Daten aus seinem Online-Banking-Auftrag (z. B. der Betrag, Kontonummer des Zahlungsempfängers), die er über ein Chipkartenlesegerät mit Display zur Bestätigung angezeigt erhält, vor der Bestätigung auf Übereinstimmung der angezeigten Daten mit den für die Transaktion vorgesehenen Daten zu prüfen. Die Parteien vereinbarten zudem, dass Verfügungen über das Online-Banking auf 20.000,00 € täglich begrenzt werden.
Es kam am 12.11. und am 27.11.2013 noch zu weiteren Belastungen des Geschäftskontos der Klägerin. Diese sind streitgegenständlich. Konkret wurde am 12.11. um 16:37 Uhr das Konto der Klägerin mit 9.500,00 € zugunsten eines Zahlungsempfängers „[…]“ mit dem Verwendungszweck „[…]“ und am 27.11.2013 um 15:44 Uhr mit 9.000,00 € zugunsten eines Zahlungsempfängers „[…]“ mit dem Verwendungszweck „[…]“ belastet.
In dem „Nachweisprotokoll der SEPA-Aufträge“ der Beklagten wurden die beiden streitgegenständlichen Belastungen des Klägerkontos als Online-Überweisungen mittels TAN-Generator und dabei erzeugter übereinstimmender TAN des TAN-Generators und des Bankservers erfasst. Ausweislich des Protokolls sollen die Transaktionen unter Verwendung der Bankcard des Geschäftsführers der Klägerin, Herrn B, und unter Verwendung dessen „Private Key“ und PIN-Nummer beim Einloggen erfolgt sein (Bl. 79 f. d. A.).
Mit Schreiben ihres Prozessbevollmächtigten vom 02.12.2013 forderte die Klägerin die Beklagte zur Rückzahlung der abgebuchten 18.500,00 € unter Fristsetzung bis zum 05.12.2013 auf (Bl. 39 d. A.). Am selben Tag unterrichtete die Klägerin die Beklagte von den aus ihrer Sicht nicht autorisierten streitgegenständlichen Kontenbelastungen (Bl. 8 d. A.).
Im Januar 2014 warnte die Beklagte ihre Kunden auf ihrer Homepage davor, dass gefälschte E-Mails in betrügerischer Absicht scheinbar in ihrem Namen versendet werden. In diesen E-Mails werde der Bankkunde aufgefordert, auf einen Link zu klicken. Dieser Link diene jedoch einzig dazu, den Computer des Bankkunden mit Schadcode („Trojaner“) zu kompromittieren (Bl. 101 d. A.).
Die Klägerin behauptet,ihr Geschäftsführer habe bei jeder Überweisung mittels Online-Banking die Überweisungsdaten auf der Maske des Bildschirms mit den auf dem Display des TAN-Generators angezeigten Überweisungsdaten abgeglichen und dabei keine Auffälligkeiten festgestellt.
Wäre die Beklagte über ihre Notfallhotline am 29.11.2013 zu erreichen gewesen, so hätte die Rückbuchung der Kontobelastung vom 27.11.2013 noch erfolgen können. Die Klägerin ist der Ansicht, die Beklagte habe dadurch, dass sie erst im Januar 2014 vor den Gefahren betrügerischer E-Mails gewarnt habe, eine Vertragspflicht verletzt. Die Beklagte habe zudem dadurch eine weitere Pflichtverletzung begangen, dass sie die beiden streitgegenständlichen Überweisungen mit „derart hohen Beträgen“ ausgeführt habe, ohne dass – unstreitig – ein unterschriebener Überweisungsträger vorgelegt wurde.
1.) die Beklagte zu verurteilen, an sie 18.500,00 € nebst Zinsen in Höhe von 8 Prozentpunkten über dem jeweiligen Basiszinssatz seit dem 06.12.2013 zu zahlen;
2.) die Beklagte zu verurteilen, an sie 562,16 € außergerichtliche Rechtsverfolgungskosten nebst Zinsen in Höhe von Prozentpunkten über dem jeweiligen Basiszinssatz seit Rechtshängigkeit zu zahlen.
Die Beklagte behauptet,der Geschäftsführer der Klägerin, Herr B, habe die auf dem Display des TAN-Generators angezeigten Daten der beiden streitgegenständlichen Überweisungen durch Drücken der O.K.-Taste bestätigt und damit autorisiert. Das sei auch dann der Fall, wenn diese von dritter Seite manipuliert worden seien. In diesem Fall stünden der Beklagten Schadensersatzansprüche gegen die Klägerin zu, mit der sie – unstreitig – die Aufrechnung erklärt (Bl. 65 d. A.).
Die zulässige Klage ist unbegründet. Die Klägerin kann von der Beklagten weder die Zahlung von 18.500,00 € noch die Erstattung vorgerichtlicher Rechtsanwaltskosten von 562,16 € verlangen.
Der zwischen den Parteien bestehende Girovertrag mitsamt den Sonderbedingungen für das Online-Banking ist ein Geschäftsbesorgungsvertrag, der die Erbringung von Zahlungsdiensten zum Gegenstand hat, § 675c Abs. 1 BGB. Der Klägerin steht aus diesem Vertrag gegen die Beklagte kein Anspruch aus § 675u S. 2 BGB auf Zahlung von 18.500,00 € zu.
Autorisierung im Sinne des § 675j Abs. 1 BGB meint die Erklärung des Einverständnisses mit dem Zahlungsvorgang als tatsächliches Ereignis (Palandt/Sprau, a. a. O., § 675j Rn. 3). Die Autorisierung ist eine Willenserklärung und kann gem. § 675j Abs. 1 S. 4 BGB auch mittels eines bestimmten Zahlungsauthentifizierungsinstruments – beim Online Banking mittels PIN und TAN (vgl. Palandt/Sprau, a. a. O., § 675j Rn. 6) – erteilt werden.
Diese Mindestvoraussetzungen hat die Beklagte dargetan. Denn beim Online-Banking erbringt der Zahlungsdienstleister den Nachweis der Authentifizierung gem. § 675w S. 2 BGB, wenn er belegt, dass Kundenkennung, PIN und TAN überprüft wurden (vgl. Palandt/Sprau, BGB, 73. Aufl. 2014, § 675w Rn. 3). Diesen Anforderungen hat die Beklagte durch Vorlage des Nachweis-Protokolls der SEPA-Aufträge vom 12.11. und 27.11.2013 (Bl. 79 f. d. A.) sowie des Protokolls der „SB-Karte-PRK […]“ (Bl. 78 d. A.) genügt, da aus den Protokollen ersichtlich ist, dass die vorgenannten Nachweise überprüft wurden und Grundlage der Transaktionen waren. Die Beklagte hat auch den nach § 675w S. 1 geforderten Nachweis, dass der Zahlungsvorgang ordnungsgemäß aufgezeichnet, verbucht sowie nicht durch eine Störung beeinträchtigt wurde, durch Vorlage des Protokolls der SEPA-Aufträge vom 12.11. und 27.11.2013 (Bl. 79 f. d. A.) geführt. Die ordnungsgemäße Aufzeichnung, Verbuchung und störungsfreie, keine Auffälligkeiten aufweisende technische Abwicklung kann nämlich durch aussagekräftige Transaktionsprotokolle belegt werden, wenn sich aus diesen ergibt, dass der Zahlungsvorgang nicht durch einen technischen Zusammenbruch oder eine andere Panne beeinträchtigt wurde (vgl. Caspar, in: MüKo-BGB, 6. Aufl. 2012, § 675w Rn. 6). Das von der Beklagten vorgelegte Protokoll beinhaltet SEPA-Überweisungen, die über das Zahlungsdienstesystem der Beklagten an den streitgegenständlichen Tagen erfolgten. Ausweislich der Protokolle sind unmittelbar nach den streitgegenständlichen Überweisungen am 12.11. und am 27.11.2013 auch andere Zahlungsvorgänge von anderen Kunden der Beklagten abgewickelt worden, sodass ein technischer Zusammenbruch o. ä. ausscheidet.
Die Klägerin hat ihr Einverständnis zu den beiden streitgegenständlichen Zahlungsvorgängen zwar nicht selbst erteilt, sondern wurde Opfer eines sog. „Man-in-the-Middle-Angriffs“. Ihr ist die mittels des Zahlungsauthentifizierungsinstruments PIN und TAN erteilte Zustimmung des „Angreifers“ zu den manipulierten Zahlungsvorgängen jedoch nach Rechtsscheinsgrundsätzen zuzurechnen.
Die Klägerin kannte die beiden (vermeintlich) aus Lettland stammenden (ggf. fiktiven) Zahlungsempfänger nicht und stand mit ihnen insbesondere auch nicht in einer Geschäftsbeziehung. Die Klägerin besaß daher keine Veranlassung, derart hohe Auslandsüberweisungen an die beiden Zahlungsempfänger zu tätigen. Hinzu kommt, dass die Klägerin an den beiden streitgegenständlichen Tagen Überweisungen an eine A GmbH & Co KG ausführen wollte und deren Daten in die auf dem PC-Bildschirm ersichtliche Überweisungsmaske eingab. Diesem Umstand stellte die Beklagte mit Schriftsatz vom 21.07.2014, S. 3 (Bl. 135 d. A.), unstreitig. Nach den überzeugenden Feststellungen des Sachverständigen Dr. D ist es für einen betrügerischen sog. „Man-in-the-Middle-Angriff“ geradezu typisch, dass eine beabsichtigte Überweisung, deren Daten in die (manipulierte) Überweisungsmaske auf dem PC-Bildschirm eingegeben werden, nicht an die Bank übermittelt und von dieser daher auch nicht ausgeführt wird. Denn der „Angreifer“ kann keine eigenen, vom Benutzer losgelösten Transaktionen starten, sondern muss immer eine vom dem Zahler gewollte Aktion in seinem Sinne verändern (manipulieren).
Eine Anscheinsvollmacht ist gegeben, wenn der Vertretene (hier: die Klägerin) das Handeln des Scheinvertreters (hier: des „Angreifers“) nicht kennt, er es aber bei pflichtgemäßer Sorgfalt hätte erkennen und verhindern können, und wenn der Geschäftspartner (hier: die Beklagte) annehmen durfte, der Vertretene kenne und billige das Handeln des Vertreters. Bei dem hier vorliegenden, mit einer Identitätstäuschung verbundenen Handeln unter fremdem Namen ist bei Anwendung dieser Grundsätze auf das Verhalten des Namensträgers abzustellen (BGH, Urt. v. 11.05.2011 – VIII ZR 289/09, Rn. 16 – juris; Palandt/Ellenberger, a. a. O., § 172 Rn. 11).
Das Smart-TAN-plus-Verfahren bietet nach den Ausführungen des Sachverständigen auch eine ausreichende Systemsicherheit, um einen solchen Vertrauenstatbestand zu begründen (vgl. zur Bedeutung der Systemsicherheit für die Annahme des Vertrauenstatbestandes: BGH, Urt. v. 11.05.2011 – VIII ZR 289/09, Rn. 18 – juris): Soweit Manipulationsmöglichkeiten in Betracht kommen, kann die Ausführung des manipulierten Zahlungsvorganges durch Kontrolle der auf dem Display des TAN-Generators angezeigten Überweisungsdaten vermieden werden.
In der Sache geht es vorliegend darum, ob die Beklagte aufgrund der ihr übermittelten personalisierten und transaktionsbezogenen Sicherheitsmerkmale (§ 675j Abs. 1 S. 4 BGB) davon ausgeht durfte, dass der Zahlungsvorgang mit Einverständnis der Klägerin erfolgte. Hierfür kann die wiederholte Manipulation der Zahlungsvorgänge durch einen „Angreifer“ richtigerweise keinen Vertrauenstatbestand begründen, da eine (erfolgreiche) Manipulation als solche für den Rechtsverkehr gar nicht erkennbar ist (vgl. Faust, JuS 2011, 1027 (1028); Schinkels, LMK 2011, 320461). Denn ebenso wie bei einem nicht manipulierten Zahlungsvorgang wird dem Zahlungsdienstleister bei einem „Man-in-the-Middle-Angriff“ die Zustimmung (unterschiedslos) einzig mittels des Zahlungsauthentifizierungsinstruments (PIN, TAN) erteilt. Das drängt dazu, die Grundsätze der Anscheinsvollmacht auf die vorliegende Frage lediglich entsprechend anzuwenden (vgl. Hauck, JuS 2011, 967 (969)) und auf das Kriterium einer gewissen Dauer und Häufigkeit für die Annahme des Vertrauenstatbestands zu verzichten (Härting, BB 2011, 2187 (2188)).
Der Bundesgerichtshof hat im Fall einer unberechtigten Nutzung eines eBay-Kontos für das Vorliegen einer Anscheinsvollmacht jedoch eine gewisse Häufigkeit oder Dauer der unbefugten Verwendung gefordert (BGH, Urt. v. 11.05.2011 – VIII ZR 289/09, Rn. 18 – juris). Fehle es hieran, läge kein Vertrauenstatbestand vor, auf den sich der Rechtsverkehr stützen könne. Zur Begründung führt der Bundesgerichtshof an, dass angesichts des derzeit vorhandenen Sicherheitsstandards im Internet auch bei einem eBay-Account nicht zuverlässig geschlossen werden könne, dass unter einem registrierten Mitgliedsnamen ausschließlich dessen tatsächlicher Inhaber auftritt (BGH, a. a. O.). Für die Annahme des Vertrauenstatbestandes soll damit das Erfordernis einer gewissen Dauer und Häufigkeit die geringe Systemsicherheit und Missbrauchsanfälligkeit kompensieren. Damit liegt nahe, nach Maßgabe der Rechtsprechung des Bundesgerichtshofs vorliegend auf das Kriterium einer gewissen Dauer oder Häufigkeit für eine Zurechnung nach Rechtsscheinsgrundsätzen zu verzichten. Denn nach den bereits dargestellten überzeugenden Ausführungen des Sachverständigen weist das Smart-TAN-plus-Verfahren eine hohe Systemsicherheit mit lediglich wenigen Manipulationsmöglichkeiten auf. Der Bankkunde kann die Manipulation zudem dadurch verhindern, dass er die auf dem Display des TAN-Generators angegeben Überweisungsdaten vor dem Drücken der O. K. Taste kontrolliert.
Letztlich kann die Frage, ob es vorliegend einer gewissen Dauer oder Häufigkeit mittels „Man-in-the-Middle-Angriffen“ manipulierter Zahlungsvorgänge bedarf, offen bleiben. Denn die Klägerin wurde Opfer zweier „Man-in-the-Middle-Angriffe“. Eine gewisse Häufigkeit und Dauer der Missbrauchsfälle ist damit gegeben.
Schließlich war die Beklagte auch gutgläubig. Sie hatte keinen Grund, von nicht durch die Klägerin veranlassten Zahlungsvorgängen auszugehen. Daran ändert – entgegen der Ansicht der Klägerin – auch die Tatsache nicht, dass es sich um aus Sicht der Klägerin betragsmäßig hohe und für sie seltene Auslandsüberweisungen handelte. Denn eine Bank muss weder generell prüfen, ob die Abwicklung eines Zahlungsverkehrsvorganges Risiken für einen Beteiligten begründet, noch Kontobewegungen allgemein und ohne nähere Anhaltspunkte überwachen. Ohne besondere weitere Anhaltspunkte geben auch Überweisungen mit Auslandsberührung, der Einsatz glatter Beträge und dadurch ggf. eintretende Kontoüberziehungen einer Bank keinen hinreichenden Anlass, von diesem Grundsatz eine Ausnahme zu machen. Kreditinstitute werden im bargeldlosen Zahlungsverkehr nämlich nur zum Zweck der technisch einwandfreien, einfachen und schnellen Abwicklung tätig und haben sich schon wegen dieses begrenzten Geschäftszwecks und der Massenhaftigkeit der Geschäftsvorgänge grundsätzlich nicht um die beteiligten Interessen ihrer Kunden zu kümmern (vgl. BGH, Urt. v. 24. 04.2012 – XI ZR 96/11 Rn. 32, 34 –, juris).
Die Entscheidung zu den Kosten findet ihre Grundlage in § 91 Abs. 1 S. 1 ZPO, die zur vorläufigen Vollstreckbarkeit in § 709 S. 1 u. 2. ZPO.
Permalink: https://openjur.de/u/721428.html (http://oj.is/721428)
Volltext Zitate 3 Zitate 2 Referenzen 3 Themenverwandt Schlagworte

References: § 675
 § 675
 § 675
 § 675
 § 675
 § 675
 § 675
 § 675
 § 675
 § 675
 § 172
 § 91
 § 709