Source: https://www.a-i3.org/category/forschung/page/2/
Timestamp: 2020-02-19 17:23:20+00:00

Document:
Forschung | a-i3.org | Seite 2
Zur Haftung bei Weitergabe persönlicher Daten und Dokumente
24. Februar 2009 RA Stefan Preußner	Schreibe einen Kommentar
Wer seine persönlichen Personaldaten nebst beglaubigter Personalausweiskopie sowie seine wesentlichen Finanzdaten wie Bank, Kontonummer und Bankleitzahl einem Dritten zur Verfügung stellt, hat im Betrugsfall nach den Grundsätzen der Anscheinsvollmacht für den Schaden zu haften. So entschied das AG Hamburg-St. Georg:
"Der Arrestbeklagte hat … in die Lage versetzt, seine Identität im Internet anzunehmen, indem er ihm seine wesentlichen persönlichen Daten wie Name, Adresse, Geburtstag und -ort und seine wesentlichen Finanzdaten wie Bank, Kontonummer und Bankleitzahl gegeben hat. Zudem hat er … in die Lage versetzt, im Internet die Identität als … als wahr nachzuweisen, indem er diesen eine beglaubigte Abschrift seines Personalausweises überlassen hat. Der Arrestbeklagte versetzte somit … in die Lage, im Internet seine Identität anzunehmen und dort Rechtsgeschäfte unter seinem Namen einzugehen und genau dass hat … den Vortrag des Arrestbeklagten als wahr unterstellt – getan, indem er ein Emailkonto bei … einrichtete und sich bei … als verifizierter Händler anmeldete. Im Prinzip ist das Verhalten des Arrestbeklagten mit dem Verhalten desjenigen zu vergleichen, der einem Fremden eine Blankovollmacht gibt. Aus diesem Grunde war es für den Arrestbeklagte auch vorhersehbar, dass … mit dem ihm überlassenen Daten und der beglaubigten Abschrift seines Personalausweises in der Lage sein wird, sich als Arrestbeklagter auszugeben und damit seine Daten zu missbrauchen. Es kommt nicht entscheiden darauf an, dass der Arrestbeklagte gerade die von … durchgeführten Betrügereien hätte vorhersehen müssen. Er reicht aus, dass er den Datenmissbrauch zum Nachteil Dritter, nämlich unter Verschleierung des wahren Handelnden und dessen Identität hätte erkennen können."
20. Juni 2008 RA Stefan Preußner	Schreibe einen Kommentar
Nach einem Urteil des Amtsgerichts Wiesloch vom 20. Juni 2008 (Az.: 4 C 57/08) haftet eine Bank für die einem Kunden durch einem Phishing-Angriff entstehenden Schäden, sofern die Sicherheitsmaßnahmen des Kunden beim Betrieb seines Rechners "durchschnittlichen Sorgfaltsanforderungen" genügen.
Das Urteil kann im Volltext hier abgerufen werden.
LG Mannheim lehnt Anscheinsbeweis im Onlinebanking ab
16. Mai 2008 RA Stefan Preußner	Schreibe einen Kommentar
Mit bisher noch nicht veröffentlichtem Urteil vom 16.05.2008 hat das LG Mannheim (Az.: 1 S 189/07) entschieden, dass es keinen Anscheinsbeweis dafür gibt, dass der Kontoinhaber seine Sorgfaltspflichten verletzt hat, wenn die Transaktion mit den richtigen Legitimationsmedien durchgeführt wurde.
Urteil gegen Finanzagenten
17. April 2008 Dipl.-Jur. Paul Dienstbach	Schreibe einen Kommentar
Das Bezirksgericht Zürich hat einen Finanzagenten mit Urteil vom 17.4.2008 wegen Geldwäscherei zu einer von 30 Tagessätzen verurteilt. Zudem sprach das Gericht der Geschädigten einen Schadensersatz in voller Höhe zu.
L. Jean Camp – Economics of Identity Theft
27. März 2008 Dipl.-Jur. Paul Dienstbach	Schreibe einen Kommentar
L Jean Camp von der School of Informatics an der Indiana University, hat ein Buch mit dem Titel “Economies of Identity Theft – Avoidance, Causes and Possible Cures” veröffentlicht. Camp beschäftigt sich darin mit den grundlegenden Unterschieden zwischen „analoger“ und digitaler Kommunikation und den dabei entstehenden Sicherheitsrisiken. Als kritisch sieht sie, dass mit wenigen persönlichen Daten, wie z.B. der Social Security Number (SSN) oder der Kreditkartennummer, zahlreiche Angebote online genutzt werden könnten. Dabei wiesen diese Angebote eine unterschiedliche Bedeutung und damit auch stark variierende Sicherheitsstandards auf. Durch diese gemeinsame Nutzung entstünden daher zusätzliche Möglichkeiten für Identitätsdiebstahl da die Daten zum einen in schwach geschützten System leicht geklaut werden könnten, zum anderen anschließend für sensible Angebote verwendet werden könnten. Die Verwendung eines gemeinsamen Zugangsschlüssels für unterschiedliche Angebote sie daher abzulehnen.
Daneben seien zur Vermeidung von Identitätsdiebstahl die persönlichen Daten möglichst geheim zu halten. Neben der Verwendung von sicheren E-Mail Programmen und Browsern müsse auch die Briefpost, die Zugangsdaten enthalten könne, möglichst vertraulich behandelt werden. Für Angebote, die eine SSN verlangen, könne man eine „alternative“ SSN selbst erstellen, da diese meist nicht nachgeprüft werde. Insgesamt sei aber festzustellen, dass der Einzelne den Schutz zwar durch sein Verhalten erhöhen, aber niemals vollständig gewährleisten könne. Zudem würden viele Nutzer den Schutz ihrer Geräte immer noch nicht ernst nehmen und auf Schutzmaßnahmen nach wie vor verzichten. Insgesamt sei festzustellen, dass der Identitätsmißrauch im Internet stetig zunehme.
Systeme die ein zentrales Identitätsmanagement anbieten hätten zwar ein Vorteil bzgl. der Nutzbarkeit, würden zugleich aber große Risiken beinhalten. Bei einem Missbrauch sei quasi die gesamte Identität des Opfers betroffen. Dies sei umso schwer wiegender, da man als Opfer eines solchen Missbrauches kaum Möglichkeiten habe die Folgen zu beheben.
Zentrales Element in Kommunikationsnetzwerken sei das Vertrauen, bzw. die Vertrauenswürdigkeit des Gegenüber. Dies sei im Internet kaum feststellbar. SSL biete hierfür zwar eine Möglichkeit, sei aber zugleich leicht zu untergraben. Bestimmte Siegel oder Auszeichnungen die auf Vertrauenswürdigkeit schließen ließen seien leicht zu fälschen und daher kaum brauchbar. Es sei festgestellt worden, dass Websites mit Sicherheitssiegeln häufiger einen schädlichen Inhalt besitzen, als solche ohne entsprechende Auszeichnung.
In Netzwerken wie Facebook fühlten die Nutzer sich an einem vertrauenswürdigen, sicheren Ort. Daher würden sie dort viele Informationen angeben, die eigentlich als sensibel einzustufen seien.
Die Softwarehersteller würden die Sicherheitsrisiken teilweise selbst schaffen, da sie aus ökonomischen Gründen unausgereifte Software auf den Mark brächten. Dies sei für sie mit höheren Gewinnen verbunden. Ohne Sicherheitsupdates werde der Einzelne aber durch solche Software zum Sicherheitsrisiko. Zudem ist die Flexibilität der Software zwar praktisch um Updates aufzuspielen, andererseits bietet sie dadurch auch zusätzliche Angriffsfläche.
Ein gutes Mittel um Authentisierung im Internet vorzunehmen sie grds. die Biometrie. Allerdings seien auch hier viele Punkte zu berücksichtigen. Insbesondere gebe es zwischen den verschiedenen biometrischen Eigenschaften große Unterschiede in der Sicherheit.
Zusammenfassend lasse sich feststellen, dass eine Entwicklung hin zu einem verstärkt anonymen Auftreten in der Online-Kommunikation und eine Dezentralisierung der Sicherheitssysteme angestrebt werden muss. Andernfalls werde der Identitätsdiebstahl weiterhin verstärkt zunehmen.
Das Buch von L. Jean Camp ist im Springer Verlag erschienen.
Haftung des Finanzagenten gegenüber der Überweiserbank
31. Januar 2008 Ass. jur. Tobias Mühlenbrock	Schreibe einen Kommentar
Das LG Bad Kreuznach (3 O 331/07) hat mit Urteil vom 31.1.2008 einen Finanzagenten zur Rückzahlung des an ihn aufgrund von Phishing gezahlten Geldes verurteilt. Obwohl dieser den überwiesenen Betrag bereits per Western Union weitergeleitet hatte, konnte er sich nach Ansicht des Gerichts nicht auf den Einwand der Entreicherung berufen.
Hier finden Sie das Urteil im Volltext!
Haftung des Geldkuriers
22. Januar 2008 Dipl.-Jur. Paul Dienstbach	Schreibe einen Kommentar
Das OLG Karlsruhe hat im Rahmen eines Gerichtskostenhilfe-Antrags Stellung zu den Erfolgsaussichten einer Berufung gegen das Urteil des LG Karlsruhe vom 5.10.2000, Az. 3 O 47/07, genommen. Das OLG lehnt darin einen Anspruch des Geldkuriers gegen die Bank anders als das LG, ab.
Ansprüche des Phishing-Opfers gegen den Finanzagenten
5. Dezember 2007 Dipl.-Jur. Paul Dienstbach	Schreibe einen Kommentar
Mit Urteil vom 05.12.2007 (Az. 9 S 195/07) änderte das LG Köln ein Urteil des AG Köln ab und sprach dem Phishing-Opfer einen Schadensersatzanspruch gegen den Geldkurier zu.
Vom Konto des klagenden Phishing-Opfers waren ohne dessen Wissen und Wollen etwa 3.000 € von „einem oder mehreren unbekannten Tätern vermutlich osteuropäischer Herkunft“, so das LG Köln, auf das Konto des beklagten Geldkuriers überwiesen worden. Dieses Geld wurde sodann vom Geldkurier mittels Western Union an eine Person in Russland überwiesen, die ihm gegenüber den Namen M verwendete. Zuvor hatte der Geldkurier E-Mail-Kontakt zu einer weiteren Person, die sich N nannte. N erklärte dem Geldkurier, dass das Geld aus einer Erbschaft ihres verstorbenen Vaters stammen würde.
Das LG Köln führt aus, dass das AG Köln zwar einen Bereicherungsanspruch des Klägers mit zutreffender Begründung abgelehnt hat, der Kläger jedoch einen Schadensersatzanspruch aus § 823 Abs. 2 BGB i.V.m. § 261 Abs. 2, 5 StGB habe und dem Kläger ein Mitverschulden nicht zur Last falle.
Hierzu erläutert das LG Köln zunächst ausführlich, dass der Geldkurier sich durch den Transfer des Geldes einer strafbaren Geldwäsche i.S.d. § 261 Abs. 2 Nr. 1, 5 StGB schuldig gemacht habe. Hierbei habe der Beklagte leichtfertig nicht erkannt, dass das Geld aus einem Computerbetrug stammt. Bei objektiver Betrachtung hätte es für den Beklagten auf der Hand liegen müssen, dass das Geld nicht aus einer Erbschaft der N, sondern aus kriminellen Machenschaften stammen musste. Das Gericht nennt in seinem Urteil zahlreiche Anhaltspunkte, die für die Leichtfertigkeit des Beklagten sprechen. Zum einen erklärte die N bereits nach kurzer Zeit, in der lediglich E-Mails ausgetaucht wurden, den Beklagten zu lieben. Zum anderen seien vergleichbare Betrügereien seit langem bekannt und Gegenstand häufiger Meldungen in den Medien. Außerdem stammten die eingehenden Gelder nicht von einem Konto, sondern von drei verschiedenen, die wiederum drei verschiedene Kontoinhaber aufwiesen. Darüber hinaus wurde seitens der N nie ein nachvollziehbarer Grund genannt, warum das Konto des Beklagten zum Transfer benötigt werden würde. Letztendlich sei auch die Verwendung von Western Union für den Geldtransfer verdächtig gewesen. Die Verkennung dieser Umstände könne nach Ansicht des Gerichts in der Gesamtschau nur als besonders unachtsam bezeichnet werden.
Indem er sich einer Geldwäsche schuldig gemacht habe, habe der Beklagte auch ein Schutzgesetz i.S.d. § 823 Abs. 2 BGB verletzt. Nach der Ansicht des LG Köln schützt § 261 StGB auch das durch die Vortat verletzte Rechtsgut, vorliegend also das Vermögen des Klägers. Die Vorinstanz verneinte hingegen den Schutzgesetzcharakter des § 261 StGB.
Der Schaden des Klägers besteht nach der Ansicht des LG Köln in der Vertiefung des durch den Computerbetrug entstandenen Schadens. Durch den Transfer des Geldes nach Russland sei eine einfache Rückbuchung durch die Bank des Klägers nach der Verfügung des Beklagten über den Betrag nämlich nicht mehr möglich gewesen.
Ein Mitverschulden des Klägers bei der Entstehung des Schadens lehnte das Gericht ab. Grundsätzlich hinge ein Verschuldensvorwurf davon ab, wie die Täter an die Kontodaten des Beklagten gekommen sind und welche Sorgfaltsanforderungen an den Kläger als Nutzer von Internet und Online-Banking zu stellen sind.
Beim Online-Banking könne man von einem verständigen, technisch durchschnittlich begabten Anwender fordern, dass dieser eine aktuelle Virenschutzsoftware und eine Firewall verwendet und regelmäßig Sicherheitsupdates für sein Betriebssystem und die verwendete Software einspielt. Außerdem müsse ein Kontoinhaber die Warnungen der Banken beachten, PIN und TAN niemals auf Anforderung per Telefon oder Mail herauszugeben. Ebenso müsse er deutliche Hinweise auf gefälschte E-Mails und Internetseiten seiner Bank erkennen. Beispielhaft nennt das Gericht hier sprachliche Mängel, deutlich falsche Internetadressen, Adressen ohne https:// oder das fehlende Schlüsselsymbol in der Statusleiste. Die Verwendung besonders leistungsfähiger Virenschutzprogramme oder spezialisierter Software zum Schutz gegen Schadsoftware, die Veränderung der Standard-Sicherheitseinstellungen von Betriebssystem oder Programmen, das Arbeiten ohne Administratorrechte, die ständige Überprüfung der Zertifikate oder auch das Erkennen subtiler Abweichungen in der Internetadresse würden die Sorgfaltsanforderungen hingegen überspannen.
Ein Mitverschulden sei zwar anzunehmen, wenn der Kontoinhaber PIN und TAN aufgrund eines klassischen Phishing-Angriffs herausgibt. Einen solchen Angriff nahm das Gericht jedoch vorliegend nicht an. Es spreche kein Anscheinsbeweis für die Anwendung von Phishing durch die Täter, weil auch andere Angriffsmethoden gleichermaßen in Betracht kämen. Die Täter hätten die Daten nämlich auch mittels Malware (Viren, Trojaner etc.) ausspionieren können. Dies sei selbst dann möglich, wenn der Kontoinhaber seine IT hinreichend schützt und hinreichend aufmerksam ist. Auch aktuelle Virenschutzsoftware könne nicht immer die neuesten Schadprogramme erkennen. Von einem durchschnittlichen User von Online-Banking könne angesichts der vielfältigen technischen Möglichkeiten nicht erwartet werden, im Nachhinein nachzuvollziehen, auf welchem Wege die Täter eines Computerbetruges an seine Kontodaten gelangt sind. Das Gericht ging daher auch nicht davon aus, dass die Täter die Kontodaten erlangt haben, weil der Kläger den geforderten Sorgfaltsmaßstab nicht eingehalten hat.
Hier finden Sie das vorangehende Urteil des AG Bergisch Gladbach.
Sorgfaltspflichten der Bank
5. Oktober 2007 Ass. jur. Tobias Mühlenbrock	Schreibe einen Kommentar
Das LG Karlsruhe hatte zu den Ansprüchen der Empfängerbank gegen den Geldkurier bei einem Phishing-Angriff zu entscheiden (Urteil vom 5.10.2007 – 3 O 47/07).
Der beklagte Geldkurier hatte auf seinem Konto innerhalb weniger Tage drei Überweisungen in Höhe von knapp 20.000 Euro empfangen, anschließend in bar abgehoben und, unter Einbehalt einer Provision, ins Ausland weitergeleitet. Die geschädigten Kontoinhaber hatten ihre Konten ebenfalls allesamt bei der klagenden Bank geführt. Die Bank belastete, offenbar nach Beschwerden der Kontoinhaber, das Konto des Geldkuriers mit den Beträgen der gefälschten Überweisungen. Nachdem dieses anschließend einen Sollsaldo i.H.v. über 18.000 Euro aufwies, kündigte die Bank das Konto des Beklagten.
Das Gericht erklärte die Kontobelastung beim Geldkurier im Grundsatz für rechtmäßig. Die Bank habe einen Anspruch aus ungerechtfertigter Bereicherung. Da die Aussagen der betroffenen Kontoinhaber glaubwürdig seien, könne davon ausgegangen werden, dass sie die Überweisungen nicht selbst veranlasst hätten. Auf das Vorliegen eines Anscheinsbeweises bei der Verwendung der richtigen PIN und TAN komme es daher nicht an. Auch ließen sich die gefälschten Überweisungen im vorliegenden Fall den Kontoinhabern nicht nach Rechtsscheingesichtspunkten zurechnen. Keiner der Kunden habe den Missbrauch zurechenbar veranlasst. Dies gelte auch, wenn der Kontoinhaber zweimal nacheinander zur Eingabe einer TAN aufgefordert werde. Die Überweisungen hätten daher ohne Rechtsgrund stattgefunden. Der von dem Kläger eingewandte Wegfall der Bereicherung nach § 818 Abs. 3 BGB, scheide zum einen wegen Nr. 8 AGB Banken, zum anderen auch nach § 166 Abs. 1 BGB analog aus.
Allerdings besteht nach Ansicht des LG der Anspruch nicht in voller Höhe. Die Bank müsse sich einen Schadensersatzanspruch des Geldkuriers entgegenhalten lassen, mit welchem der Geldkurier aufrechnen könne. Die Bank habe gegen ihre Sorgfaltspflichten verstoßen, indem sie nicht alles nötige getan habe, missbräuchlich veranlasste Überweisungen zu verhindern. Obwohl eines der Phishing-Opfer Unregelmäßigkeiten bei einem Online-Überweisungsvorgang der Bank gemeldet hatte, unterließ diese es, seine TAN-Listen zu sperren. Damit verstoße die Bank nicht nur gegen eine Pflicht dem Kontoinhaber gegenüber, sonder auch gegen ein Nebenpflicht gegenüber dem Geldkurier. Daher bestehe ein Schadensersatzanspruch des Geldkuriers gegen die Bank, der allerdings in Anbetracht des Mitverschuldens des Geldkuriers um die Hälfte zu reduzieren sei.

References: § 823
 § 261
 § 261
 § 823
 § 261
 § 261
 § 818
 § 166