Source: https://gomopa.net/Finanzforum/betrug-sonstiges/phishing-wer-haftet-wann-wofuer-116102.html
Timestamp: 2020-02-25 15:26:42
Document Index: 352068801

Matched Legal Cases: ['§675', '§675', '§675', 'BGH', '§ 675', '§ 675', '§ 675', '§ 675', '§ 657', 'BGH', '§ 675']

Phishing: Wer haftet wann wofür? - Betrug - Sonstiges - Finanznachrichten
Dieses Thema wurde 3542 mal besucht und hat 8 Antworten.
Als Spielart der Computerkriminalität ist das Phishing längst bekannt. Die juristischen Nachspiele ereignen sich aber zeitversetzt. Das gilt insbesondere, wenn sie bis zur endgültigen Klärung die Instanzen durchlaufen. Bereits vor einigen Monaten haben die Autoren über ein strafrechtliches Urteil des LG Darmstadt berichtet, in dem der „Finanzkurier“ eines Phishing-Täters der gewerbsmäßigen Geldwäsche für schuldig befunden wurde. Inzwischen gibt es auch vereinzelte zivilrechtliche Stellungnahmen, wobei zentrale Zweifelsfragen aber immer noch ungeklärt sind.
Hanseatisches OLG Hamburg: Rückzahlungspflicht des Finanzkuriers
Das OLG Hamburg (1 U 75/06 vom 2.8.2006) hatte in zweiter Instanz den geradezu klassischen Phishing-Fall zu entscheiden: Die Klägerin hatte sich über das Internet als „Finanzagentin“ anwerben lassen und bei der beklagten Postbank ein Konto eröffnet. Ein mit der Klägerin kooperierender Phisher hatte das Internetbanking eines Bankkunden manipuliert und so einen Betrag von insgesamt 32.000 Euro auf das eigens hierfür errichtete Konto der Klägerin bei der Beklagten „umgeleitet“. Die Klägerin wiederum hatte das Geld ins Ausland transferiert. Kurze Zeit später stornierte die Postbank die Gutschrift und buchte den Betrag zurück auf das Konto der ausführenden Bank. Die Klägerin erhob Klage auf Rückgutschrift, die Postbank Widerklage auf Zahlung des negativen Saldos (das Konto selbst war inzwischen fristlos gekündigt worden). Das Landgericht Hamburg (334 O 10/06 vom 18.5.2006) hatte der Beklagten Recht gegeben: Sie sei zu dem Rücktransfer berechtigt gewesen, weil die Überweisung fehlerhaft gewesen sei. Der Kontoinhaber bei der ausführenden Bank habe zum einen nie einen Überweisungsauftrag erteilt, zum anderen liege in dem Verhalten der Klägerin ein Verstoß gegen das KWG. Ob die Klägerin außerdem von den illegalen Machenschaften des Phishers wusste und eine strafbare Geldwäsche begangen hatte, ließ das LG offen. Das OLG Hamburg wies die Berufung zurück und bestätigte die landgerichtliche Entscheidung in vollem Umfang.
Kriterien der Fahrlässigkeit
Die in dieser Entscheidung thematisierte Auseinandersetzung zwischen dem „Finanzagenten“ und seiner Bank läßt die eigentlich wichtige und immer noch ungeklärte Frage allerdings offen: Was gilt in solchen Fällen zwischen dem Phishing-Opfer und seiner Bank? Noch liegen hierzu keine Urteile vor; unter anderem, weil die Banken bislang stillschweigend reguliert haben. Dennoch wird diese Frage über kurz oder lang richterlich geklärt werden, denn die AGB für das Internetbanking stellen nur die Regel auf, dass die Weitergabe der PINs und TANs an Dritte nicht fahrlässig ermöglicht werden darf. In welchen Fällen aber von einer solchen Fahrlässigkeit auszugehen ist, dürfte zu Streitfragen führen und die Gerichte werden sie kaum in genereller und abstrakter Form beantworten können. Kaum ein technisches Gebiet unterliegt einer derartigen Dynamik, wie die Internetsicherheit. Um sie herrscht zwischen Saboteuren und Sicherheitstechnikern seit jeher ein permanenter Wettlauf. Aus diesem Grund entstand zum Beispiel das Pharming als Spielart des Phishing. Es ist eine technische Reaktion der Hacker auf die Warnung, den Bank-URL niemals über eine Verlinkung aufzusuchen, sondern ihn direkt in den Browser einzugeben. Kaum hatte sich diese Sicherheitsmaßnahme herumgesprochen, wurden Phishing-Attacken in neuer Form lanciert: Auch wenn der Internetnutzer die URL-Adresse selbst eintippt, muss sein Rechner diese in eine IP-Nummer konvertieren, die ihn zum gewünschten Server führt. Gelingt es einem Hacker, auf dem betreffenden Rechner ein Schadensprogramm zu installieren, kann dieser Konvertierungsvorgang so manipuliert werden, dass der Kunde zwar mit größter Sorgfalt seine Bank-Adresse eingibt und gleichwohl unbemerkt auf einem feindlichen Server landet, wo er Unbefugten seine Daten preisgibt. - Doch wer haftet nun wann und in welchem Umfang? Letztlich werden die Gerichte in jedem Fall eruieren müssen, in wessen Verantwortungsbereich die Schließung einer bestimmten Sicherheitslücke gelegen hätte. Ist also eine bestimmte Bank besonders anfällig, weil ihr Webauftritt leicht fälschbar ist? Ändert sie laufend ihre Bankingseite, so dass man Änderungen schwer erkennen kann? Wendet sie sich häufig per E-Mail an den Kunden, so dass er daran gewöhnt ist, auf diesem Weg mit ihr zu kommunizieren? Hat die Bank ihre Kunden nicht oder nur unzulänglich über eine neue Phishing-Welle informiert? Hat sie es versäumt, eine in einer Phishing-Mail genannte Website sperren zu lassen? Hat sie sich den Erfordernissen erhöhter Sicherheit technisch angepasst (etwa durch die Möglichkeit mehrstufiger Transaktionen)? Zu den Pflichten des Bankkunden dürfte es dagegen gehören, nur sein eigenes Gerät für das Telebanking zu benutzen, regelmäßig das Sicherheitszertifikat der Bankingwebsite zu überprüfen, Wurm- und Virenprüfungen durchzuführen, seine Browsersoftware upzudaten und dergleichen.
Problem der Beweislast
In Bezug auf die Fahrlässigkeit kann auch die Beweislast zu Zweifeln führen. Muss der Kunde seine Sorgfalt oder die Bank dessen Sorgfaltswidrigkeit beweisen? Für Aufsehen hat in diesem Zusammenhang ein Schlichtungsspruch des Ombudsmanns des Bundesverbandes der Volks- und Raiffeisenbanken gesorgt. Auch dieser Fall war typisch: Das Geld des Kunden war mithilfe eines Trojaners auf ein Drittkonto transferiert und von dessen Inhaber ins Ausland weitergeleitet worden. Obwohl der Trojaner und die Fälschung des Überweisungsauftrages feststanden, entschied der Ombudsmann zu Ungunsten des Kunden: Der Anscheinsbeweis spreche dafür, dass er entweder selbst die Überweisung angewiesen habe oder mit PIN und TAN nicht sorgfältig umgegangen sei. - Diese Aussage dürfte jedoch nicht verallgemeinerungsfähig sein. Letztlich werden sich die Entscheidungen solcher Fälle auf die einfachen Regeln reduzieren: Jede Partei muss die für Sie günstigen Tatsachen beweisen. Wer dann warum sorgfaltswidrig gehandelt hat, wird vom Einzelfall abhängen. Die ersten Gerichtsurteile bleiben jedenfalls mit Spannung abzuwarten.
Beruf: Sachverständiger IT und DS
Ombutmann kennt den Stand der Hackertechnik nicht
Angesichts der Tatsache das heute nicht einmal mehr eine SSL Verbindung sicher ist (man-in-the-middel-Attack), zeugt die Entscheidung des Ombutsmannes offensichtlich von technischer Unkenntnis - oder von einer Parteilichkeit.
Jede Bank die nicht auf HBCI (bis dato ist noch kein geglückter Hackversuch bekannt) als einzig möglichen Absicherung besteht, weiss (oder müsste wissen) dass sie auf unsichere Technik setzt! Ich empfehle dringenst die Seiten: www.syss.de und www.visukom.net. Dort kann man sogar Seminare zum Erlernen solcher Atacken buchen!
Kammergericht Berlin zur Haftung bei Phishing-Attacke
Frage: Kann die Kundin K von der Bank B den durch Phishing verlorenen Betrag ersetzt verlangen?
Antwort: Nur teilweise (Hier: 70% des Schadens).
Timo Schutt - (Rechtsanwalt & Fachanwalt für IT-Recht)
Pressemitteilung von: Schutt, Waetke Rechtsanwälte
Das Landgericht Landshut (24 O 1129/11) hat sich mit der Frage beschäftigt, wann ein Phishing-Opfer “grob fahrlässig” handelt.
Die Frage ist bei der Rückabwicklung ungewollter Zahlungen von Bedeutung:
Grundsätzlich legt §675u BGB fest, dass der “Zahler” (hier: Kontoinhaber) gegen seinen “Zahlungsdienstleister” (hier: Bank) einen Rückzahlungsanspruch hinsichtlich nicht autorisierter Zahlungen hat. Phishing-Opfer haben damit also grundsätzlich einen Rückzahlungsanspruch gegenüber der Bank. Aber: §675v II BGB sieht vor, dass im Falle grob fahrlässiger (oder gar vorsätzlicher) Verletzung von Pflichten der Kontoinhaber ggfs. zum Ersatz des vollen Schadens verpflichtet sein kann (sonst “nur” bis zu 150 Euro, §675v I BGB). Die Bank kann dem Kontoinhaber daher ggfs. entgegenhalten, dass dieser für den Schaden aufkommen muss (diesbezüglich wird dann “Aufrechnung” erklärt).
Zuerst einmal hält das Landgericht (m.E. richtig) fest, dass alleine die Tatsache, dass ein Rechner eines Kunden einen Angriff durch einen Trojaner nicht “überstanden” hat, kein Indiz dafür sein kann, dass eine (aktuelle) Firewall/ein Virenscanner nicht installiert war:
Es liegt in der Natur der Sache, dass ein Schutz vor Computerviren regelmäßig nur in Reaktion auf bekannte Viren entwickelt werden kann. Deshalb kann auch ein regelmäßig aktualisiertes Schutzprogramm keine vollständige Gewähr dafür bieten, dass der Computer nicht von einem neu entwickelten Trojaner infiziert wird.
(Hinweis: Der Nutzer wurde nach einem Trojaner-Angriff bei Aufruf der Webseite seiner Bank in Wirklichkeit unbemerkt zu einer Phishing-Seite geleitet)
Phishing-Opfer müssen sich damit also nicht dem Vorwurf ausgesetzt sehen, dass sie nicht ausreichend gesichert waren, nur weil sie tatsächlich zum Opfer wurden. Andernfalls müsste das Phishing-Opfer erschöpfend beweisen, sich ausreichend gesichert zu haben.
Bemerkenswert ist aber, dass auch die Tatsache, dass das hier betroffene Opfer sämtliche (!) 100 TANs auf der Phishing-Seite eingetippt hat, nicht als grob fahrlässig zu bewerten sein soll. Zur Erinnerung: “Grobe Fahrlässigkeit setzt zunächst in objektiver Hinsicht eine das gewöhnliche Maß der Fahrlässigkeit erheblich übersteigende Schwere eines Sorgfaltsverstoßes voraus. Den Handelnden muss aber auch in subjektiver Hinsicht ein schweres Verschulden treffen.”.
Zu einer Verneinung grob fahrlässigen Verhalten führten folgende Erwägungen, die sicherlich nicht alle kritiklos hinzunehmen sind:
1.Zum einen beachtet das Gericht die subjektive Seite und berücksichtigt hier, dass der Betroffene nur “rudimentäre Computerkenntnisse” vorweisen konnte. Dies soll entlastend wirken.
2.Der Bank wurde vorgeworfen, diesen Hinweis auf ihrer Seite platziert zu haben: “„Geben Sie nur dann eine TAN ein, wenn Sie selbst zuvor z. B. eine Überweisung erfasst haben!“”. Dies sei ebenfalls zu Gunsten des Opfers zu werten, da durch die Verwendung von “z.B.” gerade nicht klar war, wann man kritisch werden muss, bei der Eingabe von TANs.
3.Auch die Tatsache alleine – und jetzt wird es richtig bunt – dass das Opfer sämtliche 100 TANs eingegeben hat, sei nicht grob fahrlässig. Vielmehr sei es nur konsequent, wenn das Opfer der Aufforderung, alle TANs eingeben zu müssen glaubt. Zu seinem Nachteil solle es sich vielmehr auswirken, wenn er nach 50 oder 60 TANs misstrauisch geworden wäre und abbricht. Sprich: Wer damit anfängt, sollte es auch bis zu Ende durchziehen. Dabei erscheint doch fraglich, warum ein anfänglich unbekümmertes Verhalten bei einem späteren Verdacht (der sich hier durchaus aufdrängt) zu einer anderen Bewertung führen soll.
4.Mit dem Landgericht soll es sich übrigens zu Lasten des Phishing-Opfers auswirken, wenn die Phishing Seite bei jedem Aufruf ein anderes Erscheinungsbild aufweist.
5.Ebenfalls sei kein Vorwurf zu machen, wenn der Betroffene nicht auf die Möglichkeit des iTAN-Verfahrens umgestiegen ist.
Ergebnis: Eine Einzelfall-Entscheidung, die spätestens dann nicht mehr heran zu ziehen ist, wenn jemand ohne rudimentäre Computerkenntnisse agiert. Die Frage der groben Fahrlässigkeit ist noch lange nicht ausgeurteilt, die hier vorliegende Entscheidung setzt einige Orientierungspunkte.
* Rechtsanwalt Ferner: Fachanwalt für Strafrecht
Vorischt! So könnten auch Sie in die Phishing-Falle tappen ..
Das Gameboy-Spiel aus dem Internet sollte eine Überraschung für seinen Sohn sein. Doch nach mehreren Fehlversuchen, den Online-Kauf perfekt zu machen, brach Norbert Skowranek aus dem rheinischen Städtchen Windeck entnervt ab
Eine Überraschung gab es doch noch, allerdings zwei Tage später und diesmal für den Familienvater: Unbekannte Täter hatten sein Konto bei der Postbank Köln abgeräumt – 2850 Euro waren verschwunden. Die Polizei ermittelte rasch: Skowranek war Opfer eines Hacker-Angriffs geworden.
Beim Surfen im Internet hatte sich der heute 42-Jährige einen sogenannten Trojaner eingefangen. Das ist ein spezielles Computer-Programm, das unbemerkt seine vertraulichen Postbank-Zugangsdaten ausspionierte. Diese Art von Datenklau heißt Phishing – ein Kunstwort aus „Password“ und „Fishing“.
Skowraneks Bankdaten waren bei der Russen-Mafia gelandet. Sein Fall ist einer von vielen, die demnächst in einem Mammutverfahren vor Gericht kommen. Im Februar beginnt vor dem Landgericht Berlin der Prozess gegen acht Handlanger der Russen-Bande (Az. 83 Js 225/10). Die 227 Seiten lange Anklageschrift handelt von bandenmäßigem Computerbetrug.
Man könnte es auch Bankraub ohne Waffen nennen, bei dem über einen Zeitraum von mehreren Jahren Hunderten Postbankkunden wie Skowranek per Computer insgesamt 1,3 Millionen Euro gestohlen wurden – der größte Phishing-Coup in Deutschland.
Die kriminelle Masche der Russen-Bande war so perfide wie wirkungsvoll: Die Drahtzieher vermutet die Polizei in Moskau. Von dort aus spionierten sie mithilfe des Trojaners die Zugangsdaten der Postbank-Kunden aus. Aus sicherer Entfernung steuerten sie rund ein Dutzend Komplizen in Deutschland – überwiegend Osteuropäer mit langem Strafregister von Drogenhandel bis zu schwerem Raub.
Jeder dieser Komplizen kommandierte wiederum mehrere Strohleute, sogenannte Finanzagenten, die jeder für sich ein Postbank-Konto eröffneten. Auf die Konten dieser Strohleute überwiesen die Hintermänner aus der Ferne dann das Geld von den Konten der ausspionierten deutschen Postbank-Kunden.
Unmittelbar nach der Transaktion hoben die Finanzagenten das Geld bei verschiedenen Postbank-Filialen ab – in der Regel in gestückelten Beträgen. Danach verschwanden die Ganoven spurlos – bis zum nächsten Coup. Die Online-Räuber waren in ganz Deutschland aktiv. Nur weil ein Bandenmitglied auspackte, kam die Polizei den Ganoven auf die Schliche. Monatelang dauerte die großangelegte Observation und Telefonüberwachung. Im Oktober 2011 verhafteten die Fahnder mehrere Bandenmitglieder.
Doch das Geld ist weg. Und von den Mafia-Bossen kennt die Polizei nicht einmal die Namen. Die Postbank, die Skowranek und allen anderen betrogenen Kunden den Schaden umgehend ersetzte, bleibt auf dem Millionenverlust sitzen.
Ein Postbank-Sprecher bestätigte gegenüber BILD am SONNTAG, dass seine Bank immer wieder Opfer von Hacker-Angriffen wurde: „Als größte deutsche Privatkundenbank mit den meisten Online-Kunden geraten wir häufiger ins Visier solcher kriminellen Gruppen.“
Die Betrüger würden technisch aufrüsten und immer raffinierter vorgehen: „Die Banken investieren seit Jahren in die Sicherheit. Deshalb greifen die Betrüger stärker auf der Kundenseite an. Für den, der alle Vorkehrungen trifft, ist Online-Banking aber absolut sicher“, beteuert der Banksprecher
BGH - Verhandlungstermin: 24. April 2012
Ein 37-jähriger Münsteraner ist am Dienstag vom Landgericht Münster zu einer Freiheitsstrafe von drei Jahren verurteilt worden. Nach Ansicht des Vorsitzenden Richters war er an fünf Betrugsfällen im Jahr 2010 beteiligt, bei denen bundesweit Bankkunden um eine fünfstellige Gesamtsumme erleichtert wurden
Eine Bande, die von Russland aus agierte, hatte durch Ausspähen von Kontodaten sowie betrügerische Überweisungen – sogenanntes Phishing – bundesweit Kunden der Sparkasse und die Postbank um über 30 000 Euro geprellt.
Als erwiesen sah es das Gericht an, dass der Münsteraner in NRW mehrere Personen angeworben hatte, die ihre Konten für Transaktionen zur Verfügung stellten. Hierbei handelte es sich um vier erfolgreiche Fälle und einen gescheiterten Betrugsversuch. Anschließend hat er das Geld aus den betrügerischen Überweisungen in bar abgeholt und über Auslandsbanken an die Hintermänner in Russland weitergeleitet.
1. Phishing- was ist das eigentlich?
Unter „Phishing“ versteht man den Versuch über gefälschte E-Mails, SMS oder Internetseiten Bankdaten eines Bankkunden für Online-Banking zu erlangen.
2. Pharming - was ist das?
„Pharming“ ist im Grunde die Weiterentwicklung des Phishings. Beim Pharming handelt es sich um eine Betrugsmethode, die auf der Manipulation der DNS-Anfrage von Webbrowsern beruht und dazu dient den Nutzer unbemerkt auf eine andere Internetseite weiterzuleiten.
3. Welche Rechte stehen mir als Opfer einer Phishing- oder Pharming-Attacke zu?
Cyber-Attacken im Onlinebanking- Bereich werden immer raffinierter. Das Vorgehen der Täter ist dabei in der Regel ähnlich und auch angeblich sichere Onlinebanking Verfahren wie das Chip-TAN Verfahren können manipuliert werden.
Exkurs: Chip-TAN Verfahren
Beim sog. Chip-TAN Verfahren erhält der Bankkunde einen sog. TAN-Generator, der die jeweils zu verwendende TAN unter Verwendung der EC-Karte individuell und einmalig generieren soll. Dabei gibt es unterschiedlich Verfahren. In der Regel füllt der Bankkunde das Überweisungsformular online aus und sendet dieses an die Bank. Anschließend erscheint auf dem Bildschirm ein Schwarz-Weiß-Code (sog. Flickercode). Der TAN-Generator wird nun mit der entsprechenden EC-Karte des Kunden versehen. Die meisten TAN-Generatoren sind dann in der Lage durch das Scannen des Bildschirms die Daten aus dem Flickercode automatisiert auszulesen. Im Display des Generators erscheinen Zielkontonummer sowie Überweisungsbetrag. Nach Bestätigung durch den Bankkunden erhält dieser eine individuelle TAN, mit der die Überweisung schließlich vollendet wird.
In meiner Kanzlei häufen sich derzeit Betrugsfälle unter Verwendung eines derartigen TAN-Generators.
Beginn des Betrugs ist in der Regel die Infizierung des Rechners mit Malware oder Trojanern. Beim Login im Onlinebanking Bereich wird dem Kunden schließlich eine gefälschte Bankseite angezeigt. Der Kunde wird aufgefordert eine Testüberweisung zu tätigen. Da die Internetseite nicht von der echten Bankseite zu unterscheiden ist, folgen viele Personen diesem Aufruf – zumal tatsächlich beim ersten Einsatz des Generators Daten synchronisiert werden müssen – und generieren für die angebliche Testüberweisung eine TAN mittels TAN-Generators. Häufig achten Kunden nicht auf die Angabe im Display des TAN-Generators und bestätigen so die Überweisung, häufig stimmen die Daten im Display auch mit den Daten in dem „Test“- Überweisungsformular überein. Die Überweisung wird schließlich bestätigt, die TAN generiert und anschließend verwendet. Da auch Online-Kontostände manipuliert werden, ist es dem Kunden meistens nicht möglich die Attacke sofort zu entdecken, da keinerlei Abbuchungen in der Umsatzanzeige angezeigt werden.
Möglich sind allerdings auch Betrugsvarianten, bei denen auch die Angabe im Display des Generators nicht die tatsächliche Überweisung widerspiegelt. So zeigen die meisten Generatoren wegen ihrer Größe bei Sammelüberweisungen nur die Anzahl der Überweisungen und den Gesamtbetrag, nicht aber die Zielkontonummer an. Diese Darstellung kann ebenfalls relativ leicht für Manipulationen ausgenutzt werden, da der Kunde gerade nicht die Zielkontonummer sieht.
Ist das Konto erst einmal leergeräumt, stellt sich die Frage, wer für den entstandenen Schaden aufkommt.
4. Welche Rechte stehen mir als Opfer einer derartigen Attacke zu?
Durch Gesetz vom 29.07.2009 (BGBl. I S. 2355) wurde mit Wirkung zum 31.10.2009 die Zahlungsdiensterichtlinie umgesetzt und u.a. § 675 u BGB eingefügt.
Gemäß § 675 u Satz 2 BGB hat die Bank, die eine unautorisierte Zahlung vornimmt, dem Kunden den Betrag zu erstatten, in dessen Höhe das Konto des Kunden zu Unrecht belastet wurde.
a) Wann ist eine Zahlung „autorisiert“?
Bei unautorisierten Zahlungen besteht also ein Zahlungsanspruch gegen die Bank. Klingt einfach, ist es aber nicht, denn in der Praxis wird zunächst ausgiebig darüber gestritten, ob es sich um eine „unautorisierten“ Zahlung handelt, wenn der Kunde beispielsweise durch Täuschung dazu veranlasst wird, unter Verwendung eines TAN-Generator die angebliche Test-Überweisung durchzuführen (sog. Social Engineering).
Gemäß § 675 w Satz 1 BGB ist eine Authentifizierung (=im Sinne einer Identifizierung zu verstehen) grundsätzlich erfolgt, wenn die Bank die Nutzung eines bestimmten Zahlungsauthentifizierungsinstruments, einschließlich seiner personalisierten Sicherheitsmerkmale, mit Hilfe eines Verfahrens überprüft hat. Dies bedeutet, die Authentifizierung des Kunden gilt als erfolgt, wenn ein Verfahren durchgeführt wurde, mittels dessen die Bank die Nutzung eines bestimmten Zahlungsinstruments mitsamt etwaiger personalisierter Sicherheitsmerkmale überprüft hat, etwa durch die Überprüfung von PIN und TAN beim Onlinebanking.
Bedeutet dies nun, dass jede Überweisung, die beispielsweise mittels TAN-Generators durchgeführt wurde, auch als „autorisiert“ gilt?
Nein, denn Satz 3 des § 675 w BGB stellt ausdrücklich klar, dass mit der Authentifizierung keinesfalls der Nachweis geführt wird, dass die Zahlungsvorgänge von dem Bankkunden autorisiert , Pflichten verletzt oder gegen Bedingungen der Nutzung des TAN-Generators verstoßen wurden.
Die Regelung gibt also ausdrücklich zu verstehen, dass allein die Identifizierung als Kunde durch PIN und TAN-Generator noch lange keinen Nachweis darstellt, dass dieser die Zahlung autorisiert hat. Ein Anscheinsbeweis in diese Richtung ist also abzulehnen. Diese Auffassung vertrat insoweit auch das Amtsgericht Krefeld mit Urteil vom 06.07.2012, Az. 7 C 605/11.
In tatsächlicher Hinsicht hat der Kunden also durch Täuschung eine Überweisung ausgelöst, eine juristische Autorisierung ist meines Erachtens damit jedoch keinesfalls verbunden.
Das Amtsgericht Krefeld (a.a.O.) jedenfalls teilt diese Auffassung und hat eine derartige Autorisierung bei Eingabe einer durch Täuschung erschlichenen TAN ebenfalls verneint. Damit steht dem Kunden grundsätzlich erst einmal ein Erstattungsanspruch gegen die Bank zu.
Die Frage, ob die Bank dem Kunden nun den Betrag aber tatsächlich erstatten muss, ist damit leider noch nicht abschließend beantwortet. Denn unter Umständen kann die Bank mit Schadensersatzansprüchen gegen die Forderung des Kunden aufrechnen.
b) Kann die Bank mit Schadensersatzansprüchen aufrechnen?
In § 657 v Absatz 2 BGB heißt es hierzu wörtlich:
2. einer oder mehrerer vereinbarter Bedingungen für die Ausgabe und Nutzung des Zahlungsauthentifizierungsinstruments herbeigeführt hat. (…)
Ist dem Bankkunden bei einem nicht autorisierten Zahlungsvorgang der Vorwurf zu machen, dass er grob fahrlässig handelte, kann die Bank mit Schadensersatzansprüchen aufrechnen, was im Ergebnis dazu führt, dass der Kunde auf dem Schaden sitzen bleibt.
Entscheidend für die Frage, ob der Kunde folglich das Geld zurückerhält, ist also der Grad des Mitverschuldens des Kunden.
c) Wann liegt grobe Fahrlässigkeit des Kunden vor?
Grobe Fahrlässigkeit wird in der Regel angenommen, wenn die im Verkehr erforderliche Sorgfalt in ungewöhnlich hohem Maße missachtet wurde. Ob tatsächlich grobe Fahrlässigkeit bei der nicht autorisierten Überweisung vorlag, ist letztendlich einzelfallbezogen zu prüfen. Anwaltliche Unterstützung ist an dieser Stelle dringend geraten.
Die vielzitierte Entscheidung des Bundesgerichtshofes vom 24.04.2012, Az. XI ZR 96/11, (der BGH urteilte, dass die Eingabe von 10 TAN im Rahmen eines Logins beim Onlinebereich fahrlässig ist) hilft an dieser Stelle wenig weiter, denn die Entscheidung betraf einen Pharming-Fall, der vor Einführung des § 675 v BGB stattfand. Vor Umsetzung der Zahlungsdiensterichtlinie genügte jedoch ein einfaches fahrlässiges Verhalten des Bankkunden, um Schadenersatzansprüche der Bank auszulösen.
Heute indes setzt ein Schadensersatzanspruch der Bank grobe Fahrlässigkeit voraus. Welche Handlungen als grob fahrlässig einzustufen sind, bleibt abzuwarten und ist ebenfalls stets einzelfallbezogen unter Berücksichtigung aller Umstände zu prüfen
Das Amtsgericht Krefeld (a.a.O.) jedenfalls hat grobe Fahrlässigkeit angenommen, wenn der Bankkunde im Rahmen eines Logins mehrere TAN freiwillig angibt. Im Rahmen der Urteilsgründe heißt es dazu, dass es mittlerweile allgemeines Wissen sei, dass Bankkunden niemals nach mehr als einer TAN gefragt würden. In dem entschiedenen Fall befand sich ferner genau dieser Hinweis auf dem der Bankkundin übersandten TAN-Block. Erschwerend kam hinzu, dass die Kundin gegenüber dem Gericht angab, die Abfrage der TAN sei ihr „komisch“ vorgekommen, sie habe daher zunächst versucht die Bank telefonisch zu kontaktieren, habe die Überweisung dann aber doch vorgenommen, da sie bei der Bank niemanden erreicht hätte.
Phishing- und Pharming-Fälle sind stets einzelfallbezogen zu prüfen. Die Aussage „jeder Bankkunde habe Ersatzansprüche gegen seine Bank“ ist jedenfalls unzutreffend und unseriös. Lassen Sie sich anwaltlich deswegen einzelfallbezogen beraten
Rechtsanwältin Nina Hiddemann / Fachanwältin für IT-Recht