Source: https://www.anwalt.de/rechtstipps/phishing-was-heisst-das-eigentlich-und-wie-kann-ich-mich-davor-schuetzen_048836.html
Timestamp: 2018-12-18 17:10:58
Document Index: 195254815

Matched Legal Cases: ['§ 675', '§ 684', '§ 675', '§ 812', 'BGH', 'BGH', '§ 675', '§ 675', '§ 675', '§ 670', '§ 123', '§ 123', '§ 119']

Der Begriff Phishing bedeutet, dass Daten von Internetnutzern beispielsweise über gefälschte E-Mails, Webseiten oder SMS abgefangen werden. Das Ziel der Betrüger ist dabei die Kenntnis von persönlichen Daten, Zugangsdaten und Passwörtern zu erlangen und zu missbrauchen. In diesem mehrteiligen Artikel möchte Sie die Kanzlei WBS über die Gefahren informieren und anhand einiger Beispielfälle verdeutlichen, wie sie sich schützen können.
Phishing bezeichnet eine Vorgehensweise, die von Betrügern genutzt wird um an für sie relevante Daten zu kommen. Angelehnt ist der Begriff an das englische „fishing" (Angeln, Fischen) in Verbindung mit dem P aus Passwort, bildlich gesprochen bezeichnet Phishing also das Angeln nach Passwörtern oder anderen höchstprivaten Daten mit entsprechenden Ködern. Meist handelt es sich dabei um sensible Informationen, wie bspw. die Zugangsdaten des Online-Banking-Accounts oder Kreditkarteninformationen. Die Betrüger nutzen eine Vielzahl an verschiedenen Möglichkeiten, um ihr Ziel zu erreichen. Vorwiegend ahmen sie seriöse Webseiten nach, in der der Nutzer vertrauensvoll seine Daten eingibt. Dabei sind die Betrüger teilweise so geschickt, dass selbst Experten keinen optischen Unterschied zur richtigen Seite erkennen können und die Phishing-Seite nur mittels näher gehender technischer Betrachtung als gefälscht entlarven können.
Gefakte E-Mails - so funktioniert die Masche der Betrüger
Besonders häufig kommt Phishing im Zusammenhang mit gefälschten E-Mails von Banken und anderen Zahlungsdiensten vor. So erhalten ahnungslose Nutzer eine E-Mail, in der die Phisher, also die verantwortlichen Betrüger, zur Eingabe von Bankdaten auffordern. Die E-Mail selbst sieht dabei einer offiziellen E-Mail des angeblichen Absenders zum Verwechseln ähnlich. Als Begründung zur Eingabe der Bankdaten wird beispielsweise angegeben, die Bank hätte ihr System aktualisiert und benötigt zum Datenabgleich entsprechende Kundendaten inklusive der Log-In-Daten. Dafür soll der Kunde einfach auf den in der E-Mail angegebenen Link klicken, der zur vermeintlichen Website der Bank führt. Diese sieht dann zwar täuschend echt aus, ist es aber nicht. Sofern der Kunde seine Daten dann in das von den Betrügern bereitgestellte Formular angibt und absendet, gelangen diese sofort in die kriminellen Hände der Hintermänner. Meist wird auf den Kunden zusätzlicher Druck ausgeübt indem darauf hingewiesen wird, dass das jeweilige Konto geschlossen wird, falls er den Anweisungen der E-Mail nicht folgt.
Die Kunden könnten aber auch direkter aufgefordert werden. Einer unserer Mandanten schilderte uns folgenden Fall. Im Mai 2013 bekam unser Mandant eine E-Mail von der Postbank mit der Bitte an einem Test zur Datensicherheit teilzunehmen. Da die E-Mail täuschend echt aussah, dachte er an nichts Böses, klickte auf den entsprechenden Link und nahm an dem Test teil. In diesem Zusammenhang wurde ihm eine TAN-Nr. auf sein Handy übermittelt, die er dann eingab. Unmittelbar im Anschluss loggte sich unser Mandant in das Online-Banking ein und stellte fest, dass ihm 4.500 € auf seinem Konto fehlten, die zugunsten eines Unbekannten abgebucht worden waren. Sein Online-Banking-Passwort hatte er während des angeblichen Datensicherheitstests zu keinem Zeitpunkt eingegeben.
Es ist zu vermuten, dass der Computer unseres Mandanten bereits vorher mit einem sogenannten Trojaner infiziert worden war. Als Trojanisches Pferd bezeichnet man ein Computerprogramm, welches gezielt oder zufällig auf fremde Computer eingeschleust wird. Sobald ein Nutzer eine mit einem Trojaner versehene Datei öffnet, installiert sich der Trojaner selbst auf dem Computer, ohne das Wissen oder die Zustimmung des Nutzers. Der Trojaner kann daraufhin Dateien auf dem Computer verwalten, neue erschaffen, installieren, löschen, umbenennen, anschauen oder sie verschicken. Theoretisch kann der Trojaner die komplette Kontrolle über jede Funktion des Computers übernehmen, er kann sogar das CD-Laufwerk öffnen und schließen oder die Webcam unbemerkt einschalten. Dabei laufen Trojaner meist im Hintergrund und verstecken ihre Anwesenheit vor dem Nutzer.
Durch den Trojaner hatten die Betrüger vollen Zugriff auf den Computer unseres Mandanten. Mittels eines sogenannten Keyloggers - eine meist in den Trojaner integrierte Software, die alle Tastatureingaben protokolliert - kamen die Betrüger dann auch schnell in den Besitz der Online-Banking-PIN. Sobald der Phisher die PIN hat, kann er sich im Online-Banking des Betrugsopfers einloggen und dessen persönliche Daten auslesen, unter anderem Kontonummer, Bankleitzahl, Adresse sowie die hinterlegte Mobiltelefonnummer für das mTAN-Verfahren. Ihnen hat lediglich die zur Überweisung notwendige mTAN gefehlt, die sie von dem Nutzer dann unter dem falschen Vorwand eines Datensicherheits-Tests übermittelt bekamen.
mTan - was ist das eigentlich?
Durch den SMS-Versand der TAN gilt mTAN als sicherer als das vorher verwendete iTAN- oder das klassische TAN-Verfahren. Aufgrund der begrenzten Gültigkeitsdauer sowie der zur nochmaligen Überprüfung übermittelten Ziel-Kontonummer und des Überweisungsbetrags in der SMS soll das mTAN-Verfahren vor ungewollten Überweisungsumleitungen auf ein anderes Konto durch einen „man-in-the-middle"-Angriff schützen. Solch ein „man-in-the-middle"-Angriff bezeichnet das Ansetzen des Betrügers in der Kommunikation zwischen Kunde und Bank. Einem Kunde, dessen Computer bspw. mit einem Trojaner infiziert ist, kann die Online-Banking Benutzeroberfläche in Echtzeit so manipuliert werden, dass der Zahlungsempfänger bei ausgehenden Überweisungen durch das Abfangen und Manipulieren des Informationsaustauschs zwischen Kunde und Bank durch den „Mann in der Mitte" nach Belieben geändert wird. Mit Hilfe des mTAN-Verfahrens, bei dem der Zahlungsempfänger innerhalb der SMS angezeigt wird, können aufmerksame Kunden diese Gefahr jedoch umgehen, indem sie überprüfen, ob der in der SMS übermittelte Zahlungsempfänger auch dem gewünschten Ziel entspricht.
Smartphones und mTAN - keine sichere Kombination
Problematisch wird es jedoch, wenn man das mTAN-Verfahren mit einem Smartphone benutzt. Smartphones funktionieren bekanntermaßen wie kleine Computer und sind daher ebenso anfällig für Schadprogramme, wie der heimische Computer selbst. Diese Erfahrung musste auch eine unserer Mandantin machen. Nachdem sie sich im April 2013 über den Firmenrechner in ihren Online-Banking-Account eingeloggt hat, erschien ein Fenster mit der Aufforderung, sich für das Online-Banking neu zu zertifizieren. Verlangt wurde ihre Handymarke, das Modell und ihre Handynummer. Daraufhin sollte sie eine SMS mit einem Link erhalten, unter dem sie das neue Zertifikat für ihr Mobiltelefon herunterladen und daraufhin installieren sollte. Wie von ihr verlangt, folgte unsere Mandantin den vermeintlich von der Bank stammenden Anweisungen und installierte das entsprechende Zertifikat auf ihrem Handy. Danach verschwand das vorher angezeigte Fenster und unsere Mandantin konnte nach einem erneuten Login keine Veränderung feststellen. Zwei Tage später erhielt sie einen Anruf der Postbank, dass das Dispolimit fast erreicht ist, über den genauen Saldo könne sie aber telefonisch nicht informiert werden. Sie erstattete sofort Anzeige und erfuhr daraufhin in einer Filiale ihrer Bank, dass ihr Tagesgeldkonto leer und der Dispo komplett ausgeschöpft ist. In 5.000 - 14.000 € Schritten wurden insgesamt rund 92.000 € auf fremde Konten überwiesen. Erfreulicherweise konnte die Kanzlei WBS nach Kontakt mit der Bank noch im selben Monat eine Rückbuchung des vollen Betrags erreichen.
Es ist anzunehmen, dass der von unserer Mandantin verwendete Firmenrechner mit einem Trojaner infiziert war, der es dem Betrüger ermöglichte, die Aufforderung zur Zertifizierung einzubinden. Mit der Installation des Zertifikats auf ihrem Mobiltelefon installierte sich unsere Mandantin in Wirklichkeit eine Schadsoftware, mit der die eingehenden SMS unmittelbar an den Betrüger weitergeleitet und auf ihrem Handy nicht angezeigt wurden. So war es dem Betrüger möglich, mittels der durch den Trojaner bekannten Online-Banking-Zugangsdaten und des mit Schadsoftware kompromittierten und für das mTAN-Verfahren aktivierte Smartphone beliebige Überweisungen auszuführen. Dieser Fall zeigt, dass das mTAN-Verfahren am besten nur mit einem alten Mobiltelefon verwendet werden sollte, welches weder fähig ist, Drittprogramme zu installieren, noch generell auf das Internet zugreifen kann. Nur so kann sich ein mTAN-Nutzer vor dem Abfangen der mTAN-SMS durch Betrüger schützen.
Wie bereits erläutert, ist es Betrügern möglich, die Online-Banking-Benutzeroberfläche eines mit einem Trojaner infizierten Computers in Echtzeit zu manipulieren und jegliche Inhalte nahtlos in die vermeintlich vertrauenswürdige Oberfläche der Bank einzubinden. So geschehen im April 2013. Unser Mandant loggte sich wie üblich mit seinen Zugangsdaten im Online-Banking-Portal ein, um den Kontostand und die Kontobewegungen zu überprüfen. Dabei entdeckte er im Onlinepostfach innerhalb seines Accounts eine Nachricht mit dem Absender „Sparkasse KölnBonn". Laut dieser Nachricht war der Online-Banking-Account unseres Mandanten gesperrt, da es versehentlich zu einer Fehlbuchung in Höhe von rund 8.500 € zugunsten unseres Mandanten gekommen sei. Es gäbe zwei Möglichkeiten, weiter zu verfahren, sofern ein Anspruch auf den überwiesenen Betrag besteht, solle man sich mit dem jeweiligen Kundenbetreuer in Verbindung setzen, ansonsten soll der Betrag umgehend zurück überweisen werden, dann werde der Account wieder freigegeben. Unser Mandant klickte daraufhin auf den unter der Nachricht angebrachten Button „weiter", wodurch er zur Umsatzanzeige weitergeleitet wurde. In dieser Anzeige war der erwähnte Betrag dem Konto unseres Mandanten als gutgeschrieben ausgewiesen worden. Nach Überprüfung des Zahlungseingangs stellte unser Mandant fest, dass er keinen Anspruch darauf hat. Er betätigte daraufhin die Schaltfläche „Retour". In dem sich öffnenden Fenster waren bereits alle Daten für die Rücküberweisung eingetragen, woraufhin unser Mandant den Bestätigungsbutton betätigte, eine TAN per SMS anforderte und eingab, sodass die Buchung ausgeführt wurde. Anschließend führte unser Mandant weitere Überweisungen durch, die wie gewöhnlich abliefen.
Ähnlich ging es einer anderen Mandantin, sie loggte sich im Mai 2013 mit ihren Zugangsdaten im Online-Banking-Portal ihrer Bank ein um dort wie üblich Überweisungen zu tätigen. Nach dem Login wurde unserer Mandantin ein Hinweisfenster angezeigt, dass eine Sicherheitsüberprüfung ihres Kontos erforderlich wäre. Hierzu müsse sie lediglich eine Sicherheitsüberweisung tätigen, welche allerdings nicht ihrem Konto belastet würde. Unsere Mandantin ging zu diesem Zeitpunkt von der Echtheit des Hinweises aus, zumal er in der gewohnten Online-Banking-Oberfläche angezeigt wurde. Sie forderte daher, wie bei Überweisungen üblich, eine entsprechende mTAN auf ihr Mobiltelefon an. Kurz darauf erhielt sie die angeforderte mTAN-SMS mit allen die Überweisung betroffenen Informationen. Als Höhe waren 5.000 € angegeben. Sie gab daraufhin die TAN in das Formular ein und bestätigte die Überweisung. Unmittelbar darauf kontrollierte unsere Mandantin ihre Kontobewegungen wobei die angebliche Sicherheitsüberweisung ihr, wie angekündigt, nicht angezeigt wurde. Daher ging unsere Mandantin zunächst von der erfolgreichen Sicherheitsüberprüfung aus und tätigte wie geplant ihre sonstigen Überweisungen.
Erst spät am Abend erfuhr unsere Mandantin, dass es sich bei der angeblichen Sicherheitsüberprüfung wohl nicht um eine Nachricht ihrer Bank, sondern um einen sogenannten Pharming-Angriff gehandelt hat. Daraufhin wandte sie sich sofort telefonisch an ihre Bank und bat um Rückbuchung der Überweisung. Glücklicherweise konnte die Überweisung seitens der Bank noch zurückgeholt werden, sodass der Mandantin kein weiterer Schaden entstanden ist.
Der Begriff „Pharming" bezeichnet eine Weiterentwicklung des klassischen Phishings. Bei dieser Betrugsmethode werden die DNS-Anfragen von Webbrowsern durch Trojaner manipuliert um den Benutzer auf gefälschte Webseiten umzuleiten.
Eine Überprüfung des Computers unserer Mandantin ergab, dass sich auf dem PC der Trojaner Bublik.L befunden hat. Dieser Trojaner manipuliert die sogenannte „Host"-Datei, die in einfachen Worten dafür zuständig ist, eine Internetadresse wie bspw. www.google.de in die entsprechende IP-Adresse, auf die der Server hört, umzuwandeln. Mittlerweile sind dafür sogenannte DNS-Server im Internet zuständig und die Host-Datei wird kaum noch gebraucht. Dennoch ist sie beim Aufrufen einer Website die erste Anlaufstelle ihres Computers, um die gewünschte Website in die entsprechende IP-Adresse umzuwandeln. Erst wenn kein passender Eintrag in der Host-Datei zu finden ist, werden DNS-Server befragt.
Juristisch gesehen bewirkt die ausführende Bank Zahlungsaufträge grundsätzlich zunächst aus ihrem eigenen Vermögen. Dafür entsteht ihr ein Anspruch auf Aufwendungsersatz gemäß der §§ 675c Abs. 1, 670 BGB gegen den Auftraggeber der Überweisung. Sollte der Kontoinhaber allerdings - wie im Falle des oben erläuterten „Pharmings" - die Überweisung gar nicht selbst in Auftrag gegeben haben, liegt eine sogenannte „Geschäftsführung ohne Auftrag" vor. Das hat zur Folge, dass der Kontoinhaber gem. § 684 Satz 2 BGB seine Genehmigung verweigern kann und die Bank ihren Anspruch auf Aufwendungsersatz verliert. Im Rahmen der Umsetzung der Zahlungsdiensterichtlinie 2007 wurde dies auch noch einmal spezialgesetzlich in § 675u BGB geregelt, in dem ausdrücklich ausgeführt wird, dass ein Zahlungsdienstleister gegen den Zahlungsdienstnutzer keinen Anspruch auf Aufwendungsersatz für nicht von dme Kunden autorisierte Zahlungen hat. Sollte die Bank bereits Belastungsbuchungen zu Ungunsten des Kunden getätigt haben, können diese aufgrund des fehlenden Rechtsgrundes gem. § 812 Abs. 1 Satz 1 Alt. 2 herausverlangt werden. Ein Primäranspruch steht der Bank somit nicht zu.
Früher waren gefälschte Webseiten und E-Mails schnell anhand designtechnischer, orthographischer oder grammatikalischer Fehler erkennbar. Mittlerweile sind die Fälschungen allerdings nahezu perfekt und es lässt sich nur noch schwer zwischen gefälschter und echter Website differenzieren. Aus technischer Sicht ist es jedoch nach wie vor möglich eine gefälschte Website zu identifizieren, indem die URL analysiert und nach dem zusätzlichen „s" in „https://" Ausschau hält. Dieses „s" weißt auf eine verschlüsselte SSL-Verbindung hin, reicht jedoch alleine nicht als sicherer Hinweis aus. Erst wenn man auch das entsprechende Sicherheitszertifikat überprüft hat, kann man sich sicher sein, ob die angewählte Seite auch die ist, für die sie sich ausgibt. Solch ein technisches Knowhow ist dem Kunden nach herrschender Meinung und Rechtsprechung des BGH jedoch nicht zuzumuten.
Anknüpfungspunkt für die Haftung des Kunden ist stattdessen oft die Pflicht, sonstige Verdachtsmomente zu erkennen. Bei klassischen Phishing-Angriffen per E-Mail liegt der Verdachtsmoment darin, dass eine Bank ihre Kunden niemals per E-Mail anschreiben und auffordern würde, über einen Link die Bank-Website aufzurufen und höchstsensible Daten - im BGH Fall gar direkt 10 TAN-Nummern - einzugeben. Diesen Umstand zu erkennen, richtig zu deuten und vor allem nicht den Link zu nutzen ist dem Kunden nach einhelliger Auffassung zuzumuten. Sofern ein Kunde einer solchen Aufforderung folgt, liegt eine schuldhafte Pflichtverletzung des Kunden vor. Falls diese Pflichtverletzung dem Kunden eindeutig nachgewiesen werden kann, kommen Schadensersatzansprüche seitens der Bank in Frage. Wenn es sich nun auch noch um eine sogenannte „grobe Fahrlässigkeit" gehandelt hat, kann der Anspruch des Kunden auf Rückbuchung folgend mit der Gegenforderung der Bank in voller Höhe aufgerechnet wird. Das Ergebnis ist für den Kunden wenig zufriedenstellend - das Geld bleibt weg.
Im Vergleich zu den Phishing-Mails und Trojanern mit dem Ziel, TAN-Nummern in Erfahrung zu bringen um daraufhin vom Kontoinhaber ungewollt und unbemerkt Überweisungen in Auftrag zu geben, sieht die Rechtslage bei sogenannten Social Engineering Trojanern anders aus. Im Kern geht es beim Social Engineering darum, durch zwischenmenschliche Beeinflussung bei der Zielperson ein bestimmtes Verhalten hervorzurufen. Ein Beispiel für den Einsatz eines Social Engineering Trojaners ist der bereits von uns erläuterte Fall, in dem ein Mandant innerhalb seiner Online-Banking-Oberfläche mittels gefälschter Mitteilung darauf hingewiesen wurde, dass es zu einer Fehlbuchung kam und sein Konto erst entsperrt werden könne, wenn er die Rücküberweisung der angeblichen Fehlbuchung in Auftrag gegeben hat. Der Kunde geht verständlicherweise - aufgrund der offiziell wirkenden, in korrektem Deutsch verfassten Mittelung und mit seiner Bank als Absender - von der Echtheit der Meldung aus und initiiert willentlich die Rücküberweisung. Zwar wirkt diese Konstellation auf den ersten Blick wie eine Weiterentwicklung des bekannten Phishings, sie kann juristisch gesehen jedoch einen anderen Tatbestand darstellen.
Ein Erstattungsanspruch des Kunden aus § 675u BGB könnte bei einer vom Kunden autorisierten Zahlung nicht möglich sein
Aus technischer Sicht hat der Überweisende in diesem Fall zwar tatsächlich und bewusst eine Überweisung getätigt, ob im Einzelfall auch juristisch gesehen eine eigentätige und bewusste Überweisung vorlag, kann aber durchaus strittig sein. Betroffene Kunden sollten sich daher unbedingt an einen kompetenten, rechtlichen Beistand wenden um den Einzelfall bewerten zu lassen. Falls eine vom Kunden autorisierte Zahlung nach § 675u angenommen wird, könnte er sich somit nicht, wie oben dargestellt, auf eine „Geschäftsführung ohne Auftrag" beziehen und seine Genehmigung verweigern. Der oben bereits erwähnte § 675u BGB könnte aufgrund der tatsächlich vom Kunden autorisierten Zahlung nicht angewendet werden, mit der Folge, dass der Anspruch auf Aufwendungsersatz nach § 670 BGB seitens der Bank nicht entfallen würde. Eine bereits getätigte Belastungsbuchung der Bank könnte daher nicht zurückverlangt werden, denn die Bank hätte aufgrund der vom Kunden autorisierten Überweisung einen entsprechenden Rechtsgrund, diese auszuführen.
Für das Betrugsopfer stellt sich folgend die Frage der Anfechtbarkeit. In Frage kommt eine Anfechtung wegen arglistiger Täuschung nach § 123 BGB. Da es sich bei dem Schädiger um einen Dritten handelt, ist die Anfechtung gegenüber der Bank nur nach § 123 Abs. 2 BGB zulässig. Dafür müsste der Geschädigte nachweisen, dass die Bank die Täuschung kannte oder kennen musste, was angesichts des elektronischen Massenzahlungsverkehrs abwegig ist. Eine Anfechtung wegen arglistiger Täuschung entfällt somit.
Eine Anfechtung wegen Irrtums nach § 119 BGB scheidet ebenfalls aus. Der Geschädigte war sich nämlich bei Abgabe der Willenserklärung, also beim Abschicken der Überweisung nicht im Irrtum über deren Inhalt. Ihm war klar, dass ein bestimmter Betrag an den Empfänger überwiesen werden soll und wollte dies auch. Er unterlag lediglich einem rechtlich unbeachtlichen Motivirrtum, der Zahlungsempfänger habe einen Anspruch auf seine Zahlung.
Es bleibt ein möglicher Schadensanspruch des Zahlers gegen seine Bank um den entstandenen Schaden zu kompensieren. Dabei müsste der Geschädigte jedoch eine Pflichtverletzung der Bank beweisen können. Zu berücksichtigen ist aber, dass die Schadsoftware in aller Regel nicht das System der Bank, sondern lediglich den Computer des Geschädigten befallen hat und somit vollständig im Machtbereich des Geschädigten verblieben ist. Gemäß den Online-Banking-Bedingungen ist ein Kunde jedoch selbst für den Schutz seines Systems verantwortlich und hat somit in aller Regel keinen Schadensersatzanspruch gegenüber der Bank.
Bevor es so weit kommt, sollte man sich aber folgenden grundlegenden Ratschlag zu Herzen nehmen: Den besten Schutz vor Phishing bietet schlicht die Beachtung der inzwischen wohl von allen Banken ausgegebenen goldenen Regel: „Geben Sie niemals auf telefonische Anfrage (Ausnahme: Telefon-Banking) oder auf eine E-Mail PIN oder TAN heraus!" Selbst wenn die entsprechende Aufforderung noch so seriös wirkt, im Zweifel sollte man lieber einmal mehr nachfragen als einmal zu wenig. Falls sie bereits Opfer eines Online-Banking-Betrugs geworden sind, sollten Sie nicht zögern, einen Rechtsbeistand einzuschalten. Unserer Erfahrung nach ist die Hoffnung auf eine Rückzahlung nur in den seltensten Fällen verloren. Die Kanzlei WBS steht Ihnen unter der angegeben Telefonnummer gerne zur Verfügung.