Source: https://www.anwalt24.de/fachartikel/internet-it-und-telekommunikation/27835
Timestamp: 2018-10-16 02:35:08
Document Index: 210006407

Matched Legal Cases: ['§ 675', '§ 684', '§ 675', '§ 812', 'BGH', 'BGH', '§675', '§ 675', '§670']

Phishing – Was heißt das eigentlich und wie kann ich mich davor schützen? | anwalt24.de
Phishing – Was heißt das eigentlich und wie kann ich mich davor ...
27.08.2013545 Mal gelesen
Phishing bezeichnet eine Vorgehensweise, die von Betrügern genutzt wird um an für sie relevante Daten zu kommen. Angelehnt ist der Begriff an das englische „fishing“ (Angeln, Fischen) in Verbindung mit dem P aus Passwort, bildlich gesprochen bezeichnet Phishing also das Angeln nach Passwörtern oder anderen höchstprivaten Daten mit entsprechenden Ködern. Meist handelt es sich dabei um sensible Informationen, wie bspw. die Zugangsdaten des Online-Banking-Accounts oder Kreditkarteninformationen. Die Betrüger nutzen eine Vielzahl an verschiedenen Möglichkeiten, um ihr Ziel zu erreichen. Vorwiegend ahmen sie seriöse Webseiten nach, in der der Nutzer vertrauensvoll seine Daten eingibt. Dabei sind die Betrüger teilweise so geschickt, dass selbst Experten keinen optischen Unterschied zur richtigen Seite erkennen können und die Phishing-Seite nur mittels näher gehender technischer Betrachtung als gefälscht entlarven können.
Die Kunden könnten aber auch direkter aufgefordert werden. Einer unserer Mandanten schilderte uns folgenden Fall. Im Mai 2013 bekam unser Mandant eine E-Mail von der Postbank mit der Bitte an einem Test zur Datensicherheit teilzunehmen. Da die E-Mail täuschend echt aussah, dachte er an nichts böses, klickte auf den entsprechenden Link und nahm an dem Test teil. In diesem Zusammenhag wurde ihm eine TAN-Nr. auf sein Handy übermittelt, die er dann eingab. Unmittelbar im Anschluss loggte sich unser Mandant in das Online-Banking ein und stellte fest, dass ihm 4.500 € auf seinem Konto fehlten, die zugunsten eines Unbekannten abgebucht worden waren. Sein Online-Banking-Passwort hatte er während des angeblichen Datensicherheitstests zu keinem Zeitpunkt eingegeben.
Wie bereits erläutert, ist es Betrügern möglich, die Online-Banking-Benutzeroberfläche eines mit einem Trojaner infizierten Computers in Echtzeit zu manipulieren und jegliche Inhalte nahtlos in die vermeintlich vertrauenswürdige Oberfläche der Bank einzubinden. So geschehen im April 2013. Unser Mandant loggte sich wie üblich mit seinen Zugangsdaten im Online-Banking-Portal ein, um den Kontostand und die Kontobewegungen zu überprüfen. Dabei entdeckte er im Onlinepostfach innerhalb seines Accounts eine Nachricht mit dem Absender „Sparkasse KölnBonn“. Laut dieser Nachricht war der Online-Banking-Account unseres Mandanten gesperrt, da es versehentlich zu einer Fehlbuchung in Höhe von rund 8.500 € zugunsten unseres Mandanten gekommen sei. Es gäbe zwei Möglichkeiten, weiter zu verfahren, sofern ein Anspruch auf den überwiesenen Betrag besteht, solle man sich mit dem jeweiligen Kundenbetreuer in Verbindung setzen, ansonsten soll der Betrag umgehend zurück überweisen werden, dann werde der Account wieder freigegeben. Unser Mandant klickte daraufhin auf den unter der Nachricht angebrachten Button „weiter“, wodurch er zur Umsatzanzeige weitergeleitet wurde. In dieser Anzeige war der erwähnte Betrag dem Konto unseres Mandanten als gutgeschrieben ausgewiesen worden. Nach Überprüfung des Zahlungseingangs stellte unser Mandant fest, dass er keinen Anspruch darauf hat. Er betätigte daraufhin die Schaltfläche „Retour“. In dem sich öffnenden Fenster waren bereits alle Daten für die Rücküberweisung eingetragen, woraufhin unser Mandant den Bestätigungsbutton betätigte, eine TAN per SMS anforderte und eingab, sodass die Buchung ausgeführt wurde. Anschließend führte unser Mandant weitere Überweisungen durch, die wie gewöhnlich abliefen.
Ähnlich ging es einer anderen Mandantin, sie loggte sich im Mai 2013 mit ihren Zugangsdaten im Online-Banking-Portal ihrer Bank ein um dort wie üblich Überweisungen zu tätigen. Nach dem Login wurde usnerer Mandantin ein Hinweisfenster angezeigt, dass eine Sicherheitsüberprüfung ihres Kontos erforderlich wäre. Hierzu müsse sie lediglich eine Sicherheitsüberweisung tätigen, welche allerdings nicht ihrem Konto belastet würde. Unsere Mandantin ging zu diesem Zeitpunkt von der Echtheit des Hinweises aus, zumal er in der gewohnten Online-Banking-Oberfläche angezeigt wurde. Sie forderte daher, wie bei Überweisungen üblich, eine entsprechende mTAN auf ihr Mobiltelefon an. Kurz darauf erhielt sie die angeforderte mTAN-SMS mit allen die Überweisung betroffenen Informationen. Als Höhe waren 5.000€ angegeben. Sie gab daraufhin die TAN in das Formular ein und bestätigte die Überweisung. Unmittelbar darauf kontrollierte unsere Mandantin ihre Kontobewegungen wobei die angebliche Sicherheitsüberweisung ihr, wie angekündigt, nicht angezeigt wurde. Daher ging unsere Mandantin zunächst von der erfolgreichen Sicherheitsüberprüfung aus und tätigte wie geplant ihre sonstigen Überweisungen.
Juristisch gesehen bewirkt die ausführende Bank Zahlungsaufträge grundsätzlich zunächst aus ihrem eigenen Vermögen. Dafür entsteht ihr ein Anspruch auf Aufwendungsersatz gemäß § 675c Abs. 1, 670 BGB gegen den Auftraggeber der Überweisung. Sollte der Kontoinhaber allerdings – wie im Falle des oben erläuterten „Pharmings“ – die Überweisung gar nicht selbst in Auftrag gegeben haben, liegt eine sogenannte „Geschäftsführung ohne Auftrag“ vor. Das hat zur Folge, dass der Kontoinhaber gem. § 684 Satz 2 BGB seine Genehmigung verweigern kann und die Bank ihren Anspruch auf Aufwendungsersatz verliert. Im Rahmen der Umsetzung der Zahlungsdiensterichtlinie 2007 wurde dies auch noch einmal spezialgesetzlich in § 675u BGB geregelt, in dem ausdrücklich ausgeführt wird, dass ein Zahlungsdienstleister gegen den Zahlungsdienstnutzer keinen Anspruch auf Aufwendungsersatz für nicht von dme Kunden autorisierte Zahlungen hat. Sollte die Bank bereits Belastungsbuchungen zu Ungunsten des Kunden getätigt haben, können diese aufgrund des fehlenden Rechtsgrundes gem. § 812 Abs. 1 Satz 1 Alt. 2 herausverlangt werden. Ein Primäranspruch steht der Bank somit nicht zu.
Früher waren gefälschte Webseiten und E-Mails schnell anhand designtechnischer, orthographischer oder grammatikalischer Fehler erkennbar. Mittlerweile sind die Fälschungen allerdings nahezu perfekt und es lässt sich nur noch schwer zwischen gefälschter und echter Website differenzieren. Aus technischer Sicht ist es jedoch nach wie vor möglich eine gefälschte Website zu identifizieren, indem die URL analysiert und nach dem zusätzlichen „s“ in „https://“ Ausschau hält. Dieses „s“ weißt auf eine verschlüsselte SSL-Verbindung hin, reicht jedoch alleine nicht als sicherer Hinweis aus. Erst wenn man auch das entsprechende Sicherheitszertifikat überprüft hat, kann man sich sicher sein, ob die angewählte Seite auch die ist, für die sie sich ausgibt. Solch ein technisches Know-How ist dem Kunden nach herrschender Meinung und Rechtsprechung des BGH jedoch nicht zuzumuten.
Anknüpfungspunkt für die Haftung des Kunden ist stattdessen oft die Pflicht, sonstige Verdachtsmomente zu erkennen. Bei klassischen Phishing-Angriffen per E-Mail liegt der Verdachtsmoment darin, dass eine Bank ihre Kunden niemals per E-Mail anschreiben und auffordern würde, über einen Link die Bank-Website aufzurufen und höchstsensible Daten – im BGH Fall gar direkt 10 TAN-Nummern – einzugeben. Diesen Umstand zu erkennen, richtig zu deuten und vor allem nicht den Link zu nutzen ist dem Kunden nach einheiliger Auffassung zuzumuten. Sofern ein Kunde einer solchen Aufforderung folgt, liegt eine schuldhafte Pflichtverletzung des Kunden vor. Falls diese Pflichtverletzung dem Kunden eindeutig nachgewiesen werden kann, kommen Schadensersatzansprüche seitens der Bank in Frage. Wenn es sich nun auch noch um eine sogenannte „grobe Fahrlässigkeit“ gehandelt hat, kann der Anspruch des Kunden auf Rückbuchung folgend mit der Gegenforderung der Bank in voller Höhe aufgerechnet wird. Das Ergebnis ist für den Kunden wenig zufriedenstellend – das Geld bleibt weg.
Im Vergleich zu den Phishing-Mails und Trojanern mit dem Ziel, TAN-Nummern in Erfahrung zu bringen um daraufhin vom Kontoinhaber ungewollt und unbemerkt Überweisungen in Auftrag zu geben, sieht die Rechtslage bei sogenannten Social Engineering Trojanern anders aus. Im Kern geht es beim Social Engineering darum, durch zwischenmenschliche Beeinflussung bei der Zielperson ein bestimmtes Verhalten hervorzurufen. Ein Beispiel für den Einsatz eines Social Engineering Trojaners ist der bereits von uns erläuterte Fall, in dem ein Mandant innerhalb seiner Online-Banking-Oberfläche mittels gefälschter Mitteilung darauf hingewiesen wurde, dass es zu einer Fehlbuchung kam und sein Konto erst entsperrt werden könne, wenn er die Rücküberweisung der angeblichen Fehlbuchung in Auftrag gegeben hat. Der Kunde geht verständlicherweise – aufgrund der offiziell wirkenden, in korrektem Deutsch verfassten Mittelung und mit seiner Bank als Absender – von der Echtheit der Meldung aus und initiiert willentlich die Rücküberweisung. Zwar wirkt diese Konstellation auf den ersten Blick wie eine Weiterentwicklung des bekannten Phishings, sie kann juristisch gesehen jedoch einen anderen Tatbestand darstellen.
Aus technischer Sicht hat der Überweisende in diesem Fall zwar tatsächlich und bewusst eine Überweisung getätigt, ob im Einzelfall auch juristisch gesehen eine eigentätige und bewusste Überweisung vorlag, kann aber durchaus strittig sein. Betroffene Kunden sollten sich daher unbedingt an einen kompetenten, rechtlichen Beistand wenden um den Einzelfall bewerten zu lassen. Falls eine vom Kunden autorisierte Zahlung nach §675u angenommen wird, könnte er sich somit nicht, wie oben dargestellt, auf eine „Geschäftsführung ohne Auftrag“ beziehen und seine Genehmigung verweigern. Der oben bereits erwähnte § 675u BGB könnte aufgrund der tatsächlich vom Kunden autorisierten Zahlung nicht angewendet werden, mit der Folge, dass der Anspruch auf Aufwendungsersatz nach §670 BGB seitens der Bank nicht entfallen würde. Eine bereits getätigte Belastungsbuchung der Bank könnte daher nicht zurückverlangt werden, denn die Bank hätte aufgrund der vom Kunden autorisierten Überweisung einen entsprechenden Rechtsgrund, diese auszuführen.
Bevor es so weit kommt, sollte man sich aber folgenden grundlegenden Ratschlag zu Herzen nehmen: Den besten Schutz vor Phishing bietet schlicht die Beachtung der inzwischen wohl von allen Banken ausgegebenen goldenen Regel: „Geben Sie niemals auf telefonische Anfrage (Ausnahme: Telefon-Banking) oder auf eine E-Mail PIN oder TAN heraus!“. Selbst wenn die entsprechende Aufforderung noch so seriös wirkt, im Zweifel sollte man lieber einmal mehr nachfragen als einmal zu wenig. Falls sie bereits Opfer eines Online-Banking-Betrugs geworden sind, sollten Sie nicht zögern, einen Rechtsbeistand einzuschalten. Unserer Erfahrung nach ist die Hoffnung auf eine Rückzahlung nur in den seltensten Fällen verloren. Die Kanzlei WBS steht Ihnen unter der angegeben Telefonnummer gerne zur Verfügung.