Phishing beim Online-Banking: Wann Bankkunden auf ihrem Schaden sitzenbleiben

Gibt ein Bankkunde einen Freischaltcode für ein TAN-Verfahren auf einer gefälschten Website preis, obwohl deutliche Abweichungen zum echten Bankschreiben erkennbar waren, handelt er grob fahrlässig. Der daraus resultierende Schadensersatzanspruch der Bank kann gegen den Erstattungsanspruch des Kunden aufgerechnet werden, sodass dieser im Ergebnis keine Zahlung erhält.

Wann liegt eine Autorisierung von Zahlungsvorgängen vor?

Ein Anspruch aus § 675u S. 2 BGB richtet sich grundsätzlich auf Erstattung nicht autorisierter Zahlungen in Form einer Gutschrift auf dem betroffenen Zahlungskonto. Wird das Zahlungskonto jedoch zwischenzeitlich aufgelöst, wandelt sich der Anspruch in einen Anspruch auf Auszahlung des entsprechenden Betrags um. Wird im Prozess statt eines ursprünglich auf Gutschrift gerichteten Antrags nach Kontoauflösung nunmehr Zahlung verlangt, handelt es sich um eine nach § 264 Nr. 3 ZPO zulässige Antragsänderung und nicht um eine Klageänderung im Sinne des § 533 ZPO. Voraussetzung ist, dass die zugrunde liegende Veränderung - hier die Kontoauflösung - nach Eintritt der Rechtshängigkeit erfolgt ist und der neue Antrag demselben Klagegrund entstammt. Auf ein Verschulden einer Partei an der Veränderung kommt es dabei nicht an.

Nach § 675j Abs. 1 BGB setzt eine wirksame Autorisierung eines Zahlungsvorgangs die Zustimmung des Zahlers voraus, die als Einwilligung oder - bei entsprechender Vereinbarung - als Genehmigung erteilt werden kann. Gibt ein Nutzer seine Zugangsdaten unbewusst auf einer gefälschten Website preis, kann ihm die dadurch ermöglichte Zahlung nicht über die Grundsätze der Duldungs- oder Anscheinsvollmacht zugerechnet werden. Diese Rechtsscheingrundsätze finden auf die Zustimmung im Sinne des § 675j BGB keine Anwendung. Führt ein unbekannter Dritter ohne Wissen und Wollen des Kontoinhabers Überweisungen aus, fehlt es an einer Autorisierung, sodass grundsätzlich ein Erstattungsanspruch nach § 675u S. 2 BGB entsteht.

Unter welchen Voraussetzungen haftet der Zahlungsdienstnutzer bei Phishing-Angriffen?

Nach § 675l Abs. 1 S. 1 BGB ist der Zahler verpflichtet, unmittelbar nach Erhalt eines Zahlungsauthentifizierungsinstruments alle zumutbaren Vorkehrungen zu treffen, um die personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen. Personalisierte Sicherheitsmerkmale im Sinne des § 1 Abs. 25 ZAG umfassen insbesondere Transaktionsnummern (TAN); als deren Vorstufe ist auch ein Freischaltcode für ein mobiles TAN-Verfahren zu qualifizieren, da dieser die Erzeugung von TAN auf einem mobilen Endgerät ermöglicht.

Phishing-Angriffe sind nicht ohne erhebliche Mitwirkung des Zahlungsdienstnutzers möglich. Die zu erwartende angemessene Sorgfalt besteht darin, Zugangsdaten niemandem auf Nachfrage anzuvertrauen, sei es telefonisch, per E-Mail oder im Internet. Zahlungsdienstleister dürfen und sollen ihre Kunden darauf hinweisen, dass Zugangsdaten ausschließlich über die Eingabemasken der institutseigenen Internetseiten abgefragt werden und jede anderweitige Weitergabe sorgfaltswidrig ist. Grobe Fahrlässigkeit liegt vor, wenn sich dem betroffenen Nutzer nach den Umständen des Einzelfalls geradezu aufdrängen musste, dass es sich nicht um einen regulären Vorgang handelt, oder wenn er sich beharrlich allen Hinweisen darauf verschließt, dass er nicht mit dem Zahlungsdienstleister, sondern mit einem Dritten kommuniziert (vgl. LG Köln, 10.09.2019 - Az: 21 O 116/19). Grob fahrlässig handelt allgemein, wer die im Verkehr erforderliche Sorgfalt in besonders schwerem Maße verletzt, einfachste und naheliegende Überlegungen nicht anstellt und das nicht beachtet, was sich jedem aufdrängt (vgl. BGH, 13.12.2004 - Az: II ZR 17/03; BGH, 17.10.2000 - Az: XI ZR 42/00; BGH, 29.09.1992 - Az: XI ZR 265/91; BGH, 05.12.1983 - Az: II ZR 252/82; BGH, 11.05.1953 - Az: IV ZR 170/52).

Der weitere Inhalt ist nur für registrierte Nutzer zugänglich. Bitte melden Sie sich an oder registrieren Sie sich für einen Zugang.

Hinweis: Urteile geben die Rechtsauffassung des Gerichts zum Entscheidungsdatum wieder und ersetzen keine rechtliche Beratung im Einzelfall. Für Aktualität, Vollständigkeit und Richtigkeit wird keine Gewähr übernommen.