Pushtan-Betrug beim Online-Banking: Telefonische Weitergabe ist grob fahrlässig

Gibt ein Bankkunde im Rahmen eines betrügerischen Telefonanrufs (Social Engineering) mehrere TAN-Nummern telefonisch an einen vermeintlichen Bankmitarbeiter weiter, handelt er in der Regel grob fahrlässig, sodass sein Erstattungsanspruch durch einen Schadensersatzanspruch der Bank aufgerechnet werden kann. Dies gilt auch dann, wenn das genutzte pushTAN-Verfahren - bei dem TAN-Generierung und Bankzugang über zwei Apps auf demselben Smartphone erfolgen - ein erhöhtes Gefährdungspotential aufweist und deshalb keinen Anscheinsbeweis für eine Autorisierung begründet.

Erstattungsansprüche nach nicht autorisierten Zahlungen

Nach § 675u S. 2 BGB steht dem Zahler bei einem nicht autorisierten Zahlungsvorgang gegen seinen Zahlungsdienstleister ein Erstattungsanspruch zu. Die Autorisierung setzt gemäß § 675j Abs. 1 S. 1, 2 BGB eine wirksame Zustimmung des Zahlers zum Zahlungsvorgang voraus, welche als Einwilligung oder - bei entsprechender vorheriger Vereinbarung - als Genehmigung erteilt werden kann. Eine Stellvertretung ist hierbei grundsätzlich möglich.

Werden Zahlungsvorgänge durch einen unbekannten Dritten ausgelöst, der sich unter Vortäuschung falscher Tatsachen personalisierte Sicherheitsmerkmale wie TAN verschafft, liegt regelmäßig keine Autorisierung durch den Zahler vor. Die Grundsätze der Duldungs- und Anscheinsvollmacht finden auf die Zustimmung im Sinne des § 675j BGB keine Anwendung (vgl. BGH, 26.01.2016 - Az: XI ZR 91/14; BGH, 16.06.2015 - Az: XI ZR 243/13). Dies gilt sowohl für Fälle, in denen Zugangsdaten über manipulierte Webseiten abgegriffen werden, als auch für die telefonische Abfrage von TAN im Wege des Social Engineering.

Welche Bedeutung hat das pushTAN-Verfahren für den Anscheinsbeweis?

Für die Darlegungs- und Beweislast der Autorisierung trägt gemäß § 675w S. 1 BGB grundsätzlich der Zahlungsdienstleister die Beweislast. In der Praxis kann sich der Zahlungsdienstleister jedoch auf technische Aufzeichnungen stützen, die einen Anscheinsbeweis für eine ordnungsgemäße Autorisierung begründen können.

Beim sogenannten pushTAN-Verfahren wird die TAN auf demselben Smartphone in einer separaten App angezeigt, während der Bankzugang über eine weitere App auf demselben Gerät erfolgt. Diese Verfahrensgestaltung gibt die für die Sicherheit ursprünglicher smsTAN-Verfahren wesentliche Trennung der Kommunikationswege - Übermittlung des Zahlungsauftrags über das Internet am Computer einerseits, Mitteilung der TAN per SMS an ein separates Mobiltelefon andererseits - auf. Die Verwendung nur eines einzigen Mobilgeräts für den gesamten Zahlungsvorgang erhöht dadurch das Gefährdungspotential, da keine Authentifizierung aus wenigstens zwei voneinander unabhängigen Elementen im Sinne des § 1 Abs. 24 ZAG mehr vorliegt. Die für einen Anscheinsbeweis erforderliche sehr hohe Wahrscheinlichkeit einer ordnungsgemäßen Autorisierung kann bei diesem Verfahren daher nicht angenommen werden - dies gilt in gleicher Weise für das klassische PIN/TAN-Verfahren, bei dem die TAN vom Nutzer selbst ausgewählt wird (vgl. LG Bonn, 19.12.2003 - Az: 2 O 472/03).

Wann liegt grobe Fahrlässigkeit bei der Weitergabe von TAN vor?

Trägt der Zahler den Schaden aus einem nicht autorisierten Zahlungsvorgang durch vorsätzliche oder grob fahrlässige Verletzung seiner Pflichten aus § 675l Abs. 1 BGB oder vereinbarter Nutzungsbedingungen bei, ist er dem Zahlungsdienstleister gemäß § 675v Abs. 3 Nr. 2 BGB zum Ersatz des gesamten Schadens verpflichtet. Grobe Fahrlässigkeit setzt einen objektiv schweren und subjektiv nicht entschuldbaren Verstoß gegen die im Verkehr erforderliche Sorgfalt voraus, bei dem außer Acht gelassen wird, was jedem hätte einleuchten müssen.

Der weitere Inhalt ist nur für registrierte Nutzer zugänglich. Bitte melden Sie sich an oder registrieren Sie sich für einen Zugang.

Hinweis: Urteile geben die Rechtsauffassung des Gerichts zum Entscheidungsdatum wieder und ersetzen keine rechtliche Beratung im Einzelfall. Für Aktualität, Vollständigkeit und Richtigkeit wird keine Gewähr übernommen.