Nicht autorisierte Überweisung beim Online-Banking - zahlt die Bank den Schaden?

Wird eine Überweisung durch Dritte manipuliert und vom Kunden nicht bewusst veranlasst, fehlt es an einer Autorisierung, sodass der Kunde grundsätzlich die Wiedergutschrift verlangen kann. Hat er jedoch die im ChipTAN-Verfahren angezeigten Zahlungsdaten grob fahrlässig nicht kontrolliert, kann die Bank ihm einen Schadenersatzanspruch entgegenhalten, der bei eigenem Mitverschulden der Bank (hier: fehlendes beantragtes Verfügungslimit) lediglich quotal gekürzt wird.

Nicht autorisierte Überweisung im Online-Banking

Wird ein Zahlungsvorgang von einem Dritten ausgelöst, indem der Kontoinhaber auf einer gefälschten Bankseite zur Eingabe einer „Testzahlenfolge“ veranlasst wird und im Hintergrund eine Überweisung an einen fremden Empfänger erfolgt, ist zu klären, wer den entstandenen Schaden zu tragen hat. Das Zahlungsdiensterecht der §§ 675c ff. BGB hält hierfür ein Haftungssystem bereit, in dem Ansprüche auf Wiedergutschrift und gegenläufige Schadenersatzansprüche der Bank miteinander verrechnet werden können.

Wann ist eine Überweisung „autorisiert“?

Ein Zahlungsvorgang ist gegenüber dem Zahler nur wirksam, wenn dieser ihm zugestimmt hat (§ 675j Abs. 1 Satz 1 BGB). Fehlt die Autorisierung, hat die Bank keinen Aufwendungsersatzanspruch nach §§ 675c Satz 1, 670 BGB, sondern muss den Zahlbetrag unverzüglich erstatten und das Konto wieder auf den Stand bringen, der ohne die Belastung bestanden hätte (§ 675u Satz 2 BGB). Die Zustimmung ist nach herrschender Meinung eine einseitige, empfangsbedürftige Willenserklärung (vgl. MüKoHGB/Linardatos, 4. Aufl. 2019, K, Rn. 57; Grüneberg/Grüneberg, BGB, 82. Aufl., § 675j Rn. 3).

Für den Streit um die Autorisierung sieht § 675w BGB eine besondere Verteilung der Nachweislast vor: Die Bank hat nachzuweisen, dass eine Authentifizierung erfolgt ist und der Zahlungsvorgang ordnungsgemäß aufgezeichnet, verbucht und nicht durch eine Störung beeinträchtigt wurde. Das Gesetz unterscheidet dabei strikt zwischen Authentifizierung und Autorisierung: Die technische Überprüfung der Identitätsbehauptung des Zahlers, insbesondere seiner personalisierten Sicherheitsmerkmale, beweist „nicht notwendigerweise“ auch dessen Zustimmung zur Zahlung (§ 675w Satz 3 Nr. 1 BGB). Umgekehrt scheitert der Nachweis der Autorisierung stets, wenn die Bank die ordnungsgemäße Authentifizierung nicht darlegen und beweisen kann (vgl. OLG Karlsruhe, 12.04.2022 - Az: 17 U 823/20).

Anscheinsbeweis im Online-Banking und dessen Erschütterung

Auch im Online-Banking ist ein Anscheinsbeweis nicht von vornherein ausgeschlossen, da er weder eine zwingende Beweisregel noch eine Beweislastumkehr begründet (vgl. BGH, 26.01.2016 - Az: XI ZR 91/14). Seine Anwendung setzt jedoch mehr voraus als die bloße korrekte Aufzeichnung der Nutzung des Authentifizierungsinstruments: Es müssen die allgemeine praktische Unüberwindbarkeit des eingesetzten Sicherungsverfahrens und dessen Einhaltung im konkreten Einzelfall feststehen. Das ChipTAN-Verfahren gilt nach dem derzeitigen Erkenntnisstand als grundsätzlich praktisch unüberwindbar, weil die TAN auf einem vom möglicherweise kompromittierten Rechner abgeschotteten Gerät erzeugt wird.

Der Anscheinsbeweis wird bereits dadurch erschüttert, dass der Zahler atypische Umstände darlegt und im Bestreitensfall nachweist, die die ernsthafte Möglichkeit eines anderen Geschehensablaufs nahelegen. Er muss dafür keinen konkreten, erfolgreichen Angriff auf das Authentifizierungsinstrument beweisen; es genügen außerhalb des Sicherheitssystems der Bank liegende Indizien, die für ein missbräuchliches Eingreifen Dritter sprechen (vgl. BGH, 26.01.2016 - Az: XI ZR 91/14). Als solche Indizien kommen etwa in Betracht: die Aufforderung zur Eingabe einer Zahlenfolge, die auf der Originalseite der Bank nie verlangt würde, ein dem Zahler unbekannter Zahlungsempfänger sowie der Umstand, dass Angreifer typischerweise mit Echtzeitüberweisungen arbeiten, um die Zeitspanne für Rückbuchungen zu verkürzen.

Autorisierung bei Täuschung des Zahlers

Ob eine vom Zahler infolge einer Täuschung selbst freigegebene Zahlung autorisiert ist, wird differenziert beurteilt. Eine Zurechnung nach den Grundsätzen der Anscheinsvollmacht hat der Bundesgerichtshof für das zahlungsdienstrechtliche Haftungsregime mit systematischen Bedenken versehen (vgl. BGH, 26.01.2016 - Az: XI ZR 91/14; BGH, 17.11.2020 - Az: XI ZR 294/19): Sie sei mit den grundsätzlich abschließenden Regelungen in § 675j Abs. 1 Satz 4, § 675u Satz 1 BGB nicht vereinbar, da eine Bevollmächtigung Dritter bei personalisierten Zahlungsauthentifizierungsinstrumenten vertraglich ausnahmslos ausgeschlossen sei und der Grundsatz der Haftung nur bei Vorsatz oder grober Fahrlässigkeit unterlaufen würde.

Stattdessen wird vorgeschlagen, danach zu unterscheiden, ob dem Verhalten des Zahlers im Wege der Auslegung nach §§ 133, 157 BGB analog eine Zustimmungserklärung entnommen werden kann. Maßgeblich ist, ob er mit Erklärungsbewusstsein und auf die konkrete Überweisung gerichtetem Geschäftswillen gehandelt hat (vgl. MüKoHGB/Linardatos, 4. Aufl. 2019, K, Rn. 65). Die Ansicht, eine Autorisierung liege immer vor, wenn der Zahler infolge einer Täuschung selbst gehandelt hat, würde das Missbrauchsrisiko pauschal dem Zahler zuweisen, obwohl es primär vom Zahlungsdienstleister zu tragen ist.

Beim sogenannten Rücküberweisungs-Trojaner wird der Zahler zur Rücküberweisung eines bestimmten Betrags auf ein bestimmtes Konto aufgefordert. Er handelt mit Erklärungsbewusstsein und Geschäftswillen und irrt lediglich über die Motive; eine Autorisierung ist anzunehmen (vgl. OLG Brandenburg, 31.01.2018 - Az: 13 U 5/17; AG Köln, 26.06.2013 - Az: 119 C 143/13). Teilweise werden auch Test- oder Probeüberweisungsfälle dieser Gruppe zugeordnet (vgl. OLG Köln, 21.03.2016 - Az: 13 U 223/15).
Beim sogenannten Freischaltungs-Trojaner soll der Zahler eine TAN zur vermeintlichen Freischaltung seines Kontozugangs eingeben, während im Hintergrund eine Überweisung initiiert wird. Ihm fehlt das Bewusstsein, überhaupt eine Überweisung zu veranlassen; er irrt über die rechtliche Qualität seines Tuns. Wegen des verdeckt ablaufenden Missbrauchs ist eine Autorisierung zu verneinen (vgl. OLG München, 22.09.2022 - Az: 19 U 2204/22).

Im vorliegenden Fall glaubte der Zahler, auf der vermeintlichen Bankseite lediglich seine Online-Kontofunktionen freizuschalten, um anschließend eine Zahnarztrechnung zu begleichen. Die Konstellation entsprach damit dem Freischaltungs-Trojaner; eine Autorisierung der Überweisung an den unbekannten Dritten schied aus.

Keine nachträgliche telefonische Autorisierung ohne eindeutige Kenntnis des Betrags

Auch eine nachträgliche Genehmigung im Rahmen eines Telefonats mit der Bank (§ 675j Abs. 1 Satz 2 BGB) setzt voraus, dass der Zahler in Kenntnis der konkreten Transaktion zustimmt. Die hierfür darlegungs- und beweisbelastete Bank muss nachweisen, dass dem Kunden Betrag und Größenordnung der Zahlung bekannt waren. Bezieht sich ein kurzes Telefonat nur allgemein auf einen „höheren Betrag“ und wird dabei auf eine tatsächlich beabsichtigte, deutlich niedrigere Überweisung (hier: an den Zahnarzt) Bezug genommen, lässt sich keine eindeutige Zustimmung zur streitigen Überweisung feststellen. Auf die Frage, ob eine telefonische Autorisierung überhaupt vertraglich vorgesehen war, kommt es dann nicht an.

Gegenanspruch der Bank: Schadenersatz wegen grob fahrlässiger Pflichtverletzung

Dem Wiedergutschriftsanspruch kann die Bank nach Treu und Glauben (§ 242 BGB, sogenannte dolo-agit-Einrede) einen Schadenersatzanspruch entgegenhalten. Nach § 675v Abs. 3 Nr. 2b BGB haftet der Zahler bei einem nicht autorisierten Zahlungsvorgang abweichend von der Haftungsbegrenzung des Absatzes 1 auf den gesamten Schaden, wenn er diesen durch grob fahrlässige Verletzung vereinbarter Bedingungen für die Ausgabe und Nutzung des Zahlungsinstruments herbeigeführt hat (vgl. BGH, 17.11.2020 - Az: XI ZR 294/19; BGH, 05.10.2004 - Az: XI ZR 210/03). Tatbestandsvoraussetzungen sind:

Der weitere Inhalt ist nur für registrierte Nutzer zugänglich. Bitte melden Sie sich an oder registrieren Sie sich für einen Zugang.

Hinweis: Urteile geben die Rechtsauffassung des Gerichts zum Entscheidungsdatum wieder und ersetzen keine rechtliche Beratung im Einzelfall. Für Aktualität, Vollständigkeit und Richtigkeit wird keine Gewähr übernommen.