Ein Bankkunde nutzte seit einigen Jahren das Online-Banking seines Kreditinstituts. Dafür hatte ihm die Bank eine iTAN-Liste zur Verfügung gestellt. Nach der Eingabe seiner PIN auf der Webseite des Kreditinstituts konnte er durch die Eingabe einer bestimmten Transaktionsnummer (TAN) unter anderem Überweisungen durchführen. Im Oktober 2008 rief er nach eigenen Angaben die Webseite seiner Bank auf. Er erhielt den Hinweis, dass er das Onlinebanking derzeit nicht nutzen könne, aber 10 Transaktionsnummern eingeben solle. Das tat der Kunde, erhielt danach Zugriff auf das Online-Banking und tätigte unter Eingabe einer weiteren TAN eine Überweisung.
Im Januar 2009 wurden aus dem Onlinebanking von dem Konto des Kunden mithilfe seiner PIN und einer korrekten TAN 5.000,- € auf ein Bankkonto im Ausland überwiesen. Er war offensichtlich Opfer eines Pharming-Angriffs geworden, bei dem er auf eine manipulierte Webseite umgeleitet worden war. Die dort von ihm eingegebene PIN samt der TANs hatten Dritte zur unbefugten Überweisung benutzt und sein Konto um 5.000,- € erleichtert. Die Täter wurden nie ermittelt. Der Bankkunde verlangte daraufhin von seiner Bank eine Rückzahlung des Überweisungsbetrages. Er klagte erfolglos vor dem Amtsgericht Düsseldorf (Aktz. 36 C 13469/09), dann vor dem Landgericht Düsseldorf (Aktz. 23 S 163/10). Letztlich wies auch der Bundesgerichtshof die Revision zurück.
Das Kreditinstitut hatte seine Kunden auf der LogIn-Seite des Onlinebankings mit einem Hinweis vor Phishing und Pharming gewarnt, insbesondere vor der Preisgabe mehrerer TANs gleichzeitig. Darin sah das Gericht eine ausreichende Aufklärung durch das Kreditinstitut. Zudem habe die Bank mit dem iTAN-Verfahren zu dem damaligen Zeitpunkt ein möglichst wenig missbrauchsanfälliges System für sicheres Online-Banking bereitgestellt. Sie trage also keine Mitschuld. Auch sei in diesem Fall unerheblich, ob durch die Überweisung der Kreditrahmen des Kunden überschritten worden sei. Ein Limit für einzelne Überweisungen sei zwischen den Parteien nicht vereinbart worden.
Der Bankkunde habe sich hingegen gegenüber der Bank schadensersatzpflichtig gemacht. Denn er habe nicht die erforderliche Sorgfalt walten lassen. Die Eingabe von gleichzeitig 10 TANs bei einem LogIn-Vorgang trotz ausdrücklicher Warnung seines Kreditinstituts sei als einfache Fahrlässigkeit zu sehen. In diesem Fall reiche das für eine Haftung des Bankkunden aus.
Hinweis vom telespiegel: Am 31. Oktober 2009 trat der Paragraf 675v Abs. 2 BGB in Kraft. Der sieht eine unbegrenzte Haftung des Kunden bei missbräuchlicher Nutzung eines Zahlungsauthentifizierungsinstruments nur bei Vorsatz und grober Fahrlässigkeit vor. Das beschriebene Urteil des BGH gilt deshalb so nur für Kunden, die vor diesem Zeitpunkt Opfer eines Pharming-Angriffs geworden sind.
Bundesgerichtshof (BGH), Aktenzeichen XI ZR 96/11 vom 24. April 2012
Update 15.04.2016
Passwortsalat – Rezepte von der Bitkom
Hinterlasse jetzt einen Kommentar