Phishing-Angriff: Bank in Nachweispflicht

Berater Recht & Haftung von Michael Fiedler

Online-Banking: Das LG Oldenburg entschied, dass Opfer von Phishing-Attacken nicht beweisen müssen, dass sie von Cyber-Kriminellen geschädigt wurden. Vielmehr habe die Bank nachzuweisen, dass die Zahlungsvorgänge tatsächlich vom Kunden beauftragt wurden.

Fotolia / weerapat1003

Laut Bundeskriminalamt wurden allein 2014 6.984 Fälle von Phishing im Bereich Online-Banking bekannt. Die Dunkelziffer dürfte weitaus höher liegen.
Doch wer haftet für entstandene Schäden und wer hat welche Nachweispflichten?
Ein Urteil des Landgerichts Oldenburg (8 O 1454/15) bringt Antworten auf diese Fragen.

Seit 15 Jahren nutze der Kläger den Online-Banking-Service seines Kreditinstituts. Zuletzt in Form des mTan-Verfahrens: Dort erhält der Kunde von der Bank zur Freigabe seines Bankauftrags eine SMS an sein Mobiltelefon, mittels derer er sich am PC als Berechtigter legitimieren kann.

Innerhalb weniger Tage sei es zu 44 unberechtigten Überweisungen von den Konten des Klägers gekommen - mit einem Gesamtschaden von 11.244,62 €. Der Kläger verlangte von der Beklagten - vereinfacht dargestellt - Schadensersatz in dieser Höhe. Die Beklagte weigerte sich mit der Begründung, der Kläger habe grob fahrlässig gehandelt, insbesondere habe er Apps auf sein Mobiltelefon heruntergeladen, die nicht aus sicheren Quellen stammen würden.

Nach durchgeführter Beweisaufnahme hat das Landgericht der Klage stattgegeben. Die Beklagte hat nachzuweisen, dass es sich bei den streitgegenständlichen Zahlungsvorgängen um solche gehandelt hat, die der Kläger autorisiert hat. Nicht der Kläger hat zu beweisen, dass er Opfer einer Phising-Attacke wurde und somit die Zahlungsvorgänge durch unberechtigte Dritte erfolgten. Dafür ist es nicht ausreichend, dass die Bank die Zahlungsvorgänge elektronisch aufzeichnet. Auch spricht kein Anscheinsbeweis für eine autorisierte Zahlung, wenn die Legitimation unter Verwendung der dem Kläger zur Verfügung gestellten Benutzernamen, PIN und TAN erfolgt.

Das Urteil ist noch nicht rechtskräftig.