Beweislast bei der Bank
Phishing: Wer trägt den Schaden? - Oft werden Bankkunden durch gefälschte E-Mails ihrer Bank dazu aufgefordert, ihre Daten einschließlich PIN und Transaktionsnummer auf der verlinkten und ebenfalls gefälschten Internetseite der Bank einzugeben
Bank müsse beweisen, dass der Kunde die Überweisung selbst getätigt habe oder grob fahrlässig mit seinen Daten umgegangen sei
(29.03.16) - Tätigen Fremde vom Konto eines Bankkunden aus Zahlungen mit korrekten Zugangs- und Autorisierungsdaten, trägt nicht automatisch der Bankkunde die Schuld. Dies entschied nach Informationen der D.A.S. Rechtsschutz Leistungs-GmbH (D.A.S. Leistungsservice) das Landgericht Oldenburg (Az. 8 O 1454/15). Das Gericht sah die Beweislast für ein grob fahrlässiges Verhalten des Kunden bei der Bank – und ließ diese für den Schaden haften.
Hintergrundinformation:
Phishing ist eine Methode, um an die Daten zu kommen, mit denen Kontoinhaber im Online-Banking eine Überweisung autorisieren können. Oft werden Bankkunden durch gefälschte E-Mails ihrer Bank dazu aufgefordert, ihre Daten einschließlich PIN und Transaktionsnummer auf der verlinkten und ebenfalls gefälschten Internetseite der Bank einzugeben. Manchmal reicht es aber auch schon, die angeblich von der Bank stammende Email zu öffnen oder einen Link darin anzuklicken – und schon installiert sich ein Trojaner, der die Tastatureingaben mitliest und an Kriminelle übermittelt. Vor Gericht wird immer wieder darum gestritten, wer dann den Schaden trägt.
Der Fall: Ein Bankkunde nutzte für das Online-Banking das mTAN-Verfahren, bei dem die Bank dem Kunden für jede Überweisung eine Transaktionsnummer (TAN) per SMS zuschickt. Mit der TAN genehmigt der Kunde die Zahlung.
Das Verfahren beruht auf der Idee, dass zwei getrennte Kommunikationswege sicherer sind: PC mit Internetverbindung für die Überweisung, das Handy zum Empfangen der TAN. Diese Sicherheit entfällt jedoch leicht, wenn der Nutzer zum Beispiel beide Geräte synchronisiert, so dass beide von einem Virus infiziert werden können oder nur das Smartphone für beide Vorgänge nutzt. Im verhandelten Fall waren offenbar sowohl der PC als auch das Handy des Kunden von einem Schadprogramm befallen. Mit dessen Hilfe überwiesen Kriminelle innerhalb weniger Tage ohne Wissen des Kunden über 11.000 Euro von seinem Konto an Fremde. Der Kunde verlangte Schadenersatz von seiner Bank. Diese weigerte sich mit der Begründung, er selbst habe sich grob fahrlässig verhalten. Dafür spreche schon, dass für die Überweisungen die korrekten Daten verwendet worden wären.
Das Urteil: Bei Gerichtsverfahren dieser Art geht es meist um den sogenannten "Anscheinsbeweis". Das bedeutet: Genügt allein die Verwendung der korrekten PIN und TAN vor Gericht als Beweis dafür, dass der Kunde das Geld entweder selbst überwiesen hat oder unvorsichtig mit seinen Daten war? In einigen Fällen waren Gerichte dieser Ansicht.
Hier nicht: Nach Informationen des D.A.S. Leistungsservice betonte das Landgericht Oldenburg, dass die Beweislast bei der Bank liege. Diese müsse beweisen, dass der Kunde die Überweisung selbst getätigt habe oder grob fahrlässig mit seinen Daten umgegangen sei. Die Verwendung der korrekten Daten allein sei noch kein Beweis. Der Kunde sei auf eine raffinierte und professionelle Tatmethode hereingefallen und habe sich nicht grob fahrlässig verhalten. Das Gericht verurteilte die Bank dazu, den Schaden zu tragen. Gegen das Urteil sind noch Rechtsmittel möglich. Achtung: Dieses Urteil ist nicht auf jeden Fall übertragbar – sorgsamer Umgang mit PIN und TAN ist daher dringend zu empfehlen. (D.A.S. Rechtsschutz: ra)
D.A.S. Rechtsschutzversicherung: Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.