Schlagworte: Phishing-Mail, PIN, TAN, grobe Fahrlässigkeit, Online-Banking, SMS, Internet-Banking, Login

Transkript

1 AG München, Endurteil v C 49/15 Titel: Keine Verpflichtung einer Bank, über Phishing erschlichenes Geld zu erstatten, wenn der Bankkunde grob fahrlässig durch Weitergabe seiner TAN in einem Telefongespräch gehandelt hat Normenkette: BGB 675 Abs. 1, 675u S. 2, 675v Abs. 2, 675w S. 3 Nr. 4 Leitsätze: 1 Im Rahmen des 675 Abs. 1 BGB hat ein Zahlungsdienstnutzer die Pflicht, alle zumutbaren Vorkehrungen zu treffen, um die personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen. Zum Begriff dieser Sicherheitsmerkmale gehört insbesondere auch eine TAN. (Rn. 26) (red. LS Andy Schmidt) 2 Im Rahmen der missbräuchlichen Nutzung von PIN/TAN durch einen Dritten besteht im Rahmen des Online-Bankings kein Anscheinsbeweis für eine grobe Fahrlässigkeit des Kontoinhabers; insbesondere genügt hierfür nicht die Aufzeichnung der Nutzung eines Zahlungsauthentifizierungsinstruments und die Prüfung der Authentifizierung nach 675w S. 3 Nr. 4 BGB (ebenso BGH BeckRS 2016, 06445). (Rn. 28) (red. LS Andy Schmidt) 3 Gibt ein Kunde die TAN an einen Dritten weiter, der damit dann eine Überweisung durchführt, liegt hierin kein bloß einfach fahrlässiger Pflichtenverstoß mehr; denn in diesem Fall muss es im Allgemeinen jedem einleuchten, dass es sich um eine TAN handelt, deren Weitergabe nach 675 Abs. 1 BGB wie auch nach den vertraglichen Bedingungen nicht zulässig ist und die die Gefahr mit sich bringt, eine missbräuchliche Überweisung auszulösen. (Rn. 33) (red. LS Andy Schmidt) Schlagworte: Phishing-Mail, PIN, TAN, grobe Fahrlässigkeit, Online-Banking, SMS, Internet-Banking, Login Tenor 1. Die Klage wird abgewiesen. 2. Der Kläger hat die Kosten des Rechtsstreits zu tragen. 3. Das Urteil ist vorläufig vollstreckbar. Der Kläger kann die Vollstreckung der Beklagten durch Sicherheitsleistung in Höhe von 110 % des aufgrund des Urteils vollstreckbaren Betrags abwenden, wenn nicht die Beklagte vor der Vollstreckung Sicherheit in Höhe von 110 % des zu vollstreckenden Betrags leistet. Beschluss Der Streitwert wird auf 4.444,44 festgesetzt. Tatbestand 1 Die Parteien streiten über die Erstattung einer Überweisung vom Konto des Klägers und seiner Ehefrau auf ein Auslandskonto. 2 Der Kläger und seine Ehefrau unterhalten bei der Beklagten ein Girokonto. Sie nutzten das Direct B@nking- Angebot der Beklagten zur Nutzung des Girokontos im Internet.

2 3 Am erhielt die Ehefrau des Klägers eine Phishing- , die als Absender...Vereinsbank... auswies und mitteilte, dass der Zugang zum Direct bald ablaufe, sofern keine Synchronität der SEPA-Umstellung im Zugang nicht aktualisiert werde. Es wurde aufgefordert, auf einen Link zur manuellen Aktualisierung des Zugangs zu klicken. Für den genauen Inhalt der wird auf Anlage K 3 Bezug genommen. 4 Die Ehefrau des Klägers klickte auf diesen Link und gab dort zumindest ihren Namen, ihre Kontonummer sowie ihre Festnetznummer an. Am rief eine weibliche Person die Ehefrau des Klägers an und gab sich als Mitarbeiterin der Beklagten aus; von dieser wurde die Ehefrau gebeten, sich Nummern zu notieren, und diese mit den Nummern zu vergleichen, die sie ihr sogleich in einer SMS mitgeteilt werden würden. Falls die Buchstaben/Ziffern übereinstimmen würden, sollte sie die letzte Ziffernfolge in der SMS der Anruferin mitteilen. Nach Erhalt der SMS mit dem Inhalt Die mobiletan für Ihre Überweisung von 4.444,44 EUR auf das Konto... mit BIC C... lautet: 2... teilte die Ehefrau des Klägers die Ziffernfolge 2... der Anruferin mit. 5 In der Folge wurde ein Betrag von 4.444,44 auf das Konto... mit BIC C..., Kontoinhaber... überwiesen. 6 Die Ehefrau des Klägers ließ ihr Konto am sperren und stellte am Strafanzeige gegen Unbekannt. Versuche, den Betrag von diesem Konto zurückzuerlangen, blieben ohne Erfolg. 7 Die Ehefrau des Klägers trat diesem mit Abtretungsvereinbarung vom (Anlage K 1) sämtliche Ansprüche wegen des Vorfalls am gegen die Beklagte ab. 8 Die Ehefrau des Klägers hat das Internet-B@nking der Beklagten vor dem streitgegenständlichen Vorgang mehrfach benutzt. Auf der Internetseite der Beklagten, auf die man nach dem Login verwiesen wird, waren regelmäßig verschiedene Wanrhinweise enthalten, für deren genauen Zeitraum und Inhalt auf S. 4 7 der Klageerwiderung (Bl d.a.) Bezug genommen wird. Unter anderem erfolgte im Zeitraum vom bis der Hinweis: Aktuell versuchen Betrüger, durch Telefonanrufe bei Kunden eine oder mehrere Transaktionsnummern abzufragen. Die Betrüger geben sich dabei als vermeintliche Mitarbeiter der Bank aus. Als Begründung wird eine erforderliche Kontoumstellung auf SEPA angegeben. Es sind aber auch andere Gründe vorstellbar, mit denen die Betrüger versuchen, an Transaktionsnummern zu gelangen. 9 Bitte beachten Sie in diesem Zusammenhang, dass Sie niemals von einem legitimen Mitarbeiter der Bank und auch nie von der Polizei nach der PIN oder TANs zu Ihrem Direct B@nking Zugang gefragt werden. 10 Sollten Sie einen Anruf, häufig auch mit unterdrückter Rufnummer, erhalten, bei dem Sie aufgefordert werden, Ihre PIN und/oder TANs Ihres Direct B@nking Zugangs anzugeben, handelt es sich um einen Betrugsversuch! Bitte melden Sie sich in einem solchen Fall umgehend bei unserem Onlineservice unter Rufnummer 089/ Die Beklagte hat mit ihrer Klageerwiderung vorsorglich die Aufrechnung gegen klägerische Ansprüche mit eigenen Forderungen aus dem Vorfall erklärt. 12

3 Der Kläger behauptet, seine Ehefrau habe auf der Webseite, auf die in der verlinkt worden sei, nur Angaben zu ihrem Namen, ihrer Kontonummer und ihrer Festnetznummer gemacht. 13 Der Kläger beantragt: I. Die Beklagte wird verurteilt, an den Kläger 4.444,44 zu bezahlen/zu erstatten nebst Verzugszinsen i.h.v. 5 Prozentpunkten über dem jeweiligen Basiszinssatz hieraus seit dem II. Die Beklagte wird verurteilt, vorgerichtliche Kosten des klägerischen Prozessbevollmächtigten i.h.v. 600,71 zu bezahlen nebst Verzugszinsen hieraus i.h.v. 5 Prozentpunkten über dem jeweiligen Basiszinssatz seit dem Die Beklagte beantragt, die Klage abzuweisen. 15 Die Beklagte behauptet, die Ehefrau des Klägers habe auf der Webseite, auf der mit der Phishing- verlinkt wurde, weitere Daten angegeben, insbesondere die Online-Banking-Nummer sowie die für das Log- In nötige PIN. 16 Die Beklagte ist der Ansicht, der Klägerin sei jedenfalls grobe Fahrlässigkeit an der Weitergabe der Daten vorzuwerfen, so dass ein Anspruch ausscheide. 17 Das Gericht hat Beweis erhoben durch Vernehmung der Zeugen... für das Ergebnis der Beweisaufnahme wird auf das Protokoll der mündlichen Verhandlung vom Bezug genommen. Das Gericht hat ferner Beweis erhoben durch Einholung eines Sachverständigengutachtens. Diesbezüglich wird auf das schriftliche Sachverständigengutachten des Sachverständigen... vom , auf sein Ergänzungsgutachten vom sowie hinsichtlich der mündlichen Vernehmung des Sachverständigen auf das Protokoll der mündlichen Verhandlung vom Bezug genommen. Für das weitere Vorbringen der Parteien wird auf die Protokolle der mündlichen Verhandlung vom , und , sowie auf die Schriftsätze der Parteien vom , , , , , , , , und Bezug genommen. Im Übrigen wird auf den restlichen Akteninhalt Bezug genommen. Entscheidungsgründe 18 Die zulässige Klage ist unbegründet. 19 A. Die Klage ist zulässig. Die Zuständigkeit des Gerichts ergibt sich aus 1 ff. ZPO, 23 Nr. 1 GVG (sachlich), 12, 17 I ZPO (örtlich). 20 B. Die Klage ist unbegründet. Zwar stand dem Kläger und seiner Ehefrau, bzw. nach Abtretung dem Kläger allein ein Anspruch auf Erstattung von 4.444,44 gemäß 675 u S. 2 BGB gegen die Beklagte zu, hat die Beklagte gegenüber dieser Forderung wirksam mit einem Gegenanspruch in gleicher Höhe aus 675 v II BGB aufgerechnet. I. 21

4 Dass die Überweisung vom nicht vom Kläger oder seiner Ehefrau autorisiert wurde, hat die Beklagte zwar zunächst mit Nichtwissen bestritten. Sie hat jedoch mit ihrem späteren Sachvortrag, insbesondere mit Schriftsatz vom , den Sachverhalt und das Prozedere des Phishing-Vorgangs dargelegt und damit letztlich dargelegt, dass sie an ihrem Bestreiten nicht festhält. Die Voraussetzungen des 675 u S. 2 BGB, der die Erstattung des überwiesenen Betrags vorsieht, liegen damit vor. II. 22 Der Beklagten stand in Höhe der Überweisung von 4.444,44 ein Schadensersatzanspruch aus 675 v II Nr. 1/2 BGB zu, da die Zeugin Fengler grob fahrlässig Pflichten nach 675 l BGB sowie zwischen den Parteien vereinbarte Bedingungen für die Ausgabe und Nutzung des Zahlungsauthentifizierungsinstruments verletzt hat Letztlich nicht endgültig aufzuklären ist, ob die Ehefrau des Klägers auf der Webseite, auf die sie durch die Phishing-Mail geleitet wurde, nur ihre Kontonummer, ihren Namen und ihre Festnetznummer angegeben hat, oder ob noch mehr Daten, insbesondere die PIN und die Online-Banking-Nummer, eingegeben wurden, wie die Beklagte vorträgt. Die Ehefrau hat als Zeugin ausgesagt, dass nur Kontonummer, Name und Festnetznummer von ihr angegeben wurden, der Zeuge..., dass er die entsprechende Seite, auf die verlinkt wurde, kenne, und hier mehr Informationen, insbesondere auch die PIN, angegeben werden sollten. Allein aufgrund dieser sich widersprechenden Aussagen kann sich das Gericht, dass diese Aussagen nach Richterwechsel und mit Zustimmung der Parteien im Wege des Urkundsbeweises würdigt, keine abschließende Meinung bilden. Das eingeholte Gutachten und die Vernehmung des Sachverständigen... konnte ebenso die Frage nicht klären. Es sprechen zwar gewisse Indizien, dass weitere Informationen von der Ehefrau des Klägers eingegeben worden sind denn nach den nachvollziehbaren Ausführungen des Sachverständigen ist ein Login nur mit den Informationen Kontonummer, Name und (Festnetz- )Telefonnummer gerade nicht möglich, und es bestehen keinerlei Anhaltspunkte, wie diejenigen Personen, die letztlich den Überweisungsvorgang ausgelöst haben, sonst an die für den Login nötigen Informationen gelangt sein können. Letzte Gewissheit konnte das Gericht hier aber nicht erlangen. Insbesondere besteht die fragliche Webseite nicht mehr, so dass das Gericht nicht feststellen kann, in welchem Umfang dort Daten einzutragen waren. 24 Dies kann in der Sache nach Überzeugung des Gerichts aber dahinstehen. Denn bereits die sonstigen, unstreitigen Umstände begründen eine relevante Pflichtverletzung, die auch grob fahrlässig erfolgte Eine Pflichtverletzung i.s.v. 675 v II liegt vor. 26 Einerseits liegt ein Verletzung der Pflicht nach 675 l BGB vor. Danach hat der Zahlungsdienstnutzer die Pflicht, alle zumutbaren Vorkehrungen zu treffen, um die personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen. Zum Begriff dieser Sicherheitsmerkmale gehört insbesondere auch eine TAN (vgl. Beck'scher Online-Kommentar BGB, Bamberger/Roth/Schmalenbach, 40. Edition, Stand: , 675 l BGB, Rn. 3). Unstreitig hat die Ehefrau des Klägers die TAN der Anruferin mitgeteilt hat und damit hiergegen verstoßen. 27 Hierin liegt zugleich ein Verstoß gegen vertragliche Vereinbarungen für die Nutzung des Zahlungsauthentifizierungsinstruments verstoßen, denn nach Ziff. 7 der vereinbarten Sonderbedingungen (Anlage B 3) hat der Nutzer Sorge zu tragen, dass keine andere Personen Kenntnis u.a. von einer TAN erlangt; die telefonische Weitergabe war damit unzulässig. 28

5 3. Die nach 675 v II BGB erforderliche grobe Fahrlässigkeit erfordert einen in objektiver Hinsicht schweren und in subjektiver Hinsicht schlechthin unentschuldbaren Verstoß gegen die Anforderungen der konkret erforderlichen Sorgfalt; selbst ein objektiv grober Pflichtenverstoß rechtfertigt für sich noch keinen zwingenden Schluss auf ein entsprechend gesteigertes personales Verschulden (BGH NJW 2016, 2024, 2030 f., m.w.n.). Im Rahmen der missbräuchlichen Nutzung von PIN/TAN durch einen Dritten besteht im Rahmen des Online-Bankings kein Anscheinsbeweis für eine grobe Fahrlässigkeit des Kontoinhabers; insbesondere genügt hierfür nicht die Aufzeichnung der Nutzung eines Zahlungsauthentifizierungsinstruments und die Prüfung der Authentifizierung nach 675 w S. 3 Nr. 4 BGB (BGH a.a.o.). 29 Der Ehefrau des Klägers ist indes im streitgegenständlichen Fall grobe Fahrlässigkeit vorzuwerfen. 30 a) Die Weitergabe der TAN im Telefongespräch begründet den Vorwurf der groben Fahrlässigkeit in objektiver wie subjektiver Hinsicht. 31 aa) Zwar ist teilweise umstritten, ob die Weitergabe einer Vielzahl von TANs allein den Vorwurf der groben Fahrlässigkeit begründet. Allerdings bezogen sich die bisherigen hierzu ergangenen, ersichtlichen Entscheidungen auf das itan-verfahren, in dem dem Bankkunden eine bestimmte Anzahl fester TANs vorgegeben wird, die nicht in unmittelbarem Zusammenhang mit einer konkreten Überweisung stehen. 32 Im Falle des mobiletan-verfahrens, wie es hier streitgegenständlich ist, besteht dagegen ein entscheidender Unterschied: Denn in diesem Fall wird eine TAN stets für eine konkrete Aktion, vor allem eine konkrete Überweisung erzeugt, und per SMS auf das Mobiltelefon des Kunden verschickt. Die SMS enthält aber gerade nicht nur die TAN, sondern lautet wie hier: Die mobiletan für Ihre Überweisung von 4.444,44 EUR auf das Konto... mit BIC C... lautet:.... Damit wird dem Kunden noch einmal vor Augen geführt, dass es sich nicht um eine beliebige TAN handelt, sondern auch, für welchen konkreten Vorgang diese TAN geschaffen wurde, etwa für eine Überweisung und ferner, auf welches Konto und mit welchem Betrag diese Überweisung erfolgen soll. 33 Beachtet ein Kunde diese deutlichen Hinweise nicht und und gibt die TAN sodann an einen Dritten weiter, der damit dann eine Überweisung durchführt, liegt hierin kein bloß einfach fahrlässiger Pflichtenverstoß mehr; denn in diesem Fall muss es im Allgemeinen jeden einleuchten, dass es sich um eine TAN handelt, deren Weitergabe nach 675 l BGB wie auch nach den vertraglichen Bedingungen nicht zulässig ist und die die Gefahr mit sich bringt, eine missbräuchliche Überweisung auszulösen. 34 bb) Auch in subjektiver Hinsicht liegen die Anforderungen für grobe Fahrlässigkeit vor. Dies ergibt sich aus mehreren Umständen: - Die Ehefrau des Klägers hatte das Online-Banking-Angebot der Beklagten bereits seit längerer Zeit genutzt. Wie von der Beklagten vorgetragen und von der Klägerin auch nicht bestritten worden ist, hat die Ehefrau des Klägers vor dem streitgegenständlichen Vorfall das Internet-B@nking der Beklagten bereits benutzt, etwa allein 18-mal zwischen dem bis (wobei die Beklagte hier wohl den bis meinte, da sie zugleich darlegte, dass der Zeitraum vor dem Vorfall liegen sollte). Jedenfalls ist unstreitig, dass sie vor dem Vorfall das Online-Banking-Angebot der Beklagten vielfach genutzt hat. Im Gegensatz zu Erstnutzern ist ihr daher eine gewisse Erfahrung damit zu unterstellen. - Dies hat sich damit zum Ausdruck gebracht, dass sie vorgerichtlich wie auch im Rahmen ihrer Zeugenvernehmung selbst vorgetragen hat, dass ihr aufgefallen ist, dass die von ihr während des Telefonats am erhaltene SMS genau so aussieht wie eine bei Überweisungen übliche TAN-

6 Mitteilung. Aufgrund dieser Erkenntnis hat sie bei der Anruferin nach eigener Aussage in ihrer Zeugenvernehmung nachgefragt, ob sie im Online-Banking online sein müsste. Sie hat sich mit der Erklärung zufrieden gegeben, dass die Aktivierungscodes so verschickt werden würden. 35 Dies allein rechtfertigt nach Ansicht des Gerichts den Vorwurf grober Fahrlässigkeit; denn nach der Erkenntnis, dass die SMS einer TAN-SMS für eine Überweisung gleicht, hätte sie in höchstem Maße misstrauisch werden müssen. Selbst wenn man zu Gunsten der Ehefrau des Klägers unterstellen würde, dass sie, wie sie behauptet, auf der Phishing-Webseite keine Daten preis gegeben hat, die den Login auf ihr Online-Banking-Konto ermöglichen würden, hätten aufgrund des Inhalts der SMS alle Warnsignale bei ihr anspringen müssen. Mit der Erklärung, dass Aktivierungscodes immer so verschickt würden, hätte sie sich nicht zufrieden geben dürfen; denn diese Erklärung war offensichtlich fadenscheinig und durchschaubar: Dass die Beklagte als bekanntermaßen eine der größten Banken Deutschlands SMS nicht auf den jeweiligen Zweck anpasst oder anpassen kann, erscheint ausgeschlossen und hätte auch der Beklagten sofort auffallen müssen. - Die Beklagte hat nicht zuletzt auf ihrer Webseite mehrfach vor Phishing-Angriffen gewarnt. Es erfolgten mehrfache und vielfältige Warnhinweise bei jedem Login, unter anderem im Zeitraum vom bis ein Hinweis auf die Methode des betrügerischen Anrufs, wie er hier erfolgt ist. Da die Ehefrau des Klägers genau auch in diesem Zeitraum mehrfach das Online-Angebot der Beklagten nutzte, hätte sie die entsprechenden Warnhinweise erkennen und beachten müssen Die Beklagte hat bereits mit Schriftsatz vom die Aufrechnung vorsorglich erklärt Da der Kläger und seine Ehefrau das Konto gemeinschaftlich innehaben, konnte die Beklagte mit ihrem Anspruch auch gegen Ansprüche des Klägers aufrechnen. 38 C. Die Kostenentscheidung beruht auf 91 I 1 ZPO, die Entscheidung über die vorläufige Vollstreckbarkeit auf 708 Nr. 11, 711, 709 S. 2 ZPO. 39 D. Die Streitwertfestsetzung beruht auf 39 ff., 48 I 1 GKG, 3 ff. ZPO.