Die Digitalisierung des Bankwesens bringt für Verbraucher zahlreiche Vorteile mit sich. Überweisungen lassen sich innerhalb weniger Sekunden durchführen, Kontostände sind jederzeit abrufbar und moderne TAN-Verfahren sollen für zusätzliche Sicherheit sorgen. Doch mit der technischen Entwicklung wächst auch die Kreativität von Betrügern. Immer häufiger werden Bankkunden Opfer professioneller Phishing-Angriffe, bei denen Kriminelle versuchen, Zugangsdaten und Sicherheitscodes zu erlangen.
Ein aktuelles Urteil des Oberlandesgerichts Koblenz zeigt nun, dass Banken nicht automatisch von ihrer Haftung befreit sind, wenn Kunden Opfer solcher Angriffe werden. Die Richter verpflichteten eine Bank dazu, mehr als 56.000 Euro an betroffene Kunden zurückzuzahlen. Das Urteil könnte für zahlreiche Verbraucher von erheblicher Bedeutung sein.
Professioneller Betrug während einer Systemumstellung
Dem Verfahren lag ein Fall zugrunde, der sich im Zusammenhang mit der Umstellung eines TAN-Verfahrens ereignete. Die betroffenen Kunden nutzten das Online-Banking ihrer Bank und befanden sich gerade in der Umstellung vom Chip-TAN- auf das Push-TAN-System.
Zwischen dem 22. und 25. Juli 2022 wurden mehrere Echtzeitüberweisungen ins Ausland durchgeführt. Insgesamt verschwanden 56.099,91 Euro von zwei Konten der Kunden.
Die Kontoinhaber bestritten jedoch von Anfang an, die Überweisungen selbst autorisiert oder Sicherheitsdaten an Dritte weitergegeben zu haben. Vielmehr deuteten zahlreiche Umstände auf einen professionell organisierten Betrugsfall hin. So sollen die Täter unter einer vermeintlichen Telefonnummer der Bank Kontakt aufgenommen haben. Gleichzeitig fanden technische Vorgänge rund um die Aktivierung des neuen TAN-Verfahrens statt, die den Betrügern offenbar in die Hände spielten.
Landgericht sah zunächst Kunden in der Verantwortung
In erster Instanz vor dem Landgericht Koblenz hatten die Kunden zunächst keinen Erfolg. Zwar erkannte auch das Gericht an, dass die Überweisungen nicht von den Kontoinhabern autorisiert worden waren. Dennoch ging das Landgericht davon aus, dass die Kunden grob fahrlässig gehandelt hätten.
Nach Auffassung der ersten Instanz sollte die Bank deshalb nicht für den entstandenen Schaden haften müssen.
Für die Betroffenen wäre dies ein schwerer Schlag gewesen. Denn im Online-Banking berufen sich Banken häufig auf den Vorwurf der groben Fahrlässigkeit, um eine Erstattung abzulehnen. Wer beispielsweise TAN-Nummern leichtfertig weitergibt oder offensichtliche Warnhinweise ignoriert, kann tatsächlich seinen Erstattungsanspruch verlieren.
Oberlandesgericht korrigiert die Vorinstanz
Das Oberlandesgericht Koblenz bewertete den Fall jedoch grundlegend anders.
Die Richter stellten klar, dass die Bank die volle Darlegungs- und Beweislast für eine angeblich grobe Fahrlässigkeit der Kunden trägt. Es reiche nicht aus, lediglich Vermutungen anzustellen oder theoretische Abläufe zu skizzieren.
Vielmehr müsse konkret nachgewiesen werden, welches Verhalten der Kunden die Sicherheitsstandards in besonders schwerwiegender Weise verletzt habe.
Genau daran scheiterte die Bank.
Das Gericht konnte nicht feststellen, dass die Kontoinhaber tatsächlich Sicherheitscodes an die Täter weitergegeben oder anderweitig grob fahrlässig gehandelt hatten. Mangels eines solchen Nachweises seien die Voraussetzungen für eine Haftung der Kunden nicht erfüllt.
Die Folge: Die Bank wurde verpflichtet, den vollständigen Betrag von 56.099,91 Euro wieder gutzuschreiben.
Zusätzlich müssen die Kunden auch ihre vorgerichtlichen Rechtsanwaltskosten in Höhe von mehr als 3.100 Euro ersetzt bekommen.
Sachverständiger entkräftet zentrale Argumentation der Bank
Besonders wichtig war im Verfahren ein technisches Sachverständigengutachten.
Die Bank hatte argumentiert, die Kunden müssten einen entscheidenden Freischaltcode selbst an die Betrüger übermittelt haben. Anders sei der Angriff nicht erklärbar.
Der Sachverständige kam jedoch zu einem anderen Ergebnis.
Nach seinen Feststellungen war es technisch durchaus möglich, dass der betreffende Code gar nicht auf dem Gerät der Kunden angezeigt wurde. Stattdessen könne er unmittelbar innerhalb der Push-TAN-Anwendung auf einem Gerät der Täter erschienen sein.
Damit brach die zentrale Argumentationslinie der Bank zusammen.
Für das Gericht blieb letztlich offen, wie genau die Täter vorgegangen waren. Entscheidend war jedoch, dass die Bank nicht beweisen konnte, dass die Kunden einen schwerwiegenden Fehler begangen hatten.
Signalwirkung für Verbraucher
Das Urteil dürfte weit über den konkreten Einzelfall hinaus Bedeutung haben.
Immer häufiger sehen sich Bankkunden nach Phishing-Angriffen mit dem Vorwurf konfrontiert, sie hätten selbst fahrlässig gehandelt. Viele Betroffene geben daraufhin vorschnell auf oder akzeptieren die Ablehnung ihrer Bank.
Die Entscheidung des OLG Koblenz macht jedoch deutlich, dass Banken konkrete Beweise vorlegen müssen. Bloße Vermutungen reichen nicht aus.
Gerade bei technisch komplexen Betrugsmethoden lässt sich häufig nicht eindeutig feststellen, wie die Täter vorgegangen sind. Dieses Risiko darf nicht automatisch auf die Kunden abgewälzt werden.
Was Betroffene nach einem Phishing-Angriff tun sollten
Wer unberechtigte Abbuchungen auf seinem Konto entdeckt, sollte unverzüglich handeln.
Experten empfehlen, das Online-Banking sofort sperren zu lassen und die Bank schriftlich zur Rückerstattung aufzufordern. Zudem sollten Strafanzeige erstattet und sämtliche Beweise gesichert werden. Dazu gehören insbesondere E-Mails, SMS, Anruflisten, Screenshots und sonstige Kommunikationsdaten.
Ebenso wichtig ist es, keine vorschnellen Schuldeingeständnisse gegenüber der Bank abzugeben. Ob tatsächlich grobe Fahrlässigkeit vorliegt, hängt stets von den konkreten Umständen des Einzelfalls ab.
Verbraucherschutz im digitalen Zeitalter
Das Urteil des Oberlandesgerichts Koblenz verdeutlicht die Herausforderungen des modernen Zahlungsverkehrs. Während Banken immer stärker auf digitale Prozesse setzen, steigen gleichzeitig die Risiken durch Cyberkriminalität.
Die Entscheidung stärkt die Rechte von Verbrauchern und erinnert daran, dass Banken hohe Anforderungen erfüllen müssen, wenn sie ihren Kunden grobe Fahrlässigkeit vorwerfen wollen.
Für viele Betroffene von Phishing-Angriffen könnte das Urteil daher ein wichtiges Signal sein: Nicht jeder erfolgreiche Betrugsangriff bedeutet automatisch, dass der Kunde am Ende auf dem Schaden sitzen bleibt.
