Gestohlene EC-Karte: Bank muss nicht haftenBGH zur Haftung der Bank bei EC-Karten-Missbrauch

Der für das Bankrecht zuständige XI. Zivilsenat des Bundes­ge­richtshofs hatte darüber zu entscheiden, ob in Fällen, in denen mit einer gestohlenen ec-Karte an Geldaus­ga­be­au­tomaten unter Verwendung der zutreffenden Geheimnummer Geld abgehoben wurde, bei Anwendung des seit 1997/1998 eingeführten PIN-Schlüssels der Sparkas­sen­or­ga­ni­sation in einer Breite von 128 BIT der Beweis des ersten Anscheins dafür spricht, daß der Dieb von der Geheimnummer nur wegen ihrer Verwahrung gemeinsam mit der ec-Karte Kenntnis erlangen konnte.

Die Klägerin unterhielt bei der beklagten Sparkasse ein Girokonto. Für dieses erteilte die Beklagte der Klägerin im November 1999 eine ec-Karte und eine persönliche Geheimnummer (PIN). Mit der ec-Karte der Klägerin wurden an Geldaus­ga­be­au­tomaten zweier Sparkassen unter Eingabe der richtigen PIN am 23. September 2000 gegen 17.30 Uhr zweimal 500 DM und am Morgen des folgenden Tages 1.000 DM abgehoben. Die Beklagte belastete das Girokonto der Klägerin mit den abgehobenen Beträgen. Die Klägerin hat zur Begründung ihrer auf Zahlung von 2.000 DM gerichteten Klage geltend gemacht, ihr seien am 23. September 2000 zwischen 15.00 Uhr und 17.00 Uhr auf einem Stadtfest ihr Portemonnaie und die darin befindliche ec-Karte entwendet worden. Der Dieb müsse die persönliche Geheimzahl, die nirgendwo schriftlich notiert gewesen sei, entschlüsselt oder Mängel des Sicher­heits­systems der Beklagten ausgenutzt haben. Das Amtsgericht hat der Klage stattgegeben, das Landgericht hat sie abgewiesen.

Der Bundes­ge­richtshof hat die Entscheidung des Landgerichts bestätigt und die Revision der Klägerin zurückgewiesen.

Die Beklagte hat das Konto der Klägerin zu Recht mit den abgehobenen Beträgen belastet. Das Berufungs­gericht hat zwar festgestellt, daß die Geldabhebungen durch einen unbefugten Dritten, nämlich den Dieb oder einen Komplizen, erfolgten. Die Klägerin haftet aber für die durch die mißbräuchliche Verwendung ihrer ec-Karte entstandenen Schäden, weil diese auf einer grob fahrlässigen Verletzung ihrer Sorgfalts- und Mitwir­kungs­pflichten beruhen. Das Berufungs­gericht hat zutreffend angenommen, zugunsten der hierfür beweis­pflichtigen Beklagten spreche der Beweis des ersten Anscheins, daß die Klägerin ihre Pflicht zur Geheimhaltung der persönlichen Geheimzahl verletzt habe, indem sie diese auf der ec-Karte vermerkt oder zusammen mit der ec-Karte verwahrt habe. Ein solches Verhalten stellt nach der Rechtsprechung des Senats eine grobe Fahrlässigkeit des Karteninhabers dar.

Die Grundsätze über den Beweis des ersten Anscheins greifen nur bei typischen Gesche­hens­a­b­läufen ein, d. h. in Fällen, in denen ein bestimmter Sachverhalt feststeht, der nach allgemeiner Lebenserfahrung auf eine bestimmte Ursache oder auf einen bestimmten Ablauf als maßgeblich für den Eintritt eines bestimmten Erfolges hinweist. Spricht ein Anscheinsbeweis für einen bestimmten Ursachenverlauf, kann der Inanspruch­ge­nommene diesen entkräften, indem er Tatsachen darlegt und gegebenenfalls beweist, aus denen sich die ernsthafte, ebenfalls in Betracht kommende Möglichkeit einer anderen Ursache ergibt.

Nach diesen Maßstäben streitet in einem Fall der vorliegenden Art der Beweis des ersten Anscheins für ein grob fahrlässiges Verhalten des Karteninhabers im Zusammenhang mit der Geheimhaltung seiner persönlichen Geheimzahl. Das Berufungs­gericht hat sachverständig beraten festgestellt, es sei mathematisch ausgeschlossen, die PIN einzelner Karten aus den auf ihnen vorhandenen Daten ohne vorherige Erlangung des zur Verschlüsselung verwendeten Insti­tuts­sch­lüssels zu errechnen. Daß die Eingabe der zutreffenden PIN durch den Dieb der ec-Karte hier dadurch ermöglicht wurde, daß dieser zuvor die persönliche Geheimzahl des Karteninhabers bei Abhebungen an Geldaus­ga­be­au­tomaten ausgespäht hat, war nicht hinreichend dargetan. Ohne Rechtsfehler hat das Berufungs­gericht ferner sogenannten „Innen­tä­te­r­at­tacken“, d. h. Angriffen von Bankmi­t­a­r­beitern, etwa zur Ausspähung des der Verschlüsselung dienenden Insti­tuts­sch­lüssels, Angriffen gegen die im Rechenzentrum des Kreditinstituts im Umfeld der Trans­ak­ti­o­ns­au­to­ri­sierung ablaufende Software und unbeab­sich­tigten Sicher­heits­lücken dieser Software keine einem Anscheinsbeweis entge­gen­stehende Wahrschein­lichkeit zugemessen. Zugleich hat der Bundes­ge­richtshof aber deutlich gemacht, daß karte­n­aus­gebende Kreditinstitute verpflichtet sein können, in Zivilprozessen der vorliegenden Art (im Rahmen berechtigter Geheim­hal­tungs­in­teressen) nähere Angaben über die von ihnen getroffenen Sicher­heits­vor­keh­rungen zu machen, um gegebenenfalls auch deren Überprüfung durch Sachverständige zu ermöglichen.