Bei missbräuch­licher Nutzung des Online-Bankings spricht Beweis des ersten Anscheins nicht für grob fahrlässiges Verhalten des KontoinhabersBGH zu Beweis­grund­sätzen bei streitigen Zahlungs­auf­trägen im Online-Banking

Die beklagte GmbH des zugrunde liegenden Verfahrens unterhielt bei der klagenden Sparkasse u.a. ein Geschäfts­gi­rokonto, mit dem sie seit März 2011 am Online-Banking teilnahm. Der Geschäftsführer der Beklagten erhielt dazu eine persönliche Identi­fi­ka­ti­o­ns­nummer (PIN), mit der er u.a. auf das Geschäfts­gi­rokonto zugreifen konnte. Zur Freigabe einzelner Zahlungs­vorgänge wurde das smsTAN-Verfahren (Übermittlung der Trans­ak­ti­o­ns­nummer durch SMS) über eine Mobilfunknummer des Geschäfts­führers der Beklagten vereinbart. Nachdem es zu Störungen im Online-Banking-System der Klägerin gekommen war, wurden am 15. Juli 2011 aus nicht geklärten Umständen dem Geschäftskonto der Beklagten fehlerhaft Beträge von 47.498,95 Euro und 191.576,25 Euro gutgeschrieben. Die Klägerin veranlasste am 15. und 17. Juli 2011 entsprechende Stornierungen, die aufgrund des Wochenendes erst am Montag, dem 18. Juli 2011, ausgeführt wurden. Am Freitag, dem 15. Juli 2011, um 23.29 Uhr wurde unter Verwendung der zutreffenden PIN und einer gültigen smsTAN eine Überweisung von 235.000 Euro vom Konto der Beklagten zugunsten des Streithelfers der Klägerin - eines Rechtsanwalts - in das Online-Banking-System der Klägerin eingegeben. Die Überweisung wurde am Montagmorgen, dem 18. Juli 2011, mit dem ersten Buchungslauf ausgeführt. Da zeitgleich die fehlerhaften Gutschriften berichtigt wurden, ergab sich ein Sollbetrag auf dem Geschäftskonto der Beklagten.

Klage in den Vorinstanzen erfolgreich

Nachdem die Klägerin die Beklagte erfolglos zum Ausgleich des Kontos aufgefordert hatte, kündigte sie die Geschäfts­be­ziehung fristlos und fordert mit der vorliegenden Klage den Schlusssaldo von 236.422,14 Euro nebst Zinsen. Sie hatte in beiden Tatsa­chen­in­stanzen Erfolg.

BGH weist Verfahren zurück an das Berufungs­gericht

Der Bundes­ge­richtshof hat auf die Revision der Beklagten das Berufungsurteil aufgehoben und die Sache zur erneuten Verhandlung und Entscheidung an das Berufungs­gericht zurückverwiesen. Dabei waren im Wesentlichen folgende Überlegungen maßgeblich:

Bank muss Verwendung eines Zahlungs­au­then­ti­fi­zie­rungs­in­struments nachweisen können

Ist die Zustimmung (Autorisierung) des Kontoinhabers zu einem Zahlungsvorgang strittig, hat das ausführende Kreditinstitut (Zahlungs­dienst­leister) bei Verwendung eines Zahlungs­au­then­ti­fi­zie­rungs­in­struments (hier das Online-Banking-Verfahren) nach § 675 w Satz 2 BGB nachzuweisen, dass dieses einschließlich seiner perso­na­li­sierten Sicher­heits­merkmale (hier: PIN und smsTAN) genutzt und dies mithilfe eines Verfahrens überprüft worden ist. Diesen Nachweis hat die klagende Bank nach den bindenden Feststellungen des Berufungs­ge­richts geführt. Dies genügt aber nach § 675 w Satz 3 BGB* "nicht notwen­di­gerweise", um den dem Zahlungs­dienst­leister obliegenden Beweis der Autorisierung des Zahlungs­vor­ganges durch den Zahlungs­dienst­nutzer (hier: Kontoinhaberin) zu führen. Das schließt nicht aus, dass sich der Zahlungs­dienst­leister auf einen Anscheinsbeweis berufen kann. Dem Wortlaut des § 675 w Satz 3 BGB ist nämlich genügt, da die Grundsätze des Anscheins­be­weises weder eine zwingende Beweisregel noch eine Beweisvermutung begründen.

Sicherheit des eingesetzten Authen­ti­fi­zie­rungs­ver­fahrens ist Voraussetzung für Berufen auf Anscheinsbeweis

Voraussetzung für die Anwendung der Grundsätze des Anscheins­be­weises auf die Autorisierung eines Zahlungs­vorgangs bei Verwendung eines Zahlungs­au­then­ti­fi­zie­rungs­in­struments ist aber die allgemeine praktische Sicherheit des eingesetzten Authen­ti­fi­zie­rungs­ver­fahrens und dessen Einhaltung im konkreten Einzelfall. Zudem bedarf die Erschütterung des Anscheins­be­weises nicht zwingend der Behauptung und ggf. des Nachweises technischer Fehler des dokumentierten Authen­ti­fi­zie­rungs­ver­fahrens durch den Kontoinhaber.

Berufungs­gericht verkennt notwendige Feststellungen zur praktischen Unüber­wind­barkeit des eingesetzten Siche­rungs­systems

Trotz allgemein bekannt gewordener, erfolgreicher Angriffe auf Sicher­heits­systeme des Online-Bankings fehlt nach Auffassung des Bundes­ge­richtshofs nicht in jedem Fall eine Grundlage für die Anwendung des Anscheins­be­weises, da entsprechende Erkenntnisse nicht zu allen im Online-Banking genutzten Authen­ti­fi­zie­rungs­ver­fahren vorliegen. Diese Voraussetzungen hat das Berufungs­gericht verkannt und die notwendigen Feststellungen zur praktischen Unüber­wind­barkeit des konkret eingesetzten Siche­rungs­systems sowie zu den zur Erschütterung eines eventuell eingreifenden Anscheins­be­weises vorgetragenen Umständen nicht getroffen, weshalb das Berufungsurteil aufzuheben war.

Grundsätze der Anscheins­vollmacht finden zulasten der Beklagten keine Anwendung

Das Urteil des Berufungs­ge­richts stellt sich auch nicht aus anderen Gründen als zutreffend dar.

Die Grundsätze der Anscheins­vollmacht finden zulasten der Beklagten keine Anwendung. Es fehlt jedenfalls an einer Erkennbarkeit des Handelns des vermeintlichen Vertreters durch den Zahlungs­dienst­leister sowie bei einem einmaligen Missbrauchsfall im Online-Banking an der erforderlichen Dauer und Häufigkeit des Handelns des Schein­ver­treters.

Anscheinsbeweis für eine grob fahrlässige Pflicht­ver­letzung nicht gegeben

Auch ein Anscheinsbeweis für eine grob fahrlässige Verletzung einer Pflicht aus § 675 l BGB** durch die Beklagte und damit ein Anspruch der Klägerin aus § 675 v Abs. 2 BGB*** scheiden auf Grundlage der bisherigen Feststellungen aus. Im Falle des Missbrauchs des Online-Bankings besteht angesichts der zahlreichen Authen­ti­fi­zie­rungs­ver­fahren, Siche­rungs­konzepte, Angriffe und daran anknüpfender denkbarer Pflicht­ver­let­zungen des Nutzers kein Erfahrungssatz, der auf ein bestimmtes typisches Fehlverhalten des Zahlungs­dienst­nutzers hinweist.

* § 675 w BGB

Nachweis der Authen­ti­fi­zierung

Ist die Autorisierung eines ausgeführten Zahlungs­vorgangs streitig, hat der Zahlungs­dienst­leister nachzuweisen, dass eine Authen­ti­fi­zierung erfolgt ist und der Zahlungsvorgang ordnungsgemäß aufgezeichnet, verbucht sowie nicht durch eine Störung beeinträchtigt wurde. Eine Authen­ti­fi­zierung ist erfolgt, wenn der Zahlungs­dienst­leister die Nutzung eines bestimmten Zahlungs­au­then­ti­fi­zie­rungs­in­struments, einschließlich seiner perso­na­li­sierten Sicher­heits­merkmale, mit Hilfe eines Verfahrens überprüft hat. Wurde der Zahlungsvorgang mittels eines Zahlungs­au­then­ti­fi­zie­rungs­in­struments ausgelöst, reicht die Aufzeichnung der Nutzung des Zahlungs­au­then­ti­fi­zie­rungs­in­struments einschließlich der Authen­ti­fi­zierung durch den Zahlungs­dienst­leister allein nicht notwen­di­gerweise aus, um nachzuweisen, dass der Zahler

1. den Zahlungsvorgang autorisiert,

2. in betrügerischer Absicht gehandelt,

3. eine oder mehrere Pflichten gemäß § 675 l verletzt oder

4. vorsätzlich oder grob fahrlässig gegen eine oder mehrere Bedingungen für die Ausgabe und Nutzung des Zahlungs­au­then­ti­fi­zie­rungs­in­struments verstoßen hat.

** § 675 l BGB

Pflichten des Zahlers in Bezug auf Zahlungs­au­then­ti­fi­zie­rungs­in­strumente

Der Zahler ist verpflichtet, unmittelbar nach Erhalt eines Zahlungs­au­then­ti­fi­zie­rungs­in­struments alle zumutbaren Vorkehrungen zu treffen, um die perso­na­li­sierten Sicher­heits­merkmale vor unbefugtem Zugriff zu schützen. Er hat dem Zahlungs­dienst­leister oder einer von diesem benannten Stelle den Verlust, den Diebstahl, die missbräuchliche Verwendung oder die sonstige nicht autorisierte Nutzung eines Zahlungs­au­then­ti­fi­zie­rungs­in­struments unverzüglich anzuzeigen, nachdem er hiervon Kenntnis erlangt hat.

*** § 675 v BGB

Haftung des Zahlers bei missbräuch­licher Nutzung eines Zahlungs­au­then­ti­fi­zie­rungs­in­struments

[...]

(2) Der Zahler ist seinem Zahlungs­dienst­leister zum Ersatz des gesamten Schadens verpflichtet, der infolge eines nicht autorisierten Zahlungs­vorgangs entstanden ist, wenn er ihn in betrügerischer Absicht ermöglicht hat oder durch vorsätzliche oder grob fahrlässige Verletzung

1. einer oder mehrerer Pflichten gemäß § 675 l oder

2. einer oder mehrerer vereinbarter Bedingungen für die Ausgabe und Nutzung des Zahlungs­au­then­ti­fi­zie­rungs­in­struments herbeigeführt hat.

[...]