Bank erhält 70 Prozent Mitschuld nach Phishing-Attacke auf Onlinebanking-KundenKreditinstitut verwendete überholtes TAN-System anstatt des neueren iTan-Verfahrens

Die Klägerin im vorliegenden Fall machte Ansprüche gegenüber ihrer Bank auf Rückzahlung eines auf ein fremdes Konto überwiesenen Geldbetrages geltend. Die Klägerin behauptete, Opfer einer sogenannten Phishing - Attacke geworden zu sein, als sie an ihrem PC Überweisungen über das Onlinebanking habe vornehmen wollen.

Herausgabe der TAN-Nummern sieht Bank als grob fahrlässige Handlung

Nach Eingabe ihrer PIN habe sich ein weiteres Fenster geöffnet, das äußerlich der Internetseite der Bank der Klägerin entsprochen habe und in welchem darauf hingewiesen worden sei, dass die Anmeldung fehlgeschlagen sei und sie vier noch unverbrauchte Trans­ak­ti­o­ns­nummer (TAN) einzugeben habe. Dem sei die Klägerin nachgekommen. Am nächsten Tag wären vom Konto der Klägerin Überweisungen an ihr unbekannte Personen in einer Gesamthöhe von 14.500,00 EUR vorgenommen worden. Die Bank erklärte, dass die Klägerin einen Hinweis nicht beachtet habe, in welchem ausdrücklich vor Angriffen dieser Art gewarnt worden sei und betrachtete die Herausgabe von vier TAN Nummern als grob fahrlässige Handlung.

Die von Dritten veranlassten Überweisungen können der Klägerin nicht zugerechnet werden

Das Kammergericht Berlin kam zu dem Schluss, dass die Klägerin gegenüber der Bank einen Anspruch auf Zahlung aus dem zwischen den Parteien bestehenden Girover­trags­ver­hältnis habe. Die streit­be­fangenen Überweisungen seien ohne zurechenbare Anwei­sungs­er­klärung der Klägerin erfolgt, in diesem Fall stehe der Bank kein Aufwen­dungs­er­satz­an­spruch nach §§ 675, 670 BGB zu, so dass das Konto der Klägerin zu Unrecht belastet worden sei und diese Belastung daher durch die Bank rückgängig gemacht werden müsse. Die von Dritten veranlassten Überweisungen könnten der Klägerin nach Auffassung des Gerichts nicht über die Regeln der Anscheins­vollmacht zugerechnet werden. Zwar würden diese Grundsätze Anwendung finden, wenn ein Kunde seine Zugangsdaten an einen Dritten weitergebe, jedoch müsse ein solcher Rechtsschein schuldhaft gesetzt worden sein, wovon dann nicht ausgegangen werden kann, wenn die Daten durch Ausspähen mittels bösartiger Software erlangt würden.

Bankkunde muss auf objektiv begründete Verdachts­momente angemessen reagieren

Die Klägerin habe jedoch ihre eigene Pflicht zur Geheimhaltung ihrer Zugangsdaten schuldhaft verletzt, indem sie der Aufforderung zur Eingabe von vier TAN-Nummern nachgekommen sei. Diese Pflicht beinhalte nicht nur die sichere Verwahrung von Notizen dieser Zugangsdaten, sondern auch eine angemessene Reaktion auf objektiv begründete Verdachts­momente. Ignoriere der Bankkunde solche Anzeichen, liege darin eine Pflicht­ver­letzung. Zumindest die Abfrage mehrerer TAN zu diesem Zwecke hätte als unüblich angesehen werden müssen. Die Klägerin selbst habe bestätigt, dass sie eine solche Aufforderung zur Legitimation auf der Internetseite der Beklagten bis dahin noch nie erhalten habe. Dass die gefälschte Internetseite, auf welche die Klägerin geleitet worden sei, die der tatsächlichen Internetseite der Bank täuschend ähnlich gesehen habe, stelle keinen ausreichenden Grund dar, die aufgezeigten Verdachts­momente zu ignorieren. Von einem durch­schnitt­lichen Nutzer könne erwartet werden, dass er zumindest eine allgemeine Kenntnis von den Gefahren durch Manipulationen von Banken - und Kundensoftware habe, so dass er bei Auftreten von konkreten Verdachts­mo­menten auch dann angemessen reagiere.

Bank hat überholtes TAN-System verwendet und erhält damit 70 Prozent Mitschuld

Bei Abwägung der verschiedenen Verschul­den­santeile der Parteien ergebe sich ein überwiegendes Mitverschulden der Bank, das mit 70 Prozent zu bewerten sei. Hierbei wäre insbesondere zu berücksichtigen, dass zum Zeitpunkt der schädigenden Handlung das von der Bank verwendete TAN-System als überholt anzusehen gewesen sei und der Missbrauch der erlangten TAN mit dem neueren iTan-System nicht möglich gewesen wäre.