Erstattungsansprüche nach einem Phishing-Angriff

Phishing-Angriff: Erstattungsanspruch scheitert an grober Fahrlässigkeit des Klägers

Das Urteil des LG Lübeck Az.: 3 O 83/23 befasst sich mit einem Fall von Erstattungsansprüchen nach einem Phishing-Angriff beim Online-Banking. Die Klage des Geschädigten wurde abgewiesen, da das Gericht zu dem Schluss kam, dass der Kläger grob fahrlässig gehandelt habe, indem er die Auftragsdaten nicht überprüft und mehrere Warnhinweise ignoriert hatte. Zudem wurde festgestellt, dass die Bank die erforderliche starke Kundenauthentifizierung angefordert hatte.

Weiter zum vorliegenden Urteil Az.: 3 O 83/23 >>>

Phishing-Angriffe und Erstattungsansprüche gegen Banken

Phishing-Angriffe stellen eine ernsthafte Bedrohung für Bankkunden dar, die Opfer solcher Betrugsversuche werden. In solchen Fällen können Betroffene möglicherweise Erstattungsansprüche gegen ihre Bank geltend machen. Diese Ansprüche ergeben sich aus § 675 u BGB. Die Haftung des Bankkunden für die missbräuchliche Nutzung eines Zahlungsinstruments ist gemäß § 675 v Abs. 1 BGB auf 50,- € beschränkt.

Banken weigern sich jedoch häufig, die Erstattung nach einem Phishing-Angriff vorzunehmen. In solchen Fällen ist es ratsam, sich an einen spezialisierten Anwalt zu wenden, um die Durchsetzung von Erstattungsansprüchen zu unterstützen. Es ist wichtig, dass Betroffene nach einem Phishing-Angriff schnell handeln und sich an einen spezialisierten Anwalt wenden, um ihre Erstattungsansprüche durchzusetzen. In einigen Fällen können Banken jedoch von der Erstattungspflicht befreit sein, wenn der Bankkunde in betrügerischer Absicht gehandelt hat oder die Abbuchung durch sein Verschulden ermöglicht wurde.

Der Phishing-Fall vor dem LG Lübeck: Eine digitale Falle mit rechtlichen Folgen

In einem bemerkenswerten Fall vor dem Landgericht Lübeck standen Erstattungsansprüche nach einem Phishing-Angriff im Mittelpunkt. Der Kläger, ein Nutzer des Online-Banking-Services seiner Bank, fiel einem ausgeklügelten Betrug zum Opfer, der seine finanzielle Sicherheit bedrohte. Das Gericht mit dem Aktenzeichen 3 O 83/23 musste über komplexe Fragen der Haftung und der Verantwortlichkeit in der digitalen Bankenwelt entscheiden.

Wie der Betrug abgelaufen ist: Eine detaillierte Betrachtung

Das Opfer des Phishing-Angriffs war der Inhaber eines Girokontos bei der beklagten Bank, wobei Zahlungsaufträge üblicherweise über eine TAN-App auf seinem Smartphone freigegeben wurden. Die Betrüger lockten ihn zunächst auf eine gefälschte Webseite, die der echten Bankseite täuschend ähnlich sah. Hier wurde er aufgefordert, persönliche Daten einzugeben, was ihm zunächst merkwürdig vorkam. Trotz seiner Bedenken führte er die Anweisungen aus, nachdem auch ein zweiter Versuch über sein Smartphone zu demselben Ergebnis führte. Die Situation eskalierte, als er von einer vermeintlichen Mitarbeiterin der Bank kontaktiert wurde, die ihn durch einen Prozess führte, der schlussendlich zu nicht autorisierten Überweisungen in erheblicher Höhe führte.

Die rechtliche Auseinandersetzung: Phishing und die Folgen

Die Kernfrage des Rechtsstreits drehte sich um die Erstattungsansprüche des Klägers für die durch den Phishing-Angriff verlorenen Gelder. Der Kläger argumentierte, dass er lediglich einer Überweisung von 1 Euro zugestimmt habe und für die weiteren Transaktionen keine Autorisierung erteilt habe. Die Bank und das Gericht mussten die Sicherheitsvorkehrungen und die Rolle des Klägers bei der Freigabe der Transaktionen bewerten. Die Bank verwies auf ihre Online-Banking-Bedingungen, die eine Überprüfung der Auftragsdaten vor Freigabe durch den Nutzer fordern.

Urteil und Begründung: Ein klares Statement zur Sorgfaltspflicht

Das LG Lübeck wies die Klage ab und entschied, dass dem Kläger keine Erstattungsansprüche zustehen. Die Entscheidung gründete auf der Feststellung, dass der Kläger grob fahrlässig gehandelt habe, indem er die Auftragsdaten nicht überprüfte und Warnsignale ignorierte. Besonders hervorgehoben wurde, dass der Kläger die offensichtlichen Risiken und Unstimmigkeiten des Vorgangs – wie die ungewöhnliche Aufforderung zur Dateneingabe und den Anruf zu unüblicher Zeit – hätte erkennen und dementsprechend vorsichtig handeln müssen. Das Gericht betonte auch, dass die Bank ihrer Pflicht zur starken Kundenauthentifizierung nachgekommen sei, was die Anforderungen an die Sorgfaltspflicht des Klägers noch erhöhte.

Fazit: Ein Fall von hoher Relevanz

Das Urteil unterstreicht die Bedeutung der Eigenverantwortung beim Online-Banking. Nutzer müssen aufmerksam sein und die Sicherheitshinweise ihrer Banken beachten. Gleichzeitig zeigt der Fall, dass Banken in der Pflicht stehen, ihre Kunden über potenzielle Risiken aufzuklären und effektive Sicherheitsmechanismen bereitzustellen.

Das vorliegende Urteil

LG Lübeck – Az.: 3 O 83/23 – Urteil vom 03.01.2024

1. Die Klage wird abgewiesen.

2. Der Kläger hat die Kosten des Rechtsstreits zu tragen.

3. Das Urteil ist gegen Sicherheitsleistung in Höhe von 110 % des jeweils zu vollstreckenden Betrags vorläufig vollstreckbar.

4. Der Streitwert wird auf 9.849,00 € festgesetzt.

Tatbestand

Die Parteien streiten über Erstattungsansprüche nach einem sogenannten Phishing-Angriff beim Online-Banking.

Der Kläger unterhielt bei der Beklagten ein Girokonto. Die Freischaltung von Zahlungsaufträgen im Online-Banking erfolgte über eine TAN-App auf seinem Smartphone. In den Bedingungen der Beklagten zum Online-Banking (Anlage B3) hießt es unter Zif. 7.3:

„Prüfung der Auftragsdaten mit von der …kasse angezeigten Daten

Die …kasse zeigt dem Teilnehmer die von ihr empfangenen Auftragsdaten (z. B. Betrag, Kontonummer des Zahlungsempfängers, Wertpapierkennnummer) über das gesondert vereinbarte Gerät des Teilnehmers an (z. B. mittels mobilem Endgerät, Chipkartenlesegerät mit Display). Der Teilnehmer ist verpflichtet, vor der Bestätigung die Übereinstimmung der angezeigten Daten mit den für den Auftrag vorgesehenen Daten zu prüfen.

Am Abend des 20.06.2022 wollte der Kläger über seinen PC gemeinsam mit seiner Tochter die Internetseite der Beklagten aufrufen. Es erschien eine Webseite (Anlage B6) mit der Aufforderung, sich durch die Eingabe von persönlichen Daten wie seinem Geburtsdatum zu legitimieren. Wegen der weiteren Einzelheiten wird auf die Anlage B6 Bezug genommen. Diese Aufforderung kam dem Kläger seltsam vor. Der Kläger dachte, sein PC könnte womöglich mit einem Virus infiziert sein und wollte zur Sicherheit sein Smartphone benutzen. Mit diesem Gerät rief er die Webseite auf gleichem Wege wie zuvor über den PC auf. Erneut erschien die Webseite wie zuvor mit der Aufforderung, sich durch die Eingabe von persönlichen zu legitimieren. Der Kläger schloss einen Virus sowohl des PCs als auch des Smartphones aus und gab seine Daten auf der Webseite ein. Danach wurde auf der Webseite ein fünfstelliger Zahlencode angezeigt sowie die Mitteilung, dass er gleich angerufen werden würde. Kurze Zeit später, um 21.36 Uhr, wurde der Kläger von einer Frau angerufen, die sich als Mitarbeiterin der Beklagten ausgab. Diese erklärte, der Kläger müsse sich legitimieren und bat den Kläger die TANApp der Beklagten zu öffnen. Das tat der Kläger über sein Smartphone durch Eingabe seiner PIN. Die App öffnete sich und es erschien ein Button mit einem roten Pfeil. Die Anruferin bat den Kläger, den Pfeil herüber zu schieben. Das tat der Kläger. Die Anruferin fragte den Kläger dann, ob er bei seinem Kontostand Interesse an einem Tagesgeldkonto hätte, was dieser bejahte. Zum Test werde sie 15.000 € von seinem Girokonto auf das neue eingerichtete Tageskonto überweisen. Der Kläger stimmte zu, wobei streitig ist, ob auch in der Höhe von 15.000 €. Der Kläger gab einen – der Höhe nach streitigen – Betrag in seiner TANApp frei. Von dem Konto des Klägers wurden insgesamt 6 Überweisungsaufträge zu je 79.000 € erteilt. Da das Girokonto des Klägers über ein Tageslimit verfügte, wurde nur ein Betrag von 14.999,99 € auf ein Fremdkonto überwiesen. Der Kläger bemerkte erst am nächsten Morgen, dass der Betrag auf seinem Konto fehlte und kein Tagesgeldkonto für ihn eingerichtet worden war. Ein Betrag in Höhe von 5.150 € wurden dem Kläger erstattet. Mit Schreiben vom 25.10.2022 verlangte der Klägervertreter die Beklagte erfolglos zur Zahlung des Restbetrages in Höhe von 9.849 € auf. Mit Schreiben vom 17.11.2022 (Anlage K2) erklärte der Beklagtenvertreter die Aufrechnung mit Gegenansprüchen in gleicher Höhe.

Der Kläger trägt vor, er habe der Überweisung nur in Höhe von 1 € zugestimmt. In der TANApp sei nicht angezeigt worden, welche Überweisung an wen in welcher Höhe freizugeben war. Eine Kontrolle sei ihm daher nicht möglich und wegen der beabsichtigten Überweisung von nur 1 € auch nicht notwendig gewesen. Er habe nichts falsch gemacht. Er sei auf der Webseite der Beklagten bereits öfter aufgefordert worden, persönliche Daten zur Legitimation einzugeben. Auf dem Server der Beklagten müsse ein Virus gewesen sein. Die Beklagte habe zudem gesetzeswidrig keine starke Authentifizierung angeboten.

Der Kläger beantragt,

1. an den Kläger € 9.849,00 nebst Zinsen von 5 % Punkten über dem Basiszinssatz seit dem 03.11.2022,

2. an den Kläger vorgerichtliche Rechtsanwaltskosten in Höhe von € 973,66 nebst Zinsen von 5 % Punkten über dem Basiszinssatz seit dem 03.11.2022

zu zahlen.

Die Beklagte beantragt, die Klage abzuweisen.

Die Beklagte trägt vor, der Kläger sei auf eine Phishing-Webseite geraten und habe seine Daten an diese übermittelt. Er habe dann einen Überweisungsbetrag in Höhe von 14.999,99 € autorisiert. Ihm sei in der TANApp die Auftragsart, der Betrag sowie das Empfängerkonto angezeigt worden (Anlagen B2, B9).

Das Gericht hat den Kläger persönlich angehört. Wegen des Ergebnisses der Anhörung sowie der weiteren Einzelheiten wird auf das Verhandlungsprotokoll vom 14.11.2023 Bezug genommen. Wegen der weiteren Einzelheiten des Sach- und Streitstandes wird auf die gewechselten Schriftsätze nebst Anlagen Bezug genommen.

Entscheidungsgründe

Die zulässige Klage ist unbegründet.

I.

Dem Kläger stehen die geltend gemachten Ansprüche unter keinem rechtlichen Gesichtspunkt zu.

1.

Ein Erstattungsanspruch ergibt sich insbesondere nicht aus § 675u S. 2 BGB.

a.

Nach § 675u S. 2 BGB ist ein Zahlungsdienstleister (z.B. Bank) im Fall eines nicht autorisierten Zahlungsvorgangs verpflichtet, dem Zahler (z.B. Bankkunde) den Zahlungsbetrag zu erstatten. Nicht autorisiert ist ein Zahlungsvorgang, wenn ein Zahlungsauftrag nie erteilt, widerrufen oder nicht wirksam wurde (BeckOGK/M. Zimmermann, 1.11.2023, BGB § 675u Rn. 14). Unstreitig autorisierte der Kläger die Überweisung in Höhe von 1 €. Fraglich ist, ob er auch die weiteren 14.999,99 € autorisierte. Dafür spricht der Ausdruck aus dem System der Beklagten (Anlagen B2 und B9), wonach eine Freigabe in dieser Höhe über die TAN-App des Klägers erfolgte.

b.

Diese Frage kann jedoch offen bleiben. Denn der Anspruch ist jedenfalls durch Aufrechnung erloschen.

aa.

Nach § 675v Abs. 3 Nr. 2 lit. b BGB ist der Zahler bei nicht autorisierten Zahlungsvorgängen verpflichtet, dem Zahlungsdienstleister den dadurch entstandenen Schaden zu ersetzen, wenn der Zahler den Schaden durch vorsätzliche oder grob fahrlässige Verletzung oder mehrerer vereinbarter Bedingungen für die Ausgabe und Nutzung des Zahlungsinstruments herbeigeführt hat. Grob fahrlässig verhandelt, wer außer Acht lässt, was sich in der konkreten Situation jedem hätte aufdrängen müssen. Diese Voraussetzungen liegen vor. Der Kläger hat grob fahrlässig gegen Ziffer 7.3 der Bedingungen zum Online-Banking (Anlage B3) verstoßen, wonach die Freigabe eines Auftrags erst nach Prüfung der Auftragsdaten erfolgen darf.

Der Kläger trägt selbst vor, in der TANApp sei nicht angezeigt worden, welche Überweisung an wen in welcher Höhe freizugeben war. Damit hat der Kläger die Auftragsdaten vor der Freigabe nicht überprüft. Ohne Anzeige der konkreten Auftragsdaten hätte der Kläger keinerlei Aufträge freigeben dürfen.

Der Kläger handelte auch grob fahrlässig. Dabei ist unerheblich, welchen Betrag der Kläger freizugeben gedachte. Die Gefahr bei der Freigabe auch von nur 1 € hätte sich in der konkreten Situation jedem aufdrängen müssen. Denn es bestanden mehrere deutliche Warnhinweise, die dem Kläger nach eigenem Vortrag auch aufgefallen sind, die er jedoch ignoriert hat. So entsprach zunächst die vom Kläger aufgerufene Webseite erkennbar nicht der Webseite der Beklagten. Unter dem Schriftzug der Beklagten heißt es „… …kasse“ und die URL lautet „https://….html“. Der Kläger hat die Unstimmigkeiten auch erkannt, weshalb er dann statt seines PCs seine Smartphone nutzte. Allein auf die Nutzung eines anderen Gerätes durfte sich der Kläger aber nicht verlassen, insbesondere nicht bei Aufruf der Webseite auf demselben Wege wie zuvor. Ein weiterer deutlicher Warnhinweis war der Anruf zur spätabendlichen Stunde um 21.36 Uhr. Ein Anruf um diese Uhrzeit verpflichtet zu besonderer Vorsicht auch im Falle von veränderten Arbeitszeiten auf Grund der Folgen des Coronavirus. Ebenso deutlich war der Warnhinweis nach dem Vorschlag der Anruferin, bei dem Kontostand jetzt ein Tagesgeldkonto einzurichten. Mit der dann erfolgten Erklärung, zum Test müsse ein bestimmter Betrag überwiesen werden, den der Kläger freigeben müsse, hätte sich spätestens jetzt jedem der Verdacht eines Betruges aufdrängen müssen. Und zwar auch dann, wenn nur ein Betrag von 1 € in Rede stand. Der Kläger hatte keinerlei Unterlagen zu dem angeblich eingerichteten Tagesgeldkonto. Die Gefahr des Geldverlusts bei Freigabe der Überweisung ohne vorherige Kontrolle der Auftragsdaten hätte sich dem Kläger aufdrängen müssen, erst recht bei Erteilung des Überweisungsauftrags durch Dritte.

bb.

Der Schadensersatzanspruch der Beklagten ist auch nicht nach § 675v Abs. 4 BGB ausgeschlossen. Entgegen der Ansicht des Klägers verlangte die Beklagte eine starke Kundenauthentifizierung im Sinne des § 1 Abs. 24 ZAG. Bereits aus dem schriftsätzlichen Vortrag des Klägers sowie seiner persönlichen Anhörung ergibt sich, dass die Beklagte zur Anmeldung und für den Zahlungsauftrag die sogenannte Zwei-Faktor-Authentifizierung verlangte. Danach erfolgt die Identifizierung durch zwei voneinander unabhängige Faktoren der Kategorien Wissen, Besitz, Inhärenz (§ 1 Abs. 24 ZAG). Der Kläger trägt vor, er habe seine Kennung und sein Passwort eingeben müssen (Kriterium Wissen) und sich danach durch Freigabe auf der TANApp seines Smartphones (Kategorie Besitz) legitimieren und den Zahlungsauftrag freigeben müssen.

2.

Mangels Hauptanspruchs besteht weder Anspruch auf Zinsen noch auf vorgerichtliche Rechtsanwaltskosten.

II.

Die prozessualen Nebenentscheidungen beruhen auf §§ 91 Abs. 1, 709 ZPO.