Nach Phishing-SMS: PIN-Eingabe macht Wiedergutschrift zunichte

Die Klage wird abgewiesen.

Die Kosten des Rechtsstreits werden der Klägerin auferlegt.

Das Urteil ist vorläufig vollstreckbar. Der Klägerin wird nachgelassen, die Vollstreckung durch die Beklagte gegen Sicherheitsleistung in Höhe von 120% des auf Grund des Urteils vollstreckbaren Betrages abzuwenden, wenn nicht die Beklagte vor der Vollstreckung Sicherheit in Höhe von 120% des jeweils zu vollstreckenden Betrages leistet.

Tatbestand

Die Parteien streiten über die Wiedergutschrift einer Kontobelastung.

Die Klägerin unterhält bei der Beklagten ein Girokonto (Nummer …). Zwischen den Parteien bestand darüber hinaus eine Vereinbarung zur Nutzung des Online-Banking im Wege des SecureGo-Plus-Verfahrens. Der Nutzung des Online-Banking liegen die „Sonderbedingungen für das Online-Banking“ der Beklagten zugrunde. Nr. 7 („Sorgfaltspflichten des Teilnehmers“) der im Zeitraum der streitgegenständlichen Buchung geltenden Fassung dieser Bedingungen enthält unter Nr. 7.1 („Schutz der Authentifizierungselemente“) Abs. 2 Buchst. a Spiegelstrich 2 die folgende Regelung:

„Wissenselemente, wie z. B. die PIN, sind geheim zu halten; sie dürfen insbesondere

[…]

– nicht außerhalb des Online-Banking in Textform (z. B. per E-Mail, Messenger-Dienst) weitergegeben werden, […]“

Bei der V.-S.plus App handelt es sich um eine von der Beklagten zur Verfügung gestellten Anwendung im Rahmen des Online-Banking. Die App dient zur Erzeugung einer Transaktionsnummer (TAN) im Push-TAN-Verfahren und kann entweder mittels App-Passwort oder mit biometrischen Merkmalen (Gesichts- oder Fingerabdruckerkennung) geöffnet werden. Eine Übersendung der TAN via SMS findet also nicht statt. Dabei ist die App fest mit einem konkreten Endgerät, z.B. einem Smartphone verbunden. Vorliegend war die App fest mit dem iPhone der Klägerin verbunden. Voraussetzung jeder Zahlungsfreigabe ist eine aktive Bestätigung innerhalb der V.-S.-plus-App auf dem registrierten Endgerät. Andere Autorisierungswege sind systemseitig nicht vorgesehen.

Am 6. Dezember 2024 wurden vom Konto der Klägerin 5.105,04 EUR auf ein Konto bei der Sparkasse … überwiesen. Am 6. Dezember 2024 informierte die Klägerin eine Mitarbeiterin der Beklagten telefonisch hierüber. Zudem erstattete sie Anzeige bei der Polizei.

Die Klägerin behauptet, sie habe bei der streitgegenständlichen Überweisung nicht mitgewirkt. Sie habe am 3. Dezember 2024 eine SMS-Nachricht auf ihrem Mobiltelefon erhalten, durch die sie dazu aufgefordert worden sei, die sog. V.-S.plus App zu aktualisieren. Dieser Aufforderung sei die Klägerin nach, indem sie auf den in der Nachricht enthaltenen Link klickte, der sie auf die vorgebliche Internetseite der Beklagten leitete. Dort habe sie die von ihr genutzte PIN, mit der sie die V.-S.plus App bediente sowie ihren Namen eingegeben. Nach Bestätigung sei ihr mitgeteilt worden, dass die Aktualisierung erfolgreich gewesen sei.

Weiterhin seien der konkrete Zahlungsbetrag, die vollständige Kundenkennung des Zahlungsempfänger (IBAN), dessen Namen und die Art des Zahlungsvorgangs seien bei der Überweisung – durch wen auch immer sie ausgeführt worden sei – nicht zu sehen gewesen. Auch sei es in der Praxis so, dass diese Daten bei den von Zahlungsdienstleistern genutzten Apps nicht notwendigerweise angezeigt würden.

Bereits ein Jahr zuvor habe die Klägerin eine der streitgegenständlichen Nachricht ähnliche SMS erhalten, die sie dazu aufgefordert habe, die Secure-App zu aktualisieren. Dieser Aufforderung sei sie aus Sicherheitsbedenken nicht nachgekommen und sei stattdessen in eine Filiale der Beklagten gefahren, woraufhin ihr Konto gesperrt worden sei. Dort wurde – insoweit unstreitig – das Onlinebanking neu angelegt.

Die Klägerin beantragt, wie folgt zu erkennen:

1. Die Beklagte wird verurteilt, dem Konto der Klägerin mit der Nr. … den unbefugt abverfügten Gesamtbetrag von 5.105,04 EUR rückwirkend auf den Zeitpunkt der jew…n unbefugten Abverfügung wieder gutzuschreiben und das Konto hierdurch auf den Stand zu bringen, auf dem sich ohne die Belastung durch den nicht autorisierten Zahlungsvorgang/die nicht autorisierten Zahlungsvorgänge befinden würde.

2. Die Beklagte wird weiter verurteilt, an die Klägerin vorgerichtliche Rechtsanwaltskosten in Höhe von EUR 627,13 nebst Zinsen in Höhe von 5 Prozentpunkten über dem Basiszins ab Rechtshängigkeit zu erstatten.

3. Der Verzug der Beklagten mit der Erfüllung der Anträge Ziff. 1 bis 2 wird festgestellt.

Die Beklagte beantragt,

die Klage abzuweisen.

Die Beklagte behauptet, der Zahlungsvorgang sei durch die Klägerin autorisiert worden. Er sei von ihrem bereits registrierten Endgerät aus veranlasst worden. Die Beklagte erhebt die dolo-agit-Einrede.

Hinsichtlich des weiteren Sach- und Streitstands wird Bezug genommen auf die zwischen den Parteien gewechselten Schriftsätzen nebst Anlagen.

Die Kammer hat die Klägerin persönlich angehört. Die Klage wurde der Beklagten am 8. Juli 2025 zugestellt.

Entscheidungsgründe

Die Klage ist teilweise unzulässig und im Übrigen unbegründet. Der Klägerin steht er geltend gemachte Anspruch unter keinem rechtlichen Gesichtspunkt zu.

I. Hinsichtlich des Antrags zu 3.) ist die Klage bereits unzulässig. Der Klägerin steht das gemäß § 256 ZPO erforderliche Feststellungsinteresse nicht zu. Der Antrag betrifft kein feststellungsfähiges Rechtsverhältnis. Einzelne Elemente oder Vorfragen eines Rechtsverhältnisses, deren Vorliegen allein zu keinen bestimmten Rechtsfolgen führt, stellen kein feststellungsfähiges Rechtsverhältnis dar. Unzulässig ist daher etwa die Feststellung eines Schuldnerverzugs (BGH, Urteil vom 19. November 2014 – III ZR 79/14 m.w.N.).

II. Im Übrigen ist die Klage unbegründet. Der Klägerin stehen die geltend gemachten Ansprüche nicht zu.

1. Es besteht kein Anspruch der Klägerin darauf, dass die Beklagte das Konto wieder auf den Stand bringt, auf dem es sich ohne die Belastung durch einen nicht autorisierten Zahlungsvorgang befunden hätte, § 675u Satz 2 BGB.

a) Es mag dabei dahinstehen, ob vorliegend ein nicht autorisierten Zahlungsvorgang vorgelegen hat.

b) Denn der Forderung der Klägerin steht in dem Fall, dass die Zahlung nicht autorisiert war, die dauerhafte dolo-agit-Einrede entgegen, da der Beklagten ein Gegenanspruch auf Schadensersatz gemäß § 675v Abs. 3 Satz 2 Buchst. a. und b. BGB gegen die Klägerin mindestens in der Höhe des geltend gemachten Erstattungsanspruchs zusteht. Hiernach ist der Zahler seinem Zahlungsdienstleister zum Ersatz des gesamten Schadens verpflichtet, der infolge eines nicht autorisierten Zahlungsvorgangs entstanden ist, wenn der Zahler den Schaden herbeigeführt hat durch vorsätzliche oder grob fahrlässige Verletzung einer oder mehrerer Pflichten gemäß § 675l Abs. 1 BGB (Buchst. a) oder einer oder mehrerer vereinbarter Bedingungen für die Ausgabe und Nutzung des Zahlungsinstruments (Buchst. b).

aa) Der Schadensersatzanspruch ist nicht gemäß § 675v Abs. 4 Nr. 1 BGB ausgeschlossen, wonach der Zahler nicht zum Schadensersatz verpflichtet ist, wenn der Zahlungsdienstleister eine starke Kundenauthentifizierung im Sinne des § 1 Abs. 24 ZAG nicht verlangt.

(1) Soweit die Klägerin die Rechtsmeinung vertritt, § 675v Abs. 4 BGB begründe eine Sperrwirkung mit der Folge, dass zwingend der Zahlungsdienstleister hafte, wobei sich die Frage nach einer etwaigen groben Fahrlässigkeit des Zahlungsdienstnutzers nicht stelle, soweit eine wirksame Autorisierung nicht nachgewiesen werden könne, verfängt sie nicht. Denn ausweislich des eindeutigen Wortlauts der Vorschrift findet § 675v Abs. 3 BGB gerade nur dann Anwendung, wenn ein „nicht autorisierter Zahlungsvorgang“ vorliegt.

(2) Die Voraussetzungen der Ausschlussvorschrift des § 675v Abs. 4 Nr. 1 BGB sind nicht gegeben. Die Beklagte verlangt eine starke Kundenauthentifizierung im Sinne des § 1 Abs. 24 ZAG. Starke Kundenauthentifizierung ist dabei eine Authentifizierung, die so ausgestaltet ist, dass die Vertraulichkeit der Authentifizierungsdaten geschützt ist und die unter Heranziehung von mindestens zwei der folgenden, in dem Sinne voneinander unabhängigen Elementen geschieht, dass die Nichterfüllung eines Kriteriums die Zuverlässigkeit der anderen nicht in Frage stellt: 1. Kategorie Wissen, also etwas, das nur der Nutzer weiß, 2. Kategorie Besitz, also etwas, das nur der Nutzer besitzt oder 3. Kategorie Inhärenz, also etwas, das der Nutzer ist.

Soweit die Klägerin bestreitet, dass bei der Freigabe der streitgegenständlichen Überweisung der konkrete Zahlungsbetrag, die vollständige Kundenkennung des Zahlungsempfänger, dessen Namen und die Art des Zahlungsvorgangs zu sehen gewesen sei, kommt es hierauf nicht an. Entgegen der Ansicht der Klägerin ergibt sich aus § 55 Abs. 2 und 5 ZAG in Verbindung mit Art. 5 Abs. 1 und 2 der Delegierten Verordnung (EU) 2018/389 nicht, dass für die Wirksamkeit der starken Kundenauthentifizierung erforderlich wäre, dass der konkrete Zahlungsbetrag und die vollständige Kundenkennung des Zahlungsempfängers in allen Phasen des Authentifizierungsvorgangs sowie auf jedem zur Authentifizierung eingesetzten Gerät angezeigt werden. Ausreichend ist vielmehr, dass Zahlungsbetrag und Zahlungsempfänger dem Zahler beim Auslösen des Zahlungsvorgangs angezeigt werden, der Authentifizierungscode dynamisch mit diesem spezifischen Zahlungsbetrag und diesem Zahlungsempfänger verknüpft ist und jede Änderung von Betrag oder Empfänger die Ungültigkeit des generierten Authentifizierungscodes nach sich zieht. Dabei ist maßgeblich allein, ob die erforderlichen Angaben bei Auslösung des Zahlungsvorgangs bei ordnungsgemäßer Nutzung durch den berechtigten Nutzer angezeigt worden wären (vgl. BGH, Urteil vom 3. März 2026 – XI ZR 20/24).

Soweit die Klägerin ausführt, die Beklagte sei gemäß Art. 16 RTS dazu verpflichtet gewesen, Zahlungsvorgänge inhaltlich auf ihre Plausibilität zu prüfen und sei dieser Pflicht nicht nachgekommen, mag dies dahinstehen. Denn dies stellt allein – wie von der Klägerin im Ausgangspunkt richtig erkannt – eine aufsichtsrechtliche Vorschrift dar, die anders als von der Klägerin angenommen jedoch keine zivilrechtlichen Nebenpflichten begründet. Die Erfüllung der Prüfpflicht ist ausweislich des Wortlauts der Vorschrift keine Voraussetzung der starken Kundenauthentifizierung gemäß § 1 Abs. 24 ZAG. Auch im Übrigen lässt ein Verstoß gegen eine aufsichtsrechtliche Vorschrift eine grundsätzlich geforderte starke Kundenauthentifizierung nicht entfallen.

cc) Die Klägerin hat gegen ihre Pflichten aus § 675l Abs. 1 BGB verstoßen, indem sie ihren Namen sowie die für das Online-Banking verwendete PIN weitergegeben hat.

Gemäß § 675l Abs. 1 Satz 1 BGB hat der Zahlungsdienstnutzer die Pflicht, alle zumutbaren Vorkehrungen zu treffen, um die personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen. Zum Begriff dieser Sicherheitsmerkmale gehören insbesondere auch Besitzmerkmale i.S.d. § 1 Abs. 24 Nr. 2 ZDG. Die Verwendung einer Push-TAN-App, die auf einem hierfür registrierten Mobiltelefon des Zahlungsdienstnutzers installiert ist, stellt ein solches Sicherheitsmerkmal dar, denn über den Besitz an seinem Mobiltelefon hat nur der Zahlungsdienstnutzer Zugriff hierauf (vgl. Grüneberg/Sprau, BGB, 82. Auflage 2023, § 675v Rn. 10 a.E.).

dd) Diese Pflichtverletzung der Klägerin war auch grob fahrlässig.

Die nach § 675v Abs. 2 BGB erforderliche grobe Fahrlässigkeit erfordert einen in objektiver Hinsicht schweren und in subjektiver Hinsicht schlechthin unentschuldbaren Verstoß gegen die Anforderungen der konkret erforderlichen Sorgfalt. Selbst ein objektiv grober Pflichtenverstoß rechtfertigt für sich noch keinen zwingenden Schluss auf ein entsprechend gesteigertes personales Verschulden (BGH, Urteil vom 26. Januar 2016 – XI ZR 91/14, BGHZ 208, 331 = NJW 2016, 2024 m. Anm. Knops = VuR 2016, 264 m. Anm. Metz, Rn. 71).

Nach diesen Grundsätzen hat die Klägerin grob fahrlässig gegen ihre Sorgfaltspflichten verstoßen.

Zwar hat die Klägerin angegeben, sie sei bei Eingabe ihrer Daten davon ausgegangen, es handele sich um die Internetseite der Beklagten, da dort deren Originallogo verwendet worden sei.

Jedoch bereits bei sorgfältiger Kontrolle der als Anlage zum Protokoll zur mündlichen Verhandlung vom 8. Januar 2026 (Bl. 160 d.A.) vorgelegten SMS-Nachricht hätte der Klägerin auffallen müssen, dass diese nicht von der Beklagten stammt. Denn die SMS-Nachricht wurde von einer Mobilfunknummer gesendet, sodass nicht festzustellen war, ob die Nachricht tatsächlich von der Beklagten stammte. Darüber hinaus enthält der Nachrichtentext keinen konkreten Bezug zur Klägerin, weder wird sie namentlich angesprochen, noch wird mitgeteilt, um welche Volksbank es sich handelt.

Bei der gebotenen kritischen Prüfung der Nachricht hätte die Klägerin weiterhin erkennen müssen, dass eine Nachricht, wie sie sie erhalten hat, nur mit zeitlichem Vorlauf und entsprechender Kundeninformation versandt worden wäre. Denn die Klägerin musste kritisch hinterfragen, dass eine Nachricht, welche sie auf das Auslaufen des „SecureGo Plus Zertifikat“ aufmerksam macht, an dem Tag übersandt wurde, an welchem das Zertifikat vorgeblich abzulaufen drohte und darüber hinaus keine weiteren Informationen enthielt. Dabei hätte sie erkennen können, dass ein solches Vorgehen der Beklagten als Zahlungsdienstleister nicht zu erwarten wäre. Denn auch nach dem Inhalt der Nachricht handelte es sich bei dem „SecureGo Plus Zertifikat“ um eine solch wesentliche Einrichtung, dass dieses „umgehend“ aktualisiert werden musste, bei der eine rechtzeitige Information des Zahlungsdienstnutzers geboten gewesen wäre.

Zudem handelte es sich ausweislich des eingereichten Screenshots um die erste und einzige Nachricht, die die Klägerin von dieser Mobilfunknummer erhalten hatte. Insoweit hätte die Klägerin hinterfragen müssen, warum dies die erste Kontaktaufnahme der Beklagten ihr gegenüber ist, zumal über eine völlig unbekannte Mobilfunknummer.

Der Klägerin war auch bekannt, dass sie ihre Authentifizierungselemente für das Onlinebanking nicht ohne weiteres und auch nicht auf eine unerwartete und nicht erbetene Aufforderung weitergeben durfte. Hierauf ist sie durch Ziffer 7 der Bedingungen für das Online-Banking durch die Beklagte hingewiesen worden.

Dieser Pflichtverstoß ist auch subjektiv unentschuldbar, da die Klägerin dasjenige unbeachtet gelassen hat, was im gegebenen Fall jedem hätte einleuchten müssen (vgl. nur BGH, Urteil vom 10. Mai 2011 – VI ZR 196/10 -, Rn. 10, juris).

Der Klägerin war nämlich – ihren Vortrag zu der zurückliegenden SMS-Nachricht als zutreffend unterstellt – bewusst, dass SMS-Nachrichten betrügerischer Natur sein können. Denn sie hat selbst angegeben, bereits ein Jahr zuvor eine ähnliche SMS-Nachricht erhalten zu haben, der darin enthaltenen Aufforderung jedoch nicht nachgekommen zu sein. Vielmehr habe sie sich an einen Mitarbeiter der Beklagten in einer Filiale gewandt.

Bereits durch dieses Verhalten hat die Klägerin gezeigt, dass sie grundsätzlich Kenntnis davon hatte, dass bei SMS-Nachrichten, bei denen vorgegeben wird, sie stammten von einem Kreditinstitut, Vorsicht geboten und es stets erforderlich ist, persönliche Rücksprache in einer Filiale zu halten. Diese Kenntnis hat sie im Streitfall vollständig ebenso missachtet wie die bereits oben dargestellten Warnsignale, obwohl hierfür kein nachvollziehbarer Grund bestand. Die Gesamtschau der vorgenannten Umstände ist derart eindeutig alarmierend, dass es der Klägerin hätte einleuchten müssen, dass die Eingabe der Daten auf die Aufforderung in der SMS zu unterbleiben hatte.

Nach alldem hätte die Klägerin erkennen können und müssen, dass sie die nach Nr. 7.1 der Bedingungen für das Online-Banking zu schützende PIN nicht hätte auf der Internetseite eingeben dürfen, die sie über den in der Nachricht enthaltenen Link erreichen konnte. Sie musste nach Vorstehendem erkennen, dass es sich um einen Betrugsversuch im Wege des sog. Phishing gehandelt hat und hätte der Aufforderung, die Daten einzugeben nicht nachkommen dürfen.

c) Nichts anderes gilt, wenn die Klägerin den streitgegenständlichen Zahlungsvorgang autorisiert hätte, da der Beklagten in diesem Fall ein Aufwendungsersatzanspruch in der Höhe der Klageforderung gemäß § 675c Abs. 1, § 670 BGB zustehen würde.

2. Der Klägerin steht auch kein Anspruch auf Ersatz ihrer vorgerichtlichen Rechtsanwaltsgebühren zu. Dieser teilt als Nebenforderung das Schicksal der Hauptforderung.

III. Die Kostenentscheidung beruht auf § 91 Abs. 1 ZPO, die Entscheidung über die vorläufige Vollstreckbarkeit auf § 708 Nr. 11, § 711 ZPO.

---