Wer zahlt den Schaden? Ihre Rechte als Bankkunde!

Ein Moment der Unachtsamkeit, ein Klick auf den falschen Link – und schon haben Betrüger Zugriff auf Ihr Online-Banking. Phishing ist eine ärgerliche und oft teure Erfahrung. Doch wer kommt für den entstandenen Schaden auf, wenn unberechtigte Überweisungen von Ihrem Konto getätigt wurden? Die gute Nachricht: Nicht immer haften Sie als Kunde! Dieser Rechtstipp klärt auf, wann Ihre Bank den Schaden tragen muss.

Was genau ist Phishing?

Unter Phishing versteht man den Versuch von Betrügern, an Ihre persönlichen Zugangsdaten für das Online-Banking (wie PIN und TAN) zu gelangen. Dies geschieht meist durch gefälschte E-Mails, SMS (sogenanntes Smishing) oder manipulierte Webseiten, die denen Ihrer Bank täuschend ähnlich sehen. Ziel der Täter ist es, unbemerkt Überweisungen von Ihrem Konto zu tätigen.

Grundsatz: Ihre Bank haftet bei unautorisierten Zahlungen

Grundsätzlich gilt: Wenn von Ihrem Konto Zahlungen erfolgen, die Sie nicht genehmigt (autorisiert) haben, muss Ihnen Ihre Bank den entsprechenden Betrag unverzüglich erstatten. Ihrer Bank steht dann in der Regel kein Anspruch auf Aufwendungsersatz gegen Sie zu. Das Risiko für solche unautorisierten Zahlungen liegt also erst einmal beim Zahlungsdienstleister, also Ihrer Bank.

Die Ausnahme: Grobe Fahrlässigkeit kann Sie teuer zu stehen kommen

Dieser Grundsatz hat jedoch eine wichtige Ausnahme: Haben Sie den Betrug durch grob fahrlässiges Verhalten ermöglicht, kann die Bank unter Umständen von Ihnen Schadensersatz verlangen. Grobe Fahrlässigkeit bedeutet, dass Sie die im Verkehr erforderliche Sorgfalt in besonders schwerem Maße verletzt haben – also das missachtet haben, was jedem hätte einleuchten müssen. Beispiele hierfür können sein:

• Die Weitergabe von PIN oder TAN an Dritte.

• Das Ignorieren offensichtlicher Warnhinweise Ihrer Bank.

• Die Eingabe von Zugangsdaten auf einer erkennbar gefälschten Webseite.

Der Rettungsanker für Kunden: Fehlende „Starke Kundenauthentifizierung“ durch die Bank

Selbst wenn Ihnen eine grobe Fahrlässigkeit vorgeworfen werden könnte, gibt es einen wichtigen Rettungsanker: § 675v Abs. 4 Bürgerliches Gesetzbuch (BGB). Dieser Paragraph besagt, dass ein Schadensersatzanspruch der Bank gegen Sie ausgeschlossen ist, wenn die Bank ihrerseits keine sogenannte „starke Kundenauthentifizierung“ (SKA) verlangt hat, obwohl sie dazu verpflichtet gewesen wäre.

Was ist eine „starke Kundenauthentifizierung“?

Eine starke Kundenauthentifizierung ist ein Sicherheitsverfahren, bei dem Ihre Identität anhand von mindestens zwei voneinander unabhängigen Merkmalen überprüft wird. Diese Merkmale stammen aus den Kategorien:

• Wissen: Etwas, das nur Sie wissen (z.B. Passwort, PIN).

• Besitz: Etwas, das nur Sie besitzen (z.B. Smartphone für eine TAN-App, TAN-Generator).

• Inhärenz: Etwas, das Sie sind (z.B. Fingerabdruck, Gesichtserkennung).

Ein bekanntes Beispiel ist die Zwei-Faktor-Authentifizierung, bei der Sie neben Ihrer PIN beispielsweise eine zusätzliche Transaktionsnummer (TAN) über eine separate App oder ein Gerät generieren müssen.

Wann muss die Bank eine starke Kundenauthentifizierung verlangen?

Das Zahlungsdiensteaufsichtsgesetz (ZAG) schreibt vor, dass Banken in bestimmten Fällen eine SKA verlangen müssen. Dazu gehören insbesondere:

• Wenn Sie online auf Ihr Zahlungskonto zugreifen (also beim Login).

• Wenn Sie einen elektronischen Zahlungsvorgang auslösen (z.B. eine Überweisung tätigen).

• Wenn Sie eine andere Handlung über Fernzugriff vornehmen, die ein Risiko des Betrugs im Zahlungsverkehr oder eines anderen Missbrauchs birgt (z.B. die Änderung Ihrer hinterlegten Telefonnummer oder das Einrichten neuer Überweisungslimits).

Streitpunkt vor Gericht: Wann genau muss die SKA erfolgen?

Obwohl die Regelung zur starken Kundenauthentifizierung dem Schutz der Bankkunden dient, gibt es immer wieder Streitigkeiten vor Gericht, wie diese genau auszulegen ist.

• Das Landgericht (LG) Nürnberg-Fürth vertrat beispielsweise die Auffassung, dass die Pflicht zur SKA sich nur auf den einzelnen Zahlungsvorgang beziehe, nicht aber zwingend auf den reinen Zugriff auf das Konto (Login) (LG Nürnberg-Fürth, Urteil vom 29.06.2023, Az. 6 O 5996/22 – nicht rechtskräftig).

• Anders sah dies das Oberlandesgericht (OLG) Frankfurt/Main. Es entschied, dass die Haftungserleichterung für den Kunden greift, wenn die Bank in den Fällen, in denen sie laut § 55 ZAG zur SKA verpflichtet ist, diese nicht verlangt (OLG Frankfurt/Main, Urteil vom 06.12.2023, Az. 3 U 3/23 – Revision anhängig beim BGH). Diese Sichtweise stärkt die Kundenrechte erheblich.

• Auch das LG Berlin entschied zugunsten eines Bankkunden, dass eine Bank für den Schaden haftet, wenn sie für die reine Einwahl ins Online-Banking keine starke Kundenauthentifizierung verlangt hat (LG Berlin, Urteil vom 28.08.2024, Az. 37 O 120/22 – nicht rechtskräftig).

Diese unterschiedlichen Urteile zeigen, dass die Rechtslage komplex ist und die Entscheidungen oft vom Einzelfall abhängen. Insbesondere die Frage, ob schon ein fehlender Schutz beim Login ausreicht, um die Bank voll haften zu lassen, wird von den Gerichten noch nicht einheitlich beantwortet.

Ein weiterer wichtiger Aspekt der starken Kundenauthentifizierung ist die sogenannte „dynamische Verknüpfung“. Das bedeutet, dass Ihnen bei der Freigabe einer Zahlung der Zahlungsbetrag und der Empfänger klar angezeigt werden müssen. Fehlt diese Anzeige oder ist sie unvollständig (z.B. wird nur die IBAN, nicht aber der Name des Empfängers angezeigt), kann dies ebenfalls dazu führen, dass die Bank für den Schaden haftet, wie das LG Halle (Saale) in einem Fall andeutete (LG Halle/Saale, Urteil vom 23.06.2023, Az. 4 O 133/22).

Was können Sie als Bankkunde tun?

• Achten Sie auf Sicherheitsverfahren: Prüfen Sie, ob Ihre Bank beim Login und bei Überweisungen eine Zwei-Faktor-Authentifizierung (oder ein vergleichbar sicheres Verfahren) verwendet.

• Seien Sie wachsam: Geben Sie niemals Ihre PIN und TAN an Dritte weiter. Seien Sie misstrauisch bei E-Mails oder Anrufen, die Sie zur Eingabe Ihrer Daten auffordern.

• Überprüfen Sie Zahlungsdetails: Kontrollieren Sie vor jeder TAN-Eingabe genau, ob Betrag und Empfänger der Transaktion korrekt angezeigt werden.

Im Schadensfall: Schnell handeln!

Sollten Sie Opfer eines Phishing-Angriffs geworden sein:

1. Informieren Sie sofort Ihre Bank: Lassen Sie Ihr Konto und ggf. Ihre Karten sperren.

2. Widersprechen Sie den unberechtigten Abbuchungen.

3. Erstatten Sie Anzeige bei der Polizei.

4. Dokumentieren Sie alles: Sichern Sie E-Mails, Screenshots und notieren Sie sich den zeitlichen Ablauf.

Wann ist anwaltliche Hilfe sinnvoll?

Wenn Ihre Bank sich weigert, den Schaden zu ersetzen und Ihnen grobe Fahrlässigkeit vorwirft, oder wenn Unklarheit darüber besteht, ob die Bank eine ausreichende starke Kundenauthentifizierung eingesetzt hat, sollten Sie anwaltliche Beratung in Anspruch nehmen. Ein spezialisierter Rechtsanwalt kann prüfen, ob die Voraussetzungen für eine Haftung der Bank gemäß § 675v Abs. 4 BGB vorliegen und Ihre Ansprüche durchsetzen.

Bei Problemen im Bereich des Bank- und Kapitalmarktrechts, insbesondere bei Phishing-Fällen und Fragen zur Haftung bei nicht autorisierten Zahlungen, steht Ihnen Frau Rechtsanwältin Teresa Laukel, Fachanwaltin  für Bank- und Kapitalmarktrecht, gerne mit seiner Expertise zur Seite und ist Ihnen bei der Lösung Ihrer Probleme behilflich.