Phishing beim Online-Banking: Wann muss die Bank das Geld erstatten?
Werden nach einem Phishing-Angriff unberechtigte Überweisungen vom Konto ausgeführt, muss die Bank den verlorenen Betrag grundsätzlich erstatten. Entscheidend ist, ob der Kontoinhaber die Zahlungen tatsächlich autorisiert hat oder ob ihm eine vorsätzliche oder grob fahrlässige Verletzung seiner Sorgfaltspflichten vorgeworfen werden kann.
Was ist Phishing beim Online-Banking?
Beim Phishing versuchen Betrüger, Zugangsdaten, Passwörter oder Freigabecodes für das Online-Banking zu erlangen. Hierzu verwenden sie beispielsweise:
- gefälschte E-Mails oder SMS,
- nachgeahmte Internetseiten der Bank,
- Anrufe angeblicher Bankmitarbeiter,
- manipulierte QR-Codes,
- gefälschte Banking-Apps.
Häufig erzeugen die Täter erheblichen Zeitdruck. Sie behaupten etwa, das Konto müsse dringend entsperrt, eine verdächtige Zahlung verhindert oder ein Sicherheitsverfahren aktualisiert werden.
Was bedeutet Zwei-Faktor-Authentifizierung?
Beim Online-Banking wird regelmäßig eine Zwei-Faktor-Authentifizierung eingesetzt. Dabei muss sich der Kunde durch zwei voneinander unabhängige Merkmale identifizieren. Dies geschieht beispielsweise durch die Kombination aus:
- Online-Banking-Passwort und TAN,
- Passwort und Freigabe über eine Banking-App,
- Bankkarte und zusätzlicher PIN,
- Zugangsdaten und biometrischer Bestätigung.
Die Zwei-Faktor-Authentifizierung soll verhindern, dass ein Täter allein mit ausgespähten Zugangsdaten Zahlungen ausführen kann. Sie bietet jedoch keinen vollständigen Schutz vor Phishing. Betrüger versuchen deshalb häufig, den Kunden zur Freigabe einer Zahlung oder zur Bestätigung eines neuen Geräts zu bewegen.
Beweist die Zwei-Faktor-Authentifizierung eine autorisierte Zahlung?
Nein. Allein der Umstand, dass eine Zahlung technisch mit zwei Faktoren bestätigt wurde, beweist nicht automatisch, dass der Kunde die konkrete Überweisung bewusst und rechtlich wirksam autorisiert hat.
Entscheidend ist vielmehr, was der Kunde tatsächlich freigeben wollte und welche Informationen ihm bei der Bestätigung angezeigt wurden. Ein Phishing-Opfer kann beispielsweise davon ausgehen, lediglich
- eine angebliche Sicherheitsprüfung,
- die Sperrung einer verdächtigen Überweisung,
- die Aktualisierung des Online-Bankings oder
- die Registrierung eines neuen Sicherheitsverfahrens
zu bestätigen.
Wird tatsächlich eine Überweisung an einen fremden Empfänger freigegeben, ist zu prüfen, ob der Zahlungsempfänger, der Betrag und der Zweck der Freigabe für den Kunden deutlich erkennbar angezeigt wurden.
Die technisch erfolgreiche Zwei-Faktor-Authentifizierung ist daher ein wichtiges Indiz. Sie ersetzt jedoch nicht die Prüfung, ob der Kunde der konkreten Zahlung tatsächlich zugestimmt hat.
Muss die Bank einen Phishing-Schaden erstatten?
Hat der Kontoinhaber eine Zahlung nicht selbst veranlasst und ihr nicht zugestimmt, liegt grundsätzlich eine nicht autorisierte Zahlung vor. Die Bank muss das Konto dann regelmäßig wieder auf den Stand bringen, auf dem es sich ohne die betrügerische Überweisung befunden hätte.
Die Bank kann dem Erstattungsanspruch jedoch entgegenhalten, dass der Kunde den Schaden vorsätzlich oder grob fahrlässig verursacht habe. Hierfür genügt nicht allein der Hinweis, dass die Zahlung mit dem richtigen Passwort und einem Freigabeverfahren bestätigt wurde.
Vielmehr muss der genaue Ablauf des Phishing-Angriffs untersucht werden.
Wann liegt grobe Fahrlässigkeit vor?
Grobe Fahrlässigkeit kann insbesondere in Betracht kommen, wenn ein Kunde
- einem unbekannten Anrufer eine TAN oder einen Freigabecode mitteilt,
- eine Zahlung bestätigt, obwohl ein fremder Empfänger und ein auffällig hoher Betrag angezeigt werden,
- deutliche Warnhinweise der Bank ignoriert,
- Zugangsdaten und Freigabecodes gleichzeitig an Dritte weitergibt,
- einem angeblichen Bankmitarbeiter die Fernsteuerung seines Computers oder Smartphones ermöglicht.
Nicht jeder Irrtum ist jedoch automatisch grob fahrlässig. Moderne Phishing-Angriffe sind häufig professionell vorbereitet. Täter verwenden persönliche Daten, manipulieren angezeigte Telefonnummern und führen die Betroffenen durch mehrstufige Täuschungshandlungen.
Entscheidend ist deshalb stets, ob die Täuschung für den konkreten Kunden offensichtlich erkennbar war und ob besonders schwerwiegende Sorgfaltspflichten verletzt wurden.
Welche Bedeutung hat der Freigabetext?
Bei einer Zwei-Faktor-Authentifizierung ist besonders wichtig, welcher Text in der TAN-App oder Banking-App angezeigt wurde.
Von Bedeutung sind insbesondere:
- der angezeigte Zahlungsempfänger,
- die Höhe des Betrags,
- der Hinweis auf eine Überweisung oder Gerätefreigabe,
- mögliche Warnmeldungen,
- die Verständlichkeit der Anzeige,
- Abweichungen zwischen dem angezeigten und dem ausgeführten Vorgang.
Wurde dem Kunden lediglich eine unklare oder verkürzte Freigabeinformation angezeigt, kann dies gegen den Vorwurf grober Fahrlässigkeit sprechen. Wurden dagegen Empfänger und Betrag eindeutig dargestellt und dennoch bestätigt, kann dies die Rechtsposition der Bank stärken.
Was muss die Bank beweisen?
Beruft sich die Bank auf grobe Fahrlässigkeit, muss sie grundsätzlich konkret darlegen, welche Sorgfaltspflicht der Kunde verletzt haben soll.
Hierzu gehören insbesondere der technische Ablauf der Authentifizierung, der genaue Inhalt der Freigabeanzeige und die Frage, welche Warnhinweise der Kunde erhalten hat.
Die Bank sollte deshalb die vollständigen Authentifizierungs- und Transaktionsprotokolle offenlegen. Aus diesen muss nachvollziehbar hervorgehen, wann, mit welchem Gerät und mit welchem konkreten Anzeigetext die Zahlung freigegeben wurde.
Eine bloße Mitteilung, die Zwei-Faktor-Authentifizierung sei erfolgreich gewesen, reicht für eine abschließende rechtliche Bewertung regelmäßig nicht aus.
Was sollten Phishing-Opfer sofort tun?
Nach einem Phishing-Angriff ist schnelles Handeln entscheidend. Betroffene sollten
-
das Online-Banking und betroffene Karten sofort sperren lassen,
-
die Bank unverzüglich über den Betrug informieren,
-
ausdrücklich erklären, dass die Zahlungen nicht autorisiert wurden,
-
die sofortige Rückholung der Überweisungen verlangen,
-
Strafanzeige erstatten,
-
E-Mails, SMS, Telefonnummern und Bildschirmaufnahmen sichern,
-
Passwörter und Zugangsdaten ändern.
Außerdem sollte möglichst genau dokumentiert werden, was bei jeder Freigabe auf dem Smartphone oder Computer angezeigt wurde.
Was tun, wenn die Bank die Erstattung ablehnt?
Lehnt die Bank die Rückzahlung unter Hinweis auf eine erfolgreiche Zwei-Faktor-Authentifizierung oder angebliche grobe Fahrlässigkeit ab, sollte die Entscheidung rechtlich überprüft werden.
Dabei ist insbesondere zu untersuchen,
- ob die konkrete Zahlung tatsächlich autorisiert wurde,
- welche Handlung der Kunde aus seiner Sicht bestätigen wollte,
- welcher Text bei der Freigabe angezeigt wurde,
- ob Empfänger und Betrag eindeutig erkennbar waren,
- ob ein neues Gerät oder lediglich eine Zahlung freigegeben wurde,
- ob die Bank ungewöhnliche Zahlungsvorgänge hätte erkennen können,
- ob das Sicherheitsverfahren ordnungsgemäß funktionierte.
Die erfolgreiche technische Authentifizierung bedeutet somit nicht zwangsläufig, dass der Kunde auch die tatsächlich ausgeführte Überweisung bewusst genehmigt hat.
Fazit
Nach einem Phishing-Angriff muss die Bank nicht autorisierte Überweisungen grundsätzlich erstatten. Die Verwendung einer Zwei-Faktor-Authentifizierung schließt einen Erstattungsanspruch nicht automatisch aus.
Entscheidend ist, ob der Kunde die konkrete Zahlung bewusst freigegeben hat und ob ihm eine grob fahrlässige Pflichtverletzung nachgewiesen werden kann. Phishing-Opfer sollten deshalb sämtliche Beweise sichern und eine ablehnende Entscheidung der Bank fachanwaltlich prüfen lassen.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine rechtliche Beratung im Einzelfall.
