2-Faktorauthentifizierung beim Online Banking
Ein Kunde der Postbank führte bei dieser ein Girokonto und nahm in diesem Zusammenhang auch an dem Online-Banking Verfahren teil. Als er plötzlich feststellen mußte, daß von seinem Konto durch zwei Überweisungen insgesamt 5000,00 € an einen unbekannten Empfänger entwendet worden waren, meldete er noch am selben Tag den Vorfall und erstattete gleichzeitig Anzeige bei der Polizei. Trotz mehrmaliger Aufforderungen gegenüber der Postbank erstattete diese den entwendeten Betrag nicht, sondern verwies auf Ihr unüberwindbares Sicherheitssystem beim Onlinebanking im Rahmen der 2-Faktor Authentifizierung ( siehe § 1 Abs. 24 ZAG ).
Nachdem der Kunde unserer Kanzlei das Mandat erteilt hatte von der Postbank den Geldbetrag zurückzufordern, richtete diese ein Schreiben an die Bank und wies auf folgende Rechtslage hin :
Grundsätzlich Erstattungsanspruch des Kunden nach § 675 u BGB
Die Bank darf nur das dann Konto mit dem Überweisungsbetrag belasten, wenn der Kunde auch tatsächlich der Bank die Anweisung nach § 675 j BGB hierfür gegeben hat. In allen anderen Fällen muß die Bank dem Kunden grundsätzlich nach § 675u Satz 2 das Geld erstatten, bwz. darf das Konto nicht mit dieser Überweisung belasten. Dies gilt insbesondere für die Fälle in denen der Mißbrauch offensichtlich ist ( z.B. Überweisung an Empfänger im Ausland, hoher Überweisungsbetrag nach Heraufsetzung des Überweisungslimits usw.).
Bank muß das grob fahrlässige Verhalten des Kunden nach § 675 v Abs. 3 BGB beweisen
Trotz dieser Regelungen, welche durch die Zahlungsdienstrichtlinie ( PSD2 = Payment Services Directive2) in deutsches Recht umgesetzt wurde, verweigerte die Bank die Erstattung des Betrages mit dem Hinweis auf ein grob fahrlässiges Verhalten des Kunden. Obwohl die Bank eigentlich für diesen Anspruch die volle Darlegungs- und Beweislast trägt , also dem Kunden gegenüber beweisen muß,dass der Schaden nur durch sein grob fahrlässiges Verhalten ermöglicht wurde, wird immer mit diesem Argument der Erstattungsanspruch durch die Banken verweigert.
Nur Beweiserleichterung für die Bank durch starke Kundenauthentifizierung
Richtig daran ist, daß den Banken für Ihren Schadensersatzanspruch gegen den Kunden wegen eines möglichen grob fahrlässigen Verhaltens eine Beweiserleichterung zukommt , wenn Sie darlegen können, daß Sie für Ihr Online Banking eine starke Kundenauthentifizierung mit zwei unterschiedlichen Faktoren einsetzen ( siehe § 1 Abs.24 ZAG ).
Allerdings hatte der Bundesgerichtshof in seinem Grundsatzurteil vom 20.01.2016 ( AZ.: XI ZR 91/14) ausdrücklich erklärt, daß nicht automatisch bei Verwendung eines Sicherheitssystems mit einer starken Kundenauthentifizierung auf ein grobfahrlässiges 'Verhalten des Kunden geschlossen werden kann. Vielmehr käme es auf den Einzelfall an, insbesondere wenn es durch besondere Vorkommnisse Hinweise auf einen atypischen Geschehensablauf geben würde.
Datenleck bei der Postbank
Im vorliegenden Fall konnte wir Kanzlei durch die Vorlage verschiedener Artikel belegen, daß es offensichtlich bei der Postbank ein Datenleck gegeben habe . So wurde in mehreren überregionalen Tageszeitungen darüber berichtet, daß durch die Migration der Daten von Postbank-Kunden auf eine gemeinsame IT-Plattform mit der Muttergesellschaft Deutsche Bank, es zu einem schwerwiegenden Datenleck gekommen sei und viele Daten der Kunden der Postbank aufgrund eines Datenlecks eines externen Dienstleisters durch Dritte „abgefischt“ wurden .
Dieser Hinweis an die Postbank genügte, daß Sie dem Kunden ohne weitere zeitliche Verzögerungen oder Beanstandungen, den entwendeten Betrag in voller Höhe ertstatteten.
Kostenlose Ersteinschätzung
Wir sind gerne bereit im Rahmen einer kostenlosen Ersteinschätzung ihren Fall zu prüfen.
