Keine grobe Fahrlässigkeit – Call-ID Spoofing bei der Autorisierung digitaler Karten

Der Zahlungsdienstleister hat keinen Schadensersatzanspruch aus § 675v BGB mangels vorliegender Fahrlässigkeit, wenn die Visualisierungstexte in der pushTAN-App zur Autorisierung digitaler Karten nicht deutlich genug sind. In Fortsetzung seiner Rechtsprechung hat dies das LG Köln mit Urteil vom 08.01.2024 (Az. 22 O 43/23) erneut entschieden.

Sachverhalt

Dem Urteil des LG Köln liegt folgender Sachverhalt zugrunde: Der Kläger nimmt die beklagte Zahlungsdienstleisterin wegen der Erstattung von Zahlungen aus unautorisierten Zahlungsvorgängen gem. § 675u S. 2 BGB in Anspruch.

Der Kläger wurde telefonisch von dem Betrüger – ein angeblicher Mitarbeiter der Beklagten – unter Verwendung ihrer Telefonnummer (sog. Call-ID Spoofing) kontaktiert. Unter dem Vorwand, die Beklagte habe sein Konto vorsichtshalber wegen aktueller Betrugsfälle gesperrt, forderte der Betrüger den Kläger zur Entsperrung des Kontos per pushTAN auf. In der pushTAN-App wurde als Auftrag „Registrierung Karte“ sowie ein Warnhinweis angezeigt, keine Aufträge freizugeben, die nicht explizit selbst beauftragt worden seien. Der Kläger gab den Auftrag frei, sodass auf dem mobilen Endgerät des Täters eine digitale Karte eingerichtet wurde, womit dieser Zahlungen ohne weitere Autorisierung des Klägers vornehmen konnte.

Entscheidungsgründe

Entsprechend der ständigen Rechtsprechung sah das LG Köln den Anspruch des Klägers aus § 675u S. 2 BGB wegen fehlender Autorisierung gegeben, da die Zahlungsvorgänge mittels digitaler Karte eben nicht durch den Kläger vorgenommen wurden.

Dieser sei mangels grober Fahrlässigkeit nicht durch die Aufrechnung der Beklagten mit ihrem Schadensersatzanspruch aus § 675v Abs 3 S. 2 BGB erloschen. Es fehle an einem subjektiv schlechthin unentschuldbaren Verhalten des Klägers.

Das Gericht stützte sich zunächst darauf, dass bereits die Nutzung der Nummer der Beklagten aufgrund des Call-ID Spoofing bei einem verständigen, langjährigen Bankkunden mit besonderem Vertrauen verbunden wäre. Der Durchschnittsbürger dürfte von dieser betrügerischen Möglichkeit der Nutzung fremder Nummern keine Kenntnis haben. Auch der Anruf durch einen unerkannten Mitarbeiter sei nicht verdächtig aufgrund der Fluktuation und Arbeitsteilung innerhalb der Bank.

Nichts daran ändere, dass dem Kläger der Auftrag zur Registrierung einer Karte angezeigt wurde. Trotz der Absicht die Karte zu entsperren und nicht zu registrieren, sei aus der Bezeichnung „Registrierung“ in dieser Überrumpelungssituation trotz des Sicherheitshinweises nicht erkennbar, dass es um die Einrichtung eines Zahlungssystems auf einem mobilen Endgerät und damit die Freigabe einer Möglichkeit zu Kontoverfügungen gehe, die nur von der Verfügungsgewalt über dieses mobile Endgerät abhänge.

Damit stützte sich das Gericht auch auf die Verantwortlichkeit der Beklagten für das Geschehen. Denn die Beklagte habe ohne weiteres die Möglichkeit gehabt, einen eindeutigen Text vorzusehen, der dem Kunden vor Augen führe, welcher Zahlungsdienst, also die Nutzung einer mobilen Wallet auf einem mobilen Endgerät, freigegeben wird.

Ferner äußerte sich das Gericht dazu, dass auch der Sicherheitshinweis nicht ausreichend genau sei. Denn nach dem Wortsinn ergebe sich hieraus nicht, dass ein „explizit beauftragter Auftrag“ nur einen über das Online-Banking angelegten Auftrag erfasse und gerade nicht einen telefonisch erteilten Auftrag.

Für die Praxis

Wie schon in der Rechtsprechung der letzten Jahre setzen die Gerichte die Schwelle zur groben Fahrlässigkeit aufgrund immer perfiderer Betrugsmaschen höher. Dabei spielt jedoch auch die Verantwortung der Zahlungsdienstleister eine Rolle, da die ständige Modernisierung und Flexibilisierung des Zahlungssystems zulasten der Transparenz und Sicherheit der Kunden gehen.

Falls noch nicht bereits aufgrund des Urteils des LG Köln vom 09.03.2023 (Az.: 15 O 267/22) geschehen, sollten die Zahlungsdienstleister dringend ihre Visualisierungstexte in der pushTAN-App anpassen, damit der zu autorisierende Auftrag eindeutig erkennbar ist. Dem Kunden muss hierdurch deutlich werden, was genau er gerade beauftragt und welche Konsequenzen das für ihn haben kann, also welche Gefahren mit einer digitalen Karte verbunden sind.

Auch ist dazu zu raten, den Sicherheitshinweis anzupassen, sodass gerade vor telefonisch oder außerhalb vertrauenswürdiger Zahlungsdienstleister angelegten Aufträge gewarnt wird.