Die Bedeutung der starken Kundenauthentifizierung in Phishing Fällen

Phishing ist für Banken sowie deren Kundschaft ein Dauerthema und beschäftigt auch Gerichte. Da die Betrüger in der Regel nicht greifbar sind, verlangen die Geschädigten meist Ersatz von den Banken. Das hat Auswirkungen auf die Anforderungen an Authentifizierung und Onlinebanking.

Eine Entscheidung des Oberlandesgerichts Karlsruhe vom vergangenen Dezember (OLG Karlsruhe, Urteil vom 23.12.2025 - 17 U 113/23, BeckRS 2025, 35767) hat erstmals den Fokus weg von der Frage der groben Fahrlässigkeit und auf die Anforderungen an das Vorliegen einer starken Kundenauthentifizierung und deren Folgen für die Onlinebanking-Praxis gelegt. Dem Urteil lag folgender Sachverhalt zugrunde: Der klagende Kunde nutzte für das Onlinebanking das sogenannte Push-TAN-Verfahren, bei dem eine App für Aufträge, beispielsweise eine Überweisung, eine TAN erzeugt und durch Wischen auf dem Touchscreen freigibt. Im konkreten Fall hatten die Betrüger mit den Zugangsdaten des Kunden auf ihrem eigenen Smartphone die Registrierung einer digitalen Karte des Kunden beim Bezahldienst Apple Pay beauftragt. Der Kunde gab diesen Auftrag während eines Meetings in der Push-TAN-App frei, wobei ihm die Meldung „Registrierung Karte“ angezeigt wurde. Die Betrüger konnten mit der in ihrem Apple Pay-Konto hinterlegten digitalen Debitkarte des Kunden Einkäufe im Wert von mehr als 42.000 Euro tätigen.

Das Gericht ließ nun die sonst entscheidende Frage, ob die Freigabe der Push-TAN in dieser Situation grobe Fahrlässigkeit darstellte, offen und wandte sich stattdessen dem Vorliegen einer starken Kundenauthentifizierung zu. Der Kunde ist der Bank nicht zum Schadensersatz verpflichtet, wenn die Bank keine starke Kundenauthentifizierung verlangt. Eine starke Kundenauthentifizierung, besser bekannt als Zwei-Faktoren-Authentifizierung, zeichnet sich dadurch aus, dass die Vertraulichkeit der Authentifizierungsdaten durch zwei unabhängige Elemente aus dem Bereich Wissen, Besitz und Inhärenz gesichert ist und dass die Nichterfüllung eines Kriteriums die Zuverlässigkeit des anderen nicht in Frage stellt. Nun ist es grundsätzlich so, dass bei der Zahlung mit Apple Pay die digitale Debitkarte auf dem Smartphone der Betrüger das Besitzelement darstellt und der Entsperrmechanismus der Betrüger (bei Fingerabdrücken/Face ID = Inhärenz; bei Geräte-PIN/Entsperrmuster = Wissen) den zweiten Faktor.

Laut OLG Karlsruhe genügt das allerdings nicht. So habe die Bank vor der Freigabe der Zahlungsvorgänge das Besitzelement nicht ausreichend geprüft, da sie im Registrierungsverfahren der digitalen Debitkarte nicht sichergestellt habe, dass nur der Kläger Besitz an der digitalen Debitkarte erlangt. Dieses Versäumnis setze sich unmittelbar bei den einzelnen Zahlungsvorgängen fort. Hauptkritikpunkt des OLG ist dabei die Tatsache, dass es technisch möglich war, mit einem fremden Handy, dessen Vertrauenswürdigkeit nicht überprüft wurde, den Bestellvorgang für die digitale Karte auszulösen und dass die Onlinebanking- sowie die Push-TAN-App auf verschiedenen Geräten installiert sein konnten. Eine ausreichend sichere Zuordnung würde auch nicht durch die Freigabe in der Push-TAN-App des Kunden hergestellt. Von der Freigabe mittels Push-TAN-App könnten keine Rückschlüsse darauf gezogen werden, dass der Kunde tatsächlich im Besitz des Handys sei, das die digitale Karte beantragt hat und auf dem sie gespeichert werden solle. Die Bank durfte nicht annehmen, dass dem Kunden bei der Freigabe bewusst war, die Speicherung seiner digitalen Karte auf einem fremden Handy freizugeben.

Wie können Banken sicherstellen, dass digitale Karten wirklich nur auf Smartphones ihrer Kundschaft freigeschaltet werden können? Das OLG-Urteil bleibt einigermaßen vage, was die technische Umsetzung angeht, während das zugrundeliegende erstinstanzliche Urteil des LG Karlsruhe (LG Karlsruhe, Urteil vom 23.11.2023 – 2 O 312/22, BeckRS 2023, 57900) die entsprechende technische Maßnahme benennt: Geräteerkennung. Eine Geräte-, oder Browsererkennung bemerkt, wenn sich jemand mit einem neuen Gerät oder von einem anderen Browser mit den Zugangsdaten des Bankkunden in seinem Onlinebanking anmeldet und fordert den Kunden bei der ersten neuen Anmeldung zur TAN-Freigabe auf. Hätte es im vorliegenden Fall eine solche Geräteerkennung gegeben, hätten sich die Betrüger mit ihrem fremden Gerät nicht ohne Weiteres im Onlinebanking des Kunden anmelden, geschweige denn die digitale Debitkarte bestellen können.

Eine Browsererkennung haben die meisten Banken mittlerweile ohnehin eingeführt. Sie sollten dabei dringend darauf achten, dass diese auch bei allen angebotenen Apps und Services greift. Realistisch muss man jedoch sagen, dass auch eine Geräteerkennung allein nicht genügen wird, um Betrüger völlig auszusperren. Sie macht es ihnen nur schwerer, müssen sie doch ihr Opfer zuerst dazu bewegen, auch die TAN für die Browsererkennung freizugeben. Da die Urteilspraxis zeigt, dass Kunden in Phishing-Fällen meist mehr als nur eine TAN freigeben, stellt auch diese zusätzliche Schutzmaßnahme für Betrüger keine unüberwindliche Hürde dar.