Betrugsfälle im Online-Banking – Updates aus Rechtsprechung und Gesetzgebung

Zahlungsdienstleister müssen sich auf eine zunehmende Anzahl an Betrugsfällen beim Online-Banking und immer höhere Schadenssummen einstellen. Zudem besteht aufgrund steigender Anforderungen an die im Rahmen einer starken Kundenauthentifizierung eingesetzten Sicherheitssysteme ein wachsendes Prozessrisiko der Zahlungsdienstleister. Daneben sind gesetzliche Neuerungen zur Stärkung des Nutzerschutzes und des Vertrauens in Zahlungen geplant. Die wichtigsten Entwicklungen in der Rechtsprechung und Gesetzgebung wollen wir hierzu im Folgenden vorstellen:

Zunehmende Professionalität der Betrüger

Die Zeiten schlecht formulierter und leicht zu erkennender Betrugsversuche sind infolge der sich rasant entwickelnden Technologie längst Geschichte. Die Betrugsmaschen werden immer professioneller und verursachen immer größer werdende Opferzahlen und Schadenssummen. Als aktuelle Beispiele können etwa der eBay Kleinanzeigen Betrug oder die Versendung von betrügerischen Pishing-Nachrichten im Namen der Banken unter dem Vorwand einer pushTAN-Erneuerung genannt werden. Der Trend steigender Fallzahlen von Betrügen im Online-Banking (im Jahr 2022 gab es einen Anstieg von 22%) wird somit voraussichtlich anhalten und sich nochmals verschärfen.

Reaktionen der Rechtsprechung

Kommt es aufgrund eines Betrugsfalles zu einer gerichtlichen Auseinandersetzung zwischen Zahlungsdienstleister und Zahlungsdienstnutzer, geht es regelmäßig um die Frage der grob fahrlässigen Verletzung der Sorgfaltspflichtverletzungen des Zahlungsdienstnutzers. Angesichts der zunehmenden Professionalisierung wird der Raum für eine grob fahrlässige Pflichtverletzung immer kleiner. Bei dem Vortrag zur groben Fahrlässigkeit können sich die Zahlungsdienstleister auf den Beweis des ersten Anscheins gem. § 675w S. 3 BGB stützen, sofern auf Grundlage aktueller Erkenntnisse feststeht, dass das eingesetzte Sicherheitssystem unüberwindbar ist.

Dies stellt die Gerichte grundsätzlich vor die zeit- und kostenaufwändige Aufgabe, für jedes eingesetzte Sicherheitssystem die Unüberwindbarkeit zu überprüfen. Der Verweis auf Quellen zu Missbrauchsrisiken reicht wegen des oftmals bestehenden zeitlichen Abstands zwischen Veröffentlichung und Schadensfall in dem sich schnell entwickelnden Technologiemarkt häufig nicht aus.

Jüngst hat das LG Heilbronn mit Urteil vom 16.05.2023 festgestellt, dass das bislang grundsätzlich als unüberwindbar eingeordnete PushTAN-Verfahren nicht als unüberwindbares Sicherheitssystem eingeordnet werden dürfe, wenn die Banking-App und die TAN erzeugende PushTAN-App auf demselben Smartphone installiert sind.

Auch wenn dem Urteil des LG Heilbronn in seiner Pauschalität nicht zugestimmt werden kann, zeigt sich darin die Tendenz der Gerichte, unüberwindbare Sicherheitssysteme und den damit einhergehenden Anscheinsbeweis restriktiver anzunehmen.

Neuerungen durch PSD3 und PSR?

Mit Datum vom 28.06.2023 hat die Europäische Kommission die Entwürfe der dritten Zahlungsdienstrichtlinie (PSD3) sowie einer ergänzenden Delegierten Verordnung (PSR) vorgelegt. Im Einklang mit dem anfangs dargestellten Befund wurde bei den Regulierungen der PSD2 aus dem Jahr 2019 unter anderem ein Handlungsbedarf bei der Stärkung des Nutzerschutzes und des Vertrauens in Zahlungen festgestellt. Mit den vorgeschlagenen Änderungen gehen jedoch keine wesentlichen inhaltlichen Anpassungen einher, es sollen vielmehr Einzelfragen geklärt werden. So würden künftig auch zwei Faktoren derselben Kategorie für eine starke Kundenauthentifizierung genügen. Dafür hätten Walletbetreiber (beispielsweise ApplePay, GooglePay, SamsungPay), die einzelne oder mehrere Elemente der starken Kundenauthentifizierung für Zahlungsdienstleister bereitstellen und prüfen, künftig als Auslagerungsunternehmen ebenfalls die qualifizierten Anforderungen an eine starke Kundenauthentifizierung einzuhalten. Letztlich soll die Möglichkeit einer starken Authentifizierung auch Menschen ohne Smartphone oder Behinderung eröffnet werden.

Ausblick

Die sich ständig weiterentwickelnden technischen Anforderungen stellen die Zahlungsdienstleister vor die enorme Aufgabe, ihre Sicherheitssysteme so auszugestalten, dass sie das Risiko eines Missbrauchs effektiv minimieren. Auch wenn die überwiegende Rechtsprechung an ihren Leitlinien zur groben Fahrlässigkeit festhält, ist eine gesetzgeberische Klärung zur Anpassung der Zahlungsdienstsoftware sowie den erforderlichen Risikohinweisen angezeigt. Andernfalls droht den Zahlungsdienstleistern die Versagung des Anscheinsbeweises sowie deutlich erhöhtes Prozessrisiko in Betrugsfällen. Der Anreiz, die Sicherheitssysteme auf den neusten Stand zu bringen und auf diesem zu halten, resultiert somit nicht aus den geplanten gesetzlichen Neuerungen, sondern aus der zunehmenden Finesse der Betrüger und einer sich darauf einstellenden Tendenz in der Rechtsprechung.