Kein Anscheinsbeweis nach § 675w BGB – Gefährdungsrisiko pushTAN-Verfahren

Zuletzt hat das LG Heilbronn in einem Rechtsstreit wegen Erstattungsansprüchen eines klagenden Kunden gegen seine Bank aufgrund eines Social Engineering Angriffs die Rechtsauffassung vertreten, dass die Voraussetzungen für den Anscheinsbeweis der Autorisierung zugunsten des Zahlungsdienstleisters nach § 675w BGB durch das pushTAN-Verfahren nicht erfüllt würden. Die Verwendung zweier Apps auf einem Gerät statt Nutzung getrennter Kommunikationswege entspreche nicht der Authentifizierung aus wenigstens zwei voneinander unabhängigen Elementen i. S. v. § 1 Abs. 24 ZAG, sodass die sehr hohe Sicherheit des Authentifizierungsverfahrens nicht vorläge.

Sachverhalt

Dem Urteil lag folgender Sachverhalt zugrunde: Der Kläger erhielt einen sog. Spoofing-Telefonanruf von einer regionalen Festnetznummer. Der Anrufer gab vor, ein Mitarbeiter der IT-Abteilung des beklagten Zahlungsdienstleisters zu sein. Unter dem Vorwand, dass auf seinem Konto durch unbefugte Dritte sein Kreditlimit erhöht worden sei und zwei Zahlungen der unbefugten Dritten erfolgt wären, bat der Anrufer um drei Transaktionsnummern (TAN) zur Rückabwicklung. Der Kläger gab die mittels seiner pushTAN-App erzeugten TANs telefonisch weiter. Hierdurch konnten die Täter zwei Überweisungen i.H.v. insgesamt EUR 8.433,72 tätigen. In der Klage machte er diesen Schaden gegen den Zahlungsdienstleister geltend. Der Beklagte erwiderte, der Kläger habe seine Sorgfaltspflichten grob fahrlässig verletzt, weshalb der Anspruch durch Aufrechnung des Zahlungsdienstleisters mit seinem Schadensersatzanspruch erloschen sei.

Entscheidungsgründe

Zunächst nahm das LG Heilbronn dazu Stellung, dass die Überweisungen durch die Täter – der ständigen Rechtsprechung entsprechend – aufgrund des vorgetäuschten Vorwands zur TAN-Herausgabe unautorisiert i.S.d. § 675u S. 2 BGB waren. Trotz der Weitergabe der TANs läge keine Einwilligung nach § 675j Abs. 1 S. 2 BGB vor, denn der Kläger habe keine Überweisungen tätigen wollen, sondern nur die erfolgten Überweisungen rückgängig machen wollen.

Ergänzend nahm das Gericht zu dem Anscheinsbeweis nach § 675w S. 3 BGB Stellung. Hiernach tritt bei dem Nachweis der Autorisierung eines Zahlungsvorgangs mittels eines Zahlungsauthentifizierungsinstruments der Beweis des ersten Anscheins ein, dass entweder der Nutzer selbst verfügt oder zumindest grob fahrlässig gehandelt hat. Voraussetzung einer Anwendung der Grundsätze des Anscheinsbeweises ist laut BGH-Rechtsprechung zudem, dass auf Grundlage aktueller Erkenntnisse die allgemeine praktische Unüberwindbarkeit des eingesetzten Sicherungsverfahrens sowie dessen ordnungsgemäße Anwendung und fehlerfreie Funktion im konkreten Einzelfall feststehen. Das Eingreifen des Anscheinsbeweis setzt somit voraus, dass ebendiese Autorisierung als bestimmter Sachverhalt feststeht, welcher nach der allgemeinen Lebenserfahrung mit sehr hoher Wahrscheinlichkeit auf eine bestimmte Ursache oder auf einen bestimmten Ablauf als maßgeblich für den Eintritt eines bestimmten Erfolgs hinweist.

Das LG Heilbronn sah letztere Voraussetzungen nicht gegeben, da das pushTAN-Verfahren, bei dem die TAN auf dem Mobiltelefon in einer anderen App angezeigt wird als der für den Online-Banking Zugang verwendeten App auf demselben Smartphone, nicht die für den Anscheinsbeweis erforderliche sehr hohe Wahrscheinlichkeit und somit die nötige Typizität des Geschehensablaufs erfülle. Dies begründet es damit, dass hierbei die für die Sicherheit des Authentifizierungs-Verfahrens wesentliche Trennung der Kommunikationswege zugunsten des besonderen Komforts des Verfahrens aufgegeben worden sei.

Zur Sache führt es aus, dass der Anspruch aus § 675u S. 2 BGB durch die Aufrechnung der Beklagten mit ihrem Schadensersatzanspruch aus § 675v Abs. 3 Nr. 2 lit. a und b BGB erloschen sei.

Die grobe Fahrlässigkeit begründete es vor allem damit, dass es jedem einleuchten müsste, dass Online-Banking ausschließlich online erfolge und nicht telefonisch oder schriftlich, egal, wer sich am Telefon wegen angeblicher Maßnahmen melde. Dabei wurde wesentlich auf die langjährige Erfahrung des Klägers im Online-Banking abgestellt, der zuvor nie telefonisch durch die Beklagte im Rahmen des Online-Bankings kontaktiert worden sei. Auch die Generierung mehrerer TANs hätten ihm auffallen müssen. Das LG Heilbronn schloss sich dabei dem OLG München an und thematisierte die langjährige Bekanntheit ebensolcher Betrugsmaschen durch angebliche Bankmitarbeiter, sodass die Unkenntnis des Phishing-Phänomen zumindest grob fahrlässig sei. Hinzu käme, dass dem Kläger die Überweisungsdaten in der pushTAN-App angezeigt worden wären. Aufgrund der dem Kläger bekannten im Display angezeigten Daten sei nicht nachvollziehbar, dass die zu den Überweisungen gehörenden TANs mündlich weitergegeben worden seien im Glauben daran, eine Überweisung rückgängig zu machen.

Ein Mitverschulden des Zahlungsdienstleisters wurde ferner abgelehnt. Insbesondere habe die Beklagte keine Warnpflicht gegenüber dem Kläger innegehabt. Unter Verweis auf die BGH-Rechtsprechung seien im Zahlungsverkehr Warn- und Hinweispflichten zum Schutz der Kunden nur bei einem Verdacht des Zahlungsdienstleisters aufgrund von massiven Anhaltspunkten gegeben. Eine allgemeine Überwachungspflicht ohne besondere Anhaltspunkte bestehe nicht. Ein solcher Verdachte wurde trotz der vorliegenden Auslandsüberweisungen, der glatten Überweisungsbeträge sowie daraus folgenden Kontoüberziehungen durch das LG nicht angenommen.

Für die Praxis

Das LG Heilbronn folgt mit seinem Urteil weitgehend den durch andere Gerichte gesetzten Maßstäben. Nach diesem Urteil, welches zu der Sicherheit des pushTAN-Verfahrens Stellung nimmt und das Eingreifen des Anscheinsbeweis nachvollziehbar ablehnt, ist ein entsprechender Autorisierungsnachweis seitens der Zahlungsdienstleister aufgrund der weiten Verbreitung noch schwerer zu erbringen. Somit bleibt als erfolgsversprechende Verteidigung gegen Erstattungsklagen nur ein substantiierter Vortrag zum grob fahrlässigen Verhalten des Zahlungsdienstnehmers, was zumindest bei telefonischer Weitergabe von TANs von den Gerichten fast einhellig angenommen wird.