Autorisierte Betrugszahlung: Gericht verschiebt Risiko zur Bank
Das Oberlandesgericht Linz lässt eine Bank für die Hälfte des Schadens haften, den ein Kunde sich im Onlinebanking ungewollt zugefügt hatte. Eine im Einzelfall nachvollziehbare Entscheidung mit. . .
Ob durch vermeintlich unbedenkliche SMS oder durch Anrufe angeblicher Bankmitarbeiter: Angriffe auf Bankkunden werden immer raffinierter und bringen die Betroffenen nicht selten um einen Teil ihres Ersparten. Die Täter selbst bleiben oftmals im Verborgenen, sodass Ersatzansprüche gegen sie meist ins Leere laufen. Damit rückt eine mögliche Haftung der an der Zahlungsabwicklung beteiligten Kreditinstitute häufig in den Fokus. Erst kürzlich gewann diese Frage neuerlich an Brisanz: Nach einer rechtskräftigen, medienwirksamen Entscheidung desOLG Linzist eine Mithaftung von Banken selbst bei autorisierten Zahlungen nicht ausgeschlossen, solange die Zahlungen hinreichend ungewöhnlich sind. Was auf den ersten Blick naheliegend klingt, führt allerdings in der Praxis zu erheblichen Abgrenzungsschwierigkeiten. Die Zahl betrügerischer Angriffe im Zahlungsverkehr steigt seit Jahren kontinuierlich. Besonders sogenannte Social-Engineering-Angriffe stellen dabei eine wachsende Herausforderung dar. Anders als bei klassischen Cyberangriffen überwinden die Täter dabei keine technischen Sicherheitsbarrieren, sondern bringen ihre Opfer durch gezielte Täuschung und Manipulation dazu, Zahlungen selbst freizugeben. Immer öfter machen Betroffene auch Ersatzansprüche gegen die an der Zahlungsabwicklung beteiligten Banken geltend – wie die starke Zunahme an Gerichtsverfahren in den letzten Jahren zeigt. Salomonischer GesetzgeberDer Gesetzgeber hat das Thema schon früh erkannt und sich zu einer salomonischen Lösung im Zahlungsdienstegesetz entschieden: Hat der Kunde eine Zahlung nicht autorisiert und sich ein Übeltäter etwa in das E-Banking gehackt, ist der Zahlungsdienstleister verpflichtet, den Betrag unverzüglich zu erstatten. Hat der Kunde die Zahlung unter Verwendung der vorgesehenen Authentifizierungsverfahren jedoch selbst freigegeben – etwa, weil er auf Social-Engineering her-eingefallen ist –, scheidet eine Erstattungspflicht der Bank grundsätzlich aus. Der Gesetzgeber wollte die Risiken damit demjenigen zuweisen, der sie besser kontrollieren kann: So hat die Bank regelmäßig als einzige die Möglichkeit, ihre IT gegen Angriffe von außen zu schützen, während der Kunde eher weiß, welche Zahlungen er warum freigeben möchte. Zu den AutorenRaphael Tomanist Partner,Florian HieslmayrRechtsanwaltsanwärter in der Kanzlei Brandl Talos Rechtsanwält:innen GmbH. Diese bewusste Entscheidung des Gesetzgebers hat allerdings ihre Schwäche, weil er den Punkt nicht abschließend geregelt hat. Parallel zu dieser Regelung gibt es nämlich noch eine Trickkiste, in welche Gerichte von Zeit zu Zeit greifen, wenn sie eine gesetzgeberische Regelung im Einzelfall nicht für treffsicher halten: Die allgemeinen Schutz- und Sorgfaltspflichten, die sich aus dem allgemeinen Zivilrecht ergeben. Auf diese hat sich auch das OLG Linz gestützt, als es in seiner Entscheidung die gesetzgeberische Wahl außen vor gelassen hat. Gefälschte E-Mail, Anruf unter fremder IdentitätDer Entscheidung (OLG Linz, 1 R 45/25f) lag folgender Sachverhalt zugrunde: Der Kläger erhielt zunächst eine gefälschte E-Mail, die scheinbar von seiner Bank stammte und ein Update der Sicherheits-App ankündigte. Nachdem er einem darin enthaltenen Link gefolgt war und seine Zugangsdaten preisgegeben hatte, wurde er noch am selben Tag von einem vermeintlichen Bankmitarbeiter kontaktiert. Dieser gab vor, verdächtige Transaktionen verhindern zu müssen, und veranlasste den Kläger dazu, ihm Zugriff auf seine Konten zu gewähren sowie 41 Überweisungen mit einem Gesamtvolumen von rund 200. 000 Euro binnen 1,5 Stunden zu autorisieren. Obwohl der Kläger die Zahlungen selbst freigegeben – und somit autorisiert – hatte, verpflichtete das OLG Linz die beklagte Bank zum Ersatz von 50 % des entstandenen Schadens. Das Gericht begründete seine Entscheidung mit einer schuldhaften Verletzung vertraglicher Schutz- und Sorgfaltspflichten, da das Betrugsmonitoring der Bank die Zahlungen hätte erkennen und den Kunden warnen müssen. Gerade die Häufung und Höhe der Transaktionen, die ungewöhnlichen Zahlungsabläufe und die Gesamtsituation hätten der Bank vielmehr Anlass geben müssen, die Transaktionen als verdächtig einzustufen und die Zahlungen zu stoppen. Rückfrage bei Kunden Pflicht?Gerade in diesem konkreten Einzelfall erscheint die Sorge des Gerichts nachvollziehbar, allerdings darf die Tragweite dieser Entscheidung nicht unterschätzt werden. In der Praxis sind solche Fälle selten, Beträge regelmäßig kleiner und Zahlungen gehen insEU-Inland. Solche Überweisungen könnten zwar auch auf betrügerische Handlungen zurückzuführen sein, viel naheliegender ist aber eine legitime Zahlung des Kunden. Ob die Zahlung aber nicht nur getätigt, sondern auch tatsächlich gewünscht ist, könnte die Bank letztlich nur durch Rückfrage beim Kunden klären. Gerade dadurch würden vertragliche Schutz- und Sorgfaltspflichten im Zahlungsverkehr aber überspannt. Würde man Kreditinstitute verpflichten, jede atypische Transaktion einer vertieften Prüfung zu unterziehen, hätte das erhebliche Auswirkungen. Das beginnt schon bei der Frage, welche Zahlungen typisch sind – der Einkauf in einem Supermarkt, der vom gewöhnlichen abweicht? Der Kauf von Gütern im EU-Inland? Der Kauf von WM-Tickets in den USA? Auch in all diesen Fällen lässt sich ein Betrugsszenario entwerfen, bei dem der Kunde schutzbedürftig scheint – und sei es ein Taschendieb, der im Nachbarbezirk versucht, die gestohlene Bankomatkarte einzusetzen. Effizienz elektronischer Zahlungssystem würde leidenDie notwendige und von Kunden erwartete Geschwindigkeit und Effizienz elektronischer Zahlungssysteme ließen sich mit derartigen Anforderungen nicht vereinbaren. Zugleich würde eine umfassende Prüfpflicht die Zahlungsautonomie der Kunden erheblich einschränken. Hinzu kommt, dass eine derart weitreichende Risikoverlagerung vom Kunden auf die Bank die Gefahr begründet, dass Kunden zunehmend sorglos agieren, weil im Zweifelsfall die Bank ohnehin haftet. Eine solche Ausweitung bankseitiger Schutzpflichten würde daher die Eigenverantwortung der Kunden untergraben und auch die Grenzen einer sachgerechten Risikoverteilung im Zahlungsverkehr überschreiten. Ziel der vertraglichen Schutz- und Sorgfaltspflichten von Banken im Rahmen des Zahlungsverkehrs kann daher nicht sein, jedes denkbare Betrugsrisiko auszuschließen und jeder Zahlung hinterherzutelefonieren. Diese Pflichten können vielmehr nur dort greifen, wo sich aus der Gesamtschau aller Umstände ein hinreichend konkreter Verdacht für einen betrügerischen Zahlungsvorgang ergibt und ein Einschreiten der Bank zum Schutz des Kunden sachlich geboten erscheint. Und hier hat der Gesetzgeber bereits eine Lösung gefunden und klargestellt, dass er einem reibungslosen Zahlungsverkehr einen höheren Stellenwert einräumt als ständigen Nachfragen. Prinzip SelbstverantwortungDabei ist auch zu berücksichtigen, dass der Gesetzgeber durchaus auch bereit ist, das bestehende System weiter auszutarieren: Das Zahlungsdienstrecht wird laufend reformiert, und erst zuletzt hatte der Gesetzgeber die Banken dazu verpflichtet, auch eine Empfängerüberprüfung bei Online-Zahlungen vorzunehmen. Damit werden die Kontrollmöglichkeiten der Kunden gestärkt, ohne jedoch das bewährte Prinzip der Selbstverantwortung aufzugeben und den Zahlungsverkehr durch eine umfassende Verantwortungsverlagerung zu belasten – oder bei jeder Zahlung ein Telefonat mit einem Bankmitarbeiter zu verlangen.