Online Banking Betrug - und der Anscheinsbeweis § 675 w BGB

Wie bereits in einem anderen Rechtstipp mitgeteilt, erreichen mich eine Vielzahl an Anfragen von geschädigten Bankkunden, überwiegend Kunden der DKB AG. Nach und nach kommen dann auch die Antwort Mails von der DKB AG rein. In der Regel sind es Mails mit folgendem Textbaustein:

Die pauschale Darstellung, wie sich ein Anscheinsbeweis begründen könnte ist meines Erachtens keine Antwort auf das Schreiben des jeweiligen Kunden. Ganz offensichtlich erfolgte in diesen Fällen keine Einzelfallprüfung. Dies wäre aber erforderlich.

Der BGH hat in seinem Urteil vom 26. Januar 2016 – XI ZR 91/14 für die Geltendmachung eines Anscheinsbeweis konkret gefordert, dass die Bank darlegen und beweisen muss, dass auf Grundlage aktueller Erkenntnisse, die praktische allgemeine Unüberwindbarkeit des eingesetzten Sicherungsverfahrens sowie dessen ordnungsgemäße Anwendung und fehlerfreie Funktion im konkreten Einzelfall, feststehen. 

Zitat aus den Urteilsgründen :

"Für eine Anwendung der Grundsätze des Anscheinsbeweises im Zahlungsdiensterecht bei dem Nachweis einer Autorisierung durch ein vereinbartes Zahlungsauthentifizierungsinstrument reicht danach allein die korrekte Aufzeichnung der Nutzung dieses Zahlungsauthentifizierungsinstruments nicht aus. Vielmehr müssen dessen allgemeine praktische Sicherheit und die Einhaltung des Sicherheitsverfahrens im konkreten Einzelfall feststehen."

Hierzu darf angemerkt werden, dass  es vermutlich  kein Zahlungsautorisierungsverfahren gibt, das praktisch unüberwindbar ist. 

Die Bank kann also jedenfalls nicht den Anscheinsbeweis erfolgreich damit begründen, indem sie pauschal darauf verweist, dass PIN und TAN verwendet wurden, und man deswegen davon ausgehen durfte, dass "alles in Ordnung" ist.

Teilweise werden die Schreiben an die Kunden aber auch konkreter. Die DKB AG benennt die verwendeten TANs und behauptet, dass eine TAN zunächst verwendet wurde, um ein neues Mobilgerät zu registrieren und dann mit dem neuen Mobilgerät die reklamierte(n) Abbuchung(en) vom Kunden getätigt wurd(en) / oder aber jedenfalls ermöglicht wurden. Auch in diesen Fällen beruft sich die Bank dann auf den Anscheinsbeweis und verweigert die Rückbuchung.

Folgender Text stammt aus einem Schreiben der DKB AG:

"Systemseitig konnten wir feststellen, dass zunächst am 16.11.2022 um 16:15 Uhr ein Login in das Banking unseres Kunden stattfand. Hierbei wurde der Anmeldename und das nur ihm bekannte Passwort (Wissenselement) sowie die TAN 838491, die mit der auf seinem Endgerät installierten TAN2go-App (Besitzelement) erzeugt wurde, eingegeben. Während dieser Banking-Sitzung wurde dann die Mobilfunknummer geändert und dieser Vorgang ebenfalls per TAN (472298) autorisiert. Auch diese TAN wurde mit der TAN2go-App erzeugt, die auf dem Endgerät von Herrn X. installiert war. Am 21.11.2022 erfolgte eine Änderung des Endgerätes für den TAN-Empfang. Hierzu wurde die TAN2go-App auf einem neuen Endgerät installiert und anschließend per Freischaltcode mit dem Konto unseres Kunden verknüpft. Dieser Freischaltcode wurde an die Mobilfunknummer gesendet, deren Hinterlegung im Banking Herr X. am 16.11.2022 per TAN-Eingabe autorisiert hat. Da unser Kunde die TAN geheim halten und vor dem Zugriff Dritter schützen müssen, durften wir davon ausgehen, dass sowohl die Hinterlegung einer neuen Mobilfunknummer als auch die Aktivierung der TAN2go-App auf dem neuen Gerät durch ihn selbst erfolgte und es sich entsprechend um seine Mobilfunknummer und auch sein Endgerät handelte, anhand dessen wir ihn zukünftig authentifizieren können (Besitzelement)."

Auch in diesen Fällen zeigt die DKB AG dann nur auf, was im Online Protokoll verzeichnet ist. Und selbst wenn die Voraussetzungen des Anscheinsbeweis gegeben sind, dann ist damit immer noch nicht nachgewiesen, dass der Kunde den Zahlungsauftrag selbst durchgeführt oder autorisiert (rechtlich zugestimmt) hat. Genauso wenig führt der Anscheinsbeweis zur berechtigten Annahme, dass der Kunde den Zugriff eines Dritten vorsätzlich oder grob fahrlässig ermöglicht hat. Ich vermute, dass die Bank aber eigentlich auf diesen Vorwurf hinaus will. Eine solche Annahme rechtfertigt der Normzweck und der Wortlaut des Gesetz jedoch gerade nicht. 

Sofern der Anscheinsbeweis greift ist wichtig ausführlich darzustellen, dass der Kunde die Transaktion gerade nicht veranlasst und nicht autorisiert hat und generell sein PC und Mobilgerät vor unberechtigten Zugriffen Dritter schützt. Weiter ist aufzuzeigen, wie der Geschehensablauf gewesen sein kann - auch ohne ein grob fahrlässiges Zutun des Kunden.

Rechtslage ist: wenn der Bankkunde die Abbuchung von seinem Konto weder selbst veranlasst hat, noch einem Dritten grob fahrlässig ermöglicht hat, dann verbleibt es dabei, dass die Bank das allgemeine Missbrauchsrisiko beim Online Banking trägt und ein Anspruch auf Rückbuchung besteht. 

Nun stellt sich in diesem Zusammenhang die Frage, wann grobe Fahrlässigkeit denn genau vorliegt. Beim Online Banking sind die denkbaren Situationen wesentlich vielfältiger als bei dem Einsatz von Zahlungskarten (typischer Beispielsfall bei den Karten ist das notieren der PIN auf der Karte, oder gemeinsames Aufbewahren von Karte mit PIN zusammen im Geldbeutel). Beim Online Banking hat sich in der Rechtsprechung eine Tendenz herausgestellt dahingehend, dass etwa das Eingeben von TAN auf offensichtlich schlecht nachgeahmten Webseiten der Bank grob fahrlässig sei, wenn deutlich erkennbar gewesen wäre, dass es sich nicht um eine Originalseite der Bank handeln kann. Als grob fahrlässig angesehen wird in aller Regel auch die Herausgabe von persönlichen Sicherheitsmerkmalen (also PIN / TAN) per Telefon an Dritte oder per E-Mail. Dieses Verhalten, unter anderem, wird auch allgemein in den AGB der Banken als unzulässig respektive vertragswidriges Verhalten benannt.

Ich weise meine Mandanten darauf hin, dass es bei der Frage ob ein grob fahrlässiges Verhalten gegeben ist es sich um eine Bewertungsfrage handelt. Im Streitfall obliegt die Bewertung dann letztlich dem Tatrichter. Die Bewertung geschieht auf Basis der Darstellung der Parteien und muss gewissenhaft vorbereitet sein. 

Meines Erachtens darf bei der Verwendung der rechtlichen Bewertung "grob fahrlässig" nicht verkannt werden, dass grobe Fahrlässigkeit einen in objektiver Hinsicht schweren und in subjektiver Hinsicht schlechthin unentschuldbaren Verstoß gegen die Anforderungen der konkret erforderlichen Sorgfalt erfordert. Nach meinem Dafürhalten wird gerne vergessen, dass selbst ein objektiv grober Pflichtenverstoß für sich noch keinen zwingenden Schluss auf ein entsprechend gesteigertes personales Verschulden rechtfertigt. All dies muss im Streitfall entsprechend aufgearbeitet werden.