Phishing: Landgericht Köln sieht Schuld bei Sparkasse

Mit Urteil vom 8. Januar hat das Landgericht Köln die Sparkasse Köln Bonn dazu verurteilt, einem Kunden 9.933,38 EUR zu ersetzen, die Kriminelle von seinem Girokonto geraubt hatten.

Der Fall

Der Kunden nutzte das Online-Banking der Sparkasse. Aufträge gab er dabei mit der auf seinem Handy installierten pushTAN App durch Wischen eines roten Balkens frei. Im September 2023 erhielt er unter der Telefonnummer der Sparkasse Köln Bonn einen Anruf. Der Anrufer erkundigte sich danach, ob er von betrügerischen Anrufen oder verdächtigen Kontobewegungen betroffen sei. Nachdem der Kunde dies verneint hatte, behauptete der Anrufer, dass er aufgrund aktueller Betrugsfälle vorsorglich das Konto des Kunden gesperrt habe. Da der Kunde aber nicht betroffen sei, könne er dessen Konto ja wieder freischalten. Der Kunde solle die Freischaltung mit seiner pushTAN App bestätigen. Der Kunde erhielt daraufhin auf seinem Handy die Push-Nachricht „Registrierung Karte“, die er durch Wischen in seiner pushTAN App freigegeben hat. Tatsächlich schaltete der Kunde hiermit aber nicht sein Konto wieder frei, sondern bestätigte die Registrierung seiner Debitkarte für Apple Pay auf einem Mobilfunkgerät der Täter, die damit anschließend einkauften.

Die Rechtslage

Verfügen – wie hier – Dritte unbefugt über ein Konto, muss die Bank den Betrag nach § 675u BGB dem Girokonto ihres Kunden unverzüglich wieder gutschreiben. Dies gilt allerdings nicht, wenn dies auf einem grob fährlässigen Umgang des Kunden mit seinen Log-In-Daten für das Online-Banking oder seiner pushTANs beruht. Da hier – wie eigentlich immer – unbekannt geblieben ist, wie die Täter an die Login-Daten für das Online-Banking des Klägers gekommen sind, war entscheidend, ob dem Kunden grobe Fahrlässigkeit vorzuwerfen ist, weil er nicht erkannt hat, dass der Anruf nicht von seiner Sparkasse kam und nicht bemerkte, dass die pushTAN nicht für die Freischaltung seines Kontos bestimmt war.

Die Entscheidung:

Das Landgericht Köln entschied zurecht, dass den Bankkunden keine grobe Fahrlässigkeit trifft. Da die Täter die Telefonnummer gefälscht hatten, musste er nicht bemerken, dass der Anruf nicht von seiner Sparkasse kam. Dem Bankkunden ist auch keine grobe Fahrlässigkeit vorzuwerfen, weil er aufgrund des durch die pushTAN angezeigten Verwendungszweckes „Registrierung Karte“ hätte erkennen müssen, dass es nicht um die Freischaltung seines Kontos geht. Vielmehr hätte die Sparkasse eine genauere Bezeichnung, wie z.B. Freischaltung der Debitkarte für Apple Pay“ verwenden müssen, damit ihr Kunde ausreichend gewarnt gewesen wäre.

Auch betroffen?

In den Phishing-Fällen ist daher immer der Einzelfall daraufhin zu untersuchen, ob dem Bankkunden grobe Fahrlässigkeit vorgeworfen werden kann. Je besser die Kriminellen den Bankkunden täuschen, desto eher liegt keine grobe Fahrlässigkeit vor. Die Hürden für grobe Fahrlässigkeit sind eigentlich hoch, denn sie setzen ein nicht entschuldbares, leichtfertiges Handeln bzw. einen Verstoß gegen das, was jedermann hätte einleuchten müssen, voraus. In diesen Fällen dürfte demgegenüber oft nur ein einfaches fahrlässiges Augenblicksversagen vorliegen. Betroffene sollten daher nicht einfach die Flinte ins Korn werfen ohne vorher einen Rat eines Rechtsanwaltes eingeholt zu haben, der sich mit Phishing-Fällen auskennt.