Phishing: Sparkasse Osnabrück muss Kundin über 10.000 Euro ersetzen

Das Landgericht Osnabrück hat die Sparkasse Osnabrück mit Urteil vom 01.09.2023 dazu verpflichtet, einer Kundin 10.461 Euro zu erstatten, die Betrüger von ihrem Konto abgeräumt hatten.

Der Vorfall

Die Kundin erhielt am 21.10.2022 eine Phishing-SMS, wonach sie ihre Push-TAN-Registrierung über einen Link erneuern müsse, weil diese am nächsten Tag ablaufen werde. Als Absenderin der Phishing-SMS war die Sparkasse Osnabrück angegeben. Nachdem die Kundin auf den Link geklickt hatte, öffnete sich eine Internetseite, die wie die Homepage der Sparkasse Osnabrück aussah. Dort sollte die Sparkassenkundin sich in ihr Online-Banking einloggen. Der weitere Verlauf war streitig. Die Sparkasse Osnabrück behauptete, die Kundin habe sich mit ihrem Benutzernamen und ihrer PIN ins Online-Banking eingeloggt und einen neuen Push-TAN-Zugang für ihr Konto beantragt. Die Kundin versicherte demgegenüber, dass Sie lediglich die ersten drei Buchstaben ihres Vornamens eingegeben und den Vorgang dann aus Zeitgründen abgebrochen habe. Jedenfalls haben Unbekannte danach wohl auf einem mobilen Endgerät eine neue Push-TAN-App eingerichtet und 10.461 Euro vom Konto der Sparkassenkundin abgebucht.

Die Entscheidung

Das Landgericht Osnabrück stellte zunächst fest, dass man schon deshalb nicht davon ausgehen könne, dass der Auftrag für die neue Push-TAN-App von der Sparkassenkundin erteilt worden sei, weil das Push-TAN-Verfahren nicht sicher sei, wenn – wie wohl vorliegend – auf demselben Endgerät auch die Banking-App installiert sei. Untersuchungen eines IT-Sicherheitsexperten hätten ergeben, dass viele Push-TAN-Apps in diesem Fall nicht sicher seien.

Des Weiteren stünde der Sparkasse Osnabrück auch kein Schadensersatzanspruch zu, weil ihre Kundin nicht grob fahrlässig gegen die Sorgfaltspflichten beim Online-Banking verstoßen habe. Die Sparkasse Osnabrück habe nicht beweisen können, dass ihre Kundin auf der verlinkten Homepage ihre Login-Daten für´s Online-Banking eingegeben habe. Das Anklicken des Linkes stelle für sich alleine keine Sorgfaltspflichtverletzung dar, weil die Sparkassenkundin nur zur Geheimhaltung ihrer PIN und TAN verpflichtet sei. Dasselbe gelte für den Vorwurf der Sparkasse Osnabrück, ihre Kundin habe die Sicherheitshinweise auf ihrer Homepage nicht gelesen. Da die Sparkasse Osnabrück auch die Weitergabe einer TAN-Nummer nicht habe beweisen können, müsse sie ihrer Kundin das Geld erstatten.

Anmerkung

In Phishing-Fällen spielen technische Fragen nach der Sicherheit des von der jeweiligen Bank eingesetzten Sicherungsverfahrens (z.B. Push-TAN, TAN-Generator, Banking-App etc.) eine große Rolle. Betroffene Bankkunden sollten daher unbedingt nur Rechtsanwälte zu Rate ziehen, die sich mit Phishing-Fällen im Zusammenhang mit Online-Banking auskennen.