Telefonisch weitergegebene SMS-TANs: Bremer Senat sieht grobe Fahrlässigkeit bei Verlust von rund 47.000 Euro

Redaktionelle Zusammenfassung · 896 Wörter

Die Entscheidung erklärt

Hinweis auf beabsichtigte Zurückweisung

Ablauf des telefonischen Betrugs

Ein Anrufer gab sich im März 2022 als Bankmitarbeiter aus und verfügte bereits über Zugang zum Onlinebanking der Kundin. Das Telefonat dauerte 41 Minuten. Währenddessen erhielt die Frau neun SMS mit TANs für Limitänderungen und Überweisungen und teilte die Codes dem Anrufer mit. Dieser buchte insgesamt 40.500 Euro vom Tagesgeldkonto auf das Girokonto um und veranlasste fünf Überweisungen von jeweils mehr als 9.400 Euro auf fremde Konten bei anderen Banken. Die Kundin trug vor, im Display sei die Durchwahl ihres Bankberaters erschienen. Der Anrufer habe Kontobewegungen und persönliche Daten gekannt, vor fremden Zugriffen gewarnt und einen Rückruf mit angeblichem Zeitdruck sowie einer drohenden Warteschleife verhindert.

Weitergabe war keine Autorisierung

Die Bank wollte die Herausgabe der TANs auch als Zustimmung zu den Zahlungen verstehen. Dem folgte der Senat nicht. Vereinbart war eine Autorisierung durch Eingabe im Onlinebanking, nicht durch telefonische Mitteilung an einen Dritten. Die Kundin hatte die Transaktionen unstreitig nicht selbst im System ausgelöst. Auch eine stillschweigende Bevollmächtigung des Anrufers ergab sich nach dem Gericht nicht aus dem Geschehen. Damit bestand grundsätzlich ein Erstattungsanspruch wegen nicht autorisierter Zahlungsvorgänge aus § 675u BGB. Diese Einordnung erledigte den Rechtsstreit aber noch nicht: Die Bank konnte dem Anspruch einen eigenen Schadensersatzanspruch nach § 675v Absatz 3 BGB entgegenhalten, sofern dessen Voraussetzungen erfüllt waren.

Geheimhaltungspflicht und schwerer Sorgfaltsverstoß

Nach dem Senat verletzte die telefonische Mitteilung die gesetzliche Pflicht zum Schutz personalisierter Sicherheitsmerkmale und die wirksam vereinbarten Bedingungen des Onlinebankings. Bereits bei der Vereinbarung des SMS-TAN-Verfahrens im Dezember 2018 war die Kundin ausdrücklich auf die Geheimhaltung hingewiesen worden. Das galt auch gegenüber vermeintlichen Bankmitarbeitern. Für einen besonders schweren objektiven Sorgfaltsverstoß sprach zusätzlich der Inhalt der SMS: Aus den kurzen Nachrichten war erkennbar, dass konkrete Überweisungen auf fremde Konten freigegeben werden sollten. Die Kundin gab die Codes dennoch heraus. Die Entscheidung stützte sich damit auf die tatsächliche Weitergabe im Zusammenhang mit klar bezeichneten Zahlungsvorgängen und nicht lediglich darauf, dass ein Betrug überhaupt gelungen war.

Kontodaten und angezeigte Nummer entlasteten nicht

Auch bei Zugrundelegung des von der Kundin geschilderten Gesprächsverlaufs sah der Senat keine ausreichende Entlastung. Kenntnis von Kontodaten konnte ebenso auf einem unbefugten Zugang beruhen. Eine angezeigte Bankdurchwahl änderte nichts daran, dass TANs nicht mündlich weiterzugeben waren. Zudem hielt das Gericht die Erklärung zur angeblichen Warteschleife bei einem Rückruf an eine direkte Durchwahl für zweifelhaft. Die von der Bank allgemein behauptete Systemsicherheit enthielt keine Garantie gegen jeden unbefugten Zugriff. Das Sicherheitsmodell setzte vielmehr die Geheimhaltung der einzelnen Merkmale voraus. Dass die Frau weder PIN noch Kennwörter preisgegeben haben wollte, schloss nach dem Senat eine anderweitige Beschaffung dieser Zugangsdaten nicht aus.

Auch subjektiv grobe Fahrlässigkeit angenommen

Die Kundin verwies darauf, Onlinebanking bisher nur für Kontoübersichten verwendet und Überweisungen stets schriftlich eingereicht zu haben. Ihre geringe Erfahrung beseitigte nach dem Senat den subjektiv schweren Vorwurf nicht. Neben der bereits erteilten Belehrung hatten gerade die verständlichen SMS nochmals vor der Freigabe fremder Zahlungen gewarnt. Ob auf der Bankhomepage zusätzlich schon vor dem Vorfall Warnhinweise erschienen waren, konnte deshalb offenbleiben. Eine persönliche Anhörung, Parteivernehmung oder Vernehmung ihres Ehemanns hielt das Gericht nicht für geboten. Der behauptete Sachverhalt führte nach seiner Bewertung auch dann zu keiner günstigeren rechtlichen Einordnung, wenn er vollständig als zutreffend angenommen wurde.

Interne Umbuchungen gesondert bewertet

Die Überträge vom Tagesgeldkonto auf das Girokonto waren ohne TAN möglich gewesen. Der Senat leitete daraus keinen Ausschluss der Kundenhaftung ab. Der maßgebliche Schaden entstand durch die anschließenden externen Überweisungen, bei denen die Bank starke Kundenauthentifizierung angewendet hatte. Darüber hinaus verwies das Gericht für Überweisungen zwischen Konten derselben Person bei derselben Bank auf eine aufsichtsrechtliche Ausnahme. Diese erlaubte nach seiner Auslegung, bei solchen internen Umbuchungen auf eine starke Authentifizierung zu verzichten. Daraus folge auch zivilrechtlich kein Sorgfaltsverstoß. Der Beschluss erläutert insoweit eine rechtliche Bewertung der konkreten Kontenkonstellation; er behandelt interne Umbuchungen nicht selbst als die schadensauslösenden Abflüsse an unbekannte Dritte.

Mitverschulden der Bank blieb grundsätzlich möglich

Der Senat schloss ein Mitverschulden des Zahlungsdienstleisters nicht schon wegen der späteren groben Fahrlässigkeit der Kundin aus. Eine vorangegangene Pflichtverletzung der Bank könnte weiterhin zum Schaden beitragen. Im konkreten Fall fehlte aber ein ausreichend belegter Sorgfaltsverstoß. Aus dem erfolgreichen Zugriff allein ließ sich nach dem Gericht kein Anscheinsbeweis für ein technisch unzureichendes System herleiten. Auch eine später behauptete Systemumstellung bewies nicht, dass die früheren Sicherheitsstandards verfehlt worden waren. Konkreten weiteren Vortrag zu Sicherheitslücken vermisste der Senat. Die behaupteten Mängel wurden folglich nicht als nachgewiesene Tatsachen behandelt und rechtfertigten keine Kürzung des Gegenanspruchs.

Tageslimit und auffällige Transaktionsfolge

Ein Verstoß gegen eine vereinbarte Betragsobergrenze konnte nach dem Senat grundsätzlich ein Mitverschulden begründen. Hier war jedoch bereits vor dem Vorfall ein Tageslimit von 50.000 Euro vereinbart, das die fünf Überweisungen insgesamt nicht ausschöpften. Die zwischenzeitlichen Nachrichten über Limitänderungen belegten deshalb keinen relevanten Verstoß. Auch die rasche Folge hoher Überweisungen an unbekannte Empfänger änderte das Ergebnis nicht. Diese Umstände waren zwar auffällig. Aus den vom Senat herangezogenen europäischen Vorschriften zur Transaktionsüberwachung folgte nach seiner Auslegung aber keine Pflicht, jede auffällige Einzelzahlung in Echtzeit vor Ausführung zu stoppen. Auf dieser Grundlage sah er die Berufung als ohne Erfolgsaussicht an und eröffnete der Kundin die Stellungnahmefrist.