Digitale Karte auf fremdem iPhone: Bank scheitert an unzureichender Kundenauthentifizierung

Redaktioneller Kernsatz

Digitale Karte auf fremdem iPhone: Bank scheitert an unzureichender Kundenauthentifizierung

Redaktionelle Zusammenfassung · 865 Wörter

Die Entscheidung erklärt

Bank muss Konto berichtigen

Registrierung auf einem fremden Gerät

Die Belastungen erfolgten zwischen dem 11. und dem 20. April 2022 über Apple Pay. Unbekannte Täter hatten die digitale Karte auf einem fremden iPhone eingerichtet. Wie sie zuvor an die für das Online-Banking verwendeten Zugangsdaten gelangt waren, blieb offen. Die Bank hielt dem Kunden vor, er habe auf seinem eigenen iPhone einen Auftrag zur Kartenregistrierung in der PushTAN-App freigegeben. Der Kunde schilderte eine mögliche versehentliche Betätigung während eines Gesprächs mit seinem Vorgesetzten. Das Landgericht hielt eine grobe Fahrlässigkeit nicht für gegeben. Die Bank griff diese Bewertung an und verwies insbesondere darauf, dass der Kunde selbst keinen solchen Auftrag veranlasst hatte.

Registrierung ist keine Zahlungsermächtigung

Für den Anspruch auf Kontoberichtigung kam es zunächst auf die einzelnen Zahlungen an. Nach den vereinbarten Bedingungen waren diese durch Einsatz der digitalen Debitkarte am kontaktlosen Terminal und einen zusätzlichen biometrischen Faktor oder Entsperrcode zu autorisieren. Unstreitig hatte der Kläger die 122 Zahlungsvorgänge nicht selbst ausgelöst. Eine unterstellte Freigabe der vorherigen Kartenregistrierung bedeutete keine vorgelagerte Zustimmung zu sämtlichen späteren Transaktionen. Eine solche Wirkung sahen die Vertragsbedingungen nicht vor. Die Bank blieb als kontoführender Zahlungsdienstleister zur Wiederherstellung des Kontostands verpflichtet. Ob Apple Pay rechtlich als Zahlungsauslösedienst einzuordnen war, konnte der Senat dafür offenlassen.

Gegenanspruch der Bank

Die Bank wollte dem Gutschriftanspruch einen gleich hohen Schadensersatzanspruch wegen grob fahrlässiger Pflichtverletzung entgegenhalten. Eine Aufrechnung scheiterte nach dem Senat bereits an der fehlenden Gleichartigkeit von Gutschrift und Schadensersatzleistung. Grundsätzlich kann ein tatsächlich bestehender Schadensersatzanspruch allerdings nach Treu und Glauben zur Verweigerung der Kontoberichtigung berechtigen. Auch dieser Weg half der Bank hier nicht. Der Senat verneinte ihre Schadensersatzforderung aufgrund von § 675v Absatz 4 Satz 1 Nummer 1 BGB: Für die konkreten Zahlungen hatte sie nach seiner Bewertung keine ausreichende starke Kundenauthentifizierung verlangt. Der gesetzliche Haftungsausschluss war damit entscheidend.

Zwei unabhängige Faktoren

Starke Kundenauthentifizierung verlangt mindestens zwei voneinander unabhängige Elemente aus den Kategorien Wissen, Besitz und persönliches Merkmal. Die Beeinträchtigung eines Elements darf die Zuverlässigkeit des anderen nicht ebenfalls in Frage stellen. Vereinbart waren hier die digitale Debitkarte auf dem mobilen Gerät des Karteninhabers als Besitzfaktor sowie dessen biometrische Merkmale oder ein anderer Entsperrmechanismus als zweiter Faktor. Eine in einer Wallet gespeicherte digitale Karte kann grundsätzlich ein geeigneter Besitzfaktor sein. Dafür muss jedoch sichergestellt sein, dass die Karte einem tatsächlich vom Kunden gehaltenen Gerät zugeordnet ist. Der Senat verneinte nicht die generelle Eignung digitaler Karten, sondern die ausreichende Prüfung in diesem Einrichtungsverfahren.

Lücke im Einrichtungsvorgang

Die Registrierung lief über die Banking-App der Bank. Dafür genügte zunächst die Anmeldung mit den Online-Zugangsdaten; das dabei verwendete Smartphone musste nicht gesondert als vertrauenswürdig bestätigt werden. Anschließend war die Freigabe des Registrierungsauftrags in der PushTAN-App erforderlich. Diese App war zwar auf einem zuvor mittels postalisch übermittelten Aktivierungscodes registrierten Kundengerät eingerichtet. Sie musste aber nicht auf demselben Telefon liegen wie die Banking-App und die spätere digitale Debitkarte. Die Bank konnte deshalb aus einer Freigabe auf dem bekannten Gerät nicht ohne Weiteres schließen, dass auch das andere, für die Karte verwendete Telefon dem Kunden gehörte.

Allgemeine Freigabemeldung genügte nicht

Die allgemein gehaltene Anzeige zur Kartenregistrierung machte nach Auffassung des Senats nicht sicher deutlich, dass überhaupt eine digitale Debitkarte auf einem Smartphone gespeichert werden sollte. Erst recht verdeutlichte sie nicht die Einrichtung auf einem anderen Gerät. Selbst bei einer technisch wirksamen Freigabe durch den Kunden fehlte damit die verlässliche Verbindung zum vorgesehenen Besitzfaktor. Die Bank konnte sich auch nicht auf spezifische Schutzpflichten des Kunden für ein bereits gewidmetes Authentifizierungsgerät berufen. Diese betrafen den späteren Umgang mit einem solchen Gerät und ersetzten nicht dessen sichere erstmalige Zuordnung. Eine möglicherweise verletzte allgemeine Prüfpflicht hatte nach dem Senat keinen ausreichenden besonderen Bezug zu diesem Besitzfaktor.

Auswirkung auf spätere Zahlungen

Der Fehler setzte sich bei den einzelnen Zahlungsvorgängen fort. War nicht gesichert, dass die Karte auf einem Kundengerät lag, konnte die Bank auch nicht zuverlässig annehmen, beim Entsperren würden dessen biometrische Merkmale verwendet. Damit waren aus Sicht des Gerichts sowohl die Prüfung des zweiten Faktors als auch die notwendige Unabhängigkeit der Elemente betroffen. Maßgeblich war jeweils die konkrete Zahlung, nicht allein ein formal abgesicherter Schritt bei der Registrierung. Für die elektronisch ausgelösten Karten- und mobilen Zahlungen war starke Kundenauthentifizierung erforderlich. Die Ausnahme für kontaktlose Kleinbeträge griff hier nicht: Die ersten vereinzelten Zahlungen unter 50 Euro erfolgten erst, nachdem bereits deutlich mehr als 150 Euro umgesetzt worden waren.

Grobe Fahrlässigkeit blieb offen

Der Senat musste deshalb nicht entscheiden, ob die unterstellte Freigabe während des Gesprächs grob fahrlässig war. Seine Begründung unterscheidet sich damit vom Schwerpunkt des Landgerichts, das vor allem das Verhalten des Kunden gewürdigt hatte. Auch folgt aus dem Urteil kein allgemeiner Freibrief für unaufmerksame Freigaben. Die Entscheidung beruht auf dem konkret vereinbarten Verfahren und dessen mangelhafter Zuordnung der Authentifizierungsfaktoren. Die Bank trägt die Berufungskosten. Die Revision wurde gerade zur über den Einzelfall hinausreichenden Frage zugelassen, welche Anforderungen an das Verlangen starker Kundenauthentifizierung durch einen Zahlungsdienstleister zu stellen sind.