Der Bundesgerichtshof entschied mit Urteil vom 24.04.2012, Az. XI ZR 96/11: Ein Bankkunde muss im Online-Banking nach einem Pharming-Angriff selbst für den Schaden einstehen, wenn er fahrlässig 10 TAN-Nummern an Dritte weitergibt.
Was war geschehen?
Der Kläger des nahm die beklagte Bank auf Rückzahlung des Betrages von 5.000 € in Anspruch. Dieser Betrag wurde im Wege des Online-Bankings vom Girokonto des Klägers auf ein Konto bei einer griechischen Bank überwiesen. Der Kläger nahm seit 2001 am Online-Banking teil. Für Überweisungsaufträge verwendete die Beklagte das iTAN-Verfahren. In der Mitte der Log-In-Seite des Online-Bankings der Beklagten befand sich folgender Hinweis:
„Derzeit sind vermehrt Schadprogramme und sogenannte Phishing-Mails in Umlauf, die Sie auffordern, mehrere Transaktionsnummern oder gar Kreditkartendaten in ein Formular einzugeben. Wir fordern Sie niemals auf, mehrere TAN gleichzeitig preiszugeben! Auch werden wir Sie niemals per E-Mail zu einer Anmeldung im … Net-Banking auffordern!“
Der Kläger bestreitet, diese Überweisung veranlasst zu haben. Er erstattete am 29.01.2009 Strafanzeige und gab zu Protokoll:
„Im Oktober 2008 – das genaue Datum weiß ich nicht mehr – wollte ich ins Online-banking. Ich habe das Online-banking der … Bank angeklickt. Die Maske hat sich wie gewohnt aufgemacht. Danach kam der Hinweis, dass ich im Moment keinen Zugriff auf Online-banking der … Bank hätte. Danach kam eine Anweisung zehn Tan-Nummern einzugeben. Die Felder waren nicht von 1 bis 10 durchnummeriert, sondern kreuz und quer. Ich habe dann auch die geforderten Tan-Nummern, die ich schon von der Bank hatte, in die Felder chronologisch eingetragen. Danach erhielt ich dann Zugriff auf mein Online-banking. Ich habe dann unter Verwendung einer anderen Tan-Nummer eine Überweisung getätigt.“
Die Klage auf Rückzahlung der 5.000 € nebst Zinsen und vorgerichtlichen Kosten blieb in den Vorinstanzen erfolglos.
Wie entschied der BGH?
Der BGH wies die Revision des Klägers zurück. Der Kläger habe sich gegenüber der Bank durch seine Reaktion auf diesen Pharming-Angriff schadensersatzpflichtig gemacht. Er habe die im Verkehr erforderliche Sorgfalt außer Acht gelassen, indem er beim Log-In-Vorgang, also nicht in Bezug auf einen konkreten Überweisungsvorgang, trotz des ausdrücklichen Warnhinweises der Bank gleichzeitig zehn TAN eingegeben habe. Für die Haftung des Kunden reiche im vorliegenden Fall einfache Fahrlässigkeit aus, weil § 675v Abs. 2 BGB, der eine unbegrenzte Haftung des Kunden bei missbräuchlicher Nutzung eines Zahlungsauthentifizierungsinstruments nur bei Vorsatz und grober Fahrlässigkeit vorsieht, erst am 31. Oktober 2009 in Kraft getreten sei. Ein anspruchsminderndes Mitverschulden der Bank liege nicht vor. Das iTAN-Verfahren habe im Jahr 2008 dem Stand der Technik entsprochen. Die Bank habe auch keine Aufklärungs- oder Warnpflichten verletzt.
Welche Auswirkung hat die Entscheidung für die Praxis?
Das Urteil ist eine Warnung für Online-Banking-Kunden. Denkbar ist, dass Banken zukünftig die Weitergabe von Transaktionsnummern trotz Warnhinweises als grobe Fahrlässigkeit ansehen werden, um jedenfalls in diesen Fällen einer Rückzahlungspflicht entgehen zu können.