BGH-Urteil zum Online-Banking trifft Phishing-Opfer

Banken, Behörden, Sicherheitsunternehmen und nicht zuletzt auch die Medien warnen Bankkunden seit Jahren vor Phishing-Angriffen, die dem Diebstahl der Anmeldedaten für das Online-Banking dienen. Deshalb sollten Internet-Nutzer über die Risiken beim Online-Banking und deren Vermeidung Bescheid wissen. Folglich hat der Bundesgerichtshof (BGH) in seinem gestrigen Urteil gegen einen Rentner entschieden, der 2009 auf einer gefälschten Bank-Website seine PIN und mehrere TAN eingegeben hatte.

Von dem Konto des Rentners wurden nach dem Abgreifen der Anmeldedaten 5000 Euro von seinem Konto gestohlen, die er von seiner Bank erstattet haben wollte. Nach Ansicht der Karlsruher Richter hat der Kläger jedoch grob fahrlässig gehandelt und daher keinen Anspruch auf Schadenersatz. Seine Bank hatte ihn vor der üblichen Phishing-Masche der Online-Kriminellen gewarnt.

Nach Ansicht des Kölner Rechtsanwalts Christian Solmecke handelt es sich allerdings um eine Einzelfallentscheidung, die nicht verallgemeinert werden könne. Der Vorfall habe sich noch vor Einführung des § 675v Abs. 2 BGB ereignet, in dem nunmehr konkret geregelt sei, dass Bankkunden beim Online-Banking nur haften, wenn ihnen PIN und TAN grob fahrlässig abhanden gekommen sind.

Zwar handele es sich um einen Extremfall, der auch nach heutiger Gesetzeslage einen Schadenersatz ausschließen dürfte, doch generell bleibe weiterhin unklar, wie Bankkunden ihre Zugangsdaten zu schützen hätten, meint RA Solmecke. Man müsse zunächst die schriftliche Urteilsbegründung abwarten, in der sich der BGH möglicherweise dazu äußern wird, wann grobe Fahrlässigkeit vorliegt. Bei einfacher Fahrlässigkeit bleibt die Haftung des Bankkunden auf 150 Euro begrenzt, nach einer Meldung eines solchen Vorfalls bei der Bank sei eine Haftung völlig ausgeschlossen.

Nicht zuletzt wegen der durch viele erfolgreiche Phishing-Angriffe offenbar geworden Schwächen des PIN/TAN-Verfahrens kommt dieses beim Online-Banking heute kaum noch zum Einsatz. In der Folge zielen Phishing-Angriffe heute mehr auf Dienste, bei denen Benutzername und Passwort zur Anmeldung genügen, etwa soziale Netzwerke, Online-Shops oder Web-Mail.