Betrug beim Online-Banking - Geldinstitut muss für vom Kunden nicht autorisierte Zahlungsvorgänge haften

Bleibt der Kunde auf seinem Schaden sitzen, wenn Kriminelle sich unter Anzeige der Rufnummer der Bank telefonisch als Bankmitarbeiter ausgeben, sich so eine digitale Version der Debitkarte des Kunden erschleichen und anschließend mehr als 14.000 Euro mittels Apple Pay abbuchen? Das Landgericht Köln entschied nun, dass das Bankinstitut dem Kunden im Streitfall die betrügerischen Abbuchungen erstatten muss (Az. 22 O 43/23).

Der Kläger nahm die Sparkasse auf Wiedergutschrift nicht autorisierter Zahlungsvorgänge in Anspruch. Das Gericht gab dem Kläger Recht. Er habe gegen die Sparkasse einen Anspruch, sein Konto auf den Stand zu bringen, auf dem es sich ohne die Belastungen durch die nicht autorisierten Zahlungsvorgänge befunden hätte (§ 675u Satz 2 BGB). Die streitgegenständlichen Zahlungsvorgänge seien nicht durch den Kläger autorisiert gewesen. Dies sei bereits deshalb der Fall, weil sie nicht durch den Berechtigten, nämlich den Kläger, ausgeführt worden seien, eine Stellvertretung für den Kläger sei zudem ausgeschlossen. Dass der Kläger die Zahlungsvorgänge mittels Apple Pay nicht selbst autorisiert habe, stehe nach dem Vortrag der Parteien fest. Die Sparkasse könne dem klägerischen Anspruch auch keinen Schadensersatzanspruch entgegenhalten. Zwar sei nach den gesetzlichen Regelungen ein Zahler seinem Zahlungsdienstleister zum Ersatz des gesamten Schadens verpflichtet, der infolge eines nicht autorisierten Zahlungsvorgangs entstanden ist, wenn der Zahler entweder in betrügerischer Absicht gehandelt habe oder er den Schaden durch vorsätzliche oder grob fahrlässige Verletzung einer oder mehrerer Pflichten nach Gesetz oder den vereinbarten Bedingungen für die Ausgabe und Nutzung des Zahlungsinstruments herbeigeführt habe. Entsprechendes habe die Sparkasse jedoch nicht ausreichend dargelegt.

Grobe Fahrlässigkeit erfordere einen in objektiver Hinsicht schweren und in subjektiver Hinsicht schlechthin unentschuldbaren Verstoß gegen die Anforderungen der konkret erforderlichen Sorgfalt. Daran fehle es hier. Das Verhalten des Klägers sei jedenfalls nicht als subjektiv schlechthin unentschuldbar zu werten. Die Täter hätten sich des sog. Call-ID Spoofings bedient. Dem Kläger sei infolgedessen die Nummer der Sparkasse angezeigt worden, als die Täter ihn anriefen. Für einen verständigen, langjährigen Bankkunden sei die Nutzung einer ihm bekannten Nummer mit besonderem Vertrauen verbunden. Davon, dass die Möglichkeit bestehe, eine fremde Nummer zu nutzen, dürfte der Durchschnittsbürger keine Kenntnis haben. Auch, dass dem Kläger der angebliche Mitarbeiter der Sparkasse nicht bekannt gewesen sei, sei für sich genommen noch kein besonders verdächtiger Umstand. In einer großen Organisation wie der der Beklagten herrsche regelmäßig eine gewisse Fluktuation bzw. es finde eine Arbeitsteilung statt.

Etwas anderes gelte auch nicht aufgrund der Bezeichnung des Auftrags in der pushTAN App als „Registrierung Karte“. Zwar habe der Anrufer vorgegeben, er wolle die Karte des Klägers entsperren, nicht registrieren. Allerdings sei die Bezeichnung „Registrierung“ derart weit, dass für den Kläger – vor allem in der konkreten Überrumpelungssituation – überhaupt nicht erkennbar gewesen sei, dass es um die Einrichtung eines Zahlungssystems auf einem mobilen Endgerät und damit die Freigabe einer Möglichkeit zu Kontoverfügungen gehe. Dabei wäre es der Sparkasse ohne weiteres möglich gewesen, durch einen eindeutigen Text, insbesondere durch Verwendung eines Hinweises gerade auf Apple Pay dem Kunden deutlich vor Augen zu führen, welcher Zahlungsdienst hier freigegeben werden soll. Auch aus der Formulierung des Warntextes in der App, es sei „kein Auftrag“ freizugeben, der nicht „explizit beauftragt“ wurde, folge nach seinem natürlichen Wortsinn nicht, dass der Auftrag zwingend über die Online-Banking App erfolgt sein müsse. Der Kläger habe daher davon ausgehen dürfen, dass sein – vermeintlich – telefonisch erteilter „Auftrag“ diese Voraussetzungen ebenso erfülle.