BECKMANN UND NORDA - Rechtsanwälte Bielefeld

LG Köln
Urteil vom 10.09.2019
21 O 116/19

Das LG Köln hat entschieden, dass eine grobe Fahrlässigkeit des Bankkunden vorliegt, wenn dieser Dritten PIN und TANs für das Online-Banking mitteilt.

Aus den Entscheidungsgründen:

"Aber auch ein Anspruch des Klägers aus § 675 u Satz 2 BGB besteht nicht, weil die Beklagte diesem Anspruch – der grundsätzlich aufgrund der nicht autorisierten Überweisungen vom 07. bis 09.01.2019 besteht – einen Schadenersatzanspruch nach § 675 v Abs. 3 Nr. 2 BGB entgegenhalten kann. Mit diesem hat sie die Aufrechnung gegen die Klageforderung erklärt.

Der Kläger hat gegen die vertraglichen Sorgfalts- und Mitwirkungspflichten des Nutzers bei der Verwendung des PIN-TAN-Verfahrens, die – unwidersprochen – bereits bei Vertragsschluss zwischen ihm und der Rechtsvorgängerin der Beklagten Vertragsbestandteil waren (Anlage B 4), grob fahrlässig verstoßen (§ 675 v Abs. § Nr. 2 lit. b). Ziffer 9 lit. a) der AGB in der bei Vertragsschluss geltenden Bedingungen für die Nutzung des OnlineBanking-Angebotes der Stadtsparkasse mit PIN und TAN (bzw. Ziffer 7 der Bedingungen für das Online-Banking in der Fassung vom 13.01.2018) auferlegte dem Kläger die Pflicht, dafür Sorge zu tragen, dass keine andere Person Kenntnis von der PIN und den TANs erlangt.

Gegen diese Verpflichtung hat der Kläger verstoßen, indem er – was zumindest nach seinen Angaben im Rahmen seiner persönlichen Anhörung unstreitig ist – dem angeblichen Mitarbeiter der Beklagten L2 diejenige TAN weitergab, die es diesem ermöglichte, seine eigene Mobiltelefonnummer für die spätere Abfrage von computergenerierten TANs zu hinterlegen.

Diese vertragliche Sorgfaltspflicht verletzte der Kläger grob fahrlässig. Grob fahrlässig handelt, wer die im Verkehr erforderliche Sorgfalt in besonders schwerem Maße verletzt, einfachste und naheliegende Überlegungen nicht anstellt und in der konkreten Situation das nicht beachtet, was sich jedem aufdrängt (MüKoBGB/Zetsche, 7. Auflage 2017, § 675 v Rn 33), wobei sich aus Erwägungsgrund 33 der ZDRL ergibt, dass die Ausgestaltung des Begriffs nationalem Recht überlassen ist (MüKoBGB/Zetsche, a.a.O.). Nach diesen Grundsätzen stellt sich das Verhalten des Klägers in der Gesamtschau als grob fahrlässig dar, wobei – wie nachfolgend aufgezeigt wird – dahin stehen kann, ob bereits der Umstand, dass der Täter die Zugangsdaten zum Online-Banking (Kennwort und PIN) erlangt hat, auf grober Fahrlässigkeit beruhte.

Dem Kläger hätte bereits auffallen müssen, dass es für ein Kreditinstitut absolut außergewöhnlich ist, dass ein angeblicher Mitarbeiter telefonisch ankündigt, ihm eine TAN zu schicken, um das bisherige Kennwort und die bisherige PIN zu ändern. Bereits dies hätte einem durchschnittlich sorgfältigen Online-Banking-Kunden Anlass zu Misstrauen und ggf. einer Vorsprache bei der Bank gegeben. Noch auffälliger und mit den Usancen im Bankverkehr unvereinbar war es, dass der Mitarbeiter sodann die telefonische Durchgabe der TAN verlangte. Bereits dieser – erste – Verstoß gegen die vertraglich vereinbarte Pflicht, die TAN an Dritte weiterzugeben, erfolgte grob fahrlässig. Jedenfalls aber verstieß der Kläger in nicht nachzuvollziehender Weise gegen die ihm obliegenden Sorgfaltspflichten, indem er Herrn L2 am 24.12.2018 eine weitere TAN durchgab, nachdem dieser angegeben hatte, er wolle nunmehr die EC-Karten des Klägers und seiner Ehefrau gegen Angriffe aus dem Ausland sichern (wobei es schon keinen Sinn ergibt, warum hierfür Einstellungen im Online-Banking-Konto vorgenommen werden mussten). Mit dieser TAN war es dem Täter möglich, eine zweite Telefonnummer für die Übermittlung von TANs zu hinterlegen. Insoweit war es aber zum einen wiederum absolut ungewöhnlich, dass ein angeblicher Mitarbeiter des Kreditinstitutes die telefonische Durchgabe einer TAN verlangte, und zum anderen hat der Kläger selbst eingeräumt, die mit der Hinterlegung der Telefonnummer verbundene, unmissverständliche Warnnachricht der Beklagten schlichtweg nicht gelesen zu haben. Darüber hinaus hat er selbst angegeben, dass er in der Folge weitere Online-Banking-Überweisungen getätigt habe, bei denen er zwischen seiner und der neu hinterlegten Telefonnummer auswählen musste. Spätestens zu diesem Zeitpunkt war ihm sogar bekannt, dass ein weiterer, ihm unbekannter Nutzer von seinem Konto Überweisungen tätigen konnte, zumindest musste sich ihm diese Erkenntnis aufdrängen. Sämtliche, vorstehend aufgeführten und jeder für sich die grobe Fahrlässigkeit begründenden Umstände werden zudem davon umklammert, dass jeglicher (!) Kontakt telefonisch stattfand und es kein einziges Schriftstück der Beklagten betreffend den angeblichen Angriff auf das klägerische Konto gab. Dass es sich bei Herrn L2 um einen psychologisch gut geschulten Täter handelte und der Betrug zulasten des Klägers perfide ausgestaltet war, entlastet ihn angesichts der Vielzahl der vorstehend aufgezählten Umstände, aufgrund deren sich ein Betrugsverdacht aufdrängen musste, und aufgrund der dazwischen liegenden Zeiträume, in denen der Kläger die jeweiligen Vorgänge hätte reflektieren können, nicht. Die Kammer ist nach der durchgeführten Anhörung auch davon überzeugt, dass der Kläger – der bis zum Renteneintritt als Kernphysiker tätig war – von zumindest überdurchschnittlicher Intelligenz ist und daher die Möglichkeit hatte, den Betrug zu seinen Lasten zu erkennen und zu verhindern.

Soweit der Kläger den Vorwurf erhebt, die Beklagte habe keine Sicherheitssysteme gegen „solche Phishing-Angriffe“, erhebt er nach dem Verständnis der Kammer den Einwand des Mitverschuldens betreffend den zur Aufrechnung gestellten Schadenersatzanspruch. Dieser Einwand geht allerdings schon deshalb ins Leere, weil der Kläger nicht Opfer eines Phishing-Angriffs wurde, sondern die schadenauslösende Handlung selbst vorgenommen hat, indem er dem Täter den Zugriff auf die Mobil-TANs ermöglichte (s.o.). Der weitere Vorwurf, die Beklagte habe das Online-Banking-Konto nicht standardmäßig so eingestellt, dass Einzelüberweisungen limitiert seien, geht bereits deshalb ins Leere, weil einerseits eine entsprechende Schadensminderungspflicht nicht erkennbar ist und andererseits der Kläger seit 2002 das Online-Banking nutzt, ohne auch nur die Einrichtung eines Limits angefragt zu haben; dass er nicht gewusst hat, dass ein solches Limit möglich ist, trägt er bereits nicht vor. Ebenso wenig bestand eine Verpflichtung der Beklagten, vor Einzelüberweisungen ins Ausland eine gesonderte Sicherheitsabfrage durchzuführen."

Den Volltext der Entscheidung finden Sie hier: