Bank haftet nicht für unberechtigte Kontoabbuchung wenn der Bankkunde persönliche Bankdaten an Dritte weitergegeben hat

Ein Bankkunde erhält binnen kurzer Zeit mehrfach Telefonanrufe, bei denen sich der Anrufer als Bankmitarbeiter ausgibt. Beim dritten Anruf fordert der Anrufer den Kunden dazu auf, eine Internetseite zu öffnen und diktiert dabei die Webadresse Wort für Wort. Weiter erklärt der Anrufer, der Kunde werde gleich einen Link per SMS erhalten, den er in die Eingabemaske auf der Internetseite eingeben müsse. Die besagte SMS erhält der Kunde sodann mit dem Einleitungssatz:

„Bitte klicken Sie hier, um die PushTan-App einzurichten“

sowie dem Hinweis:

„Bitte leiten Sie diese SMS nicht an dritte Personen weiter! Kein Mitarbeiter wird Sie um Weitergabe dieser Daten bitten.“

Betrügerischer Link

Der Kunde gibt die Linkadresse ein und es erscheint der Hinweis, die AGB seien erfolgreich aktualisiert. In Wirklichkeit handelte es sich bei dem Link jedoch um einen Registrierungscode für ein mobiles TAN-Verfahren. An den darauffolgenden Tagen werden von dem Konto des Kunden knapp 10.000 € abgebucht. Als der Kunde dies bemerkt, lässt er sein Konto sperren.

Vor dem Landgericht Lübeck verlangt der Kunde von der Bank die Erstattung der knapp 10.000 €. Er habe den Anrufer für einen Bankmitarbeiter gehalten und sei aufgefordert worden, der Aktualisierung der neuen AGB zuzustimmen. Die Bank verweigert die Zahlung – sie wirft dem Kunden eine grob fahrlässige Verletzung seiner Sorgfaltspflichten vor.

Laut Gesetz muss eine Bank ihren Kunden Geld zunächst erstatten, das ohne Zustimmung der Kunden von deren Konto abgebucht wurde (§ 675 u S. 2 BGB). Wenn sich aber herausstellt, dass die Abbuchungen auf ein grob fahrlässiges Verhalten des Kunden zurückzuführen sind – weil der Kunde nicht beachtet, was jedem hätte einleuchten müssen –, kann die Bank verlangen, dass der Kunde das Geld wieder an sie zurückzahlt (§ 675 v Abs. 3 Nr. 2 BGB).

Bankkunde handelt grob fahrlässig

Das Landgericht Lübeck wies die Klage des Kunden ab. Zwar müsse die Bank die 10.000 € eigentlich erstatten. Der Bank stehe aber wiederum Schadensersatz gegen den Kunden in gleicher Höhe zu. Denn ein Kunde dürfe keine personalisierten Sicherheitsmerkmale wie einen Registrierungscode an andere weiterleiten. Das habe der Kunde aber grob fahrlässig getan. Auf Grund der deutlichen Warnhinweise in der SMS hätte sich jedem durchschnittlichen Kunden aufdrängen müssen, dass man die Daten nicht weitergeben darf und es nicht nur um die Aktualisierung der AGB ging.