Wer Opfer eines Phishing-Angriffs auf sein Konto wird, sollte prüfen, ob die Bank für die Verluste haften muss. Zwei aktuelle Urteile machen Verbrauchern Hoffnung.

Phishing, also das Ausspähen von Nutzerdaten durch gefälschte E-Mails und Websites, ist im Online-Banking nicht neu. Doch die Betrüger gehen immer professioneller vor. Holpriges Deutsch und amateurhafte Grafiken werden seltener. Das erhöht die Gefahr, dass Verbraucher zu Opfern werden. Dabei geht es nicht um Kleingeld. Denn wenn die Verbrecher einmal Zugang zum Konto haben, dann räumen sie dieses nicht selten komplett leer.

Umso wichtiger ist die Frage: Wer haftet für den Schaden? Viele Banken weisen einen Schadensersatzanspruch des Kunden zurück. Ihre Argumentation: Man habe die nötigen Vorkehrungen geschaffen, um Betrug zu vermeiden. Gerne werden dabei verstärkte Sicherheitsmaßnahmen genannt, wie beispielsweise die sogenannte Zwei-Faktor-Authentifizierung. Dort muss der Kunde über unterschiedliche Programme die Einwahl in das Konto bestätigen, was Phishing erschweren soll.

Wer trägt den Schaden?

Doch unsere Erfahrung zeigt, dass es Betrügern trotzdem immer wieder gelingt, das Konto zu kapern und Geld zu entwenden. Dann geht es für den Verbraucher darum, den eigenen Schaden möglichst gering zu halten. Dazu gehört in erster Linie, das Konto zu sperren und den Schaden bei der Polizei anzuzeigen. Doch richtig knifflig wird es erst danach. Denn dann folgt die Auseinandersetzung mit der Bank: Wer trägt den Schaden?

Die Ausgangslage für Verbraucher ist gar nicht schlecht. Denn das Gesetz besagt, dass der Kunde bei sogenannten nicht autorisierten Zahlungsvorgängen nur dann haftet, wenn er vorsätzlich oder grob fahrlässig gehandelt hat (Paragraf 675v Absatz 3 BGB). Bei leichter Fahrlässigkeit des Kunden müsste also das Kreditinstitut die Kosten des Betrugs übernehmen.

Banken weigern sich häufig

Doch viele Banken lassen ihre Kunden zunächst einmal auf dem Schaden sitzen und weigern sich, das Geld zu erstatten. Das ändert sich häufig dann, wenn der Kunde sich wehrt und beispielsweise einen spezialisierten Anwalt hinzuzieht. Die Gerichte urteilen nämlich überwiegend verbraucherfreundlich. So muss die Bank beweisen, dass der Kunde grob fahrlässig oder gar vorsätzlich gehandelt hat - das fällt in der Praxis meist schwer.

Noch einen Schritt weiter ist jetzt das Landgericht (LG) Zweibrücken (Az.: 2 O 130/22) gegangen. Es urteilte, dass es im vorliegenden Fall gar nicht entscheidend sei, ob der Kunde grob fahrlässig gehandelt habe. Denn das System der Bank habe erhebliche Sicherheitslücken gehabt. Den Betrügern war es gelungen, das Überweisungslimit des Kunden online zu erhöhen und damit den Schaden deutlich zu vergrößern.

Auch Smartphone-Banking betroffen

Ebenfalls recht neu ist der Ansatz, über Smartphone-Bezahlsysteme wie Apple Pay anzugreifen. In einem Fall, der nun dem LG Köln vorlag, hatten die Betrüger - getarnt als Mitarbeiter der Bank - am Telefon einen Kunden dazu gebracht, für ein Smartphone der Straftäter das Zahlungssystem von Apple freizuschalten, und dieses anschließend für viele eigene Käufe missbraucht. Hier hat nun das LG Köln entschieden, dass die Bank den Schaden übernehmen muss, weil für den Kunden nicht ersichtlich war, dass er ein neues Zahlungssystem aktiviert.

Diese Fälle zeigen, dass Bankkunden, die durch Phishing-Attacken Geld verloren haben, sich nicht vorschnell damit abfinden sollten, auf dem Schaden sitzen zu bleiben. Oft gelingt es, die Bank haftbar zu machen. Unsere Erfahrungen zeigen jedenfalls, dass es auf diesem Weg in den meisten Fällen klappt, den Schaden für den Kunden zumindest deutlich zu reduzieren.

Über den Autor: Roland Klaus ist Gründer der Interessengemeinschaft Widerruf. Sie hilft bei der Durchsetzung von Verbraucherrecht in Finanzfragen und wird dabei von spezialisierten Anwälten unterstützt.