Online-Banking: Sicherheits-Risiko

Rund 70 Prozent der Bankkunden in Deutschland erledigen ihre Bankgeschäfte im Internet. Etwa die Hälfte davon nutzen dafür mobile Geräte wie Smartphones oder Tablets. Die vor wenigen Wochen bekannt gewordene Betrugsserie beim Online-Banking hat zu einer erheblichen Verunsicherung bei diesen Kunden geführt. Auch wenn offenbar nur Kunden mit einem Mobilfunkvertrag bei der Telekom betroffen waren, muss die angebliche Sicherheit des sog. mobilen mTAN-Verfahrens generell in Frage gestellt werden. Wie berichtet wurde, schleusten sich Betrüger mit Trojanern in die Computer ihrer Opfer ein und spähten den Zugang zum Online-Banking-Konto aus. Daneben besorgten sie sich die Mobilfunknummer ihrer Opfer, indem sie sich gegenüber der Telekom als Mitarbeiter eines Mobilfunkshops ausgaben, die im Namen der Kunden den angeblichen Verlust der SIM-Karte meldeten und eine Ersatzkarte aktivieren wollten. Mit diesem Trick war es möglich, die mTAN-Codes auf einem anderen Handy zu empfangen und über 1 Mio. Euro durch fingierte Überweisungsaufträge zu erbeuten. Phishing Für den Angriff auf einen fremden Computer hat sich der aus dem Englischen übernommene Begriff "Phishing" eingebürgert. Um die Informationen abzufangen, wird ein Köder in Form von Spam-E-Mails, gefälschten Webseiten oder manipulierten Handy-Apps versandt und mittels legitimer Absender getarnt. Die Methoden wurden dabei längst verfeinert, d. h. es werden aktuell nicht mehr (verdächtige) Massenmails eingesetzt, sondern auf das Opfer zugeschnittene Nachrichten und Angebote. Ein falscher Klick und die dort über einen sog. "Trojaner" getarnte Schadsoftware ist auf dem Rechner des Bankkunden installiert und sendet die vertraulichen Zugangsdaten an den Computer der Online-Betrüger. Dass für ein - halbwegs - sicheres Online-Banking ein Virenschutzprogramm zwingend erforderlich ist, versteht sich von selbst. Von daher sollten sowohl das Betriebssystem als auch der Browser regelmäßigen Sicherheitsupdates unterzogen werden. Unabhängig davon sollte sich jeder Nutzer darüber im Klaren sein, dass jede Firewall und selbst das aktuellste Virenschutzprogramm nur einen bedingten Schutz gegen Angriffe auf einen Rechner bietet und es keine 100-prozentige Sicherheit gibt. Dies gilt insbesondere für das Online-Banking, wie die aktuellen Betrugsfälle exemplarisch belegen. Immerhin hat die hiervon betroffene Postbank sofort reagiert und die kurzfristige Erstattung des Schadens zugesagt. Falsch ist allerdings die in den Medien verbreitete Nachricht, wonach auch in früheren Betrugsfällen beim mTAN-Verfahren die betroffenen Kunden stets von den Geldinstituten entschädigt worden wären. Insbesondere gibt es zwei Banken, die dazu übergegangen sind, den Kunden auf dem entstandenen Schaden sitzen zu lassen. Dies, obwohl nach der aktuellen, seit 2009 geltenden Rechtslage, die Haftung des Geldinstituts für nicht autorisierte Zahlungsvorgänge ausdrücklich in den §§ 675u BGB ff. festgeschrieben worden ist und fast alle Gerichte zugunsten der geschädigten Kunden entschieden haben. Rechtsprechung Der Bundesgerichtshof hat bereits vor drei Jahren unter Geltung der alten - vor der Umsetzung der europäischen Zahlungsdienstrichtlinie geltenden - Rechtslage entschieden, dass ein Bankkunde (nur) fahrlässig handelt, wenn er beim Login-Vorgang trotz ausdrücklichen Warnhinweises gleichzeitig 10 damals noch in Papierform zur Verfügung gestellte Transaktionsnummern/TAN eingibt. Dieses Urteil wird von den Geldinstituten gerne im Sinne einer Kundenhaftung für Online-Betrug fehlinterpretiert. Dabei wird natürlich verschwiegen, dass nach dem seit 1. November 2009 geltenden § 675v BGB der Kunde nur noch bei Vorsatz oder grober Fahrlässigkeit für den eingetretenen Schaden verantwortlich gemacht werden kann. Demgemäß haben die in der Folge ergangenen Urteile fast ausnahmslos zugunsten der Bankkunden entschieden. Sogar bei einer professionell angelegten Phishing-Attacke, bei dem vom Kunden "aus Sicherheitsgründen" alle 100 TAN-Nummern in das Online-Formular eingegeben wurden, hat das Landgericht Landshut eine grobe Fahrlässigkeit verneint und die Bank zur Erstattung der manipulierten Überweisungen verurteilt (Urteil vom 15. 8. 2011 zu Az. 24 O 1129/11). Fehlurteil Auf der anderen Seite gibt es - wenn auch nur singulär - Entscheidungen zu Lasten des Bankkunden. So hat etwa das Landgericht Darmstadt mit Urteil vom 28. 8. 2014 eine Rechtsscheinshaftung des Kunden bei einer manipulierten Überweisung konstruiert. In der Sache ging es um einen betrügerischen Phishing-Angriff mit einer manipulierten Überweisungsmaske auf dem PC-Bildschirm des Bankkunden. Dieser wollte zwei Zahlungsaufträge an seine Lieferanten ausführen, die der Bank jedoch nicht zugegangen und von ihr deshalb nicht ausgeführt worden sind. Stattdessen wurden andere Beträge, nämlich einmal 9.500 Euro und einmal 9.000 Euro an zwei dem Bankkunden unbekannte Zahlungsempfänger im Ausland überwiesen. Im bankinternen Nachweisprotokoll der SEPA-Aufträge wurden die beiden Belastungen als Online-Überweisungen mittels TAN-Generator und dabei erzeugter übereinstimmender TAN des Generators und des Bankservers erfasst. Als der Kunde die Belastungen kurz darauf bemerkte, unterrichtete er sogleich seine Bank über die manipulierten Zahlungsvorgänge und stellte Strafanzeige. Nachdem das Geldinstitut eine Erstattung der 18.500 Euro verweigerte, wurde das Vertragsverhältnis vom Kunden gekündigt und die Bank auf Rückzahlung dieses Betrages verklagt. Vom Ansatz her zutreffend hat das Landgericht zunächst darauf abgestellt, dass es nach § 675w S. 3 BGB für eine Haftung des Bankkunden nicht ausreicht, wenn dieser die von Dritten manipulierte Zahlung (formal) autorisiert hat. Weiterhin hat das Gericht im Zuge der Beweisaufnahme festgestellt, dass der Bankkunde Opfer eines sog. "Man-in-the-Middle-Angriff" geworden ist, bei dem sich ein Betrüger zwischengeschaltet und die Überweisung auf ein Auslandskonto veranlasst hat. Rechtlich verfehlt ist allerdings die daran anschließende Überlegung, wonach sich der Bankkunde die manipulierten Zahlungsvorgänge nach Rechtsscheinsgrundsätzen zurechnen lassen soll. Das Landgericht Darmstadt bedient sich dabei eines Kunstgriffs, indem es die Rechtsprechung des Bundesgerichtshofs zur unberechtigten Nutzung eines ebay-Kontos aufgreift und bankenfreundlich fehlinterpretiert. Der BGH hat nämlich in dieser Entscheidung klargestellt, dass für das Vorliegen einer Anscheinsvollmacht eine gewisse Häufigkeit oder Dauer der unbefugten Verwendung vorausgesetzt wird. Fehlt es hieran, liegt naturgemäß auch kein Vertrauenstatbestand vor, auf den sich der Rechtsverkehr stützen könne. Zur Begründung führt der BGH an, dass angesichts der eingeschränkten Sicherheitsstandards im Internet auch bei einem ebay-Account nicht zuverlässig darauf geschlossen werden könne, dass unter einem registrierten Mitgliedsnamen ausschließlich dessen tatsächlicher Inhaber auftritt. Nachdem allerdings - so das Landgericht Darmstadt - das mTAN-Verfahren "eine hohe Systemsicherheit mit lediglich wenig Manipulationsmöglichkeiten" aufweisen soll, könne man auf das Erfordernis einer gewissen Dauer und Häufigkeit verzichten. Kommentar Es ist schon bemerkenswert, mit welcher Leichtigkeit sich das Landgericht Darmstadt über anerkannte Rechtsgrundsätze und die höchstrichterliche Rechtsprechung hinwegsetzt. Wer sich die BGH-Entscheidung in NJW 2011, S. 2421 ff. durchliest, wird unschwer feststellen, dass eine Haftung des dortigen ebay-Kunden für betrügerisch erschlichene Zugangsdaten nach Rechtsscheinsgrundsätzen glasklar verneint worden ist, weil es an dem Erfordernis einer gewissen Häufigkeit und Dauer des unbefugten Eingriffs fehlt. Warum dies plötzlich nicht mehr gelten soll, wenn man mit dem Landgericht Darmstadt eine hohe Systemsicherheit beim mTAN-Verfahren unterstellt, bleibt das Geheimnis der dortigen Spruchkammer. Diese muss sich zudem fragen lassen, wie sie zu ihrer Fehleinschätzung kommt, dass es nur wenig Manipulationsmöglichkeiten geben soll. Derartige Werbebotschaften werden allenfalls noch von wenigen Kreditinstituten verkündet, um sämtliche Kunden zum Online-Banking zu verleiten und Personalkosten einzusparen. Wenn es dann, wie aktuell berichtet, den Cyber-Kriminellen ein weiteres Mal gelingt, die angeblich hohen Sicherheitsstandards der Banken zu überlisten, ist der Kunde der Dumme, wenn es nach den zwei in dem Beitrag bewusst noch nicht namentlich erwähnten Banken gehen soll. Wir werden an dieser Stelle in einem der nächsten Hefte über diese wenig kundenfreundliche Geschäftspolitik ebenso berichten wie über eine neue Welle von Online-Erpressung.Rechtsanwalt Walter Sattler

100 Jahre Emil Frey: Europas größte automobile Firmenparty

Kfz-Gewerbe gewinnt an politischem Gewicht: "Unsere Argumente verfangen"

Mercedes: Niederlassung Berlin Spandau in neuem Outfit

Kfz-Gewerbe: Doppelprüfung von AU-Messgeräten wird abgeschafft

Bosch: 5.550 Stellen sollen wegfallen

Alle Schlagzeilen

Online-Banking: Sicherheits-Risiko

HASHTAG

#Recht

Streit um Kältemittel: Berlin geht auf Konfrontationskurs

AUTOHAUS SteuerLuchs: Immer wieder ... das elektronische Fahrtenbuch

Kartellrechtsverstöße in der Schweiz: BMW muss zahlen

MEISTGELESEN

Dacia: "Wir erobern von anderen Marken"

Mehr Effizienz, mehr Volumen: So fährt Mazda in die Zukunft

Sternauto: Größter BYD-Store in Deutschland eröffnet

STELLENANGEBOTE

Audi Kfz-Mechatroniker (m/w/d)

Juniorverkäufer (m/w/d)

Servicetechniker (m/w/d)

Leiter IT (w/m/d)

Werkstattmeister Karosserie (m/w/d)

WEITERLESEN

NEWSLETTER