Schadensersatz bei Pharming-Angriffen im Onlinebanking

Der BGH hat in einem Urteil klargestellt, unter welchen Voraussetzungen beim Onlinebanking der Bankkunde zum Ersatz eines Schadens verpflichtet werden kann, wenn der Kunde Opfer eines sogenannten Pharming-Angriffs wurde. Im vorliegenden Fall verlangte ein Kunde von seiner Bank die Rückzahlung von 5.000 Euro. 

Der Kunde nahm mit seinem Girokonto am Online-Banking des beklagten Finanzinstituts teil. Überweisungen erfolgten hier nach dem sogenannten iTAN-Verfahren. Hierbei wird der User nach Eingabe einer PIN (persönliche Identifikationsnumer) in einer Anweisung dazu aufgefordert, eine einzelne, bestimmte TAN (Transaktionsnummer) einzugeben, bevor die Überweisung getätigt werden kann. Die TAN gibt der Nutzer aus einer ihm vorliegenden durchlaufend nummerierten Liste ein.

Zentral auf der Login-Seite des Finanzinstituts war ein Hinweis platziert. Dort wurde vor schädlicher Software und Phishing-E-Mails gewarnt. Außerdem wurde darauf hingewiesen, dass das Finanzinstitut selbst unter keinen Umständen Ihre Kunden auffordern würde, gleichzeitig mehrere TANs einzugeben. Es wurde ebenfalls angemerkt, dass die Bank niemals per E-Mail zu einer Anmeldung zum Online-Banking auffordern würde. 

Der Bankkunde hielt sich jedoch nicht an diesen Hinweis. Nach Eingabe der ihm zugeordneten PIN und TAN wurde ein Betrag in Höhe von 5.000 Euro auf ein Konto im Ausland überwiesen. Daraufhin wurde vom Kunden eine Strafanzeige erstattet.

Aus dem in der Anzeige vorgebrachten Sachverhalt ergibt sich, dass der Bankkunde Opfer eines Pharming-Angriffs geworden ist. Dabei hatte der ordnungsgemäße Aufruf der Bank-Website zur Weiterleitung zu einer illegalen Internetseite geführt, auf der der Kunde zur Eingabe von mehreren TANs aufgefordert wurde. Diese Nummern wurden von einem Unbekannten zu einer unbefugten Online-Überweisung benutzt. Durch die Reaktion auf diese Pharming-Attacke hat sich der Kunde schadensersatzpflichtig gemacht. Er hatte nämlich trotz des ausdrücklichen Hinweises der Bank mehrere TANs (in diesem Falle zehn) eingegeben.

24.04.2012 - XI ZR 96/11 Bundesgerichtshof