Vielen Kontoinhabern ist das Online-Banking suspekt, gerade aufgrund der vielen Medienberichte zu Datendiebst\u00e4hlen und \u201eHacking\u201c. Weil aber der moderne Gesch\u00e4ftsverkehr Geschwindigkeit erfordert und unn\u00f6tige Wege zur Bank nicht produktiv sind, wird der Online-Zahlungsverkehr dennoch \u00fcberwiegend genutzt.<\/p>\n
Mit Urteil vom 26. Januar 2016 (XI ZR 91\/14) hat der BGH entschieden, unter welchen Voraussetzungen ein Bankkunde, der ein Online-Authentifizierungsverfahren (beispielsweise das Online-Banking mittels PIN und TAN-Verfahren) nutzt, f\u00fcr von ihm behauptete Missbr\u00e4uche haftet \u2013 oder auch nicht.<\/p>\n
Der vom BGH entschiedene Fall ist zugegebenerma\u00dfen kurios: Versehentlich und ungekl\u00e4rt hat eine Bank knapp 250.000,00 Euro auf dem Konto eines Fitnessstudio-Unternehmens gutgeschrieben. Bevor die Bank diese (versehentlich) get\u00e4tigte Zahlung r\u00fcckg\u00e4ngig machen konnte, wurde \u2013 unter Verwendung zutreffender Authentifizierungsdaten des Fitnessstudiobetreibers \u2013 eine \u00dcberweisung vom Konto des Fitnessstudios in H\u00f6he von 235.000,00 Euro an einen Rechtsanwalt veranlasst.<\/p>\n
Da die Bank das Konto des Fitnessstudios mit einer entsprechenden R\u00fcckbuchung belastete, wies das Konto nunmehr einen hohen Sollstand auf und in entsprechender H\u00f6he wurde das Fitnessstudio von der Bank auf R\u00fcckzahlung verklagt. Der Inhaber des Fitnessstudios verwies darauf, dass er die \u00dcberweisung nicht get\u00e4tigt habe und ihm der Vorgang unerkl\u00e4rlich sei.<\/p>\n
Der BGH konnte in der Sache \u2013 aufgrund fehlender Tatsachenermittlungen \u2013 zwar nicht selbst entscheiden, legte jedoch im Wesentlichen fest, dass der Bankkunde auch dann nicht in jedem Falle hafte, wenn die Zahlungsanweisung unter Verwendung der zutreffenden Authentifizierungsdaten erfolge: Zwar konnte die Bank im vorliegenden Fall dem Kunden nachweisen, dass die Zahlungsanweisung mit Hilfe seiner personalisierten Sicherheitsmerkmale (PIN- und SMS-TAN) get\u00e4tigt wurde, dies gen\u00fcgt aber nach \u00a7 675w Satz 3 BGB \u201enicht notwendigerweise\u201c, um den Beweis der Autorisierung des Zahlungsvorgangs durch den Zahlungsdienstnutzer (Kontoinhaber) endg\u00fcltig zu f\u00fchren.<\/p>\n
Die Frage war also, ob sich die Bank gegen\u00fcber dem Fitnessstudio auf einen Anscheinsbeweis daf\u00fcr berufen kann, dass der Kontoinhaber selbst die Zahlung autorisiert oder jedenfalls den Zahlungsauftrag grob fahrl\u00e4ssig herbeigef\u00fchrt hat (letzteres etwa durch falsche Verwahrung von PIN und TAN oder die Preisgabe der Zugangsdaten an nicht autorisierte Dritte).<\/p>\n
Dies ist vergleichbar mit den parallel gelagerten F\u00e4llen des Bankkarten-Missbrauchs. Wird einem Bankkunden das Portemonnaie beziehungsweise die Bank- oder Kreditkarte entwendet und nach dem Diebstahl zeitnah<\/strong> Geld abgehoben, kann sich die Bank darauf berufen, dass die Karte zusammen mit der PIN-Nummer aufbewahrt wurde. Weil n\u00e4mlich nachweislich die Sicherungsverfahren der Bank fehlerfrei und (fast) un\u00fcberwindbar funktionieren, geht eine Vermutung dahin, dass sich der Dieb die PIN-Nummer nicht innerhalb von kurzer Zeit auf eine andere Weise beschaffen konnte.<\/p>\n Im Fall des missbr\u00e4uchlichen Online-Bankings hat der BGH nunmehr entschieden, dass die Bank sich zwar grunds\u00e4tzlich auch im elektronischen Zahlungsverkehr auf einen Beweis des ersten Anscheins berufen kann, dies aber nur, wenn die Bank vorher<\/strong> den Beweis f\u00fcr die praktische Un\u00fcberwindbarkeit des konkret eingesetzten Sicherungssystems erbracht hat.<\/p>\n Nur wenn der Bank dies gelingt \u2013 was bei der aktuellen IT-Sicherheitslage sicherlich eine Herausforderung darstellt \u2013, haftet der Kontoinhaber f\u00fcr Zahlungen die mit seinen pers\u00f6nlichen Zugangsdaten get\u00e4tigt wurden. Einziger Ausweg f\u00fcr den Kontoinhaber ist es sodann, den Anscheinsbeweis seinerseits irgendwie zu ersch\u00fcttern (beispielsweise durch einen Zeugen, der best\u00e4tigen kann, dass der Kontoinhaber zum fraglichen Zeitpunkt keinen Auftrag erteilt haben kann oder vielleicht auch dadurch, dass der Kontoinhaber \u2013 trotz ausreichender Sicherheitsma\u00dfnahmen \u2013 Opfer eines Datenangriffs geworden ist).<\/p>\n <\/p>\n