Haftung bei Phishing – Attacke

Das KG Berlin hat mit dem Urteil vom 29.11.2010 (Az: 26 U 159/09) entschieden:

 

Das KG Berlin entschied mit dem folgenden Leitsatz:

 

Nach einer rechtswidrigen Phishing-Attacke gegenüber einem Kunden steht der Bank kein Aufwendungsersatz zu. Ein dem Kunden entgegenzuhaltender Schadensersatz muss aufgrund eines Mitverschuldens der Bank um 70 % gekürzt werden, wenn diese noch nicht das aktuelle und sicherere iTan-Verfahren nutzt.

 

Der Entscheidung lag der folgende Sachverhalt zugrunde:

 

Eine Kundin der beklagten Bank wollte online eine Überweisung tätigen. Während des Überweisungsvorgangs öffnete sich ein weiteres Fenster, welches äußerlich der Webseite der Beklagten entsprach. Die Klägerin wurde hierüber aufgefordert, vier weitere Tans einzugeben, da die erste Überweisung angeblich fehlgeschlagen sei. Am nächsten Tag wurden Überweisungen in Höhe von insgesamt fast 15.000,- EUR vorgenommen.

 

Die Klägerin trug vor, dass sie Opfer einer Phishing-Attacke geworden sei und verlangte die Zahlung der 15.000,- EUR von der Beklagten. Die Beklagte wandte hiergegen ein, dass die Klägerin den Tätern fahrlässig Zugriff auf die Bankdaten gewährt habe und machte einen Schadensersatzanspruch geltend.

 

Die hier streitgegenständlichen Überweisungen sind ohne zurechenbare Anweisungserklärung der Klägerin durch Ausspähen bösartiger Software durchgeführt worden, so dass die Beklagte keinen vertraglichen Aufwendungsersatzanspruch geltend machen könne. Die Beklagte könne der Klägerin jedoch einen Schadensersatzanspruch entgegenhalten, da sie durch Eingabe der vier TAN – Nummern zumindest fahrlässig gehandelt hat. Es hätte ihr verdächtig vorkommen müssen, dass sie wiederholt zur Eingabe ihrer TAN aufgefordert worden ist.

 

Der Schadensersatzanspruch war nach Ansicht des KG Berlin jedoch um 70 % zu kürzen. Dies begründete das KG Berlin damit, dass die Bank ihrerseits Sorgfaltspflichten verletzt habe, die zur Entstehung des Schadens beigetragen hätten. Denn die Beklagte nutzte im vorliegenden Fall nicht das aktuelle und sicherere iTan-Verfahren, welches einen Angriff der vorliegenden Art verhindert hätte.