Die Zahl der Bankkunden, die ihre Geldgeschäfte nur noch im Internet erledigt, wächst rasant. Waren es im Jahr 2000 noch elf Prozent der Deutschen, sind es heute schon 36 Prozent – also mehr als jeder dritte Deutsche. Gleichzeitig werden die Betrüger im Web immer raffinierter und dreister beim Abfangen der Kundendaten. Eine höchstrichterliche Rechtsprechung, ob in solchen Fällen die Bank oder Kunde für den finanziellen Verlust haftet, gibt es bislang nicht.
Raffinierte PC-Spione
Die Datendiebe geben sich nämlich längst nicht mehr mit Phishing zufrieden – das Kunstwort steht für das Abfischen von sensiblen Kontodaten mittels gefälschter E-Mails und Internetseiten, die vorgaukeln von der eigenen Hausbank zu kommen. Die Betrüger arbeiten mittlerweile mit viel perfideren Methoden wie Viren und Trojanern, die den Computer direkt angreifen. Diese PC-Spione leiten die Opfer etwa auf gefälschte Internetseiten oder zeichnen Tastatureingaben auf und speichern so die Zugangsdaten – meist ohne, dass der Kunde davon etwas mitbekommt.
Ein aktuelles, noch unveröffentlichtes Urteil des Amtsgerichts Wiesloch (Az. 4C57/08) stärkt nun die Rechte der Verbraucher. Die Richter haben entschieden, dass Bankkunden, die bei Geldüberweisungen vom heimischen PC ein gängiges Virenschutzprogramm benutzen, nicht haften, wenn Datendiebe dennoch ihren Computer ausspionieren. „Das Urteil wirft die Frage auf, welcher Sorgfaltsmaßstab angelegt werden sollte“, sagt Kristina Bauer-Hofstetter, Rechtsanwältin bei RP Richter & Partner in München.
Sorgfaltspflicht beachten
Grundsätzlich trage die Bank das Risiko für den Missbrauch beim Onlinebanking. „Die Haftung liegt nur beim Verbraucher, wenn er eine mit ihm vereinbarte Sorgfaltspflicht verletzt hat“, erklärt Bauer-Hofstetter. In der Regel verankern Banken diese in ihren ABG mit Formulierungen wie „der Nutzer hat Sorge zu tragen, dass Dritte nicht an die Zugangsdaten zum Online-Banking gelangen“. Aber was genau diese Sorgfaltspflicht für den Verbraucher bedeutet, hat bislang kein oberstes Gericht definiert. „Beim Online-Banking gibt es bislang keine generellen Regeln. Es wird in jedem Einzelfall überprüft, ob der Kunde die Sorgfaltspflicht eingehalten hat“, sagt Kerstin Altendorf vom Bundesverband Deutscher Banken (BDB). Daran ändere sich auch durch das aktuelle Urteil erst mal nichts. „Für den eigenen PC ist der einzelne Kunde zunächst selbst verantwortlich“, meint Altendorf. Bei einem offenen System wie dem Internet sollten Bankkunden zudem besonders penibel auf ihre sensiblen Daten achten. Doch genau hier sehen nicht nur die Wieslocher Richter das Problem.
Grenzen der Technik-Kenntnisse
Auch das Landgericht Köln (Az. 9S195/07) war der Meinung, dass der Maßstab für die Sorgfaltspflicht nicht zu hoch gelegt werden darf. „Man kann nur das fordern, was ein Kunde mit einem durchschnittlichen technischen Verständnis leisten kann“, schrieben die Richter in ihrem Urteil Ende vergangenen Jahres. Auch die Bankrecht-Expertin Bauer-Hofstetter ist der Meinung, dass von den Bankkunden nicht zu viel Technikwissen erwartet werden darf: „Man kann nicht von einem Kunden erwarten, dass er während der laufenden Überweisung die URL ständig im Auge hat und das Sicherheitszertifikat überprüft.“
Im Fall, der dem Amtsgericht Wiesloch vorlag, wäre jedoch mehr als durchschnittliches technisches Verständnis nötig gewesen, um die Betrüger zu bemerken. Während die Ehefrau des Kontoinhabers eine elektronische Überweisung machen wollte, wurde der Bildschirm kurz schwarz und die eingegebene TAN verschwand. Welche Form von „böser Software“ die Betrüger nutzten, um die Daten zu klauen, konnte nicht abschließend geklärt werden.
Da die Familie aber die Sorgfaltspflichten eines durchschnittlichen Computernutzers erfüllt hatte, indem sie ihr Virenschutzprogramm regelmäßig aktualisierte, entschieden die Wieslocher Richter zugunsten der Bankkunden. Ein Geldinstitut könne nicht das komplette Risiko auf die Kunden abwälzen, schreiben sie in ihrem Urteil. Schließlich profitierten die Banken durch die Onlinegeschäfte auch von niedrigeren Personalkosten.
Geteiltes Risiko
Nun könnte sich künftig eine verbraucherfreundlichere Rechtsprechung bei Verlusten durch Betrug beim Online-Banking durchsetzen. Experten rechnen damit, dass weitere Urteile den Auffassungen der Kölner und Wieslocher Richter folgen. Das wäre ein großer Fortschritt für die Bankkunden. Bislang hat man angenommen, dass ähnlich wie beim Geldabheben mit der EC-Karte, ein sogenannter Anscheinsbeweis vorliegt, wenn die PIN beziehungsweise TAN genutzt wurde.
Doch nun zeigt sich, dass anders als bei der EC-Karte die Kunden nicht automatisch ihre Sorgfaltspflicht verletzt haben, wenn ihre Geheimnummern bekannt werden. Die Betrüger im Internet werden immer raffinierter und können die sensiblen Daten auch dann klauen, wenn Verbraucher umsichtig mit ihnen umgegangen sind. Da erscheint es nicht logisch, dass sie alleine das Missbrauchrisiko tragen.
