AG Wiesloch, Urteil vom 20.06.2008 - 4 C 57/08

Zur Haftung der Bank für den Schaden des Phishing-Opfers - Soweit der Bankkunde seinen Computer im Rahmen des Online-Banking entsprechend "durchschnittlichen Sorgfaltsanforderungen" betreibt, haftet die Bank grundsätzlich gegenüber dem Bankkunden für durch das so genannte Phishing entstehende Schäden.

BGB §§ 280, 241 Abs. 2, 278

1. Ohne ein wirksames Angebot des Kunden auf Abschluss eines Überweisungsvertrages kann das Konto des Bankkunden nicht belastet werden, da es an einer Weisung fehlt. Das Fälschungsrisiko des Überweisungsauftrages trägt hierbei die Bank.

2. Im Fall der missbräuchlichen Verwendung von Passwörtern und anderen Identitätsmerkmalen des Bankkunden (hier: PIN und TAN im Rahmen des Phishing bzw. Keylogging bzw. Pharming) durch Dritte liegen die Vorraussetzungen der Rechtscheinhaftung des Bankkunden regelmäßig nicht vor, da es an einem vom Bankkunden - allerdings erforderlichen - bewusst gesetzten Rechtsschein fehlt.

3. Die Grundsätze des Bundesgerichtshofes zum Anscheinsbeweis bei EC-Karten (BGH, Urteil vom 05.10.2005, Az. XI ZR 210/03) sind auf die Fälle des klassischen Phishing (täuschungsbedingte Preisgabe von Daten) oder des Keylogging bzw. Pharming (unbemerkte Preisgabe von Daten) nicht übertragbar. Der Bankkunde will seine Daten in diesen Fällen eigentlich seiner Bank übermittelt. Dies ist in den typischen EC-Karten-Fällen (etwa Diebstahl) nicht der Fall. Ein Rückschluss aus der Verschlüsselungstechnologie auf die unsorgfältige Aufbewahrung der PIN bzw. von PIN und TAN dürfte nicht möglich sein (obiter dictum).

3. Die Bank kann von ihren Kunden erwarten, dass diese einen den allgemeinen, an dem Verhalten eines durchschnittlichen PC-Benutzers orientierten Personalcomputer für die Benutzung des Online-Banking verwenden. Eine irgendwie geartete Absicherung des Computers ist zu erwarten. Allerdings kann das Kreditinstitut das Risiko des Missbrauchs der Sicherungsmaßnahmen nicht umfassend auf den Kunden abwälzen. Die Bank trägt grundsätzlich dieses Risiko. Hierbei ist unter anderem zu berücksichtigen, dass die Bank das Online-Banking im Interesse der vereinfachten Abwicklung und der Einsparung von Personalkosten zur Verfügung stellt. Es stellt eine unternehmerische Entscheidung der Bank dar, ihren Kunden - und auch solchen, die nicht über besonderes Fachwissen im Umgang mit Personalcomputern und Internetanwendungen verfügen - das Online-Banking zur Verfügung zu stellen, was sich auch auf die anzuwendenden Sorgfaltsanforderungen auswirkt.

4. Lediglich auf der Homepage eines Kreditinstituts eingestellte Empfehlungen und Hinweise auf die beim Online-Banking zu beachtenden und vorzunehmenden Sicherungsmaßnahmen, haben keinen Vertragscharakter, aus denen zu Gunsten des Kreditinstituts eine Verpflichtung des Kunden hergeleitet werden kann, seinen Rechner - über "durchschnittliche Sorgfaltsvorkehrungen" hinaus - technisch aufzurüsten oder sich durch den Nachweis des Vorhandenseins bestimmter Sicherungsmaßnahmen (etwa Firewall) im Schadensfall zu exkulpieren.

MIR 2008, Dok. 208