Christian Bahr Steuerberater

Personalisierte Bankdaten an andere weitergegeben - Haftung des Kunden nach Missbrauch

Personalisierte Bankdaten dürfen nicht an andere weitergegeben werden. Wenn dies trotz deutlicher Warnhinweise doch geschieht und daraufhin vom Konto des Kunden unberechtigte Abbuchungen erfolgen, muss die Bank das Geld nicht erstatten. So entschied das Landgericht Lübeck (Az. 3 O 153/23).

Ein Bankkunde erhielt binnen kurzer Zeit mehrfach Telefonanrufe, bei denen sich der Anrufer als Bankmitarbeiter ausgab. Beim dritten Anruf forderte der Anrufer den Kunden dazu auf, eine Internetseite zu öffnen und diktierte dabei die Webadresse Wort für Wort. Weiter erklärte der Anrufer, der Kunde werde gleich einen Link per SMS erhalten, den er in die Eingabemaske auf der Internetseite eingeben müsse. Die besagte SMS erhielt der Kunde sodann mit dem Einleitungssatz: „Bitte klicken Sie hier, um die PushTan-App einzurichten“ sowie dem Hinweis: „Bitte leiten Sie diese SMS nicht an dritte Personen weiter! Kein Mitarbeiter wird Sie um Weitergabe dieser Daten bitten.“ Der Kunde gab die Linkadresse ein und es erschien der Hinweis, die AGB seien erfolgreich aktualisiert worden. In Wirklichkeit handelte es sich bei dem Link jedoch um einen Registrierungscode für ein mobiles TAN-Verfahren. An den darauffolgenden Tagen wurden von dem Konto des Kunden knapp 10.000 Euro abgebucht. Als der Kunde dies bemerkte, ließ er sein Konto sperren. Der Kunde verlangte von der Bank die Erstattung der knapp 10.000 Euro. Er habe den Anrufer für einen Bankmitarbeiter gehalten und sei aufgefordert worden, der Aktualisierung der neuen AGB zuzustimmen. Die Bank verweigerte die Zahlung. Sie warf dem Kunden eine grob fahrlässige Verletzung seiner Sorgfaltspflichten vor.

Das Gericht wies die Klage des Bankkunden ab. Laut Gesetz müsse eine Bank ihren Kunden Geld zunächst erstatten, das ohne Zustimmung der Kunden von deren Konto abgebucht wurde. Wenn sich aber – wie im Streitfall – herausstelle, dass die Abbuchungen auf ein grob fahrlässiges Verhalten des Kunden zurückzuführen sind, weil der Kunde nicht beachtete, was jedem hätte einleuchten müssen, stehe der Bank aber wiederum Schadensersatz gegen den Kunden in gleicher Höhe zu. Denn ein Kunde dürfe keine personalisierten Sicherheitsmerkmale wie einen Registrierungscode an andere weiterleiten. Das habe der Kunde hier aber grob fahrlässig getan. Auf Grund der deutlichen Warnhinweise in der SMS hätte sich jedem durchschnittlichen Kunden aufdrängen müssen, dass man die Daten nicht weitergeben darf und es nicht nur um die Aktualisierung der AGB ging.