Schadensersatz bei Pharming-Angriffen im Onlinebanking

Der Bundesgerichtshof hat mit Urteil vom 24.4.2012 entschieden, unter welchen Voraussetzungen ein Bankkunde sich im Onlinebanking bei einem Pharming-Angriff schadensersatzpflichtig macht.

Im zugrundeliegenden Fall nahm ein Bankkunde seine Bank wegen einer von ihr im Onlinebanking ausgeführten Überweisung von 5.000 € auf Rückzahlung dieses Betrages in Anspruch. Er unterhielt bei der Bank ein Girokonto und nahm am Onlinebanking teil. Für Überweisungsaufträge verwendete das Geldinstitut das sog. iTAN-Verfahren, bei dem der Nutzer nach Erhalt des Zugangs durch Eingabe einer korrekten persönlichen Identifikationsnummer (PIN) dazu aufgefordert wird, eine bestimmte Transaktionsnummer (TAN) aus einer ihm vorher zur Verfügung gestellten durchnummerierten TAN-Liste einzugeben.

In der Mitte der Log-in-Seite des Onlinebankings befand sich folgender Hinweis: "Derzeit sind vermehrt Schadprogramme und sogenannte Phishing-Mails in Umlauf, die Sie auffordern, mehrere Transaktionsnummern oder gar Kreditkartendaten in ein Formular einzugeben. Wir fordern Sie niemals auf, mehrere TAN gleichzeitig preiszugeben! Auch werden wir Sie niemals per E-Mail zu einer Anmeldung im … Net-Banking auffordern!"
Der Bankkunde berücksichtigte den Hinweis nicht. Von seinem Girokonto wurde nach Eingabe seiner PIN und TAN ein Betrag von 5.000 € auf ein Konto bei einer ausländischen Bank überwiesen. Der Kunde erstattete Strafanzeige.

Er ist nach dem in seiner Strafanzeige vorgetragenen Sachverhalt Opfer eines Pharming-Angriffs geworden, bei dem der korrekte Aufruf der Website der Bank technisch in den Aufruf einer betrügerischen Seite umgeleitet worden ist. Der betrügerische Dritte hat die so erlangte TAN genutzt, um der Bank unbefugt den Überweisungsauftrag zu erteilen. Der Kunde hat sich gegenüber der Bank durch seine Reaktion auf diesen Pharming-Angriff schadensersatzpflichtig gemacht. Er hat die im Verkehr erforderliche Sorgfalt außer Acht gelassen, indem er beim Log-in-Vorgang, also nicht in Bezug auf einen konkreten Überweisungsvorgang, trotz des ausdrücklichen Warnhinweises der Bank gleichzeitig zehn TAN eingegeben hat.