EuGH-Generalanwalt: Bank muss Schaden durch Phishing sofort ersetzen

Cyberkriminelle sind einfallsreich, wenn es darum geht, sich die sensiblen Bankdaten ihrer Opfer zu erschleichen und deren Konto zu plündern. Zu den weitverbreiteten Betrugsmaschen gehört das sog. Phishing, bei dem Kontoinhaber eine E-Mail erhalten und unter einem Vorwand aufgefordert werden, einen Link oder Button in der Mail anzuklicken. Dadurch werden sie auf eine gefälschte Webseite weitergeleitet, auf der sie ihre sensiblen Bankdaten eingeben sollen. Folgen sie der Aufforderung, schnappt die Falle zu und in kurzer Zeit veranlassen die Täter Transaktionen von dem Konto. Bis die Kontoinhaber dies bemerken, ist oft schon ein erheblicher Schaden eingetreten.

„Der Schock ist dann natürlich immer groß. Aber es gibt auch eine gute Nachricht für die Kontoinhaber. Gemäß § 675 u S. 2 BGB stehen Banken bei unautorisierten Abbuchungen grundsätzlich in der Haftung und müssen den Schaden ersetzen“, sagt Rechtanwalt Matthias Ruigrok van de Werve, CLLB Rechtsanwälte. Kontoinhaber haften hingegen grundsätzlich nur, wenn sie sich grob fahrlässig verhalten haben. Genau mit diesem Argument weisen Banken den Entschädigungsanspruch oft umgehend zurück. Das könnte sich nach den Schlussanträgen des EuGH-Generalanwalts Rantos jedoch ändern.

In dem zugrunde liegenden Fall war die Kundin einer polnischen Bank Opfer eines Phishing-Betrugs geworden. Sie hatte einen Link angeklickt und war auf einer betrügerischen Webseite gelandet, die der echten Webseite der Bank ähnlich sah. Sie ließ sich täuschen und gab ihre Zugangsdaten ein. Wenig später hatten die Betrüger Transaktionen von ihrem Konto getätigt.

Der Frau fiel der Betrug schon am nächsten Tag auf. Da sie die Zahlung nicht autorisiert hatte, forderte sie von ihrer Bank die Erstattung des Betrags. Die Bank verweigerte die Zahlung mit der Begründung, dass sich die Kontoinhaberin grob fahrlässig verhalten habe.

Die Frau reichte Klage ein und das polnische Gericht schaltete den Europäischen Gerichtshof ein. Der EuGH soll klären, ob nach Unionsrecht eine Bank verpflichtet ist, den Schaden durch eine unautorisierte Zahlung unverzüglich zu erstatten, selbst wenn sie der Auffassung ist, dass sich der Kunde grob fahrlässig verhalten hat.

Generalanwalt Rantos machte nun deutlich, dass die Bank zunächst verpflichtet ist, den Betrag einer nicht autorisierten Transaktion unverzüglich zu erstatten. Der Gesetzgeber habe hier keine Ausnahmen vorgesehen. Nur wenn es einen begründeten Verdacht auf Betrug gebe und die Bank dies der zuständigen Behörde schriftlich mitteilt, müsse die Bank nicht unverzüglich für den Schaden aufkommen.

Die Erstattungspflicht der Bank ist dabei nicht endgültig. Stellt sich heraus, dass sich der Kontoinhaber grob fahrlässig verhalten hat, könne wiederum die Bank die Rückzahlung verlangen. Verweigert dann der Kunde die Zahlung, muss die Bank gegen ihn klagen – und nicht umgekehrt.

„Der bisherige typische Ablauf wäre damit auf den Kopf gestellt. Nicht mehr der Kontoinhaber müsste seine Ansprüche geltend machen, sondern die Bank wäre gefordert. Sie müsste zunächst für den Schaden aufkommen und könnte das Geld dann ggf. von ihrem Kunden zurückfordern, wenn sie ihm grobe Fahrlässigkeit nachweisen kann. Die Position der Bankkunden und der Verbraucherschutz wären erheblich gestärkt, wenn der EuGH den Ausführungen des Generalanwalts folgt“, so Rechtsanwalt Ruigrok van de Werve.

Das Urteil des EuGH wird im Laufe des Jahres erwartet. Häufig folgt das Gericht den Schlussanträgen des Generalanwalts. Sollte das auch hier, wie erwartet, der Fall sein, können Opfer von Phishing und anderen Betrugsmaschen, deren Forderungen bisher von der Bank zurückgewiesen wurden, ihren Erstattungsanspruch gegen die Bank mit Nachdruck geltend machen.

Mehr Informationen: https://www.cllb.de/bank-und-kapitalmarktrecht/online-banking-betrug-und-kreditkartenmissbrauch/