Weitergabe von Zugangsdaten für Online-Banking an Ehemann führt nicht automatisch zu einem Schadensersatzanspruch der Bank
LG Nürnberg-Fürth v. 17.7.2020 - 6 O 5935/19
Der Sachverhalt:
Die Klägerin unterhielt bei der Beklagten - einer Bank - ein Wertdepotkonto. In den AGB der Beklagten war u.a. geregelt, dass personalisierte Sicherheitsmerkmale geheim zu halten und Authentifizierungselemente vor dem Zugriff anderer Personen sicher zu verwahren sind. Die Klägerin hatte die Verwaltung des Kontos ihrem Ehemann übertragen. Schon beim Eröffnungsantrag hatte sie ausschließlich dessen E-Mail-Adresse angegeben. Die Übermittlung der TANs per SMS erfolgte ausschließlich auf ein durch den Ehemann der Klägerin genutztes Mobiltelefon. Beim Eröffnungsantrag für das Konto war bereits ausschließlich die Handynummer des Ehemanns hinterlegt worden. Die Klägerin hatte der Beklagten allerdings nicht mitgeteilt, dass das Konto durch ihren Ehemann verwaltet werden würde.
Im Mai 2019 erfolgte auf dem Konto der Klägerin eine Transaktion i.H.v. ca. 25.000 €, welche weder durch die Klägerin noch deren Ehemann autorisiert worden war. Die Klägerin verlangt von der Beklagten Ausgleich des Betrags gem. § 675 u Satz 2 BGB. Die Beklagte meint, dass sie nicht zum Ausgleich verpflichtet sei bzw. ihr ein Schadensersatzanspruch gegen die Klägerin zustehe, weil diese die Kontodaten ihrem Ehemann weitergegeben und damit den Phishing-Vorgang möglich gemacht habe. Schließlich sei dieser über die Mobiltelefonnummer des Ehemannes der Klägerin erfolgt.
Das LG hat die Bank verurteilt, an die Klägerin ca. 25.000 € zu bezahlen.
Die Gründe:
Der Anspruch ergibt sich aus § 675 u Satz 2 BGB. Die Beklagte hat umgekehrt keinen Schadensersatzanspruch nach § 675 v Abs. 3 Nr. 2 BGB gegen die Klägerin, aufgrund dessen sie die Zahlung verweigern könnte, obwohl diese die Kontodaten an ihren Ehemann weitergegeben hat.
Die Gefahr eines Phishing-Angriffs ist nicht durch die Weitergabe der PIN an den Ehemann der Klägerin erhöht worden. Das Schutzniveau hat sich dadurch, dass nicht die Klägerin selbst, sondern ihr Ehemann das Konto verwaltete, nicht verändert. Es ist nicht ersichtlich, dass ein Angriff auf das Mobiltelefon des Ehemanns der Klägerin wahrscheinlicher war als auf das Mobiltelefon der Klägerin selbst. Jedenfalls hat sich eine mögliche Pflichtverletzung der Klägerin nicht kausal auf den Eintritt des geltend gemachten Schadens ausgewirkt. Es bestehen überhaupt keine Anhaltspunkte dafür, dass die Gefahr eines Phishing-Angriffs durch die faktische Verwaltung des Kontos durch den Ehemann der Klägerin in irgendeiner Weise erhöht und damit i.S.d. § 675 v Abs. 3 BGB "herbeigeführt" worden ist.
OLG Nürnberg PM Nr. 12 vom 8.3.2021
Die Klägerin unterhielt bei der Beklagten - einer Bank - ein Wertdepotkonto. In den AGB der Beklagten war u.a. geregelt, dass personalisierte Sicherheitsmerkmale geheim zu halten und Authentifizierungselemente vor dem Zugriff anderer Personen sicher zu verwahren sind. Die Klägerin hatte die Verwaltung des Kontos ihrem Ehemann übertragen. Schon beim Eröffnungsantrag hatte sie ausschließlich dessen E-Mail-Adresse angegeben. Die Übermittlung der TANs per SMS erfolgte ausschließlich auf ein durch den Ehemann der Klägerin genutztes Mobiltelefon. Beim Eröffnungsantrag für das Konto war bereits ausschließlich die Handynummer des Ehemanns hinterlegt worden. Die Klägerin hatte der Beklagten allerdings nicht mitgeteilt, dass das Konto durch ihren Ehemann verwaltet werden würde.
Im Mai 2019 erfolgte auf dem Konto der Klägerin eine Transaktion i.H.v. ca. 25.000 €, welche weder durch die Klägerin noch deren Ehemann autorisiert worden war. Die Klägerin verlangt von der Beklagten Ausgleich des Betrags gem. § 675 u Satz 2 BGB. Die Beklagte meint, dass sie nicht zum Ausgleich verpflichtet sei bzw. ihr ein Schadensersatzanspruch gegen die Klägerin zustehe, weil diese die Kontodaten ihrem Ehemann weitergegeben und damit den Phishing-Vorgang möglich gemacht habe. Schließlich sei dieser über die Mobiltelefonnummer des Ehemannes der Klägerin erfolgt.
Das LG hat die Bank verurteilt, an die Klägerin ca. 25.000 € zu bezahlen.
Die Gründe:
Der Anspruch ergibt sich aus § 675 u Satz 2 BGB. Die Beklagte hat umgekehrt keinen Schadensersatzanspruch nach § 675 v Abs. 3 Nr. 2 BGB gegen die Klägerin, aufgrund dessen sie die Zahlung verweigern könnte, obwohl diese die Kontodaten an ihren Ehemann weitergegeben hat.
Die Gefahr eines Phishing-Angriffs ist nicht durch die Weitergabe der PIN an den Ehemann der Klägerin erhöht worden. Das Schutzniveau hat sich dadurch, dass nicht die Klägerin selbst, sondern ihr Ehemann das Konto verwaltete, nicht verändert. Es ist nicht ersichtlich, dass ein Angriff auf das Mobiltelefon des Ehemanns der Klägerin wahrscheinlicher war als auf das Mobiltelefon der Klägerin selbst. Jedenfalls hat sich eine mögliche Pflichtverletzung der Klägerin nicht kausal auf den Eintritt des geltend gemachten Schadens ausgewirkt. Es bestehen überhaupt keine Anhaltspunkte dafür, dass die Gefahr eines Phishing-Angriffs durch die faktische Verwaltung des Kontos durch den Ehemann der Klägerin in irgendeiner Weise erhöht und damit i.S.d. § 675 v Abs. 3 BGB "herbeigeführt" worden ist.