Urteil: Bank haftet für Phishing

Kunde muss keine Firewall haben

Wenn ein Onlinebanking-Kunde seinen Rechner ausreichend gesichert hat, muss seine Bank im Falle eines Phishing-Angriffs haften. Das entschied das Amtsgericht Wiesloch. Dabei ist nach Auffassung des Gerichts eine Antivirensoftware ausreichend, eine Firewall ist nicht erforderlich.

Das Amtsgericht Wiesloch hat am 20. Juni 2008 entschieden (Aktz.: 4 C 57/08), dass eine Bank für den Schaden haftet, der einem Onlinebanking-Kunden durch einen Phishing-Angriff entsteht. Voraussetzung ist aber, dass die Sicherheitsmaßnahmen des Kunden beim Betrieb seines Rechners "durchschnittlichen Sorgfaltsanforderungen" genügen.

Nach Auffassung des Gerichts ist dafür ein Antivirenschutz ausreichend. Es ist nicht erforderlich, dass der Kunde eine Firewall installiert hat. Damit hat das Amtsgericht Wiesloch die von anderen Gerichten geforderten Anforderungen gesenkt.

Vom Konto eines Onlinebanking-Kunden war im Herbst 2007 ein Betrag von rund 4.100 Euro unter Verwendung eines einfachen, ungesicherten TAN-Verfahrens an einen Dritten überwiesen worden. Ein Dritter hatte eine vom Kunden verwendete TAN mit einem Schadprogramm ausgelesen und die Überweisung durchgeführt. Auf dem Rechner des Kunden fanden sich 14 Schadprogramme. Eine Rücküberweisung des Geldes scheiterte, denn es war über eine Mittelsperson nach Russland weiterüberwiesen worden.

Die Bank wollte dem Kunden das überwiesene Geld nicht ersetzen. Zu Unrecht, wie das Amtsgericht Wiesloch ausführte. Die Bank müsse dem Kunden den Schaden ersetzen, der durch das Phishing zustande gekommen war. Nach Ansicht des Gerichts hatte die Bank keinen Anspruch gegenüber dem Kunden, der sie zu einer Abbuchung von seinem Konto berechtigte. Eine Pflichtverletzung des Kunden liege nicht vor, da der Kunde die allgemeinen Sorgfaltsanforderungen an die Absicherung seines Rechners erfüllt habe.

Von einem Kunden könne lediglich "das zur Nutzung des Mediums notwendige Wissen" und damit eine "irgendwie geartete Absicherung des Computers" erwartet werden. Dabei sei zu berücksichtigen, dass Onlinebanking auch im Interesse der Bank stattfinde. Diese habe aber mit ihren Kunden keine besonderen Sicherheitsmaßnahmen vertraglich vereinbart. Das Gericht wies auch darauf hin, dass grundsätzlich die Bank das Fälschungsrisiko eines Überweisungsauftrags zu tragen habe.

Das Gericht führt weiter aus, dass die vom Kunden nachgewiesene Installation eines kostenpflichtigen Antivirusprogramms den "gerichtsbekannten durchschnittlichen Sorgfaltsvorkehrungen" eines PC-Nutzers entspreche oder diese möglicherweise übertreffe. Zur Installation einer Firewall sei der Kunde nicht verpflichtet. [von Philip Christmann]