BGH XI ZR 96/11
Verhandlungstermin: 24. April 2012
BGH XI ZR 96/11
AG Düsseldorf - Urteil vom 6. April 2010 - 36 C 13469/09
LG Düsseldorf - Urteil vom 19. Januar 2011 - 23 S 163/10
Der Kläger nimmt die beklagte Bank auf Rückgängigmachung einer im elektronischen Zahlungsverkehr erfolgten Belastungsbuchung in Anspruch.
Der Kläger unterhält bei der Beklagten ein Girokonto und nahm seit dem Jahr 2001 am Online-Banking teil. Die Beklagte verwendet für entsprechende Überweisungsaufträge das sogenannte iTAN-Verfahren. Dieses ist dadurch gekennzeichnet, dass der Nutzer nach Eingabe seiner Persönlichen Identifikationsnummer (PIN) aufgefordert wird, eine durch eine Positionsnummer bestimmte (indizierte) Transaktionsnummer (TAN) aus einer ihm vorher übermittelten TAN-Liste einzugeben.
Am 26. Januar 2009 wurde vom Girokonto des Klägers im Online-Banking ein Betrag von 5.000 € auf ein Konto bei einer griechischen Bank überwiesen. Die Belastungsbuchung erfolgte nach Eingabe der PIN des Klägers und unter Verwendung einer korrekten TAN. Am gleichen Tag wurde auch vom Konto eines anderen Kunden der Beklagten ein Betrag von 7.000 € auf das Auslandskonto überwiesen, was dieser Kunde um 20.15 Uhr zur Anzeige brachte. Der Kläger erstattete seinerseits am 29. Januar 2009 Strafanzeige bei der Polizei. Er führte dazu aus, er habe einmal im Oktober 2008 das Online-Banking der Beklagten nutzen wollen, dabei aber den Hinweis bekommen, dass er zunächst 10 TAN eingeben müsse. Die geforderten TAN habe er in dafür vorgesehene Felder eingetragen und anschließend wieder Zugriff auf das Online-Banking erhalten. Das Ermittlungsverfahren wurde eingestellt, nachdem ein nach Griechenland gerichtetes Rechtshilfeersuchen der Staatsanwaltschaft nicht zur Ermittlung des Zielkontoinhabers geführt hatte.
Die Beklagte lehnt die Rückgängigmachung der Buchung ab, weil die Verwendung der richtigen Zugangsdaten dafür spreche, dass der Kläger die Auslandsüberweisung entweder selbst veranlasst oder durch die Offenlegung von 10 TAN jedenfalls schuldhaft ermöglicht habe. Insbesondere habe er gegen Nr. 8 ihrer Sonderbedingungen für die konto-depotbezogene Nutzung des Online-Banking verstoßen. Dort heißt es auszugsweise:
"Insbesondere Folgendes ist zur Geheimhaltung der PIN und TAN zu beachten:
…
-Bei Eingabe der PIN und Tan ist sicherzustellen, dass Dritte diese nicht ausspähen können.
-Die technische Verbindung zum Online-Banking-Angebot des Kreditinstituts ist nur über die vom Kreditinstitut gesondert mitgeteilten Online-Banking-Zugangskanäle herzustellen.
-Außerhalb der vom Kreditinstitut gesondert mitgeteilten Online-Banking-Zugangskanäle dürfen Anfragen, insbesondere nach vertraulichen Daten wie Geheimzahl, PIN oder TAN nicht beantwortet werden."
Die Beklagte warnte seit dem 10. September 2008 auch auf der Log-In-Seite des Online-Bankings vor Missbrauchsgefahren. Bis zum 28. Juli 2009 befand sich dort in der Mitte der Seite unter anderem der Hinweis: "Derzeit sind vermehrt Schadprogramme und sogenannte Phishing-Mails im Umlauf, die Sie auffordern, mehrere Transaktionsnummern oder gar Kreditkartendaten in ein Formular einzugeben. Wir fordern Sie niemals auf, mehrere TAN gleichzeitig preiszugeben!"
Der Kläger verlangt von der Beklagten den Ausgleich der Belastungsbuchung, da es ihre Aufgabe sei, für einen störungsfreien Ablauf des Online-Banking zu sorgen und ihre Kunden vor betrügerischen Transaktionen zu schützen. Das Amtsgericht hat die Klage abgewiesen. Die Berufung des Beklagten ist erfolglos geblieben. Zur Begründung hat das Berufungsgericht unter anderem ausgeführt: Es könne dahinstehen, ob der Kläger den Überweisungsauftrag selbst erteilt habe und ob dafür ein Anscheinsbeweis spreche. Auch wenn das nicht der Fall sei, könne er von der Beklagten keine Rückzahlung verlangen, weil diese wirksam mit einem Schadensersatzanspruch in gleicher Höhe aufgerechnet habe. Der Kläger habe seine vertraglichen Pflichten verletzt, indem er entgegen Ziffer 8 der Sonderbedingungen der Beklagten einem Dritten durch die Eingabe von 10 TAN fahrlässig Kenntnis von diesen verschafft habe. Dem Kläger habe sich die missbräuchliche Abfrage der TAN auch dann aufdrängen müssen, wenn auf dem Bildschirm die übliche Maske für das Online-Banking zu sehen gewesen sei und sich insofern keine Auffälligkeiten ergeben hätten. Es sei im Herbst 2008 schon durch Warnungen in den Medien allgemein bekannt gewesen, dass die Anfrage mehrerer TAN auf einen Missbrauch hindeute. Hinzu komme der unmissverständliche Warnhinweis der Beklagten auf der Log-In-Seite an hervorgehobener Stelle. Auch ein Mitverschulden sei der Beklagten nicht anzulasten. Das von ihr verwendete iTAN-Verfahren habe jedenfalls im Jahr 2008 dem Stand der Technik entsprochen. Eine Auslandsüberweisung über 5000 € sei im Massengeschäft des bargeldlosen Zahlungsverkehrs auch nicht ungewöhnlich genug, um Zweifel an der Richtigkeit des Zahlungsvorgangs zu hegen. Von der gleichgelagerten Abbuchung über 7000 € vom Konto eines anderen Kunden habe die Beklagte vor Ausführung der zu Lasten des Klägers gehenden Überweisung keine Kenntnis erlangt.
Mit der vom Berufungsgericht zugelassenen Revision verfolgt der Kläger sein Klagebegehren weiter. Im Rahmen der Revision wird sich der Senat insbesondere mit der Frage zu befassen haben, welche rechtlichen Maßstäbe für die Sorgfaltsanforderungen beim Online-Banking auf Seiten der Bank und ihrer Kunden zur Vermeidung von Missbrauch durch Dritte gelten.
