Anspruch eines Bankkunden auf Erstattung von Abbuchungen vom Kreditkartenkonto; Schadensersatzanspruch der Bank bei grober Fahrlässigkeit des Kunden; Sorgfaltspflichten des Kunden beim Online-Banking

ein Schadensersatzanspruch aus § 675v Abs. 3 Nr. 2a)

gegenübersteht. Randnummer 21 1. Die Voraussetzungen eines Kontoberichtigungsanspruchs wegen der zwei streitgegenständlichen Kreditkartenzahlungen aus § 675u S. 2

liegen vor. Randnummer 22 Nach dieser Norm ist der Zahlungsdienstleister im Falle eines nicht autorisierten Zahlungsvorgangs verpflichtet, ein Zahlungskonto wieder auf den Stand zu bringen, auf dem es sich ohne die Belastung durch den nicht autorisierten Zahlungsvorgang befunden hätte, wenn das Zahlungskonto in Höhe der nicht autorisierten Zahlungen belastet wurde. Randnummer 23 Die gemäß § 675w S. 1

für die Autorisierung einer Zahlung beweisbelastete Beklagte kann unter bestimmten Voraussetzungen nach der Rechtsprechung des Bundesgerichtshofs einen Anscheinsbeweis für eine Autorisierung führen. Es kann zur Erschütterung dieses Anscheinsbeweises jedoch bereits die Darlegung und ggf. der Nachweis aller und damit auch außerhalb des technischen Zahlungsvorgangs liegender Tatsachen genügen, die die ernsthafte Möglichkeit eines Missbrauchs nahelegen (BGH, Urteil vom

1. Januar 2016 – XI ZR 91/14 –, BGHZ 208, 331-357, Rn. 29, zit n. juris). Randnummer 24 So liegt der Fall hier. Ein etwaiger Anscheinsbeweis für eine Autorisierung der Zahlungen durch den Kläger ist bereits dadurch erschüttert, dass den streitgegenständlichen Zahlungen unstreitig - zeitlich unmittelbar vor den Zahlungen - ein Phishing-Sachverhalt vorausgegangen ist, weshalb von einem Missbrauch auszugehen ist. Randnummer 25
2. Die Beklagte kann allerdings dem Kläger gegenüber seinem Kontoberichtigungsanspruch im Wege des Dolo-Agit-Einwandes (§ 242

) einen Schadenersatzanspruch in gleicher Höhe aus § 675v Abs. 3 Nr. 2a)

entgegen halten, weshalb die Klage abzuweisen war. Der Kläger hat die beiden Kartenzahlungen in grob fahrlässiger Verletzung seiner Pflichten aus § 675l Abs. 1 S. 1

bzw. den - unstreitig einbezogenen - AGB der Beklagten dadurch ermöglicht, dass er mehrere personalisierte Sicherheitsmerkmale an Dritte weitergegeben hat. Randnummer 26 a. Gemäß § 675v Abs. 3 Nr. 2a)

ist der Zahler seinem Zahlungsdienstleister zum Ersatz des gesamten Schadens verpflichtet, der infolge eines nicht autorisierten Zahlungsvorgangs entstanden ist, wenn der Zahler den Schaden herbeigeführt hat durch vorsätzliche oder grob fahrlässige Verletzung einer oder mehrerer Pflichten gemäß § 675l Abs. 1

. Gemäß § 675l Abs. 1 S. 1

ist der Zahlungsdienstnutzer verpflichtet, unmittelbar nach Erhalt eines Zahlungsinstruments alle zumutbaren Vorkehrungen zu treffen, um die personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen. Randnummer 27 Der Begriff der „personalisierten Sicherheitsmerkmale“ ist in § 1 Abs. 25 ZAG legaldefiniert. Danach handelt es sich um personalisierte Merkmale, die der Zahlungsdienstleister dem Zahlungsdienstnutzer zum Zwecke der Authentifizierung bereitstellt. Nach hM werden damit aber nicht jegliche personenbezogene Daten erfasst (zB Kontonummer oder Kartennummer), sondern lediglich solche Merkmale, die eine Authentifizierung erlauben (zB PIN, TAN oder Passwort) oder notwendige Vorstufen eines Authentifizierungsprozesses darstellen wie z.B. ein Freischaltcode für die Installation eines Authentifizierungsverfahrens (vgl. nur BeckOK

/Schmalenbach, 74. Ed. 1.5.2025,

§ 675lRn.

3, beck-online). Da Zahlungsinstrumente ausnahmslos aufgrund von detaillierten Bedingungen gemäß § 675l Abs. 2

ausgegeben werden, die detaillierte Regelungen zu den Schutzpflichten des Zahlungsdienstnutzers enthalten, kommt der gesetzlichen Regelung in 675l Abs. 1 S. 1 nur dann eine praktische Bedeutung zu, wenn die vertraglichen Vereinbarungen unwirksam sein sollten (BeckOK

/Schmalenbach, 74. Ed. 1.5.2025,

§ 675lRn.

4, beck-online). Randnummer 28 In den AGB der Beklagten sind Schutzpflichten in Bezug auf personalisierte Sicherheitsmerkmale geregelt. So ist der Karteninhaber gemäß Nr. 4 der AGB für die XXXX XXXX Credit Card zur Geheimhaltung seiner PIN oder des personalisierten Sicherheitsmerkmals für das besondere Authentifizierungsverfahren verpflichtet. Gemäß Nr. 8.1 der AGB für das Online-Kartenkonto hat der Karteninhaber alle zumutbaren Vorkehrungen zu treffen, um seine Authentifizierungselemente geheim zu halten. Unter anderem sind Wissenselemente geheim zu halten und dürfen insbesondere nicht außerhalb des Online-Kartenkontos in Textform oder mündlich weitergegeben werden, Nr. 8.1 2). Gemäß Nr. 4 2) der Sonderbedingungen für das 3D Secure-Verfahren dürfen u.a. die empfangenen SMS-TAN, die als Nachweis des Besitzelements dienen, nicht außerhalb der im Rahmen des Zahlungsvorgangs angezeigten 3D-Secure-Bestätigungsseite mündlich oder in Textform an Dritte weitergegeben werden. Randnummer 29 b. Gegen seine Sorgfaltspflichten aus den zitierten AGB, die sachlich, verhältnismäßig und nicht benachteiligend sind (§ 675l Abs. 2

), hat der Kläger verstoßen, indem er auf einen Link in einer Phishing-E-Mail geklickt und sodann auf einer Phishingwebseite seine Anmeldedaten zum XXXX (Anmeldename, Passwort), die Kreditkartendaten (Nummer, Verfallsdatum, CVC) sowie die SMS-TAN für den Wechsel des Authentifizierungsverfahrens eingegeben hat. Dieser Sachverhalt steht für das Gericht fest. Den insoweit ausführlichen Vortrag der Beklagten im Schriftsatz vom 10.03.2025 hat der Kläger - wie auch in der mündlichen Verhandlung erörtert - nicht substantiiert bestritten, weshalb er gemäß § 138 Abs. 3 ZPO als zugestanden gilt. Er deckt sich im Übrigen auch mit den Angaben, die der Kläger unstreitig gegenüber der Sperrhotline des Beklagten gemacht hat. Randnummer 30 Bei dem Passwort für das XXXX und der SMS-TAN handelt es sich um personalisierte Sicherheitsmerkmale, mit denen Dritte die XXXX Credit Card App mit dem Kreditkartenkonto (neu) verbinden und so die streitgegenständlichen Zahlungen vornehmen konnten. Das Passwort ist ein Wissenselement, das der Kläger entgegen Nr. 8.1 2) der AGB für das Online-Kartenkonto durch die Eingabe auf der Phishing-Seite in Textform weitergegeben hat. Die an die Mobilfunknummer des Klägers versandte SMS-TAN diente als Nachweis des Besitzelements „Mobiltelefon“ und wurde durch die Eingabe auf der Phishing-Seite entgegen Nr. 4 2) der Sonderbedingungen für das 3D Secure-Verfahren außerhalb der im Rahmen des Zahlungsvorgangs angezeigten 3D-Secure-Bestätigungsseite in Textform an Dritte weitergegeben. Randnummer 31 c. Die Weitergabe erfolgte auch in grob fahrlässiger Weise. Grobe Fahrlässigkeit setzt einen objektiv schwerwiegenden und subjektiv nicht entschuldbaren Verstoß gegen die Anforderungen der im Verkehr erforderlichen Sorgfalt voraus (BGH, Urteil vom

1. Januar 2016 – XI ZR 91/14 –, BGHZ 208, 331-357, Rn. 71 m.w.N., zit n. juris). Sie liegt vor, wenn ganz naheliegende Überlegungen nicht angestellt und nicht beachtet wird, was im gegebenen Fall jedem hätte einleuchten müssen. Es muss dem Zahler persönlich ein schwerer Obliegenheitsverstoß in seiner eigenen Angelegenheit vorgeworfen werden können, weil sich ihm die betrügerischen Umstände förmlich aufgedrängt haben, er davor aber letztlich die Augen verschlossen hat (BGH, Urteil vom
2. Juli 2010 - III ZR 249/09, Rn. 28; BGH, Urteil vom
3. Januar 2015 - XI ZR 182/13, Rn. 28; BGH, Urteil vom
4. Juli 2015 - III ZR 149/14, Rn. 11; BGH, Urteil vom
5. März 2016 – XI ZR 122/14, Rn. 34, jeweils mwN; BGH, Urteil vom
6. Juli 2021 – VI ZR 1118/20, Rn. 14, jeweils zit n. juris). Randnummer 32 Gemessen an diesen Maßstäben trifft den Kläger nicht nur aus objektiver Sicht, sondern auch subjektiv ein schlechthin unentschuldbarer Verstoß gegen die vertraglich vereinbarten Sorgfaltsanforderungen. Randnummer 33 Stellt man auf die Sorgfalt eines durchschnittlichen Verwenders von Online-Banking ab, so kann unterstellt werden, dass dieser über einigermaßen gesicherte Grundkenntnisse der Funktionsweise des Internets einschließlich des E-Mail-Verkehrs verfügt und jedenfalls die Berichterstattung über zahlreiche und zunehmende Phishing-Fälle im Online-Banking zumindest in groben Zügen verfolgt. Einem mit diesen Kenntnissen ausgestatteten durchschnittlichen Verwender der Telefon- und Online-Banking-Funktionen seiner Bank muss bekannt sein, dass im Internet Kriminelle versuchen, mittels der Versendung von E-Mails an sensible Daten Dritter zu gelangen (LG Essen, Urteil vom
7. Dezember 2014 – 6 O 339/14 –, Rn. 22 f., juris). Dem durchschnittlichen Verwender muss des Weiteren bekannt sein, dass keine Bank jemals mittels E-Mail oder überhaupt außerhalb eines Transaktionsvorgangs sensible Daten von ihm abfragt, noch dazu gleichzeitig die Zugangsdaten für das Online-Banking und die Kreditkartendaten nebst der CVV während eines einzigen Eingabevorgangs. Hinsichtlich der Beklagten ist es dem Gericht zudem aus zahlreichen Verfahren bekannt, dass sie keine E-Mails mit Links zum Online-Banking verschickt. Gegenteiliges behauptet auch der Kläger nicht. Randnummer 34 Zudem wird seit Jahren in sämtlichen Medien regelmäßig von so genannten Phishing-Attacken berichtet, in denen meist unbekannt bleibende Täter beispielsweise durch E-Mails versuchen, Bankkunden gerade zur Eingabe von zahlreichen persönlichen Daten gleichzeitig auf zuvor von ihnen entworfenen, täuschend echt aussehenden vermeintlichen Webseiten ihrer Banken zu bewegen. Der durchschnittliche Online-Banking-Kunde muss daher bei diesem Thema in erheblichem Umfange sensibilisiert sein und somit darauf achten, ausschließlich die "echten" Webseiten seiner jeweiligen Bank zu nutzen und eben nicht auf verlinkten Webseiten sensible Daten einzugeben (vgl. OLG Hamm, Beschluss vom
8. März 2015 – I-31 U 31/15 –, Rn. 3 - 4, juris). Randnummer 35 Diese naheliegenden Sorgfaltsmaßnahmen ließ der Kläger jedoch außer Acht. Den genannten Warnungen in den Medien zum Trotz erkannte er die E-Mail und die verlinkten Webseite nicht als Phishing-Angriff, obwohl bereits die E-Mail sehr deutliche Anhaltspunkte für einen derartigen Angriff bot: Randnummer 36 Die E-Mail enthält eine unpersönliche Anrede. Sie enthält gleich zu Beginn einen Schreibfehler, da das Wort „ Wir “ trotz des vorangestellten Kommas groß geschrieben wird. Auch der nachfolgende Satz Randnummer 37 „ Aufgrund neuer Sicherheitsstandards haben wir bei wichtige Updates für Ihr Kundenkonto durchgeführt “ Randnummer 38 enthält einen Rechtschreibfehler. Entweder ist das Wort „ bei “ zu streichen oder es muss „ wichtigen Updates “ heißen. Der Satz weist zudem mehrere auffällige Zeilenumbrüche auf. Im vierten Satz ist das Wort „ fortzufahren “ nicht bündig mit dem darüber stehenden Wort. Unter Zugrundelegung der vorstehenden Sätze ist der Button „ jetzt aktivieren “ nicht sinnhaft, weil vorher ausgeführt wird, dass ein Login ins Kundenkonto erfolgen soll. Randnummer 39 Im letzten Satz heißt es Randnummer 40 „ Vielen Randnummer 41 Dank für Ihre Kooperation. Bei Fragen stehen wir Ihnen gerne über unseren Randnummer 42 Kundenservice zur Verfügung. “ Randnummer 43 Spätestens jetzt, wo der Text der E-Mail einen weiteren sehr auffälligen und völlig sinnfreien Zeilenumbruch enthält, hätte es sich dem Kläger aufdrängen müssen, dass es sich nicht um die E-Mail einer Bank handeln kann, sondern eine Fälschung vorliegt. Randnummer 44 Zudem entbehrt der gesamte Text der kurzen E-Mail an Logik. Es wird angegeben, dass aufgrund „ neuer Sicherheitsstandards “ „ wichtige Updates “ bereits durchgeführt worden seien, was suggeriert, dass die Updates abgeschlossen wurden. Im folgenden Absatz wird dann jedoch darum gebeten, das Update selbst durchzuführen. Randnummer 45 Darüber hinaus hat der Kläger die E-Mail nur unvollständig in Kopie vorgelegt. Insbesondere lässt sich so nicht feststellen, ob es sich auch bei der Absenderadresse erkennbar nicht um die Adresse der Beklagten handelte. Dies unterstellt das Gericht unter Heranziehung der Grundsätze einer Beweisvereitelung. Randnummer 46 Die Beweisvereitelung setzt einen doppelten Schuldvorwurf voraus, der sich zum einen auf die Entziehung des Beweisobjekts und zum anderen auf die Beseitigung seiner Beweisfunktion beziehen muss. Wird ein Verhalten einer Partei festgestellt, das sich als Beweisvereitelung darstellt, darf dieses Verhalten von Amts wegen im Rahmen der freien Beweiswürdigung nach § 286 zum Nachteil dieser Partei berücksichtigt werden (Anders/Gehle/Nober,
9. Aufl. 2024, ZPO § 286 Rn. 79f., beck-online). Randnummer 47 Das Gericht hat dem Kläger die Vorlage der vollständigen E-Mail aufgegeben. Der Kläger ist dem nicht nachgekommen und hat lediglich ausgeführt, dass ihm die E-Mail nicht mehr vollständig vorliege. Da der Kläger keinerlei Begründung dafür anbietet, weshalb ihm die E-Mail nicht mehr vollständig vorliegt und er zusätzlich auch nicht im Rahmen seiner sekundären Darlegungslast Ausführungen zur konkreten Absenderadresse macht, ist davon auszugehen, dass er die E-Mail entweder bewusst gelöscht hat, weil er sie aufgrund einer erkennbar nicht der Beklagten zuzuordnenden Absenderadresse für prozessual nachteilhaft erachtet hat oder er die noch vorhandene E-Mail aus diesem Grund nicht vorlegt hat. Insoweit ist zu berücksichtigen, dass der Kläger ausweislich seines Anrufs bei der Sperrhotline der Beklagten noch am Tag des Erhalts der E-Mail erkannt hatte, dass es sich um eine Phishing-E-Mail handelte, so dass ihm der Beweiswert der E-Mail ab diesem Zeitpunkt bewusst gewesen sein muss. Randnummer 48 Im Ergebnis hätte es dem Kläger von vorneherein einleuchten müssen, dass er eine Phishing-E-Mail erhalten hatte. Dennoch hat er diese naheliegende Überlegung beiseite geschoben und nicht das getan, was jedem in einer solchen Situation einleuchten muss. Einleuchtend wäre es gewesen, die Beklagte zu kontaktieren, um abzuklären, ob es sich insoweit um eine Phishing-E-Mail handelt. Statt dessen hat der Kläger auf den Link geklickt und nicht nur die Zugangsdaten für das Online-Banking eingegeben, sondern zusätzlich die Kreditkartendaten und eine per SMS erhaltene TAN. Zunächst hätte es sich dem Kläger aufdrängen müssen, dass die Beklagte nicht die Kreditkartendaten und die CVV abfragt, da sie diesen Daten kennt. Besonders schwer wiegt, dass der Kläger auch die SMS-TAN auf der Phishing-Seite eingegeben hat. Diese hatte ihm die Beklagte mit dem Warnhinweis Randnummer 49 „Sie wollen das App-Verfahren zur Freigabe von Online-Zahlungen aktivieren? Falls nicht, melden Sie sich bitte umgehend bei uns. Code zur Bestätigung ....“ Randnummer 50 zugesandt. Dem Kläger hätte daher jedenfalls auffallen müssen, dass diese SMS im Widerspruch zum Text der Phishing-E-Mail stand, wonach lediglich ein Update durchgeführt werden sollte. Randnummer 51 Die grob fahrlässig begangene Pflichtverletzung des Klägers war ursächlich für den eingetretenen Schaden der Beklagten, der darin liegt, die nicht autorisierten Überweisungen ausgeführt zu haben, ohne einen Aufwendungsersatzanspruch gegen den Kläger erlangt zu haben. Randnummer 52 d. Der Schadensersatzanspruch der Beklagten ist nicht im Hinblick auf ein Mitverschulden gemäß § 254 Abs. 1

zu kürzen. Die Beklagte traf kein Mitverschulden, das an der Entstehung des Schadens mitgewirkt hat. Randnummer 53 aa. Beim Mitverschulden handelt sich begrifflich nicht um eine Verpflichtung gegenüber dem Schädiger auf Erfüllung einer ihm gegenüber obliegenden Leistungspflicht, sondern um die Pflicht gegenüber dem Schädiger, den durch zurechenbares eigenes Verschulden verursachten Teil des Schadens selbst zu übernehmen. Handelt es sich also im Rahmen des § 254

nicht um eine dem Schädiger gegenüber obliegende Leistungspflicht des Geschädigten, sondern um eine Pflicht des Geschädigten gegen sich selbst, so ist in jedem Einzelfall zu prüfen, was zur Verhinderung oder Minderung und Beseitigung des Schadens zu tun war (vgl. BGH, Urteil vom 31. März 1960 – III ZR 37/59 –, BGHZ 33, 136-144, juris Rn. 19). Das Verschulden iSd § 254 Abs. 1

besteht daher in einem „Verschulden gegen sich selbst“ (vgl. MüKoBGB/Oetker, 9. Aufl. 2022,

§ 254Rn.

3, beck-online). Randnummer 54 Nach diesem Maßstab trifft die Beklagte kein Vorwurf, eine Obliegenheit verletzt zu haben, die an der Entstehung des Schadens mitgewirkt hat: Randnummer 55 bb. Ein Mitverschulden der Beklagten folgt nicht daraus, dass sie die streitgegenständlichen Zahlungen nicht - wie vom Kläger vorgetragen - zum Zeitpunkt seines Anrufs bei der Sperrhotline „gestoppt“ hat. Dies war bereits nicht mehr möglich. Zu differenzieren ist insoweit zwischen den Buchungen des jeweiligen Aufwendungsersatzanspruchs der Beklagten gegenüber dem Kläger, die ausweislich der Anlage K 3 erst am 20. und 23.10.2023 erfolgten, und der Ausführung der Zahlungen an die Zahlungsempfänger. Die Zahlungsausführungen erfolgten gemäß den Anlagen B 3 bis B 5 um 19.44 und 19.55 Uhr. Die Zahlungsaufträge waren mithin bereits vor dem Sperranruf des Klägers gemäß §§ 675n Abs. 1, 675p Abs. 1

unwiderruflich und zudem bereits ausgeführt. Randnummer 56 Die Beklagte hätte den Schadenseintritt also auch nicht mehr zu Beginn des ersten Anrufs des Klägers bei der Sperrhotline um 20:01 Uhr verhindern können. Der Ratschlag der Mitarbeiterin/des Mitarbeiters der Sperrhotline, sich an den „vermeintlichen“ Zahlungsempfänger zu wenden, war allerdings nicht zielführend, sofern es zu diesem Zeitpunkt schon deutlich geworden war, dass die Zahlungen durch Kriminelle vorgenommen worden sein müssen. Randnummer 57 cc. Ein Mitverschulden trifft die Beklagte auch nicht wegen der Verletzung einer Warnpflicht oder einer mangelnden Transaktionsüberwachung. Randnummer 58 Eine Bank muss weder generell prüfen, ob die Abwicklung eines Zahlungsverkehrsvorgangs Risiken für einen Beteiligten begründet, noch Kontobewegungen allgemein und ohne besondere Anhaltspunkte überwachen. Eine Warnpflicht besteht erst dann, wenn die Bank ohne nähere Prüfung im Rahmen der normalen Bearbeitung eines Zahlungsverkehrsvorgangs auf Grund einer auf massiven Verdachtsmomenten beruhenden objektiven Evidenz den Verdacht einer Straftat schöpft (vgl. BGH, Urteil vom

1. April 2012 – XI ZR 96/11 –, Rn. 32,; Maihold in Ellenberger/Bunte, BankR-HdB,
2. Aufl., § 33 Rn. 384 mwN). Randnummer 59 Die nach Art. 2 der Delegierte VO 2018/389 bestehende Verpflichtung der Banken zur Vorhaltung eines Betrugspräventionssystems ändert daran nichts. Insoweit handelt es sich um eine aufsichtsrechtliche Überwachungspflicht und nicht um eine Pflicht zur Überwachung einzelner Zahlungsvorgänge (vgl. mit weiteren Ausführungen nur Hanseatisches Oberlandesgericht in Bremen, Beschluss vom
3. April 2024 – 1 U 47/23 –, Rn. 37, juris m.w.N.). Randnummer 60 Vorliegend bestand keine Warnpflicht für die Beklagte. Es sind lediglich zwei Kreditkartenzahlungen erfolgt, wobei weder die Zahlungsbeträge noch die Zahlungsempfänger auffällig waren. Die Bank musste deshalb nicht ohne nähere Prüfung im Rahmen der normalen Bearbeitung der Zahlungen den Verdacht einer Straftat schöpfen. Randnummer 61
4. Mangels des Bestehens einer Hauptforderung kann der Kläger auch nicht die als Nebenforderung geltend gemachte Freistellung von vorgerichtlichen Rechtsanwaltskosten beanspruchen. II. Randnummer 62 Die prozessualen Nebenentscheidungen folgen aus §§ 91 Abs. 1, 281 Abs. 3 S. 2, 709 ZPO. Permalink Diesen Link können Sie kopieren und verwenden, wenn Sie genau dieses Dokument verlinken möchten: https://gesetze.berlin.de/perma?d=NJRE001623934