Erstattungsklage gegen die kontoführende Bank wegen nicht autorisierter Überweisungen im Online-Banking: Haftung des Kontoinhabers und Beweislastverteilung hinsichtlich eines Vertretenmüssens des Abha

§ 675mAbs.

2 BGB, welcher die Gefahr der Versendung personalisierter Sicherheitsmerkmale an den Zahlungsdienstnutzer dem Zahlungsdienstleister zuweist. Die Vorschrift gilt auch für die elektronische Versendung (MüKoBGB/Jungmann, § 675m BGB, Rn. 37). Auch wenn der Kläger die Streitverkündete als Telekommunikationsanbieterin ausgewählt hat, ist es gleichwohl interessengerecht, das Übermittlungsrisiko der Beklagten als Zahlungsdienstleisterin zuzuweisen, weil sich deren Dienstleistung - nämlich das Online-Banking im smsTAN-Verfahren - überhaupt nur mit Mobilfunkvertrag nutzen lässt. Randnummer 28 Im Übrigen liegt auch in der Person der Streitverkündeten kein Fall des § 675v Abs. 1 S. 1 BGB a.F. vor. Ihr ist die für die nicht autorisierten Zahlungsvorgänge genutzte SIM-Karte weder verlorengegangen, gestohlen worden oder sonst abhanden gekommen. Nach Angaben der Streitverkündeten soll die genutzte Ersatz-SIM-Karte auf ungeklärte Weise in die Hände der Täter gelangt sein, womit ein Abhandenkommen nicht dargetan ist. Wenn es tatsächlich möglich gewesen sein sollte, eine nicht von der Streitverkündeten an den Kläger versandte Ersatz-SIM-Karte anstelle der Karte des Klägers freizuschalten und einzusetzen, so liegt zwar eine schwerwiegende Sicherheitslücke im Verantwortungsbereich der Streitverkündeten nahe, aber eben kein Fall des § 675v Abs. 1 S. 1 BGB a.F. Etwaige Ansprüche der Beklagten gegen die Streitverkündete sind nicht Gegenstand dieses Rechtsstreits. Randnummer 29 2. Es liegt kein Fall vor, in dem der Schaden infolge einer sonstigen missbräuchlichen Verwendung eines Zahlungsauthentifizierungsinstruments entstanden ist und der Zahler die personalisierten Sicherheitsmerkmale nicht sicher aufbewahrt hat (§ 675v Abs. 1 S. 2 BGB a.F.). Randnummer 30 Personalisierte Sicherheitsmerkmale sind solche, die eine Authentifizierung erlauben, wie TAN und PIN im Online-Banking (MüKoBGB/Jungmann BGB § 675j BGB, Rn. 40 f.). Sicher aufbewahrt sind die Merkmale, wenn der Zahler alle zumutbaren Vorkehrungen trifft, um die personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen (vgl. § 675l S. 1 BGB a.F.). Randnummer 31 Es ist im vorliegenden Fall nicht nachgewiesen, dass der Kläger die personalisierten Sicherheitsmerkmale unsicher aufbewahrt habe. Es ist bereits nicht dargetan, dass der Kläger seine Online-Banking-PIN überhaupt (außerhalb seines Gedächtnisses) „aufbewahrt“ hat. Randnummer 32 Alleine der (klägerseits bestrittene) Umstand, dass die korrekte PIN zur Durchführung der Überweisung zum Einsatz gekommen sei, lässt nicht darauf schließen, dass der Kläger die PIN nicht sicher aufbewahrt habe. Ein entsprechender Erfahrungssatz im Sinne eines typischen, regelhaften Geschehensablaufs ist nicht ersichtlich. Auch bei Anwendung der zumutbaren Sorgfalt ist ein unbefugter Zugriff auf personalisierte Sicherheitsmerkmale erfahrungsgemäß nicht auszuschließen. Es kommt immer wieder vor, dass Nutzereingaben wie die Eingabe eines PIN-Codes mithilfe von Schadsoftware abgefangen werden. Dabei ist allgemein bekannt, dass die Infektion eines informationstechnischen Systems mit Schadsoftware häufig auch vom Anwender unbemerkt beim Besuch von Webseiten (sogenannte Drive-by-Downloads) erfolgt (vgl. BSI, Die Lage der IT-Sicherheit in Deutschland 2017; BKA, Bundeslagebild Cybercrime 2016), woraus dem Anwender kein Vorwurf zu machen ist. Auch durch Öffnen von E-Mails aus (scheinbar) vertrauenswürdiger Quelle kann eine unbemerkte Infektion mit Schadsoftware erfolgen, ohne dass dem Anwender daraus ein Vorwurf zu machen ist. Selbst aktuelle Virenschutzprogramme bieten stets nur gegen einen Teil der vorhandenen Schadprogramme Schutz. Randnummer 33 Eine Umkehr der Beweislast ergibt sich nicht daraus, dass die Aufbewahrung der Sicherheitsmerkmale ausschließlich in der Sphäre des Zahlers erfolgt und die Beklagte darauf keinen Einfluss hat. Aus dem Wortlaut des § 675v Abs. 1 S. 2 BGB ergibt sich eindeutig, dass die unsichere Aufbewahrung Voraussetzung eines Anspruchs des Zahlungsdienstleisters ist, wobei die Anspruchsvoraussetzungen nach allgemeinen Grundsätzen von demjenigen nachzuweisen sind, der den Anspruch geltend macht. Auch § 675w S. 3 Nr. 3 i.V.m. § 675l S. 1 BGB a.F. geht ersichtlich davon aus, dass den Zahlungsdienstleister hinsichtlich der Frage der sicheren Aufbewahrung personalisierter Sicherheitsmerkmale die Beweislast trifft (so auch MüKoBGB/Zetzsche, § 675v BGB, Rn. 54). Randnummer 34 Der Beklagten kommen die Grundsätze der sekundären Darlegungslast zugute. Danach muss der Zahler dem Vorwurf der unsicheren Aufbewahrung substantiiert entgegen treten und zu den Sicherheitsvorkehrungen vortragen. Dies hat der Kläger hier in der mündlichen Verhandlung ausreichend getan. Die Beklagte hatte Gelegenheit, den Kläger zu den angewandten Sicherheitsvorkehrungen zu befragen. Diese Befragung hat keinen Umstand ergeben, aus welcher dem Kläger der Vorwurf einer unsicheren Aufbewahrung seiner PIN zu machen wäre. Randnummer 35 Dem Zahlungsdienstleister ist es zumutbar, das verbleibende Restrisiko der Unaufklärbarkeit der Schadensursache zu tragen. Denn sein gewerbliches Geschäftsmodell des Angebots von Zahlungsdiensten über das Internet ist untrennbar mit einem gewissen Verlustrisiko verbunden, welches einzukalkulieren ist. Randnummer 36 Dem Kläger gemäß § 278 BGB ein Verschulden der Streitverkündeten wegen Übermittlung der SMS mit den eingesetzten Transaktionsnummern (TANs) an Unbefugte zuzurechnen,

§ 675mAbs.

2 BGB, wie oben ausgeführt worden ist. Die Streitverkündete ist im Übrigen bezüglich § 675v Abs. 1 S. 2 BGB a.F. nicht Erfüllungsgehilfin des Klägers, weil sich der Kläger ihrer nicht zur Erfüllung seiner Pflicht zur sicheren Aufbewahrung der personalisierten Sicherheitsmerkmale bedient hat. Der Streitverkündeten oblag zwar die Übermittlung der Transaktionsnummern (TANs), die von den Tätern missbräuchlich eingesetzt wurden. Die Übermittlung ist aber nach dem allgemeinen Sprachverständnis zu unterscheiden von der Aufbewahrung. Randnummer 37 3. Der Kläger hat die nicht autorisierten Zahlungsvorgänge nicht durch vorsätzliche oder grob fahrlässige Verletzung einer oder mehrerer Pflichten gemäß § 675l BGB herbeigeführt (§ 675v Abs. 2 Nr. 1 BGB a.F.). Randnummer 38

1. a)Es ist nicht nachgewiesen, dass der Kläger die Zahlungsvorgänge durch vorsätzliche oder grob fahrlässige Verletzung der Pflicht herbeigeführt habe, alle zumutbaren Vorkehrungen zu treffen, um unmittelbar nach Erhalt eines Zahlungsauthentifizierungsinstruments die personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen (§ 675l S. 1 BGB a.F.). Randnummer 39
2. aa)Dass der Kläger zumutbare Vorkehrungen zum Schutz von PIN und TAN unterlassen habe, hat die Beklagte nicht nachgewiesen. Es kann offen bleiben, ob der Kläger auf seinem zum Online-Banking genutzten PC zum Schutz vor Schadsoftware ein Virenschutzprogramm installieren, verwenden und auf dem aktuellen Stand halten musste, weil der Kläger unwiderlegt vorträgt, dies getan zu haben. Soweit die Beklagte die Richtigkeit dieses Vortrags bestreitet, verkennt sie, dass ihr der Nachweis einer Pflichtverletzung obliegt und den Kläger insoweit lediglich eine sekundäre Darlegungslast trifft. Die sekundäre Darlegungslast schließt nicht die Verpflichtung zur Vorlage von Belegen oder Nachweisen ein. Im Übrigen bestehen auch Bedenken gegen die Annahme einer Pflicht zur Installation und Verwendung einer besonderen Software zum Schutz vor Schadsoftware, soweit sie nicht bereits Bestandteil marktüblicher Betriebssysteme ist (entgegen Spindler in: Kullmann/Pfister/Stöhr/Spindler, Produzentenhaftung, 02/17, Produktverantwortung und Haftung im IT-Bereich), was die Beklagte nicht geltend macht. Der Bundesgerichtshof hat im Zusammenhang mit WLAN-Routern jedenfalls für private Verwender ausgesprochen, es würde diese unzumutbar belasten und wäre damit unverhältnismäßig, wenn ihnen zur Pflicht gemacht würde, die Netzwerksicherheit fortlaufend dem neuesten Stand der Technik anzupassen und dafür entsprechende finanzielle Mittel aufzuwenden (BGH, Urteil vom 12. Mai 2010 - I ZR 121/08 -, BGHZ 185, 330-341, Rn. 23). Der Bundesgerichtshof fordert lediglich die zweckentsprechende Anwendung der im Kaufzeitpunkt marktüblichen Sicherungen, wozu im entschiedenen Fall die Vergabe eines individuellen Passworts zum „Mindeststandard“ der IT-Sicherheit gezählt wurde (a.a.O.). Vom privaten Käufer eines marktüblichen PC, von dem technische Vorkenntnisse nicht unbedingt erwartet werden können, dürfte die Installation und Verwendung von Schutzsoftware danach nur zu fordern sein, soweit diese mitgeliefert wird und ihre Aktivierung bei Inbetriebnahme angeboten wird. Zu höheren Anforderungen an Verbraucher besteht keine Veranlassung, weil die (optionale) Bereitstellung von Sicherheitsvorkehrungen eher von den gewerblichen Herstellern informationstechnischer Geräte geleistet werden kann als von deren Verwendern. Ob für Einzelgewerbetreibende höhere Anforderungen gelten, kann hier offen bleiben. Randnummer 40 Es gibt auch keinen Erfahrungssatz, wonach bei einem Missbrauch des Online-Bankings bereits eine korrekte Aufzeichnung der Nutzung eines Zahlungsauthentifizierungsinstruments und die beanstandungsfreie Prüfung der Authentifizierung für eine grob fahrlässige Pflichtverletzung des Zahlungsdienstnutzers sprechen, sodass sich der Zahlungsdienstleister für den ihm im Rahmen von § 675v Abs. 2 BGB a.F. obliegenden Nachweis auch nicht auf den Beweis des ersten Anscheins stützen kann (BGH, Urteil vom 26. Januar 2016 - XI ZR 91/14 -, BGHZ 208, 331-357, Rn. 68). Wie oben ausgeführt, ist es nicht ungewöhnlich, dass es ohne Verschulden des Zahlenden zu unautorisierten Transaktionen kommt. Randnummer 41 Eine Umkehr der Beweislast ergibt sich nicht daraus, dass die Aufbewahrung der Sicherheitsmerkmale ausschließlich in der Sphäre des Zahlers erfolgt und die Beklagte darauf keinen Einfluss hat. Eine solche Umkehr der Beweislast hat der Bundesgerichtshof in der genannten Entscheidung zurecht nicht angenommen. Aus dem Wortlaut des § 675v Abs. 2 Nr. 1 BGB a.F. ergibt sich eindeutig, dass die schuldhafte Pflichtverletzung Voraussetzung eines Anspruchs des Zahlungsdienstleisters ist, wobei die Anspruchsvoraussetzungen nach allgemeinen Grundsätzen von demjenigen nachzuweisen sind, der den Anspruch geltend macht. Auch § 675w S. 3 Nr. 3 i.V.m. § 675l S. 1 BGB a.F. geht ersichtlich davon aus, dass den Zahlungsdienstleister hinsichtlich der Frage der sicheren Aufbewahrung personalisierter Sicherheitsmerkmale die Beweislast trifft (so auch MüKoBGB/Zetzsche, § 675v BGB, Rn. 54). Schließlich fordert § 675w S. 4 BGB a.F. die Vorlage unterstützender Beweismittel, um Betrug, Vorsatz oder grobe Fahrlässigkeit des Zahlungsdienstnutzers nachzuweisen, ohne dass die Beklagte im vorliegenden Fall solche Beweismittel vorgelegt hätte. Randnummer 42 Der Beklagten kommen die Grundsätze der sekundären Darlegungslast zugute. Danach muss der Zahler dem Vorwurf der unzureichenden Sicherungsvorkehrungen substantiiert entgegen treten und zu den Sicherheitsvorkehrungen vortragen. Dies hat der Kläger hier in der mündlichen Verhandlung ausreichend getan. Die Beklagte hatte Gelegenheit, den Kläger zu den angewandten Sicherheitsvorkehrungen zu befragen. Diese Befragung hat keinen Umstand ergeben, aus welcher dem Kläger der Vorwurf einer unsicheren Aufbewahrung seiner personalisierten Sicherheitsmerkmale zu machen wäre. Soweit die Beklagte in dem nachgelassenen Schriftsatz vom 01.06.2018 näheren Vortrag des Klägers zu Schutzvorkehrungen bezüglich seines Mobiltelefons vermisst, ist nicht dargetan, welche zumutbaren Schutzvorkehrungen bezüglich des Mobiltelefons (über den üblichen Passwortschutz hinaus) der Kläger außer Acht gelassen haben soll. Soweit die Beklagte in dem nachgelassenen Schriftsatz vom 01.06.2018 die Vermutung äußert, der Kläger könne einen E-Mail-Anhang aus nicht vertrauenswürdiger Quelle geöffnet haben, bestreitet der Kläger einen derartigen Infektionsweg mit nachgelassenem Schriftsatz vom 29.05.2018 ausdrücklich. Randnummer 43 Dem Zahlungsdienstleister ist es zumutbar, das verbleibende Restrisiko der Unaufklärbarkeit der Schadensursache zu tragen. Denn sein gewerbliches Geschäftsmodell des Angebots von Zahlungsdiensten über das Internet ist untrennbar mit einem gewissen Verlustrisiko verbunden, welches einzukalkulieren ist. Randnummer 44 Dem Kläger gemäß § 278 BGB eine etwaige Pflichtverletzung der Streitverkündeten wegen Übermittlung der SMS mit den eingesetzten Transaktionsnummern (TANs) an Unbefugte zuzurechnen,

§ 675mAbs.

2 BGB, wie oben ausgeführt worden ist. Randnummer 45

1. bb)Da bereits keine Pflichtverletzung seitens des Klägers nachgewiesen ist, kommt es nicht mehr darauf an, ob der Kläger unzureichende Sicherungsvorkehrungen zu vertreten hätte und ob sie für den Schaden ursächlich geworden sind. Randnummer 46 Gleichwohl gibt der zentrale Streitpunkt des Haftungsmaßstabs Veranlassung zu der Feststellung, dass der Kläger nicht aufgrund vertraglicher Vereinbarung schon für leicht fahrlässige Pflichtverletzungen haftete. Der Beklagten ist der Nachweis einer solchen von § 675v Abs. 2 BGB a.F. abweichenden Vereinbarung der Parteien nicht gelungen. Soweit die Beklagte auf allgemeine Geschäftsbedingungen („Bedingungen für das Online-Banking“) verweist, ist deren Einbeziehung in den Vertrag nicht nachgewiesen. Allgemeine Geschäftsbedingungen werden nur dann Bestandteil eines Vertrags, wenn der Verwender bei Vertragsschluss die andere Vertragspartei auf sie hinweist, der anderen Vertragspartei die Möglichkeit der Kenntnisnahme verschafft und wenn die andere Vertragspartei mit ihrer Geltung einverstanden ist (§ 305 Abs. 2 BGB). Im vorliegenden Fall ist bereits nicht nachgewiesen, dass der Kläger auf die „Bedingungen für das Online-Banking“ hingewiesen worden sei, obwohl dies anlässlich der Vereinbarung des smsTAN-Verfahrens zwischen den Parteien im Jahr 2011 nahe gelegen hätte. Die Beklagte hätte sich bei dieser Gelegenheit unschwer von dem Kläger die Geltung ihrer Bedingungen bestätigen lassen können, wie es im Jahr 2007 für die damaligen Geschäftsbedingungen auch geschehen war. Bei der erstmaligen Vereinbarung des Online-Banking-Zugangs zwischen den Parteien im Jahr 2007 verwendete die Beklagte die „Bedingungen für das Online-Banking“, auf welche sie sich im Rechtsstreit beruft, jedoch unstreitig noch nicht. Dass die Beklagte alle Kunden auf ihre 2009 eingeführten „Bedingungen für das Online-Banking“ hingewiesen haben will und dass deswegen auch dem Kläger ein entsprechender Hinweis zugegangen sei, ist bestritten und nicht nachgewiesen. Ist der Kläger demnach nicht nachgewiesenermaßen auf die „Bedingungen für das Online-Banking“ hingewiesen worden, so konnte die Beklagte auch die weitere Nutzung des Online-Banking durch den Kläger nicht als Einverständnis in deren Geltung verstehen. Randnummer 47
2. b)Es ist nicht nachgewiesen, dass der Kläger die Zahlungsvorgänge durch vorsätzliche oder grob fahrlässige Verletzung der Pflicht herbeigeführt habe, dem Zahlungsdienstleister den Verlust, den Diebstahl, die missbräuchliche Verwendung oder die sonstige nicht autorisierte Nutzung eines Zahlungsauthentifizierungsinstruments unverzüglich anzuzeigen, nachdem er hiervon Kenntnis erlangt hat (§ 675l S. 2 BGB a.F.). Randnummer 48 Der Kläger hatte vor Durchführung der Überweisungen keine Kenntnis von einer missbräuchlichen Verwendung oder sonst nicht autorisierten Nutzung eines Zahlungsauthentifizierungsinstruments. Nachdem er nachträglich Kenntnis davon erlangt hatte, setzte er unstreitig unverzüglich die Beklagte in Kenntnis. Randnummer 49 Der Kläger hatte vor Durchführung der Überweisungen keine Kenntnis von einem Verlust oder Diebstahl seines Mobiltelefons oder seiner SIM-Karte. Fraglich ist im vorliegenden Fall bereits, ob das Mobiltelefon im smsTAN-Verfahren als solches ein Zahlungsauthentifizierungsinstrument ist oder nur der Einsatz auf diese Weise erhaltener Transaktionsnummern (so Staudinger/Omlor