onlineurteile.de - Seit 2001 nahm der Bankkunde am Online-Banking seiner Bank teil. Bei Überweisungsaufträgen setzt sie das iTAN-Verfahren ein. Dabei wird der Nutzer — nach Eingabe seiner persönlichen Identifikationsnummer (PIN) — aufgefordert, eine Transaktionsnummer (TAN) aus einer durchnummerierten TAN-Liste einzugeben, die ihm die Bank vorher zugesandt hat. Im Januar 2009 wurde vom Girokonto des Kunden ein Betrag von 5.000 Euro auf ein griechisches Bankkonto überwiesen: mit seiner PIN und einer korrekten TAN.

Der Kontoinhaber bestritt, diesen Betrag überwiesen zu haben. Er erstattete Strafanzeige, doch es konnte kein Täter ermittelt werden. Bei der Polizei erklärte er: Beim "Online-Banking im Oktober 2008 öffnete sich die Maske wie immer." "Danach kam der Hinweis, dass ich im Moment keinen Zugriff zum Online-Banking … (habe). Danach kam eine Anweisung, zehn Tan-Nummern einzugeben. Ich habe dann auch die geforderten Tan-Nummern, die ich schon von der Bank hatte, in die Felder ... eingetragen."

Offenkundig hatte der Bankkunde den Warnhinweis auf der Homepage seiner Bank ignoriert: "Derzeit sind vermehrt Schadprogramme und so genannte Phishing-Mails in Umlauf, die Sie auffordern, mehrere Transaktionsnummern oder gar Kreditkartendaten in ein Formular einzugeben. Wir fordern Sie niemals auf, mehrere TAN gleichzeitig preiszugeben!" Vergeblich forderte der Kunde seine Bank auf, die 5.000 Euro zu ersetzen. Auch seine Klage gegen die Bank blieb erfolglos.

Der Kunde sei der Bank zu Schadenersatz verpflichtet, urteilte der Bundesgerichtshof, denn er habe auf den Online-Angriff falsch reagiert (XI ZR 96/11). Bei so einem Angriff werde der Bankkunde von Betrügern auf ihre Webseite umgeleitet, wenn er die Webseite der Bank aufrufe. Im konkreten Fall habe der Betrüger eine der eingetragenen TAN genutzt, um der Bank unbefugt einen Überweisungsauftrag über 5.000 Euro zu erteilen.

Der Kunde habe den ausdrücklichen Warnhinweis der Bank ignoriert und damit die im Geschäftsverkehr erforderliche Sorgfalt außer Acht gelassen: Deshalb hafte er selbst für den Verlust. Es sei fahrlässig, beim Log-In-Vorgang gleichzeitig zehn TAN einzutragen. Bankkunden dürften immer nur einzelne Nummern im Zusammenhang mit konkreten Überweisungen eingeben.

P.S.: Mittlerweile haften Kunden in solchen Fällen nur noch bei Vorsatz oder grober Fahrlässigkeit, die einschlägigen Bestimmungen wurden im Oktober 2009 geändert. Ein Mitverschulden der Bank wurde im konkreten Fall verneint, weil ihr iTAN-Verfahren im Jahr 2008 dem Stand der Technik beim Online-Banking entsprach.