LG Berlin II 10. Zivilkammer — 10 O 428/24 — Urteil

Entscheidungsdatum: 2025-07-03

Aktenzeichen: 10 O 428/24

ECLI: ECLI:DE:LGBE2:2025:0703.10O428.24.00

Dokumenttyp: Urteil

Normen: § 242 BGB, § 254 Abs 1 BGB, § 675u S 2 BGB, § 675v Abs 2 Nr 2a BGB

Orientierungssatz

1. Stellt man auf die Sorgfalt eines durchschnittlichen Bankkunden beim Online-Banking ab, so kann erwartet werden, dass dieser über einigermaßen gesicherte Grundkenntnisse der Funktionsweise des Internets einschließlich des E-Mail-Verkehrs verfügt und die Berichterstattung über zahlreiche und zunehmende Phishing-Fälle im Online-Banking zumindest in groben Zügen verfolgt. Einem mit diesen Kenntnissen ausgestatteten durchschnittlichen Verwender der Telefon- und Online-Banking-Funktionen seiner Bank muss bekannt sein, dass im Internet Kriminelle versuchen, mittels der Versendung von E-Mails an sensible Daten Dritter zu gelangen (Anschluss LG Essen, Urteil vom 4. Dezember 2014 - 6 O 339/14).(Rn.33)

2. Dem durchschnittlichen Verwender des Online-Bankings muss bekannt sein, dass keine Bank mittels E-Mail oder überhaupt außerhalb eines Transaktionsvorgangs sensible Daten von ihm abfragt.(Rn.33)

3. Ein Mitverschulden der Bank ergibt sich nicht daraus, dass sie die streitgegenständlichen Zahlungen nicht zum Zeitpunkt des Anrufs des Kunden bei der Sperrhotline „gestoppt“ hat, wenn dies bereits nicht mehr möglich war.(Rn.55)

4. Eine Bank muss nicht generell prüfen, ob die Abwicklung eines Zahlungsverkehrsvorgangs Risiken für einen Beteiligten begründet. Sie muss auch nicht Kontobewegungen allgemein und ohne besondere Anhaltspunkte überwachen. Eine Warnpflicht besteht erst dann, wenn die Bank ohne nähere Prüfung im Rahmen der normalen Bearbeitung eines Zahlungsverkehrsvorgangs auf Grund einer auf massiven Verdachtsmomenten beruhenden objektiven Evidenz den Verdacht einer Straftat schöpft (Anschluss BGH, Urteil vom 24. April 2012 - XI ZR 96/11).(Rn.58)

Tenor

1. Die Klage wird abgewiesen.

2. Der Kläger hat die Kosten des Rechtsstreits zu tragen.

3. Das Urteil ist gegen Sicherheitsleistung in Höhe von 110 % des jeweils zu vollstreckenden Betrags vorläufig vollstreckbar.

4. Der Streitwert wird auf 9.083,30 € festgesetzt.

Tatbestand

1 Die Parteien streiten um die Erstattung von zwei Abbuchungen vom Kreditkartenkonto des Klägers.

2 Der Kläger beantragte am 30.05.2021 eine von der Beklagten herausgegebene XXXX XXXX Credit Card nebst Online-Banking („Online- Kartenkonto", nachfolgend „XXXX"). Die Beklagte stellte dem Kläger die beantragte Kreditkarte zur Verfügung, wobei die Allgemeinen Geschäftsbedingungen der Beklagten in den Kreditkartenvertrag mit einbezogen wurden.

3 Gemäß Nr. 4 der AGB für die XXXX XXXX Credit Card ist der Karteninhaber zur Geheimhaltung seiner PIN oder des personalisierten Sicherheitsmerkmals für das besondere Authentifizierungsverfahren verpflichtet. Gemäß Nr. 8.1 der AGB für das Online-Kartenkonto hat der Karteninhaber alle zumutbaren Vorkehrungen zu treffen, um seine Authentifizierungselemente geheim zu halten. Unter anderem sind Wissenselemente geheim zu halten und dürfen insbesondere nicht außerhalb des Online-Kartenkontos in Textform oder mündlich weitergegeben werden, Nr. 8.1 2). Gemäß Nr. 4 2) der Sonderbedingungen für das 3D Secure-Verfahren dürfen u.a. die empfangenen SMS-TAN, die als Nachweis des Besitzelements dienen, nicht außerhalb der im Rahmen des Zahlungsvorgangs angezeigten 3D-Secure-Bestätigungsseite mündlich oder in Textform an Dritte weitergegeben werden.

4 Wegen der Einzelheiten wird auf den als Anlage B 1a vorgelegten Kreditkartenantrag und die als Anlagen B 1b bis B 1e vorgelegten Allgemeinen Geschäftsbedingungen für die XXXX XXXX Credit Card, Bedingungen für das Online-Kartenkonto für die XXXX XXXX Credit Card und die Sonderbedingungen für das 3D Secure-Verfahren Bezug genommen.

5 Am 19.10.2023 erhielt der Kläger die als Anlage K 4 lediglich auszugsweise vorgelegte Phishing-E-Mail.

6 Um 19:18 Uhr erhielt der Kläger eine SMS von der Beklagten an seine Mobilfunknummer mit einer SMS-TAN und dem Hinweistext „Sie wollen das App-Verfahren zur Freigabe von Online-Zahlungen aktivieren? Falls nicht, melden Sie sich bitte umgehend bei uns. Code zur Bestätigung ...“.

7 Zwischen 19.44 Uhr und 19:55 Uhr erfolgten ausweislich der Aufzeichnungen der Beklagten die folgenden zwei Zahlungen mit der Kreditkarte des Klägers:

8 8.583,30 € an XXXX*XXXX.com Hotel und

9 582,02 USD (umgerechnet 500,00 €) an XXXX GmbH.

10 Nach Erhalt der jeweiligen Zahlungsbestätigungen per E-Mail um 19.44 und 19.55 Uhr (vgl. Anlage K 5 und K 6) rief der Kläger ab 20:01 Uhr zweimal bei der Service-/Sperrhotline der Beklagten an. Die Kreditkarte wurde durch die Beklagte um 20:07 Uhr gesperrt. Der Kläger teilte mit, dass er gegen 19:00 Uhr einer Phishing-E-Mail zum Opfer gefallen sei. Er habe auf den Link in dieser E-Mail geklickt und sei dann auf eine angebliche XXXX Webseite weitergeleitet worden, wo er die Anmeldedaten für das XXXX sowie seine Kreditkartendaten eingegeben habe. Anschließend habe er einen SMS-TAN für die Aktivierung des App-Verfahrens erhalten und diesen ebenfalls eingegeben. Wegen der Einzelheiten wird auf die Anlage B 8 Bezug genommen. Im ersten Telefongespräch hatte ein Mitarbeiter der Beklagten dem Kläger zunächst mitgeteilt, dass dieser sich wegen der ersten Zahlung mit XXXX.com in Verbindung setzen solle, was der Kläger erfolglos tat.

11 Der Kläger behauptet, er habe die beiden Kartenzahlungen nicht autorisiert. Er ist der Ansicht, dass er auch nicht grob fahrlässig gehandelt habe, weil es für ihn nicht ersichtlich gewesen sei, dass es sich bei der E-Mail vom 19.10.2024, die ihm jetzt nicht mehr vollständig vorliege, um eine Phishing-E-Mail gehandelt habe. Dementsprechend habe er auf den Link geklickt und die „entsprechende Kennziffer “ eingegeben. Die Beklagte treffe jedenfalls ein Mitverschulden, weil sie die streitgegenständlichen Zahlungen auf seinen ersten Anruf hin nicht vor der endgültigen Buchung „gelöscht“ habe, was möglich gewesen sei. Zudem habe es sich jedenfalls bei der Verfügung über 8.583,30 € um eine der Höhe nach ungewöhnliche und untypische Summe gehandelt, die der Beklagten bei ordnungsgemäßer Bearbeitung und im Rahmen einer notwendigen automatisierten Transaktionsüberwachung hätte auffallen müssen.

12 Der Kläger beantragt,

13 die Beklagte wird verurteilt, per 20.10.2023 dem bei ihr geführten Konto des Klägers einen Betrag von 9.083,30 € gutzuschreiben sowie den Kläger gegenüber den Rechtsanwälten XXXX wegen vorgerichtlicher Rechtsanwaltsgebühren i.H.v. 973,66 € freizustellen.

14 Die Beklagte beantragt,

15 die Klage abzuweisen.

16 Die Beklagte behauptet, nach ihren Protokollen habe sich der Klägerin am 19.10.2024 ins XXXX eingeloggt. Es sei sodann das Autorisierungs-Verfahren per SMS auf das App-Verfahren umgestellt worden, so dass Kreditkartenzahlungen anschließend in der XXXX Credit Card App haben freigegeben werden können. Dazu sei die beim Kläger eingegangene SMS-TAN um 19.19 Uhr in der XXXX Credit Card App eingegeben worden. Die streitgegenständlichen Zahlungen seien sodann in der App freigegeben worden. Der Kläger habe zuvor auf die als Phishing-Mail erkennbare E-Mail vom 19.10.2024 auf einer Phishingseite - so wie er es gegenüber der Sperrhotline unstreitig angegeben hat - seine Anmeldedaten zum XXXX (Anmeldename, Passwort), die Kreditkartendaten (Nummer, Verfallsdatum, CVC) sowie die SMS-TAN angegeben (vgl. Schriftsatz vom 10.03.2025).

17 Die zunächst vor dem Landgericht Siegen erhobene Klage hat dieses mit Beschluss vom 12.11.2024 an das erkennende Gericht verwiesen. Die Kammer hat den Rechtsstreit mit Beschluss vom 25.11.2024 auf den Einzelrichter übertragen.

18 Das Gericht hat dem Kläger mit Verfügung vom 04.04.2025 gemäß § 273 Abs. 2 Nr. 5, 142 ZPO erfolglos aufgegeben, die E-Mail vom 19.10.2024 vollständig vorzulegen.

19 Wegen des übrigen Sach- und Streitstandes wird auf die gewechselten Schriftsätze nebst Anlagen sowie das Protokoll der mündlichen Verhandlung vom 12.06.2025 Bezug genommen.

Entscheidungsgründe

I.

20 Die zulässige Klage ist unbegründet, weil dem Erstattungsanspruch des Klägers aus § 675u S. 2 BGB ein Schadensersatzanspruch aus § 675v Abs. 3 Nr. 2a) BGB gegenübersteht.

21 1. Die Voraussetzungen eines Kontoberichtigungsanspruchs wegen der zwei streitgegenständlichen Kreditkartenzahlungen aus § 675u S. 2 BGB liegen vor.

22 Nach dieser Norm ist der Zahlungsdienstleister im Falle eines nicht autorisierten Zahlungsvorgangs verpflichtet, ein Zahlungskonto wieder auf den Stand zu bringen, auf dem es sich ohne die Belastung durch den nicht autorisierten Zahlungsvorgang befunden hätte, wenn das Zahlungskonto in Höhe der nicht autorisierten Zahlungen belastet wurde.

23 Die gemäß § 675w S. 1 BGB für die Autorisierung einer Zahlung beweisbelastete Beklagte kann unter bestimmten Voraussetzungen nach der Rechtsprechung des Bundesgerichtshofs einen Anscheinsbeweis für eine Autorisierung führen. Es kann zur Erschütterung dieses Anscheinsbeweises jedoch bereits die Darlegung und ggf. der Nachweis aller und damit auch außerhalb des technischen Zahlungsvorgangs liegender Tatsachen genügen, die die ernsthafte Möglichkeit eines Missbrauchs nahelegen (BGH, Urteil vom 26. Januar 2016 – XI ZR 91/14 –, BGHZ 208, 331-357, Rn. 29, zit n. juris).

24 So liegt der Fall hier. Ein etwaiger Anscheinsbeweis für eine Autorisierung der Zahlungen durch den Kläger ist bereits dadurch erschüttert, dass den streitgegenständlichen Zahlungen unstreitig - zeitlich unmittelbar vor den Zahlungen - ein Phishing-Sachverhalt vorausgegangen ist, weshalb von einem Missbrauch auszugehen ist.

25 2. Die Beklagte kann allerdings dem Kläger gegenüber seinem Kontoberichtigungsanspruch im Wege des Dolo-Agit-Einwandes (§ 242 BGB) einen Schadenersatzanspruch in gleicher Höhe aus § 675v Abs. 3 Nr. 2a) BGB entgegen halten, weshalb die Klage abzuweisen war. Der Kläger hat die beiden Kartenzahlungen in grob fahrlässiger Verletzung seiner Pflichten aus § 675l Abs. 1 S. 1 BGB bzw. den - unstreitig einbezogenen - AGB der Beklagten dadurch ermöglicht, dass er mehrere personalisierte Sicherheitsmerkmale an Dritte weitergegeben hat.

26 a. Gemäß § 675v Abs. 3 Nr. 2a) BGB ist der Zahler seinem Zahlungsdienstleister zum Ersatz des gesamten Schadens verpflichtet, der infolge eines nicht autorisierten Zahlungsvorgangs entstanden ist, wenn der Zahler den Schaden herbeigeführt hat durch vorsätzliche oder grob fahrlässige Verletzung einer oder mehrerer Pflichten gemäß § 675l Abs. 1 BGB. Gemäß § 675l Abs. 1 S. 1 BGB ist der Zahlungsdienstnutzer verpflichtet, unmittelbar nach Erhalt eines Zahlungsinstruments alle zumutbaren Vorkehrungen zu treffen, um die personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen.

27 Der Begriff der „personalisierten Sicherheitsmerkmale“ ist in § 1 Abs. 25 ZAG legaldefiniert. Danach handelt es sich um personalisierte Merkmale, die der Zahlungsdienstleister dem Zahlungsdienstnutzer zum Zwecke der Authentifizierung bereitstellt. Nach hM werden damit aber nicht jegliche personenbezogene Daten erfasst (zB Kontonummer oder Kartennummer), sondern lediglich solche Merkmale, die eine Authentifizierung erlauben (zB PIN, TAN oder Passwort) oder notwendige Vorstufen eines Authentifizierungsprozesses darstellen wie z.B. ein Freischaltcode für die Installation eines Authentifizierungsverfahrens (vgl. nur BeckOK BGB/Schmalenbach, 74. Ed. 1.5.2025, BGB § 675l Rn. 3, beck-online). Da Zahlungsinstrumente ausnahmslos aufgrund von detaillierten Bedingungen gemäß § 675l Abs. 2 BGB ausgegeben werden, die detaillierte Regelungen zu den Schutzpflichten des Zahlungsdienstnutzers enthalten, kommt der gesetzlichen Regelung in 675l Abs. 1 S. 1 nur dann eine praktische Bedeutung zu, wenn die vertraglichen Vereinbarungen unwirksam sein sollten (BeckOK BGB/Schmalenbach, 74. Ed. 1.5.2025, BGB § 675l Rn. 4, beck-online).

28 In den AGB der Beklagten sind Schutzpflichten in Bezug auf personalisierte Sicherheitsmerkmale geregelt. So ist der Karteninhaber gemäß Nr. 4 der AGB für die XXXX XXXX Credit Card zur Geheimhaltung seiner PIN oder des personalisierten Sicherheitsmerkmals für das besondere Authentifizierungsverfahren verpflichtet. Gemäß Nr. 8.1 der AGB für das Online-Kartenkonto hat der Karteninhaber alle zumutbaren Vorkehrungen zu treffen, um seine Authentifizierungselemente geheim zu halten. Unter anderem sind Wissenselemente geheim zu halten und dürfen insbesondere nicht außerhalb des Online-Kartenkontos in Textform oder mündlich weitergegeben werden, Nr. 8.1 2). Gemäß Nr. 4 2) der Sonderbedingungen für das 3D Secure-Verfahren dürfen u.a. die empfangenen SMS-TAN, die als Nachweis des Besitzelements dienen, nicht außerhalb der im Rahmen des Zahlungsvorgangs angezeigten 3D-Secure-Bestätigungsseite mündlich oder in Textform an Dritte weitergegeben werden.

29 b. Gegen seine Sorgfaltspflichten aus den zitierten AGB, die sachlich, verhältnismäßig und nicht benachteiligend sind (§ 675l Abs. 2 BGB), hat der Kläger verstoßen, indem er auf einen Link in einer Phishing-E-Mail geklickt und sodann auf einer Phishingwebseite seine Anmeldedaten zum XXXX (Anmeldename, Passwort), die Kreditkartendaten (Nummer, Verfallsdatum, CVC) sowie die SMS-TAN für den Wechsel des Authentifizierungsverfahrens eingegeben hat. Dieser Sachverhalt steht für das Gericht fest. Den insoweit ausführlichen Vortrag der Beklagten im Schriftsatz vom 10.03.2025 hat der Kläger - wie auch in der mündlichen Verhandlung erörtert - nicht substantiiert bestritten, weshalb er gemäß § 138 Abs. 3 ZPO als zugestanden gilt. Er deckt sich im Übrigen auch mit den Angaben, die der Kläger unstreitig gegenüber der Sperrhotline des Beklagten gemacht hat.

30 Bei dem Passwort für das XXXX und der SMS-TAN handelt es sich um personalisierte Sicherheitsmerkmale, mit denen Dritte die XXXX Credit Card App mit dem Kreditkartenkonto (neu) verbinden und so die streitgegenständlichen Zahlungen vornehmen konnten. Das Passwort ist ein Wissenselement, das der Kläger entgegen Nr. 8.1 2) der AGB für das Online-Kartenkonto durch die Eingabe auf der Phishing-Seite in Textform weitergegeben hat. Die an die Mobilfunknummer des Klägers versandte SMS-TAN diente als Nachweis des Besitzelements „Mobiltelefon“ und wurde durch die Eingabe auf der Phishing-Seite entgegen Nr. 4 2) der Sonderbedingungen für das 3D Secure-Verfahren außerhalb der im Rahmen des Zahlungsvorgangs angezeigten 3D-Secure-Bestätigungsseite in Textform an Dritte weitergegeben.

31 c. Die Weitergabe erfolgte auch in grob fahrlässiger Weise. Grobe Fahrlässigkeit setzt einen objektiv schwerwiegenden und subjektiv nicht entschuldbaren Verstoß gegen die Anforderungen der im Verkehr erforderlichen Sorgfalt voraus (BGH, Urteil vom 26. Januar 2016 – XI ZR 91/14 –, BGHZ 208, 331-357, Rn. 71 m.w.N., zit n. juris). Sie liegt vor, wenn ganz naheliegende Überlegungen nicht angestellt und nicht beachtet wird, was im gegebenen Fall jedem hätte einleuchten müssen. Es muss dem Zahler persönlich ein schwerer Obliegenheitsverstoß in seiner eigenen Angelegenheit vorgeworfen werden können, weil sich ihm die betrügerischen Umstände förmlich aufgedrängt haben, er davor aber letztlich die Augen verschlossen hat (BGH, Urteil vom 8. Juli 2010 - III ZR 249/09, Rn. 28; BGH, Urteil vom 13. Januar 2015 - XI ZR 182/13, Rn. 28; BGH, Urteil vom 2. Juli 2015 - III ZR 149/14, Rn. 11; BGH, Urteil vom 15. März 2016 – XI ZR 122/14, Rn. 34, jeweils mwN; BGH, Urteil vom 29. Juli 2021 – VI ZR 1118/20, Rn. 14, jeweils zit n. juris).

32 Gemessen an diesen Maßstäben trifft den Kläger nicht nur aus objektiver Sicht, sondern auch subjektiv ein schlechthin unentschuldbarer Verstoß gegen die vertraglich vereinbarten Sorgfaltsanforderungen.

33 Stellt man auf die Sorgfalt eines durchschnittlichen Verwenders von Online-Banking ab, so kann unterstellt werden, dass dieser über einigermaßen gesicherte Grundkenntnisse der Funktionsweise des Internets einschließlich des E-Mail-Verkehrs verfügt und jedenfalls die Berichterstattung über zahlreiche und zunehmende Phishing-Fälle im Online-Banking zumindest in groben Zügen verfolgt. Einem mit diesen Kenntnissen ausgestatteten durchschnittlichen Verwender der Telefon- und Online-Banking-Funktionen seiner Bank muss bekannt sein, dass im Internet Kriminelle versuchen, mittels der Versendung von E-Mails an sensible Daten Dritter zu gelangen (LG Essen, Urteil vom 4. Dezember 2014 – 6 O 339/14 –, Rn. 22 f., juris). Dem durchschnittlichen Verwender muss des Weiteren bekannt sein, dass keine Bank jemals mittels E-Mail oder überhaupt außerhalb eines Transaktionsvorgangs sensible Daten von ihm abfragt, noch dazu gleichzeitig die Zugangsdaten für das Online-Banking und die Kreditkartendaten nebst der CVV während eines einzigen Eingabevorgangs. Hinsichtlich der Beklagten ist es dem Gericht zudem aus zahlreichen Verfahren bekannt, dass sie keine E-Mails mit Links zum Online-Banking verschickt. Gegenteiliges behauptet auch der Kläger nicht.

34 Zudem wird seit Jahren in sämtlichen Medien regelmäßig von so genannten Phishing-Attacken berichtet, in denen meist unbekannt bleibende Täter beispielsweise durch E-Mails versuchen, Bankkunden gerade zur Eingabe von zahlreichen persönlichen Daten gleichzeitig auf zuvor von ihnen entworfenen, täuschend echt aussehenden vermeintlichen Webseiten ihrer Banken zu bewegen. Der durchschnittliche Online-Banking-Kunde muss daher bei diesem Thema in erheblichem Umfange sensibilisiert sein und somit darauf achten, ausschließlich die "echten" Webseiten seiner jeweiligen Bank zu nutzen und eben nicht auf verlinkten Webseiten sensible Daten einzugeben (vgl. OLG Hamm, Beschluss vom 16. März 2015 – I-31 U 31/15 –, Rn. 3 - 4, juris).

35 Diese naheliegenden Sorgfaltsmaßnahmen ließ der Kläger jedoch außer Acht. Den genannten Warnungen in den Medien zum Trotz erkannte er die E-Mail und die verlinkten Webseite nicht als Phishing-Angriff, obwohl bereits die E-Mail sehr deutliche Anhaltspunkte für einen derartigen Angriff bot:

36 Die E-Mail enthält eine unpersönliche Anrede. Sie enthält gleich zu Beginn einen Schreibfehler, da das Wort „Wir “ trotz des vorangestellten Kommas groß geschrieben wird. Auch der nachfolgende Satz

37 „Aufgrund neuer Sicherheitsstandards haben wir bei wichtige Updates für Ihr Kundenkonto durchgeführt “

38 enthält einen Rechtschreibfehler. Entweder ist das Wort „bei “ zu streichen oder es muss „wichtigen Updates “ heißen. Der Satz weist zudem mehrere auffällige Zeilenumbrüche auf. Im vierten Satz ist das Wort „fortzufahren “ nicht bündig mit dem darüber stehenden Wort. Unter Zugrundelegung der vorstehenden Sätze ist der Button „jetzt aktivieren “ nicht sinnhaft, weil vorher ausgeführt wird, dass ein Login ins Kundenkonto erfolgen soll.

39 Im letzten Satz heißt es

40 „Vielen

41 Dank für Ihre Kooperation. Bei Fragen stehen wir Ihnen gerne über unseren

42 Kundenservice zur Verfügung. “

43 Spätestens jetzt, wo der Text der E-Mail einen weiteren sehr auffälligen und völlig sinnfreien Zeilenumbruch enthält, hätte es sich dem Kläger aufdrängen müssen, dass es sich nicht um die E-Mail einer Bank handeln kann, sondern eine Fälschung vorliegt.

44 Zudem entbehrt der gesamte Text der kurzen E-Mail an Logik. Es wird angegeben, dass aufgrund „neuer Sicherheitsstandards “ „wichtige Updates “ bereits durchgeführt worden seien, was suggeriert, dass die Updates abgeschlossen wurden. Im folgenden Absatz wird dann jedoch darum gebeten, das Update selbst durchzuführen.

45 Darüber hinaus hat der Kläger die E-Mail nur unvollständig in Kopie vorgelegt. Insbesondere lässt sich so nicht feststellen, ob es sich auch bei der Absenderadresse erkennbar nicht um die Adresse der Beklagten handelte. Dies unterstellt das Gericht unter Heranziehung der Grundsätze einer Beweisvereitelung.

46 Die Beweisvereitelung setzt einen doppelten Schuldvorwurf voraus, der sich zum einen auf die Entziehung des Beweisobjekts und zum anderen auf die Beseitigung seiner Beweisfunktion beziehen muss. Wird ein Verhalten einer Partei festgestellt, das sich als Beweisvereitelung darstellt, darf dieses Verhalten von Amts wegen im Rahmen der freien Beweiswürdigung nach § 286 zum Nachteil dieser Partei berücksichtigt werden (Anders/Gehle/Nober, 82. Aufl. 2024, ZPO § 286 Rn. 79f., beck-online).

47 Das Gericht hat dem Kläger die Vorlage der vollständigen E-Mail aufgegeben. Der Kläger ist dem nicht nachgekommen und hat lediglich ausgeführt, dass ihm die E-Mail nicht mehr vollständig vorliege. Da der Kläger keinerlei Begründung dafür anbietet, weshalb ihm die E-Mail nicht mehr vollständig vorliegt und er zusätzlich auch nicht im Rahmen seiner sekundären Darlegungslast Ausführungen zur konkreten Absenderadresse macht, ist davon auszugehen, dass er die E-Mail entweder bewusst gelöscht hat, weil er sie aufgrund einer erkennbar nicht der Beklagten zuzuordnenden Absenderadresse für prozessual nachteilhaft erachtet hat oder er die noch vorhandene E-Mail aus diesem Grund nicht vorlegt hat. Insoweit ist zu berücksichtigen, dass der Kläger ausweislich seines Anrufs bei der Sperrhotline der Beklagten noch am Tag des Erhalts der E-Mail erkannt hatte, dass es sich um eine Phishing-E-Mail handelte, so dass ihm der Beweiswert der E-Mail ab diesem Zeitpunkt bewusst gewesen sein muss.

48 Im Ergebnis hätte es dem Kläger von vorneherein einleuchten müssen, dass er eine Phishing-E-Mail erhalten hatte. Dennoch hat er diese naheliegende Überlegung beiseite geschoben und nicht das getan, was jedem in einer solchen Situation einleuchten muss. Einleuchtend wäre es gewesen, die Beklagte zu kontaktieren, um abzuklären, ob es sich insoweit um eine Phishing-E-Mail handelt. Statt dessen hat der Kläger auf den Link geklickt und nicht nur die Zugangsdaten für das Online-Banking eingegeben, sondern zusätzlich die Kreditkartendaten und eine per SMS erhaltene TAN. Zunächst hätte es sich dem Kläger aufdrängen müssen, dass die Beklagte nicht die Kreditkartendaten und die CVV abfragt, da sie diesen Daten kennt. Besonders schwer wiegt, dass der Kläger auch die SMS-TAN auf der Phishing-Seite eingegeben hat. Diese hatte ihm die Beklagte mit dem Warnhinweis

49 „Sie wollen das App-Verfahren zur Freigabe von Online-Zahlungen aktivieren? Falls nicht, melden Sie sich bitte umgehend bei uns. Code zur Bestätigung ....“

50 zugesandt. Dem Kläger hätte daher jedenfalls auffallen müssen, dass diese SMS im Widerspruch zum Text der Phishing-E-Mail stand, wonach lediglich ein Update durchgeführt werden sollte.

51 Die grob fahrlässig begangene Pflichtverletzung des Klägers war ursächlich für den eingetretenen Schaden der Beklagten, der darin liegt, die nicht autorisierten Überweisungen ausgeführt zu haben, ohne einen Aufwendungsersatzanspruch gegen den Kläger erlangt zu haben.

52 d. Der Schadensersatzanspruch der Beklagten ist nicht im Hinblick auf ein Mitverschulden gemäß § 254 Abs. 1 BGB zu kürzen. Die Beklagte traf kein Mitverschulden, das an der Entstehung des Schadens mitgewirkt hat.

53 aa. Beim Mitverschulden handelt sich begrifflich nicht um eine Verpflichtung gegenüber dem Schädiger auf Erfüllung einer ihm gegenüber obliegenden Leistungspflicht, sondern um die Pflicht gegenüber dem Schädiger, den durch zurechenbares eigenes Verschulden verursachten Teil des Schadens selbst zu übernehmen. Handelt es sich also im Rahmen des § 254 BGB nicht um eine dem Schädiger gegenüber obliegende Leistungspflicht des Geschädigten, sondern um eine Pflicht des Geschädigten gegen sich selbst, so ist in jedem Einzelfall zu prüfen, was zur Verhinderung oder Minderung und Beseitigung des Schadens zu tun war (vgl. BGH, Urteil vom 31. März 1960 – III ZR 37/59 –, BGHZ 33, 136-144, juris Rn. 19). Das Verschulden iSd § 254 Abs. 1 BGB besteht daher in einem „Verschulden gegen sich selbst“ (vgl. MüKoBGB/Oetker, 9. Aufl. 2022, BGB § 254 Rn. 3, beck-online).

54 Nach diesem Maßstab trifft die Beklagte kein Vorwurf, eine Obliegenheit verletzt zu haben, die an der Entstehung des Schadens mitgewirkt hat:

55 bb. Ein Mitverschulden der Beklagten folgt nicht daraus, dass sie die streitgegenständlichen Zahlungen nicht - wie vom Kläger vorgetragen - zum Zeitpunkt seines Anrufs bei der Sperrhotline „gestoppt“ hat. Dies war bereits nicht mehr möglich. Zu differenzieren ist insoweit zwischen den Buchungen des jeweiligen Aufwendungsersatzanspruchs der Beklagten gegenüber dem Kläger, die ausweislich der Anlage K 3 erst am 20. und 23.10.2023 erfolgten, und der Ausführung der Zahlungen an die Zahlungsempfänger. Die Zahlungsausführungen erfolgten gemäß den Anlagen B 3 bis B 5 um 19.44 und 19.55 Uhr. Die Zahlungsaufträge waren mithin bereits vor dem Sperranruf des Klägers gemäß §§ 675n Abs. 1, 675p Abs. 1 BGB unwiderruflich und zudem bereits ausgeführt.

56 Die Beklagte hätte den Schadenseintritt also auch nicht mehr zu Beginn des ersten Anrufs des Klägers bei der Sperrhotline um 20:01 Uhr verhindern können. Der Ratschlag der Mitarbeiterin/des Mitarbeiters der Sperrhotline, sich an den „vermeintlichen“ Zahlungsempfänger zu wenden, war allerdings nicht zielführend, sofern es zu diesem Zeitpunkt schon deutlich geworden war, dass die Zahlungen durch Kriminelle vorgenommen worden sein müssen.

57 cc. Ein Mitverschulden trifft die Beklagte auch nicht wegen der Verletzung einer Warnpflicht oder einer mangelnden Transaktionsüberwachung.

58 Eine Bank muss weder generell prüfen, ob die Abwicklung eines Zahlungsverkehrsvorgangs Risiken für einen Beteiligten begründet, noch Kontobewegungen allgemein und ohne besondere Anhaltspunkte überwachen. Eine Warnpflicht besteht erst dann, wenn die Bank ohne nähere Prüfung im Rahmen der normalen Bearbeitung eines Zahlungsverkehrsvorgangs auf Grund einer auf massiven Verdachtsmomenten beruhenden objektiven Evidenz den Verdacht einer Straftat schöpft (vgl. BGH, Urteil vom 24. April 2012 – XI ZR 96/11 –, Rn. 32,; Maihold in Ellenberger/Bunte, BankR-HdB, 6. Aufl., § 33 Rn. 384 mwN).

59 Die nach Art. 2 der Delegierte VO 2018/389 bestehende Verpflichtung der Banken zur Vorhaltung eines Betrugspräventionssystems ändert daran nichts. Insoweit handelt es sich um eine aufsichtsrechtliche Überwachungspflicht und nicht um eine Pflicht zur Überwachung einzelner Zahlungsvorgänge (vgl. mit weiteren Ausführungen nur Hanseatisches Oberlandesgericht in Bremen, Beschluss vom 15. April 2024 – 1 U 47/23 –, Rn. 37, juris m.w.N.).

60 Vorliegend bestand keine Warnpflicht für die Beklagte. Es sind lediglich zwei Kreditkartenzahlungen erfolgt, wobei weder die Zahlungsbeträge noch die Zahlungsempfänger auffällig waren. Die Bank musste deshalb nicht ohne nähere Prüfung im Rahmen der normalen Bearbeitung der Zahlungen den Verdacht einer Straftat schöpfen.

61 3. Mangels des Bestehens einer Hauptforderung kann der Kläger auch nicht die als Nebenforderung geltend gemachte Freistellung von vorgerichtlichen Rechtsanwaltskosten beanspruchen.

II.

62 Die prozessualen Nebenentscheidungen folgen aus §§ 91 Abs. 1, 281 Abs. 3 S. 2, 709 ZPO.

Permalink

• Diesen Link können Sie kopieren und verwenden, wenn Sie genau dieses Dokument verlinken möchten: https://gesetze.berlin.de/perma?d=NJRE001623934