LG Itzehoe 7. Zivilkammer — 7 O 168/24 — Urteil

Entscheidungsdatum: 2025-02-25

Aktenzeichen: 7 O 168/24

ECLI: ECLI:DE:LGITZEH:2025:0225.7O168.24.00

Dokumenttyp: Urteil

Normen: § 119 BGB, § 675j Abs 1 S 1 BGB, § 675p Abs 1 BGB, EUV 2018/389

Leitsatz

1. Auf die Autorisierung nach § 675j Abs. 1 Satz 1 BGB ist die deutsche Rechtsgeschäftslehre anzuwenden. Es handelt sich um eine Willenserklärung. Wenn der Zahler selbst die Freigabe einer Überweisung erteilt, dabei aber subjektiv davon ausgeht, lediglich technische Zugriffsrechte für die vermeintliche Rückbuchung einer entsprechenden Überweisung einzuräumen, so handelt er ohne Erklärungsbewusstsein. Geht so der äußere Tatbestand einer Autorisierung beim Zahlungsdienstleister ein, fehlt dem Zahler aber das Erklärungsbewusstsein, handelt es sich um eine wirksame und dem Zahler zuzurechnende Willenserklärung, wenn er hätte erkennen können, dass die Autorisierung tatsächlich eine Überweisung betraf. Dem steht nicht entgegen, dass eine Autorisierung nicht nach § 119 BGB und daher auch nicht entsprechend § 119 BGB wegen fehlenden Erklärungsbewusstseins angefochten werden kann.

2. Ein Zahlungsdienstleister ist nicht generell verpflichtet, wirksam im Wege der Zweifaktorauthentifizierung autorisierte Zahlungsaufträge nicht auszuführen, weil sie ein ungewöhnliches Ausgabe- oder Verhaltensmuster des Zahlers aufweisen oder einem bekannten Betrugsszenario entsprechen. Eine Warnpflicht setzt neben massiven Anhaltspunkten voraus, dass das Kreditinstitut tatsächlich Verdacht hegt (BGH, Urteil vom 24. April 2012 - XI ZR 96/11). Da der bargeldlose Zahlungsverkehr vollautomatisiert abgewickelt wird, ist keine natürliche Person involviert, die einen solchen Verdacht schöpfen könnte. Daran hat sich durch die am 14. März 2018 in Kraft getretene „Regulatory Technical Standard" („Delegierte Verordnung zur Ergänzung der PSD2-Richtlinie durch technische Regulierungsstandards für eine starke Kundenauthentifizierung und für sichere offene Standards für die Kommunikation“, (EU) 2018/ 389)) nichts geändert.

3. Aufgrund der Unwiderruflichkeit eines Zahlungsauftrages nach § 675p Abs. 1 BGB besteht keine Organisationspflicht eines Kreditinstituts, die Abwicklung des bargeldlosen Zahlungsverkehrs so einzurichten, dass eine einmal wirksam autorisierte Zahlung bei nachfolgendem Widerspruch des Zahlers noch aufgehalten werden könnte.

Tenor

1. Die Klage wird abgewiesen.

2. Die Kosten des Rechtsstreits trägt der Kläger.

3. Das Urteil ist vorläufig vollstreckbar.

Tatbestand

1 Der Kläger begehrt von der beklagten Bank Wiedergutschrift streitig nicht autorisierter Überweisungen.

2 Er eröffnete bei der Beklagten im Juni 2023 ein sog. Tagesgeld PLUS-Konto, welches dort unter der IBAN xx geführt wird. Für die Freigabe hatte er die pushTAN-App auf seinem Mobiltelefon aktiviert.

3 Am 18.4.2024 erhielt er gegen 18:00 Uhr einen Anruf. Die Anruferin gab vor, Mitarbeiterin der Beklagten zu sein. Es seien vor Abbuchungen vom o.g. Konto getätigt worden. Sie wolle fragen, ob der Kläger diese Transaktionen getätigt habe. Das verneinte der Kläger. Die Anruferin teilte mit, dann müsse mit Stornobuchungen gehandelt werden. Dies bedürfe der Mitwirkung des Klägers, der diese Aktionen freigeben müsse. In der Folge liefen diverse Aufträge in der pushTAN-App des Klägers auf, die dieser während des Telefonats in der Annahme freigab, an der Stornierung von Zahlungen mitzuwirken. Tatsächlich hatten Dritte Zugriff auf sein Konto erlangt und wollten Überweisungen aufgeben.

4 Nach den Protokollen der Beklagten liefen dort insgesamt 11 Freigaben auf, die vom Mobiltelefon des Klägers aus erteilt worden waren, im Einzelnen für einen Login, für eine Änderung des Auszahlungskontos und nachfolgend neun Mal für Überweisungen über jeweils 2.000 €. Die Aufträge wurden von der Beklagten wie freigegeben ausgeführt. Die Täter erreichten so zunächst eine Änderung des Auszahlungskontos dahin, dass das Konto mit der IBAN xx bei der xx-Bank L. am L. als Transaktionskonto gespeichert wurde, auf welches Auszahlungen vom Tagesgeldkonto möglich waren und sodann der Ausführung von neun Überweisungen in Höhe von jeweils 2.000 € vom Tageskonto des Klägers auf dieses Konto. Als Empfängername war jeweils der Name des Klägers angegeben, als Verwendungszweck "Übertrag xx". Empfängername und Verwendungszweck werden in der push- TAN-App nicht angezeigt.

5 Der Kläger wurde misstrauisch und rief kurz darauf bei der Beklagten an und erstattete noch am selben Tag Strafanzeige.

6 Die neunte Überweisung wurde zurückgebucht mit der Angabe, dass das Konto gesperrt sei.

7 Der Kläger behauptet, er habe Zugangsnummer und PIN nicht preisgegeben, auch nicht im Internet eingegeben o.ä. Dazu habe auch keine Veranlassung bestanden, da es sich um ein Tagesgeldkonto gehandelt habe. Die Täter, die ja Zugangsnummer und PIN für den Login benötigten und daher kannten, müssten diese Daten bei der Beklagten abgegriffen haben. Sie seien auch für die Freigabe des Logins verantwortlich. Er habe den Login nicht freigegeben. Freigaben habe er erst im Laufe des Telefonats erteilt. Er sei ausweislich der Anzeige auf seinem Mobiltelefon um 17:53 Uhr angerufen worden. Die Freigabe des Logins weist aber – insoweit unstreitig – den Zeitstempel 17:51 Uhr auf.

8 Er habe zuvor Nachtschicht gehabt, zum Zeitpunkt des Anrufs noch geschlafen und sei durch diesen geweckt worden. Dementsprechend sei er schlaftrunken gewesen. Der Anruf habe die Nummer der Beklagten angezeigt, die Anruferin über Daten von ihm verfügt. Sie habe während des Gesprächs auch Daten mit ihm abgeglichen, wie dies üblich sei, wenn man von Banken oder anderen Institutionen angerufen werde, um die Identität zu prüfen. Angesichts dessen habe er im Gespräch keinen Verdacht geschöpft.

9 Kurz nach dem Gespräch sei ihm dies aber verdächtig vorgekommen. Er habe etwa 10 Minuten nach dem Telefonat bei der Beklagten angerufen, aber lange in der Warteschleife gehangen. Zur technischen Abteilung sei er nicht durchgestellt worden. Er behauptet, wäre er sogleich durchgestellt worden, wäre es möglich gewesen, die Überweisungen aufzuhalten.

10 Er meint, die Überweisungen seien nicht autorisiert. Aus Sicht des Klägers habe es sich bei den "Rückbuchungen" um bankinterne Stornierungen gehandelt, die dazu dienten, vermeintlich noch nicht endgültig verloren gegangenes Geld zu stoppen oder zurückzuhalten. Das sei keine Autorisierung. Der Kläger habe auch nicht grob fahrlässig gehandelt. Er sei schlaftrunken gewesen. Die pushTAN-App habe er nicht gekannt, er habe diese zuvor noch nicht genutzt.

11 Der Kläger beantragt, die Beklagte zu verurteilen,

12 1. dem benannten Konto des Klägers einen Betrag in Höhe von EUR 16.000,00 nebst Zinsen in Höhe von 5 Prozentpunkten über dem Basiszinssatz seit dem 20.04.2024 gutzuschreiben,

13 2. dem Kläger einen Betrag in Höhe von EUR 1.895,91 (außergerichtliche Rechtsanwaltskosten) nebst Zinsen in Höhe von 5 Prozentpunkten über dem jeweiligen Basiszinssatz seit Rechtshängigkeit zu zahlen,

14 3. an den Kläger einen immateriellen Schadensersatz wegen der Verstöße gegen die nebenvertragliche Pflicht – kumulativ nach DSGVO - vor und im Nachgang des streitgegenständlichen Vorfalls in angemessener Höhe zu zahlen, dessen Höhe in das pflichtgemäße Ermessen des Gerichts gestellt wird, mindestens jedoch EUR 500,00 nebst Zinsen seit Rechtshängigkeit in Höhe von 5 Prozentpunkten über dem Basiszinssatz.

15 Die Beklagte beantragt, die Klage abzuweisen.

16 Auch der Login, der nach den Systemdaten der Klägerin um 17:51:28 Uhr am 18.4.2024 freigegeben wurde, sei eindeutig vom Mobiltelefon des Klägers und damit vom Kläger selbst freigegeben worden. Die angebliche Bankmitarbeiterin habe den Stand des Kontos erst in Erfahrung bringen können, nachdem der Kläger den Login freigegeben und ihr so den Zugang in den persönlichen Bereich ermöglicht habe. Die um 11 Uhr endende Nachtschicht des Klägers sei zum Zeitpunkt des Anrufs um ca. 17:50 Uhr bereits seit fast sieben Stunden zu Ende gewesen. Der Kläger sei nicht schlaftrunken gewesen. Eine angebliche Schlaftrunkenheit erkläre nicht die Autorisierung eines Logins, einer Änderung des Auszahlungskontos und von neun Überweisungen. Ein Anruf des Klägers sei nicht bereits 10 Minuten später, sondern erst um 18:39 Uhr registriert worden, mithin etwa eine halbe Stunde nach Freigabe der letzten Überweisung um 18:06 Uhr.

17 Wegen der weiteren Einzelheiten wird auf die gewechselten Schriftsätze samt Anlagen und das Protokoll der mündlichen Verhandlung vom 25.2.2025 verwiesen.

Entscheidungsgründe

18 Die zulässige Klage ist unbegründet. Der Kläger hat keinen Anspruch nach § 675 u S. 1, 2 BGB auf Erstattung der Beträge, die am 18.4.2024 seinem Tagesgeldkonto wegen acht Überweisungen über jeweils 2.000 € belastet worden sind. Danach hat ein Zahlungsdienstleister im Fall eines nicht autorisierten Zahlungsvorgangs keinen Anspruch gegen den Zahler auf Erstattung seiner Aufwendungen und ist verpflichtet, dem Zahler den Zahlungsbetrag unverzüglich zu erstatten. Die Zahlungsvorgänge über insgesamt 16.000 € stellen sich im Ergebnis allerdings als wirksam autorisiert dar. Die Beklagte hatte daher tatsächlich den mit diesen Kontobelastungen gebuchten Aufwendungsersatzanspruch nach § 675c Abs. 1, § 670 BGB. Demzufolge besteht weder ein vertraglicher Anspruch des Klägers auf Berichtigung dieser Kontobuchung noch ein Anspruch nach § 675u S. 2 BGB (1.). Der Kläger hat auch keinen Anspruch wegen der Ausführung der Zahlungen gegen die Beklagte, weil ein Missbrauch evident gewesen sei (2.) oder weil die Zahlungen nach Mitteilung des Klägers noch hätten gestoppt werden können (3.). Es besteht auch kein Schmerzensgeldanspruch (4.).

19 1. Die Überweisungen stellen sich als vom Kläger autorisiert i.S.v. § 675j Abs. 1 S. 1 BGB dar. Die Autorisierung eines Zahlungsvorgangs ist die Erklärung des Nutzers, dass er mit einem bestimmten Zahlungsvorgang einverstanden ist. Im Falle der Überweisung beinhaltet die Autorisierung die Erklärung des Einverständnisses, mit einer Überweisung des dort angegebenen Betrages auf das dort angegebene Konto einverstanden zu sein. Das entspricht im herkömmlichen Verständnis einer Anweisung an die Bank. Durch die Autorisierung kommt ein auftragsähnliches vertragliches Verhältnis zwischen dem Zahler und dem Zahlungsdienstleister zustande, kraft dessen der Zahlungsdienstleister verpflichtet ist, den autorisierten Zahlungsvorgang auszuführen, umgekehrt berechtigt ist, die ihm dadurch entstehenden Aufwendungen dem Konto des Zahlers zu belasten. Dabei kommt Auftragsrecht zur Anwendung, § 675c Abs. 1, § 670 BGB. In diesem Sinne soll die Autorisierung ein solches auftragsähnliches vertragliches Verhältnis mit diesen daraus entstehenden Rechten und Pflichten zum Entstehen bringen. Es handelt sich daher um eine Willenserklärung, ebenso wie die Erteilung eines Auftrags nach § 662 BGB, nicht um eine geschäftsähnliche Handlung. Die Rechte und Pflichten aus diesem Verhältnis entstehen erst mit Zugang der Autorisierung beim Zahlungsdienstleister. Es handelt sich daher um eine empfangsbedürftige Willenserklärung. Zwar kommt die Verpflichtung des Zahlungsdienstleisters zur unverzüglichen Ausführung des autorisierten Zahlungsvorgangs im Rahmen eines bestehenden Zahlungsdiensterahmenvertrags i.S.v. § 675f Abs. 2 BGB bereits mit Zugang der Autorisierung zustande, ohne dass es, wie bei einem Auftrag, einer Annahmeerklärung des Zahlungsdienstleisters bedürfte. Das ändert aber nichts daran, dass die Erklärung des Zahlers eine Rechtsfolge – insbesondere die Verpflichtung des Zahlungsdienstleisters zur Ausführung des autorisierten Zahlungsvorgangs – herbeiführen soll und es sich damit um eine Erklärung handelt, die auf die Herbeiführung einer Rechtsfolge deshalb gerichtet ist, weil diese Folge gewollt ist, also eine Willenserklärung.

20 Auf die Autorisierung ist nach einhelliger Ansicht in Rechtsprechung und Literatur die deutsche Rechtsgeschäftslehre anzuwenden.

21 Als solche Erklärungen sind die Autorisierungen der Überweisungen – vom äußeren Tatbestand her – der Beklagten auch zugegangen. Indem der Kläger die von betrügerischen Dritten im Onlinebanking aufgegebenen Überweisungen auf der pushTAN-App seines Mobiltelefons freigab, ging bei der Beklagten eine Erklärung ein, die aus der Sicht eines objektiven Dritten in der Rolle des Empfängers den Erklärungsgehalt beinhaltete, dass der Kläger die Beklagte mit der Ausführung der darin beschrieben Zahlungsvorgänge – jeweils einer Überweisung von 2.000 € auf das Konto der dort angegebenen IBAN mit Buchung der dadurch entstehenden Aufwendungen zu Lasten des Kontos des Klägers – beauftragte.

22 Für das Gericht steht fest, dass der Kläger diese Freigaben tatsächlich so erteilt hat. Er hat selbst angegeben, im Rahmen eines solchen Telefonats mehrere Freigaben erteilt zu haben. Er konnte die Anzeige auf seiner pushTAN-App nicht genau beschreiben, es seien aber mehrere Freigabeaufforderungen jeweils mit Beträgen gewesen. Es sei nach der Schilderung der Anruferin jeweils um die Stornierung von Zahlungen gegangen. Genau zeitentsprechend liefen bei der Beklagten am 18.4.2024 zwischen 18:00:30 Uhr und 18:06:17 Uhr neun TAN-Freigaben für Überweisungen auf. Das Gericht ist überzeugt, dass dies genau die Freigaben waren, die der Kläger auch erteilt hatte. Das entspricht auch einem Angriffsmuster, wie es in Parallelfällen ebenso zu beobachten ist. Die Täter erlangen Kenntnis von Zugangsnummer und PIN, für die Ausführung von Zahlungsaufträgen ist aber eine Freigabe mittels der PhotoTAN-App der Beklagten erforderlich. Es gelingt den Angreifern nicht, diese zu kompromittieren. Deshalb sind sie für ein Gelingen dieses Angriffs auf eine Freigabe durch den Kunden angewiesen. Durch Täuschung versuchen sie, einen Bankkunden irrtümlich zur Erteilung von Freigaben für die von den Angreifern erfassten Überweisungen zu veranlassen, in der Regel durch die Vorspiegelung, es gehe um eine Stornierung vermeintlich bereits von Dritter aufgegebener Zahlungen. Wären die Täter in der Lage, Freigaben zu erwirken, ohne dass der Kunde selbst diese Freigabe erklären müsste, wäre der Anruf beim Kunden nicht erforderlich. Derartig professionell handelnde Täter würden den Kunden nicht ohne Notwendigkeit anrufen.

23 Das Gericht ist daher auch überzeugt, dass auch die zuvor zur Ausführung der Zahlungen erfolgte Änderung des Auszahlungskontos, die einer Freigabe bedarf, welche nach den Protokollen der Beklagten um 17:58:28 Uhr angefordert und um 17:58:46 Uhr vom Mobiltelefon des Beklagten erteilt wurde, vom Kläger stammt. Es gelten die gleichen Erwägungen wie oben, der Kläger hat bestätigt, dass zunächst auch Freigaben für Transaktionen angefordert wurden, bei denen kein Betrag gestanden habe. Dass passt dazu, dass die Täter eine Änderung des Auszahlungskontos beauftragt haben und dafür recht anfangs des Gesprächs die Anforderung einer pushTAN-Freigabe auf dem Mobiltelefon des Klägers auflief.

24 Dahinstehen kann, ob der Kläger auch den Login selbst freigegeben hat. Grundsätzlich bedarf bereits der erste Login, wie er von solchen Tätern erfolgt, einer Freigabe mittels TAN. Eine solche Freigabe ist vorliegend auch protokolliert und zwar angefordert um 17:51:03 Uhr und bestätigt vom Mobiltelefon des Klägers um 17:51:28 Uhr. Das passt zwar nicht zur Angabe des Klägers, das Telefonat habe nach der später abgelesenen Anzeige auf dem Mobiltelefon des Klägers erst um 17:53 Uhr begonnen. Indes kommt es für die Frage, ob der Kläger die Überweisungen selbst freigegeben hat und ob diese Freigaben als Autorisierungen zu würdigen sind, nicht darauf an, ob er auch den früheren Login freigegeben hat. Die Frage, ob die Täter in der Lage waren, selbst eine Freigabe des Logins zu bewirken, ist daher nur relevant für den Schluss, ob die späteren Freigaben wirklich vom Kläger stammen. Das steht für das Gericht aus den o.g. Gründen auch dann fest, wenn die Freigabe des Logins nicht vom Kläger stammen würde. Im Übrigen gibt es für die Zeitabweichung auch andere denkbare Erklärungen, die damit vereinbar wären, dass der Kläger auch diese Freigabe erteilt habe. So ist denkbar, dass die Zeitstempel, nach denen die Zeit jeweils festgehalten wird, auf dem Mobiltelefon des Klägers und auf den Servern der Beklagten differieren. Es geht nur um ca. 2 Minuten. Auch ist denkbar, dass die Täter isoliert einen Login vornahmen, um eine Freigabeaufforderung zu produzieren, der Kläger diese nicht ernstnahm und "wegwischte", damit unbewusst den Login freigab und die Täter, so in das Konto gelangt, den Angriff wie geplant durch sofort nachfolgenden Anruf beim Kläger fortsetzten. Oder es ist denkbar, dass es einen Anruf gab, dieser unterbrochen wurde und die Täter sofort wieder anriefen und die Täuschung fortsetzten. Das würde im Nachhinein, weil nicht als wichtig wahrgenommen, kaum noch auffallen, die angezeigte Anrufzeit aber ändern. Das Gericht kann den Ablauf insofern nicht beurteilen. Entscheidend ist, dass es durchaus Szenarien gibt, die mit dieser Zeitanzeige auf dem Mobiltelefon des Klägers und einer Freigabe auch des Logins durch ihn vereinbar sind. Hingegen ist dem Gericht nicht plausibel erklärlich, wie es dazu kommen kann, dass die Täter eine Freigabe für einen Login selbst – ohne Mitwirkung des Klägers – sollten bewirken können, aber nicht die Freigaben für die unmittelbar nachfolgenden Transaktionen. Für diese waren sie aber auf den Kläger angewiesen, sonst hätten sie ihn nicht angerufen. Deshalb ist das Gericht nicht überzeugt, dass der Kläger den Login nicht freigegeben hätte. Auch deshalb stellt dieser Vortrag die Überzeugung, dass jedenfalls die Freigaben der Änderung des Auszahlungskontos und der Überweisungen vom Kläger stammen, nicht in Frage.

25 Hinsichtlich des inneren Tatbestandes handelte der Kläger zwar mit Handlungswillen, aber ohne Erklärungsbewusstsein. Denn ihm war von der Anruferin vorgespiegelt worden, es gehe bei diesen Freigaben um die Stornierung betrügerisch erteilter Zahlungsaufträge bzw. die Rückbuchung des Geldes. Auch im Falle der Rückbuchung liegt dem nicht die Vorstellung zugrunde, der Kläger führe eine Rechtsfolge herbei. Das ist etwa bei den sog. Rücküberweisungsfällen der Fall, in denen den Kunden vorgespiegelt wird, es sei ein Betrag auf ihrem Konto eingegangen, der den Kunden nicht zustehe und die Kunden veranlasst werden, diesen täuschungsbedingt zurückzuüberweisen. In diesen Fällen ist dem Kunden bewusst, dass er eine Überweisung beauftragt, also eine Rechtsfolge herbeiführt. Der Irrtum liegt im Motivbereich. Vorliegend ging der Kläger nicht davon aus, dass mit seinen Autorisierungen eine Rechtsfolge im Sinne des Entstehens einer Verpflichtung herbeigeführt würde. In der Vorstellung getäuschter Bankkunden geht es hier eher um die Erlaubnis eines technischen Zugriffs. Es gibt eine Vielzahl technischer Vorgänge, die im Onlinebanking einer Freigabe bedürfen, etwa der Login, wenn er nicht von einem vertrauenswürdigen Gerät erfolgt, auch da – bei der Beklagten – der Login alle 90 Tage, eine Datenänderung, eine Abfrage umfangreicherer Umsatz- oder anderer Kontodaten usw. Alle diese Freigaben führen aber keine Rechtsfolge herbei und sind daher von vornherein keine Willenserklärung.

26 In diesem Sinne handelt es sich auch bei den vermeintlichen Autorisierungen an die vermeintliche Bankmitarbeiterin, jeweils einen vermeintlich abgebuchten Betrag dem Konto wieder gutzuschreiben oder einen vermeintlich betrügerisch und damit rechtlich unwirksam erteilten Zahlungsauftrag nicht auszuführen, in der Vorstellung der Bankkunden eher um die Autorisierung eines solchen technischen Zugriffs. Die Bankkunden haben in einem solchen Fall in der Regel nicht die Vorstellung, sie würden durch diese Autorisierung eine Rechtsfolge im Sinne des Entstehens oder Aufhebens einer wirklich bestehenden rechtlichen Verpflichtung der Bank oder ihrer Person herbeiführen. Geht der Erklärende bei einer Erklärung, die aus Sicht eines objektiven Dritten in der Rolle des Empfängers als Willenserklärung erscheint, subjektiv davon aus, gar nicht rechtlich erheblich zu handeln, also gar keine Rechtsfolge herbeizuführen, handelt es sich um eine Erklärung ohne Erklärungsbewusstsein.

27 Empfangsbedürftige Willenserklärung ohne Erklärungsbewusstsein werden, wenn der Erklärende hätte erkennen können, dass die Erklärung als Willenserklärung verstanden werden kann, als bindende Willenserklärung behandelt, aber anfechtbar entsprechend § 119 BGB. Das soll einerseits dem Erklärenden die Gelegenheit geben, den anderen Teil an einem scheinbar eingegangenen Vertrag festzuhalten, andererseits berechtigte Schutzinteressen des anderen Teils berücksichtigen, der im Falle der Anfechtung Anspruch auf Ersatz seines Vertrauensschadens nach § 122 BGB hat.

28 Im Bereich der Zustimmung/Autorisierung zu einem Zahlungsvorgang nach § 675j BGB ist jedenfalls eine Irrtumsanfechtung ausgeschlossen. Das würde der Wertung des § 675p Abs. 1 BGB widersprechen, wonach der Zahlungsdienstnutzer einen Zahlungsauftrag vorbehaltlich der dort geregelten Ausnahmen nach dessen Zugang beim Zahlungsdienstleister des Zahlers nicht mehr widerrufen kann. Zwar könnte man im deutschen Zivilrecht noch zwischen einem Widerruf und einer Anfechtung differenzieren. § 675p BGB setzt aber die Vorgabe von Art. 80 der Payment Service Direktive 2 (Zweite Zahlungsdiensterichtlinie, (EU) 2015/2366, im Folgenden: PSD-2-Richtlinie) über die Unwiderruflichkeit von Zahlungsaufträgen um. Diese Regelung ist aufgrund der Vollharmonisierung zwingend und legt einen weiten Begriff der Unwiderruflichkeit zugrunde, der auch eine Anfechtung nach nationalem Recht umfasst (anders Zahrte, BKR 2016, 315). Ist eine Autorisierung nach § 675j BGB nicht wegen Inhaltsirrtümern anfechtbar, kann eine solche Erklärung, wenn sie ohne Erklärungsbewusstsein abgegeben worden ist, auch nicht entsprechend dieser Vorschrift anfechtbar sein. Damit gilt eine der wesentlichen Grundlagen, warum nach der deutschen Rechtsgeschäftslehre Erklärungen ohne Erklärungsbewusstsein, sofern zurechenbar, als wirksam, aber anfechtbar angesehen werden, für Autorisierungen nach § 675j BGB gerade nicht. Das schließt indes eine Anwendung dieser Grundsätze nicht aus. Zum einen entspricht es der Einheitlichkeit der Rechtsordnung, Willenserklärungen, auf die die deutsche Rechtsgeschäftslehre angewendet wird, gleich zu behandeln. Vor allem aber führt das Fehlen der genannten Voraussetzung nicht zu einem Widerspruch auf Wertungsebene. Dächte man sich die Regelung in Art. 80 der PSD-2-Richtlinie weg, ginge also davon aus, dass eine Autorisierung ohne Erklärungsbewusstsein wirksam, aber anfechtbar ist, wie es den normalen Folgen der Rechtsgeschäftslehre entspräche, könnte sich der Zahler nach einer solchen Erklärung entscheiden, ob er sie gelten lässt – mit der Folge eines Aufwendungsersatzanspruchs der Zahlungsdienstleisters – oder ob er sie anficht – mit der Folge des Wegfalls der Anweisung, aber eines Anspruchs des Zahlungsdienstleisters auf Ersatz des Vertrauensschadens nach § 122 BGB. Im Ergebnis müsste der Zahler dem Zahlungsdienstleister, welcher auf die Wirksamkeit der Zahlungsanweisung vertraut hat, die dafür erbrachten Aufwendungen ebenfalls ersetzen, jedenfalls wenn der überwiesene Betrag– wie stets in den hier relevanten betrugsbedingten Fällen – beim Zahlungsempfänger nicht rückholbar ist. Die automatisierte Ausführung von Zahlungsanweisungen steht dabei einer Ausführung im Vertrauen auf die erteilte Anweisung gleich. Die Wirksamkeit, aber Anfechtbarkeit einer Zahlungsanweisung ohne Erklärungsbewusstsein würde also nach der allgemeinen Rechtsgeschäftslehre gerade nicht dazu führen, dass das Risiko der Wiedererlangung des überwiesenen Betrages auf den Zahlungsdienstleister verlagert würde. Es verbliebe vielmehr auch im Falle der Anfechtung beim Zahler selbst. Lediglich für das Überweisungsentgelt ergäbe sich ein Unterschied. Dieses ist aber wirtschaftlich im Verhältnis zum überwiesenen Betrag in praxi gänzlich vernachlässigbar, wenn überhaupt eines erhoben wird. Würde das wirtschaftliche Risiko der Rückholbarkeit betrugsbedingt veranlasster Zahlungen nach deutscher Rechtsgeschäftslehre im Falle der Anfechtbarkeit beim Zahler verbleiben, folgt auf der Wertungsebene daraus, dass die Anfechtung bei der Autorisierung von Zahlungen ausgeschlossen ist, aber gerade keine andere Risikoverteilung. Vielmehr entspricht es einer Aufrechterhaltung der Wertungen des deutschen Zivilrechts, dass bei fehlender Anfechtbarkeit der Zahler ebenso das wirtschaftliche Risiko der Rückholbarkeit einer von ihm ohne Erklärungsbewusstsein freigegebenen Überweisung trägt, wie er es im (gedachten) Falle der Anfechtbarkeit tragen würde.

29 In der Gesamtbetrachtung ändert die fehlende Anfechtbarkeit von Autorisierungen nach § 675j BGB daher nichts daran, dass eine vom Zahler ohne Erklärungsbewusstsein erklärte Autorisierung als wirksame Autorisierung anzusehen ist.

30 Ob eine Anfechtung von Autorisierungen wegen Täuschung nach § 123 BGB ebenfalls ausgeschlossen ist, kann dahinstehen. Denn da die Täuschung in den hier relevanten Fällen durch Dritte verübt wird, würde sie gemäß § 123 Abs. 2 BGB nur dann zu einer Anfechtbarkeit führen, wenn der Zahlungsdienstleister, vorliegend die Beklagte, die Täuschung bei Eingang der Autorisierung bereits kannte oder kennen musste. Daran fehlt es.

31 Gegen diese Würdigung ließe sich einwenden, dass bei der Vertrauenshaftung nach § 122 BGB einfache Fahrlässigkeit für die Haftung wie bei einer Willenserklärung genüge. Nach der Wertung von § 675v BGB und Art. 74 der PSD-2-Richtlinie trägt das Missbrauchsrisiko im Hinblick auf die dort geregelten Zahlungsvorgänge aber grundsätzlich der Zahlungsdienstleister. Der Zahler kann dieses Risiko danach nur tragen, wenn er mindestens grob fahrlässig Pflichten in Bezug auf Zahlungsinstrumente und personalisierte Sicherheitsmerkmale verletzt, im Übrigen im hier wirtschaftlich nicht relevanten Bereich von Kleinbeträgen bis 50 €.

32 Allerdings liegt dieser Risikoverteilung der Gedanke zugrunde, dass der Zahlungsdienstleister, der etwa Onlinebanking anbietet, über dessen Ausgestaltung bestimmt. Er hat es in der Hand, ob und inwieweit er eine solche Möglichkeit zur Erteilung von Zahlungsaufträgen überhaupt eröffnet, wie er sie ausgestaltet und wie er dabei etwaigen Kompromittierungsgefahren begegnet. Die Eröffnung eines Onlinebanking-Zugangs kann von daher mit einer Betriebsgefahr verglichen werden. Der Zahlungsdienstleister, der diesen Zugang eröffnet, trägt gleichsam die Betriebsgefahr, also die damit notwendig einhergehenden Risiken der Kompromittierung der eingesetzten Kommunikationsmittel und damit das sog. Missbrauchsrisiko, insbesondere, dass vermeintliche Zahlungsaufträge von Dritten erteilt werden. Denn mit der Ausgestaltung des Onlinebankings kann der Zahlungsdienstleister auch dieses Missbrauchsrisiko begrenzen und beeinflussen.

33 Die Frage, ob eine Autorisierung vorliegt oder nicht, kann in diesem Sinne auch als Abgrenzungskriterium verstanden werden, ob das Risiko, um das es geht, dem Bereich der vom Zahlungsdienstleister grundsätzlich beherrschbaren "Betriebsgefahr" des von ihm eröffneten Onlinebankings zuzuordnen ist – mit der Folge, dass dieses Missbrauchsrisiko bis zur Grenze der groben Fahrlässigkeit grundsätzlich beim Zahlungsdienstleister liegt -, oder ob das Risiko eher dem Bereich der vom Zahler selbst veranlassten Autorisierung zuzuordnen ist, also dem Risikobereich des Zahlers selbst. In diesem Sinne würde etwa ein Verschreiben des Zahlers beim Betrag zwar zu einer irrtumsbehafteten Autorisierung führen, die auch nicht mehr anfechtbar ist, aber eindeutig dem Risikobereich des Zahlers zuzuordnen ist, nicht des Zahlungsdienstleisters. Denn die dabei beim Zahlungsdienstleister eingehende Erklärung ist authentisch, sie stammt tatsächlich vom Zahler und ist von ihm auch inhaltlich so erklärt worden. Hingegen wären bei einem Hackerangriff, bei dem Dritte die pushTAN-App übernehmen und anstelle des Kunden Zahlungsaufträge freigeben, die beim Zahlungsdienstleister eingehenden Freigaben nicht authentisch. Sie würden daher eindeutig in den Risikobereich des Zahlungsdienstleisters fallen. Hier realisiert sich das sog. Missbrauchsrisiko, bei dem das Risiko auf Umständen beruht, die im Machtbereich des Zahlungsdienstleisters liegen.

34 Erteilt der Kunde selbst eine Freigabe, auch wenn dies irrtums- oder täuschungsbedingt erfolgt, ist die beim Zahlungsdienstleister eingehende Erklärung authentisch. Das Risiko eines abweichenden inneren Willens vom authentischen Erklärungsgehalt ist grundsätzlich dem Risikobereich des Zahlers zuzuordnen, nicht der vom Zahlungsdienstleister zu tragenden Betriebsgefahr. Denn der Zahlungsdienstleister muss dem Kunden überhaupt einen Zugang ermöglichen und das ist vom Kunden auch gewollt. Kann der Kunde Überweisungen vornehmen, kann er dies auch irrtümlich tun oder täuschungsbedingt dazu veranlasst werden. All dies lässt sich vom Zahlungsdienstleister praktisch nicht beeinflussen, weil der Angriff als solcher in diesen Fällen gar nicht auf das Zahlungsdienstsystem selbst abzielt, sondern auf den Kunden, bei dem in erster Linie ein Irrtum hervorgerufen werden soll. Das kann der Zahlungsdienstleister nicht generell verhindern. Zwar ist es nach fast jedem erfolgreichen Betrugsangriff so, dass der konkrete Irrtum, der hier hervorgerufen worden ist, durch irgendeine andere Gestaltung oder einen Warnhinweis auch hätte verhindert werden können. Das ändert auf der Wertungsebene aber nichts daran, dass in diesen Fällen im Wesentlichen keine technischen Schwachstellen ausgenutzt werden, sondern ein Irrtum beim Kunden selbst hervorgerufen wird und ausgenutzt wird, dass dieser überhaupt über Geldbeträge verfügen kann. Dass der Kunde überhaupt über Geldbeträge verfügen kann, ist aber keine mit dem Onlinebanking notwendig verbundene oder vom Zahlungsdienstleister beherrschbare Gefahr, sondern Sinn und Zweck des Onlinebankings und von beiden Parteien gewollt.

35 Dementsprechend ist auf der Wertungsebene die irrtumsbedingte Erteilung einer Autorisierung durch den Zahler selbst nicht dem Bereich des Missbrauchs und damit dem nach § 675v BGB / Art. 80 PSD-2-Richtlinie grundsätzlich vom Zahlungsdienstleister zu tragenden Risikobereich zuzuordnen, sondern vom Zahlungsdienstleister nicht wesentlich beeinflussbar, vielmehr vom irrenden Zahler selbst und daher dem vom Zahler selbst zu tragenden Risikobereich der wirksamen Autorisierung zuzuordnen. Das gilt auch, wenn der Irrtum auf der Täuschung eines Dritten beruht und auch dann, wenn diese Täuschung auf der inneren Seite der Erklärung des Zahlers dazu führt, dass er ohne Erklärungsbewusstsein handelt.

36 Die Freigaben einer Änderung des Auszahlungskontos und von neun Überweisungen über jeweils 2.000 € durch den Kläger selbst stellen daher zwar täuschungsbedingt und ohne Erklärungsbewusstsein abgegebene, aber wirksame Autorisierungen dar.

37 Daran ändert sich nichts deshalb, weil die Zahlungsaufträge selbst nicht vom Kläger eingegeben worden waren, sondern von Dritten. Zwar kann man grundsätzlich für eine wirksame Autorisierung fordern, dass diese vollständig vom Zahler selbst vorgenommen wird, da eine (offene) Stellvertretung im Bereich der Autorisierung grundsätzlich unzulässig ist. Allerdings ist es nicht unzulässig, einen Zahlungsauftrag von einem Dritten eingeben zu lassen, weil durch die Aufgabe selbst noch keinerlei Bindungswirkung entsteht. Diese entsteht im Onlinebanking erst und ausschließlich durch die Freigabe, hier in der pushTAN-App. Ebenso, wie es bei klassischen papiergebundenen Überweisungen unproblematisch zulässig und üblich war und ist, dass Mitarbeiter oder beauftragte Dritte den Überweisungsträger ausfüllen und dieser sodann vom Zahler selbst nur noch unterschrieben wird, ist es im Bereich des Onlinebankings unproblematisch möglich und zulässig, dass Mitarbeiter oder Dritte Zahlungsaufträge ausfüllen und aufgeben, solange die Prüfung und Freigabe selbst ausschließlich durch den Zahler persönlich vorgenommen und verantwortet wird. Die Ausfüllung des erst später freizugebenden Zahlungsauftrags hat nur den Charakter eines Entwurfs. Eine verbindliche Anweisung wird daraus erst durch die Freigabe. Nur diese ist rechtlich betrachtet eine Willenserklärung. Bei ihr ist eine Stellvertretung unzulässig, im vorbereitenden Bereich darf sich der Bankkunde aber der Hilfe Dritter bedienen – oder etwa, was mittlerweile häufiger wird, von Texterkennungsprogrammen oder automatischen Ausfüllhilfen. Das zeigt sich auch an der Formulierung von § 675j Abs. 1 S. 1 BGB. Willenserklärung ist die Zustimmung des Zahlers zu einem Zahlungsvorgang. Der Vorgang muss nicht selbst vom Zahler entworfen worden sein, der Entwurf kann auch von Dritten stammen.

38 Auch, wenn man für eine wirksame Autorisierung eine eigene und vollständige Zwei-Faktor-Authentifizierung durch den Zahler selbst fordert, wäre eine solche gegeben. Die Autorisierung erfolgte vorliegend dadurch, dass dem Kläger in der pushTAN-App angezeigt wurde, dass ein Auftrag zur Prüfung und Freigabe vorliege. Es wurde angezeigt, dass es um eine Überweisung geht, die IBAN und der Betrag. Für die Freigabe musste der Kläger zum einen das Gerät besitzen, auf welchem sich die konkrete pushTAN-App, die hier angesteuert wurde, befand, zum anderen beim Öffnen dieser App ein Passwort eingegeben, falls auf seinem Mobiltelefon das Öffnen passwortgeschützter Apps mit Hilfe von faceID, fingerprint oder Wischmuster eingestellt war, dieses Merkmal nutzen. In jedem Fall fand eine 2-Faktor-Authentifizierung allein für die Freigabe statt, weil zum einen ein Besitzmerkmal, zum anderen ein Wissensmerkmal erforderlich war. Letzteres konnte durch ein biometrisches Merkmal ersetzt werden, das änderte aber nichts an der 2-Faktor-Authentifizierung.

39 Im Übrigen kommt es nach richtigem Verständnis im Falle einer wirksamen Autorisierung nicht auf eine 2-Faktor-Authentifizierung an. Diese ist erforderlich, um das Missbrauchsrisiko zu senken, da beim Erfordernis einer 2-Faktor-Authentifizierung ein Missbrauch z.B. im Sinne des Knackens eines Passworts sehr viel schwieriger wird. Man muss ja auch noch ein ganz anderes Merkmal knacken. Wenn hingegen der Bankkunde wissentlich und willentlich einen Zahlungsauftrag aufgibt und der Zahlungsdienstleister diesen Auftrag akzeptiert und ausführt, leuchtet nicht ein, warum der Aufwendungsersatzanspruch des Zahlungsdienstleisters davon abhängen sollte, in welcher Form der Kunde diesen Zahlungsauftrag erteilt hat und ob er eine 2-Faktor-Authentifizeriung genutzt hat. Der Bankkunde, der beispielsweise einfach nur bei seinem Berater anruft, kann wirksam Aufträge erteilen. Ob seine Authentifizierung mittels eines 2-Faktor-Verfahrens erfolgt oder einfach dadurch, dass der Berater ihn aufgrund persönlicher Bekanntheit eindeutig identifiziert, ist für die Wirksamkeit des Auftrags ohne Belang. Vielmehr gilt generell, dass wenn der Zahler selbst einen Auftrag bzw. eine Autorisierung so erteilt hat, seine beim Zahlungsdiensteister eingegangene Erklärung also authentisch ist, es nicht darauf ankommt, wie er sich authentifiziert hat. Denn die Authentifizierung soll sicherstellen, dass der Auftrag authentisch ist. Sie soll verhindern, dass Dritte sich als der Zahler aufgeben und für ihn vermeintliche Aufträge erteilen oder verändern. Sie soll aber nicht den Kunden hindern oder darin beschränken, selbst Aufträge zu erteilen oder zu autorisieren. Das gilt auch dann, wenn der Kunde solche Aufträge irrtumsbehaftet, täuschungsbedingt und/oder ohne Erklärungsbewusstsein erteilt. Denn all dies ändert nichts daran, dass die anscheinend vom Bankkunden vorgenommene Autorisierung tatsächlich so von ihm erklärt worden ist und daher der Sinn und Zweck der Authentifizierung nicht berührt werden.

40 Nach alledem stellten die vom Kläger erteilten Freigaben einer Änderung des Auszahlungskontos und von neun Überweisungen über jeweils 2.000 € jeweils wirksame Autorisierungen dar, wobei es auf die neunte Überweisung wegen deren ohnehin erfolgter Rückbuchung nicht ankommt. Die Beklagte hatte daher nach § 675c Abs. 1, § 670 BGB Anspruch auf Ersatz der Aufwendungen, die ihr für die Ausführung dieser Überweisungen jeweils entstanden sind. Der von ihr mit den Belastungsbuchungen auf dem Konto des Klägers jeweils gebuchte Anspruch stand ihr tatsächlich zu. Der Kläger hat keinen Anspruch auf Korrektur dieser Buchungen, weder bankvertraglich noch nach § 675u S. 2 BGB. Denn es liegt kein Fall eines nicht autorisierten Zahlungsvorgangs vor.

41 2. Der Kläger hat auch keinen Anspruch wegen der Ausführung der Zahlungen gegen die Beklagte, weil ein Missbrauch evident gewesen sei. Ein Anspruch aus den §§ 280 Abs. 1 Satz 1, 241 Abs. 2, 675f BGB, weil die in Rede stehenden Überweisungen durch die Beklagte nicht als auffällig erkannt und aufgehalten, sondern ausgeführt wurden, besteht nicht. Es kann dahinstehen, ob eine andere Ausgestaltung des fraud-detection-Systems der Beklagten diese Zahlungen ausgesteuert hätte. Die Beklagte hat nicht gegen eine zum Schutz des Klägers bestehende Warnpflicht verstoßen. Der Bundesgerichtshof hat mit Urteil vom 24. April 2012 (Az.: XI ZR 96/11 –, juris) in einem Fall, in dem vom Konto des dortigen Klägers eine nicht von ihm veranlasste Onlineüberweisung über 5.000,00 € und am gleichen Tag auch von einem ebenfalls bei der beklagten Bank geführten Konto eines anderen Geschädigten eine Onlineüberweisung über 7.000,00 € auf dasselbe Konto in G. erfolgt war, entschieden, dass in diesem Fall keine Warnpflicht für die beklagte Bank gegenüber dem dortigen Kläger bestanden habe. Der Bundesgerichtshof hat in seiner Entscheidung ausgeführt, dass im Überweisungsverkehr ein Kreditinstitut, das aufgrund massiver Anhaltspunkte den Verdacht hege, dass ein Kunde bei der Teilnahme am bargeldlosen Zahlungsverkehr durch eine Straftat einen anderen schädigen wolle, diesem gegenüber zwar eine Warnpflicht habe. Die Bank müsse aber weder generell prüfen , ob die Abwicklung eines Zahlungsverkehrsvorgangs Risiken für einen Beteiligten begründe, noch Kontobewegungen allgemein und ohne besondere Anhaltspunkte überwachen . Eine Warnpflicht bestehe erst dann, wenn die Bank ohne nähere Prüfung im Rahmen der normalen Bearbeitung eines Zahlungsverkehrsvorgangs aufgrund einer auf massiven Verdachtsmomenten beruhenden objektiven Evidenz den Verdacht einer Veruntreuung schöpfe (BGH, a.a.O., Rn. 32, juris). Die Tatsache, dass vom Konto des dortigen Klägers ein runder Betrag von 5.000,00 € ins Ausland überwiesen worden war, dies zu einem Sollstand auf dem Konto von über 4.300,00 € geführt hatte und solch eine Überweisung für den Kläger untypisch gewesen war, führe nicht zu einer Hinweispflicht der Beklagten. Ohne besondere weitere Anhaltspunkte würden Überweisungen mit Auslandsberührung, der Einsatz glatter Beträge und dadurch eintretende Kontoüberziehungen einer Bank ohne nähere Prüfung keinen hinreichenden Anlass geben, den Verdacht einer Straftat zu schöpfen. Kreditinstitute würden im bargeldlosen Zahlungsverkehr nur zum Zweck der technisch einwandfreien, einfachen und schnellen Abwicklung tätig und hätten sich schon wegen dieses begrenzten Geschäftszwecks und der Massenhaftigkeit der Geschäftsvorgänge grundsätzlich nicht um die beteiligten Interessen ihrer Kunden zu kümmern (BGH, a.a.O., Rn. 34, juris).

42 Auf Grundlage dessen bestand vorliegend keine Warnpflicht der Beklagten gegenüber dem Kläger.

43 Dies gilt schon deshalb, weil der Überweisungsverkehr heute wie auch bereits 2012 vollautomatisiert abläuft. Kein Mitarbeiter der Beklagten (oder auch anderer Banken) nimmt solche wie die hier in Rede stehenden Überweisungen händisch vor oder überprüft diese händisch auf Auffälligkeiten. Es ist aus diesem Grund bereits ausgeschlossen, dass die Beklagte bzw. ihre Mitarbeiter im Rahmen dieses zunächst vollautomatisierten Ablaufs den Verdacht einer Straftat schöpfen, was Voraussetzung für eine Warnpflicht wäre. Ein Algorithmus schöpft keinen Verdacht in diesem Sinne, er kann nur gewisse Muster erkennen und einen Überweisungsvorgang stoppen und der Beklagten eine händische Überprüfung vorschlagen.

44 Das Schöpfen eines Verdachts durch die Beklagte wäre demnach erst dann in Betracht gekommen, wenn die in Rede stehenden Überweisungsaufträge durch das vollautomatisierte System der Beklagten bzw. dieses System überprüfende Algorithmen ausgesteuert worden wären, weil es diese Überweisungsaufträge wegen des Vorliegens bestimmter Muster als auffällig erkannt hätte. Es ist gerichtsbekannt, dass die Beklagte – wie andere Banken auch - über solche Prüfsysteme verfügt, die auch regelmäßig "anschlagen" und Überweisungen als "auffällig" erkennen und zwecks händischer Überprüfung aussteuern. Vorliegend ist das aber offenbar nicht geschehen, so dass die Überweisungen nicht durch Mitarbeiter der Beklagten händisch überprüft und kein Verdacht hinsichtlich des Vorliegens einer Straftat geschöpft werden konnte.

45 Dass die Sicherheitssysteme bzw. -algorithmen der Beklagten die hier streitgegenständlichen Überweisungen nicht als "auffällig" erkannt und zur händischen Prüfung ausgesteuert haben, stellt aber keine Pflichtverletzung der Beklagten dar, da die Beklagte weder generell prüfen muss, ob die Abwicklung eines Zahlungsverkehrsvorgangs Risiken für einen Beteiligten begründet, noch Kontobewegungen allgemein und ohne besondere Anhaltspunkte überwachen muss (BGH a.a.O.), wie bereits dargelegt.

46 Hieran hat sich seit der Entscheidung des Bundesgerichtshofs im Jahr 2012 auch nichts geändert. Auch die auf Grundlage der am 12.1.2016 in Kraft getretenen PSD2-Richtlinie am 14.03.2018 in Kraft getretene "Regulatory Technical Standard" ("Delegierte Verordnung zur Ergänzung der PSD2-Richtlinie durch technische Regulierungsstandards für eine starke Kundenauthentifizierung und für sichere offene Standards für die Kommunikation", (EU) 2018/ 389, im Folgenden: RTS-Verordnung), in der in Art. 2 Abs. 1 und 2 Transaktionsüberwachungsmechanismen erwähnt werden, verpflichtet die Beklagte als Bank nicht, ein Echtzeitüberwachungssystem vorzuhalten, welches Zahlungsvorgänge in Echtzeit daraufhin überprüft, ob ein im Wege der Zwei-Faktor-Authentifizierung freigegebener Zahlungsvorgang täuschungs- oder irrtumsbedingt freigegeben worden ist oder vom Kunden so beabsichtigt war. Die RTS-Verordnung dient ausweislich der in Art. 97 und 98 der PSD2-Richtlinie getroffenen Regelungen der Umsetzung der in Art. 97 PSD-Richtlinie geforderten starken Kundenauthentifizierung und eines angemessenen Sicherheitsniveaus, um die Vertraulichkeit und die Integrität der personalisierten Sicherheitsmerkmale der Zahlungsdienstnutzer zu schützen. Das zielt auf einen Schutz vor der Kompromittierung von Sicherheitsmerkmalen ab, also darauf, sicherzustellen, dass die im Zahlungsverkehr erteilten Anweisungen auch tatsächlich so vom Kunden stammen (authentisch sind). Nur in diesem Zusammenhang ist auch Art. 98 Abs. 2b) zu sehen, in dem es heißt, dass Zielsetzung der RTS-Verordnung auch die "Gewährleistung der Sicherheit für die Gelder und die personenbezogenen Daten der Zahlungsdienstnutzer" sei. Die Regelungen in der PSD2-Richtlinie und der auf ihr beruhenden RTS-Verordnung lassen dagegen mit keinem Wort erkennen, dass die Banken auch zu überprüfen hätten, welche Motivation hinter der im Wege der Zwei-Faktor-Authentifizierung autorisierten Zahlung steht, sprich, ob der Kunde durch Täuschung zur Autorisierung veranlasst worden ist oder sonst einem Irrtum unterliegt. Wie eine solche standardmäßige Überprüfung im Rahmen eines vollautomatisierten Zahlungsverkehrs, wie ihn die PSD2-Richtlinie mit der Zielsetzung einer schnellen und praktisch in Echtzeit stattfindenden Abwicklung voraussetzt – bei Nichteinhaltung der im deutschen Recht in § 675s BGB übernommenen sehr kurzen Ausführungsfristen für Zahlungsaufträge machen sich Banken ggf. schadensersatzpflichtig -, möglich sein sollte, ist auch nicht ersichtlich.

47 Vielmehr spricht die Regelung in Art 2 Abs. 1 RTS-Verordnung, in der es heißt, dass die Zahlungsdienstleister über Transaktionsüberwachungsmechanismen verfügen müssen, die ihnen für den Zweck der Umsetzung der in Artikel 1 Buchstaben a und b genannten Sicherheitsmaßnahmen die Erkennung nicht autorisierter oder betrügerischer Zahlungsvorgänge ermöglichen, dafür, dass diese Transaktionsüberwachungsmechanismen allein der Sicherstellung einer starken Kundenauthentifizierung dienen. Denn in Artikel 1 a) und b) RTS-Verordnung heißt es, dass in dieser Verordnung Anforderungen festgelegt würden, "die Zahlungsdienstleister für die Umsetzung von Sicherheitsmaßnahmen erfüllen müssen, die es ihnen ermöglichen, das Verfahren zur starken Kundenauthentifizierung nach Artikel 97 der Richtlinie (EU) 2015/2366 anzuwenden (lit. a) und unter genau festgelegten, eingeschränkten Voraussetzungen, die auf die Höhe des Risikos, den Betrag und die Häufigkeit des Zahlungsvorgangs sowie auf den für dessen Ausführung genutzten Zahlungsweg abstellen, von der Durchführung der aus Sicherheitsgründen vorgeschriebenen starken Kundenauthentifizierung abzusehen (lit. b)", wobei die Voraussetzungen, unter denen ausnahmsweise von einer starken Kundenauthentifizierung abgesehen werden kann, in Art. 18 Abs. 2c RTS-Verordnung definiert sind. Ziel der Transaktionsüberwachung ist damit allein die Sicherstellung der starken Kundenauthentifizierung im Sinne der 2-Faktor-Authentifizierung oder des Erkennens der Voraussetzungen für das Absehen von einer solchen starken Kundenauthentifizierung, nicht aber der Überwachung von außerhalb des Zahlungsvorgangs liegenden Umständen, um die es hier geht.

48 Für die Ausgestaltung der Transaktionsüberwachungsmechanismen, die Zahlungsdienstleister im Allgemeinen nach Art 2 Abs. 1 RTS-Verordnung vorzuhalten haben, gibt es keine konkreten Regelungen, soweit es Zahlungen betrifft, für die eine Zweifaktorauthentifizierung vorliegt. Wo es konkrete Regelungen gibt, die etwa die Überprüfung vorsehen, ob Zahlungen auf ein ungewöhnliches Ausgabe- oder Verhaltensmuster des Zahlers hinweisen oder einem bekannten Betrugsszenario bei der Erbringung von Zahlungsdienstleistungen entsprechen, ist solches allein in Art. 18 Abs. 2c der RTS-Verordnung geregelt. Nach dieser Verordnung sind Zahlungsdienstleister im Rahmen der Authentifizierung generell verpflichtet, überhaupt eine Analyse der Zahlungsvorgänge auf nicht autorisierte oder betrügerische Zahlungsvorgänge vorzunehmen (Art. 2 Abs. 1). Wollen sie vom Erfordernis einer Zweifaktorauthentifizierung abweichen, gilt Art. 18 RTS-Verordnung. Dann muss diese Analyse eineEchtzeit analyse sein und u.a. die o.g. Faktoren wie ungewöhnliches Ausgabe- oder Verhaltensmuster des Zahlers (Art. 18 Abs. 2c lit i) und bekanntes Betrugsszenario (Art. 18 Abs. 2c lit iv) müssen unauffällig sei. Treten u.a. bei diesen Merkmalen Auffälligkeiten auf, ist die Rechtsfolge lediglich, dass der Zahlungsdienstleister eine Zweifaktorauthentifizierung fordern muss (Präambel Nr. 14 S. 3). In der Zusammenschau muss dem die Wertung entnommen werden, dass die konkrete Ausgestaltung dieser Analyse lediglich beim Absehen von der Zweifaktorauthentifizierung vor nicht authentischen Zahlungsvorgängen schützt. Liegt hingegen eine Zweifaktorauthentifizierung vor, besteht keine Verpflichtung zu einer Echtzeitanalyse (so auch Casper/Terlau/Terlau, 3. Aufl. 2023, ZAG § 1 Rn. 520), geschweige denn dazu, konkrete Merkmale zwingend zu analysieren oder einen auffälligen Auftrag technisch aufzuhalten. Die generelle Analyse führt, wenn eine Zweifaktorauthentifizierung vorliegt, nur dazu, dass entsprechend auffällige Vorgänge berichtet werden und das risk-management reagieren kann. Sie dient aber nicht dem Schutz des einzelnen Kunden, der eine Autorisierung im Wege der Zweifaktorauthentifizierung erklärt hat, davor, dass er sich bei dieser Erklärung geirrt haben oder einer arglistigen Täuschung aufgesessen sein könnte.

49 3. Der Kläger hat auch keinen Anspruch, weil die Zahlungen nach Mitteilung des Klägers noch hätten gestoppt werden können. Auf die Frage, ob die Zahlung hätte noch gestoppt werden können, nachdem der Kläger kurz nach Aufgabe der Überweisungen bei der Beklagten anrief, kommt es nicht an. Eine wirksam erteilte Autorisierung ist nach § 675p Abs. 1 BGB ab Zugang beim Zahlungsdienstleister nicht mehr widerruflich. Die in § 675p Abs. 2-5 geregelten Ausnahmen liegen nicht vor. Nach den Grundgedanken der PSD-2-Richtlinie kann und soll eine Bank Zahlungsaufträge schnell und automatisiert, allein anhand des Kundenidentifikators, ausführen. Die Unwiderruflichkeit des einmal zugegangenen Zahlungsauftrags ist nach der Vorbemerkung Nr. 78 zur PSD2-Richtlinie gerade erforderlich, weil moderne vollautomatisierte Zahlungssysteme Zahlungen mit hoher Geschwindigkeit abwickeln und Zahlungsaufträge ab einem bestimmten Zeitpunkt nicht ohne kostspieligen manuellen Eingriff widerrufen werden können. Begründet dies ausdrücklich die Unwiderruflichkeit, zeigt dies, dass der Kunde keinen Anspruch auf ein Anhalten der Ausführung eines Zahlungsvorgangs hat, eben, weil dies einen manuellen Eingriff erfordern würde, auf den kein Anspruch besteht, weil er aufwändig wäre. Diese Abwägung, die der Automatisierung den Vorrang vor einem weitergehenden, individuellen Schutz des Kunden gibt, zeigt sich auch an der Vorbemerkung Nr. 88 zur PSD2-Richtlinie. Danach hat der Zahlungsdienstleister anzugeben, welche Eingaben für die Ausführung eines Zahlungsauftrags erforderlich sind, also IBAN, Betrag und ggf. Empfängername. Den Mitgliedstaaten werde nicht gestattet, für Zahlungsvorgänge einen speziellen Identifikator vorzuschreiben, etwa eine nationale Kontonummer. Das hindere die Mitgliedstaaten jedoch nicht daran, vom Zahlungsdienstleister des Zahlers zu verlangen, die im Verkehr erforderliche Sorgfalt zu beachten und — soweit technisch und ohne manuelles Eingreifen möglich — zu überprüfen, ob der Kundenidentifikator kohärent ist, und wenn das nicht der Fall ist, den Zahlungsauftrag zurückzuweisen und den Zahler davon zu unterrichten. Dies zeigt, dass den Zahlungsdienstleister sogar zu diesen Angaben eine Überprüfungspflicht ausdrücklich nur trifft, soweit dies "ohne manuelles Eingreifen" möglich ist. Die Vorstellung, der Zahler habe einen Anspruch gegen den Zahlungsdienstleister auf einen manuellen Eingriff in den einmal eingeleiteten Zahlungsvorgang, ist damit nicht zu vereinbaren, eben, weil dieser grundsätzlich vollautomatisiert ausgeführt wird. Zusammengefasst kann die Bank versuchen, die Zahlung noch aufzuhalten. Wenn dies gelingt, bevor das Geld auf dem Konto des Empfängers gutgeschrieben ist, darf die Bank einen erklärten Widerruf beachten. Gelingt ihr dies nicht, fällt dies aber in den Risikobereich des Kunden, der die Autorisierung erteilt hat. Es gibt keine Organisationspflicht der Bank, ihren Bereich so zu organisieren, dass rechtlich unwiderruflich gewordene Zahlungsaufträge noch aufgehalten werden können.

50 4. Der Kläger hat auch keinen Anspruch auf immateriellen Schadensersatz wegen etwaiger Verstöße gegen die nebenvertragliche Pflicht – kumulativ nach DSGVO - vor und im Nachgang des Vorfalls. Es steht nicht fest, dass Daten des Klägers bei der Beklagten abgegriffen wurden. Fest steht nur, dass die Täter Kenntnis der Zugangsnummer, der PIN und der Telefonnummer des Klägers erlangt hatten. Wie sie in den Besitz dieser Kenntnis gelangt sind, ist unklar. In vielen Parallelfällen lässt sich der Weg der Kenntniserlangung vermuten, häufig haben Bankkunden etwa Waren im Internet gekauft und auf gefälschten Seiten ihre Daten eingegeben oder auf eine vermeintliche Anforderung einer Aktualisierung hin ihre Daten auf einer gefälschten Seite eingegeben. Vorliegend verneint der Kläger, seine Daten irgendwo eingegeben zu haben. Bei einem Tagesgeldkonto läge die Eingabe etwa bei einem Warenkauf auch fern. Andererseits ist auch nichts darüber bekannt geworden, dass bei der Beklagten Daten abgegriffen worden wären und in Parallelverfahren hat die Beweisaufnahme ergeben, dass etwa die PIN bei der Beklagten gar nicht im Klartext gespeichert ist, sondern nur als Hashwert. Aus diesem kann kaum auf den gehashten Wert zurückgeschlossen werden. Das führt dazu, dass selbst, wenn man in die Systeme eindringen könnte, ein Abgreifen der PIN im Klartext nicht möglich wäre. Diese müssen die Täter aber in Erfahrung gebracht haben. Insgesamt ist daher schlicht unklar, wie die Täter Zugangsnummer, PIN und Telefonnummer erfahren haben. Darlegungs- und beweisbelastet ist der Kläger.

51 5. Mangels Hauptanspruchs hat der Kläger auch keinen Anspruch auf Ersatz der ihm entstandenen Rechtsverfolgungskosten.

52 6. Die Kostenentscheidung folgt aus § 91 Abs. 1 S. 1 ZPO.

53 Die Entscheidung zur vorläufigen Vollstreckbarkeit folgt aus § 709 S. 1, 2 ZPO.

Permalink

• Diesen Link können Sie kopieren und verwenden, wenn Sie genau dieses Dokument verlinken möchten: https://www.gesetze-rechtsprechung.sh.juris.de/perma?d=NJRE001643976