LG Itzehoe 7. Zivilkammer — 7 O 23/24 — Urteil

Entscheidungsdatum: 2024-06-04

Aktenzeichen: 7 O 23/24

Dokumenttyp: Urteil

Normen: § 675j Abs 1 S 1 BGB, § 675p Abs 1 BGB, § 675u S 1 BGB, § 675u S 2 BGB, § 675v Abs 3 Nr 2 BGB

Leitsatz

Die Zustimmung (Autorisierung) des Zahlers zu einem Zahlungsvorgang i.S.v. § 675j Abs. 1 Satz 1 BGB ist eine empfangsbedürftige Willenserklärung.

• Liegen Mängel der Erklärung vor, insbesondere im Fall fehlenden Erklärungsbewusstseins, ist die Frage, wann eine Zustimmung vorliegt, nicht autonom auszulegen, sondern folgt der deutschen Rechtsgeschäftslehre. Erscheint die Erklärung aus dem Empfängerhorizont als Autorisierung, ist sie wirksam, wenn der Erklärende hätte erkennen können, dass die Freigabe als Zustimmung zu verstehen sein würde.

• § 675p Abs. 1 BGB schließt eine Irrtumsanfechtung der Autorisierung aus.

• Das Fehlen der Anfechtbarkeit ändert nichts daran, dass eine ohne Erklärungsbewusstsein abgegebene Autorisierung unter den genannten Voraussetzungen als Willenserklärung zu behandeln ist. Maßstab ist nicht die grobe Fahrlässigkeit, wie sie im Fall von § 675v Abs. 3 Nr. 2 BGB entscheidend wäre, sondern die Erkennbarkeit.

Tenor

1. Die Klage wird abgewiesen

2. Die Kosten des Rechtsstreits tragen die Kläger.

3. Das Urteil ist vorläufig vollstreckbar gegen Sicherheitsleistung in Höhe von 120 % des jeweils zu vollstreckenden Betrages.

Tatbestand

1 Die Parteien streiten um die Folgen mehrerer betrügerisch erwirkten Freigaben insbesondere für Überweisungen von zwei Konten der Kläger. Die Kläger begehren von der beklagten Bank im Wesentlichen Wiedergutschrift der Beträge, mit denen ihre Konten belastet worden sind.

2 Die Kläger waren Kunden der xx Bank AG. Sie unterhalten dort mehrere Konten. Zum einen unterhalten sie als Gemeinschaftskonten ein Tagesgeldkonto und ein Girokonto, zum anderen unterhält der Kläger allein ebenfalls ein Tagesgeldkonto und ein Girokonto. Das gemeinsame Girokonto hat die IBAN xx, das zugehörige Tagesgeldkonto die IBAN xx. Das eigene Girokonto des Klägers hat die IBAN xx, das zugehörige Tagesgeldkonto die IBAN xx.

3 Die Verträge wurde 2010 mit der xx Bank AG geschlossen (Anlage B1.1, Anlage B1.2).

4 2020 wurde die xx Bank AG auf die Beklagte verschmolzen. Die Geschäftsverbindung der Kläger besteht daher inhaltlich unverändert mit der Beklagten als Rechtsnachfolgerin der xx Bank AG fort. Seit Dezember 2023 sind die Kläger verheiratet.

5 Der Kläger nutzt das online Banking. Der Nutzung liegen die allgemeinen Bedingungen der xx Bank AG (Anlage B2.1, B2.2) zugrunde.

6 Die Nutzung des online-Bankings erfolgt durch zwei verschiedene Anwendungen (sog. Frontends). Ein sog. Frontend dient der Erfassung von Aufträgen und der Abfrage und Anzeige von Kontoinformationen einschließlich etwaiger Änderungsaufträge betreffend Kundendaten usw. (i.F.: Onlinebanking). Das andere Frontend dient der Freigabe solcher Vorgänge (i.F.: Freigabe-App).

7 Der Aufruf des Online-Bankings kann entweder über eine Banking-App erfolgen, sofern ein Android- oder Apple-Betriebssystem verwendet werden, oder über einen Browser. Letzterer Zugriff ist aus allen verbraucherseitig üblichen Betriebssystemen, insbesondere Windows, Android oder Apple-Systemen, möglich.

8 Bei Zugriff über Browser sind zum Login in das Online-Banking die Zugangsnummer und PIN einzugeben. Beide werden dem Kunden von der Beklagten zugeteilt und sind grundsätzlich statisch, die PIN durch den Kunden änderbar. Für das Ausführen einer Transaktion wie einer Überweisung auf ein Fremdkonto muss ein solcher Zahlungsauftrag zunächst im Online-Banking angelegt werden. In einem zweiten Schritt muss dieser Auftrag bestätigt werden, indem er über die Freigabe-App freigegeben wird.

9 Die Freigabe-App wird vom Kunden auf einem Gerät mit Android- oder Apple-Betriebssystem, in der Regel einem Mobiltelefon, installiert und bei Einrichtung mit dem Kundenstammdatensatz des Kunden verknüpft. Dazu dient ein Aktivierungscode, der dem Kunden postalisch übermittelt ist. Ist diese Einrichtung einmal erfolgt, können Aufträge, die im Online-Banking aufgegeben wurden, in dieser App freigegeben werden. In der Regel zeigt dieses Gerät durch Eingang einer Push-Nachricht an, dass ein neuer Auftrag vorliegt. Wird die Freigabe-App erfolgreich gestartet, werden nachfolgend Einzelheiten zu dem Auftrag angezeigt,.

10 Am Donnerstag, 27.7.2023, abends meldete sich ein Betrüger auf dem Telefon des Klägers und gab sich als Mitarbeiter der Beklagten aus. Dem Kläger wurde von dem Anrufer mitgeteilt, dass ungewöhnliche Transaktionen auf seinem Konto vorgenommen würden. Es sei u.a. eine Zahlungsanweisung in Höhe von mehreren tausend Euro in Auftrag gegeben, aber noch als „offen“ deklariert. Der Anrufer erkundigte sich, ob der Kläger diese Verfügungen tatsächlich selbst in Auftrag gegeben habe. Ihm wurde vorgespiegelt, dass der Abfluss von Geldern von seinen Konten noch verhindert werden könne bzw. eine Rückbuchung der Gelder noch möglich sei. Das bedürfe der Mitwirkung des Klägers. Er müsse dafür entsprechende Freigaben erteilen. Im Glauben, dass er tatsächlich mit einem Bankmitarbeiter der Beklagten spreche und dass dies tatsächlich für die Stornierung vermeintlich von Dritten für sein Konto erteilter Aufträge und für die Rückbuchung des Geldes erforderlich sei, erteilte der Kläger auf seiner Freigabe-App mehrere Freigaben. Tatsächlich war es den Betrügern gelungen, das Onlinebanking der Konten des Klägers aufzurufen und dort Aufträge für Überweisungen auf ein Drittkonto aufzugeben. Konkret wurden am 27.7.2023 vom Gemeinschaftsgirokonto 5.621,03 € und 5.520,09 € sowie vom Einzelgirokonto 3.016,93 € und 2.430,83 € überwiesen. Sämtliche Überweisungen gingen auf das Konto xx, als Name des Empfängers war „N. L.“ angegeben. Außerdem wurden vom Gemeinschaftstagesgeldkonto 2.420 € auf das Gemeinschaftsgirokonto übertragen.

11 Die Beklagte belastete die Girokonten jeweils mit vorgenannten Beträgen. Die Kläger begehren Erstattung dieser Beträge durch jeweils valutagerechte Wiedergutschrift auf dem jeweiligen Girokonto, außerdem Rückgängigmachung der Übertragung von 2.420 € vom gemeinschaftlichen Tagesgeldkonto auf das gemeinschaftliche Girokonto.

12 Die Kläger behaupten, der Kläger habe seine Zugangsnummer und PIN stets sorgfältig geschützt und nie Dritten mitgeteilt. Die Betrüger hätten Zugangsnummer und PIN nicht durch seine Mitwirkung erhalten. Diese Daten würden den Tätern für einen Login genügen. Die Beklagte fordere für einen Login in das Onlinebanking keine starke Authentifizierung.

13 Beim Anruf sei auf dem Display des Mobiltelefons des Klägers der ausgeschriebene Name der Beklagten erschienen, nicht nur eine bloße Telefonnummer. Die Frage, ob er eine Überweisung über ca. 3.000 € in Auftrag gegeben habe, habe der Kläger verneint, sich daraufhin von Zuhause über seinen PC sofort in seinen Online-Banking-Account eingeloggt und den von dem Anrufer mitgeteilten Zahlungsauftrag in Höhe dieses Betrags gesehen. Deshalb habe er geglaubt, dass es sich bei dem Anrufer tatsächlich um einen Mitarbeiter der Beklagten handele. Dieser habe ihm seine Hilfe an angeboten und mitgeteilt, alle Verfügungen zusammen mit dem Kläger rückgängig machen zu können, um einen schlimmeren Schaden zu verhindern. Dafür müsste der Kläger den Anrufer mittels der pushTAN-App legitimieren. Das habe der Kläger getan. Der Anrufer habe den Kläger dann sozusagen durch sein Online-Banking geführt und verschiedene Dinge gemacht, die der Kläger mittels PushTAN freigeben sollte. Es sei um die Rückholung des überwiesenen Geldes gegangen, darum, den Dispokredit wieder herunterzusetzen, auf seinem Konto wie auch auf dem Gemeinschaftskonto und auch darum, den Verkauf von ETFs rückgängig zu machen, auch das sowohl auf seinem als auch auf dem Gemeinschaftskonto. Das habe der Kläger dann auch jeweils in der PushTAN-App bestätigt. Der Anrufer habe einen Rückruf eines Mitarbeiters der Bank für den nächsten Tag avisiert, ob das alles geklappt habe. Nachdem sich am nächsten Tag niemand gemeldet habe, habe er bei der Beklagten angerufen. So ist der Betrug aufgefallen.

14 Bei den erteilten Freigaben habe nicht gestanden, dass dies eine Überweisung sei. Es sei auch keine Summe angezeigt worden, um die es konkret gehe. Inzwischen sei das bei der Beklagten anders, es würden immer die IBAN und die Summe angezeigt. Das sei zu dem Zeitpunkt, als er diese Freigabe erteilt habe, aber anders gewesen. Es sei keine Summe angezeigt worden, auch nicht das Wort Überweisung, sondern etwas Anderes, was er nicht mit einer Zahlung an Dritte in Zusammenhang gebracht habe.

15 Die Kläger meinen, die Zahlungsvorgänge seien nicht vom Kläger autorisiert i.S.v. § 675j Abs. 1 S. 1 BGB und daher ihnen gegenüber nicht wirksam. Die Beklagte sei daher gemäß § 675u S. 2 BGB verpflichtet, ihre Konten unverzüglich wieder auf den Stand zu bringen, auf dem sie sich ohne die Belastungen durch die nicht autorisierten Zahlungsvorgänge befunden hätten. Dem könne die Beklagte auch keinen Schadensersatzanspruch gemäß § 675w Abs. 3 BGB entgegenhalten. Der Kläger habe nicht grob fahrlässig gehandelt.

16 Es sei ein Hauptfehler des Systems der Beklagten und die Hauptursache für die Angriffe, dass die Beklagte beim Login in das Online Banking bzw. in die Banking App nicht die von § 55 Abs. 1 Nr. 1 ZAG geforderte starke Kundenauthentifizierung bereithalte.

17 Außerdem genügten die Anzeigen der Beklagten selbst nach eigenem Vortrag der Beklagten insofern nicht den Anforderungen von § 55 Abs. 1 Nr. 1 ZAG, als der Name des Empfängers einer Überweisung auch nach dem Vortrag der Beklagten nicht angezeigt werde, sondern lediglich seine IBAN.

18 Die Kläger meinen, ihnen stehe ein Kontoberechtigungsanspruch nach § 675u BGB und ein Anspruch aus § 823 Abs. 2 BGB i.V.m. § 55 Abs. 1 ZAG i.V.m. § 1 Abs. 24 ZAG wegen Nichtbereithaltens einer starken Kundenauthentifizierung beim Login in das Online-Banking zu.

19 Streitgegenständlich ist zunächst auch noch ein Übertrag in Höhe von 600 € vom Tagesgeldkonto des Klägers auf sein Girokonto gewesen, hinsichtlich dessen die Kläger eine Stornierung begehrt hatten (Anträge zu.4 a) und b) der Klageschrift). Insoweit ist die Klage zurückgenommen worden.

20 Die Kläger beantragen,

21 1. die Beklagte zu verurteilen, den Klägern die nachfolgend dargestellten abgehenden Zahlungen

22 zu dem darin jeweils ausgewiesenen Wertstellungsdatum dem Konto mit der IBAN xx im Kontokorrent als Haben-Betrag wieder gutzuschreiben nebst Zinsen in Höhe von 5 Prozentpunkten über dem Basiszinssatz aus 11.141,12 EUR seit dem 29.07.2023 und etwaige Kreditzinsen, die durch das aufgelaufene Soll der oben dargestellten Zahlungen entstanden sind, auszubuchen;

23 2. a) die Beklagte zu verurteilen, den Klägern die nachfolgend dargestellte abgehende Zahlung

24 zu dem darin ausgewiesenen Wertstellungsdatum dem Tagesgeldkonto mit der IBAN xx im Kontokorrent als umgekehrten Haben-Betrag wieder gutzuschreiben nebst Zinsen in Höhe von 5 Prozentpunkten über dem Basiszinssatz aus 2.420,00 EUR seit dem 29.07.2023 und etwaige Kreditzinsen, die durch das aufgelaufene Soll der oben dargestellten Zahlungen entstanden sind, auszubuchen;

25 2. b) für den Fall, dass das Gericht dem Klageantrag zu 2 a) stattgibt, die Beklagte zu verurteilen, den Klägern die nachfolgend dargestellte eingehende Zahlung in Höhe von 2.420,00 EUR zu dem darin jeweils ausgewiesenen Wertstellungsdatum in dem Gemeinschaftskonto der Kläger mit der IBAN xx als umgekehrte Sollbuchung wieder aus dem Kontokorrent abzuziehen:

26 3. die Beklagte zu verurteilen, dem Kläger zu 1.) die nachfolgend dargestellten abgehenden Zahlungen

27 zu dem darin jeweils ausgewiesenen Wertstellungsdatum dem Konto mit der IBAN xx im Kontokorrent als Haben-Betrag wieder gutzuschreiben nebst Zinsen in Höhe von 5 Prozentpunkten über dem Basiszinssatz aus 5.447,71 EUR seit dem 29.07.2023 und etwaige Kreditzinsen, die durch das aufgelaufene Soll der oben dargestellten Zahlungen entstanden sind, auszubuchen;

28 4. die Beklagte zu verurteilen, an den Kläger die außergerichtlich angefallene Geschäftsgebühr gemäß §§ 13, 14, Nr. 2300 VV RVG in Höhe von 1.948,03 EUR nebst Zinsen in Höhe von fünf Prozentpunkten über dem jeweiligen Basiszinssatz seit dem 21.09.2023 zu zahlen.

29 Die Beklagte beantragt,

30 die Klage abzuweisen.

31 Sie behauptet, der Kläger müsse seine Einwahldaten (Zugangsnummer und Passwort) preisgegeben haben. Anders könne der Anrufer von diesen keine Kenntnis erlangt haben. Damit habe der Kläger mindestens grob fahrlässig gegen die ihm obliegenden Pflichten im Umgang mit diesen persönlichen Sicherheitsmerkmalen verstoßen.

32 Ein Login in das Online-Banking der Beklagten setze durchaus eine starke Authentifizierung voraus. Bei einem erstmaligen Login von einem Gerät sei zusätzlich zur Eingabe von Zugangsnummer und Passwort eine Freigabe mit Hilfe der pushTAN-App erforderlich. Sei diese Freigabe einmal erteilt, könne ein sog. Cookie auf dem Gerät gespeichert werden, der dieses Gerät für die Beklagte als vertrauenswürdig ausweise. Sei dies erfolgt, könnten spätere Logins von diesem Gerät aus allein durch Eingabe von Zugangsnummer und Passwort erfolgen, ohne das für den Login eine erneute Freigabe erforderlich sei. Eine erneute Freigabe werde dann alle 90 Tage gefordert, im Übrigen, falls der auf dem Gerät hinterlegte Cookie gelöscht worden sei. Sie meint, diese Anforderungen genügten den Standards einer starken Authentifizierung.

33 Werde die Freigabe-App gestartet, müsse der Start der App durch Eingabe eines Passworts freigegeben werden. Unterstütze das jeweilige Betriebssystem für passwortgeschützte Apps auch die Freigabe durch Biometriedaten (faceID, Fingerabdruck) oder Wischmuster, dann könne diese App statt durch Passworteingabe auch durch Nutzung dieser Biometriemerkmals oder Wischmusters gestartet werden. Nachfolgend würden zu dem Auftrag im Falle einer Überweisung die Angabe „Überweisung, der Betrag und die IBAN angezeigt, nicht angezeigt werden der Name des Empfängers und der Verwendungszweck (Anlage B5.2.), im Falle des Logins werde „LOGIN PERSÖNLICHER BEREICH“ angezeigt (Anlage B5.1).

34 Die vom Kläger mittels pushTAN erteilten Freigaben hätten die streitgegenständlichen Überweisungen betroffen. Die Beklagte meint, damit habe der Kläger die Überweisungen selbst autorisiert. Falls keine Autorisierung vorliege, habe er jedenfalls grob fahrlässig gegen seine Pflichten im Umgang mit seinen persönlichen Authentifizierungsmerkmalen verstoßen.

35 Wegen der weiteren Einzelheiten wird auf die gewechselten Schriftsätze und das Protokoll der mündlichen Verhandlung vom 4.6.2024 verwiesen.

Entscheidungsgründe

36 Die Klage ist weitgehend zulässig (1.), insoweit aber unbegründet (2.).

37 1. Unzulässig ist die Klage, soweit die Kläger mit dem Antrag zu 2. a) und b) die Stornierung eines Übertrags in Höhe von 2.420 € vom gemeinsamen Tagesgeldkonto auf das gemeinsame Girokonto am 27.7.2023 begehren. Sie haben nach eigenem Bekunden am Folgetag, dem 28.7.2023, festgestellt, dass dieser Übertrag ohne ihr Wissen und Wollen veranlasst worden war. Stellt ein Bankkunde fest, dass zwischen zweien seiner Konten ein Übertrag veranlasst worden ist, den er nicht autorisiert hat, kann er eine Rückübertragung ganz einfach selbst vornehmen, weil er Verfügungsmacht über beide Konten hat. Ist in der Zwischenzeit eine Zinsdifferenz entstanden, weil beide Konten unterschiedlich verzinst werden, kann er insoweit einen Ersatzanspruch geltend machen. Das ist aber etwas anderes als eine Klage darauf, die Rückübertragung des überwiesenen Betrages überhaupt vorzunehmen. Eine simple Übertragung zwischen zweien seiner Konten kann ein Bankkunde ohne nennenswerten Aufwand allein vornehmen und bedarf dazu keiner gerichtlichen Hilfe. Für den Antrag zu Ziff. 2 a) und b) besteht daher kein Rechtsschutzbedürfnis für eine Klage.

38 Dabei verkennt das Gericht nicht, dass die Kläger den Streitwert des Antrags zu 2) nicht mit dem Nominalbetrag, der übertragen werden soll (2.420 €), sondern lediglich mit 10 % davon (242 €) bewerten und so auch selbst zum Ausdruck bringen, dass ihr Interesse an diesem Antrag nur mit einem geringen Teil der Summe zu bewerten ist. Das ändert aber nichts daran, dass ein simpler Auftrag zur Eigenübertragung noch viel einfacher wäre und es sodann lediglich um etwaige Zinsdifferenzen zwischen dem Tagesgeld und dem Girokonto ginge. Da der Kläger ausweislich Anlage B4 spätestens am 2.8.2024 wieder über die Konten verfügen konnte, geht es wirtschaftlich betrachtet allein um die Valutagerechtigkeit der Wiedergutschrift und damit um die Zinsdifferenz zwischen Tagesgeld- und Girokonto hinsichtlich des übertragenen Betrages von 2.420 € für etwa 5 Tage. Das erfordert keine Inanspruchnahme der Gerichte auf Verurteilung zur Rückübertragung. Es genügt, diese selbst vorzunehmen, eine etwaige Zinsdifferenz für 5 Tage zu beziffern und erforderlichenfalls diese gerichtlich geltend zu machen. Tatsächlich wäre ein so berechnetes Interesse denn auch überschlägig nicht mit 242 €, sondern bei einer angenommenen Zinsdifferenz p.a. von 3 Prozentpunkten lediglich mit etwa 1 € zu beziffern.

39 Im Übrigen ist die Klage zulässig.

40 2. Die Klage ist aber unbegründet. Die Kläger haben keinen Anspruch nach § 675 u S. 1, 2 BGB auf Erstattung der Beträge, die am 27.7.2023 ihren Girokonten wegen Überweisungen über 5.621,03 €, 5.520,09 €, 3.016,93 € und 2.430,83 € belastet worden sind. Danach hat ein Zahlungsdienstleister im Fall eines nicht autorisierten Zahlungsvorgangs keinen Anspruch gegen den Zahler auf Erstattung seiner Aufwendungen und ist verpflichtet, dem Zahler den Zahlungsbetrag unverzüglich zu erstatten. Die Zahlungsvorgänge über insgesamt 11.141,12 € und 5.447,76 € stellen sich im Ergebnis allerdings als wirksam autorisiert dar. Die Beklagte hatte daher tatsächlich den mit diesen Kontobelastungen jeweils gebuchten Aufwendungsersatzanspruch nach § 675c Abs. 1, § 670 BGB. Demzufolge besteht weder ein vertraglicher Anspruch der Kläger auf Berichtigung dieser Kontobuchungen noch ein Anspruch nach § 675u S. 2 BGB.

41 Ein Login in das Onlinebanking setzt entgegen der Behauptung der Kläger auch eine starke Authentifizierung voraus. Deshalb scheidet auch ein Anspruch nach § 823 Abs. 2 BGB i.V.m. § 55 Abs. 1 ZAG i.V.m. § 1 Abs. 24 ZAG aus.

42 Dabei legt das Gericht nach Anhörung des Klägers und Vernehmung der Zeugin J. folgenden Sachverhalt zugrunde:

43 Unbekannte Dritte hatten Kenntnis der Zugangsnummer und PIN des Klägers sowie seiner Telefonnummer erlangt. Wie sie diese Kenntnis erlangt hatten, ist unbekannt.

44 Um mit Hilfe der Zugangsnummer und der PIN im online-Banking der Beklagten das Konto des Klägers aufzurufen, benötigten die Täter entweder Zugriff auf ein Gerät, auf welchem man sich bereits zuvor in das Konto des Klägers eingeloggt hatte oder eine Autorisierung des Zugriffs mittels der pushTAN-App. Da die Täter offenbar keinen Zugriff auf ein solches Gerät hatten, versuchten sie sich einzuloggen.

45 Am 27.7.2023 um etwa 18:50 h riefen die Täter beim Kläger an und gaben sich als vermeintliche Mitarbeiter der Beklagten aus. Dabei liegt nahe, dass sie mindestens als angezeigte Rufnummer im Wege des sog. ID-Spoofings die Telefonnummer der xx Bank verwendeten, wie dies in Parallelverfahren ebenfalls der Fall war. Soweit der Kläger – insofern anders als in Parallelverfahren – behauptet, ihm sei nicht nur eine Q. Telefonnummer, sondern konkret die xx Bank angezeigt worden, erscheint dies plausibel, wenn er in seinen Kontakten die xx Bank hinterlegt haben sollte – dann führt die Verwendung ihrer Telefonnummer regelmäßig zur Anzeige des Kontaktes -, ist im Übrigen aber auch denkbar, wenn den Tätern in dem Telefonsystem, in dem sie konkret beim Kläger anriefen, eine Manipulation nicht nur der angezeigten Nummer, sondern darüber hinaus eines Textes möglich gewesen sein sollte.

46 Die Täter spiegelten dem Kläger vor, es werde über das Geld auf seinen Konten (Einzelkonten und Gemeinschaftskonten) verfügt. Nachdem der Kläger verneint hatte, dies veranlasst zu haben, spiegelten sie ihm vor, es sei seine unverzügliche Mitwirkung erforderlich, um diese Kontoabflüsse zu stoppen bzw. Rückbuchungen vorzunehmen. So brachten sie den Kläger täuschungsbedingt dazu, zunächst einen Login freizugeben. So – für den Kläger unerkannt - in den persönlichen Bereich gelangt, konnten die Täter sehr schnell diverse Informationen zum Konto erlangen und ihm so erst recht glaubhaft vorspiegeln, Mitarbeiter der Beklagten zu sein.

47 Nachfolgend gaben die Täter die streitgegenständlichen Überweisungen auf und nahmen diverse weitere Transaktionen vor. Hierzu waren großteils jeweils Freigaben mittels pushTAN erforderlich, so jedenfalls für die Überweisungen. Nachdem die Täter diese aufgegeben hatten, forderte das System der Beklagten jeweils Freigaben bei der pushTAN-App des Klägers an, die vom Kläger auch erteilt wurden.

48 Der Transaktionsübersicht der Beklagten (Anlage B4.1 und B4.2) ist hierzu im Einzelnen zu entnehmen, dass am 27.7.2023 um 18:50:06 h eine Freigabe mittels pushTAN für einen „Login persönlicher Bereich“ angefordert worden ist und zwar für das Gemeinschaftskonto (Anlage B4.1). Dieser Login ist am 27.7.2023 um 18:50:35 h freigegeben worden. Der betreffenden Zeile „push“ kann die Transaktion (Login persönlicher Bereich), die Uhrzeit der Annahme dieser TAN („verwendet am“) und das Ergebnis („angenommen“) im Feld „Status“ entnommen werden. Der Login persönlicher Bereich eröffnet eine sog. Session-TAN, also eine TAN, die länger gültig ist. Er ist daher farbig markiert. So in das Konto gelangt, gaben die Täter zwischen 18:51:40 h und 18:51:56 h insgesamt vier sog „LT Orders“ (live trading orders) auf. Dabei handelte es sich um Verkäufe von Depotanlagen der Kläger, die bestmöglich im Wege des live-tradings platziert wurden und so sofort ausgeführt wurden. Das diente dem Zweck, schnellstmöglich eine große Liquidität auf dem Girokonto zu erzeugen, die sogleich disponiert wird, so dass darüber sogleich verfügt werden konnte. Dies Orders bedurften keiner gesonderten Freigabe durch den Kläger. Sie können allein aufgrund der beim Login eröffneten „Session TAN“ erfolgen. Das ist in Anlage B4.1 daran erkennbar, dass keine gesonderte TAN angefordert wird und unter „ID/Rufnr/Index“ auch kein Gerät ausgewiesen wird, von dem aus diese Transaktion (gesondert) freigegeben worden sei. Sodann veranlassten die Täter eine sog. interne Überweisung. Interne Überweisungen sind Überweisungen zwischen Konten desselben Kontoinhabers, vorliegend also zwischen Gemeinschaftskonten der Kläger. Dabei muss es sich um den Übertrag von 2.420 € vom Tagesgeldkonto der Kläger auf ihr Girokonto gehandelt haben. Außerdem nahmen die Täter eine Erhöhung des Dispokredites vor. Diese beiden Vorgänge bedurften jeweils einer Freigabe durch den Kläger. Konkret würde die Freigabe für die interne Überweisung um 18:52:52 h angefordert und um 18:53:13 h erteilt. Die Freigabe für die Heraufsetzung des Dispokredites wurde um 18:53:42 angefordert und um 18:54:13 erteilt. Um 18:54:40 ist sodann ein „Session-TAN Ende“ vermerkt. In dieser grünen Zeile ist in der Spalte „angefordert am“ der Beginn dieser Session-TAN protokolliert, also die Zeit der ursprünglichen Anforderung beim Kläger (18:50:06 h). Tatsächlich handelte es sich bei diesem „Session-TAN Ende“ nicht um einen Logout der Betrüger. Diese wechselten lediglich zu diesem Zeitpunkt vom Kundenstammdatensatz der Gemeinschaftskonten der Kläger in den Kundenstammdatensatz der Einzelkonten des Klägers. Dieser Wechsel ist im System der Beklagten möglich, ohne dass sich der Kunde neu einloggen muss, jedenfalls dann, wenn die Kundendaten mindestens teilidentisch sind. Hat sich ein Kunde einmal erfolgreich in das Online-Banking eingeloggt, kann er im Grundsatz zwischen allen seiner Konten hin- und herwechseln, ohne dass dies eines neuen Logins bedürfte. Das gilt auch, wenn es zwischen seinen Einzelkonten und Gemeinschaftskonten, bei denen er Mitinhaber ist, hin und herwechselt. Im System der Beklagten führt ein Wechsel zwischen Gemeinschaftskonten und Einzelkonten aber technisch betrachtet dazu, dass eine Session-TAN (für die Gemeinschaftskonten) beendet wird und in den Einzelkonten eine neue Session-TAN eröffnet wird. Dementsprechend wurde mit dem Wechsel in die Einzelkonten um 18:54:40 h die Session-TAN in den Gemeinschaftskonten beendet und in den Einzelkonten technisch betrachtet eine neue eröffnet. Da dies allerdings keiner Freigabe des Klägers bedurfte, ist in der Transaktionsübersicht Anlage B4.2 um 18:54 Uhr kein Login protokolliert. Ersichtlich ist aber, dass die Täter hier sodann eine Überweisung vornahmen, die einer Freigabe auf der pushTAN-App des Klägers bedurfte. Die Freigabe für diese Überweisung ist um 18:55:17 h angefordert und um 18:55:29 h erteilt worden. Hierbei handelte es sich um die erste Überweisung, die an diesem Tage vom Konto des Klägers abging, also die Überweisung über 3.016,93 €. Weiter veranlassten der Kläger eine weitere Aktion „OAuth Session-TAN ak….“, die eine Vorbereitung für einen späteren, weiteren Betrugsangriff darstellte, zu dem es dann nicht mehr gekommen ist. Auch diese Aktion bedurfte einer Freigabe des Klägers (angefordert um 18:59:14 h, vom Kläger erteilt 18:59.27 h). Sodann gaben die Täter zwischen 18:59:49 h und 19:00:14 h ebenfalls insgesamt vier LT Orders auf, also live-trading-Orders, mit denen sie Wertpapiere des Klägers verkauften. Dies bedurfte keiner gesonderten Freigabe des Klägers, sondern war allein mit der um 18:50:06 h im Gemeinschaftskonto eröffneten und technisch sozusagen fortgeschriebenen Session-TAN möglich.

49 Sodann wechselten die Täter wieder zu den Gemeinschaftskonten, wo sie um 19:00:57 h einen Aufruf der Postbox vornahmen. Das bedurfte keiner Freigabe durch die pushTAN-App des Klägers. Technisch war dadurch um 19:00:46 h eine neue Session-TAN eröffnet worden, die nach Nutzung durch den Aufruf der Postbox um 19:01:18 h beendet wurde (Session-TAN Ende). Um 19:02:17 h gaben die Kläger auf dem Gemeinschaftsgirokonto sodann eine Überweisung auf – die erste Überweisung auf dem Gemeinschaftsgirokonto, also die Überweisung über 5.621,03 €. Diese Überweisung bedurfte einer Freigabe auf der pushTAN-App des Klägers, die um 19:02:29 h erteilt wurde.

50 Sodann wechselten die Kläger wieder in die Einzelkonten. Dadurch wurde um 19:04:18 technisch eine neue Session-TAN eröffnet. Die Täter nahmen um 19:04:33 h und 19:05:48 h jeweils einen „Zugriff paydirekt“ vor, eine Vorbereitung für weitere Betrugstaten. Um 19:06:39 h erfolgte eine Abmeldung hinsichtlich dieses paydirekt-Systems, um 19:06:59 wurde die um 19:04:18 in den Einzelkonten technisch eröffnete Session-TAN beendet.

51 Um 19:07:57 gaben die Täter die zweite Überweisung im Einzelgirokonto des Klägers auf, also offenbar die Überweisung über 2.430,83 €. Diese Überweisung bedurfte einer Freigabe auf der pushTAN-App des Klägers, die um 19:08:05 h erteilt wurde.

52 Die Täter wechselten wieder in die Gemeinschaftskonten. Dort veranlassten sie die zweite Überweisung vom Gemeinschaftsgirokonto, also die Überweisung über 5.520,09 €. Diese Überweisung bedurfte einer Freigabe auf der pushTAN-App des Klägers, die um 19:16:58 h angefordert und um 19:17:02 h erteilt wurde.

53 Weiter folgen noch drei weitere Maßnahmen, die im wesentlichen Vorbereitungen für mögliche weitere Betrugstaten darstellten: Zunächst 19:25:59/19:26.20 h im Gemeinschaftskonto der Vorgang Visa-SMS-Info-Service… im Gemeinschaftskonto. Dabei ging es um die Anlage/Verknüpfung einer VISA-Card mit diesem Konto. Dazu bekam der Kläger eine SMS, wie er in der mündlichen Verhandlung bestätigt hat. Die gleiche Transaktion ist sodann um 19:27:26 /19:27:44 h nach einem Wechsel ins Einzelkonto des Klägers dort vorgenommen worden. Um 19.31:05 / 19:31.41 h ist dann - wieder ins Gemeinschaftskonto gewechselt – abschließend der Vorgang „OAuth Session-TAN ak..“ protokolliert.

54 Soweit Freigaben erforderlich waren, sind diese in den Gemeinschaftskonten von derjenigen Installation der Push-TAN-App der Beklagten aus erfolgt, der bei der Beklagten die interne Kennung xx zugewiesen worden war. Bei der Installation der Push-TAN-App wird ein Token erzeugt, der eine eindeutige Kennung genau dieser Installation auf diesem Gerät mit diesen Kundenstammdaten ausweist. Dieser Token erhält wird in der Transaktionsübersicht der Beklagten mit einem 5-stelligen Buchstabencode symbolisiert. Vorliegend bezieht sich die Kennung xx also auf ein bestimmtes Mobiltelefon und auf diesem Telefon auf eine bestimmte Installation der pushTAN-App für einen bestimmten Kundenstammdatensatz. Bei diesem Mobiltelefon handelte es sich tatsächlich um das Mobiltelefon des Klägers, wie daraus folgt, dass zuvor am 11.7.2023 und am 19.7.2023 jeweils Überweisungen erfolgt waren, deren Freigabe mit dieser Kennung erfolgt waren. Diese Überweisungen standen nicht mit Betrugstaten im Zusammenhang, sondern waren vom Kläger bewusst aufgegeben und freigegeben worden. Die Freigaben erfolgten mit der pushTAN-App auf seinem Mobiltelefon mit der Kennung xx. Da diese beiden Freigaben vom Kläger selbst stammten, bezieht sich die Kennung xx auf sein Gerät und die auf diesem bereits am 11.7. und 19.7.2023 vorhandene Installation der pushTAN-App der Beklagten für die Gemeinschaftskonten der Kläger, die auch am 27.7.2023 verwendet worden ist.

55 Soweit Freigaben für Transaktionen in den Einzelkonten erforderlich waren, sind diese von derjenigen Installation der Push-TAN-App der Beklagten aus erfolgt, der bei der Beklagten die interne Kennung xx zugewiesen worden war. Bei der Installation der Push-TAN-App war für den Zugriff auf die Einzelkonten des Klägers ein anderer Token erzeugt worden, da es zwar um dieselbe Installation auf demselben Gerät ging, aber verknüpft mit einem anderen Stammdatensatz. Dieser Token wird in der Transaktionsübersicht der Beklagten mit dem Buchstabencode xx symbolisiert. Bei dem dazu gehörigen Mobiltelefon handelte es sich ebenfalls um das Mobiltelefon des Klägers, wie daraus folgt, dass zuvor am 20.7.2023 eine Überweisung vom Einzelkonto erfolgt war, deren Freigabe mit dieser Kennung erfolgt war. Diese Überweisung stand ebenfalls nicht mit Betrugstaten im Zusammenhang, sondern war vom Kläger bewusst aufgegeben und freigegeben worden. Die Freigabe erfolgte mit der pushTAN-App auf seinem Mobiltelefon mit der Kennung xx. Da diese Freigabe vom Kläger selbst stammte, bezieht sich die Kennung xx auf sein Gerät und die auf diesem bereits am 20.7.2023 vorhandene Installation der pushTAN-App der Beklagten für die Einzelkonten des Klägers, die auch am 27.7.2023 verwendet worden ist.

56 Bei der Freigabe der Vorgänge erschienen auf der pushTAN-App des Klägers jeweils Anzeigen wie in Anlage 5.1 und B5.2.

57 Diese Würdigung beruht auf folgenden Erwägungen:

58 Die Schilderungen der Zeugin J. dazu, was die protokollierten Eintragungen auf der Transaktionsübersicht Anlage B4 bedeuten und welche technischen Vorgänge dem jeweils zugrunde liegen, ist glaubhaft, ebenso die Angabe, welche Anzeigen bei der Freigabe von Vorgängen mittels pushTAN jeweils auf der Freigabe-App erfolgen und dass pushTAN und photoTAN in Anlage B4 dieselbe Freigabe-App bezeichnet. Die Ausführungen der Zeugin J. waren schlüssig, widerspruchsfrei und ließen keinerlei Anzeichen einer Falschaussage erkennen. Das Gericht hat keine Zweifel, dass die protokollierten Vorgänge, wie auf Anlage B4.1 und B4.2 festgehalten, auf dem System der Beklagten jeweils so und aus dem Grunde erfolgten, wie die Zeugin J. es geschildert hat und jeweils die von ihr angegebene Bedeutung haben.

59 Die Glaubhaftigkeit der Zeugin J. wird auch nicht dadurch beeinträchtigt, dass die Zeugin angegeben hat, nach einem erfolgten Login sei ein Wechsel zwischen Gemeinschaftskonto und Einzelkonto ohne erneuten Login durch den Kunden, also ohne erneute Eingabe von Benutzerkennung und Passwort möglich, weil die Benutzer identisch sein, wobei Teilidentität genüge. Würde nur eine Bevollmächtigung für das Konto eines anderen vorliegen, wäre hingegen ein erneuter Login erforderlich. Die Glaubhaftigkeit der Zeugin wird insbesondere nicht dadurch beeinträchtigt, dass die Kläger nach Schluss der mündlichen Verhandlung vorgetragen haben, ihren Prozessbevollmächtigten sei ein Wechsel vom eigenen Konto in das Konto eines minderjährigen Kindes, für welches (auch) ein Sorgerecht bestehe, durchaus ohne erneuten Login möglich. Das gilt bereits deshalb, weil aus Sicht der Banken der Minderjährige gerade keine eigenen Zugriffsdaten im Onlinebanking hat, an seiner Stelle nur seine gesetzlichen Vertreter, so dass es durchaus plausibel ist, dass ein solcher Wechsel technisch eher wie ein Wechsel in ein Konto behandelt wird, für welches eine Mitinhaberschaft besteht, nicht wie ein Wechsel in das Konto eines (volljährigen, selbst verfügungsbefugten) Dritten, der nur eine Vollmacht erteilt hat. Über letzteren Fall hatte die Zeugin J. gesprochen, dies im Übrigen auch nur erläuterungshalber. Für die Erläuterung der Anlagen B4.1 und B4.2 im konkreten Fall kam es gar nicht darauf an, Denn diese Erläuterung galt der Frage, warum im Einzelkonto kein „Login persönlicher Bereich“ protokolliert worden ist, wohl aber ein „Session-TAN Ende“. Dafür kam es gar nicht darauf an, ob im – hier nicht vorliegenden – Fall eines Wechsels in ein Konto, für das lediglich eine Bevollmächtigung, keine Mitinhaberschaft bestünde, ebenfalls ein Login entbehrlich wäre.

60 Das Gericht hat danach keine Zweifel, dass sämtliche oben beschriebenen Vorgänge in den Systemdateien der Beklagten so protokolliert worden sind wie beschrieben und daher auch die zugehörigen Daten auf den Servern der Beklagten so angekommen sind.

61 Weiter hält das Gericht auch die Angabe der Zeugin J. für glaubhaft, die pushTAN-App der Beklagten zeige im Falle eines Logins und einer Überweisung die Bilder so an wie in Anlage B5.1. – B5.3 dargestellt, im Falle einer Überweisung also die Schriftzug „Überweisung“, die IBAN und den Betrag, nicht aber den als Empfängernamen angegebenen Namen oder den Verwendungszweck. Damit ist nicht ausgesagt, was auf dem Gerät des Klägers konkret angezeigt worden ist – das hat die Zeugin naturgemäß nicht beobachtet -, sondern lediglich, was bei korrekter Funktion dieser App angezeigt würde und dass es insoweit in dem hier relevanten Zeitraum keine Änderungen der programmierten Anzeige durch die Beklagte gegeben hat.

62 Eine andere Frage ist, ob die Freigaben, die das System der Beklagten wie in Anlage B4.1 und B4.2 protokolliert hat, auch tatsächlich so vom Kläger auf seinem Gerät abgesandt worden sind, wie es nach den Eingängen auf dem System der Beklagten den Anschein hat und ob die pushTAN-App des Klägers dabei tatsächlich die Daten angezeigt hat, die bei dem von der Zeugin J. geschilderten Programmablauf zu erwarten wären. Dieser Frage hat sich das Gericht nicht mit Hilfe der Zeugin J. genähert, sondern mit Hilfe des Sachverständigen A..

63 Sollten die Freigaben nicht, wie protokolliert, vom Kläger selbst stammen oder die Anzeige auf dem Display seines Mobiltelefons gegenüber der eigentlich programmierten Funktion geändert worden sein, kämen zwei Ursachen in Betracht. Dritte, vorliegend also die Täter, müssten entweder das Mobiltelefon des Klägers und die darauf befindliche pushTAN-App kompromittiert haben oder den Übertragungsweg von dieser App zu den Servern der Beklagten, was hier als sog. man-in-the-middle-Angriff bezeichnet wird. Indes vermag das hier beobachtete Angriffsmuster zu beiden Varianten nicht recht zu passen. Sollten die Täter Systeme, gleich an welcher Stelle, so kompromittiert haben, dass sie ohne Mitwirkung des Klägers Freigaben hätten erteilen können, hätten sie sicherlich nicht den Weg des Anrufs bei ihm gewählt. Das erscheint dem Gericht angesichts der im Übrigen überaus professionellen Tatausführung fernliegend. Das lässt den Schluss zu, dass die Täter für die systemseitig notwendigen Freigaben auf eine Mitwirkung des Klägers und der pushTAN-App auf seinem Mobiltelefon angewiesen waren.

64 Nach den Ausführungen des Sachverständigen ist theoretisch denkbar, dass sich Dritte im Rahmen eines sog. man-in-the-middle-Angriffs in den Kommunikationsweg zwischen Bank und Kunden einschalten und so in Richtung des Kunden Signale senden, die vorspiegeln, es werde etwas Anderes freigegeben als in Richtung der Bank. Damit wird zumeist die erste Freigabe abgegriffen, mit deren Hilfe die Täter dann weitere Freigaben selbsttätig vornehmen können. Dazu passt indes das vorliegende Angriffsmuster nicht. Denn die Täter haben keineswegs eine Freigabe abgegriffen, vielmehr haben sie den Kläger durch wiederholte Täuschungen zu einer Vielzahl von Freigaben für ganz unterschiedliche Transaktionen veranlasst, die die vermeintliche Stornierung verschiedener Überweisungen betrafen, einen VISA-SMS-Service, den Login usw. Auch hier gilt, dass sie all dies sicher nicht gemacht hätten, wenn es für ihren modus operandi nicht erforderlich gewesen wäre. Im Rahmen eines man-in-the-middle-Angriffs ist nicht recht erklärlich, wieso die Täter auf eine solche Vielzahl von Freigaben des Klägers angewiesen gewesen sein sollten und wieso dann einige recht unverfängliche Daten geändert worden sein sollen – etwa die Angabe des Betrages der Zahlungen, um deren vermeintliche Rückholung es ging. Hier spräche nichts dagegen, die Zahl anzuzeigen, weil dies die vermeintliche Transaktion nicht weniger plausibel macht. Hingegen finden sich andere Transaktionen wie die VISA-SMS-Freigabe praktisch unverändert in der Schilderung des Klägers. In der Gesamtschau erscheint das nicht plausibel und entspricht auch nach Anhörung des Sachverständigen dazu, wie ein theoretisch unterstellter man-in-the-middle-Angriff abläuft, keinem insgesamt schlüssigen Szenario.

65 Das gilt entsprechend für die Variante, das Gerät des Klägers sei kompromittiert worden. Auch dabei erschließt sich nicht, warum die Täter auf eine solche Vielzahl von Freigaben durch den Kläger selbst angewiesen gewesen sein sollten und dabei gerade einzelne – im konkreten Zusammenhang eher unverdächtige - Anzeigen unterdrückt haben sollen, hingegen andere – eher verdächtigere – nicht.

66 Von daher erscheint dem Gericht nach Anhörung des Sachverständigen zu dem vorliegend protokollierten Ablauf bei der Beklagten und nach Anhörung des Klägers einzig plausibel, dass es keine Kompromittierung seines Geräts oder des Übermittlungswegs gab. Vielmehr ist das Gericht überzeugt, dass die von der Beklagten protokollierten Freigaben tatsächlich so auf dem Gerät des Klägers angezeigt und freigegeben worden sind, also vom Kläger selbst. Offenbar ist es den Tätern also gelungen, den Kläger in dem Telefonat, in dem sie sich als vermeintliche Bankmitarbeiter ausgaben, täuschungsbedingt zur Freigabe des Logins und der nachfolgenden Überweisungen zu veranlassen sowie einzelner weiterer Transaktionen wie oben geschildert.

67 Soweit die eigene Schilderung des Klägers davon abweicht, geht das Gericht ausdrücklich nicht davon aus, dass dieser gelogen habe. Vielmehr ist glaubhaft, dass der Kläger sich irrt. Das ist insofern plausibel, als es um einen längeren Vorgang ging – nach den Protokolldaten der Beklagten von 18:50 h bis 19:31 h, der Kläger naturgemäß aufgeregt war, ihm im Laufe dieser Zeit eine Vielzahl an Lügen untergejubelt wurden und er im Laufe dieser Zeit eine ganze Reihe an Freigaben vermeintlich zur Rückgängigmachung des Werks Dritter erteilen sollte und täuschungsbedingt auch erteilt hat. Dabei lässt der teils sehr kurze Zeitabstand zwischen der Anforderung einer Freigabe durch die Täter und der Freigabe durch den Kläger selbst – bei den Überweisungen zwischen 4 Sekunden und 18 Sekunden – darauf schließen, dass der Kläger zu diesem Zeitpunkt ein quasi uneingeschränktes Vertrauen darin gefasst hatte, wirklich mit einem Bankmitarbeiter zu telefonieren und dessen Anweisungen, was zur vermeintlichen Rückholung/Stornierung von Zahlungen zu veranlassen und vom Kläger freizugeben sei, kaum überprüfte. Von daher mag der Kläger es so erinnern, dass dabei ein Name wie „Überweisung“ und der Betrag nicht angezeigt worden sei. Das ist allerdings technisch nicht plausibel und von daher für das Gericht nur durch einen erinnerungsbedingten Irrtum des Klägers erklärlich.

68 Bei diesem Sachverhalt stellen sich die Überweisungen als vom Kläger autorisiert i.S.v. § 675j Abs. 1 S. 1 BGB dar.

69 Die vom Kläger erklärten Autorisierungen der Überweisungen sind im Sinne der deutschen Rechtsgeschäftslehre Erklärungen ohne Erklärungsbewusstsein.

70 Die Autorisierung eines Zahlungsvorgangs ist die Erklärung des Nutzers, dass er mit einem bestimmten Zahlungsvorgang einverstanden ist. Im Falle der Überweisung beinhaltet die Autorisierung die Erklärung des Einverständnisses, mit einer Überweisung des dort angegebenen Betrages auf das dort angegebene Konto einverstanden zu sein. Das entspricht im herkömmlichen Verständnis einer Anweisung an die Bank. Durch die Autorisierung kommt ein auftragsähnliches vertragliches Verhältnis zwischen dem Zahler und dem Zahlungsdienstleister zustande, kraft dessen der Zahlungsdienstleister verpflichtet ist, den autorisierten Zahlungsvorgang auszuführen, umgekehrt berechtigt ist, die ihm dadurch entstehenden Aufwendungen dem Konto des Zahlers zu belasten. Dabei kommt Auftragsrecht zur Anwendung, § 675c Abs. 1, § 670 BGB. In diesem Sinne soll die Autorisierung ein solches auftragsähnliches vertragliches Verhältnis mit diesen daraus entstehenden Rechten und Pflichten zu entstehen bringen. Es handelt sich daher um eine Willenserklärung, ebenso wie die Erteilung eines Auftrags nach § 662 BGB, nicht um eine geschäftsähnliche Handlung. Die Rechte und Pflichten aus diesem Verhältnis entstehen erst mit Zugang der Autorisierung beim Zahlungsdienstleister. Es handelt sich daher um eine empfangsbedürftige Willenserklärung. Zwar kommt die Verpflichtung des Zahlungsdienstleisters zur unverzüglichen Ausführung des autorisierten Zahlungsvorgangs im Rahmen eines bestehenden Zahlungsdiensterahmenvertrags i.S.v. § 675f Abs. 2 BGB bereits mit Zugang der Autorisierung zustande, ohne dass es, wie bei einem Auftrag, einer Annahmeerklärung des Zahlungsdienstleisters bedürfte. Das ändert aber nichts daran, dass die Erklärung des Zahlers eine Rechtsfolge – insbesondere die Verpflichtung des Zahlungsdienstleisters zur Ausführung des autorisierten Zahlungsvorgangs – herbeiführen soll und es sich damit um eine Erklärung handelt, die auf die Herbeiführung einer Rechtsfolge deshalb gerichtet ist, weil diese Folge gewollt ist, also eine Willenserklärung.

71 Als solche Erklärungen sind die Autorisierungen der Überweisungen – vom äußeren Tatbestand her – der Beklagten auch zugegangen. Indem der Kläger die von betrügerischen Dritten im Onlinebanking aufgegebenen Überweisungen auf der pushTAN-App seines Mobiltelefons freigab, ging bei der Beklagten jeweils eine Erklärung ein, die aus der Sicht eines objektiven Dritten in der Rolle des Empfängers den Erklärungsgehalt beinhaltete, dass der Kläger die Beklagte mit der Ausführung der darin beschrieben Zahlungsvorgänge – zweier Überweisungen über insgesamt 11.141,12 € auf das Konto der dort angegebenen IBAN mit Buchung der dadurch entstehenden Aufwendungen zu Lasten des Gemeinschaftsgirokontos der Kläger und zweier weiterer Überweisungen über insgesamt 5.447,76 € auf dasselbe Konto mit Buchung der dadurch entstehenden Aufwendungen zu Lasten des Einzelgirokontos des Klägers – beauftragte.

72 Hinsichtlich des inneren Tatbestandes handelte der Kläger zwar mit Handlungswillen, aber ohne Erklärungsbewusstsein. Denn ihm war vom Anrufer vorgespiegelt worden, es gehe bei diesen Freigaben um die Stornierung eines betrügerisch erteilten Zahlungsauftrages bzw. die Rückbuchung des Geldes. Auch im Falle der Rückbuchung liegt dem nicht die Vorstellung zugrunde, der Kläger führe eine Rechtsfolge herbei. Das ist etwa bei den sog. Rücküberweisungsfällen der Fall, in denen den Kunden vorgespiegelt wird, es sei ein Betrag auf ihrem Konto eingegangen, der den Kunden nicht zustehe und die Kunden veranlasst werden, diesen täuschungsbedingt zurückzuüberweisen. In diesen Fällen ist dem Kunden bewusst, dass er eine Überweisung beauftragt, also eine Rechtsfolge herbeiführt. Der Irrtum liegt im Motivbereich. Vorliegend ging der Kläger nicht davon aus, dass mit seinen Autorisierungen eine Rechtsfolge im Sinne des Entstehens einer Verpflichtung herbeigeführt würde. In der Vorstellung getäuschter Bankkunden geht es hier eher die Erlaubnis eines technischen Zugriffs. Es gibt eine Vielzahl technischer Vorgänge, die im Onlinebanking einer Freigabe bedürfen, etwa der Login, wenn er nicht von einem vertrauenswürdigen Gerät erfolgt, auch da – bei der Beklagten – der Login alle 90 Tage, eine Datenänderung, eine Abfrage umfangreicherer Umsatz- oder anderer Kontodaten usw. Alle diese Freigaben führen aber keine Rechtsfolge herbei und sind daher von vornherein keine Willenserklärung.

73 In diesem Sinne handelt es sich auch bei den vermeintlichen Autorisierungen an den vermeintlichen Bankmitarbeiter, einen vermeintlich abgebuchten Betrag dem Konto wieder gutzuschreiben oder einen vermeintlich betrügerisch und damit rechtlich unwirksam erteilten Zahlungsauftrag nicht auszuführen, in der Vorstellung der Bankkunden eher um die Autorisierung eines solchen technischen Zugriffs. Die Bankkunden haben in einem solchen Fall in der Regel nicht die Vorstellung, sie würden durch diese Autorisierung eine Rechtsfolge im Sinne des Entstehens einer rechtlichen Verpflichtung der Bank oder ihrer Person herbeiführen. Geht der Erklärende bei einer Erklärung, die aus Sicht eines objektiven Dritten in der Rolle des Empfängers als Willenserklärung erscheint, subjektiv davon aus, gar nicht rechtlich erheblich zu handeln, also gar keine Rechtsfolge herbeizuführen, handelt es sich um eine Erklärung ohne Erklärungsbewusstsein.

74 Überwiegend wird auf die Autorisierung eines Zahlungsvorgangs ohne Erklärungsbewusstsein die deutsche Rechtsgeschäftslehre angewendet (OLG Dresden, Urteil vom 13. Oktober 2022 – 8 U 760/22 –, Rn. 40; Zahrte, BKR 2016, 315, 317; MüKoBGB/Jungmann, 9. Aufl. 2023, BGB § 675j Rn. 16 m.w.N; BeckOGK/Köndgen, 15.9.2023, BGB § 675j Rn. 10). In der allgemeinen deutschen Rechtsgeschäftslehre werden Erklärungen ohne Erklärungsbewusstsein dann, wenn sie der Erklärende hätte erkennen können, das die Erklärung als Willenserklärung verstanden werden kann, als bindende Willenserklärung behandelt, aber anfechtbar entsprechend § 119 BGB.

75 Keineswegs fernliegend wäre auch, die Anwendung dieser Folge auf Autorisierungen ohne Erklärungsbewusstsein abzulehnen, weil eine Anfechtung wegen oder entsprechend § 119 Abs. 1 BGB im Rahmen des Zahlungsdiensterechts ausgeschlossen ist und damit eine wesentliche Grundlage dieser Rechtsprechung zum allgemeinen Zivilrecht entfällt.

76 Richtigerweise ist zunächst zu prüfen, ob auf die Autorisierung und damit die Frage, wie eine Autorisierung ohne Erklärungsbewusstsein zu behandeln ist, überhaupt die deutsche Rechtsgeschäftslehre anzuwenden ist. In Betracht kommt auch, den Begriff der Autorisierung autonom auszulegen. Denn die Regelungen in §§ 675c ff. BGB, insbesondere zur Autorisierung in § 675j Abs. 1 BGB, sind eine Umsetzung der EU-Richtlinie 2015/2366 vom 25. November 2015 über Zahlungsdienste im Binnenmarkt, i.F. PSD-2-Richtlinie. § 675j Abs. 1 BGB setzt die Vorschrift von Art. 64 Abs. 1 S. 1 der PSD-2-Richtlinie um, wonach die Mitgliedstaaten sicherstellen, dass ein Zahlungsvorgang nur dann als autorisiert gilt, wenn der Zahler der Ausführung des Zahlungsvorgangs zugestimmt hat, die Zustimmung in der zwischen dem Zahler und dem Zahlungsdienstleister vereinbarten Form erteilt wird und dass der Zahlungsvorgang als nicht autorisiert gilt, wenn diese Zustimmung fehlt. Da diese Richtlinie der Vereinheitlichung des Binnenmarktes dient, kommt eine autonome Auslegung des Begriffs der Zustimmung/Autorisierung in Betracht, die dann auch für die Mitgliedstaaten verbindlich wäre. Zur rechtlichen Bewertung von Grenzbereichen der Autorisierung wäre dann der Rückgriff auf allgemeine nationale Grundsätze nicht zulässig.

77 Im Ausgangspunkts ist die PSD-2-Richtlinie nach Art. 107 dieser Richtlinie vollharmonisierend. Abgesehen von den dort genannten Artikeln dürfen die Mitgliedsstaaten in den Bereichen, in denen diese Richtlinie harmonisierte Bestimmungen enthält, keine anderen als die in dieser Richtlinie festgelegten Bestimmungen beibehalten oder einführen. Für die Regelung der Autorisierung in Art. 64 sind keine Ausnahmen vorgesehen. Allerdings betrifft die Vollharmonisierung bereits nach dem Wortlaut von Art. 107 der Richtlinie nur die Bereiche, in denen diese Richtlinie harmonisierte Bestimmungen enthält. Für die exakten Anforderungen an eine Zustimmung (Autorisierung) enthält die Richtlinie keine harmonisierten Bestimmungen. Grundsätzlich ist die Reichweite vollharmonisierter Richtlinien nach der Rechtsprechung des Bundesgerichtshofs eher eng auszulegen (Vgl. BGH, Urteil vom 22. Mai 2012 – XI ZR 290/11 –, BGHZ 193, 238-260, Rn. 24). Danach unterliegt die Vollharmonisierung ihrerseits inhaltlichen Grenzen. Der Grundsatz der Vollharmonisierung hindert den nationalen Gesetzgeber nicht, Sachverhalte, die von der Richtlinie nicht erfasst sind, autonom zu regeln. Eine Sperrwirkung für nationale Regelungen und Rechtsgrundsätze entfalten Richtlinien nur, sofern sie für den zu beurteilenden Sachverhalt eine ausdrückliche Regelung enthalten und wenn aus ihren Bestimmungen hervorgeht, dass die von der Richtlinie vorgesehenen Rechtsfolgen ausnahmslos den von ihr geregelten Sachverhalten vorbehalten sein sollen (BGH, Urteil vom 22. Mai 2012 – XI ZR 290/11 –, BGHZ 193, 238-260, Rn. 24 m.w.N.).

78 Die PSD-II-Richtlinie enthält keine, erst recht keine ausdrücklichen, Regelungen dazu, welche Anforderungen an die innere Seite einer Erklärung zu stellen sind, damit sie als Zustimmung im Sinne von Art. 64 Abs. 1 S. 1, Abs. 2 S. 2 der Richtlinie gilt. Auch die Formulierung der Richtlinie, dass die Mitgliedstaaten sicherstellen, wann ein Zahlungsvorgang als autorisiert gilt, deutet an, dass es weniger um die exakte Formulierung eines Tatbestandsmerkmals geht, als um eine Anknüpfung an ein Merkmal „Zustimmung", das offenbar definitionslos vorausgesetzt wird und für dessen genaue Ausfüllung also an anderweitig zu suchende Definitionen angeknüpft werden muss. Auch ist zu beachten, dass die PSD-II-Richtlinie in der Rechtsfolge, wenn keine Autorisierung vorliegt, den Mitgliedstaaten einigen Regelungsspielraum einräumt. So trägt dann grundsätzlich der Zahler alle Verluste, die in Verbindung mit nicht autorisierten Zahlungsvorgängen entstanden sind, wenn er sie durch grob fahrlässige Verletzung von Pflichten nach Artikel 69 herbeigeführt hat, Art. 74 Abs. 1 S. 3. Ob und in welchem Maße fahrlässig gehandelt wurde, sollte nach der Präambel, Ziff. 72 S. 2 unter Berücksichtigung der dort genannten Grundsätze ausdrücklich nach nationalem Recht beurteilt werden. Verweist die Richtlinie damit bei der Ausgestaltung der zentralen Rechtsfolge, wenn keine Autorisierung vorliegt, auf das jeweilige nationale Recht, spricht dies dafür, auch bei der Beurteilung von Grenzbereichen, ob eine Autorisierung gegeben ist oder nicht, keinen Willen zur ausnahmslos identischen Regelung anzunehmen, die damit denklogisch nur auf europäischer Ebene entschieden werden könnten.

79 Die Frage, welche Merkmale eine Zustimmung auf der inneren Seite voraussetzt und wie sich etwaige Irrtümer auswirken, ist daher nach nationalem Recht zu beurteilen.

80 Da die Autorisierung bzw. Zustimmung zu einem Zahlungsvorgang i.S.v. § 675 j S. 1 BGB im deutschen Recht, wie ausgeführt, als einseitige, empfangsbedürftige Willenserklärung zu qualifizieren ist, ist daher die allgemeine Rechtsgeschäftslehre anzuwenden. Wie ausgeführt, werden danach Erklärungen ohne Erklärungsbewusstsein dann, wenn sie der Erklärende hätte erkennen können, das die Erklärung als Willenserklärung verstanden werden kann, als bindende Willenserklärung behandelt, aber anfechtbar entsprechend § 119 BGB. Das soll einerseits dem Erklärenden die Gelegenheit geben, den anderen Teil an einem scheinbar eingegangenen Vertrag festzuhalten, andererseits berechtigte Schutzinteressen des anderen Teils berücksichtigen, der im Falle der Anfechtung Anspruch auf Ersatz seines Vertrauensschadens nach § 122 BGB hat.

81 Im Bereich der Zustimmung/Autorisierung zu einem Zahlungsvorgang nach § 675j BGB ist jedenfalls eine Irrtumsanfechtung ausgeschlossen. Das würde der Wertung des § 675p Abs. 1 BGB widersprechen, wonach der Zahlungsdienstnutzer einen Zahlungsauftrag vorbehaltlich der dort geregelten Ausnahmen nach dessen Zugang beim Zahlungsdienstleister des Zahlers nicht mehr widerrufen kann. Zwar könnte man im deutschen Zivilrecht noch zwischen einem Widerruf und einer Anfechtung differenzieren. § 675p BGB setzt aber die Vorgabe von Art. 80 der PSD-2-Richtlinie über die Unwiderruflichkeit von Zahlungsaufträgen um. Diese Regelung ist aufgrund der Vollharmonisierung zwingend und legt einen weiten Begriff der Unwiderruflichkeit zugrunde, der auch eine Anfechtung nach nationalem Recht umfassen würde (anders Zahrte, BKR 2016, 315). Ist eine Autorisierung nach § 675j BGB nicht wegen Inhaltsirrtümern anfechtbar, kann eine solche Erklärung, wenn sie ohne Erklärungsbewusstsein abgegeben worden ist, auch nicht entsprechend dieser Vorschrift anfechtbar sein. Damit gilt eine der wesentlichen Grundlagen, warum nach der deutschen Rechtsgeschäftslehre Erklärungen ohne Erklärungsbewusstsein, sofern zurechenbar, als wirksam, aber anfechtbar angesehen werden, für Autorisierungen nach § 675j BGB gerade nicht. Das schließt indes eine Anwendung dieser Grundsätze nicht aus. Zum einen entspricht es der Einheitlichkeit der Rechtsordnung, Willenserklärungen, auf die die deutsche Rechtsgeschäftslehre angewendet wird, gleich zu behandeln. Vor allem aber führt das Fehlen der genannten Voraussetzung nicht zu einem Widerspruch auf Wertungsebene. Dächte man sich die Regelung in Art. 80 der PSD-2-Richtlinie weg, ginge also davon aus, dass eine Autorisierung ohne Erklärungsbewusstsein wirksam, aber anfechtbar ist, wie es den normalen Folgen der Rechtsgeschäftslehre entspräche, könnte sich der Zahler nach einer solchen Erklärung entscheiden, ob er sie gelten lässt – mit der Folge eines Aufwendungsersatzanspruchs der Zahlungsdienstleisters – oder ob er sie anficht – mit der Folge des Wegfalls der Anweisung, aber eines Anspruchs des Zahlungsdienstleisters auf Ersatz des Vertrauensschadens nach § 122 BGB. Im Ergebnis müsste der Zahler dem Zahlungsdienstleister, welcher auf die Wirksamkeit der Zahlungsanweisung vertraut hat, die dafür erbrachten Aufwendungen ebenfalls ersetzen, jedenfalls wenn der überwiesene Betrag– wie stets in den hier relevanten betrugsbedingten Fällen – beim Zahlungsempfänger nicht rückholbar ist. Die automatisierte Ausführung von Zahlungsanweisungen steht dabei einer Ausführung im Vertrauen auf die erteilte Anweisung gleich. Die Wirksamkeit, aber Anfechtbarkeit einer Zahlungsanweisung ohne Erklärungsbewusstsein würde also nach der allgemeinen Rechtsgeschäftslehre gerade nicht dazu führen, dass das Risiko der Wiedererlangung des überwiesenen Betrages auf den Zahlungsdienstleister verlagert würde. Es verbliebe vielmehr auch im Falle der Anfechtung beim Zahler selbst. Lediglich für das Überweisungsentgelt ergäbe sich ein Unterschied. Dieses ist aber wirtschaftlich im Verhältnis zum überwiesenen Betrag in praxi gänzlich vernachlässigbar, wenn überhaupt eines erhoben wird. Würde das wirtschaftliche Risiko der Rückholbarkeit betrugsbedingt veranlasster Zahlungen nach deutscher Rechtsgeschäftslehre im Falle der Anfechtbarkeit beim Zahler verbleiben, folgt auf der Wertungsebene daraus, dass die Anfechtung bei der Autorisierung von Zahlungen ausgeschlossen ist, aber gerade keine andere Risikoverteilung. Vielmehr entspricht es einer Aufrechterhaltung der Wertungen des deutschen Zivilrechts, dass bei fehlender Anfechtbarkeit der Zahler ebenso das wirtschaftliche Risiko der Rückholbarkeit einer von ihm ohne Erklärungsbewusstsein beauftragten Überweisung trägt, wie er es im (gedachten) Falle der Anfechtbarkeit tragen würde.

82 In der Gesamtbetrachtung ändert die fehlende Anfechtbarkeit von Autorisierungen nach § 675j BGB daher nichts daran, dass eine vom Zahler ohne Erklärungsbewusstsein erklärte Autorisierung als wirksame Autorisierung anzusehen ist.

83 Ob eine Anfechtung von Autorisierungen wegen Täuschung nach § 123 BGB ebenfalls ausgeschlossen ist, kann dahinstehen. Denn da die Täuschung in den hier relevanten Fällen durch Dritte verübt wird, würde sie gemäß § 123 Abs. 2 BGB nur dann zu einer Anfechtbarkeit führen, wenn der Zahlungsdienstleister, vorliegend die Beklagte, die Täuschung bei Eingang der Autorisierung bereits kannte oder kennen musste. Daran fehlt es.

84 Gegen diese Würdigung ließe sich einwenden, dass bei der Vertrauenshaftung nach § 122 BGB einfache Fahrlässigkeit für die Haftung wie bei einer Willenserklärung genüge. Nach der Wertung von § 675v BGB und Art. 74 der PSD-2-Richtlinie trägt das Missbrauchsrisiko im Hinblick auf die dort geregelten Zahlungsvorgänge aber grundsätzlich der Zahlungsdienstleister. Der Zahler kann dieses Risiko danach nur tragen, wenn er mindestens grob fahrlässig Pflichten in Bezug auf Zahlungsinstrumente und personalisierte Sicherheitsmerkmale verletzt, im Übrigen im hier wirtschaftlich nicht relevanten Bereich von Kleinbeträgen bis 50 €.

85 Allerdings liegt dieser Risikoverteilung der Gedanke zugrunde, dass der Zahlungsdienstleister, der etwa online-Banking anbietet, über dessen Ausgestaltung bestimmt. Er hat es in der Hand, ob und inwieweit er eine solche Möglichkeit zur Erteilung von Zahlungsaufträgen überhaupt eröffnet, wie er sie ausgestaltet und wie er dabei etwaigen Kompromittierungsmöglichkeiten begegnet. Die Eröffnung eines Onlinebanking-Zugangs kann von daher mit einer Betriebsgefahr verglichen werden. Der Zahlungsdienstleister, der diesen Zugang eröffnet, trägt gleichsam die Betriebsgefahr, also die damit notwendig einhergehenden Risiken der Kompromittierung der eingesetzten Kommunikationsmittel und damit das sog. Missbrauchsrisiko, insbesondere, dass vermeintliche Zahlungsaufträge von Dritten erteilt werden. Denn mit der Ausgestaltung des online-bankings kann der Zahlungsdienstleister auch dieses Missbrauchsrisiko begrenzen und beeinflussen.

86 Die Frage, ob eine Autorisierung vorliegt oder nicht, kann in diesem Sinne auch als Abgrenzungskriterium verstanden werden, ob das Risiko, um das es geht, dem Bereich der vom Zahlungsdienstleister grundsätzlich beherrschbaren „Betriebsgefahr“ des von ihm eröffneten Onlinebankings zuzuordnen ist – mit der Folge, dass dieses Missbrauchsrisiko bis zur Grenze der groben Fahrlässigkeit grundsätzlich beim Zahlungsdienstleister liegt -, oder ob das Risiko eher dem Bereich der vom Zahler selbst veranlassten Autorisierung zuzuordnen ist, also dem Risikobereich des Zahlers selbst. In diesem Sinne würde etwa ein Verschreiben des Zahlers beim Betrag zwar zu einer irrtumsbehafteten Autorisierung führen, die auch nicht mehr anfechtbar ist, aber eindeutig dem Risikobereich des Zahlers zuzuordnen ist, nicht des Zahlungsdienstleisters. Hingegen würde ein Hackerangriff, bei dem Dritte die pushTAN-App übernehmen und anstelle des Kunden Zahlungsaufträge erteilen und freigeben, eindeutig in den Risikobereich des Zahlungsdienstleisters fallen. Hier realisiert sich das sog. Missbrauchsrisiko, was bedeutet, dass das Risiko auf Umstände zurückgeht, die im Machtbereich des Zahlungsdienstleisters liegen.

87 Erteilt der Kunde selbst eine Autorisierung, auch wenn dies irrtums- oder täuschungsbedingt erfolgt, ist dies in diesem Sinne grundsätzlich dem Risikobereich des Zahlers zuzuordnen, nicht der vom Zahlungsdienstleister zu tragenden Betriebsgefahr. Denn der Zahlungsdienstleister muss dem Kunden überhaupt einen Zugang ermöglichen und das ist vom Kunden auch gewollt. Kann der Kunde Überweisungen vornehmen, kann er dies auch irrtümlich tun oder täuschungsbedingt dazu veranlasst werden. All dies lässt sich vom Zahlungsdienstleister praktisch nicht beeinflussen, weil der Angriff als solcher in diesen Fällen gar nicht auf das Zahlungsdienstsystem selbst abzielt, sondern auf den Kunden, bei dem in ersten Linie ein Irrtum hervorgerufen werden soll. Das kann der Zahlungsdienstleister nicht generell verhindern. Zwar ist es nach fast jedem erfolgreichen Betrugsangriff so, dass der konkrete Irrtum, der hier hervorgerufen worden ist, durch irgendeine andere Gestaltung oder einen Warnhinweis auch hätte verhindert werden können. Das ändert auf der Wertungsebene aber nichts daran, dass in diesen Fällen im Wesentlichen keine technischen Schwachstellen ausgenutzt werden, sondern ein Irrtum beim Kunden selbst hervorgerufen wird und ausgenutzt wird, dass dieser überhaupt über Geldbeträge verfügen kann. Dass der Kunde überhaupt über Geldbeträge verfügen kann, ist aber keine mit dem Onlinebanking notwendig verbundene oder vom Zahlungsdienstleister beherrschbare Gefahr, sondern Sinn und Zweck des Online-Bankings und von beiden Parteien gewollt.

88 Dementsprechend ist auf der Wertungsebene die irrtumsbedingte Erteilung einer Autorisierung durch den Zahler selbst nicht dem Bereich des Missbrauchs und damit dem nach § 675v BGB / Art. 80 PSD-2-Richtlinie grundsätzlich vom Zahlungsdienstleister zu tragenden Risikobereich zuzuordnen, sondern vom Zahlungsdienstleister nicht wesentlich beeinflussbar, vielmehr vom irrenden Zahler selbst, und daher dem vom Zahler selbst zu tragenden Risikobereich der wirksamen Autorisierung zuzuordnen. Das gilt auch, wenn der Irrtum auf der Täuschung eines Dritten beruht und auch dann, wenn diese Täuschung auf der inneren Seite der Erklärung des Zahlers dazu führt, dass er ohne Erklärungsbewusstsein handelt (im Ergebnis ebenso: OLG Schleswig, Beschluss vom 3.1.2024 - 5 W 25/23).).

89 Vorliegend stellen sich die Freigaben zweier Überweisungen über insgesamt 11.141,12 € und zweier weiterer Überweisungen über insgesamt 5.447,76 € durch den Kläger selbst damit als zwar täuschungsbedingt und ohne Erklärungsbewusstsein abgegebene, aber wirksame Autorisierungen dar.

90 Daran ändert sich nichts deshalb, weil die Zahlungsaufträge selbst nicht vom Kläger eingegeben worden waren, sondern von Dritten. Zwar kann man grundsätzlich für eine wirksame Autorisierung fordern, dass diese vollständig vom Zahler selbst vorgenommen wird, da eine (offene) Stellvertretung im Bereich der Autorisierung grundsätzlich unzulässig ist. Allerdings ist es nicht unzulässig, einen Zahlungsauftrag von einem Dritten eingeben zu lassen, weil durch die Aufgabe selbst noch keinerlei Bindungswirkung entsteht. Diese entsteht im Onlinebanking erst und ausschließlich durch die Freigabe, hier in der pushTAN-App. Ebenso, wie es bei klassischen papiergebundenen Überweisungen unproblematisch zulässig und üblich war und ist, dass Mitarbeiter oder beauftragte Dritte den Überweisungsträger ausfüllen und dieser sodann vom Zahler selbst nur noch unterschrieben wird, ist es im Bereich des online-Bankings unproblematisch möglich und zulässig, dass Mitarbeiter oder Dritte Zahlungsaufträge ausfüllen und aufgeben, solange die Prüfung und Freigabe selbst ausschließlich durch den Zahler persönlich vorgenommen und verantwortet wird. Die Ausfüllung des erst später freizugebenden Zahlungsauftrags hat nur den Charakter eines Entwurfs. Eine verbindliche Anweisung wird daraus erst durch die Freigabe. Nur diese ist rechtlich betrachtet eine Willenserklärung. Bei ihr ist eine Stellvertretung unzulässig, im vorbereitenden Bereich darf sich der Bankkunde aber der Hilfe Dritter bedienen – oder etwa, was mittlerweile häufiger wird, Texterkennungsprogrammen oder automatischen Ausfüllhilfen.

91 Auch, wenn man für eine wirksame Autorisierung eine eigene und vollständige Zwei-Faktor-Authentifizierung durch den Zahler selbst fordert, wäre eine solche gegeben. Die Autorisierung erfolgte vorliegend dadurch, dass dem Kläger in der pushTAN-App angezeigt wurde, dass ein Auftrag zur Prüfung und Freigabe vorliege. Es wurde wie aus oben ausgeführten Gründen zur Überzeugung des Gerichts feststeht, dem Kläger angezeigt, dass es um eine Überweisung geht, die IBAN und der Betrag.

92 Für die Freigabe musste der Kläger zum einen das Gerät besitzen, auf welchem sich die konkrete pushTAN-App, die hier angesteuert wurde, befand, zum anderen beim Öffnen dieser App ein Passwort eingegeben, falls auf seinem Mobiltelefon das Öffnen passwortgeschützter Apps mit Hilfe von faceID, fingerprint oder Wischmuster eingestellt war, dieses Merkmal nutzen. In jedem Fall fand eine 2-Faktor-Authentifizierung allein für die Freigabe statt, weil zum einen ein Besitzmerkmal, zum anderen ein Wissensmerkmal erforderlich war. Letzteres konnte durch ein biometrisches Merkmal ersetzt werden, das änderte aber nichts an der 2-Faktor-Authentifizierung. Dass ein solcher Prozess beim Start der pushTAN-App durchlaufen werden muss, hat der Kläger in seiner Anhörung bestätigt.

93 Im Übrigen kommt es nach richtigem Verständnis im Falle einer wirksamen Autorisierung nicht auf eine 2-Faktor-Authentifizierung an. Diese ist erforderlich, um das Missbrauchsrisiko zu senken, da beim Erfordernis einer 2-Faktor-Authentifizierung ein Missbrauch z.B. im Sinne des Knackens eines Passworts sehr viel schwieriger wird. Man muss ja auch noch ein ganz anderes Merkmal knacken. Wenn hingegen der Bankkunde wissentlich und willentlich einen Zahlungsauftrag aufgibt und der Zahlungsdienstleister diesen Auftrag akzeptiert und ausführt, leuchtet nicht ein, warum der Aufwendungsersatzanspruch des Zahlungsdienstleisters davon abhängen sollte, in welcher Form der Kunde diesen Zahlungsauftrag erteilt hat und ob er eine 2-Faktor-Authentifizeriung genutzt hat. Der Bankkunde, der beispielsweise einfach nur bei seinem Berater anruft, kann wirksam Aufträge erteilen. Ob seine Authentifizierung mittels eines 2-Faktor-Verfahrens erfolgt oder einfach dadurch, dass der Berater ihn aufgrund persönlicher Bekanntheit eindeutig identifiziert, ist für die Wirksamkeit des Auftrags ohne Belang. Vielmehr gilt generell, dass wenn der Zahler selbst einen Auftrag bzw. eine Autorisierung erteilt hat, es nicht darauf ankommt, wie er sich authentifiziert hat. Denn die Authentifizierung soll davon schützen, dass sich Dritte als der Zahler ausgeben und für ihn vermeintliche Aufträge erteilen. Sie soll aber nicht den Kunden hindern oder darin beschränken, selbst Aufträge zu erteilen oder zu autorisieren. Das gilt auch dann, wenn der Kunde solche Aufträge irrtumsbehaftet, täuschungsbedingt und/oder ohne Erklärungsbewusstsein erteilt. Denn all dies ändert nichts daran, dass die anscheinend vom Bankkunden vorgenommene Autorisierung tatsächlich von ihm erklärt worden ist und daher der Sinn und Zweck der Authentifizierung nicht berührt wird.

94 Allerdings gibt es im Rahmen der Vorschriften zur starken Authentifizierung auch Regelungen, die nicht der Sicherstellung der Identität des Erklärenden dienen, also der Authentifizierung im eigentlichen Sinne, sondern die jedenfalls auch den Zweck haben, Irrtümern oder Täuschungen entgegenzuwirken. Das ist der Fall, soweit Vorschriften nicht die Merkmale der Authentifizierung betreffen, sondern die Anzeige von Merkmalen beim (authentifizierten) Nutzer. Nach § 55 Abs. 5 ZAG wird Näheres zu Erfordernissen und Verfahren zur starken Kundenauthentifizierung durch den delegierten Rechtsakt nach Artikel 98 der Richtlinie (EU) 2015/2366 geregelt.

95 Nach Art. 98 der PSD-2-Richtlinie arbeitet die EBA [European Banking Authority] in Zusammenarbeit mit der EZB technische Regulierungsstandards aus, in denen u.a. die Erfordernisse des Verfahrens zur starken Kundenauthentifizierung präzisiert werden.

96 Diese technischen Regulierungsstandards sind in der Delegierten Verordnung(EU) 2018/389 vom 27. November 2017 zur Ergänzung der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards für eine starke Kundenauthentifizierung und für sichere offene Standards für die Kommunikation festgelegt worden. Darin heißt es in Artikel 5 Abs. 1, wenn Zahlungsdienstleister eine starke Kundenauthentifizierung verlangen, müssen sie zusätzlich u.a. folgende Sicherheitsmaßnahmen ergreifen:

97 a) Zahlungsbetrag und Zahlungsempfänger werden dem Zahler angezeigt.

98 Die pushTAN-App der Beklagten zeigte den Zahlungsbetrag und die IBAN des Empfängers an, aber, insoweit unstreitig, nicht den angegebenen Namen des Zahlungsempfängers.

99 Hier stellt sich die Frage, was im Rahmen von Art. 5 Abs. 1 der Delegierten Verordnung mit der Anzeige des Zahlungsempfängers gemeint ist.

100 Einerseits geht die Delegierte Verordnung unmittelbar auf die PSD2-Richtlinie zurück. Diese definiert in Art. 4 (Begriffsbestimmungen) Nr. 9 den „Zahlungsempfänger“ als natürliche oder juristische Person, die den Geldbetrag, der Gegenstand eines Zahlungsvorgangs ist, als Empfänger erhalten soll, hingegen in Nr. 33 den Kundenidentifikator als eine Kombination aus Buchstaben, Zahlen oder Symbolen, die dem Zahlungsdienstnutzer vom Zahlungsdienstleister mitgeteilt wird und die der Zahlungsdienstnutzer angeben muss, damit ein anderer am Zahlungsvorgang beteiligter Zahlungsdienstnutzer und/oder dessen Zahlungskonto bei einem Zahlungsvorgang zweifelsfrei ermittelt werden kann.

101 Im Sinne einer Wortlautauslegung dieser Begriffe wäre die IBAN der Kundenidentifikator, nicht der Zahlungsempfänger, bei dem es sich um eine natürliche oder juristische Person handelt.

102 Allerdings werden Zahlungen unter dem Regime der PSD-2-Richtlinie vollautomatisiert ausgeführt und dies allein anhand des Kundenidentifikators. Der (angegebene) Name des Zahlungsempfängers dient nicht der Zuordnung des überwiesenen Betrages, er wird nicht einmal überprüft. Von daher wäre die Angabe (nur) des angegebenen Zahlungsempfängers ohne Angabe der IBAN die Angabe eines technisch für die Ausführung irrelevanten Merkmals, bei dem nicht sichergestellt ist, dass es sich bei dem angegebenen Empfänger tatsächlich um den wirklichen Zahlungsempfänger – den echten Inhaber der angegebenen IBAN – handelt. Das einzige für die Ausführung und damit auch für die Prüfung technisch relevante Merkmal ist die IBAN. Von daher muss eine teleologische Auslegung von Art. 5 Abs. 1 a) der Delegierten Verordnung darauf hinauslaufen, dass gemeint ist, dass Zahlungsbetrag und der technisch relevante Identifikator des Zahlungsempfängers angezeigt werden müssen. In diesem Sinne hat auch die EBA selbst (EBA-Frage ID 2019_4556) die Ansicht vertreten, in der Delegierten Verordnung sei nicht festgelegt, wie der Zahlungsempfänger für die Zwecke der Anforderungen an die dynamische Verknüpfung nach Artikel 5 dieser Verordnung identifiziert werden solle, z.B. über die IBAN oder eine ähnliche Art von individuellem Erkennungsmerkmal. Danach versteht die EBA selbst die Delegierte Verordnung so, dass mit der Angabe des Zahlungsempfängers im Sinne von Art. 5 Abs. 1a der Delegierten Verordnung nicht im Sinne der Begriffsbestimmungen der PSD-2-Richtlinie die als Empfänger angegebene natürliche oder juristische Person gemeint sein muss, sondern dass dieses Merkmal teleologisch dahin auszulegen ist, dass ein eindeutiger Identifikator angezeigt werden muss, z.B. auch die IBAN. Da die EBA diese technischen Regulierungsstandards in Zusammenarbeit mit der EZB selbst ausgearbeitet hat, kommt ihren Angaben zur Auslegung Bedeutung zu. Im Ergebnis geht das Gericht daher davon aus, dass die Anzeige der Beklagten in ihrer push-TAN-App mit der Angabe der IBAN des Zahlungsempfängers (und des Betrages) den – richtig verstandenen – Anforderungen nach Art. 5 Abs. 1a der Delegierten Verordnung und damit auch nach § 55 Abs. 5 ZAG genügt.

103 Im Übrigen hätte sich ein etwaiger Fehler hier nicht ausgewirkt. Dem Kläger war vorgespiegelt worden, es sei eine Transaktion von Geld von seinem Konto auf ein Drittkonto im Gange, die storniert werden müsse. Dass die angezeigte IBAN nicht die eigene IBAN des Klägers war, war offensichtlich. Auch, wenn man seine IBAN nicht auswendig kennen muss, hat man zumindest so rudimentäre Kenntnisse, dass die Anzeige einer ganz anderen IBAN nicht ernsthaft mit der eigenen verwechselt werden kann. Der Kläger konnte der Anzeige auf der pushTAN-App also entnehmen, dass es um Überweisungen von Beträgen über 5.621,03 €, 5.520,09 €, 3.016,93 € und 2.430,83 € im Zusammenhang mit dem dort angegebenen (fremden) Konto ging. Entweder nahm er diese Anzeigen im täuschungsbedingten Glauben, ein Bankmitarbeiter nehme mit ihm gemeinsam Stornierungen vor, gar nicht wahr oder er hielt täuschungsbedingt das angegebene Konto für dasjenige Konto, von dem der vermeintlich zu stornierende Überweisungsbetrag auf sein Konto zurückgebucht werden solle. Wäre nun auch ein Name angezeigt worden, hätte dies an dem Täuschungsgehalt gar nichts geändert. Entweder hätte der Kläger diese Anzeige ebensowenig wahrgenommen oder, wenn doch, hätte der Anschein bestanden, das Geld werde von dem vermeintlich angegebenen Fremdkonto dieser Person zurückgebucht. Die Chance, diese Täuschung zu bemerken, hätte sich dadurch nicht relevant geändert, zumal der angegebene Name unter dem Regime der PSD-2-Richtlinie ja nicht überprüft wird, die Täter also auch einen Phantasienamen hätten eintragen können oder Begriffe wie „Stornierung“ o.ä. als vermeintlichen Namen eintragen können und so erst recht den Eindruck hätten verstärken können, es gehe wirklich im eine Stornierung. Sollte man Art. 5 Abs. 1a der Delegierten Verordnung und damit auch § 55 Abs. 5 ZAG entgegen dem hier erkannten Verständnis dahin auslegen, dass im Wortlautsinne der angegebene Name des (angegebenen) Empfängers angezeigt werden müsse, läge zwar ein Verstoß gegen diese Vorschrift vor, dieser Verstoß wäre aber nicht kausal für den Fortgang des Geschehens, weil eine Einhaltung dieser so verstandenen Vorschrift durch die Beklagte die Chance auf ein Bemerken der Täuschung durch den Kläger nicht erhöht hätte.

104 Nach alledem stellen sich die vom Kläger erteilten Freigaben von Überweisungen über 5.621,03 €, 5.520,09 €, 3.016,93 € und 2.430,83 € als wirksame Autorisierungen i.S.v. § 675j BGB dar. Die Beklagte hat daher nach § 675c Abs. 1, § 670 BGB Anspruch auf Ersatz der Aufwendungen, die ihr für die Ausführung dieser Überweisungen entstanden sind. Der von ihr mit den Belastungsbuchungen auf den Konten der Kläger jeweils gebuchte Anspruch stand ihr tatsächlich zu. Die Kläger haben keinen Anspruch auf Korrektur dieser Buchung, weder bankvertraglich noch nach § 675u S. 2 BGB. Denn es liegt kein Fall eines nicht autorisierten Zahlungsvorgangs vor.

105 Auf die Frage, ob die beiden Zahlungen hätte noch gestoppt werden können oder ob sie der Beklagten bei anderer Ausgestaltung ihres fraud-detection-Systems hätten auffallen können, kommt es nicht an. Eine wirksam erteilte Autorisierung nach § 675p Abs. 1 BGB ist ab Zugang beim Zahlungsdienstleister nicht mehr widerruflich. Die in § 675p Abs. 2-5 geregelten Ausnahmen liegen nicht vor. Nach den Grundgedanken der PSD-2-Richtlinie kann und soll eine Bank Zahlungsaufträge schnell und automatisiert, allein anhand des Kundenidentifikators, ausführen. Nach Zugang des Zahlungsauftrages gibt es keinen Anspruch des Kunden auf ein Anhalten der Ausführung des Zahlungsvorgangs, weil dies einen manuellen und aufwändigen Eingriff erfordern würde, auf den kein Anspruch besteht. Zusammengefasst kann die Bank versuchen, die Zahlung aufzuhalten. Wenn dies gelingt, bevor das Geld auf dem Konto des Empfängers gutgeschrieben ist, kann eine solche Zahlung aufgehalten werden. Gelingt dies nicht, fällt dies aber in den Risikobereich des Kunden, der die Autorisierung erteilt hat. Es gibt keine Organisationspflicht der Bank, ihren Bereich so zu organisieren, dass rechtlich unwiderruflich gewordene Zahlungsaufträge noch aufgehalten werden können.

106 Die Kläger haben auch keinen Anspruch nach § 823 Abs. 2 BGB i.V.m. § 55 Abs. 1 ZAG i.V.m. § 1 Abs. 24 ZAG deshalb, weil das System der Beklagten für den Login keine starke Authentifizierung erfordere und so den Tätern allein mit Ausspionierung von Zugangsnummer und Passwort einen unzulässig einfachen Zugriff erlaube. Vielmehr setzt das System der Beklagten, wie die Beweisaufnahme ergeben hat, bereits für den Login grundsätzlich eine Freigabe mittels der pushTAN-App der Beklagten voraus, die ihrerseits eine 2-Faktor-Authentifizierung erfordert. Nur, wenn ein Gerät bereits einmal eingeloggt war - dieser erste Login freigegeben mittels der pushTAN-App -, kann auf diesem Gerät ein Cookie hinterlegt werden, welcher dieses Gerät als vertrauenswürdig ausweist. Sodann kann nachfolgend ein Login allein mit Zugangsnummer und Passwort erfolgen. Das hat die Zeugin J. glaubhaft bestätigt, die weiter bekundet hat, auch dann sei eine neue Freigabe alle 90 Tage erforderlich oder wenn die Cookies im Browser gelöscht worden seien. Das hat im wesentlichen Kern auch der Kläger in seiner Anhörung so bestätigt, insbesondere, dass der Login normalerweise keiner Freigabe bedarf, wenn er sich von dem bekannten Rechner aus einloggt, auch dann allerdings alle 90 Tage.

107 Die Regelung, dass der Zugriff von einem Gerät, welches nach einmaligen Login durch einen Cookie als vertrauenswürdig ausgewiesen wird, allein mittels Zugangsnummer und Passwort erfolgen kann, genügt dann allerdings den Anforderungen einer 2-Faktor-Authentifizierung, da das konkret mittels Cookie als vertrauenswürdig ausgewiesene Gerät (Besitzmerkmal) und ein Wissensmerkmal (Passwort) für den Login gefordert werden. Im Übrigen wäre ein Fehler hier nicht kausal. Denn die Täter hatten kein als vertrauenswürdig ausgewiesenes Gerät, sondern waren für den ersten Login auf eine Freigabe durch die pushTAN-App des Klägers angewiesen, die um 18.50:06 h angefordert worden war und um 18:50:35 Uhr vom Gerät des Klägers mit der internen Kennung xx freigegeben worden war. Damit hatte der Kläger – täuschungsbedingt - die Täter gleichsam in das Konto gelassen, also ihren Login genehmigt. Auf die Frage, welche Anforderungen die Beklagte an einen Login von einem Gerät aus stellt, das bereits einmal eingeloggt war, kommt es daher nicht an. Die Täter dieses Angriffs verfügten über kein solches Gerät, sondern waren bereits für den Login auf eine Freigabe durch den Kläger und dessen Täuschung angewiesen.

108 Die Kostenentscheidung folgt aus § 91 Abs. 1 S. 1 ZPO.

109 Die Entscheidung zur vorläufigen Vollstreckbarkeit folgt aus § 709 S. 1, 2 ZPO.

Permalink

• Diesen Link können Sie kopieren und verwenden, wenn Sie genau dieses Dokument verlinken möchten: https://www.gesetze-rechtsprechung.sh.juris.de/perma?d=NJRE001644399