LG Itzehoe 7. Zivilkammer — 7 O 320/23 — Urteil

Entscheidungsdatum: 2024-07-16

Aktenzeichen: 7 O 320/23

ECLI: ECLI:DE:LGITZEH:2024:0716.7O320.23.00

Dokumenttyp: Urteil

Normen: § 675 S 1 BGB, § 675 Abs 2 BGB, § 675j Abs 1 S 1 BGB, § 675p Abs 1 BGB, § 675v Abs 3 Nr 2 BGB

Leitsatz

• Die Zustimmung (Autorisierung) des Zahlers zu einem Zahlungsvorgang i.S.v. § 675j Abs. 1 Satz 1 BGB ist eine empfangsbedürftige Willenserklärung.

• Liegen Mängel der Erklärung vor, insbesondere im Fall fehlenden Erklärungsbewusstseins, ist die Frage, wann eine Zustimmung vorliegt, nicht autonom auszulegen, sondern folgt der deutschen Rechtsgeschäftslehre. Erscheint die Erklärung aus dem Empfängerhorizont als Autorisierung, ist sie wirksam, wenn der Erklärende hätte erkennen können, dass die Freigabe als Zustimmung zu verstehen sein würde.

• § 675p Abs. 1 BGB schließt eine Irrtumsanfechtung der Autorisierung aus.

• Das Fehlen der Anfechtbarkeit ändert nichts daran, dass eine ohne Erklärungsbewusstsein abgegebene Autorisierung unter den genannten Voraussetzungen als Willenserklärung zu behandeln ist. Maßstab ist nicht die grobe Fahrlässigkeit, wie sie im Fall von § 675v Abs. 3 Nr. 2 BGB entscheidend wäre, sondern die Erkennbarkeit.

Tenor

1. Die Klage wird abgewiesen

2. Die Kosten des Rechtsstreits trägt der Kläger.

3. Das Urteil ist vorläufig vollstreckbar gegen Sicherheitsleistung in Höhe von 120 % des jeweils zu vollstreckenden Betrages.

Tatbestand

1 Die Parteien streiten um die Folgen zweier betrügerisch erwirkten Freigaben für Überweisungen vom Konto des Klägers. Der Kläger begehrt von der beklagten Bank Wiedergutschrift der Beträge, mit denen sein Konto belastet worden ist.

2 Der Kläger war Kunde der xx Bank AG. Er unterhält dort das Girokonto IBAN x x. Der Vertrag wurde seinerzeit mit der xx Bank AG geschlossen (Anlage B1).

3 2020 wurde die xx Bank AG auf die Beklagte verschmolzen. Die Geschäftsverbindung des Klägers besteht daher inhaltlich unverändert mit der Beklagten als Rechtsnachfolgerin der xx Bank AG fort.

4 Der Kläger nutzt das online Banking. Der Nutzung liegen die allgemeinen Bedingungen der xx Bank AG (Anlage B2.1, B2.2) zugrunde.

5 Die Nutzung des online-Bankings erfolgt durch zwei verschiedene Anwendungen (sog. Frontends). Ein sog. Frontend dient der Erfassung von Aufträgen und der Abfrage und Anzeige von Kontoinformationen einschließlich etwaiger Änderungsaufträge betreffend Kundendaten usw. (i.F.: Onlinebanking). Das andere Frontend dient der Freigabe solcher Vorgänge (i.F.: Freigabe-App).

6 Der Aufruf des Online-Bankings kann entweder über eine Banking-App erfolgen, sofern ein Android- oder Apple-Betriebssystem verwendet werden, oder über einen Browser. Letzterer Zugriff ist aus allen verbraucherseitig üblichen Betriebssystemen, insbesondere Windows, Android oder Apple-Systemen, möglich.

7 Bei Zugriff über Browser sind zum Login in das Online-Banking die Zugangsnummer und PIN einzugeben. Beide werden dem Kunden von der Beklagten zugeteilt und sind grundsätzlich statisch, die PIN durch den Kunden änderbar. Bei einem erstmaligen Login von einem Gerät ist zusätzlich eine Freigabe mit Hilfe der Freigabe-App erforderlich. Ist diese Freigabe einmal erteilt, kann ein sog. Cookie auf dem Gerät gespeichert werden, der dieses Gerät für die Beklagte als vertrauenswürdig ausweist. Ist dies erfolgt, können spätere Logins von diesem Gerät aus allein durch Eingabe von Zugangsnummer PIN erfolgen, ohne das für den Login eine erneute Freigabe erforderlich ist. Eine erneute Freigabe wird dann alle 90 Tage gefordert, im Übrigen, falls der auf dem Gerät hinterlegte Cookie gelöscht worden ist.

8 Für das Ausführen einer Transaktion wie einer Überweisung auf ein Fremdkonto muss ein solcher Zahlungsauftrag zunächst im Online-Banking angelegt werden. In einem zweiten Schritt muss dieser Auftrag bestätigt werden, indem er über die Freigabe-App freigegeben wird.

9 Die Freigabe-App wird vom Kunden auf einem Gerät mit Android- oder Apple-Betriebssystem, in der Regel einem Mobiltelefon, installiert und bei Einrichtung mit dem Kundenstammdatensatz des Kunden verknüpft. Dazu dient ein Aktivierungscode, der dem Kunden postalisch übermittelt ist. Ist diese Einrichtung einmal erfolgt, können Aufträge, die im Online-Banking aufgegeben wurden, in dieser App freigegeben werden. In der Regel zeigt dieses Gerät durch Eingang einer Push-Nachricht an, dass ein neuer Auftrag vorliegt. Wird die Freigabe-App gestartet, muss der Start der App durch Eingabe eines Passworts freigegeben werden. Unterstützt das jeweilige Betriebssystem für passwortgeschützte Apps auch die Freigabe durch Biometriedaten (faceID, Fingerabdruck) oder Wischmuster, dann kann diese App statt durch Passworteingabe auch durch Nutzung dieser Biometriemerkmals oder Wischmusters gestartet werden. Nachfolgend werden zu dem Auftrag im Falle einer Überweisung mindestens der Betrag und die IBAN angezeigt. Nicht angezeigt werden der Name des Empfängers und der Verwendungszweck.

10 Am Montag, 13.2.2023, etwa um 17:00 Uhr, meldete sich ein Betrüger auf dem Telefon des Klägers und gab sich als Mitarbeiter der Beklagten aus. Die angezeigte Nummer war diejenige der xx Bank Dem Kläger wurde von dem Anrufer mitgeteilt, dass ungewöhnliche Transaktionen auf seinem Konto vorgenommen würden. Ihm wurde vorgespiegelt, dass dadurch Gelder von seinem Konto abflössen, dieses aber noch verhindert werden könne bzw. eine Rückbuchung der Gelder noch möglich sei. Das bedürfe der Mitwirkung des Klägers. Diese müsse dafür entsprechende Freigaben erteilen. Im Glauben, dass er tatsächlich mit einem Bankmitarbeiter der Beklagten spreche und dass dies tatsächlich für die Stornierung vermeintlich von Dritten für sein Konto erteilter Aufträge und für die Rückbuchung des Geldes erforderlich sei, erteilte der Kläger auf seiner FreigabeApp mindestens drei Freigaben. Tatsächlich war es den Betrügern gelungen, das Onlinebanking des Kontos des Klägers aufzurufen und dort drei Aufträge zur Überweisung von 2.945 €, 2.985 € sowie knapp 4.000 € auf ein Drittkonto aufzugeben. Die vom Kläger erteilten Freigaben betrafen tatsächlich diese Zahlungsaufträge. Diese ersten beiden Aufträge wurden ausgeführt und das Geld dem Drittkonto gutgeschrieben. Der dritte Zahlungsauftrag wurde vom fraud-detection-System der Beklagten als verdächtig bemerkt und angehalten. Ein echter Mitarbeiter der Beklagten kontaktierte den Kläger, womit sich der Betrug herausstellte. Die dritte Überweisung wurde dementsprechend nicht mehr ausgeführt. Der Beklagten gelang es nicht, die Ausführung der ersten beiden Überweisungen rückgängig zu machen bzw. die Gutschrift auf dem Empfängerkonto zu verhindern.

11 Der Kläger erstattete Strafanzeige (Anlage K1) und teilte auch diese der Beklagten mit.

12 Die Beklagte belastete das Konto des Klägers mit 5.930 €.

13 Der Kläger begehrt Erstattung dieses Betrages.

14 Er behauptet, er habe seine Zugangsnummer und PIN stets sorgfältig geschützt und nie Dritten mitgeteilt. Die Betrüger hätten Zugangsnummer und PIN nicht durch seine Mitwirkung erhalten. Er habe auch keinen Login in das Konto auf seiner Freigabe-App freigegeben. Bei dem Anruf sei er misstrauisch gewesen, ob es sich tatsächlich um einen Bankmitarbeiter handele. Darauf habe er im Rahmen des Telefonats noch auch hingewiesen. Daraufhin habe der Anrufer diverse Kontovorgänge benannt, die tatsächlich vom Kläger hätten verifiziert werden können und in unmittelbarem zeitlichem Zusammenhang mit dem Anruf gestanden hätten. Diese Kenntnis des Anrufers über die aktuellen Kontobewegungen auf dem Konto des Klägers setze voraus, dass der Anrufende zu diesem Zeitpunkt bereits Zugang zu seinem Konto gehabt habe. Deshalb habe der Kläger dann darauf vertraut, dass es sich beim dem Anrufer um einen Mitarbeiter der Bank handele, und dass es darum gehe, betrügerische Geldabbuchungen von seinem Konto zu verhindern. Deshalb sei der den Anweisungen gefolgt.

15 Er meint, dieser Zahlungsvorgang sei nicht von ihm autorisiert i.S.v. § 675j Abs. 1 S. 1 BGB und daher ihm gegenüber nicht wirksam. Die Beklagte sei daher gemäß § 675u S. 2 BGB verpflichtet, sein Konto unverzüglich wieder auf den Stand zu bringen, auf dem es sich ohne die Belastungen durch die nicht autorisierten Zahlungsvorgänge befunden hätte. Dem könne die Beklagte auch keinen Schadensersatzanspruch gemäß § 675w Abs. 3 BGB entgegenhalten. Er habe nicht grob fahrlässig gehandelt.

16 Der Kläger beantragt,

17 die Beklagte zu verurteilen, an den Kläger einen Betrag i.H.v. EUR 5.930,00 nebst Zinsen in Höhe von 5 Prozentpunkten über dem jeweiligen Basiszinssatz hieraus seit 03.04.2023 sowie vorgerichtlicher Rechtsverfolgungskosten in Höhe von EUR 627,13 zu zahlen.

18 Die Beklagte beantragt,

19 die Klage abzuweisen.

20 Sie behauptet, der Kläger müsse seine Einwahldaten (Zugangsnummer und Passwort) preisgegeben haben. Anders könne der Anrufer von diesen keine Kenntnis erlangt haben. Damit habe der Kläger mindestens grob fahrlässig gegen die ihm obliegenden Pflichten im Umgang mit diesen persönlichen Sicherheitsmerkmalen verstoßen.

21 Bereits der Login am 13.2.2023 sei nach den Aufzeichnungen der Beklagten (Anlage B4) vom Mobiltelefon des Klägers aus freigegeben worden. Diesen Login müsse der Kläger selbst freigegeben haben, ebenso wie die unmittelbar darauf freigegebenen Überweisungen. Bei der Freigabe eines Vorgangs mittels pushTAN werde auf dem Display des verwendeten Mobiltelefons angezeigt, welcher Vorgang gerade freigegeben werde, bei der Freigabe eines Logins etwa erscheine eine Anzeige wie in Anlage B5.1, bei der Freigabe einer Überweisung wie in Anlage B5.2. Auf beide Anlagen wird Bezug genommen.

22 Sie meint, damit habe der Kläger die Überweisungen selbst autorisiert. Falls keine Autorisierung vorliege, habe er jedenfalls grob fahrlässig gegen seine Pflichten im Umgang mit seinen persönlichen Authentifizierungsmerkmalen verstoßen.

23 Wegen der weiteren Einzelheiten wird auf die gewechselten Schriftsätze und das Protokoll der mündlichen Verhandlung vom 4.6.2024 verwiesen.

Entscheidungsgründe

24 Die zulässige Klage ist unbegründet. Der Kläger hat keinen Anspruch nach § 675 u S. 1, 2 BGB auf Erstattung der Beträge, die am 13.2.2023 seinem Zahlungskonto wegen Überweisungen über 2.945 € und 2.985 € belastet worden sind. Danach hat ein Zahlungsdienstleister im Fall eines nicht autorisierten Zahlungsvorgangs keinen Anspruch gegen den Zahler auf Erstattung seiner Aufwendungen und ist verpflichtet, dem Zahler den Zahlungsbetrag unverzüglich zu erstatten. Die Zahlungsvorgänge über insgesamt 5.930 € stellen sich im Ergebnis allerdings als wirksam autorisiert dar. Die Beklagte hatte daher tatsächlich den mit diesen Kontobelastungen jeweils gebuchten Aufwendungsersatzanspruch nach § 675c Abs. 1, § 670 BGB. Demzufolge besteht weder ein vertraglicher Anspruch des Klägers auf Berichtigung dieser Kontobuchungen noch ein Anspruch nach § 675u S. 2 BGB.

25 Dabei legt das Gericht nach Anhörung des Klägers und Vernehmung der Zeugin J. folgenden Sachverhalt zugrunde:

26 Unbekannte Dritte hatten Kenntnis der Zugangsnummer und PIN des Klägers sowie seiner Telefonnummer erlangt. Wie sie diese Kenntnis erlangt hatten, ist unbekannt.

27 Um mit Hilfe der Zugangsnummer und der PIN im online-Banking der Beklagten das Konto des Klägers aufzurufen, benötigten die Täter entweder Zugriff auf ein Gerät, auf welchem man sich bereits zuvor in das Konto des Klägers eingeloggt hatte oder eine Autorisierung des Zugriffs mittels der pushTAN-App. Da die Täter offenbar keinen Zugriff auf ein solches Gerät hatten, versuchten sie sich einzuloggen.

28 Am 13.2.2023 um etwa 17:00 h riefen die Täter unter Anzeige der Telefonnummer der Beklagten beim Kläger an und gaben sich als vermeintliche Mitarbeiter der Beklagten aus. Sie spiegelten ihm vor, es werde über das Geld auf seinem Konto verfügt. Nachdem der Kläger verneint hatte, dies veranlasst zu haben, spiegelten sie ihm vor, es sei seine unverzügliche Mitwirkung erforderlich, um diese Kontoabflüsse zu stoppen bzw. Rückbuchungen vorzunehmen. So brachten sie den Kläger täuschungsbedingt dazu, zunächst diesen Login freizugeben. So – für den Kläger unerkannt - in den persönlichen Bereich gelangt, konnten die Täter sehr schnell diverse Informationen zum Konto erlangen und ihm so erst recht glaubhaft vorspiegeln, Mitarbeiter der Beklagten zu sein.

29 Nachfolgend gaben die Täter drei Überweisungen auf. Hierzu waren ebenfalls jeweils Freigabe mittels pushTAN erforderlich, die nach Aufgabe der Überweisungen durch die Täter vom System der Beklagten bei der pushTAN-App des Klägers angefordert wurden und vom Kläger erteilt wurden.

30 Der Transaktionsübersicht der Beklagten (Anlage B4) ist hierzu im Einzelnen zu entnehmen, dass am 13.2.2023 um 17:01:24 h eine Freigabe mittels pushTAN für einen „Login persönlicher Bereich“ angefordert worden ist. Dieser Login ist am 13.2.2023 um 17:04:51 h freigegeben worden. Der betreffenden Zeile „push“ kann die Transaktion (Login persönlicher Bereich), die Uhrzeit der Annahme dieser TAN („verwendet am“) und das Ergebnis („angenommen“) im Feld „Status“ entnommen werden. Der Login persönlicher Bereich eröffnet eine sog. Session-TAN, also eine TAN, die länger gültig ist. Er ist daher grün markiert. Das Ende der Gültigkeit dieser Session-TAN wurde durch eine weitere grün markierte Zeile dargestellt mit der Transaktion „Session-TAN Ende“. In der dortigen Zeile ist unter „angefordert am“ auch die Uhrzeit der ursprünglichen Anforderung dieser Session-TAN dokumentiert.

31 Protokolliert sind im Laufe dieser Session weiter drei Freigaben für Überweisungen, die erste angefordert um 17:07:08 und freigegeben um 17:07:56, die zweite angefordert um 17:08:57 und freigegeben um 17:09:05, die dritte angefordert um 17:09:52 und freigegeben um 17:10:00. Das dokumentiert die Freigaben, die der Kläger auch nach seinem Vortrag täuschungsbedingt erteilt hat. Protokolliert ist weiter eine PIN-Änderung, welche offenbar die Betrüger vornahmen und für welche die photoTAN um 17:11:40 h angefordert und um 17:12:22 h freigegeben worden ist. Nachfolgend ist um 17:15:23 die Postbox aufgerufen worden. Dies war im Rahmen der anfangs freigegebenen Session-TAN möglich, bedurfte also keiner gesonderten Freigabe. Das ist an der grünen Markierung erkennbar. Um 17:56:08 h wurde sodann die Session von den Tätern beendet.

32 Sämtliche Freigaben erfolgten von derjenigen Installation der Push-TAN-App der Beklagten aus, der bei der Beklagten die interne Kennung ZHQDS zugewiesen worden war. Bei der Installation der Push-TAN-App wird ein Token erzeugt, der eine eindeutige Kennung genau dieser Installation auf diesem Gerät mit diesen Kundenstammdaten ausweist. Dieser Token erhält wird in der Transaktionsübersicht der Beklagten mit einem 5-stelligen Buchstabencode symbolisiert. Vorliegend bezieht sich die Kennung ZHQDS also auf ein bestimmtes Mobiltelefon und auf diesem Telefon auf eine bestimmte Installation der pushTAN-App. Bei diesem Mobiltelefon handelte es sich tatsächlich um das Mobiltelefon des Klägers, wie daraus folgt, dass auch zuvor am 7.2.2022 die Freigabe eines Logins in den persönlichen Bereich und einer Überweisung jeweils mit dieser Kennung erfolgten. Diese Freigaben standen nicht mit Betrugstaten im Zusammenhang, sondern waren vom Kläger bewusst aufgegeben und freigegeben worden. Die Freigabe erfolgte mit der pushTAN-App auf seinem Mobiltelefon Kennung ZHQDS. Da diese beiden Freigaben vom Kläger selbst stammten, bezieht sich die Kennung ZHQDS auf sein Gerät und die auf diesem bereits am 7.2.2023 vorhandene Installation der pushTAN-App der Beklagten, die auch am 13.2.2023 verwendet worden ist.

33 Bei der Freigabe der Vorgänge erschienen auf der pushTAN-App des Klägers jeweils Anzeigen wie in Anlage 5.1 und B5.2.

34 Diese Würdigung beruht auf folgenden Erwägungen:

35 Die Schilderungen der Zeugin J.dazu, was die protokollierten Eintragungen auf der Transaktionsübersicht Anlage B4 bedeuten und welche technischen Vorgänge dem jeweils zugrunde liegen, ist glaubhaft, ebenso die Angabe, welche Anzeigen bei der Freigabe von Vorgängen mittels pushTAN jeweils auf der Freigabe-App erfolgen und dass pushTAN und photoTAN in Anlage B4 dieselbe FreigabeApp bezeichnet. Das Gericht ist angesichts dessen auch überzeugt, dass bereits der Login durch den Kläger freigegeben worden ist, ebenso die nachfolgenden Überweisungen. Das führt zu dem Schluss, dass die Täter nicht bereits zum Zeitpunkt des Anrufs über Wissen über die Einzelheiten der Kontoführung verfügten. Hätten sie dieses Wissen, würde dies voraussetzen, dass sie sich bereits zuvor in das Konto hätten einloggen können. Dann wäre allerdings ein nachfolgender Login, welcher vom Kläger freigegeben werden musste, ein unnötiges Risiko. Hatten die Täter sich einmal eingeloggt, war innerhalb von 90 Tagen ein weiterer Login ohne gesonderte Freigabe möglich. Da die Täter sehr professionell agierten und sicherlich keine unnötigen Risiken eingegangen sind, lässt die Tatsache, dass sie einen Login vornahmen, welcher vom Kläger freigegeben werden musste, für das Gericht daher den Schluss zu, dass ein solcher Login mit Freigabe durch den Kläger für den modus operandi erforderlich war – den Tätern also nicht schon ohne diese Freigabe ein Login möglich war. Wäre es den Tätern möglich gewesen, ohne Mitwirkung des Klägers eine Freigabe zu erzeugen, wie sie für den Login möglich war, so hätten sie auch ohne seine Mitwirkung eine Freigabe für die Überweisung erzeugen können. Die Art und Weise der Freigabe unterscheidet sich nicht danach, was für einen Vorgang die konkrete Freigabe betrifft. Wären die Täter aber für Freigaben nicht auf den Kläger und die PushTAN-App auf dessen Mobiltelefon angewiesen gewesen, hätten sie sicherlich nicht bei ihm angerufen. Von daher erscheint dem Gericht einzig plausibel, dass auch bereits die Freigabe des Logins, wie von der Beklagten dokumentiert, auf dem Gerät des Klägers freigegeben worden ist, also vom Kläger selbst. Offenbar ist es den Tätern also gelungen, den Kläger in dem Telefonat, in dem sie sich als vermeintliche Bankmitarbeiter ausgaben, täuschungsbedingt sowohl zur Freigabe des Logins als auch nachfolgend der Überweisung zu veranlassen.

36 Dabei geht das Gericht nach Anhörung des Klägers ausdrücklich nicht davon aus, dass dieser gelogen habe. Vielmehr ist glaubhaft, dass der Kläger davon ausgeht, eine Freigabe für den Login nicht erteilt zu haben. Allerdings geht das Gericht diesbezüglich von einer irrtümlichen Erinnerung des Klägers aus. Möglicherweise spiegelten die Täter dem Kläger zunächst lediglich vor, es gingen Überweisungen von z.B. 2.945 € ab und veranlassten ihn so, sich selbst in das Konto einzuloggen. Da zum eigenen Login eine Freigabe häufig erforderlich ist – es reicht aus, dass im Browserverlauf nach dem letzten Login Cookies gelöscht worden sind, was auch eine standardmäßige Einstellung sein kann -, wäre es aus Sicht der Klägers nichts Außergewöhnliches und damit auch nichts Auffälliges, wenn er in dem Moment seines Logins eine Freigabeanforderung erhält. Nutzen die Täter, die ja mit dem Kläger telefonieren, diesen Moment zum eigenen Login, beträfe eine vom Kläger vermeintlich für seinen Login in diesem Moment erteilte Freigabe tatsächlich den parallelen Login der Betrüger. Einen solchen Geschehensablauf hält das Gericht für denkbar. Nicht plausibel erscheint dem Gericht hingegen, dass die Täter in der Lage gewesen sein sollten, die um 17:04:51 h dokumentierte Freigabe des Logins, die um 17:01:24 h offenbar von den Betrügern angefordert worden war, selbst zu erzeugen und als solche des Klägers zu tarnen, ohne dass die Täter dann auch in der Lage gewesen wären, auch die nachfolgend protokollierten Freigaben für die Überweisungen selbst zu erzeugen.

37 Die Möglichkeit, dass die Geräte des Klägers oder die Verbindung zwischen diesen und den Servern der Beklagten kompromittiert gewesen sein kann, z.B. im Rahmen eines sog. man-in-the-middle-Angriffs, mittels dessen die Täter insbesondere auf der pushTAN-App des Klägers andere Anzeigen vornehmen könnten als sie als Signal an die Beklagte mitgeteilt werden oder mittels derer die Täter die Freigabe des Logins selbst veranlassen könnten, schließt das Gericht vorliegend nach Anhörung des Sachverständigen A. aus. Hätten die Täter über die Möglichkeit verfügt, eine Freigabe ohne Mitwirkung des Klägers zu veranlassen, hätten sie auch eine weitere Freigabe so veranlassen können. Es ist technisch nicht plausibel, dass solches einmalig erfolgen kann, dann aber kein zweites Mal. Von daher wären die Täter dann auf die Mitwirkung des Klägers gar nicht angewiesen gewesen – und hätten angesichts der ansonsten sehr professionellen Tatausführung sicherlich nicht den Weg des Anrufs bei ihm gewählt, wenn dieses nicht erforderlich gewesen wäre. Wären sie auf die Freigabe mittels der pushTAN-App des Klägers angewiesen gewesen, dabei aber in der Lage gewesen, die Anzeigen in der pushTAN-App zu modifizieren, wäre ebenfalls nicht erklärlich, warum fünf Freigaben protokolliert sind – für den Login, drei Überweisungen und eine PIN-Änderung, der Kläger aber nur Überweisungen freigegeben haben will, keinen Login. Technisch wäre allenfalls denkbar, dass die Täter mittels einer Kompromittierung die erste Freigabe „kapern“, um sodann – theoretisch - unabhängig von der weiteren Mitwirkung des Klägers nachfolgende Freigaben vorzunehmen. Dann müsste die erste Freigabe des Klägers tatsächlich dem Login persönlicher Bereich gegolten haben. Der Kläger hat aber nach eigenem Bekunden eine Zahlung – die vermeintliche Rückbuchung – freigegeben. Selbst wenn – theoretisch – die Täter mithin die Anzeige auf der App des Klägers hätten beeinflussen können, ergibt es wenig Sinn, eine eigentlich weniger verdächtige Anzeige („Login“) in eine viel verdächtigere („Überweisung“) zu ändern. Außerdem hätten sie seine Mitwirkung dann nicht mehr für die nachfolgenden Freigaben benötigt. Der Kläger ist aber auch nach seinem Bekunden von den Anrufern dazu gebracht worden, mehrere Überweisungen freizugeben. So sind diese Täter sicherlich nicht vorgegangen, wenn das nicht erforderlich war.

38 In der Gesamtschau ist das Gericht daher überzeugt, dass sowohl der Login als auch die Überweisungen jeweils einer Freigabe mittels pushTAN-App bedurften, dass diese App so gehärtet ist, dass es diesen Tätern nicht gelang, sie zu kompromittieren und dass die Täter daher für die Ausführung der Tat entsprechende Freigaben durch den Kläger benötigten. Es ist ihnen gelungen, sich gegenüber dem Kläger glaubhaft als Mitarbeiter der Beklagten auszugeben und diesen so dazu zu bringen, täuschungsbedingt sowohl den Login als auch nachfolgend die Überweisungen freizugeben, indem sie ihm vorspiegelten, es gehe dabei um eine Stornierung/Rückbuchung vermeintlich bereits angewiesener Überweisungen.

39 Bei diesem Sachverhalt stellen sich die Überweisungen als vom Kläger autorisiert i.S.v. § 675j Abs. 1 S. 1 BGB dar.

40 Die vom Kläger erklärten Autorisierungen der Überweisungen sind im Sinne der deutschen Rechtsgeschäftslehre Erklärungen ohne Erklärungsbewusstsein.

41 Die Autorisierung eines Zahlungsvorgangs ist die Erklärung des Nutzers, dass er mit einem bestimmten Zahlungsvorgang einverstanden ist. Im Falle der Überweisung beinhaltet die Autorisierung die Erklärung des Einverständnisses, mit einer Überweisung des dort angegebenen Betrages auf das dort angegebene Konto einverstanden zu sein. Das entspricht im herkömmlichen Verständnis einer Anweisung an die Bank. Durch die Autorisierung kommt ein auftragsähnliches vertragliches Verhältnis zwischen dem Zahler und dem Zahlungsdienstleister zustande, kraft dessen der Zahlungsdienstleister verpflichtet ist, den autorisierten Zahlungsvorgang auszuführen, umgekehrt berechtigt ist, die ihm dadurch entstehenden Aufwendungen dem Konto des Zahlers zu belasten. Dabei kommt Auftragsrecht zur Anwendung, § 675c Abs. 1, § 670 BGB. In diesem Sinne soll die Autorisierung ein solches auftragsähnliches vertragliches Verhältnis mit diesen daraus entstehenden Rechten und Pflichten zu entstehen bringen. Es handelt sich daher um eine Willenserklärung, ebenso wie die Erteilung eines Auftrags nach § 662 BGB, nicht um eine geschäftsähnliche Handlung. Die Rechte und Pflichten aus diesem Verhältnis entstehen erst mit Zugang der Autorisierung beim Zahlungsdienstleister. Es handelt sich daher um eine empfangsbedürftige Willenserklärung. Zwar kommt die Verpflichtung des Zahlungsdienstleisters zur unverzüglichen Ausführung des autorisierten Zahlungsvorgangs im Rahmen eines bestehenden Zahlungsdiensterahmenvertrags i.S.v. § 675f Abs. 2 BGB bereits mit Zugang der Autorisierung zustande, ohne dass es, wie bei einem Auftrag, einer Annahmeerklärung des Zahlungsdienstleisters bedürfte. Das ändert aber nichts daran, dass die Erklärung des Zahlers eine Rechtsfolge – insbesondere die Verpflichtung des Zahlungsdienstleisters zur Ausführung des autorisierten Zahlungsvorgangs – herbeiführen soll und es sich damit um eine Erklärung handelt, die auf die Herbeiführung einer Rechtsfolge deshalb gerichtet ist, weil diese Folge gewollt ist, also eine Willenserklärung.

42 Als solche Erklärungen sind die Autorisierungen der Überweisungen – vom äußeren Tatbestand her – der Beklagten auch zugegangen. Indem der Kläger die von betrügerischen Dritten im Onlinebanking aufgegebene Überweisung jeweils auf der pushTAN-App seines Mobiltelefons freigab, ging bei der Beklagten eine Erklärung ein, die aus der Sicht eines objektiven Dritten in der Rolle des Empfängers den Erklärungsgehalt beinhaltete, dass der Kläger die Beklagte mit der Ausführung der darin beschrieben Zahlungsvorgänge – einer Überweisung von 2.945 € auf das Konto der dort angegebenen IBAN mit Buchung der dadurch entstehenden Aufwendungen zu Lasten des Kontos des Klägers und einer weiteren Überweisung über 2.985 € – beauftragte.

43 Hinsichtlich des inneren Tatbestandes handelte der Kläger zwar mit Handlungswillen, aber ohne Erklärungsbewusstsein. Denn ihm war von den Anrufern vorgespiegelt worden, es gehe bei diesen Freigaben um die Stornierung eines betrügerisch erteilten Zahlungsauftrages bzw. die Rückbuchung des Geldes. Auch im Falle der Rückbuchung liegt dem nicht die Vorstellung zugrunde, der Kläger führe eine Rechtsfolge herbei. Das ist etwa bei den sog. Rücküberweisungsfällen der Fall, in denen den Kunden vorgespiegelt wird, es sei ein Betrag auf ihrem Konto eingegangen, der den Kunden nicht zustehe und die Kunden veranlasst werden, diesen täuschungsbedingt zurückzuüberweisen. In diesen Fällen ist dem Kunden bewusst, dass er eine Überweisung beauftragt, also eine Rechtsfolge herbeiführt. Der Irrtum liegt im Motivbereich. Vorliegend ging der Kläger nicht davon aus, dass mit seinen Autorisierungen eine Rechtsfolge im Sinne des Entstehens einer Verpflichtung herbeigeführt würde. In der Vorstellung getäuschter Bankkunden geht es hier eher die Erlaubnis eines technischen Zugriffs. Es gibt eine Vielzahl technischer Vorgänge, die im Onlinebanking einer Freigabe bedürfen, etwa der Login, wenn er nicht von einem vertrauenswürdigen Gerät erfolgt, auch da – bei der Beklagten – der Login alle 90 Tage, eine Datenänderung, eine Abfrage umfangreicherer Umsatz- oder anderer Kontodaten usw. Alle diese Freigaben führen aber keine Rechtsfolge herbei und sind daher von vornherein keine Willenserklärung.

44 In diesem Sinne handelt es sich auch bei den vermeintlichen Autorisierungen an den vermeintlichen Bankmitarbeiter, einen vermeintlich abgebuchten Betrag dem Konto wieder gutzuschreiben oder einen vermeintlich betrügerisch und damit rechtlich unwirksam erteilten Zahlungsauftrag nicht auszuführen, in der Vorstellung der Bankkunden eher um die Autorisierung eines solchen technischen Zugriffs. Die Bankkunden haben in einem solchen Fall in der Regel nicht die Vorstellung, sie würden durch diese Autorisierung eine Rechtsfolge im Sinne des Entstehens einer rechtlichen Verpflichtung der Bank oder ihrer Person herbeiführen. Geht der Erklärende bei einer Erklärung, die aus Sicht eines objektiven Dritten in der Rolle des Empfängers als Willenserklärung erscheint, subjektiv davon aus, gar nicht rechtlich erheblich zu handeln, also gar keine Rechtsfolge herbeizuführen, handelt es sich um eine Erklärung ohne Erklärungsbewusstsein.

45 Überwiegend wird auf die Autorisierung eines Zahlungsvorgangs ohne Erklärungsbewusstsein die deutsche Rechtsgeschäftslehre angewendet (OLG Dresden, Urteil vom 13. Oktober 2022 – 8 U 760/22 –, Rn. 40; Zahrte, BKR 2016, 315, 317; MüKoBGB/Jungmann, 9. Aufl. 2023, BGB § 675j Rn. 16 m.w.N; BeckOGK/Köndgen, 15.9.2023, BGB § 675j Rn. 10). In der allgemeinen deutschen Rechtsgeschäftslehre werden Erklärungen ohne Erklärungsbewusstsein dann, wenn sie der Erklärende hätte erkennen können, das die Erklärung als Willenserklärung verstanden werden kann, als bindende Willenserklärung behandelt, aber anfechtbar entsprechend § 119 BGB.

46 Keineswegs fernliegend wäre auch, die Anwendung dieser Folge auf Autorisierungen ohne Erklärungsbewusstsein abzulehnen, weil eine Anfechtung wegen oder entsprechend § 119 Abs. 1 BGB im Rahmen des Zahlungsdiensterechts ausgeschlossen ist und damit eine wesentliche Grundlage dieser Rechtsprechung zum allgemeinen Zivilrecht entfällt.

47 Richtigerweise ist zunächst zu prüfen, ob auf die Autorisierung und damit die Frage, wie eine Autorisierung ohne Erklärungsbewusstsein zu behandeln ist, überhaupt die deutsche Rechtsgeschäftslehre anzuwenden ist. In Betracht kommt auch, den Begriff der Autorisierung autonom auszulegen. Denn die Regelungen in §§ 675c ff. BGB, insbesondere zur Autorisierung in § 675j Abs. 1 BGB, sind eine Umsetzung der EU-Richtlinie 2015/2366 vom 25. November 2015 über Zahlungsdienste im Binnenmarkt, i.F. PSD-2-Richtlinie. § 675j Abs. 1 BGB setzt die Vorschrift von Art. 64 Abs. 1 S. 1 der PSD-2-Richtlinie um, wonach die Mitgliedstaaten sicherstellen, dass ein Zahlungsvorgang nur dann als autorisiert gilt, wenn der Zahler der Ausführung des Zahlungsvorgangs zugestimmt hat, die Zustimmung in der zwischen dem Zahler und dem Zahlungsdienstleister vereinbarten Form erteilt wird und dass der Zahlungsvorgang als nicht autorisiert gilt, wenn diese Zustimmung fehlt. Da diese Richtlinie der Vereinheitlichung des Binnenmarktes dient, kommt eine autonome Auslegung des Begriffs der Zustimmung/Autorisierung in Betracht, die dann auch für die Mitgliedstaaten verbindlich wäre. Zur rechtlichen Bewertung von Grenzbereichen der Autorisierung wäre dann der Rückgriff auf allgemeine nationale Grundsätze nicht zulässig.

48 Im Ausgangspunkt ist die PSD-2-Richtlinie nach Art. 107 dieser Richtlinie vollharmonisierend. Abgesehen von den dort genannten Artikeln dürfen die Mitgliedsstaaten in den Bereichen, in denen diese Richtlinie harmonisierte Bestimmungen enthält, keine anderen als die in dieser Richtlinie festgelegten Bestimmungen beibehalten oder einführen. Für die Regelung der Autorisierung in Art. 64 sind keine Ausnahmen vorgesehen. Allerdings betrifft die Vollharmonisierung bereits nach dem Wortlaut von Art. 107 der Richtlinie nur die Bereiche, in denen diese Richtlinie harmonisierte Bestimmungen enthält. Für die exakten Anforderungen an eine Zustimmung (Autorisierung) enthält die Richtlinie keine harmonisierten Bestimmungen. Grundsätzlich ist die Reichweite vollharmonisierter Richtlinien nach der Rechtsprechung des Bundesgerichtshofs eher eng auszulegen (Vgl. BGH, Urteil vom 22. Mai 2012 – XI ZR 290/11 –, BGHZ 193, 238-260, Rn. 24). Danach unterliegt die Vollharmonisierung ihrerseits inhaltlichen Grenzen. Der Grundsatz der Vollharmonisierung hindert den nationalen Gesetzgeber nicht, Sachverhalte, die von der Richtlinie nicht erfasst sind, autonom zu regeln. Eine Sperrwirkung für nationale Regelungen und Rechtsgrundsätze entfalten Richtlinien nur, sofern sie für den zu beurteilenden Sachverhalt eine ausdrückliche Regelung enthalten und wenn aus ihren Bestimmungen hervorgeht, dass die von der Richtlinie vorgesehenen Rechtsfolgen ausnahmslos den von ihr geregelten Sachverhalten vorbehalten sein sollen (BGH, Urteil vom 22. Mai 2012 – XI ZR 290/11 –, BGHZ 193, 238-260, Rn. 24 m.w.N.).

49 Die PSD-II-Richtlinie enthält keine, erst recht keine ausdrücklichen, Regelungen dazu, welche Anforderungen an die innere Seite einer Erklärung zu stellen sind, damit sie als Zustimmung im Sinne von Art. 64 Abs. 1 S. 1, Abs. 2 S. 2 der Richtlinie gilt. Auch die Formulierung der Richtlinie, dass die Mitgliedstaaten sicherstellen, wann ein Zahlungsvorgang als autorisiert gilt, deutet an, dass es weniger um die exakte Formulierung eines Tatbestandsmerkmals geht, als um eine Anknüpfung an ein Merkmal „Zustimmung", das offenbar definitionslos vorausgesetzt wird und für dessen genaue Ausfüllung also an anderweitig zu suchende Definitionen angeknüpft werden muss. Auch ist zu beachten, dass die PSD-II-Richtlinie in der Rechtsfolge, wenn keine Autorisierung vorliegt, den Mitgliedstaaten einigen Regelungsspielraum einräumt. So trägt dann grundsätzlich der Zahler alle Verluste, die in Verbindung mit nicht autorisierten Zahlungsvorgängen entstanden sind, wenn er sie durch grob fahrlässige Verletzung von Pflichten nach Artikel 69 herbeigeführt hat, Art. 74 Abs. 1 S. 3. Ob und in welchem Maße fahrlässig gehandelt wurde, sollte nach der Präambel, Ziff. 72 S. 2 unter Berücksichtigung der dort genannten Grundsätze ausdrücklich nach nationalem Recht beurteilt werden. Verweist die Richtlinie damit bei der Ausgestaltung der zentralen Rechtsfolge, wenn keine Autorisierung vorliegt, auf das jeweilige nationale Recht, spricht dies dafür, auch bei der Beurteilung von Grenzbereichen, ob eine Autorisierung gegeben ist oder nicht, keinen Willen zur ausnahmslos identischen Regelung anzunehmen, die damit denklogisch nur auf europäischer Ebene entschieden werden könnten.

50 Die Frage, welche Merkmale eine Zustimmung auf der inneren Seite voraussetzt und wie sich etwaige Irrtümer auswirken, ist daher nach nationalem Recht zu beurteilen.

51 Da die Autorisierung bzw. Zustimmung zu einem Zahlungsvorgang i.S.v. § 675 j S. 1 BGB im deutschen Recht, wie ausgeführt, als einseitige, empfangsbedürftige Willenserklärung zu qualifizieren ist, ist daher die allgemeine Rechtsgeschäftslehre anzuwenden. Wie ausgeführt, werden danach Erklärungen ohne Erklärungsbewusstsein dann, wenn sie der Erklärende hätte erkennen können, das die Erklärung als Willenserklärung verstanden werden kann, als bindende Willenserklärung behandelt, aber anfechtbar entsprechend § 119 BGB. Das soll einerseits dem Erklärenden die Gelegenheit geben, den anderen Teil an einem scheinbar eingegangenen Vertrag festzuhalten, andererseits berechtigte Schutzinteressen des anderen Teils berücksichtigen, der im Falle der Anfechtung Anspruch auf Ersatz seines Vertrauensschadens nach § 122 BGB hat.

52 Im Bereich der Zustimmung/Autorisierung zu einem Zahlungsvorgang nach § 675j BGB ist jedenfalls eine Irrtumsanfechtung ausgeschlossen. Das würde der Wertung des § 675p Abs. 1 BGB widersprechen, wonach der Zahlungsdienstnutzer einen Zahlungsauftrag vorbehaltlich der dort geregelten Ausnahmen nach dessen Zugang beim Zahlungsdienstleister des Zahlers nicht mehr widerrufen kann. Zwar könnte man im deutschen Zivilrecht noch zwischen einem Widerruf und einer Anfechtung differenzieren. § 675p BGB setzt aber die Vorgabe von Art. 80 der PSD-2-Richtlinie über die Unwiderruflichkeit von Zahlungsaufträgen um. Diese Regelung ist aufgrund der Vollharmonisierung zwingend und legt einen weiten Begriff der Unwiderruflichkeit zugrunde, der auch eine Anfechtung nach nationalem Recht umfassen würde (anders Zahrte, BKR 2016, 315). Ist eine Autorisierung nach § 675j BGB nicht wegen Inhaltsirrtümern anfechtbar, kann eine solche Erklärung, wenn sie ohne Erklärungsbewusstsein abgegeben worden ist, auch nicht entsprechend dieser Vorschrift anfechtbar sein. Damit gilt eine der wesentlichen Grundlagen, warum nach der deutschen Rechtsgeschäftslehre Erklärungen ohne Erklärungsbewusstsein, sofern zurechenbar, als wirksam, aber anfechtbar angesehen werden, für Autorisierungen nach § 675j BGB gerade nicht. Das schließt indes eine Anwendung dieser Grundsätze nicht aus. Zum einen entspricht es der Einheitlichkeit der Rechtsordnung, Willenserklärungen, auf die die deutsche Rechtsgeschäftslehre angewendet wird, gleich zu behandeln. Vor allem aber führt das Fehlen der genannten Voraussetzung nicht zu einem Widerspruch auf Wertungsebene. Dächte man sich die Regelung in Art. 80 der PSD-2-Richtlinie weg, ginge also davon aus, dass eine Autorisierung ohne Erklärungsbewusstsein wirksam, aber anfechtbar ist, wie es den normalen Folgen der Rechtsgeschäftslehre entspräche, könnte sich der Zahler nach einer solchen Erklärung entscheiden, ob er sie gelten lässt – mit der Folge eines Aufwendungsersatzanspruchs der Zahlungsdienstleisters – oder ob er sie anficht – mit der Folge des Wegfalls der Anweisung, aber eines Anspruchs des Zahlungsdienstleisters auf Ersatz des Vertrauensschadens nach § 122 BGB. Im Ergebnis müsste der Zahler dem Zahlungsdienstleister, welcher auf die Wirksamkeit der Zahlungsanweisung vertraut hat, die dafür erbrachten Aufwendungen ebenfalls ersetzen, jedenfalls wenn der überwiesene Betrag– wie stets in den hier relevanten betrugsbedingten Fällen – beim Zahlungsempfänger nicht rückholbar ist. Die automatisierte Ausführung von Zahlungsanweisungen steht dabei einer Ausführung im Vertrauen auf die erteilte Anweisung gleich. Die Wirksamkeit, aber Anfechtbarkeit einer Zahlungsanweisung ohne Erklärungsbewusstsein würde also nach der allgemeinen Rechtsgeschäftslehre gerade nicht dazu führen, dass das Risiko der Wiedererlangung des überwiesenen Betrages auf den Zahlungsdienstleister verlagert würde. Es verbliebe vielmehr auch im Falle der Anfechtung beim Zahler selbst. Lediglich für das Überweisungsentgelt ergäbe sich ein Unterschied. Dieses ist aber wirtschaftlich im Verhältnis zum überwiesenen Betrag in praxi gänzlich vernachlässigbar, wenn überhaupt eines erhoben wird. Würde das wirtschaftliche Risiko der Rückholbarkeit betrugsbedingt veranlasster Zahlungen nach deutscher Rechtsgeschäftslehre im Falle der Anfechtbarkeit beim Zahler verbleiben, folgt auf der Wertungsebene daraus, dass die Anfechtung bei der Autorisierung von Zahlungen ausgeschlossen ist, aber gerade keine andere Risikoverteilung. Vielmehr entspricht es einer Aufrechterhaltung der Wertungen des deutschen Zivilrechts, dass bei fehlender Anfechtbarkeit der Zahler ebenso das wirtschaftliche Risiko der Rückholbarkeit einer von ihm ohne Erklärungsbewusstsein beauftragten Überweisung trägt, wie er es im (gedachten) Falle der Anfechtbarkeit tragen würde.

53 In der Gesamtbetrachtung ändert die fehlende Anfechtbarkeit von Autorisierungen nach § 675j BGB daher nichts daran, dass eine vom Zahler ohne Erklärungsbewusstsein erklärte Autorisierung als wirksame Autorisierung anzusehen ist.

54 Ob eine Anfechtung von Autorisierungen wegen Täuschung nach § 123 BGB ebenfalls ausgeschlossen ist, kann dahinstehen. Denn da die Täuschung in den hier relevanten Fällen durch Dritte verübt wird, würde sie gemäß § 123 Abs. 2 BGB nur dann zu einer Anfechtbarkeit führen, wenn der Zahlungsdienstleister, vorliegend die Beklagte, die Täuschung bei Eingang der Autorisierung bereits kannte oder kennen musste. Daran fehlt es.

55 Gegen diese Würdigung ließe sich einwenden, dass bei der Vertrauenshaftung nach § 122 BGB einfache Fahrlässigkeit für die Haftung wie bei einer Willenserklärung genüge. Nach der Wertung von § 675v BGB und Art. 74 der PSD-2-Richtlinie trägt das Missbrauchsrisiko im Hinblick auf die dort geregelten Zahlungsvorgänge aber grundsätzlich der Zahlungsdienstleister. Der Zahler kann dieses Risiko danach nur tragen, wenn er mindestens grob fahrlässig Pflichten in Bezug auf Zahlungsinstrumente und personalisierte Sicherheitsmerkmale verletzt, im Übrigen im hier wirtschaftlich nicht relevanten Bereich von Kleinbeträgen bis 50 €.

56 Allerdings liegt dieser Risikoverteilung der Gedanke zugrunde, dass der Zahlungsdienstleister, der etwa online-Banking anbietet, über dessen Ausgestaltung bestimmt. Er hat es in der Hand, ob und inwieweit er eine solche Möglichkeit zur Erteilung von Zahlungsaufträgen überhaupt eröffnet, wie er sie ausgestaltet und wie er dabei etwaigen Kompromittierungsmöglichkeiten begegnet. Die Eröffnung eines Onlinebanking-Zugangs kann von daher mit einer Betriebsgefahr verglichen werden. Der Zahlungsdienstleister, der diesen Zugang eröffnet, trägt gleichsam die Betriebsgefahr, also die damit notwendig einhergehenden Risiken der Kompromittierung der eingesetzten Kommunikationsmittel und damit das sog. Missbrauchsrisiko, insbesondere, dass vermeintliche Zahlungsaufträge von Dritten erteilt werden. Denn mit der Ausgestaltung des online-bankings kann der Zahlungsdienstleister auch dieses Missbrauchsrisiko begrenzen und beeinflussen.

57 Die Frage, ob eine Autorisierung vorliegt oder nicht, kann in diesem Sinne auch als Abgrenzungskriterium verstanden werden, ob das Risiko, um das es geht, dem Bereich der vom Zahlungsdienstleister grundsätzlich beherrschbaren „Betriebsgefahr“ des von ihm eröffneten Onlinebankings zuzuordnen ist – mit der Folge, dass dieses Missbrauchsrisiko bis zur Grenze der groben Fahrlässigkeit grundsätzlich beim Zahlungsdienstleister liegt -, oder ob das Risiko eher dem Bereich der vom Zahler selbst veranlassten Autorisierung zuzuordnen ist, also dem Risikobereich des Zahlers selbst. In diesem Sinne würde etwa ein Verschreiben des Zahlers beim Betrag zwar zu einer irrtumsbehafteten Autorisierung führen, die auch nicht mehr anfechtbar ist, aber eindeutig dem Risikobereich des Zahlers zuzuordnen ist, nicht des Zahlungsdienstleisters. Hingegen würde ein Hackerangriff, bei dem Dritte die pushTAN-App übernehmen und anstelle des Kunden Zahlungsaufträge erteilen und freigeben, eindeutig in den Risikobereich des Zahlungsdienstleisters fallen. Hier realisiert sich das sog. Missbrauchsrisiko, was bedeutet, dass das Risiko auf Umstände zurückgeht, die im Machtbereich des Zahlungsdienstleisters liegen.

58 Erteilt der Kunde selbst eine Autorisierung, auch wenn dies irrtums- oder täuschungsbedingt erfolgt, ist dies in diesem Sinne grundsätzlich dem Risikobereich des Zahlers zuzuordnen, nicht der vom Zahlungsdienstleister zu tragenden Betriebsgefahr. Denn der Zahlungsdienstleister muss dem Kunden überhaupt einen Zugang ermöglichen und das ist vom Kunden auch gewollt. Kann der Kunde Überweisungen vornehmen, kann er dies auch irrtümlich tun oder täuschungsbedingt dazu veranlasst werden. All dies lässt sich vom Zahlungsdienstleister praktisch nicht beeinflussen, weil der Angriff als solcher in diesen Fällen gar nicht auf das Zahlungsdienstsystem selbst abzielt, sondern auf den Kunden, bei dem in ersten Linie ein Irrtum hervorgerufen werden soll. Das kann der Zahlungsdienstleister nicht generell verhindern. Zwar ist es nach fast jedem erfolgreichen Betrugsangriff so, dass der konkrete Irrtum, der hier hervorgerufen worden ist, durch irgendeine andere Gestaltung oder einen Warnhinweis auch hätte verhindert werden können. Das ändert auf der Wertungsebene aber nichts daran, dass in diesen Fällen im Wesentlichen keine technischen Schwachstellen ausgenutzt werden, sondern ein Irrtum beim Kunden selbst hervorgerufen wird und ausgenutzt wird, dass dieser überhaupt über Geldbeträge verfügen kann. Dass der Kunde überhaupt über Geldbeträge verfügen kann, ist aber keine mit dem Onlinebanking notwendig verbundene oder vom Zahlungsdienstleister beherrschbare Gefahr, sondern Sinn und Zweck des Online-Bankings und von beiden Parteien gewollt.

59 Dementsprechend ist auf der Wertungsebene die irrtumsbedingte Erteilung einer Autorisierung durch den Zahler selbst nicht dem Bereich des Missbrauchs und damit dem nach § 675v BGB / Art. 80 PSD-2-Richtlinie grundsätzlich vom Zahlungsdienstleister zu tragenden Risikobereich zuzuordnen, sondern vom Zahlungsdienstleister nicht wesentlich beeinflussbar, vielmehr vom irrenden Zahler selbst, und daher dem vom Zahler selbst zu tragenden Risikobereich der wirksamen Autorisierung zuzuordnen. Das gilt auch, wenn der Irrtum auf der Täuschung eines Dritten beruht und auch dann, wenn diese Täuschung auf der inneren Seite der Erklärung des Zahlers dazu führt, dass er ohne Erklärungsbewusstsein handelt (im Ergebnis ebenso: OLG Schleswig, Beschluss vom 3.1.2024 - 5 W 25/23).

60 Vorliegend stellen sich die Freigaben zweier Zahlungen über 2.945 € und 2.985 € durch den Kläger selbst daher als zwar täuschungsbedingt und ohne Erklärungsbewusstsein abgegebene, aber wirksame Autorisierungen dar.

61 Daran ändert sich nichts deshalb, weil die Zahlungsaufträge selbst nicht vom Kläger eingegeben worden waren, sondern von Dritten. Zwar kann man grundsätzlich für eine wirksame Autorisierung fordern, dass diese vollständig vom Zahler selbst vorgenommen wird, da eine (offene) Stellvertretung im Bereich der Autorisierung grundsätzlich unzulässig ist. Allerdings ist es nicht unzulässig, einen Zahlungsauftrag von einem Dritten eingeben zu lassen, weil durch die Aufgabe selbst noch keinerlei Bindungswirkung entsteht. Diese entsteht im Onlinebanking erst und ausschließlich durch die Freigabe, hier in der pushTAN-App. Ebenso, wie es bei klassischen papiergebundenen Überweisungen unproblematisch zulässig und üblich war und ist, dass Mitarbeiter oder beauftragte Dritte den Überweisungsträger ausfüllen und dieser sodann den Zahler selbst nur noch unterschrieben wird, ist es im Bereich des online-Bankings unproblematisch möglich und zulässig, dass Mitarbeiter oder Dritte Zahlungsaufträge ausfüllen und aufgeben, solange die Prüfung und Freigabe selbst ausschließlich durch den Zahler persönlich vorgenommen und verantwortet wird. Die Ausfüllung des erst später freizugebenden Zahlungsauftrags hat nur den Charakter eines Entwurfs. Eine verbindliche Anweisung wird daraus erst durch die Freigabe. Nur diese ist rechtlich betrachtet eine Willenserklärung. Bei ihr ist eine Stellvertretung unzulässig, im vorbereitenden Bereich darf sich der Bankkunde aber der Hilfe Dritter bedienen – oder etwa, was mittlerweile häufiger wird, Texterkennungsprogrammen oder automatischen Ausfüllhilfen.

62 Auch, wenn man für eine wirksame Autorisierung eine eigene und vollständige Zwei-Faktor-Authentifizierung durch den Zahler selbst fordert, wäre eine solche gegeben. Die Autorisierung erfolgte vorliegend dadurch, dass dem Kläger in der pushTAN-App angezeigt wurde, dass ein Auftrag zur Prüfung und Freigabe vorliege. Es wurde angezeigt, dass es um eine Überweisung geht, die IBAN und der Betrag. Für die Freigabe musste der Kläger zum einen das Gerät besitzen, auf welchem sich die konkrete pushTAN-App, die hier angesteuert wurde, befand, zum anderen beim Öffnen dieser App ein Passwort eingegeben, falls auf seinem Mobiltelefon das Öffnen passwortgeschützter Apps mit Hilfe von faceID, fingerprint oder Wischmuster eingestellt war, dieses Merkmal nutzen. In jedem Fall fand eine 2-Faktor-Authentifizierung allein für die Freigabe statt, weil zum einen ein Besitzmerkmal, zum anderen ein Wissensmerkmal erforderlich war. Letzteres konnte durch ein biometrisches Merkmal ersetzt werden, das änderte aber nichts an der 2-Faktor-Authentifizierung.

63 Im Übrigen kommt es nach richtigem Verständnis im Falle einer wirksamen Autorisierung nicht auf eine 2-Faktor-Authentifizierung an. Diese ist erforderlich, um das Missbrauchsrisiko zu senken, da beim Erfordernis einer 2-Faktor-Authentifizierung ein Missbrauch z.B. im Sinne des Knackens eines Passworts sehr viel schwieriger wird. Man muss ja auch noch ein ganz anderes Merkmal knacken. Wenn hingegen der Bankkunde wissentlich und willentlich einen Zahlungsauftrag aufgibt und der Zahlungsdienstleister diesen Auftrag akzeptiert und ausführt, leuchtet nicht ein, warum der Aufwendungsersatzanspruch des Zahlungsdienstleisters davon abhängen sollte, in welcher Form der Kunde diesen Zahlungsauftrag erteilt hat und ob er eine 2-Faktor-Authentifizeriung genutzt hat. Der Bankkunde, der beispielsweise einfach nur bei seinem Berater anruft, kann wirksam Aufträge erteilen. Ob seine Authentifizierung mittels eines 2-Faktor-Verfahrens erfolgt oder einfach dadurch, dass der Berater ihn aufgrund persönlicher Bekanntheit eindeutig identifiziert, ist für die Wirksamkeit des Auftrags ohne Belang. Vielmehr gilt generell, dass wenn der Zahler selbst einen Auftrag bzw. eine Autorisierung erteilt hat, es nicht darauf ankommt, wie er sich authentifiziert hat. Denn die Authentifizierung soll davon schützen, dass sich Dritte als der Zahler ausgeben und für ihn vermeintliche Aufträge erteilen. Sie soll aber nicht den Kunden hindern oder darin beschränken, selbst Aufträge zu erteilen oder zu autorisieren. Das gilt auch dann, wenn der Kunde solche Aufträge irrtumsbehaftet, täuschungsbedingt und/oder ohne Erklärungsbewusstsein erteilt. Denn all dies ändert nichts daran, dass die anscheinend vom Bankkunden vorgenommene Autorisierung tatsächlich von ihm erklärt worden ist und daher der Sinn und Zweck der Authentifizierung nicht berührt wird.

64 Allerdings gibt es im Rahmen der Vorschriften zur starken Authentifizierung auch Regelungen, die nicht der Sicherstellung der Identität des Erklärenden dienen, also der Authentifizierung im eigentlichen Sinne, sondern die jedenfalls auch den Zweck haben, Irrtümern oder Täuschungen entgegenzuwirken. Das ist der Fall, soweit Vorschriften nicht die Merkmale der Authentifizierung betreffen, sondern die Anzeige von Merkmalen beim (authentifizierten) Nutzer. Nach § 55 Abs. 5 ZAG wird Näheres zu Erfordernissen und Verfahren zur starken Kundenauthentifizierung durch den delegierten Rechtsakt nach Artikel 98 der Richtlinie (EU) 2015/2366 geregelt.

65 Nach Art. 98 der PSD-2-Richtlinie arbeitet die EBA [European Banking Authority] in Zusammenarbeit mit der EZB technische Regulierungsstandards aus, in denen u.a. die Erfordernisse des Verfahrens zur starken Kundenauthentifizierung präzisiert werden.

66 Diese technischen Regulierungsstandards sind in der Delegierten VERORDNUNG (EU) 2018/389 vom 27. November 2017 zur Ergänzung der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards für eine starke Kundenauthentifizierung und für sichere offene Standards für die Kommunikation festgelegt worden. Darin heißt es in Artikel 5 Abs. 1, wenn Zahlungsdienstleister eine starke Kundenauthentifizierung verlangen, müssen sie zusätzlich u.a. folgende Sicherheitsmaßnahmen ergreifen:

67 a) Zahlungsbetrag und Zahlungsempfänger werden dem Zahler angezeigt.

68 Die pushTAN-App der Beklagten zeigte den Zahlungsbetrag und die IBAN des Empfängers an, nicht den angegebenen Namen des Zahlungsempfängers.

69 Hier stellt sich die Frage, was im Rahmen von Art. 5 Abs. 1 der Delegierten Verordnung mit der Anzeige des Zahlungsempfängers gemeint ist.

70 Einerseits geht die Delegierte Verordnung unmittelbar auf die PSD2-Richtlinie zurück. Diese definiert in Art. 4 (Begriffsbestimmungen) Nr. 9 den „Zahlungsempfänger“ als natürliche oder juristische Person, die den Geldbetrag, der Gegenstand eines Zahlungsvorgangs ist, als Empfänger erhalten soll, hingegen in Nummer 33 den Kundenidentifikator als eine Kombination aus Buchstaben, Zahlen oder Symbolen, die dem Zahlungsdienstnutzer vom Zahlungsdienstleister mitgeteilt wird und die der Zahlungsdienstnutzer angeben muss, damit ein anderer am Zahlungsvorgang beteiligter Zahlungsdienstnutzer und/oder dessen Zahlungskonto bei einem Zahlungsvorgang zweifelsfrei ermittelt werden kann.

71 Im Sinne einer Wortlautauslegung dieser Begriffe wäre die IBAN der Kundenidentifikator, nicht der Zahlungsempfänger, bei dem es sich um eine natürliche oder juristische Person handelt.

72 Allerdings werden Zahlungen unter dem Regime der PSD-2-Richtlinie vollautomatisiert ausgeführt und dies allein anhand des Kundenidentifikators. Der Name des Zahlungsempfängers dient nicht der Zuordnung des überwiesenen Betrages, er wird nicht einmal überprüft. Von daher wäre die Angabe (nur) des angegebenen Zahlungsempfängers ohne Angabe der IBAN die Angabe eines technisch für die Ausführung irrelevanten Merkmals, bei dem nicht sichergestellt ist, dass es sich bei dem angegebenen Empfänger tatsächlich um den wirklichen Zahlungsempfänger – den echten Inhaber der angegebenen IBAN – handelt. Das einzige für die Ausführung und damit auch für die Prüfung technisch relevante Merkmal ist die IBAN. Von daher muss eine teleologische Auslegung von Art. 5 Abs. 1 a) der Delegierten Verordnung darauf hinauslaufen, dass gemeint ist, dass Zahlungsbetrag und der technisch relevante Identifikator des Zahlungsempfängers angezeigt werden müssen. In diesem Sinne hat auch die EBA selbst (EBA-Frage ID 2019_4556) die Ansicht vertreten, in der Delegierten Verordnung sei nicht festgelegt, wie der Zahlungsempfänger für die Zwecke der Anforderungen an die dynamische Verknüpfung nach Artikel 5 dieser Verordnung identifiziert werden solle, z.B. über die IBAN oder eine ähnliche Art von individuellem Erkennungsmerkmal. Danach versteht die EBA selbst die Delegierte Verordnung so, dass mit der Angabe des Zahlungsempfängers im Sinne von Art. 5 Abs. 1a der Delegierten Verordnung nicht im Sinne der Begriffsbestimmungen der PSD-2-Richtlinie die als Empfänger angegebene natürliche oder juristische Person gemeint sein muss, sondern dass dieses Merkmal teleologisch dahin auszulegen ist, dass ein eindeutiger Identifikator angezeigt werden muss, z.B. auch die IBAN. Da die EBA diese technischen Regulierungsstandards in Zusammenarbeit mit der EZB selbst ausgearbeitet hat, kommt ihren Angaben zur Auslegung Bedeutung zu. Im Ergebnis geht das Gericht daher davon aus, dass die Anzeige der Beklagten in ihrer push-TAN-App mit der Angabe der IBAN des Zahlungsempfängers (und des Betrages) den – richtig verstandenen – Anforderungen nach Art. 5 Abs. 1a der Delegierten Verordnung und damit auch nach § 55 Abs. 5 ZAG genügt.

73 Im Übrigen hätte sich ein etwaiger Fehler hier nicht ausgewirkt. Dem Kläger war vorgespiegelt worden, es sei eine Transaktion von Geld von seinem Konto auf ein Drittkonto im Gange, die storniert werden müsse. Dass die angezeigte IBAN nicht die eigene IBAN des Klägers war, war offensichtlich. Auch, wenn man seine IBAN nicht auswendig kennen muss, hat man zumindest so rudimentäre Kenntnisse, dass die Anzeige einer ganz anderen IBAN nicht ernsthaft mit der eigenen verwechselt werden kann. Der Kläger konnte der Anzeige auf der pushTAN-App also entnehmen, dass es um Überweisungen von Beträgen über 2.945 € und 2.985 € im Zusammenhang mit dem dort angegebenen (fremden) Konto ging. Täuschungsbedingt hielt er das angegebene Konto für dasjenige Konto, von dem der vermeintlich zu stornierende Überweisungsbetrag auf sein Konto zurückgebucht werden solle. Wäre nun auch ein Name angezeigt worden, hätte dies an dem Täuschungsgehalt gar nichts geändert. Es hätte dann der Anschein bestanden, das Geld werde von dem vermeintlich angegebenen Fremdkonto dieser Person zurückgebucht. Die Chance, diese Täuschung zu bemerken, hätte sich dadurch nicht relevant geändert, zumal der angegebene Name unter dem Regime der PSD-2-Richtlinie ja nicht überprüft wird, die Täter also auch einen Phantasienamen hätten eintragen können oder Begriffe wie „Stornierung“ o.ä. als vermeintlichen Namen eintragen können und so erst recht den Eindruck hätten verstärken können, es gehe wirklich im eine Stornierung. Sollte man Art. 5 Abs. 1a der Delegierten Verordnung und damit auch § 55 Abs. 5 ZAG entgegen dem hier erkannten Verständnis dahin auslegen, dass im Wortlautsinne der angegebene Name des (angegebenen) Empfängers angezeigt werden müsse, läge zwar ein Verstoß gegen diese Vorschrift vor, dieser Verstoß wäre aber nicht kausal für den Fortgang des Geschehens, weil eine Einhaltung dieser so verstandenen Vorschrift durch die Beklagte die Chance auf ein Bemerken der Täuschung durch den Kläger nicht erhöht hätte.

74 Nach alledem stellen sich die vom Kläger erteilten Freigaben von Überweisungen über 2.945 € und 2.985 € € als wirksame Autorisierungen i.S.v. § 675j BGB dar. Die Beklagte hat daher nach § 675c Abs. 1, § 670 BGB Anspruch auf Ersatz der Aufwendungen, die ihr für die Ausführung dieser Überweisungen entstanden sind. Der von ihr mit der Belastungsbuchung auf dem Konto des Klägers jeweils gebuchte Anspruch stand ihr tatsächlich zu. Der Kläger hat keinen Anspruch auf Korrektur dieser Buchung, weder bankvertraglich noch nach § 675u S. 2 BGB. Denn es liegt kein Fall eines nicht autorisierten Zahlungsvorgangs vor.

75 Auf die Frage, ob die beiden Zahlungen hätte noch gestoppt werden können – ebenso wie die nachfolgend dritte Zahlung, die dem fraud-detection-System der Beklagten aufgefallen war - oder ob sie der Beklagten bei anderer Ausgestaltung ihres fraud-detection-Systems hätten auffallen können, kommt es nicht an. Eine wirksam erteilte Autorisierung nach § 675p Abs. 1 BGB ist ab Zugang beim Zahlungsdienstleister nicht mehr widerruflich. Die in § 675p Abs. 2-5 geregelten Ausnahmen liegen nicht vor. Nach den Grundgedanken der PSD-2-Richtlinie kann und soll eine Bank Zahlungsaufträge schnell und automatisiert, allein anhand des Kundenidentifikators, ausführen. Nach Zugang des Zahlungsauftrages gibt es keinen Anspruch des Kunden auf ein Anhalten der Ausführung des Zahlungsvorgangs, weil dies einen manuellen und aufwändigen Eingriff erfordern würde, auf den kein Anspruch besteht. Zusammengefasst kann die Bank versuchen, die Zahlung aufzuhalten. Wenn dies gelingt, bevor das Geld auf dem Konto des Empfängers gutgeschrieben ist, kann eine solche Zahlung aufgehalten werden. Gelingt dies nicht, fällt dies aber in den Risikobereich des Kunden, der die Autorisierung erteilt hat. Es gibt keine Organisationspflicht der Bank, ihren Bereich so zu organisieren, dass rechtlich unwiderruflich gewordene Zahlungsaufträge noch aufgehalten werden können.

76 Die Kostenentscheidung folgt aus § 91 Abs. 1 S. 1 ZPO.

77 Die Entscheidung zur vorläufigen Vollstreckbarkeit folgt aus § 709 S. 1, 2 ZPO.

Permalink

• Diesen Link können Sie kopieren und verwenden, wenn Sie genau dieses Dokument verlinken möchten: https://www.gesetze-rechtsprechung.sh.juris.de/perma?d=NJRE001643970