OLG Frankfurt 23. Zivilsenat — 23 U 71/25 — Urteil

Entscheidungsdatum: 2026-05-27

Aktenzeichen: 23 U 71/25

ECLI: ECLI:DE:OLGHE:2026:0527.23U71.25.00

Dokumenttyp: Urteil

Normen: § 675u BGB, § 675j BGB, § 675w BGB, § 675v BGB

Leitsatz

Zur Frage des Nachweises einer zwischen den Parteien streitigen Autorisierung mehrerer letztlich nicht gewollter Zahlungsvorgänge im Rahmen des Online-Bankings bei durch den Zahlungsdienstleister protokollierten Freigaben im BestSign-Verfahren

Anmerkung

Die Entscheidung ist nicht anfechtbar.

Verfahrensgang

vorgehend LG Frankfurt am Main, 26. September 2025, 2-10 O 301/24, Urteil

Tenor

Die Berufung des Klägers gegen das Urteil der 10. Zivilkammer des Landgerichts Frankfurt am Main vom 26.09.2025 - Az. 2-10 O 301/24 - wird zurückgewiesen.

Die Kosten des Berufungsverfahrens hat der Kläger zu tragen.

Das Urteil des Landgerichts wird ohne Sicherheitsleistung für vorläufig vollstreckbar erklärt.

Das Urteil ist vorläufig vollstreckbar.

Die Revision wird nicht zugelassen.

Der Streitwert für das Berufungsverfahren wird auf 5.343,00 EUR festgesetzt.

Gründe

I.

Mit der Klage macht der Kläger Erstattungsansprüche gegen die Beklagte als Kreditinstitut aufgrund nicht autorisierter Zahlungsvorgänge geltend.

Die Parteien waren mit einem Kontovertrag nebst Kreditkartenvertrag für das Girokonto … und dem Sparkonto … sowie einer Kreditkarte mit der Kreditkartennummer … unter der Kundennummer … vertraglich verbunden.

Am 31.01.2024 bemerkte der Kläger, dass von seinem Girokonto sechs Abbuchungen zu einem Gesamtwert in Höhe von 5.343,00 EUR abgeflossen sind.

Ein polizeiliches Ermittlungsverfahren hat ergeben, dass sich eine dritte Person Zugang zu einer virtuellen Karte des Klägers verschafft hat.

Der Kläger hat erstinstanzlich behauptet, er habe die streitgegenständlichen Abbuchungen nicht autorisiert und die dritte Person habe die sich den Zugang zu der virtuellen Karte ohne sein Wissen und Zutun verschafft. Der Kläger hat weiter behauptet, dass es bei einem IT-Systemumzug bei der Beklagten zu einem Datenleck gekommen sein dürfte, welches den unbefugten Zugriff Dritter auf die Daten des Klägers erst ermöglicht habe.

Die Beklagte hat erstinstanzlich behauptet, der Kläger habe, nachdem seine Online-Banking-Zugangsdaten „abgephisht" worden waren, die Bestellung einer virtuellen Debitkarte und die Aktivierung eines Google Pay-Bezahlverfahrens freigegeben, das Straftäter in ihrer Wallet angelegt hatten. Im Einzelnen habe der Kläger am 20. Januar 2024 um 14:37:13 Uhr mit seinem BestSign-Verfahren mit der Kennung … die Bestellung einer virtuellen Debitkarte freigegeben, die von der Beklagten sodann unter der Nummer … für ihn ausgegeben wurde. Diese Debitkarte sei mit dem Online-Bezahlverfahren „Google Pay" verknüpft, dessen Aktivierung der Kläger anschließend um 14:37:45 Uhr ebenfalls freigegeben habe. Auch diese Freigabe habe der Kläger selbst mit seinem genannten BestSign-Verfahren erteilt. Die Beklagte hat erstinstanzlich behauptet, das Protokoll sei vollständig und richtig. Hinsichtlich des Inhalts der Protokollierung wird auf die Anlagen B4 und B2 bzw. B5 Bezug genommen.

Der Kläger habe im Anschluss an die Einrichtung der virtuellen Kreditkarte in Google eine automatisiert SMS erhalten, in der er über diese Einrichtung unterrichtet wurde.

Das von der Beklagten eingesetzte Sicherungsverfahren sei ordnungsgemäß angewendet worden und habe fehlerfrei funktioniert. Die streitgegenständlichen Zahlungen seien ordnungsgemäß und störungsfrei aufgezeichnet und verbucht worden. Die Datenverarbeitungssysteme hätten ungestört funktioniert und die Aufzeichnung und Verbuchung sei störungsfrei abgelaufen.

Das Landgericht hat Beweis erhoben durch Vernehmung des sachverständigen Zeugen X. Wegen des Ergebnisses der Beweisaufnahme wird auf das Sitzungsprotokoll vom 07.05.2025, Bl. 202 ff. d.A., Bezug genommen.

Wegen der Einzelheiten im Übrigen wird auf die tatbestandlichen Feststellungen des Landgerichts verwiesen, § 540 Abs.1 Ziffer 1 ZPO.

Das Landgericht hat die Klage abgewiesen.

Wegen der Einzelheiten wird auf die Entscheidungsgründe des erstinstanzlichen Urteils (Bl. 266 ff. eA LG) verwiesen.

Hiergegen wendet sich der Kläger mit seiner Berufung, mit der er seine erstinstanzlichen Anträge weiterverfolgt. Entgegen dem vom Landgericht festgestellten Sachverhalt seien die Parteien nicht über einen Kreditkartenvertrag verbunden gewesen. Die virtuelle Karte sei von einem Betrüger erschlichen und hinzugefügt worden. Der Kläger habe bis zum Betrug nie irgendeine physische oder virtuelle Karte zum Konto genutzt oder verbunden. Der Kläger habe mit seinem Bank1konto ausschließlich das Online-Banking mit den bereitgestellten Diensten genutzt. Nicht einmal die physische Girokarte habe der Kläger aktiviert oder genutzt gehabt. Der Kläger habe vor den sechs Abbuchungen keinerlei Informationen und auch kein Anruf oder Abfrage zur Autorisierung einer virtuellen Kreditkarte erhalten. Zusätzlich zu Sicherheitslücken außerhalb der Verantwortung des Klägers, die Ursache für diese Betrugsmöglichkeit gewesen seien, liege eine Verletzung der Sorgfaltspflicht der Beklagten vor, da weder der Antrag zur virtuellen Kreditkarte noch die Abbuchungen damit zur Autorisierung oder Rückfragen bei dem Kläger geführt hätten, obwohl beide Vorgänge laut polizeilicher Ermittlung aus dem Ausland erfolgt seien (…) und der Kläger dieses Konto bisher niemals aus dem Ausland bedient habe. Tatbestandlich sei auch zu beanstanden, dass die Beklagte ein „Phishing“ behaupten würde. Zudem ginge es darum, wie, wo und mit welchen Geräten die autorisierten Verfahren der Beklagten genutzt worden seien. Es sei fraglich, ob die Transaktionen durch Protokolle tatsächlich dem Kläger in Form bspw. einer IP-Adresse zugewiesen werden könnten. Die Beklagte habe diese Zuweisung durch eine entsprechend IP-Adresse nicht durch entsprechende vollständige IT-Protokolle belegen können. Entsprechende Angaben habe auch der Zeuge X gemacht. Der Zeuge X habe nur angeben können, dass die von der Beklagten verwendeten Systeme technisch Transaktionen fehlerfrei abwickeln könnten. Einen Beweis, dass die Systeme und Dienste 100% sicher seien, habe er nicht erbracht. IP-Adressen und Protokolle zu den fraglichen Buchungen habe er nicht vorlegen können. Die IP-Adressen und Gerätedaten würden Aufschlüsse über Orte und verwendete Geräte geben, mit und von denen die Transaktionen stattgefunden hätten, was aber eher ein Beweis dafür wäre, dass der Kläger nicht die Ursache sein könne, weshalb vermutlich die Beklagte die vollständigen Protokolle nicht vorlegt habe. Das Landgericht habe es fehlerhaft unterlassen, diese Protokolle einzufordern. Weiterhin habe der Kläger auch keine Nachrichten von der Beklagten in Form einer SMS über das Hinzufügen von Debitkarten erhalten. Dies habe die Beklagte auch nicht bewiesen. Wenn ein „Phishing“ seiner Identität außerhalb seiner Sphäre stattgefunden habe, dann könne er auch nicht fahrlässig gehandelt haben. Zudem seien die Sicherheitsrisiken beim Kreditinstitut größer als beim Kunden. Das Landgericht habe zu Unrecht festgestellt, dass die Sicherheitssysteme der Beklagten funktioniert hätten. Dazu verweist er auf den Bericht des BSI über die Lage der IT-Sicherheit in Deutschland für das Jahr 2024. Die Beklagte habe in ihren Sicherheitsverfahren die unbefugte Nutzung der Karte und deren Einrichtung nicht erkannt. Zudem habe sie den Kläger darüber auch nicht informiert. Dazu verweist der Kläger auf das Urteil des BGH vom 05.03.2024, wonach die Bank die Autorisierung beweisen müsse. Zudem verweist er auf das Urteil des OLG Dresden vom 05.05.2025 (8 U 1482/24) im Zusammenhang mit einem Phishing-Angriff sowie auf das Urteil des BGH vom 24. April 2012 (Az. XI ZR 96/11).

Hinsichtlich der weiteren Einzelheiten wird Bezug auf die die Berufungsbegründung vom 21.11.2025 (Bl. 12 ff. eA) genommen.

Der Kläger beantragt,

das Urteil des Landgerichts Frankfurt 2-10 O 301/24 aufzuheben und der Klage stattzugeben.

Die Beklagte beantragt,

die Berufung zurückzuweisen.

Die Beklagte verteidigt die erstinstanzliche Entscheidung und erwidert, dass der Kläger sich mit seinem Erstattungsverlangen nicht an die Beklagte halten könne. Für die Straftat, die zu seinen Lasten begangen worden sei, sei die Beklagte nicht verantwortlich. Er habe seine Zugangsdaten zum Online-Banking preisgegeben (1. Faktor). Mit ihnen habe der Straftäter sodann die Aufträge zur Bestellung einer virtuellen Debitkarte für den Kläger und zur Aktivierung des „Google Pay-Bezahlverfahrens“ mit dieser Karte anlegen können, dass der Straftäter auf seinem eigenen Endgerät installiert gehabt habe. Diese beiden Aufträge habe der Kläger mit seinem BestSign-Verfahren, das er als personalisiertes Authentifizierungselement für seine Bankgeschäfte bei der Beklagten genutzt habe (2. Faktor), anschließend selbst freigegeben. Durchweg seien die streitgegenständlichen Zahlungen zuletzt mit diesem „Google Pay-Bezahlverfahren“ - und somit ebenfalls jeweils mittels einer Zwei-Faktor-Authentifizierung - erfolgt. Auch für sie habe die Beklagte mithin eine starke Kundenauthentifizierung verlangt.

Das Landgericht habe den zutreffenden Sachverhalt zugrunde gelegt. Dass die beiden Aufträge zur Bestellung einer virtuellen Debitkarte und zur Aktivierung des „Google Pay-Bezahlverfahrens“ mit dieser Karte im Online-Banking mit den Zugangsdaten des Klägers angelegt worden seien, habe die Beklagte unter Bezugnahme auf die Protokollierung des Online-Bankings, das mit den Zugangsdaten des Klägers erfolgt sei (Anlagen B 2 und B 5), vorgetragen. Das sei unstreitig geblieben. Die Beklagte habe zudem vorgebracht, dass die Straftat nur habe erfolgen können, weil der Kläger zugelassen habe, dass seine Zugangsdaten zum Online-Banking bei ihm „abgephisht“ worden seien. Daraufhin habe der Kläger vermutet, der Straftäter, der die Straftat zu seinen Lasten begangen habe, müsse sie aufgrund eines Datenlecks bei der Beklagten erlangt haben. Irgendetwas Einlassungsfähiges habe er dazu allerdings nicht vorgetragen. Gleichwohl habe die Beklagte sodann vorgebracht, warum die Zugangsdaten des Klägers zum Online-Banking bei ihr nicht erbeutet worden sein könnten. Denn die Beklagte speichere lediglich eine kryptographisch verschlüsselte, mathematische Entsprechung der Online-Banking-PIN des Klägers, einen sogenannten „Hash-Wert“. Seine Online-Banking-PIN sei somit nur dem Kläger, nicht aber der Beklagten bekannt. Detailliert habe die Beklagte im Übrigen vorgebracht, warum auch aufgrund der übrigen IT-Sicherheitsmaßnahmen, die sie ergriffen habe, ausgeschlossen sei, dass Zugangsdaten ihrer Kunden zum Online-Banking bei ihr „abflössen“. Dieses Vorbringen der Beklagten sei sodann unbestritten geblieben. Damit stehe fest, dass der Straftäter, der die Straftat zu Lasten des Klägers begangen habe, zumindest dessen Online-Banking-PIN nur bei diesem selbst erlangt haben könne. Der Phishing-Angriff habe in der Sphäre des Klägers stattgefunden. Der damit dem Kläger obliegenden sekundären Darlegungslast sei er nicht nachgekommen. Abgesehen davon habe der Zeuge X bestätigt, dass das von der Beklagten eingesetzte Sicherungsverfahren von ihr ordnungsgemäß angewendet worden sei und fehlerfrei funktioniert habe und dass „illegitime Datenabflüsse“ nicht erfolgt seien. Zudem habe die Beklagte ausführlich zur Funktionalität des BestSign-Verfahrens, insbesondere zur Erzeugung elektronischer Signaturen mittels asymmetrischer Kryptographie, vorgetragen. Vor dem Hintergrund der Funktionsweise dieses Verfahrens könnten die beiden Freigabe-Signaturen, die von der Beklagten protokolliert worden seien, um die Bestellung einer virtuellen Debitkarte und sodann auch die Aktivierung des „Google Pay-Bezahlverfahrens“ mit dieser Karte zu autorisieren, nur auf eine Weise erzeugt worden seien nämlich, dass die verschlüsselten Freigabeaufforderungen, die die Beklagte mittels TLS über das Internet versandt habe, zunächst vom Gerät des Klägers mit dem Entschlüsselungsschlüssel des von ihm genutzten BestSign-Verfahrens mit der Kennung „…“ entschlüsselt und anschließend, als der Kläger (jeweils) die Freigabe erteilt habe, mit dem Verschlüsselungsschlüssel dieses BestSign-Verfahrens erzeugt und sodann an die Beklagte zurückgesandt worden seien. Dies sei auch so protokolliert worden (Anlagen B 2 und B 5).

Zudem sei das BestSign-Verfahren weiter gesichert durch Eingabe seines persönlichen BestSign-Freigabe-Passwortes oder mit der Verwendung seines Fingerabdrucks oder per Face-ID. Dies habe der Zeuge X bestätigt. Der Kläger habe in keiner Weise erklärt, wie die Freigaben sonst entstanden sein könnten. Der Zeuge X habe auch bestätigt, dass es keine Störung im Verfahren gegeben habe. Zumal der Kläger aus Sicht der Beklagten schon nicht in prozessual relevanter Weise bestritten habe, die streitgegenständlichen Aufträge mit seinem BestSign-Verfahren selbst freigegeben zu haben, habe die Beklagte somit jedenfalls bewiesen, dass er die Freigaben selbst erteilt habe. Mit diesem „Google Pay-Bezahlverfahren“, dessen Nutzung der Kläger freigegeben habe, seien sodann die streitgegenständlichen Zahlungen bewirkt worden, wobei die Beklagte jeweils eine starke Kundenauthentifizierung verlangt habe. Auch das habe der Kläger nie bestritten. Nachdem das streitgegenständliche „Google Pay-Bezahlverfahren“ aktiviert worden sei, habe die Beklagte den Kläger im Übrigen sogar mittels einer SMS darüber informiert, dass es eingerichtet worden sei und genutzt werden könne. Die entsprechende Angabe des Zeugen X habe sich die Beklagte zu eigen gemacht. Auch das Vorbringen des Klägers, die Beklagte habe keine „SMS Benachrichtigung“ an ihn versandt, sei damit widerlegt. Widerlegt sei infolge der Beweisaufnahme schließlich auch die Behauptung des Klägers, die Beklagte habe die Protokollierung des Online-Bankings, das mit den Zugangsdaten des Klägers erfolgt sei (siehe Anlage B 2 und B 5), verfälscht. Abgesehen davon habe der Kläger auch diesen Betrugsvorwurf erhoben, ohne für sein Vorbringen einen Anknüpfungspunkt in der Realität zu benennen. Ein solcher existiere auch nicht. Danach habe der Kläger grob fahrlässig gehandelt. Er sei nach § 675l Abs. 1 S. 1 BGB und Ziffer 7.1 Abs. 1 der Besonderen Bedingungen der Beklagten für das „Bank1 Online-Banking“ (Anlage B 1) dazu verpflichtet gewesen, alle zumutbaren Vorkehrungen zu treffen, um personalisierte Authentifizierungsinstrumente vor unbefugtem Zugriff zu schützen. Dagegen habe verstoßen und habe die Straftat mit ermöglicht.

Allein der Umstand, dass die Zahlungen, aus dem Ausland verfügt worden seien, worauf der Kläger verweist, führt zu keiner Pflicht zur Nichtausführung der Buchungen durch die Beklagte. Gemäß § 675o Abs. 2 BGB sei die Beklagte dazu verpflichtet, die streitgegenständlichen Zahlungen vorzunehmen, nachdem die entsprechenden Aufträge jeweils mittels einer Zwei-Faktor-Authentifizierung autorisiert worden waren. Auch ein Auslandsbezug bei solchen Zahlungen sei nicht ungewöhnlich im Massenzahlungsverkehr. Die Beklagte habe keine Pflicht verletzt. Entgegen der Auffassung der Klägerseite sei eine Bank nach alledem nicht dazu verpflichtet, jeden Zahlungsvorgang, mit dem sie beauftragt werde, mit dem bisherigen Zahlungsverhalten ihres jeweiligen Kunden abzugleichen und einen Zahlungsauftrag dann nicht auszuführen, wenn der neue Zahlungsauftrag vom bisherigen Zahlungsverhalten dieses Kunden abweiche. Angesichts dessen, was die Beklagte im Rahmen der Transaktionsüberwachung auszuwerten habe und auch ausgewertet habe, sei den streitgegenständlichen Zahlungen nach alledem jedenfalls nicht Einhalt zu gebieten. Bis heute habe der Kläger dazu auch nichts weiter vorgebracht, als dass die Zahlungen „aus dem Ausland“ erfolgt seien.

Hinsichtlich der weiteren Einzelheiten wird Bezug auf den Schriftsatz vom 06.01.2026 (Bl. 29 ff. eA) genommen.

II.

Die Berufung ist zulässig, insbesondere ist sie form- und fristgerecht eingelegt und begründet worden.

Sie hat in der Sache jedoch keinen Erfolg.

Zutreffend hat das Landgericht einen Zahlungsanspruch des Klägers in Höhe von 5.434,00 EUR aus § 675u Satz 2 BGB verneint.

1. Im Falle eines nicht autorisierten Zahlungsvorgangs ist der Zahlungsdienstleister gemäß § 675u Satz 2 BGB verpflichtet, dem Zahler den Zahlungsbetrag unverzüglich zu erstatten und, sofern der Betrag einem Zahlungskonto belastet worden ist, dieses Zahlungskonto wieder auf den Stand zu bringen, auf dem es sich ohne die Belastung durch den nicht autorisierten Zahlungsvorgang befunden hätte.

a) Ein Zahlungsvorgang ist nach § 675j Abs. 1 Satz 1 BGB gegenüber dem Zahler nur wirksam, wenn er diesem zugestimmt hat (Autorisierung). Fehlt es an einer Autorisierung durch den Zahler (hier: den Kläger), so steht dem Zahlungsdienstleister kein Aufwendungsersatzanspruch aus §§ 675c Satz 1, 670 BGB und dementsprechend kein Erstattungsanspruch nach § 675u Satz 1 BGB zu; vielmehr hat er dem Zahler den Zahlbetrag gemäß § 675u Satz 2 BGB unverzüglich zu erstatten und das Zahlungskonto wieder auf den Stand zu bringen, auf dem es sich ohne die Belastung durch den nicht autorisierten Zahlungsvorgang befunden hätte.

Die Zustimmung zu einem Zahlungsvorgang kann entweder als Einwilligung oder als Genehmigung erteilt werden, wobei die Art und Weise der Zustimmung zwischen dem Zahler und seinem Zahlungsdienstleister zu vereinbaren ist. Insbesondere kann vereinbart werden, dass die Zustimmung mittels eines bestimmten Zahlungsinstruments erteilt werden kann, § 675j Abs. 1 Sätze 2 bis 4 BGB (BGH, Urteil vom 05.03.2024 - XI ZR 107/22, juris Rn. 31, 34). Nach h.M. handelt es sich bei der Zustimmung um eine einseitige, empfangsbedürftige Willenserklärung (vgl. MüKoHGB/Linardatos, 5. Aufl., K, Rn. 58; Grüneberg/Grüneberg, BGB, 84. Aufl., § 675j Rn. 3, m.w.N.; BeckOK BGB/Schmalenbach, 73. Ed., § 675j Rn. 2; Staudinger/Omlor (2020) BGB § 675j Rn. 6 - geschäftsbesorgungsrechtliche Weisung; MüKoBGB/Jungmann, 9. Aufl., BGB § 675j Rn. 16; Zahrte, BKR 2016, 315, 316).

b) Ist - wie im Streitfall - die Autorisierung ausgeführter Zahlungsvorgänge streitig, hat der beklagte Zahlungsdienstleister nach § 675w Satz 1 BGB nachzuweisen, dass eine Authentifizierung erfolgt ist und der Zahlungsvorgang ordnungsgemäß aufgezeichnet, verbucht sowie nicht durch eine Störung beeinträchtigt wurde. Bereits in der hinsichtlich Satz 1 wortlautidentischen Vorgängerregelung § 675w BGB a.F. kam nach der Rechtsprechung des Bundesgerichtshofs der allgemeine Rechtsgedanke zum Ausdruck, dass der Zahlungsdienstleister die Beweislast für die Autorisierung eines Zahlungsvorgangs durch den Zahler trägt, wenn diese streitig ist (vgl. BGH, Urteil vom 05.03.2024 - XI ZR 107/22, juris Rn. 37 m.w.N.; Grüneberg/Grüneberg, BGB, 84. Aufl., § 675u Rn. 8). Das aus dem Rechtsgedanken des § 675w BGB folgende weite Verständnis der Beweislastverteilung ist sachgerecht und gilt nach dem Wortlaut der Vorschrift sowohl für Ansprüche des Zahlungsdienstleisters gegen den Zahler (§ 675u Satz 1 BGB) als auch für solche des Zahlers gegen den Zahlungsdienstleister, § 675u Satz 2 BGB (BGH, Urteil vom 05.03.2024 - XI ZR 107/22, juris Rn. 40 f.).

Mit dem Begriff der Autorisierung ist die Zustimmung des Zahlers zum Zahlungsvorgang gemäß § 675j Abs. 1 BGB gemeint. Unter Authentifizierung ist demgegenüber die technische und formalisierte Überprüfung der Identitätsbehauptung des Zahlers zu verstehen (MüKoHGB/Linardatos, 5. Aufl., K, Rn. 239). Eine Authentifizierung ist erfolgt, wenn der Zahlungsdienstleister die Nutzung eines bestimmten Zahlungsinstruments, einschließlich seiner personalisierten Sicherheitsmerkmale, mit Hilfe eines Verfahrens überprüft hat. Dabei steht die Ausgestaltung des Authentifizierungsverfahrens im Organisationsermessen des Zahlungsdienstleisters (OLG Dresden, Urteil vom 13.10.2022 - 8 U 760/22, BKR 2023, 626, 628; Urteil vom 06.02.2014 - 8 U 1218/13, juris Rn. 52 m.w.N.; Urteil vom 06.04.2023 - 8 U 578/22, juris Rn. 52; MüKoBGB/Zetzsche, BGB, 9. Aufl., § 675w Rn. 9; Erman/Graf von Westphalen, BGB, 17. Aufl., § 675w Rn. 5; BeckOK BGB, Hau/Poseck/Schmalenbach, 73. Edition, § 675w Rn. 10; vgl. § 55 Abs. 5 ZAG i.V.m. Art. 2 Abs. 2, Art. 4 der Delegierten Verordnung (EU) 2018/389 zur Vorhaltung auch das Authentifizierungsverfahren betreffender Transaktionsüberwachungsmechanismen).

aa) Die von der Beklagten vorgelegten Unterlagen belegen, dass eine Authentifizierung, d.h. eine technische und formalisierte Überprüfung der Nutzung des Zahlungsinstruments einschließlich personalisierter Sicherungsinstrumente durch die Beklagte, erfolgt ist und die Einrichtung der virtuellen Kreditkarte, die Freigabe des Google Pay-Zahlungsverfahrens und die streitgegenständlichen so vorgenommenen Zahlungen ordnungsgemäß aufgezeichnet, verbucht sowie nicht durch eine Störung beeinträchtigt wurde (§ 675w Satz 1 BGB).

So hat die Beklagte bereits in erster Instanz die entsprechenden Protokolle (Anlagen B 2 und B 5) vorgelegt und damit aufgezeigt, dass die streitgegenständlichen Vorgänge unter Verwendung der Zugangsdaten des Klägers zum Online-Banking vorgenommen wurden, und über das BestSign-Verfahren freigegeben worden waren.Sie hat erstinstanzlich dargetan, dass die beiden (Freigabe-) Signaturen, deren Zugang die Beklagte protokolliert hat, nur dergestalt erzeugt worden sein können, dass die verschlüsselten Freigabeaufforderungen, die Bestellung einer virtuellen Debitkarte und sodann auch die Aktivierung des „Google Pay-Bezahlverfahrens“ mit dieser Karte zu autorisieren, die die Beklagte mittels TLS über das Internet versandt hatte, zunächst vom Gerät des Klägers mit dem Entschlüsselungsschlüssel des von ihm genutzten BestSign-Verfahrens mit der Kennung „…“ entschlüsselt und anschließend, als der Kläger (jeweils) die Freigabe erteilt hat, mit dem Verschlüsselungsschlüssel dieses BestSign-Verfahrens erzeugt und sodann an die Beklagte zurückgesandt wurden. Diese Signaturen hat die Beklagte sodann empfangen und protokolliert (Anlagen B 2 und B 5).Die Beklagte hat ferner vorgetragen, dass das BestSign-Verfahren durch ein weiteres Verifikationserfordernis abgesichert ist. Eine Freigabe kann nur erfolgen, wenn der jeweilige Nutzer sie ihrerseits zuvor mit der Eingabe seines persönlichen BestSign-Freigabe-Passwortes oder mit der Verwendung seines Fingerabdrucks oder per Face-ID freigegeben hat. Indem die Beklagte auf diese Weise die Sicherheitsfunktionen des jeweiligen mobilen Endgeräts nutzt, auf dem die BestSign-App installiert ist, mit der das jeweilige BestSign-Verfahren genutzt wird, stellt sie sicher, dass nur der jeweilige Nutzer selbst Freigaben erteilen kann. Dies hat der sachverständige Zeuge X im Rahmen seiner erstinstanzlichen Vernehmung bestätigt, in dem er erklärte, dass „[d]as kann nur derjenige machen [könne], der dieses BestSign-Verfahren für sich eingerichtet hat“. Dem ist der Kläger nicht erheblich entgegengetreten. Insbesondere hat er nicht vorgetragen, wie die streitgegenständlichen Freigaben mittels des von ihm genutzten BestSign-Verfahrens mit der Kennung „…“, die die Beklagte protokolliert hat, anderweitig erfolgt sein können. Mit diesem „Google Pay-Bezahlverfahren“, dessen Nutzung der Kläger freigegeben hatte, sind sodann die streitgegenständlichen Zahlungen bewirkt worden, wobei die Beklagte jeweils eine starke Kundenauthentifizierung verlangt hat.

bb) Aus diesen insgesamt vorgelegten Transaktionsprotokollen bzw. der Vorgangsdokumentation, kann entnommen werden, dass die zur Umsetzung der betrügerischen Taten erforderlichen Schritte unter den dem Kläger zugeordneten Identifikationsmerkmalen, wie seiner Legitimations-ID und Benutzerkennung, angestoßen worden sind. Soweit der Kläger bemängelt, dass der Beklagten anhand der jeweils verwendeten Kommunikations-, d.h. IP-Adresse, hätte auffallen müssen, dass es sich nicht um „diejenige“ bzw. „die sonst übliche“ des Klägers handele, übersieht er, dass es sich bei einer IP-Adresse nicht um ein zur Kundenauthentifizierung geeignetes Merkmal handelt, da diese keine belastbaren Rückschlüsse auf die Person des Nutzers zulässt. Insofern hat das Landgericht es auch nicht fehlerhaft unterlassen, entsprechende Protokolle bei der Beklagten anzufordern, wie es die Berufung rügt. Insoweit ist die Beklagte auch nicht verpflichtet, das Bezahlverhalten ihres Kunden zu beobachten und auszuwerten, um atypisches Verhalten aufzudecken. Eine solche Pflicht der Beklagten besteht nicht.

Dabei ist zu berücksichtigen, dass Warn- und Schutzpflichten nur in engen Grenzen bestehen, die durch die Rechtsnatur eines formalisierten, weitgehend automatisierten Massenverkehrs begründet ist (vgl. bereits BGH NJW-RR 2004, 1637; NJW 2008, 2245; Grüneberg/Grüneberg, BGB, 85. Aufl., § 675f, Rn. 8 unter Hinweis auf BGH NJW 2012, 2571 Rn. 21 ff.). Daher ist die Bank im Regelfall nicht zu einer materiellen Prüfung eines Zahlungsauftrags verpflichtet und kann sich auf eine formale Prüfung anhand der Ausführungsbedingungen beschränken. Es bestehen nur dann Warnpflichten, wenn ein Rechtsverstoß aufgrund massiver Verdachtsmomente evident wäre (vgl. OLG München BeckRS 2019, 17375 Rn. 8; LG Düsseldorf BeckRS 2019, 2443 Rn. 21; LG Wuppertal BeckRS 2019, 35514 Rn. 25 ff.; LG Berlin BeckRS 2019, 12147 Rn. 29; LG Bremen Beck RS 2020, 34769 Rn. 33; LG Nürnberg-Fürth BeckRS 2020, 29326 Rn. 3). Entsprechend kann nur bei einem der Bank sich aufdrängenden Verdacht einer Straftat oder einem Missbrauch der Vertretungsmacht (vgl. Grüneberg/Grüneberg, BGB, 85. Aufl., § 675f, Rn. 8) sowie bei einem für sie erkennbaren unmittelbar bevorstehenden Zusammenbruch des Kontoinhabers (BGH WM 2010, 1393) zu einer Warnung verpflichtet sein (BeckOGK/Foerster, 1.1.2026, BGB § 675f Rn. 52). Insbesondere kann eine solche Warnpflicht nicht einzig mit dem sogenannten „Anschlagen des Warnsystems“ der Beklagten begründet werden, denn dies würde die Betrachtung der Umstände des Einzelfalles vernachlässigen, und insbesondere die Frage, welche Umstände zum „Ausschlagen des Warnsystems“ überhaupt geführt haben (OLG Frankfurt am Main, Beschluss vom 30.07.2024, 23 U 8/23, juris).

Allein dass vorliegend ein Auslandsbezug und mehrere Abbuchungen vorlagen, begründen nicht bereits ein solch massives Verdachtsmoment für das Vorliegen einer missbräuchlichen Kartennutzung. Im globalen Wirtschaftsleben sind weder hohe Überweisungsbeträge noch Zahlungen mit Auslandsbezug per se missbrauchsverdächtig (OLG Frankfurt am Main, Beschluss vom 30.07.2024, 23 U 8/23, juris).

cc) In der Gesamtschau belegen die hier vorgelegten und beklagtenseitig ausführlich erläuterten Unterlagen, dass eine Authentifizierung erfolgt ist und die Zahlungsvorgänge ordnungsgemäß aufgezeichnet, verbucht sowie nicht durch eine Störung beeinträchtigt wurden (vgl. § 675w Satz 1 BGB). Die Beklagte hat die Nutzung des Zahlungsinstruments einschließlich der personalisierten Sicherheitsmerkmale überprüft und konnte den Kläger anhand der verwendeten Legitimations-ID und Benutzerkennung sowie der unter Nutzung des für seinen Vertrag registrierten Endgeräts mit dem hiermit gekoppelten BestSign-Verfahren als Zahlungsdienstnutzer identifizieren. Der Kläger hat auch nicht vorgetragen, das zur Identifikation hinterlegte Gerät nicht selbst in Besitz gehabt zu haben.

dd) Mit dieser Authentifizierung nach § 675w Satz 1 BGB stehen allerdings lediglich die Grund- bzw. Mindestvoraussetzungen für die Anwendung eines Anscheinsbeweises für eine ordnungsgemäße Autorisierung des Zahlungsvorgangs durch den Kläger fest (OLG Dresden, Urteil vom 13.10.2022 - 8 U 760/22, BKR 2023, 626, 628; vgl. Schnauder/Beesch, jurisPR-BKR 4/2019 Anm. 4, juris, S. 5, m.w.N.).

Kann der Zahlungsdienstleister - wie hier - einen in technischer Hinsicht störungsfreien Zahlungsvorgang nachweisen, so spricht für die Autorisierung durch den Zahlungsdienstnutzer eine gewisse, aber nicht unwiderlegliche Vermutung, die jedoch nach § 675w Satz 3 BGB „allein nicht notwendigerweise“ zum Nachweis der Autorisierung ausreicht. § 675w Satz 3 BGB erfordert vielmehr die Berücksichtigung der Gesamtumstände des Einzelfalls im Rahmen richterlicher Beweiswürdigung gemäß § 286 ZPO. Nach der Rechtsprechung des Bundesgerichtshofs (BGH, Urteil vom 26.01.2016 - XI ZR 91/14, juris Rn. 24) ist eine Anwendung der Grundsätze des Anscheinsbeweises beim Online-Banking nicht von vornherein ausgeschlossen. § 675w Satz 3 BGB begrenzt aber den Beweiswert einer schlichten Dokumentation des technischen Authentifizierungsvorgangs, um den Zahlungsdienstnutzer, der weder den Authentifizierungsvorgang technisch gestalten noch dessen korrekte Funktion im Einzelfall überblicken kann, nicht über § 675v Abs. 1 BGB hinaus mit den Risiken eines Missbrauchs technischer Authentifizierungsinstrumente zu belasten. Deshalb dürfen die Grundsätze des Anscheinsbeweises im Zahlungsdiensterecht beim Einsatz technischer Authentifizierungsinstrumente nicht so gehandhabt werden, dass sie bei Vorliegen der in § 675w Satz 3 BGB genannten technischen Merkmale aus praktischer Sicht einer Beweislastumkehr gleichkommen (BGH, a.a.O., Rn. 26, m.w.N.). Aus diesem Grund erachtet der Bundesgerichtshof für die Anwendung der Grundsätze des Anscheinsbeweises allein die korrekte Aufzeichnung der Nutzung des Zahlungsauthentifizierungsinstruments nicht als ausreichend. Zudem bedarf die Erschütterung des Anscheinsbeweises nicht zwingend der Behauptung und gegebenenfalls des Nachweises technischer Fehler des dokumentierten Authentifizierungsverfahrens (BGH, a.a.O., Rn. 27). Voraussetzung für die Anwendung des Anscheinsbeweises ist das Erreichen eines technischen Schutzniveaus, bei dem auf Grundlage aktueller Erkenntnisse die allgemeine praktische Unüberwindbarkeit des konkret eingesetzten Sicherungsverfahrens und dessen Beachtung im konkreten Einzelfall feststehen (vgl. BGH, a.a.O., Rn. 27 ff., 28, 32). An dieser Rechtslage hat die Umsetzung der Zweiten Zahlungsdiensterichtlinie (Richtlinie (EU) 2015/2366) nichts geändert (Omlor, BKR 2019, 105, 110; Linardatos, NJW 2017, 2145, 2150; Hofmann, BKR 2018, 62, 68 f.; Beesch, jurisPR-BKR 11/2019 Anm. 1).

Der Anscheinsbeweis ist erschüttert, wenn Tatsachen dargelegt und ggf. zur vollen Überzeugung des erkennenden Gerichts bewiesen werden, die die ernsthafte, ebenfalls in Betracht kommende Möglichkeit einer anderen Ursache nahelegen. Der Zahlungsdienstnutzer muss also zur Erschütterung des Anscheinsbeweises keinen konkreten und erfolgreichen Angriff gegen das Authentifizierungsinstrument beweisen, sondern nur solche Umstände, die gegen die Autorisierung durch ihn und für ein missbräuchliches Eingreifen eines Dritten sprechen. Diese Anforderungen kann der Zahler auch dadurch erfüllen, dass er außerhalb des Sicherheitssystems des Zahlungsdienstleisters liegende Indizien, die für einen nicht autorisierten Zahlungsvorgang sprechen, substantiiert darlegt und bei Bestreiten nachweist (BGH, Urteil vom 26.01.2016 - XI ZR 91/14, juris Rn. 48).

ee) Gemessen daran ist es dem Kläger nicht gelungen, den Anscheinsbeweis zu erschüttern. Wie das Landgericht zutreffend festgestellt hat, ist sein Verweis auf den IT-Systemumzug bei der Beklagten zum 01.04.2023, bei dem es zu einem Datenleck gekommen sein müsse und seine Authentifizierungs- und Freigabedaten Dritten bekannt worden sein müssten, dafür nicht ausreichend. Zum einen hat die Beklagten substantiiert und vom Kläger nicht hinreichend bestritten dargetan, dass die Zugangsdaten des Klägers zum Online-Banking bei ihr nicht erbeutet worden sein können. Denn die Beklagte speichert lediglich eine kryptographisch verschlüsselte, mathematische Entsprechung der Online-Banking-PIN des Klägers, einen sogenannten „Hash-Wert“. Seine Online-Banking-PIN war somit nur dem Kläger, nicht aber der Beklagten bekannt. Dass Banken im Inland die persönlichen Identifikationsnummern ihrer Kunden nicht speichern, sondern nur „Hash-Werte“, also mathematische Entsprechungen derselben, ist überdies gerichtsbekannt. Detailliert hat die Beklagte im Übrigen vorgebracht, dass auch aufgrund der übrigen IT-Sicherheitsmaßnahmen, die sie ergriffen hat, ausgeschlossen ist, dass Zugangsdaten ihrer Kunden zum Online-Banking bei ihr „abfließen“. Dazu hat das Landgericht zutreffend gewürdigt, dass der Zeuge X, der die für das Online-Banking verantwortliche Abteilung der Beklagten leitet, bestätigte, dass das von der Beklagten eingesetzte Sicherungsverfahren von ihr ordnungsgemäß angewendet worden war und fehlerfrei funktioniert hat und dass „illegitime Datenabflüsse“ seitens der Beklagten nicht erfolgt seien.

Überdies ist - anders als in dem vom BGH entschiedenen Fall (NJW 2016, 2024) - vorliegend bereits kein insbesondere zeitlicher Zusammenhang mit dem IT-Systemumzug ersichtlich, denn dieser fand zum 01.04.2023 statt, während es zur Einrichtung der virtuellen Debitkarte und der Verknüpfung mit dem Google Pay-Bezahlverfahren am 20.01.2024, also mehr als neun Monate später kam.

ff) Danach steht jedenfalls prozessual fest, dass die Freigabe der streitgegenständlichen Vorgänge, nämlich die Bestellung einer virtuellen Debitkarte und deren Verknüpfung mit dem Online-Bezahlverfahren „Google Pay" und daraus resultierend die sechs streitgegenständlichen Zahlungsvorgänge unter Nutzung des BestSign-Verfahrens vom Kläger - wenn auch unfreiwillig - autorisiert worden waren, was einem Zahlungsanspruch nach § 675u S. 2 BGB entgegensteht.

2. Aufgrund der fehlenden Erschütterung des Anscheinsbeweises ist vorliegend überdies prozessual festzustellen, dass selbst wenn man von einem Zahlungsanspruch nach § 675u S. 2 BGB mangels Autorisierung der streitgegenständlichen Zahlungsvorgänge ausgehen wollen würde, die Beklagte einem solchen Anspruch jedenfalls einen Anspruch in gleicher Höhe gemäß § 675v Abs. 3 Nr. 2 BGB im Wege der dolo-agit-Einrede nach § 242 BGB entgegenhalten kann. Nach den obigen Darlegungen und der Anwendung des Anscheinsbeweises hat der Kläger grob fahrlässig i.S.d. § 675v Abs. 3 Nr. 2 BGB seine Pflichten verletzt, indem er die Bestellung einer virtuellen Kreditkarte sowie die Aktivierung eines Google Pay-Bezahlverfahrens jeweils mit seinem BestSign-Verfahren freigegeben hat. Den entsprechenden Nachweis dafür hat die Beklagte nach den obigen Erwägungen, auf die zur Vermeidung von Wiederholungen verwiesen wird, erbracht, den der Kläger nicht erschüttern konnte. Insbesondere kann nicht angenommen werden, wie oben dargelegt, dass die Daten des Klägers bei der Beklagten abgeflossen sind und so Dritten zum Missbrauch zur Verfügung standen, was in ihren Pflichtenkreis fallen würde und den Kläger insoweit entlasten würde. Vielmehr ist - wie von der Beklagten bereits erstinstanzlich ausführlich vorgetragen - und aufgrund des zugrunde zu legenden, nicht erschütterten Anscheinsbeweises vorliegend prozessual anzunehmen, dass die unberechtigten Dritten durch sog. „Phishing“ an die Daten des Klägers gelangt waren und er selbst - als alleiniger Inhaber der entsprechenden Zugangsdaten - die Freigabe - grob fahrlässig - für die streitgegenständlichen Vorgänge im BestSign Verfahren erteilt hat. Damit ist es zum vorliegenden Missbrauch durch grob fahrlässige Pflichtverletzungen, nämlich die fehlende hinreichende Prüfung von übermittelten Zahlungsinformationen vor Freigabeerteilung und die Preisgabe persönlicher Authentifizierungsdaten, seitens des Klägers gekommen, was einen Zahlungsanspruch gegen die Beklagte ausschließt.

3. Mangels Hauptanspruch des Klägers besteht auch kein Anspruch auf Zahlung von Verzugszinsen nach §§ 286, 288 BGB.

III.

Die Kostenentscheidung beruht auf § 97 Abs. 1 ZPO.

Die Entscheidung über die vorläufige Vollstreckbarkeit ergibt sich aus den §§ 708 Nr. 10, 713 ZPO.

Eine Zulassung der Revision war nicht geboten, weil, weder die Rechtssache grundsätzliche Bedeutung hat noch die Einheitlichkeit der Rechtsprechung oder die Fortbildung des Rechts eine Entscheidung des Revisionsgerichts erfordert (§ 543 Abs. 2 ZPO). Sie beruht auf der gefestigten Rechtsprechung des BGH und steht im Einklang mit weiterer Rechtsprechung verschiedener Oberlandesgerichte.

Die Streitwertfestsetzung folgt aus § 47 Abs. 1 GKG und bemisst sich nach dem bezifferten Berufungsantrag in der Hauptforderung.

Permalink

• Diesen Link können Sie kopieren und verwenden, wenn Sie genau dieses Dokument verlinken möchten: https://www.rv.hessenrecht.hessen.de/perma?d=LARE260000931