• Sparkasse muss nach Phishing-Betrug 20 % des Schadens ersetzen
• Gericht sieht auch bei Sicherheitslücken der Bank eine Mitschuld
• PushTAN-Verfahren gilt als besonders anfällig für Cyberangriffe

Das Oberlandesgericht Dresden hat entschieden, dass die Sparkasse nach einem Phishing-Betrug mitverantwortlich ist. Ein Kunde hatte auf einer gefälschten Webseite persönliche Daten eingegeben, woraufhin Betrüger eine hohe Summe überwiesen. Das Gericht sieht eine Mitschuld der Bank, weil das PushTAN-Verfahren nicht ausreichend geschützt war. Deshalb muss die Sparkasse 20 Prozent des entstandenen Schadens ersetzen. Das Urteil betont, dass Banken mehr Verantwortung bei Sicherheitslücken im Online-Banking tragen. Auch wenn der Kunde grob fahrlässig handelte, wird die Bank in die Pflicht genommen. Das Urteil könnte andere Banken dazu bewegen, ihre Sicherheitsmaßnahmen zu verbessern.

Phishing-Betrug: Wie der Schaden entstand

Im Grunde genommen geht es um einen Mann, der für seine Bank-Aktivitäten das sogenannte S-pushTAN-Verfahren der Sparkasse in Anspruch genommen hat. Kriminelle legten ihn mit einer Phishing-Mail herein und fragten darüber seine persönlichen Log-in-Daten ab.

Durch geschickte telefonische Gesprächsführung schafften sie es tatsächlich, ihn Anfang des Jahres dazu zu bewegen, seinen Höchstbetrag für Überweisungen nach oben zu setzen. Daraufhin überredeten sie ihn, dass er ihnen eine Summe von 49.421,44 Euro in Echtzeit freigab, schreibt Techbook.

Im Gerichtssaal sagte der Mann aus, dass die S-pushTAN-App ihm keine Informationen zu den Transaktionen preisgegeben habe. Er habe weder die genaue Summe noch den Empfänger bei der Freigabe sehen können. Lediglich die Freigabeaufforderungen seien ihm angezeigt worden. Das Gericht traute dieser Aussage nicht, stufte die Situation der TAN-Freigabe am Telefon aber als "ungewöhnlich" ein. 

Was Bankkunden jetzt beachten sollten

Zunächst einmal muss sich der Kunde den Schuh anziehen, grob fahrlässig gehandelt zu haben. Denn er hat einfach so auf einer Fakeseite im Internet seine persönlichen Daten eingetippt und die Zahlungen freigegeben.

Im Urteil steht geschrieben: "Aufgrund der in den letzten Jahren vielfach durch verschiedene Medien bekannt gewordenen Fälle ist die Erkenntnis, dass Kunden durch betrügerische Nachrichten und Anrufe angeblicher Bankmitarbeiter zur Preisgabe von Zugangsdaten zum Online-Banking veranlasst werden sollen, als allgemeines Wissen vorauszusetzen" (Auszug aus dem Urteil 8 U 1482/24).