LG Saarbrücken 1. Zivilkammer — 1 O 181/20

Der Kläger nimmt die Beklagte auf Erstattung nicht autorisierter Überweisungen in Anspruch.

Zwischen dem Kläger und seiner Ehefrau, der Zeugin ..., einerseits sowie der Beklagten andererseits bestehen Zahlungsdiensterahmenverträge betreffend das im Kontokorrent geführte Girokonto mit der IBAN ... sowie das S-ZinsOnline-Konto mit der IBAN .... Auf Grundlage einer Rahmenvereinbarung über die Teilnahme am Online-Banking/Telefon-Banking vom 18.10.2016 (Bl. 66 GA) nutzt der Kläger das von der Beklagten angebotene Online-Banking. In diesem Zusammenhang wurde vereinbart, dass der Kläger und die Zeugin ... das ChipTAN-Verfahren nutzen und dass als Authentifizierungsinstrument zur Erzeugung einer TAN die vorhandene Karte mit der Nr. ... genutzt werden soll. Weiterhin sollten u.a. die Bedingungen für das Online-Banking (Bl. 71 GA) gelten. Für einen Übertrag von dem S-ZinsOnline-Konto auf das Girokonto ist die Eingabe einer TAN nicht erforderlich.

Nach Ziffer 7 der Bedingungen für das Online-Banking sind gewisse Sorgfaltspflichten des Teilnehmers einzuhalten, u.a. wird darauf hingewiesen, dass die Nachweise des Besitzelements (z.B.) TAN nicht außerhalb des Online-Banking mündlich (z.B. per Telefon) [...] weitergegeben werden dürfen.

Am 07.04.2020 kam es zu dem streitgegenständlichen Vorfall. Um 15:56 wurde zunächst mit der TAN ... eine Frau ... in die Liste der vom Zahler als vertrauenswürdig eingestuften Empfänger (White-List) eingetragen (Systemauszüge Bl. 21, 27, 77 GA). Um 15:59 Uhr erfolgte mit der TAN ... ein solcher Eintrag zu Gunsten einer Frau ... (Systemauszüge Bl. 28, 78 GA). Diese TAN wurden von der Zeugin ... generiert und telefonisch an einen Dritten weitergegeben. Diese Eintragungen haben zur Folge, dass in der Folge vorgenommene Überweisungen an die in der White-List aufgeführten Personen ohne Eingabe einer weiteren TAN vorgenommen werden können. Um 16:01 Uhr wurde mit der TAN ... das Überweisungslimit auf 80.000,00 € erhöht. Hierfür mussten zudem Sicherheitsmerkmale in Form des Geburtsdatums der Zeugin ... und deren Kartennummer eingegeben werden (Systemauszüge Bl. 31, 32, 78 GA).

In der Zeit vom 12.04.2020 (Ostersonntag) 21:59 Uhr bis 13.04.2020 (Ostermontag) 04:29 Uhr erfolgte Überträge von dem S-ZinsOnline Konto auf das Girokonto des Klägers und der Zeugin ... und eine Vielzahl an Echtzeitüberweisungen (Instant Payment) vom Girokonto auf ein Konto der Frau .... Dabei wurden nach drei ersten erfolgreichen Echtzeitüberweisungen von 22:06 Uhr bis 22:40 Uhr fünf Echtzeitüberweisungen von dem Betrugspräventionssystem der Beklagten als Echtzeitüberweisungen blockiert, bevor ab 22:40 Uhr - teilweise - wieder erfolgreiche Echtzeitüberweisungen erfolgten (Aufstellung Bl. 11 GA, Systemauszüge Bl. 79). Insgesamt wurde ein Betrag von 47.218,81 € überwiesen, auf die Zeit ab 22:40 Uhr entfällt hiervon ein Betrag von 34.220,86 €.

Für die Echtzeitüberweisungen wurde ein Entgelt in Höhe von 11,00 € in Rechnung gestellt.

Die Zeugin ... hat mit Erklärung vom 11.06.2020 (Bl. 10 GA) ihre Ansprüche im Zusammenhang mit den streitgegenständlichen Überweisungen an den Kläger abgetreten.

Der Kläger behauptet, sein Zugang zum Internet erfolge ausschließlich per LAN-Verbindung und sei über die stets auf dem neuesten Stand gehaltene Software G-Data Internet Security gesichert.

Am 11.02.2020 um 13:31 Uhr sei ein erster nicht autorisierter Fremdzugriff im System der Beklagten erfolgt. In der KW 14, vermutlich am 02.04.2020 um 11:42 Uhr, sei die Zeugin ... in dem Online-Banking System der Beklagten aufgefordert worden, den TAN Generator zu aktualisieren. Hierzu habe sie den TAN Generator an den Bildschirm gehalten, den auf dem Generator angezeigten Startcode bestätigt und gab die TAN in das Online-Banking System eingegeben. Hierauf sei die Mitteilung „Auftrag fehlgeschlagen“ erschienen.

Zu dem Geschehen am 07.04.2020 behauptet der Kläger, um 15:52 Uhr sei ein erster Zugriff in dem Online-Banking System erfolgt, bei dem ein sog. White-List-Eintrag angelegt und das Postfach genutzt worden sei.

Um 15:56 Uhr habe ein Dritter unter der Nummer der Beklagten auf dem Handy der Zeugin ... - welches auf ihren Bruder laufe und dessen Nummer nur wenigen Personen bekannt sei - angerufen und sich als Mitarbeiter der Beklagten ausgegeben. Er habe sich gleich zu Beginn des Telefonats auf die fehlgeschlagene Aktualisierung des TAN Generators in der KW 14 bezogen und erklärt, dass die Aktualisierung nunmehr durch ihn vorgenommen werde. Dazu habe er die Zeugin ... gebeten den Generator in die Hand zu nehmen, die Bankkarte einzustecken und den von ihm durchgegebenen Startcode einzutippen und mit OK zu bestätigen. Daraufhin sei im Display des Generators die Aufforderung erschienen, noch eine weitere Nummer einzugeben, welche der Anrufer ebenfalls der Zeugin ... mitgeteilt habe. Anschließend teilte die Zeugin ... - was unstreitig ist - die erzeugte TAN (Nr. ...) dem Anrufer mit.

Nach der Mitteilung der ersten TAN habe der Anrufer erklärt, dass ihm ein Fehler unterlaufen sei und der Vorgang noch einmal wiederholt werden müsse. Daher habe die Zeugin ... eine weitere TAN (Nr. ...) nach den Vorgaben des Dritten generiert. Auch diese TAN gab die Zeugin ... - unstreitig - an den Dritten weiter.

Die für die Limiterhöhung weiter erforderlichen Angaben zu Geburtsdatum und Kartennummer habe die Zeugin nicht an den Dritten weitergegeben, sodass dieser die Daten zwingend aus dem System der Beklagten entnommen haben müsse. Auch habe die Zeugin ... die zur Limiterhöhung erforderliche TAN (Nr. ...) nicht mitgeteilt, diese habe der Dritte selbst generiert.

Der Kläger beantragt,

1. die Beklagte zu verurteilen, das Girokonto mit der IBAN ... sowie das Tagesgeldkonto mit der IBAN ... wieder auf die Stände zu bringen, auf denen sie sich ohne die Belastungen am 12.04. und 13.04.2020 in Höhe von 4.218,81 € (Girokonto) und 43.050,24 € (Tagesgeldkonto) befunden hätten, fernen die 11,00 € die als Gebühren für Echtzeitüberweisungen in der Zeit vom 12.04. bis 13.04.2020 abgerechnet wurden, dem Kläger zu erstatten;

2. die Beklagte zu verurteilen, die dem Kläger und dessen Ehefrau außergerichtlich entstandenen Rechtsanwaltskosten in Höhe von 1.822,96 € zuzüglich Zinsen in Höhe von 5 Prozentpunkten über dem Basiszinssatz hieraus seit Rechtshängigkeit zu zahlen.

Die Beklagte beantragt,

die Klage abzuweisen.

Die Beklagte behauptet, bei dem Zugriff am 11.02.2020 um 11:31 Uhr habe es sich nicht um einen Fremdzugriff gehandelt. Nach dem erfolgreichen Anmelden der Zeugin ... sei lediglich die automatisierte jährliche Personendatenaktualisierung gestartet worden (Ausdruck Bl. 74 GA).

Im Zuge der streitgegenständlichen Zahlungsverkehrsvorgänge seien die personalisierten Sicherheitsmerkmale überprüft worden. Sämtliche Vorgänge seien ordnungsgemäß aufgezeichnet und verbucht worden. Die technische Abwicklung der Zahlungsvorgänge sei störungsfrei und ohne Auffälligkeiten verlaufen. Die Systeme der Beklagten hätten im fraglichen Zeitraum störungsfrei und ordnungsgemäß funktioniert. Die Geschäftsvorfälle seien mit dem vereinbarten Authentifizierungsinstrument ordnungsgemäß authentifiziert worden. Es handele sich um ein praktisch nicht zu überwindendes und um konkreten Einzelfall ordnungsgemäß angewendetes und fehlerfrei funktionierendes Sicherheitssystem, auf das ein erfolgreicher Angriff nicht bekannt sei.

Auf dem TAN Generator werde stets - so auch im vorliegenden Fall - angezeigt, dass und welcher Eintrag in die White-List erfolge und welche Limitänderung vorgenommen werde. Die bei der Limiterhöhung verwendete TAN sei ebenfalls von der Zeugin ... generiert und weitergegeben worden.

Die Beklagte ist der Ansicht, infolge der Weitergabe der TAN habe die Zeugin ... die streitgegenständlichen Transaktionen autorisiert. Jedenfalls aber stünde ihr ein korrespondierender Schadensersatzanspruch zu, mit dem sie die Aufrechnung erklärt.

Das Gericht hat Beweis erhoben durch Vernehmung der Zeugen ... und ... sowie gemäß Beschluss vom 07.04.2021 (Bl. 226 GA) durch Einholung eines schriftlichen Sachverständigengutachtens des Herrn .... Wegen des Ergebnisses der Beweisaufnahme wird auf das Protokoll der mündlichen Verhandlung vom 10.02.2021 (Bl. 155 GA), das Gutachten (Bl. 265 GA) die ergänzende Stellungnahme des Sachverständigen vom 09.05.2022 und das Protokoll der mündlichen Verhandlung vom 28.10.2022 (Bl. 361 GA) verwiesen.

Wegen der weiteren Einzelheiten des Sach- und Streitstandes wird auf die zwischen den Parteien gewechselten Schriftsätze nebst Anlagen sowie auf das Protokoll der mündlichen Verhandlung vom 15.01.2021 (Bl. 99 GA), vom 10.02.2021 (Bl. 155 GA) und vom 28.10.2022 (Bl. 361 GA) Bezug genommen.

Die zulässige Klage ist im tenorierten Umfang begründet. Zwar stand dem Kläger gegen die Beklagte ein Anspruch auf Gutschrift des Betrages von 47.269,05 € aus § 675 u Satz 2 BGB zu. Dieser Anspruch ist jedoch infolge der hilfsweise durch die Beklagte erklärte Aufrechnung mit einem korrespondierenden Schadensersatzanspruch aus § 675 v Abs. 3 BGB teilweise erloschen.

1. Dem Kläger stand zunächst ein Anspruch auf Gutschrift von 47.218,81 € auf seinem Girokonto nach § 675 u BGB wegen nicht autorisierter Zahlungsvorgänge zu, wobei lediglich die - letztlich schadensursächlichen und nicht allein bloße Vorarbeiten darstellende - Überweisungen von dem Girokonto aus relevant sind.

a) Dabei gilt in rechtlicher Hinsicht, dass nach § 675 u BGB der Zahlungsdienstleister im Fall eines nicht autorisierten Zahlungsvorgangs gegen den Zahler keinen Anspruch auf Erstattung seiner Aufwendungen hat. Vielmehr ist er verpflichtet, dem Zahler den Zahlungsbetrag unverzüglich zu erstatten und, sofern der Betrag einem Zahlungskonto belastet worden ist, dieses Zahlungskonto wieder auf den Stand zu bringen, auf dem es sich ohne die Belastung durch den nicht autorisierten Zahlungsvorgang befunden hätte.

Das Vorliegen einer Autorisierung richtet sich nach § 675 j BGB, wobei die die Autorisierung darstellende Zustimmung des Zahlers zu dem Zahlungsvorgang als Einwilligung oder - soweit vereinbart - als Genehmigung erfolgen kann. Ist das Vorliegen der Autorisierung streitig, trifft den Zahlungsdienstleister hierfür die Beweislast, § 675 w BGB, wobei die Grundsätze des Anscheinsbeweises Anwendung finden können (hierzu grundlegend BGH, Urteil vom 26.01.2016 - XI ZR 91/14, NJW 2016, 2024; MüKoBGB/Zetzsche, 8. Aufl. 2020, BGB § 675w Rn. 38).

b) Nach diesen Maßstäben stellen die in der Nacht vom 12.04.2020 auf den 13.04.2020 vorgenommenen Überweisungen zu Gunsten einer Frau ... nicht autorisierte Zahlungsvorgänge dar, ohne dass es auf das Eingreifen eines Anscheinsbeweises ankommt.

Dabei legt das Gericht in tatsächlicher Hinsicht die grundsätzliche Schilderung der Zeugin ... zugrunde, welche im Rahmen ihrer Vernehmung ausführlich den Geschehensablauf dargestellt hat. Demnach nahm die Zeugin selbst weder die Einträge in die White-List vor, noch die streitgegenständliche Limiterhöhung, sondern generierte mittels der telefonisch durchgegebenen Daten zumindest zwei TAN, welche sie dem Anrufer weitergab, sodass der Anrufer die Einträge vornehmen und letztlich - einige Tage später - die Überweisungen auslösen konnte.

Dies bedeutet, dass eine Autorisierung der Überweisungen nicht vorliegt (umfassend zur Frage der Autorisierung bei Social Engineering Angriffen Zahrte, BKR 2016, 315). Insoweit unterscheidet sich die Konstellation von Angriffsmethoden bei welchen der Zahler durch Täuschung dazu verleitet wird, selbst eine TAN in die Maske des Online Banking Portals einzugeben und damit eine Überweisung auszulösen. Vielmehr gab die Zeugin ... lediglich mehrere von ihr erstellte TAN an einen Dritten weiter und allein dieser löste - vorbereitet durch die mittels der TAN vorgenommenen White-List-Einträge - die streitgegenständlichen Überweisungen ohne Zutun der Zeugin aus, sodass eine allein in Betracht kommende Einwilligung der Zeugin in die Vornahme Einträge bzw. der Überweisungen nicht vorliegt.

2. Dieser grundsätzlich bestehende Anspruch des Klägers ist jedoch durch die hilfsweise von der Beklagten erklärte Aufrechnung mit einem korrespondierenden Schadensersatzanspruch teilweise erloschen.

a) Dabei gilt in rechtlicher Hinsicht, dass nach § 675 v Abs. 3 Nr. 2 BGB der Zahler seinem Zahlungsdienstleister zum Ersatz des gesamten Schadens verpflichtet ist, der infolge eines nicht autorisierten Zahlungsvorgangs entstanden ist, wenn der Zahler den Schaden herbeigeführt hat durch vorsätzliche oder grob fahrlässige Verletzung einer oder mehrerer Pflichten gemäß § 675 l Absatz 1 BGB oder einer oder mehrerer vereinbarter Bedingungen für die Ausgabe und Nutzung des Zahlungsinstruments. Eine grobe Fahrlässigkeit liegt nach allgemeinen Regeln vor bei einem objektiv schweren und subjektiv nicht entschuldbarem Verstoß gegen die Anforderungen der im Verkehr erforderlichen Sorgfalt, wenn also das außer Acht gelassen wird, was jedem hätte einleuchten müssen (BGH, Urteil vom 11.07.2007 - XII ZR 197/05; NJW 2007, 2988; BeckOK BGB/Lorenz, 61. Ed. 1.2.2022, BGB § 276 Rn. 19).

Bezogen auf die Besonderheiten des Online-Banking liegt bei der telefonischen Weitergabe einer oder mehrerer TAN der Vorwurf einer groben Fahrlässigkeit nahe (LG Saarbrücken, Urteil vom 10.06.2022 - 1 O 394/21, BeckRS 2022, 14866; LG Köln, Urteil vom 10.09.2019 - 21 O 116/19, MMR 2020, 258; BeckOGK/Hofmann, 1.10.2021, BGB § 675l Rn. 93; Langenbucher/Bliesener/Spindler/Herresthal, 3. Aufl. 2020, 3. Kap. BGB § 675v Rn. 63; BeckOK BGB/Schmalenbach, 61. Ed. 1.2.2022, BGB § 675v Rn. 13).

Insoweit ist die telefonische Weitergabe einer TAN nicht vergleichbar mit der Eingabe einer oder mehrerer TAN in eine gefälschte Eingabemaske (hierzu BGH, Urteil vom 24.04.2012 - XI ZR 96/11, NJW 2012, 2422), da sich die telefonische Weitergabe der TAN von dem üblichen Übermittlungsweg der TAN (Eingabe online) unterscheidet. Jedoch verbietet sich eine pauschale Bewertung, vielmehr sind sämtliche Umstände des Einzelfalles zu würdigen. Maßstab ist, dass wenn sich jedem Zahlungsdienstenutzer in der entsprechenden Situation sowie dem betroffenen Zahlungsdienstenutzer ganz individuell geradezu aufdrängen musste, dass es sich nicht um einen regulären Vorgang handeln kann, grobe Fahrlässigkeit vorliegt (LG Saarbrücken, Urteil vom 10.06.2022 - 1 O 394/21, BeckRS 2022, 14866; BeckOGK/Hofmann, 1.10.2021, BGB § 675l Rn. 96).

b) Bei Anwendung dieser rechtlichen Maßstäbe stellt sich das Verhalten der Zeugin ... - auch unter Zugrundelegung ihrer eigenen Schilderung - als grob fahrlässige Verletzung ihrer Pflichten aus Ziffer 7 der Online-Banking Bedingungen dar, welche ursächlich geworden ist für den eingetretenen Schaden.

aa) Die telefonische Weitergabe von zumindest zwei TAN durch die Zeugin ... stellt eine grob fahrlässige Verletzung ihrer Pflichten aus Ziffer 7 der Online-Banking Bedingungen dar.

Ausgangspunkt für diese Wertung ist zunächst die zwischen den Parteien getroffene Rahmenvereinbarung, welche ausdrücklich darauf hinweist, dass TAN nicht außerhalb des Online-Banking mündlich (z.B. per Telefon) weitergegeben werden dürfen. Zwar hat die Zeugin ... bekundet, dass in der Vergangenheit es auch zu telefonischen Kontakten mit Mitarbeitern der Beklagten, gerade einem Herrn ..., gekommen sei, weshalb die telefonische Kontaktaufnahme nicht ungewöhnlich gewesen sei. Jedoch hat auch die Zeugin eingeräumt, dass es bei diesen Kontakten weder nach der PIN, noch nach einer TAN gefragt worden sei. Daher mag der telefonische Kontakt per se nicht ungewöhnlich gewesen sein, wohl aber die Aufforderung, eine oder sogar mehrere TAN weiterzugeben.

Diese Auffälligkeiten werden noch verstärkt durch den konkreten Ablauf bei Generierung der TAN, die zum Hinzufügen einer IBAN zu der White-List benötigt wurden. Wie die Zeugin ... und der Zeuge ... mit dem TAN-Generator übereinstimmend in der mündlichen Verhandlung vom 10.02.2021 demonstriert haben ist hierfür nach dem Drücken der Taste mit der Beschriftung „TAN“ zunächst erforderlich, einen Startcode einzugeben. Im Anschluss erscheint im Display die Anzeige „IBAN“, woraufhin man eine weitere zehnstellige Nummer (die letzten zehn Ziffern der hinzuzufügenden IBAN) eingeben muss. Erst im Anschluss wird durch den Generator eine TAN generiert.

Bei einer Gesamtschau aller Umstände - das ungewöhnliche telefonische Erfragen mehrerer TAN entgegen der Online-Banking-Bedingungen sowie der Hinweis „IBAN“ auf dem TAN-Generator bei dem Generieren der TAN - musste sich der Zeugin, welche schon seit langer Zeit Online-Banking nutzt und der bekannt war, dass mittels einer TAN auch ein Zahlungsvorgang freigegeben werden kann, daher aufdrängen, dass es sich nicht um einen regulären Vorgang sondern nur um einen Betrug handelte. Von daher ist eine grobe Fahrlässigkeit der Zeugin ... anzunehmen.

bb) Diese Verletzung der Geheimhaltungspflichten ist ursächlich geworden für den eingetretenen Schaden, da sämtliche verwendeten TAN - sowohl für die White-List-Einträge, als auch für die Limiterhöhung - von der Zeugin ... an den Anrufer weitergegeben wurden.

(1) Dabei geht das Gericht in tatsächlicher Hinsicht davon aus, dass die Zeugin ... dem Anrufer die zwei TAN für die White-List-Einträge (Nr. ... und ...) zur Verfügung stellte, sowie auch - insoweit hinausgehend über die Angaben der Zeugin - die für die Erhöhung des Limits verwendete TAN (Nr. ...).

(2) Diese tatsächlichen Annahmen stützt das Gericht auf die Angaben der Zeugin ... sowie auf die Feststellungen des Sachverständigen ....

Die Zeugin ... hat insoweit bekundet, dass sie drei TAN generiert habe, bei dem zweiten Versuch sie jedoch etwas zu schnell gewesen sei und die Nummer weggedrückt habe. Von daher habe sie lediglich die TAN für die White-List-Einträge an den Anrufer weitergegeben.

Hingegen hat der Sachverständige ... in seinem Gutachten (insb. Bl. 274, 334 GA) festgestellt, dass die zur Änderung des Transaktionslimits verwendete TAN durch Eingabe eines Startcodes manuell im TAN-Generator erzeugt werden sollte. Dieser Vorgang wurde am 07.04.2020 um 16:00:52 Uhr abgeschlossen. Dabei erfolgte der Zugriff von einem System mit derselben IP-Adresse, wie auch die Zugriffe zuvor am 07.04.2020 (White-List-Einträge). Daher sei davon auszugehen, dass der Kläger oder seine die Zeugin ... die TAN generiert habe und an den Anrufer weitergegeben habe. Eine andere Möglichkeit sei nur denkbar, wenn der Anrufer im Besitz der Karte (oder einer Kopie) gewesen wäre.

(3) Aufgrund dieser Anhaltspunkte steht zur Überzeugung des Gerichts (§ 286 ZPO) fest, dass auch die TAN zur Limiterhöhung (Nr. ...) durch die Zeugin ... generiert und an den Anrufer weitergegeben wurde. Insoweit hat die Zeugin zunächst eingeräumt, drei TAN generiert zu haben, lediglich habe sie die zweite generierte TAN nicht weitergegeben. Dies ist aber insoweit nicht mit den zur Akte gereichten Unterlagen zu vereinbaren, als dass ausweislich der Übersicht „Verbrauchte TAN“ (Bl. 22 GA) zunächst die zum Anlegen der White-List-Einträge verwendeten TAN mit den Nummern ... und ... generiert wurden, deren Weitergabe die Zeugin einräumte. Von mag der Erinnerung der Zeugin entsprechen, die ersichtlich um eine wahrheitsgemäße Schilderung des Geschehens bemüht war, kann jedoch nicht zutreffen, dass die Zeugin die zweite erzeugte TAN nicht weitergegeben hat. Hierfür spricht auch, dass die Zeugin zunächst ausgeschlossen hat, dass der TAN-Generator den Begriff „IBAN“ anzeigt, dies jedoch im Verlauf der Demonstration dennoch einräumen musste.

Letztlich steht der Annahme, dass der Anrufer in sonstiger Weise die für die Limiterhöhung verwendete TAN generiert hat, auch der zeitliche Ablauf des Geschehens entgegen. Der erste White-List-Eintrag zugunsten der Frau ... wurde ausweislich der Systemauszüge (Bl. 77 GA) um 15:56:58 angelegt, der zweite White-List-Eintrag zu Gunsten der Frau ... um 15:59:24 Uhr. Im unmittelbaren Anschluss daran um 16:01:29 Uhr wurde die Limiterhöhung vorgenommen. Daher ist es nicht nachvollziehbar, aus welchen Gründen der Anrufer bei Vornahme der Limiterhöhung in der Lage gewesen sein soll, eigenständig eine TAN zu generieren, wenn er nur Minuten zuvor auf die Weitergabe zweier TAN durch die Zeugin ... angewiesen war.

Vor dem Hintergrund, dass die Angaben der Zeugin ... zu der Weitergabe der einzelnen TAN schon nicht zu vereinen sind mit den Systemauszügen und der Übersicht „Verbrauchte TAN“ und vor dem Hintergrund des engen zeitlichen Zusammenhangs des Geschehens handelt es sich bei dem weiteren Beweisantrag des Klägers, ob eine Generierung der TAN durch die Zeugin ... ausgeschlossen werden könne (Bl. 365 GA) um bloße Spekulation, da in keiner Weise Anhaltspunkte aufgezeigt werden, aus welchem Grund und in welcher Weise der Anrufer - auch nur möglicherweise - die für die Limiterhöhung verwendete TAN selbst erzeugt haben soll. Gleichermaßen unerheblich ist die von dem Kläger umfassend aufgeworfene Frage, aus welchem Grund der interne Zähler des TAN-Generators bei Generierung der verwendeten TAN die interne Zählernummer ... übersprungen hat.

d) Der Anspruch ist auch nicht nach § 675 v Abs. 4 Satz 1 Nr. 1 BGB ausgeschlossen. Zwar ist der Zahler nicht zum Schadensersatz verpflichtet, wenn sein Zahlungsdienstleister eine starke Kundenauthentifizierung nicht verlangt. Dass vorliegend jedoch für die Vornahmen der Überweisungen zu Gunsten der Frau ... die Eingabe weiterer TAN nicht erforderlich war beruht auf dem im Einklang mit § 55 Abs. 5 ZAG, Art. 13 VO (EU) 2018/389 über technische Regulierungsstandards für eine starke Kundenauthentifizierung und für sichere offene Standards für die Kommunikation vorgenommenen White-List-Eintrag.

e) Der Höhe nach beschränkt sich der zur Aufrechnung gestellte Gegenanspruch der Beklagten auf 30.108,38 €. Die Beklagte muss sich ein anspruchsminderndes Mitverschulden in Höhe von 50% anrechnen lassen, beschränkt aber auf die Überweisungen, die ab 22:40 Uhr erfolgten.

aa) Diesbezüglich gilt in rechtlicher Hinsicht, dass ein Mitverschulden des Zahlungsdienstleisters beim Onlinebanking bestehen kann, wenn keine ausreichende Systemsicherheit gewährleistet wird, da der Dienstleister zur Bereitstellung eines technisch sicheren Onlinebanking-Systems verpflichtet ist (BGH, Urteil vom 24.04.2012 - XI ZR 96/11, NJW 2012, 2422; MüKoBGB/Zetzsche, 9. Aufl. 2023, BGB § 675 v Rn. 58; Langenbucher/Bliesener/Spindler/Herresthal, 3. Aufl. 2020, 3. Kap. BGB § 675v Rn. 72).

Bezogen auf die konkreten Pflichten des Zahlungsdiensteleisters wurde etwa ein Mitverschulden angenommen, wenn etwa ein veraltetes Authentifizierungsverfahren verwendet wird, welches nicht mehr dem Stand der Technik entspricht (so für das einfache TAN Verfahren KG, Urteil vom 29.11.2010 - 26 U 159/09, BeckRS 2010, 31105; Köbrich, VuR 2015, 9). Auch kann ein Mitverschulden angenommen werden, wenn der Zahlungsdiensteleister mit Ausführung des Zahlungsvorgangs den mit dem Zahler vereinbarten Verfügungsrahmen überschreitet (BGH, Urteil vom 24.04.2012 - XI ZR 96/11, NJW 2012, 2422; Langenbucher/Bliesener/Spindler/Herresthal, 3. Aufl. 2020, 3. Kap. BGB § 675v Rn. 71).

bb) Des Weiteren kann ein Mitverschulden in Betracht kommen, wenn das Kreditinstitut gegen eine zum Schutz des Kunden bestehende Warnpflicht verstoßen hat. Eine solche ist hingegen nur in Ausnahmefällen anzunehmen. Kreditinstitute werden im bargeldlosen Zahlungsverkehr nur zum Zweck der technisch einwandfreien, einfachen und schnellen Abwicklung tätig und haben sich schon wegen dieses begrenzten Geschäftszwecks und der Massenhaftigkeit der Geschäftsvorgänge grundsätzlich nicht um die beteiligten Interessen ihrer Kunden zu kümmern. Eine Warnpflicht besteht erst dann, wenn die Bank ohne nähere Prüfung im Rahmen der normalen Bearbeitung eines Zahlungsverkehrsvorgangs auf Grund einer auf massiven Verdachtsmomenten beruhenden objektiven Evidenz den Verdacht einer Veruntreuung bzw. Fremdschädigung des Kunden schöpft (BGH, Urteil vom 24.04.2012 - XI ZR 96/11, NJW 2012, 2422;Ellenberger/Bunte BankR-HdB, § 33. Bankgeschäfte online Rn. 128). Hierbei kann auch zu berücksichtigen sein, wenn auffällige Verfügungen im Minutentakt erfolgen und keine Rückfrage erfolgt, ob diese Verfügungen bekannt sind (OLG Bremen, Beschluss vom 19.05.2021 - 1 W 4/21, NJW-RR 2021, 1063).

cc) Nach diesen rechtlichen Maßstäben muss sich die Beklagte im vorliegenden Fall betreffend die Überweisungen, welche am 12.04.2020 ab 22:40 Uhr erfolgten ein Mitverschulden anrechnen lassen.

Ausweislich der zur Akte gereichten Aufstellung (Bl. 11 GA) und Systemauszüge (Bl. 79 GA) erfolgten am 12.04.2020 von 22:00 Uhr bis 22:04 Uhr zunächst drei Überweisungen zu Gunsten der Frau ... mit einem Gesamtbetrag von 12.997,95 € und ein Übertrag von dem Tagesgeldkonto auf das Girokonto in Höhe von 20.000,00 €.

In einer anschließenden Zeitspanne von 22:06 Uhr bis 22:40 Uhr wurden weitere fünf Überweisungen zu Gunsten der Frau ... versucht mit einem Gesamtbetrag von 17.097,49 €, welche aufgrund des Betrugspräventionssystems der Beklagten als Echtzeitüberweisungen (Instant Payment) blockiert wurden. In der Folge von 22:40 Uhr bis 04:29 Uhr am Folgetag erfolgten weitere 21 Überweisungen auf das Konto der Frau ..., von denen durch das Betrugspräventionssystem der Beklagten 12 blockiert wurden.

Bei diesem Geschehen einer Vielzahl von, auch erheblichen, Überweisungen an das selbe Empfängerkonto zur Nachtzeit über einen Zeitraum von ca. viereinhalb Stunden liegen zunächst erhebliche Verdachtsmomente vor, die auf einen Missbrauch des Kontos des Klägers hindeuten. Dabei hat das Betrugspräventionssystem der Beklagten zumindest ab den in der Zeitspanne von 22:06 Uhr bis 22:40 Uhr blockierten Überweisungen sogar diese Anhaltspunkte für den Missbrauch erkannt und folgerichtig die Verfügungen als Echtzeitüberweisungen blockiert. Nachfolgende Anhaltspunkte, die diesen Verdacht entkräftet hätten, sind nicht eingetreten, insbesondere ermöglicht die Einrichtung der White-List auch Missbrauchsszenarien, die einen fortdauernden Kontakt mit dem Kontoinhaber nicht voraussetzen. Von daher wäre es jedenfalls geboten gewesen, bevor weitere Echtzeitüberweisungen zugelassen werden, auch telefonisch Rücksprache mit dem Kläger oder der Zeugin ... zu halten. Dies gilt umso mehr, als auch in der Folge weitere Überweisungen blockiert wurden, somit sich die bestehenden Anhaltspunkte für einen Missbrauch immer weiter verstärkten.

Insoweit kann sich die Beklagte auch nicht mit Erfolg darauf berufen, dass sie sich - für den Fall der vorläufigen Nichtausführung der weiteren Überweisungen - möglicherweise vertragswidrig verhalten hätte. Wenn die Beklagte rechtlich verpflichtet ist beim Vorliegen erheblicher Anhaltspunkte für einen Missbrauch des Kontos weitere Verfügungen nicht mehr zuzulassen, kann sie sich durch die vorläufige Nichtausführung nicht vertragswidrig verhalten. Im Übrigen ist der Zielkonflikt zwischen dem gewollten Zulassen aller ordnungsgemäßer Überweisungen und dem Blockieren aller unberechtigter Überweisungen jedem Betrugspräventionssystem immanent, da mit absoluter Sicherheit nie feststehen wird, ob eine Überweisung ordnungsgemäß ist oder ein Missbrauch vorliegt.

dd) Das hiernach der Beklagten anzurechnende Mitverschulden ist nach Abwägung mit dem grob fahrlässigen Sorgfaltspflichtverstoß der Zeugin ... mit 50% zu bemessen.

Allgemein ist für die Höhe des Mitverschuldens zu beachten, dass bei der Annahme von grober Fahrlässigkeit seitens des Zahlers eine leichte Fahrlässigkeit des Zahlungsdienstleisters daneben kaum ins Gewicht fallen und daher im Einzelfall in der Gesamtwürdigung ganz zurücktreten kann (MüKoBGB/Zetzsche, 9. Aufl. 2023, BGB § 675v Rn. 60; Langenbucher/Bliesener/Spindler/Herresthal, 3. Aufl. 2020, 3. Kap. BGB § 675v Rn. 73).

Jedoch ist bei der vorzunehmenden Abwägung zu berücksichtigen, dass eine bloß leichte Fahrlässigkeit der Beklagten bei dem Zulassen der weiteren Verfügungen nicht mehr angenommen werden kann. Vielmehr bestanden für die Beklagte erhebliche Anhaltspunkte für einen Missbrauch, welche das Betrugspräventionssystem auch erkannt hat. Jedoch ist der Zeugin ... ein schwerwiegender Verstoß gegen ihre Sorgfaltspflichten in Bezug auf die Geheimhaltung der TAN vorzuwerfen. Vor diesem Hintergrund scheint die Annahme eines Mitverschuldens der Beklagten von 50% angemessen, betreffend die Überweisungen, die ab 22:40 Uhr durchgeführt worden sind.

ee) Anhaltspunkte für ein weitergehendes Mitverschulden liegen hingegen nicht vor.

(1) Soweit der Kläger ein Mitverschulden der Beklagten darauf schließt, dass die Überweisungen von dem S-ZinsOnline-Konto auf das Girokonto ohne Eingabe einer TAN möglich waren, trifft dies in rechtlicher Hinsicht nicht zu. Nach § 55 Abs. 5 ZAG, Art. 15 VO (EU) 2018/389 über technische Regulierungsstandards für eine starke Kundenauthentifizierung und für sichere offene Standards für die Kommunikation ist eine starke Kundenauthentifizierung bei Überweisungen zwischen Konten, die derselben Person gehören und bei demselben Kreditinstitut geführt sind, nicht erforderlich.

(2) Soweit der Kläger ein nicht ausreichendes Sicherheitssystem der Beklagten anführt, um ein Mitverschulden zu begründen, sind hierfür - abgesehen von vorstehenden Ausführungen - keine tatsächlichen Anhaltspunkte ersichtlich.

3. Letztlich hat die Beklagte die vereinnahmten Gebühren in Höhe von 11 € für die Vornahme der Echtzeitüberweisungen zu erstatten, da solche durch weder durch den Kläger, noch die Zeugin ..., ausgelöst wurden.

4. Vorgerichtliche Rechtsverfolgungskosten hat die Beklagte aus einem berechtigten Gegenstandswert von 17.121,43 € zu erstatten, §§ 280 Abs. 1, 2 286 BGB.

Die Kostenentscheidung folgt aus § 92 Abs. 1 ZPO, wobei im Hinblick auf die seitens der Beklagten erklärte Hilfsaufrechnung zu berücksichtigen ist, dass die Klageforderung ohne diese Aufrechnung vollumfänglich begründet gewesen wäre. Die Entscheidung über die vorläufige Vollstreckbarkeit beruht auf § 709 ZPO.