Phishing und Erstattungspflicht der Bank: OGH 8Ob115/25g

Begründung:

I. Zur Berichtigung:

[1] Die S* Aktiengesellschaft, *, wurde als übertragende Gesellschaft mit der E* AG, *, als übernehmende Gesellschaft verschmolzen. Dies wurde am 1. 8. 2025 im Firmenbuch eingetragen. Die Parteienbezeichnung der Beklagten ist daher gemäß § 235 Abs 5 ZPO zu berichtigen.

II. Zur Unterbrechung:

[2] Der Kläger ist Inhaber eines Giro‑ und eines Sparkontos bei der beklagten Bank.

[3] Die Beklagte bietet Online‑Banking namens „*“ an. Dafür benötigte man im November 2023 die Verfügernummer und als Freigabemethode die an ein bestimmtes Gerät gebundene App „S‑Identity“. Um in das Online-Banking einzusteigen, musste man die „*“-App öffnen, seine Verfügernummer eingeben und daraufhin über „S-Identity“ den Einstieg in das Online‑Banking freigeben. Um Überweisungen vorzunehmen, war ebenfalls die Freigabe über „S-Identity“ erforderlich, die innerhalb eines gewissen Zeitraums durch Eingabe eines Codes bzw Face‑ID oder Fingerprint zu erfolgen hatte.

[4] Um ein neues Gerät, etwa ein neues Mobiltelefon, mit „S‑Identity“ zu verbinden, konnte über „*“ die Übermittlung eines QR‑Codes auf das bisherige Gerät angefordert werden. Um das neue Gerät zu aktivieren, benötigte man diesen nur zu diesem Zweck generierten QR‑Code, der nach einigen Minuten ungültig wurde. Von diesem QR‑Code konnte aufgrund technischer Vorsichtsmaßnahmen kein Screenshot angefertigt werden; versuchte man dies, wurde der QR‑Code ungültig und es erschien ein Warnhinweis, dass der QR‑Code nicht weitergegeben werden durfte. Im Zuge der Anbindung eines neuen Geräts wurde ein neuer Code für die Freigabe mit diesem Gerät festgelegt, entweder mit Face‑ID, Fingerprint oder durch Eingabe eines Codes. Dabei wurde nur das neue Gerät als solches, nicht aber der Ort erkannt, von dem aus die Autorisierung erfolgt war.

[5] Im Zuge des Verkaufs eines Golfsets auf einer Kleinanzeigenplattform gab der Kläger seine Handynummer bekannt. Am 27. 11. 2023 erhielt er von einem ihm unbekannten Interessenten eine Textnachricht, in der der Unbekannte für eine schnellere Überweisung des Kaufpreises um Übermittlung der Verfügernummer des Klägers sowie eines QR‑Codes zur Verbindung eines neuen Geräts mit dem Online‑Banking ersuchte. Daraufhin übermittelte ihm der Kläger diese Daten, wobei er dreimal einen solchen QR‑Code abfotografierte und weiterleitete. Dadurch ermöglichte es der Kläger dem Unbekannten, ein weiteres Gerät mit seinem Online‑Banking zu verbinden.

[6] Aufgrund dessen und der Kenntnis der Verfügernummer des Klägers war es dem Unbekannten möglich, zunächst drei Umbuchungen im Betrag von insgesamt 110.000 EUR vom Spar‑ auf das Girokonto des Klägers und in der Zeit von 21:12 Uhr des 27. 11. 2023 bis 7:11 Uhr des Folgetags 57 Überweisungen im Betrag von 20 EUR bis 7.931,86 EUR, insgesamt 135.298,72 EUR zu Lasten des Kontos des Klägers durchzuführen. Davon wurden Überweisungen im Betrag von insgesamt 3.635,25 EUR zurückgebucht.

[7] Bei den Zielländern der genannten Überweisungen handelte es sich vorrangig um Deutschland und teilweise um die Niederlande, Zypern, etc. Die Zielländer der Überweisungen scheinen auf keiner Liste der FATF auf.

[8] Der Kläger hatte bereits vor dem 27./28. 11. 2023 entsprechende Überweisungen in EU-Staaten und Drittländer von seinem Konto durchgeführt, sodass die streitgegenständlichen Überweisungen einzeln betrachtet nicht unüblich oder auffällig waren. So hatte er hauptsächlich nach Irland, Großbritannien, Deutschland, Schweden etc überwiesen.

[9] Die Beklagte hatte im Juni und Oktober 2023 vor ähnlichen Betrugsszenarien über Kleinanzeigenplattformen gewarnt. Diese Hinweise hatte der Kläger gelesen.

[10] In den zwischen den Parteien vereinbarten Bedingungen für die Nutzung von Internetbanking „*“, Fassung Jänner 2021, ist unter Punkt 3. „Sorgfaltspflicht“ angeführt:

„Der Kunde hat alle zumutbaren Vorkehrungen zu treffen, die personalisierten Sicherheitsmerkmale (insbesondere PIN-Code) vor unbefugtem Zugriff zu schützen.“

[11] Der Kläger begehrt 131.663,47 EUR samt Zinsen und Kosten sowie die Feststellung, dass die Beklagte hinsichtlich der 57 Überweisungen im Gesamtausmaß von 135.298,72 EUR keine ordnungsgemäße elektronische Transaktionsüberwachung durchgeführt habe. Ein für den Fall der Abweisung des Zahlungsbegehrens gestelltes Eventualbegehren ist auf Berichtigung des Kontos hinsichtlich des abgebuchten Betrags von 131.663,47 EUR per 28. 11. 2023, indem die Abbuchungen gelöscht werden gerichtet. Die Zahlungen seien nicht von ihm autorisiert worden, weshalb die Beklagte verschuldensunabhängig nach § 67 ZaDiG 2018 hafte. Da die Beklagte einen Gegenanspruch nach § 68 ZaDiG 2018 behaupte, aber aus rechtlichen Gründen im gegenständlichen Verfahren nicht einwenden könne, habe er ein rechtliches Interesse an der Feststellung, dass das Transaktionsüberwachungssystem nicht einmal die minimalen Anforderungen aufgewiesen habe, weil die Überweisungen deutlich von seinen bisherigen Zahlungsgewohnheiten (Anzahl, Zeitpunkt und Empfängerstaat) stark abwichen.

[12] Die Beklagte beantragte die Abweisung der Klagebegehren. Die Zahlungen seien durch den Kläger autorisiert, weil das Überlassen der Zugangsdaten samt Ermöglichen der Verbindung eines weiteren Geräts einer Bevollmächtigung oder zumindest einer Anscheinsvollmacht durch den Kläger gleichzuhalten sei. Für den Fall der Anwendbarkeit des § 67 ZaDiG 2018 stehe der Beklagten ein Schadenersatzanspruch nach § 68 ZaDiG 2018 in gleicher Höhe zu, den sie als Gegenrecht, hilfsweise im Wege der Aufrechnung dem Klagsanspruch entgegenhalte. Den Kläger treffe ein grobes Verschulden, weil er sämtliche Warnhinweise missachtet und sogar eine technische Sperre dadurch umgangen habe, dass er den QR-Code abfotografiert habe. Das automatische Transaktionsüberwachungssystem habe ordnungsgemäß funktioniert, die Überweisungen wichen nicht von den bisherigen Zahlungsgewohnheiten des Klägers ab.

[13] Das Erstgericht wies die Klagebegehren ab. Die Überweisungen seien entsprechend einer starken Kundenauthentifizierung freigegeben worden, sodass eine Haftung der Beklagten für nicht autorisierte Überweisungen ausscheide. Der Kläger habe einem Unbekannten vollen Zugang zu seinem Konto ermöglicht, was eine grob fahrlässige Verletzung seiner Sorgfaltspflichten darstelle. Das Kontrollsystem der Beklagten sei den gesetzlichen Vorgaben entsprechend ausgestaltet. Ein Sorgfaltsverstoß der Beklagten gegenüber dem Kläger sei nicht ersichtlich.

[14] Das Berufungsgericht bestätigte diese Entscheidung. Mit ausführlicher Begründung ging es von einer nicht autorisierten Zahlung aus. Die Beklagte könne ihren Anspruch nach § 68 ZaDiG 2018 in Form eines Gegenrechts gegen den klägerischen Anspruch nach § 67 ZaDiG 2018 einwenden, einer Aufrechnung bedürfe es dazu nicht. Den Kläger treffe an den unautorisierten Zahlungen ein grobes Verschulden. Zum Transaktionsüberwachungssystem wertete das Berufungsgericht eine Aussage des Erstgerichts im mit „Rechtliche Beurteilung“ überschriebenen Teil der Urteilsbegründung als dislozierte Tatsachenfeststellung, wonach das „Kontrollsystem den gesetzlichen – ohnehin sehr strengen – Vorgaben entsprechend ausgestaltet“ sei.

[15] Das Berufungsgericht ließ die ordentliche Revision zu. Zu klären sei, unter welchen Voraussetzungen von einer Zustimmung zu einen Zahlungsvorgang durch einen Zahler iSd § 58 Abs 1 ZaDiG 2018 auszugehen sei, und ob und in welchem Umfang dabei rechtsgeschäftliche Grundprinzipien wie die Haftung für einen Rechtsschein, dass der berechtigte Kontoinhaber selbst und nicht ein Dritter einen Zahlungsauftrag erstattete (Anscheinsvollmacht bzw Erklärungsfahrlässigkeit), heranzuziehen seien. Erforderlich sei auch eine Klarstellung dahin, wer die Behauptungs‑ und Beweislast für die Haftungseinschränkung des § 68 Abs 5 ZaDiG 2018 (darunter auch die Verwendung eines den gesetzlichen Vorgaben entsprechenden Transaktions‑

überwachungsystems) trage. Schließlich bedürfe es einer höchstgerichtlichen Klärung der Frage, ob die Bank einem Anspruch des Kunden nach § 67 Abs 1 ZaDiG 2018 einen eigenen Schadensersatzanspruch nach § 68 ZaDiG 2018 entgegenhalten kann, und wenn ja, in welcher zeitlichen Abfolge (Zweistufigkeit oder materielle Gleichwertigkeit) und auf welche Art und Weise (rechtsvernichtender Einwand oder Gegenforderung).

[16] Mit seiner Revision strebt der Kläger die Aufhebung der Entscheidungen der Vorinstanzen zur Verfahrensergänzung an; hilfsweise begehrt er die Klagsstattgebung.

[17] Die Beklagte beantragt in ihrer Revisionsbeantwortung, die Revision zurückzuweisen, hilfsweise ihr nicht Folge zu geben.

1. Zur unterbliebenen Bewertung des Entscheidungsgegenstands:

[18] 1.1. Das Berufungsgericht hat keine Bewertung des Entscheidungsgegenstands vorgenommen, weil es davon ausgegangen ist, dass allein das Zahlungsbegehren den Betrag von 30.000 EUR übersteigt. Eine solche Vorgangsweise ist dann zutreffend, wenn die von der Klägerin geltend gemachten Ansprüche in einem tatsächlichen oder rechtlichen Zusammenhang im Sinne des § 55 Abs 1 JN stehen (RS0042277 [T1]; vgl RS0037838; RS0053096). Bei der Prüfung der Frage, ob die geltend gemachten Ansprüche in einem tatsächlichen oder rechtlichen Zusammenhang stehen, ist vom Vorbringen des Klägers auszugehen (RS0042741 [T30]).

[19] 1.2. Das Zahlungsbegehren und das auf Berichtigung des Kontos gerichtete Eventualbegehren des Klägers sind auf § 67 ZaDiG 2018 gestützt. Sie beruhen darauf, dass der Kläger aufgrund eines Phishing-Angriffs einem unbekannten Dritten ermöglicht hat, ein weiteres Gerät mit seinem Online‑Banking zu verbinden, woraufhin dieser Unbekannte in der Zeit von 21:12 Uhr des 27. 11. 2023 bis 7:11 Uhr des Folgetags 57 Überweisungen im Betrag von 20 EUR bis 7.931,86 EUR, insgesamt 135.298,72 EUR zu Lasten des Kontos des Klägers durchführte; 3.635,25 EUR wurden zurückgebucht. Das auf Feststellung, dass die Beklagte hinsichtlich der genannten Überweisungen keine ordnungsgemäße elektronische Transaktionsüberwachung durchgeführt habe, gerichtete Begehren begründete der Kläger damit, dass im Verfahren nach § 67 ZaDiG 2018 ein allfälliger Schadenersatzanspruch nach § 68 ZaDiG 2018 nicht zu prüfen sei, weshalb die Feststellung zur Verhinderung eines Folgeprozesses erforderlich sei. Das Fehlen einer entsprechenden Transaktionsüberwachung leitet er aus der Durchführung der ungewöhnlichen Überweisungen ab.

[20] 1.3. Ein tatsächlicher Zusammenhang liegt vor, wenn allen Ansprüchen derselbe Klagegrund zugrunde liegt und keiner der Ansprüche die Behauptung eines ergänzenden Sachverhalts erfordert (RS0042766).

[21] 1.4. Die Ansprüche des Klägers beruhen letztlich allesamt auf dessen einheitlichen Fehlverhalten, einem unbekannten Dritten durch Verbindung eines neuen Geräts die schädigenden Überweisungen zu ermöglichen. Sowohl zwischen den Rückforderungs- bzw Berichtigungsansprüchen betreffend die einzelnen Überweisungen als auch zwischen diesen und dem Feststellungsbegehren ist ein tatsächlicher Zusammenhang deshalb zu bejahen.

[22] 1.5. Das Berufungsgericht hat dementsprechend zutreffend von einer Bewertung des Feststellungsbegehrens Abstand genommen und es bedarf in Ansehung der Zulässigkeit der Revision (§ 502 Abs 2 ZPO) auch keiner Unterscheidung zwischen den 5.000 EUR übersteigenden Überweisungen und jenen, bei denen dies nicht der Fall war (vgl 7 Ob 95/24g).

2. Zur Unterbrechung:

[23] 2.1. Das Sąd Rejonowy w Koszalinie (Rayonsgericht Koszalin, Polen) hat dem Gerichtshof der Europäischen Union am 3. 2. 2025 folgende Frage zur Vorabentscheidung vorgelegt:

„Sind die Bestimmungen von Art. 73 Abs. 1 in Verbindung mit Art. 74 Abs. 1 der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates vom 25. November 2015 über Zahlungsdienste im Binnenmarkt dahin zu verstehen, dass ein Zahlungsdienstleister die unverzügliche Erstattung des Betrags eines nicht autorisierten Zahlungsvorgangs an einen Zahler verweigern kann, wenn der Zahler durch eine grob fahrlässige Verletzung der in Art. 69 genannten Pflichten einen Schaden infolge des nicht autorisierten Zahlungsvorgangs erlitten hat?“

[24] Das Verfahren ist zu C‑70/25, Tukowiecka, beim Gerichtshof der Europäischen Union anhängig.

[25] 2.2. Diese zur Vorabentscheidung vorgelegte Frage stellt sich, wie vom Berufungsgericht in seiner Zulassungsbegründung zutreffend aufgezeigt, auch im gegenständlichen Verfahren. Die angeführten Vorschriften der Richtlinie wurden im österreichischen Recht im Wesentlichen zu den §§ 67, 68 ZaDiG umgesetzt.

[26] 2.3. Da der Oberste Gerichtshof von einer allgemeinen Wirkung der Vorabentscheidung des Gerichtshofs der Europäischen Union auszugehen und diese auch für andere als den unmittelbaren Anlassfall anzuwenden hat, ist das Verfahren zu unterbrechen (vgl RS0110583).