Phishing: EuGH verpflichtet Bank zur Zahlung
Wer Opfer einer Phishing-Attacke wird, muss mit Unterstützung seiner Bank rechnen können. Das hat der Europäische Gerichtshof (EuGH) entschieden. Grobe Fahrlässigkeit des Kunden entbinde den Zahlungsdienstleister nicht von der Verpflichtung, den Betrag eines nicht autorisierten Zahlungsvorgangs unverzüglich zu erstatten. Allerdings könne die Bank später die Erstattung der Verluste verlangen, die auf dessen grobe Fahrlässigkeit zurückzuführen sind.
Die Kundin einer polnischen Bank war Opfer eines Betrugs durch Phishing geworden: Sie hatte auf einer Plattform einen Artikel zum Verkauf angeboten und auf einen Zahlungslink geklickt, den ihr ein vermeintlicher Interessent geschickt hatte. Auf einer Website, die das Erscheinungsbild ihrer Bank hatte, hatte sie ihre Zugangsdaten für das Online-Banking eingegeben. Mithilfe dieser Daten war es dem Betrüger gelungen, vom Konto der Kundin einen etwa 700 Euro entsprechenden Betrag auf ein von ihm geführtes Konto zu überweisen.
Am folgenden Tag hatte die Kundin den betrügerischen Vorgang ihrer Bank gemeldet. Diese weigerte sich jedoch, den Betrag des nicht autorisierten Zahlungsvorgangs zu erstatten. Sie war der Ansicht, die Kundin habe diesen Vorgang durch grobe Fahrlässigkeit ermöglicht, indem sie ihrer Pflicht nicht nachgekommen sei, ihre personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen.
Die Kundin zog vor ein polnisches Gericht, das vom EuGH wissen wollte, ob die Bank in ihrer Eigenschaft als Zahlungsdienstleister gemäß dem Unionsrecht verpflichtet sei, den Betrag eines nicht autorisierten Zahlungsvorgangs unverzüglich zu erstatten, selbst wenn sie der Ansicht sei, dass der Kunde grob fahrlässig gehandelt habe.
Laut EuGH ist der Zahlungsdienstleister im Fall eines nicht autorisierten Zahlungsvorgangs grundsätzlich verpflichtet, den Betrag dieses Vorgangs unverzüglich, spätestens aber bis zum Ende des folgenden Geschäftstags, nachdem er von dem Zahlungsvorgang Kenntnis erhalten hat oder dieser ihm angezeigt wurde, zu erstatten, wenn der Kunde den Zahlungsdienstleister unverzüglich hiervon unterrichtet.
Zahlungsdienstleister darf Erstattung nicht verweigern
Dabei gebe es nur eine einzige Ausnahme – nämlich wenn der Zahlungsdienstleister berechtigte Gründe für den Verdacht habe, dass ein vom Kunden begangener Betrug vorliege, und diese Gründe der zuständigen nationalen Behörde schriftlich mitteile. Allein die Ansicht, der Kunde habe den nicht autorisierten Zahlungsvorgang durch grobe Fahrlässigkeit ermöglicht – insbesondere dadurch, dass er nicht die erforderlichen Maßnahmen zum Schutz seiner personalisierten Sicherheitsmerkmale ergriffen habe –, berechtige den Zahlungsdienstleister nicht dazu, die unverzügliche Erstattung zu verweigern.
Nach dem Unionsrecht kann laut EuGH die Frage der Erstattung des Betrags des nicht autorisierten Zahlungsvorgangs von der Frage getrennt werden, wer letztendlich die Verluste zu tragen hat, die mit einem solchen Vorgang verbunden sind. Somit sei der Zahlungsdienstleister in einem ersten Schritt zur unverzüglichen Erstattung verpflichtet. In einem zweiten Schritt könne er gegebenenfalls vom Kunden die Erstattung der entstandenen Verluste verlangen, wenn er nachweise, dass diese darauf zurückzuführen seien, dass der Kunde vorsätzlich oder grob fahrlässig seine Pflichten, insbesondere die Pflicht, seine personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen, verletzt habe. Den Nachweis einer groben Fahrlässigkeit des Kunden habe dabei ebenfalls der Zahlungsdienstleister zu erbringen.
Dieser Ansatz steht laut EuGH im Einklang mit dem Ziel, ein hohes Maß an Verbraucherschutz zu gewährleisten. Dem Zahlungsdienstleister zu gestatten, die Erstattung von vornherein unter Berufung auf grobe Fahrlässigkeit des Kunden zu verweigern, würde der Pflicht zur unverzüglichen Erstattung die praktische Wirksamkeit nehmen und den Kunden dazu zwingen, ein Verfahren anzustrengen, um seinen Anspruch durchzusetzen, und die sich daraus eventuelle ergebenden Nachteile, insbesondere, die Kosten zu tragen.
