Ein Gericht hat entschieden, dass Kunden, die auf täuschend echte Phishing-Anrufe hereinfallen und trotz Eingabe einer TAN nicht grob fahrlässig handeln, Anspruch auf Erstattung durch die Bank haben. Das Urteil berücksichtigt moderne Betrugsmethoden wie Rufnummern-Spoofing und Social Engineering und gibt Verbrauchern wichtige Schutzmaßnahmen an die Hand.
Ein aktuelles Urteil des Oberlandesgerichts Koblenz hat für Klarheit gesorgt: Wer auf einen täuschend echten Phishing-Anruf hereinfällt, handelt nicht leichtsinnig. Diese Entscheidung ist wegweisend, denn zuvor war die Rechtslage nicht eindeutig. Im Folgenden erfahren Sie, wie der Betrug technisch funktioniert, was das Urteil rechtlich bedeutet und wie Sie sich effektiv schützen können.
Ein Kunde der Sparkasse Westerwald Sieg wurde von einer scheinbar echten Nummer seiner Bank angerufen. Der Anrufer kannte den Namen des Kunden, seine Kontodaten und erklärte professionell, dass das Sicherheitsverfahren umgestellt werden müsse, um eine Kontosperrung zu vermeiden. Der Kunde folgte den Anweisungen und gab eine TAN im Online-Banking-Portal ein, ohne diese jedoch am Telefon weiterzugeben. Kurz darauf waren 56.000 Euro von seinen Konten verschwunden.
Die angezeigte Rufnummer auf dem Display lässt sich relativ einfach fälschen. Betrüger nutzen Voice-over-IP-Dienste (Internettelefonie), um die Absendernummer frei zu wählen. Das Telefonnetz überprüft oft nicht, ob die Nummer tatsächlich zum Anrufer gehört. Dieses Verfahren ist vergleichbar mit gefälschten Absenderadressen bei E-Mails, wirkt aber beim Telefonanruf oft noch vertrauenswürdiger.
Die Bundesnetzagentur hat im vergangenen Jahr rund 6.200 Nummern, die für Betrug genutzt wurden, abgeschaltet. Telekommunikationsanbieter blockieren zudem Millionen Anrufe aus dem Ausland mit gefälschter deutscher Kennung. Dennoch passen sich die Betrüger ständig an.
Die Täter verfügen oft bereits über persönliche Daten wie Namen, Geburtsdaten und Kontoinformationen, die sie vermutlich durch frühere Phishing-Angriffe oder Datenlecks aus dem Darknet erbeutet haben. Dadurch wirken ihre Anrufe besonders glaubwürdig.
Der Kunde wurde von einem angeblichen Technikmitarbeiter seiner Sparkasse angerufen, der erklärte, das Sicherheitsverfahren müsse von Chiptan auf Pushtan umgestellt werden.
Der Kunde führte die Umstellung durch und gab eine TAN im Online-Banking-Portal ein, ohne diese jedoch am Telefon preiszugeben. Trotzdem wurden über 56.000 Euro in mehreren Echtzeitüberweisungen ins Ausland transferiert.
Die Sparkasse argumentierte zunächst, der Kunde müsse den Betrügern einen Freischaltcode weitergegeben haben, der technisch notwendig sei, um die Push-App auf einem neuen Gerät einzurichten. Ein IT-Sachverständiger widerlegte dies jedoch: Der Freischaltcode wird direkt in der App auf dem Gerät angezeigt, das verknüpft werden soll – also auf dem Handy der Betrüger. Der Kunde hatte diesen Code nicht gesehen.
Das Oberlandesgericht Koblenz korrigierte daraufhin die erste Instanz und entschied, dass kein grober Fahrlässigkeit vorliegt. Die Bank muss den vollen Betrag plus Zinsen zurückzahlen.
Grobe Fahrlässigkeit liegt vor, wenn jemand die notwendige Sorgfalt in besonders schwerem Maße verletzt, etwa wenn jemand seine PIN am Telefon weitergibt, obwohl Banken niemals danach fragen. In diesem Fall wurde dem Kunden kein grober Vorwurf gemacht, da er durch die gefälschte Rufnummer und die professionelle Täuschung überrumpelt wurde.
Der Bundesgerichtshof (BGH) hat in einem anderen Fall eine Klage abgewiesen, weil eine Kundin mehrfach TANs mündlich weitergegeben hatte, was als grob fahrlässig bewertet wurde. Für den Normalfall ohne mündliche Weitergabe stärkt das Urteil jedoch die Position der Verbraucher.
Rufnummern auf dem Display sind kein Beweis für die Echtheit eines Anrufs. Banken rufen nicht unaufgefordert an, um Sicherheitsverfahren umzustellen oder TANs abzufragen. Im Zweifel auflegen und selbst die Bank kontaktieren.
Banken oder Polizei fordern niemals unaufgefordert Passwörter, PINs oder TANs am Telefon an. Das ist eine absolute Grundregel.
Wenn Sie Opfer eines Betrugs werden: Sofort die Bank informieren, Überweisungen stoppen lassen, Beweise sichern, Anzeige erstatten und rechtliche Beratung suchen. Verbraucherverbände empfehlen zudem, einen Familiencode zu vereinbaren, falls Betrüger sogar Stimmen mit KI imitieren.
Gefälschte Stimmen durch KI: Angreifer nutzen zunehmend täuschend echte Stimmenfälschungen, die mit kurzen Audioaufnahmen aus sozialen Medien erstellt werden können. Der klassische Enkeltrick wird dadurch noch gefährlicher.
Das Urteil zeigt, dass die Justiz die technische Komplexität moderner Betrugsmethoden ernst nimmt. Wer professionell getäuscht wird, ist nicht automatisch selbst schuld. Da Betrüger oft technisch den Nutzern und manchmal auch den Banken voraus sind, ist es wichtig, dass Sicherheitsverfahren verständlich gestaltet werden und technische Vorkehrungen gegen Rufnummern-Fälschungen getroffen werden.
In Nordamerika gibt es bereits das Verfahren "STIR/SHAKEN", das Rufnummern verifiziert und Fälschungen erschwert. Eine ähnliche Lösung wäre auch in Deutschland wünschenswert.
Das Phishing-Urteil des Oberlandesgerichts Koblenz stärkt die Rechte der Verbraucher und erkennt die Herausforderungen moderner Betrugsmethoden an. Kunden sollten wachsam sein, niemals TANs oder Passwörter am Telefon preisgeben und im Zweifel immer direkt bei der Bank nachfragen. Gleichzeitig müssen Banken und Gesetzgeber technische Schutzmaßnahmen weiterentwickeln, um Kunden besser zu schützen.
Haben Sie selbst schon einmal einen solchen Anruf erhalten oder kennen jemanden, der darauf hereingefallen ist? Teilen Sie Ihre Erfahrungen und bleiben Sie informiert, um sich vor Betrug zu schützen.
