Betrügerische E-Banking-Zahlung mit bestrittener 2-Faktor-Autorisierung

Fallnummer: 2025/05

Der Kunde wandte sich nach einem Betrugsvorfall an den Bankenombudsman, bei dem über sein E-Banking ein Betrag von knapp 22’000 CHF an einen neuen Empfänger überwiesen worden war. Er machte geltend, die Bank habe ihre Sorgfaltspflichten verletzt, da er die Zahlung an den neuen Empfänger nicht auf einem separaten Gerät habe bestätigen müssen und schloss daraus, dass im E-Banking eine Sicherheitslücke bestand. Die Bank stellte sich auf den Standpunkt, der Kunde habe den Betrügern bei einem Phishingangriff die Zugangsdaten zu seinem E-Banking mitgeteilt. Diese hätten danach ein neues Gerät für den Empfang von sicherheitsrelevanten Mitteilungen installiert, was der Kunde auf dem alten registrierten Gerät habe bestätigen müssen. Damit hätten die Betrüger die Möglichkeit gehabt, die Zahlung zu erfassen und auf dem neuen Gerät auch zu bestätigen, ohne dass der Kunde dies merkte. Der Ombudsman prüfte die Argumente beider Seiten und holte eine detaillierte Stellungnahme der Bank zum Ablauf der Ereignisse ein. Gestützt auf die Erklärung der technischen Abläufe kam er zum Schluss, dass die Schadensursache der Einfluss- und Risikosphäre des Kunden zuzurechnen sei und der Schaden deshalb aufgrund der vertraglichen Haftungsregelung von ihm getragen werden müsse. Weitere Vermittlungsbemühungen erschienen aussichtslos, und das Verfahren wurde mit einem erläuternden Bescheid abgeschlossen.

Der Kunde unterhielt seit längerer Zeit eine Geschäftsbeziehung mit der Bank und nutzte deren E-Banking-System für den Zahlungsverkehr. Ausgangspunkt des Falles war ein Phishingvorfall, bei dem der Kunde auf eine täuschend echt wirkende E-Mail reagierte, die ihn zur Neuregistrierung seines E-Bankings aufforderte. In der Annahme, es handle sich um eine legitime Mitteilung der Bank, gab er seine Zugangsdaten auf einer gefälschten Internetseite ein.

Es gelang dem Kunden danach nicht mehr, sich im E-Banking anzumelden. Kurz darauf wurde von seinem Konto ein Betrag von 21’800 CHF mit dem Vermerk eines Fahrzeugkaufs abgebucht. Der Kunde war der Auffassung, dass eine solche Zahlung an einen neuen Empfänger nicht ohne seine ausdrückliche, auf seinem dafür registrierten Gerät abgegebenen Bestätigung hätte ausgeführt werden dürfen, und sah darin eine Sicherheitslücke im E-Banking System. Er verlangte von der Bank die Vergütung des Schadens.

Die Bank wies die Forderung zurück. Sie führte aus, der Kunde habe durch die Weitergabe seiner Zugangsdaten und die Bestätigung der Geräteregistrierung den Betrügern die notwendige Handlungsfreiheit verschafft, um die Zahlung zu erfassen und auch zu bestätigen. Gemäss den Logdaten sei der Vorgang technisch korrekt erfolgt.

Der Ombudsman befasste sich vertieft mit der Angelegenheit und ersuchte die Bank um eine präzisierende Stellungnahme zum Vorfall, da der technische Ablauf zunächst nicht eindeutig beschrieben worden war. Die Bank erklärte, dass die unbekannten Täter, nachdem sie die Zugangsdaten bei dem vom Kunden beschriebenen Phishingvorfall erschlichen hätten, im Hintergrund mit diesen Daten den Zugang zum E-Banking des Kunden hergestellt hätten. Danach hätten sie ein neues Gerät für den Empfang von sicherheitsrelevanten Mitteilungen, wie z. B. Nachrichten für die 2-Faktor-Autorisierung von Transaktionen, registriert. Die Aktivierung des neuen Geräts habe eine Bestätigung des Kunden auf seinem ursprünglich registrierten Gerät erfordert. Der Kunde habe diese Bestätigung abgegeben, womöglich unter falschen Vorstellungen, welche ihm die Betrüger vorgespiegelt hätten.

Nachdem ein neues Gerät aktiviert worden sei, hätten die Betrüger selbständig ein weiteres, zweites neues Gerät aktiviert. Die dafür notwendige Bestätigung konnten sie nun auf dem ersten neuregistrierten Gerät ohne Mitwirkung des Kunden abgeben. Die für neue Empfänger vorgesehene 2-Faktor-Autorisierung gaben die Betrüger auf dem zweiten neuregistrierten Gerät ab, wiederum ohne dass der Kunde davon etwas merkte. Ein Fehlverhalten der Bank oder eine Verletzung vertraglicher Pflichten liege deshalb nach ihrer Ansicht nicht vor.

Die Haftung für Schäden aus solchen Vorfällen ist vertraglich geregelt. Die entsprechenden Verträge beruhen in der Regel auf einer Risikosphärentheorie. Danach trägt grundsätzlich jede Partei jene Risiken, die sie selbst beeinflussen kann. Die Preisgabe von Zugangsdaten zum E-Banking und die darauffolgende Bestätigung der Registrierung eines neuen Geräts für den Erhalt von sicherheitsrelevanten Mitteilungen sind dem Einflussbereich des Kunden zuzuordnen und werden vertraglich als Sorgfaltspflichtverletzung qualifiziert, welche eine Haftung der Bank ausschliesst.

Aus Sicht des Ombudsman war entscheidend, dass die Betrüger den weiteren Zahlungsablauf nur deshalb kontrollieren konnten, weil der Kunde in einem ersten Schritt die Aktivierung eines fremden Gerätes durch seine Bestätigung ermöglicht hatte. Auch wenn die eigentliche Zahlung danach nicht mehr auf seinem eigenen Gerät autorisiert wurde, hat dieser erste Schritt den Schaden ermöglicht. Die Registrierung des neuen Geräts erforderte eine 2-Faktor-Autorisierung auf dem ursprünglichen Gerät des Kunden. Sie war nur deshalb möglich, weil der Kunde – wenn auch unbewusst und unter falschen Vorstellungen – diese Sicherheitshürde zugunsten der Täter überwunden hatte. Da die Bank ihre Systeme vertragsgemäss betrieben und den Zahlungsauftrag unter Verwendung der vereinbarten Legitimationsmittel und der vorgesehenen Bestätigung ausgeführt hatte, sah der Ombudsman gemäss den anwendbaren vertraglichen Bestimmungen keine tragfähige Grundlage für eine Haftung der Bank.

Angesichts der klaren Haltung der Bank und der vertraglichen Regelung erachtete der Ombudsman weitere Vermittlungsbemühungen deshalb als aussichtslos und schloss das Dossier ab. Er bedauerte den eingetretenen Schaden, wies jedoch darauf hin, dass die verantwortlichen Täter in solchen Fällen naturgemäss nicht in die Haftungsregelung einbezogen werden können, da sie nicht aufgreifbar sind. Der Schaden muss entweder dem Kunden oder der kontoführenden Bank zugeordnet werden. Solche Fälle können deshalb meistens nicht zur Zufriedenheit der Beteiligten gelöst werden.