Erkennung ungewöhnlicher Aktivitäten: Was die Bank sehen sollte

Über Jahre hinweg basierte die Beziehung zwischen Kunde und Bank auf persönlichem Kontakt. Wir kannten den Kassierer, wussten, wer der Filialleiter war, und diese wiederum kannten unsere Konsumgewohnheiten. Sie wussten, wann wir für ein Familienereignis sparten und wann wir aufgrund einer Hausrenovierung den Rahmen überzogen. Heute schließen die Filialen und der menschliche Kontakt wurde durch Algorithmen ersetzt. Doch entbindet die Tatsache, dass die Bank digital geworden ist, sie von der Pflicht, zu wissen, wer wir sind? Sollte das 'elektronische Auge' der Bank nicht rot aufleuchten, wenn sich unser Konto so verhält, als wäre es von einer fremden Entität gekapert worden?

In diesem Kapitel tauchen wir tief in das Computersystem der Banken ein – jene 'Risikoüberwachungssysteme' (Anti-Fraud), die unsere letzte Verteidigungslinie sein sollten. Wir werden verstehen, welche Warnsignale in den Banksystemen aufleuchten sollten und warum sie manchmal dunkel bleiben, während das Geld auf Strohmann-Konten in Übersee fließt. Dies ist der Raum zwischen Technologie und Recht, der Ort, an dem sich die große Frage stellt: Wo endet die Verantwortung des Kunden und wo beginnt die Sorgfaltspflicht der Bank?

Das folgende Szenario ist ein lehrreiches Beispiel, das auf gängigen Betrugsmustern basiert. Die Figuren und Ereignisse dienen ausschließlich der Veranschaulichung.

Dalias Geschichte: Wenn der Alltag in Scherben zerbricht

Dalia (Name geändert), eine pensionierte Lehrerin, hatte noch nie eine Stromrechnung zu spät bezahlt. Ihr Konto war ein Muster an Ordnung: eine Rente, die am Ersten des Monats einging, Daueraufträge für Versicherungen und einmal pro Woche eine feste Bargeldabhebung. Dalia war das, was Banken als 'Kunde mit geringem Risiko' bezeichnen. Die dramatischste Aktivität auf ihrem Konto in den letzten Jahren war der Kauf eines Haushaltsgeräts.

An einem Dienstag um 14:30 Uhr klingelte Dalias Telefon. 'Guten Tag Dalia, hier spricht Roi aus der Sicherheitsabteilung der Bank', sagte eine junge, autoritäre Stimme. 'Wir stellen gerade einen Einbruchversuch in Ihr Konto von einem Gerät im Ausland fest. Haben Sie gerade eine Überweisung von mehreren tausend Euro an jemanden in Rumänien getätigt?'

Dalia spürte, wie ihr Puls in die Höhe schoss. 'Was? Nein! Auf keinen Fall! Ich bin zu Hause', antwortete sie mit zittriger Stimme. 'Keine Sorge Dalia, wir sind bei Ihnen', beruhigte sie Roi. 'Um die Aktivität zu blockieren und Ihr Geld auf ein vorübergehendes, geschütztes Konto zu transferieren, muss ich mit Ihnen einige Schritte in der App durchführen. Das ist ein Notfallverfahren.'

In den folgenden zwei Stunden war Dalia ein Gefangener des Gesprächs mit 'Roi'. Sie führte die von ihm verlangten Aktionen aus, einschließlich bedeutender Geldüberweisungen auf Konten, die ihr als 'sichere Konten' genannt wurden. Jedes Mal, wenn die App eine Bestätigung verlangte, drückte sie auf 'Bestätigen'. Sie gab ihm sogar Codes weiter, die per SMS eingingen, nachdem ihr erklärt wurde, dies seien 'Schutz-Codes'.

Während Dalia die Aktionen ausführte, hätten die Systeme der Bank ein ungewöhnliches Bild erkennen können: Eine Kundin, die noch nie hohe Beträge an eine Privatperson überwiesen hatte, führt plötzlich mehrere hohe Überweisungen innerhalb kurzer Zeit auf neue Konten durch. Darüber hinaus war die digitale Adresse (IP), von der aus die Verbindung zum Konto erfolgte, nicht die übliche Adresse, und die Aktivität erfolgte in einem Tempo, das ihren normalen Nutzungsmustern fremd war.

Die Überweisungen wurden nacheinander ausgeführt. Erst in einer späten Phase, als der Kontostand bereits erheblich geschrumpft war, blockierte das Banksystem das Konto. Für Dalia war der Schaden bereits entstanden. Als sie sich am nächsten Tag an die Bank wandte, war die erste Antwort, die sie erhielt: 'Sie haben die Aktionen bestätigt. Die Codes wurden an Sie gesendet. Die Verantwortung liegt bei Ihnen.'

Die Anatomie des Warnsignals: Was sieht das System wirklich?

Wenn wir von 'ungewöhnlicher Aktivität' sprechen, handelt es sich um eine professionelle Datenanalyse. Banken setzen fortschrittliche Systeme ein, die in jedem Augenblick zahlreiche Parameter analysieren. Diese Systeme erstellen ein 'Verhaltensprofil' für jeden Kunden, das die üblichen Verbindungsorte, Geschäftszeiten und durchschnittlichen Überweisungsbeträge umfasst.

Es gibt drei Hauptarten von Anomalien, die das System erkennen sollte:

1. Abweichungen bei Überweisungsbeträgen und Aktivitätsvolumen: Ein Privatkunde, der plötzlich hohe Beträge nahe seinem täglichen Überweisungslimit überweist, insbesondere in einer Abfolge von Überweisungen innerhalb kurzer Zeit, sollte eine Warnung auslösen. Das System sollte prüfen, warum eine Kundin, die normalerweise kleine Überweisungen tätigt, plötzlich signifikant hohe Summen in mehreren Schritten überweist.

2. Abweichungen beim Überweisungsziel: Überweisungen auf neue Konten, die noch nie beim Kunden aufgetaucht sind, sind ein Warnsignal. Wenn sich diese Konten bei anderen Banken befinden oder in Ländern liegen, die als Hochrisikogebiete für Betrug definiert sind, steigt das Risikoniveau. Ein korrektes Überwachungssystem sollte auch prüfen, ob das Empfängerkonto in der Vergangenheit als verdächtig markiert wurde.

3. Technologische und verhaltensbezogene Abweichungen: Das System erkennt, ob der Kunde von einem neuen Gerät aus zugreift, ob sich der geografische Standort extrem verändert hat und sogar die Art und Weise der Schnittstellennutzung. Bei Betrugsarten wie der 'Fernübernahme' kann das System Bewegungsmuster in der Schnittstelle identifizieren, die sich von denen des normalen Benutzers unterscheiden.

Die Sorgfaltspflicht der Bank: Das rechtliche Schutzschild des Kunden

Im rechtlichen Bereich könnten Banken argumentieren, dass die Bestätigung der Aktion durch den Kunden sie von der Verantwortung entbindet. Die gängige juristische Analyse prüft jedoch auch die Sorgfaltspflicht der Bank. Die Bank wird als Hüterin der Schwelle und Treuhänderin des öffentlichen Geldes wahrgenommen.

Das Zahlungsdienstegesetz ist ein zentrales Instrument bei der Prüfung dieser Fälle. Das Gesetz legt den Verantwortungsrahmen des Zahlungsdienstleisters bei 'Missbrauch' von Zahlungsmitteln fest. Die rechtlichen Grenzen werden bei raffinierten Betrugsfällen, in denen der Kunde zum Werkzeug in den Händen des Betrügers wird, sorgfältig geprüft.

Es kann geprüft werden, ob die Bank so gehandelt hat, wie es ein vernünftiges Finanzinstitut unter den gegebenen Umständen getan hätte. Wenn die Systeme eine extrem ungewöhnliche Aktivität erkannten und die Bank keine Maßnahmen zu deren Verhinderung oder zur Klärung mit dem Kunden ergriff, könnte ihre Verantwortung für den Schaden geprüft werden. Die zentrale Frage ist, ob der Bank die notwendigen Informationen zur Verhinderung des Vorfalls zur Verfügung standen und ob sie in Echtzeit darauf reagiert hat.

Man sollte die Wissenslücke zwischen Bank und Kunde berücksichtigen. Die Bank ist einem breiten Spektrum an Informationen über Betrugsmuster und Warnungen relevanter Stellen ausgesetzt, weshalb das Argument 'Der Kunde hat die Aktion bestätigt' im Vergleich zu den beruflichen Pflichten der Bank geprüft wird.

Das Paradoxon des Systems: Aspekte von Überwachung und Kontrolle

Während meiner beruflichen Laufbahn wird oft die Frage gestellt: Wenn die Aktivität so ungewöhnlich ist, warum wurde sie nicht gestoppt? Die Antwort liegt in der Komplexität zwischen Risikomanagement und dem Wunsch, ein kontinuierliches Serviceerlebnis aufrechtzuerhalten. Banken verarbeiten eine enorme Anzahl von Transaktionen, und es besteht das Bestreben, Blockaden legitimer Transaktionen zu verhindern.

Es besteht eine ständige Spannung zwischen dem Sicherheitsniveau und dem Bedienkomfort. Betrugsmodelle nutzen diesen Spielraum manchmal aus, einschließlich Aktivitäten zu Zeiten, in denen die menschliche Antwortmöglichkeit begrenzt ist, was die Entscheidung allein den automatisierten Systemen überlässt.

Darüber hinaus gibt es den Aspekt des wirtschaftlichen Risikomanagements. Bestimmten geschäftlichen Ansätzen steht die rechtliche und berufliche Pflicht gegenüber, Kunden zu schützen, insbesondere Bevölkerungsgruppen, die im digitalen Raum anfälliger sein könnten.

Mitverschulden gegenüber beruflicher Fahrlässigkeit

In Fällen von rechtlichen Streitigkeiten nach digitalem Betrug taucht oft die Frage des 'Mitverschuldens' auf. Die Bank könnte argumentieren, dass der Kunde fahrlässig handelte, als er Codes weitergab oder Warnungen ignorierte. Auf der anderen Seite kann ein Argument hinsichtlich der beruflichen Fahrlässigkeit der Bank bei der Verwaltung ihrer Überwachungssysteme vorgebracht werden.

Es ist wichtig zu verstehen, dass die Bank auch in Fällen, in denen ein Kunde einen Fehler gemacht hat, dennoch verpflichtet ist, ihre Schutzmaßnahmen zu ergreifen. Wenn das System eine Anomalie erkannt, aber keine geeignete Maßnahme ergriffen wurde, könnte dies als Versagen der Bank gewertet werden.

In verschiedenen Fällen kann bei der Offenlegung von Dokumenten festgestellt werden, dass die Systeme tatsächlich einen Alarm wegen verdächtiger Aktivitäten ausgelöst haben, dieser jedoch aus verschiedenen Gründen nicht rechtzeitig bearbeitet wurde. Unter solchen Umständen kann sich die Position des Kunden, wenn er eine Prüfung der Rückerstattung der Gelder fordert, verstärken.

Warnsignale im Überwachungssystem

• Plötzliche Änderung des Endgeräts: Zugriff von einem Gerät oder Betriebssystem, das in der Kontohistorie unbekannt ist.
• 'Test'-Überweisungen: Durchführung einer kleinen Überweisung zur Prüfung der Kontofunktionalität, unmittelbar gefolgt von Überweisungen in signifikanten Beträgen.
• Änderung der Kontaktdaten: Versuch, Details wie Telefonnummer oder E-Mail-Adresse kurz vor der Durchführung von Überweisungen zu ändern.
• Aktivität zu unüblichen Zeiten: Durchführung von Aktionen zu Zeiten, die nicht den früheren Mustern des Kunden entsprechen.
• Überweisungen an verdächtige Begünstigte: Bankkonten, die in Finanzsystemen als mit problematischer Aktivität verbunden markiert wurden.

Sofortmaßnahmen bei Verdacht auf Betrug

Zeit ist ein kritischer Faktor. Sobald ein Verdacht auf Betrug aufkommt:

1. Dringende Kontaktaufnahme zur Bankzentrale: Es muss eine sofortige Blockierung aller Ausgangskanäle für Gelder vom Konto gefordert werden.
2. Vollständige Dokumentation: Speicherung von Screenshots der Nachrichten, Protokollierung der Details der Gespräche mit Bankvertretern und Aufbewahrung aller Kommunikationsbelege mit der verdächtigen Partei.
3. Meldung an die Behörden: Eine polizeiliche Anzeige ist ein notwendiger Schritt im Verfahren gegenüber der Bank, um als Opfer anerkannt zu werden.
4. Rechtsberatung: Man kann sich an einen Anwalt wenden, um die Möglichkeiten für das Einfrieren von Geldern und die Klärung der Pflichten der Bank im konkreten Fall zu prüfen.

Rechtlicher Aspekt: Zusammenfassung der Bankenverantwortung

In der rechtlichen Debatte über ungewöhnliche Aktivitäten wird nicht nur das Verhalten des Kunden geprüft, sondern auch die Maßnahmen, die die Bank unter den gegebenen Umständen hätte ergreifen können. Die Treuepflicht der Bank ist ein Grundprinzip, und je weiter die Technologie voranschreitet, desto mehr wächst die Erwartung, dass die Bank sie zum Schutz ihrer Kunden einsetzt.

Jeder Fall muss gemäß seinen einzigartigen Umständen geprüft werden: Kundenmerkmale, Art des Kontos, Betrugsart und Reaktion der Bank. Obwohl die Rückerstattung von Geldern von vielen Umständen abhängt und nicht vorab garantiert ist, ist die Identifizierung von Versäumnissen im Überwachungssystem ein zentraler Pfeiler bei der Prüfung des Falles auf rechtlicher Ebene.

Das Ziel der juristischen Vertretung in diesen Fällen ist es nachzuweisen, dass dort, wo die Überwachungssysteme in ihrer Funktion versagt haben, das Finanzinstitut seine Verantwortung gegenüber dem Kunden prüfen muss.