Kapitel 94: Die schlafenden Wächter – Bankenhaftung, Sicherheitspflichten und Betrugsprävention

Banken sind die Festungen der modernen Ära. Wir vertrauen ihnen nicht nur Wertpapiere und Währungen an, sondern unsere existenzielle Sicherheit, die Rente, für die wir ein Berufsleben lang hart gearbeitet haben, die Ersparnisse für die Wohnung unserer Kinder und unseren inneren Frieden. Die prunkvollen Gebäude, verkleidet mit Marmor und Glas, sollen Macht und Stabilität vermitteln. Ihre digitalen Systeme, geschützt durch Schichten von Verschlüsselung und Zwei-Faktor-Authentifizierung, sollten eigentlich sicher sein. Doch was passiert, wenn der Riss in der Mauer nicht durch einen physischen Einbruch in den Tresor entsteht, sondern durch das System selbst oder durch die Fahrlässigkeit derjenigen, die eigentlich auf der Hut sein sollten?

In diesem Kapitel tauchen wir tief in die rechtlichen Aspekte der komplexen Beziehung zwischen Kunde und Bank ein. Wir untersuchen die Grenzen der Haftung des Finanzinstituts: Ist die Bank lediglich ein "Kanal" für Geldtransfers oder ein "Wächter" mit einer erhöhten Sorgfaltspflicht? Wir werden verstehen, wann die Haftung der Bank für einen dem Kunden entstandenen Schaden infolge eines Betrugs geprüft werden kann, selbst wenn der Kunde die Handlung tatsächlich unter Vorspiegelung falscher Tatsachen selbst vorgenommen hat, und wie Gerichte das Machtgleichgewicht zwischen dem kleinen Bürger und dem Großkonzern analysieren, der die Schlüssel zu seinem wirtschaftlichen Königreich hält.

Das folgende Szenario ist ein lehrreiches Beispiel, das auf gängigen Betrugsmustern basiert. Die Personen und Ereignisse dienen lediglich der Veranschaulichung.

Miriam (Name geändert), eine pensionierte Mathematiklehrerin, saß in ihrer Küche und trank ihre erste Tasse Tee am Morgen. Ihr Mobiltelefon vibrierte. Auf dem Display erschien eine Nummer, die als Kundendienstzentrale ihrer Bank erschien. Mit einer autoritären, ruhigen, aber dringenden Stimme stellte sich der Anrufer als Vertreter der Sicherheitsabteilung vor. Er erzählte Miriam, dass in ihrem Konto ungewöhnliche Aktivitäten festgestellt wurden – ein massiver Abhebungsversuch aus einem fremden Land.

"Keine Sorge, Miriam", sagte der angebliche Vertreter, "wir stoppen das. Aber um den Rest des Geldes zu schützen, müssen wir es möglicherweise vorübergehend auf ein sicheres Konto unter Aufsicht übertragen, bis wir alle Ihre Zugangsdaten ausgetauscht haben." Miriam, die ihr ganzes Leben nach den Regeln gelebt hatte und Angst hatte, ihre Ersparnisse zu verlieren, spürte, wie ihr Herz wild klopfte. Sie schöpfte keinen Moment Verdacht. Schließlich sah die Nummer auf dem Display wie die Nummer der Bank aus. Der Anrufer kannte bestimmte Identifikationsmerkmale, die eigentlich vertraulich sein sollten.

Über eine längere Zeit leitete der Anrufer sie am Telefon an. Er bat sie, sich in die App einzuloggen, einen neuen Begünstigten hinzuzufügen und signifikante Beträge zu überweisen. "Das System blockiert zu große Überweisungen, also machen wir es in Portionen", erklärte er ganz natürlich. Miriam überwies kumulierte Beträge, die ihre gesamten Ersparnisse erreichten. An einem bestimmten Punkt verlangte die App eine telefonische Bestätigung der Bank. Der Anrufer wies sie an, den Bankvertretern eine bestimmte Version zu geben, um "den Schutz des Kontos nicht zu verzögern".

Der Anruf der Bank kam. Eine Sachbearbeiterin fragte: "Miriam, wir sehen hier eine Reihe von Überweisungen auf ein neues Konto. Ist alles in Ordnung? Führen Sie diese aus?". Miriam, verängstigt und vom Anrufer instruiert, antwortete, dass alles in Ordnung sei und das Geld für familiäre Hilfe bestimmt sei. Die Sachbearbeiterin hob die Sperre auf. Innerhalb von Minuten war das Geld vom Konto weg. Nach einiger Zeit, als Miriam erneut Kontakt mit der "Sicherheitsabteilung" aufnehmen wollte, war die Leitung nicht erreichbar. Als sie die physische Filiale erreichte, wurde ihr mitgeteilt, dass das Geld bereits weitergeleitet wurde und nicht mehr geortet werden könne. Die Bank behauptete, da sie die Vorgänge autorisiert und der Sachbearbeiterin eine Erklärung gegeben habe, liege die Verantwortung für den Schaden bei ihr.

Die Bank als Treuhänder: Weit mehr als nur ein Aufbewahrungsort

Solche Fälle sind keine Seltenheit und werfen die zentrale Frage auf: Wo endet die Verantwortung des Kunden und wo beginnt die Haftung der Bank? Rechtlich gesehen basiert die Beziehung zwischen Bank und Kunde in vielen Fällen auf einer Treuepflicht (Fiduciary Duty). Die Bank wird als professionelle Instanz wahrgenommen, mit Wissen und technologischen Werkzeugen, gegenüber dem Kunden, dem es manchmal an der nötigen Kompetenz gegenüber komplexen Cyber-Bedrohungen fehlt.

Man kann die Sorgfaltspflicht der Bank als eine Pflicht analysieren, die sich nicht in der bloßen technischen Ausführung der Kundenanweisungen erschöpft. Eine rechtliche Analyse ähnlicher Fälle zeigt, dass für die Bank eine aktive Pflicht zum Schutz der Kundengelder bestehen kann, die sich aus dem Bankengesetz, regulatorischen Vorschriften und den allgemeinen Grundsätzen des Deliktsrechts ableitet. Wenn eine Bank auf Aktivitäten stößt, die durch erhebliche Anomalien gekennzeichnet sind – wie eine plötzliche und extreme Änderung der Aktivitätsmuster eines soliden Kunden –, stellt sich die Frage, ob das von der Bank durchgeführte Prüfungsverfahren unter den gegebenen Umständen ausreichend war.

In diesen Situationen mag das Argument der Bank, dass "der Kunde eine ausdrückliche Anweisung gegeben hat", mit der rechtlichen Auffassung kollidieren, die anerkennt, dass der Wille des Kunden aufgrund von Täuschung oder Druck mangelhaft sein kann. Die rechtliche Prüfung wird sich auf die Frage konzentrieren, ob die Bank so gehandelt hat, wie es ein vernünftiges und fachkundiges Bankinstitut getan hätte, und ob bestimmte Anzeichen im Gespräch oder im Überweisungsmuster hätten Warnsignale in den Compliance- und Sicherheitsabteilungen der Bank auslösen müssen.

Die "Red Flag"-Doktrin

Im Rahmen der Analyse der Bankpflichten taucht häufig das Konzept der "roten Flaggen" auf. Wenn der Bank eine Anweisung zur Durchführung einer Aktion vorgelegt wird, die von verdächtigen Anzeichen begleitet wird, gibt es eine rechtliche Position, wonach sich die Bank nicht mit einer oberflächlichen Prüfung begnügen darf. Sie kann zu einer tiefergehenden Klärung und unter bestimmten Umständen sogar zur Verzögerung der Aktion verpflichtet sein. In Szenarien einer schnellen Änderung des Aktivitätsmusters, Überweisungen an unbekannte Ziele und erheblichem Zeitdruck kann argumentiert werden, dass die Bank ein strengeres Verifizierungsverfahren hätte durchführen müssen.

Zahlungsdienstegesetz: Analyse der rechtlichen Landkarte

Das Zahlungsdienstegesetz bildet einen zentralen Pfeiler bei der Regelung der Haftung in Fällen des Missbrauchs von Zahlungsmitteln. Das Gesetz legt Grundsätze bezüglich der Haftung des Kunden und des Zahlungsdienstleisters bei nicht autorisierten Vorgängen fest.

Dennoch besteht eine rechtliche Komplexität bei der Unterscheidung zwischen einer nicht autorisierten Transaktion (wie einem direkten Kontoeinbruch) und einer "unter Täuschung autorisierten Transaktion" (Social Engineering). Bei Fällen von Social Engineering neigen Banken dazu, zu argumentieren, dass die erhöhte Haftung nach dem Gesetz nicht in gleicher Weise gilt, da der Kunde die Handlung selbst durchgeführt hat.

Demgegenüber kann der Rechtsbegriff der Zustimmung geprüft werden, die unter ungebührlicher Beeinflussung oder Täuschung gegeben wurde. Wenn Technologien verwendet wurden, die eine Identitätsdiebstahl-Simulation der Banksysteme ermöglichen, kann die Haftung der Bank für die Sicherung ihrer Kommunikationskanäle geprüft werden. Das Gesetz verpflichtet den Zahlungsdienstleister, angemessene Maßnahmen zur Verhinderung von Missbrauch zu ergreifen. Sollte nachgewiesen werden, dass keine üblichen Risikoüberwachungssysteme eingesetzt wurden oder Warnungen ignoriert wurden, kann dies die Verteilung der Haftung für den Schaden beeinflussen.

Haftungsverteilung: Der Kampf um das Mitverschulden

In Gerichtsverfahren in diesem Bereich bildet die Frage des "Mitverschuldens" einen zentralen Punkt. Finanzinstitute könnten auf eine Fahrlässigkeit des Kunden verweisen, der Daten weitergegeben oder entgegen Warnungen gehandelt hat. Andererseits kann argumentiert werden, dass Kunden Opfer raffinierter psychologischer Manipulationen sein können und dass die professionelle Instanz solche Angriffe vorhersehen und entsprechende Sicherheitsbarrieren errichten muss.

Eine rechtliche Prüfung kann zu einer Haftungsverteilung zwischen den Parteien führen, die nach den Umständen des Einzelfalls und der Fähigkeit jeder Partei, den Schaden abzuwenden, bestimmt wird. In Fällen, in denen sich herausstellt, dass eine Abweichung von internen Richtlinien oder von den Anweisungen der Bankenaufsicht vorlag, wird das Gericht möglicherweise eher dazu neigen, der Haftung des Finanzinstituts ein größeres Gewicht beizumessen.

Ebenso gibt es in der Rechtsprechung einen Trend, eine erhöhte Klärungspflicht gegenüber Bevölkerungsgruppen zu prüfen, die verletzlicher sein könnten, wie etwa ältere Menschen. In diesen Fällen kann die professionelle Erwartung die Ausübung von menschlichem Ermessen und erhöhte Aufmerksamkeit seitens der Bankmitarbeiter umfassen, wenn Not oder extreme ungewöhnliche Aktivitäten erkannt werden.

Technologische Pflichten in einer sich wandelnden Welt

Die Sorgfaltspflicht eines Finanzinstituts umfasst auch den Aspekt der technologischen Aktualisierung. Es kann geprüft werden, ob die Bank Systeme auf Basis künstlicher Intelligenz zur Erkennung ungewöhnlicher Muster anwendet und ob sie darauf hinwirkt, Überweisungen an Ziele zu reduzieren, die als Hochrisikoziele bekannt sind, ohne eine angemessene Klärung durchzuführen.

Ein weiteres Thema ist die Haftung für Sicherheitslücken, die einen Identitätsdiebstahl ermöglichen (wie SMS-Nachrichten, die angeblich von der Bank stammen). Je weiter die Technologie voranschreitet, desto mehr wird von den Banken erwartet, ein sicheres Umfeld zu bieten und darauf hinzuwirken, die Möglichkeiten für feindliche Akteure zu begrenzen, die offiziellen Kommunikationskanäle des Instituts zu nutzen.

Der rechtliche Weg zur Prüfung der Haftung

Die Klärung von Ansprüchen gegen eine Bank wegen Haftung bei Betrug erfordert eine sorgfältige Prüfung der Beweise. Dieses Verfahren kann die Anforderung von Protokollen von Gesprächen, Logs von Kontozugriffen und die Prüfung der an den Kunden gesandten Warnmeldungen umfassen.

Im Rahmen eines Gerichtsverfahrens kann geprüft werden, ob die Bank ihren Aufklärungspflichten nachgekommen ist und die Risiken erläutert hat, und ob die präsentierten Warnungen effektiv waren. Die Erfolgsaussichten bei der Prüfung dieser Fälle hängen maßgeblich von der Fähigkeit ab, aufzuzeigen, dass der Schaden durch angemessene Maßnahmen hätte verhindert werden können oder dass es frühe Indikationen gab, auf die das Institut nicht reagiert hat.

Warnsignale für ein Verhalten, das als fahrlässig gelten könnte

• Genehmigung einer Reihe ungewöhnlicher Überweisungen in hohen Beträgen an ein neues Ziel ohne Durchführung einer proaktiven Verifizierung gegenüber dem Kunden.
• Durchführung von Transaktionen trotz des Vorhandenseins klarer Anzeichen von Not beim Kunden während der Kommunikation mit der Bank.
• Bestehen von Lücken in den Kommunikationssystemen, die es externen Akteuren ermöglichen, Nachrichten zu versenden, die als offizielle Nachrichten der Bank identifiziert werden.
• Fehlen von Mechanismen einer "Abkühlphase" oder Aussetzung von Überweisungen unter besonders verdächtigen Umständen.
• Begnügen mit allgemeinen Antworten des Kunden, ohne eine tiefergehende Klärung in Fällen extremer Abweichungen von normalen Aktivitätsmustern durchzuführen.

Erste Schritte bei Verdacht auf ein Bankversagen

1. Einforderung einer Sperrung: Unverzügliche und dokumentierte Aufforderung an die Bank, die Geldüberweisung zu stoppen. In einigen Fällen besteht die Möglichkeit, Gelder bei zwischengeschalteten Banken in der Überweisungskette zu stoppen.
2. Dokumentation der Kommunikation: Aufbewahrung von Unterlagen und Aufzeichnungen aller Gespräche mit Bankvertretern ab dem Moment der Entdeckung des Vorfalls.
3. Sammlung technischer Informationen: Anforderung einer detaillierten Auflistung der sicherheitsrelevanten Protokolle für das Konto zu den Zeiten des Vorfalls.
4. Anfrage an die Ombudsstelle: Klärung des Falls gegenüber dem Ombudsmann für Kundenbeschwerden bei der Bank als ersten Schritt.
5. Professionelle Beratung: Prüfung der Rechtslage gegenüber einem auf das Fachgebiet spezialisierten Anwalt, bevor Verzichtserklärungen unterzeichnet oder Angebote für einen Teilvergleich angenommen werden.

Rechtlicher Aspekt: Zusammenfassung der Haftungsfrage

Der rechtliche Ansatz bezüglich der Bankenhaftung befindet sich in einem Entwicklungstrend, wobei ein Schwerpunkt auf ihrer Rolle als Wächter liegt. Von den Banken wird erwartet, ihre Ressourcen einzusetzen, um Kunden vor raffinierten Betrugsdelikten zu schützen.

Dennoch ist die Möglichkeit der Rückerlangung von Geldern von der Bank mit einer Einzelfallprüfung der Umstände des Falls und dem Nachweis eines Versagens im Verhalten des Instituts verbunden. Die Bank trägt keine automatische Haftung für jede Handlung des Kunden, aber ihre professionelle Haftung und deliktische Haftung kann geprüft werden, wenn sie bei klaren "roten Flaggen" untätig blieb. In der Abwägung zwischen der Autonomie des Kunden und der Schutzpflicht der Bank zeichnet sich die Tendenz zu einer strengeren Prüfung der den Finanzinstituten auferlegten Haftung ab.