Haftung bei einem qualifizierten Phishing mit weiteren Elementen des Social Engineering

Trotz der Einführung der Zwei-Faktor-Authentifizierung in § 55 ZAG – einer der wesentlichen Errungenschaften der zweiten Zahlungsdiensterichtlinie (PSD II) – häufen sich in jüngerer Zeit Betrugsfälle im Onlinebanking. Die Täter wählen dabei ein zweistufiges Vorgehen. Mittels einer gefälschten Internetseite oder einer klassischen Phishing-Mail bewegen sie den Kunden zunächst dazu, seine Zugangsdaten zum Online-Banking einzugeben. Mit den so erlangten Zugangsdaten spähen die Täter Kontodetails aus, die sie sodann bei einer Ansprache des Kunden per Telefon oder über sozialen Medien einsetzen, um den Kunden dazu zu bewegen, einen von den Tätern angelegten Zahlungsauftrag freizugeben. Dazu wird entweder die Freigabe-App verwendet oder der Kunde zur Weitergabe der mittels des Push-TAN-Verfahrens erzeugten TAN-Nummer an die Täter verleitet. Der Beitrag untersucht zunächst, ob trotz der Täuschung ein Zahlungsauftrag vorliegen kann. Soweit man dies verneint, ist zu untersuchen, ob eine Haftung wegen grober Fahrlässigkeit nach § 675v Abs. 3 BGB vorliegt. Dabei steht die Frage im Mittelpunkt, ob der Haftungsausschluss in § 675v Abs. 4 Satz 1 Nr. 1 BGB auch dann eingreift, wenn der Zahlungsdienstleister im ersten Schritt unter Rückgriff auf Art. 11 der technischen Regulierungsstandards zu § 55 ZAG auf den Einsatz einer starken Kundenauthentifizierung beim Einloggen in das Kontos verzichtet hat. Es wird die These begründet, dass § 675v Abs. 4 Satz 1 BGB aufsichtsakzessorisch auszulegen ist.