pushTAN-Betrug: Haftet die Bank für den Schaden?

pushTAN-Betrug: Geld trotz TAN-Freigabe zurückbekommen?

Das Smartphone zeigt eine Nachricht der vermeintlich eigenen Bank. Ein Sicherheitsproblem müsse dringend behoben werden. Kurz darauf folgt vielleicht sogar ein Anruf eines angeblichen Bankmitarbeiters. Der Kunde soll einen Vorgang in seiner Banking-App bestätigen – angeblich, um sein Konto zu schützen oder eine betrügerische Überweisung zu verhindern.

Später stellt sich heraus: Statt einer Sicherheitsmaßnahme wurde möglicherweise eine Zahlung oder ein anderer sicherheitsrelevanter Vorgang freigegeben. Vom Konto fehlen mehrere Tausend oder sogar Zehntausende Euro.

Bei einem solchen pushTAN-Betrug stellt sich für Betroffene die entscheidende Frage: Muss die Bank das verlorene Geld erstatten, obwohl eine TAN oder App-Freigabe verwendet wurde?

Eine verwendete TAN bedeutet nicht automatisch, dass jeder Erstattungsanspruch ausgeschlossen ist. Entscheidend sind der konkrete Zahlungsvorgang, dessen Autorisierung, die Art der Authentifizierung und die Frage, ob dem Bankkunden tatsächlich grobe Fahrlässigkeit vorzuwerfen ist.

Björn-Michael Lange, Fachanwalt für Bank- und Kapitalmarktrecht, vertritt Bankkunden bei erheblichen Schäden durch TAN-Betrug, manipulierte Freigaben und andere Formen des Online-Banking-Betrugs.

Was ist pushTAN-Betrug?

Bei pushTAN-Verfahren erfolgt die Freigabe eines Vorgangs typischerweise über ein mobiles Endgerät. Je nach Bank und eingesetztem Verfahren wird der Kunde beispielsweise über eine Banking- oder Authentifizierungs-App aufgefordert, einen Vorgang zu prüfen und zu bestätigen.

Kriminelle versuchen, diesen Prozess für ihre Zwecke auszunutzen.

Dabei geht es häufig nicht darum, die technische Sicherheit eines pushTAN-Verfahrens unmittelbar zu „knacken“. Stattdessen wird der Bankkunde selbst getäuscht und zu einer Handlung bewegt, deren tatsächliche Bedeutung er aufgrund der Manipulation möglicherweise nicht erkennt.

Die Täter können dazu verschiedene Angriffsmethoden miteinander kombinieren.

Wie funktioniert Betrug mit pushTAN und Banking-App?

Ein pushTAN-Betrug kann sehr unterschiedlich ablaufen. Häufig beginnt der Angriff jedoch außerhalb der eigentlichen Banking-App.

Typische Ausgangspunkte sind:

• eine gefälschte SMS der Bank,
• eine Phishing-E-Mail,
• eine täuschend echte Kopie der Bankwebsite,
• ein Anruf eines angeblichen Bankmitarbeiters,
• die Behauptung eines Sicherheitsvorfalls,
• eine angeblich notwendige Aktualisierung des TAN-Verfahrens,
• die Aufforderung, eine vermeintlich betrügerische Zahlung zu „stornieren“.

Die Täter versuchen zunächst, Vertrauen und gleichzeitig Zeitdruck aufzubauen.

Anschließend soll der Geschädigte beispielsweise Zugangsdaten eingeben oder einen Vorgang in seiner Authentifizierungs-App bestätigen.

Für die spätere rechtliche Beurteilung ist deshalb nicht nur wichtig, dass eine pushTAN verwendet wurde, sondern vor allem, was vor, während und nach der Freigabe geschehen ist.

TAN-Phishing: Wenn die gefälschte Bankseite zur Freigabe führt

Besonders häufig überschneiden sich pushTAN-Betrug und Phishing beziehungsweise Smishing.

Der Bankkunde erhält beispielsweise eine SMS mit der Aufforderung, sein Online-Banking zu verifizieren. Der Link führt auf eine gefälschte Website, die dem Internetauftritt seiner Bank täuschend ähnlich sieht.

Dort werden Zugangsdaten abgefragt. Im Hintergrund können die Täter diese Daten verwenden und weitere Vorgänge initiieren.

Anschließend erscheint möglicherweise eine Freigabeaufforderung auf dem Smartphone des Geschädigten.

Genau hier kann die rechtliche Auseinandersetzung beginnen: Welcher Vorgang wurde tatsächlich bestätigt und was konnte der Kunde bei der Freigabe erkennen?

Gefälschter Bankmitarbeiter verlangt eine TAN-Freigabe

Eine weitere Variante kombiniert den Angriff mit Vishing beziehungsweise Telefonbetrug.

Der Anrufer gibt sich beispielsweise als Mitarbeiter der Sicherheitsabteilung der Bank aus. Häufig wird behauptet, das Konto sei gerade Ziel eines Hackerangriffs geworden.

Der Kunde müsse sofort handeln.

Besonders perfide ist die Behauptung, eine verdächtige Überweisung müsse „zurückgewiesen“, „storniert“ oder „gesperrt“ werden. Der Geschädigte wird dadurch möglicherweise gerade aus dem Wunsch heraus tätig, sein Konto vor einem Schaden zu schützen.

Folgt anschließend eine Freigabeaufforderung in der App, kann der Kunde glauben, er bestätige die angekündigte Sicherheitsmaßnahme.

Bei der rechtlichen Prüfung ist deshalb der gesamte Täuschungsablauf relevant.

Muss die Bank nach pushTAN-Betrug erstatten?

Ausgangspunkt ist die Frage, ob ein Zahlungsvorgang autorisiert wurde.

Nach § 675j BGB ist ein Zahlungsvorgang gegenüber dem Zahler grundsätzlich nur wirksam, wenn dieser ihm zugestimmt hat.

Fehlt die Zustimmung, handelt es sich grundsätzlich um eine nicht autorisierte Zahlung.

Für nicht autorisierte Zahlungsvorgänge enthält § 675u BGB eine für Bankkunden wichtige Regelung: Der Zahlungsdienstleister hat grundsätzlich keinen Anspruch auf Erstattung seiner Aufwendungen. Wurde das Konto belastet, muss der Zahlungsbetrag grundsätzlich erstattet und das Konto entsprechend wiederhergestellt werden.

Bei einem TAN-Betrug muss deshalb zunächst geklärt werden, ob der Kunde dem konkreten Zahlungsvorgang tatsächlich zugestimmt hat.

TAN verwendet: Ist die Überweisung damit automatisch autorisiert?

Diese Frage ist für viele Fälle zentral.

Banken können darauf verweisen, dass der Zahlungsvorgang mit den korrekten Sicherheitsmerkmalen authentifiziert und technisch ordnungsgemäß ausgeführt wurde.

Rechtlich muss jedoch zwischen Authentifizierung und Autorisierung unterschieden werden.

Vereinfacht gesagt betrifft die Authentifizierung die Prüfung der Identität beziehungsweise der Verwendung bestimmter personalisierter Sicherheitsmerkmale. Bei der Autorisierung geht es dagegen um die Zustimmung des Kunden zum konkreten Zahlungsvorgang.

Gerade wenn der Kunde behauptet, durch Täter über die Bedeutung einer Freigabe getäuscht worden zu sein, muss deshalb genau untersucht werden, was tatsächlich passiert ist.

Die Feststellung „Die TAN wurde auf Ihrem Gerät bestätigt“ beendet die rechtliche Prüfung nicht zwangsläufig.

Was wurde in der pushTAN-App angezeigt?

Für die Beurteilung eines Freigabebetrugs kann von erheblicher Bedeutung sein, welche Informationen dem Bankkunden vor seiner Bestätigung angezeigt wurden.

Zu rekonstruieren ist beispielsweise:

• Welche Art von Vorgang sollte bestätigt werden?
• Wurde ein Überweisungsbetrag angezeigt?
• War die Empfänger-IBAN erkennbar?
• Wurde der Name eines Zahlungsempfängers angezeigt?
• Gab es einen Warnhinweis?
• Was behaupteten die Täter gleichzeitig am Telefon oder auf der gefälschten Website?
• Wurden mehrere Freigaben nacheinander vorgenommen?
• Welcher technische Vorgang war jeweils mit einer Freigabe verbunden?

Diese Details können sowohl für die Frage der Autorisierung als auch für einen möglichen Einwand grober Fahrlässigkeit wichtig sein.

Was gilt bei mehreren TAN-Freigaben?

Bei manchen Angriffen verschwinden nicht durch eine einzige Transaktion, sondern durch mehrere Zahlungen hohe Geldbeträge.

Dann sollte jeder Zahlungsvorgang einzeln untersucht werden.

Es kann beispielsweise vorkommen, dass ein Geschädigter mehrere Freigabeaufforderungen erhält, während der vermeintliche Bankmitarbeiter erklärt, dies sei erforderlich, um verschiedene Angriffe abzuwehren.

Für die rechtliche Bewertung sollte nachvollzogen werden, welcher Freigabe welcher technische Vorgang und welche anschließende Kontobelastung zugeordnet werden kann.

Eine pauschale Bewertung sämtlicher Zahlungen kann den Besonderheiten des einzelnen Vorgangs nicht gerecht werden.

Wann liegt bei TAN-Betrug grobe Fahrlässigkeit vor?

Der wohl häufigste Einwand einer Bank lautet, der Kunde habe grob fahrlässig gehandelt.

Die Argumentation kann beispielsweise lauten, der Geschädigte habe Sicherheitsmerkmale preisgegeben, Warnhinweise missachtet oder eine Zahlung trotz erkennbarer Transaktionsdaten freigegeben.

Ob daraus tatsächlich eine grob fahrlässige Pflichtverletzung folgt, ist jedoch eine rechtliche Wertungsfrage.

Nicht jede Fehlentscheidung und nicht jede erfolgreiche Täuschung stellt automatisch grobe Fahrlässigkeit dar.

Zu berücksichtigen können insbesondere sein:

• die Professionalität der Betrugsmasche,
• die Gestaltung gefälschter Nachrichten und Websites,
• ein paralleler Anruf angeblicher Bankmitarbeiter,
• die konkret angezeigten Freigabeinformationen,
• Warnhinweise der Bank,
• die Plausibilität der Tätergeschichte,
• Zeitdruck und Ablauf des Angriffs,
• das konkrete Verhalten des Bankkunden.

Deshalb sollte der Vorwurf grober Fahrlässigkeit anhand des individuellen Geschehensablaufs geprüft werden.

Was muss die Bank beim pushTAN-Betrug beweisen?

Bestreitet der Bankkunde die Autorisierung eines Zahlungsvorgangs, sind die besonderen Regeln zur Beweislast bei Online-Banking-Betrug relevant.

Nach § 675w BGB muss der Zahlungsdienstleister grundsätzlich nachweisen, dass eine Authentifizierung erfolgt ist und der Zahlungsvorgang ordnungsgemäß aufgezeichnet und verbucht wurde sowie nicht durch eine Störung beeinträchtigt war.

Von besonderer Bedeutung ist dabei: Die aufgezeichnete Nutzung eines Zahlungsinstruments reicht für sich genommen grundsätzlich nicht zwingend als Nachweis dafür aus, dass der Zahler den Zahlungsvorgang autorisiert oder seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat.

In einem Rechtsstreit können deshalb die Bankprotokolle und Authentifizierungsdaten erheblich sein.

Welche Bankprotokolle können wichtig sein?

Bei einem erheblichen Schaden sollte geprüft werden, welche technischen Informationen zum Angriff vorhanden sind und auf welche Daten die Bank ihre Ablehnung stützt.

Je nach Sachverhalt können Informationen relevant sein über:

• Zeitpunkt und Ablauf der Authentifizierung,
• den jeweiligen Zahlungsvorgang,
• verwendete Sicherheitsverfahren,
• Freigabezeitpunkte,
• angezeigte Transaktionsdaten,
• Änderungen sicherheitsrelevanter Einstellungen,
• Registrierung oder Aktivierung von Geräten.

Welche Daten tatsächlich existieren und für den jeweiligen Fall relevant sind, hängt vom eingesetzten Banksystem und dem konkreten Angriff ab.

Entscheidend ist deshalb nicht, möglichst viele technische Informationen anzufordern, sondern diejenigen Daten zu identifizieren, die Autorisierung, Authentifizierung und den behaupteten Pflichtverstoß aufklären können.

Was tun unmittelbar nach einem pushTAN-Betrug?

Wer einen TAN-Betrug bemerkt, sollte schnell reagieren. Neben der Schadensbegrenzung geht es um die Sicherung von Beweisen.

Zu den wichtigsten Sofortmaßnahmen gehören:

1. Bank sofort informieren: Melden Sie sämtliche verdächtigen Zahlungsvorgänge.
2. Online-Banking sperren: Lassen Sie kompromittierte Zugänge und gegebenenfalls Karten sperren.
3. Überweisungsrückruf verlangen: Bei bereits ausgeführten Zahlungen sollte unverzüglich geprüft werden, ob eine Rückholung noch möglich ist.
4. Banking-App nicht vorschnell verändern: Sichern Sie zunächst relevante Anzeigen und Informationen, soweit dies gefahrlos möglich ist.
5. Screenshots erstellen: Dokumentieren Sie Nachrichten, Freigabeaufforderungen und sonstige relevante Anzeigen.
6. Kommunikation sichern: Bewahren Sie SMS, E-Mails, Telefonnummern und Anruflisten auf.
7. Ablauf dokumentieren: Schreiben Sie möglichst genau auf, wann welche Nachricht, welcher Anruf und welche Freigabe erfolgte.
8. Strafanzeige erstatten: Sichern Sie anschließend auch Aktenzeichen und Unterlagen der Anzeige.

Die ausführliche Vorgehensweise wird auf der Seite Sofortmaßnahmen und Beweissicherung behandelt.

Bank verweigert Erstattung wegen bestätigter TAN

Nach einem pushTAN-Betrug erhalten Geschädigte mitunter die Mitteilung, die Bank könne keine Erstattung vornehmen, weil die Zahlungen ordnungsgemäß authentifiziert worden seien.

Eine solche Begründung sollte bei einem erheblichen Schaden rechtlich geprüft werden.

Von besonderem Interesse sind dabei drei Fragen:

Erstens: Hat der Kunde dem konkreten Zahlungsvorgang tatsächlich zugestimmt?

Zweitens: Was kann die Bank anhand ihrer technischen Daten über den Authentifizierungs- und Zahlungsvorgang nachweisen?

Drittens: Kann sie einen Schadensersatzanspruch wegen vorsätzlicher oder grob fahrlässiger Verletzung von Pflichten entgegenhalten?

Erst wenn der tatsächliche und technische Ablauf rekonstruiert ist, lässt sich die Haftungsfrage belastbar beurteilen.

pushTAN-Betrug oder autorisierter Überweisungsbetrug?

Nicht jeder Fall, bei dem eine TAN verwendet wurde, ist rechtlich gleich gelagert.

Besonders wichtig ist die Abgrenzung zum autorisierten Überweisungsbetrug.

Veranlassen Täter selbst eine Zahlung ohne Zustimmung des Kontoinhabers, kann eine nicht autorisierte Zahlung vorliegen.

Überweist der Bankkunde dagegen selbst Geld an einen Betrüger, weil er über den Zahlungsempfänger oder den Zweck der Überweisung getäuscht wurde, kann die rechtliche Ausgangslage eine andere sein.

Deshalb sollte genau rekonstruiert werden:

Wer hat die Überweisung technisch ausgelöst, was hat der Kunde selbst veranlasst und welchem konkreten Vorgang hat er zugestimmt?

Diese Abgrenzung kann entscheidend für die Anspruchsdurchsetzung sein.

Welche Unterlagen benötigt der Anwalt?

Bei einem pushTAN-Betrug ist eine möglichst genaue Rekonstruktion des Geschehens besonders wichtig.

Für die anwaltliche Prüfung sollten Geschädigte insbesondere folgende Unterlagen und Informationen zusammenstellen:

• Kontoauszüge mit sämtlichen streitigen Zahlungen,
• Schriftverkehr mit der Bank,
• Ablehnungsschreiben der Bank,
• Phishing-E-Mails oder SMS,
• Screenshots,
• Telefonnummern und Anruflisten,
• noch vorhandene Informationen aus der Banking- oder TAN-App,
• Strafanzeige und Aktenzeichen,
• eine eigene chronologische Darstellung des Betrugs.

In der Chronologie sollte möglichst genau festgehalten werden, welche Freigabe zu welchem Zeitpunkt erfolgte und was dabei auf dem Smartphone angezeigt wurde.

Wie Fachanwalt Björn-Michael Lange den Fall prüft

Bei erheblichen Schäden durch pushTAN-Betrug sollte nicht nur die Betrugsmasche betrachtet werden. Entscheidend ist die rechtliche und tatsächliche Rekonstruktion des einzelnen Zahlungsvorgangs.

Björn-Michael Lange ist Fachanwalt für Bank- und Kapitalmarktrecht und prüft insbesondere:

• ob die Zahlungen tatsächlich autorisiert wurden,
• welche Erstattungsansprüche gegen die Bank bestehen,
• wie der TAN- und Authentifizierungsprozess ablief,
• welche Informationen dem Kunden bei der Freigabe angezeigt wurden,
• welche Bankprotokolle zur Verfügung stehen,
• ob der Vorwurf grober Fahrlässigkeit rechtlich trägt,
• ob neben der eigenen Bank weitere Anspruchsgegner in Betracht kommen.

Auf dieser Grundlage kann beurteilt werden, ob und wie der entstandene Schaden gegenüber der Bank geltend gemacht werden sollte.

Geld nach pushTAN-Betrug verloren? Bankhaftung prüfen lassen

Wenn nach einer manipulierten pushTAN-Freigabe ein erheblicher Betrag vom Konto verschwunden ist, sollte die Verwendung einer TAN nicht vorschnell mit einer eindeutigen Haftung des Bankkunden gleichgesetzt werden.

Bei der rechtlichen Prüfung kommt es insbesondere auf Autorisierung, Authentifizierung, Beweislast, Bankprotokolle und den möglichen Vorwurf grober Fahrlässigkeit an.

Das gilt besonders dann, wenn dem Betrug eine professionelle Phishing- oder Smishing-Attacke, eine gefälschte Bankseite oder ein Anruf eines angeblichen Bankmitarbeiters vorausging.

Fachanwalt Björn-Michael Lange prüft Fälle mit erheblichen Schäden durch TAN- und Online-Banking-Betrug und unterstützt Geschädigte bei der Durchsetzung berechtigter Ansprüche gegen Banken und weitere Verantwortliche.

Lassen Sie prüfen, ob Ihre Bank den Schaden aus dem pushTAN-Betrug erstatten muss.