Entscheidungsgründe

I. Die Klage ist zulässig und begründet.

1. Die Klägerin hat gegen die Beklagte einen Anspruch auf Zahlung in Höhe von 24.890,00 € aus §§ 675u Abs. 2, 675f BGB (dazu unter a.). Die Beklagte konnte gegen diesen Anspruch nicht mit einem ihr zustehenden Anspruch aufrechnen (dazu unter b.)

a) Nach § 675u Abs. 2 BGB ist die Beklagte als Zahlungsdienstleister im Sinne des § 1 Abs. 1 ZAG der Klägerin als Zahlerin im Falle eines nicht autorisierten Zahlungsvorgangs verpflichtet, den Zahlungsbetrag und unverzüglich zu erstatten.

aa) Unstreitig lag eine Autorisierung der Überweisung vom Konto der Klägerin in Höhe von 24.890,00 € nicht vor. Die streitgegenständliche Überweisung vom Girokonto der Klägerin ist von dieser nicht autorisiert worden.

Nach der Legaldefinition des § 675j Abs. 1 S. 1 BGB ist die Autorisierung die wirksame Zustimmung des Zahlers zum Zahlungsvorgang, welche nach § 675j Abs. 1 S. 2 BGB als Einwilligung oder, sofern zwischen dem Zahler und seinem Zahlungsdienstleister zuvor vereinbart, auch als Genehmigung erteilt werden kann. Dabei trägt grundsätzlich die Beklagte auch im Rahmen eines Anspruchs der Klägerin aus § 675u S. 2 BGB die Darlegungs- und Beweislast für die Autorisierung der Zahlungsvorgänge. Eine Differenzierung hinsichtlich der Beweislast zwischen dem Aufwendungsersatzanspruch des Zahlungsdienstleisters (§ 675u S. 1 BGB) und dem Erstattungsanspruch des Zahlers (§ 675u S. 2 BGB) ist nicht sachgerecht, da die Beweislast anderenfalls von der zufälligen Frage der Kontobelastung abhinge (OLG Karlsruhe - Urteil vom 12.04.2022, 17 U 823/20, Rn. 54).

Die Klägerin hat insoweit vorgetragen, dass sie die streitgegenständliche Überweisung nicht selbst veranlasst habe, sondern ein unbekannter Dritter ohne ihr Wissen und Wollen. Insoweit soll es einem Dritten gelungen sein, seinerseits ein Gerät zur Freigabe von Überweisungen zu aktivieren und die streitgegenständliche Überweisung damit freizugeben. Die Beklagte hat zuletzt vorgetragen, sie könne nicht ausschließen, dass die Klägerin die streitgegenständliche Überweisung nicht selbst ausgeführt hat. Die für die wirksame Zustimmung der Klägerin zum Zahlungsvorgang darlegungs- und beweisbelastete Beklagte hat damit jedenfalls von der Behauptung einer Zustimmung der Klägerin Abstand genommen.

bb) In der Rechtsfolge gewährt § 675u S. 2 BGB dem Zahlungsdienstnutzer einen Erstattungsanspruch. "Erstattung" ist der Oberbegriff für die Auszahlung und die Stornobuchung, d.h. die Wertstellung in Höhe der nicht autorisierten Zahlung, mithin in Höhe von 24.890,00 €. Der Anspruch ist dabei auf Wertstellung in Höhe der nicht autorisierten Zahlung gerichtet (Schulte-Nölke in: Schulze, BGB, 11. Aufl. 2021, § 675u Rz. 2)

b) Der Anspruch der Klägerin nach § 675u S. 2 BGB ist auch nicht durch wirksame Aufrechnung der Beklagten gemäß § 389 BGB wieder erloschen.

Die Beklagte hat zwar bereits in der Klageerwiderung vom 07.12.2022 (S. 6 = Bl. 19 R d.A.) gemäß § 388 BGB die Aufrechnung erklärt. Der Beklagten steht jedoch kein Gegenanspruch auf Schadensersatz gegen die Klägerin zu, mit dem sie wirksam hätte aufrechnen können.

aa) Ein solcher Anspruch ergibt sich insbesondere nicht aus § 675v Abs. 3 Nr. 2 lit. a), b) BGB. Nach § 675v Abs. 3 Nr. 2 BGB ist der Zahler seinem Zahlungsdienstleister zum Ersatz des gesamten Schadens verpflichtet, der infolge eines nicht autorisierten Zahlungsvorgangs entstanden ist, wenn der Zahler den Schaden herbeigeführt hat durch vorsätzliche oder grob fahrlässige Verletzung einer oder mehrerer Pflichten gemäß § 675l Abs. 1 BGB oder einer oder mehrerer vereinbarter Bedingungen für die Ausgabe und Nutzung des Zahlungsinstruments.

Für eine schuldhafte Verletzung einer Pflicht gemäß § 675l Abs. 1 BGB oder einer vereinbarten Bedingung für die Ausgabe und Nutzung des Zahlungsinstruments der Klägerin als anspruchsbegründende Tatsache ist ebenfalls die Beklagte darlegungs- und beweisbelastet. Nach dem Vortrag der Beklagten soll die Klägerin am Telefon den per Post übersandten und zur Freischaltung des Push-TAN-Geräts benötigten Aktivierungscode an einen außenstehenden Dritten weitergegeben haben. Vorliegend kommen nach diesem Vortrag Verstöße der Klägerin gegen § 675l Abs. 1 S. 1 BGB und gegen Ziffer 7.1 Abs. 2 lit. (b) 6. Spiegelstrich der Sonderbedingungen der Beklagten für das Online-Banking in Betracht.

(1) Nach § 675l Abs. 1 S. 1 BGB ist der Zahler verpflichtet, unmittelbar nach Erhalt eines Zahlungsauthentifizierungsinstruments alle zumutbaren Vorkehrungen zu treffen, um die personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen.

Personalisierte Sicherheitsmerkmale sind gemäß § 1 Abs. 25 ZAG - in der hier maßgeblichen, seit dem 01.07.2021 geltenden Fassung - personalisierte Merkmale, die der Zahlungsdienstleister einem Zahlungsdienstnutzer zum Zwecke der Authentifizierung bereitstellt. Darunter fallen insbesondere TAN, welche einmal für die Autorisierung einer ganz bestimmten Transaktion eingesetzt werden können, dem Zahlungsdienstnutzer erst im Zusammenhang mit der jeweiligen Transaktion übermittelt werden und nur für eine kurze Zeit gültig sind (Casper/Terlau, ZAG, 2. Aufl., § 1 Rz. 438). Unter personalisierte Sicherheitsmerkmale sind als "Vorstufe" auch der Freischaltcode für das SecureGo-Verfahren zu fassen, ermöglicht er doch die Erzeugung und Erlangung von TAN auf mobilen Endgeräten (vgl. OLG München Hinweisbeschluss vom 22.09.2022 - 19 U 2204/22, BeckRS 2022, 36075)

Unbefugt ist namentlich jede Verwendung, die ohne oder gegen den Willen des Inhabers des Zahlungsinstruments erfolgt und dementsprechend auf die Auslösung eines nicht autorisierten Zahlungsvorgangs gerichtet ist (MüKoBGB/Jungmann, 8. Aufl., § 675l Rz. 19). Die Klägerin hatte insoweit allgemein dafür Sorge zu tragen, dass nicht dritte Personen die unkontrollierte Zugriffsmöglichkeit auf ihr Online-Banking oder die Banking-App mittels Zugangsdaten und TAN bekommen und so ohne ihr Wissen und Wollen Transaktionen von ihren Konten bei der Beklagten durchführen können (vgl. OLG München aaO).

(2) In Ziffer 7.1 Abs. 2 lit. (b) 6. Spiegelstrich der Sonderbedingungen der Beklagten für das Online-Banking wird eine Sorgfaltspflicht des Teilnehmers - hier der Klägerin - dahingehend aufgestellt, dass Aktivierungscodes vor dem unbefugten Zugriff anderer Personen sicher zu verwahren sind, und darauf hingewiesen, dass anderenfalls die Gefahr bestünde, dass andere Personen ihr Gerät als Besitzelement für das Online-Banking aktivieren.

Den Vortrag der Beklagten zugrundegelegt, wäre der Klägerin durch die Weitergabe des Aktivierungscodes gegebenenfalls ein Verstoß gegen die vorangestellten Pflichten vorzuwerfen. Es kann jedoch dahinstehen, ob die Klägerin den Aktivierungscode tatsächlich am Telefon an einen Dritten weitergegeben hat oder nicht, jedenfalls hätte sie die Pflichten aus § 675l Abs. 1 S. 1 BGB oder Ziffer 7.1 Abs. 2 lit. (b) 6. Spiegelstrich der Sonderbedingungen für das Online-Banking weder vorsätzlich noch grob fahrlässig verletzt.

Auch im Bereich des § 675v Abs. 3 Nr. 2 BGB liegt grobe Fahrlässigkeit vor, wenn die im Verkehr erforderliche Sorgfalt in ungewöhnlich grobem Maße verletzt worden ist und auch ganz naheliegende Überlegungen nicht angestellt worden sind oder das nicht beachtet worden ist, was im konkreten Fall jedem hätte einleuchten müsse (BGH WM 2005, 380, 384[BGH 16.12.2004 - IX ZB 463/02] Rn. 34).

Dabei sind zum einen die vom Zahlungsdienstnutzer geschuldeten Sorgfaltspflichten auch nach der Art des konkreten Angriffs zu bestimmen (vgl. BGH, Urteil vom 24.04.2012 - XI ZR 96/11, NJW 2012, 2422; BeckOGK/Hofmann, 01.09.2022, BGB § 675l Rn. 96). Zum anderen muss den Teilnehmer am Online-Banking nicht nur aus objektiver Sicht, sondern auch subjektiv ein schlechthin unentschuldbares Versagen bei der Befolgung ihm erkennbarer Pflichten treffen. In den nicht selten komplexen und wegen ihrer großen Vielfalt nicht von jedem ohne Weiteres zu überblickenden Online-Banking-Verfahren können deswegen auch die Unerfahrenheit oder Unbeholfenheit des Kunden grobe Fahrlässigkeit ausschließen. Zu beachten sind deswegen individuelle Kenntnisse, technische Erfahrung und praktische Gewandtheit des konkreten Teilnehmers am Online-Banking (Ellenberger/Bunte/Maihold, Bankrechts-Handbuch 6. Auflage 2022, § 33, Rn. 246 f.). Bezogen auf die Besonderheiten des Online-Banking kann zwar bei der Eingabe einer Vielzahl von TANs bei einem Pharming-Angriff und auch bei der telefonischen Weitergabe einer oder mehrerer TANS der Vorwurf einer groben Fahrlässigkeit in Betracht kommen (vgl. BGH, Urteil vom 24.04.2012, XI ZR 96/11 und LG Köln, Urteil vom 10.09.2019 - 21 O 116/19, MMR 2020, 258). Nach der Rechtsprechung des Bundesgerichtshofs verbietet sich indes eine pauschale Bewertung. Vielmehr sind sämtliche Umstände des Einzelfalls zu würdigen (BGH, Urteil vom 24.04.2012 - XI ZR 96/11, NJW 2012, 2422; LG Saarbrücken, Urteil vom 10. Juni 2022 - 1 O 394/21 -, juris).

Nach diesen Grundsätzen stellt sich das Verhalten der Klägerin in der Gesamtschau nicht als vorsätzlich oder grob fahrlässig dar.

Dabei ist zu berücksichtigen, dass es sich bei der Information, die die Klägerin weitergegeben haben soll, weder um ein Passwort noch eine Transaktionsnummer, sondern um den Aktivierungscode für die Freischaltung eines Push-TAN-Geräts handelt. Dieser Code dient nicht zur Freigabe bestimmter Überweisungen und vermittelt auch nicht unmittelbar Zugang zum Konto der Klägerin, sondern erfüllt seine Funktion lediglich auf einer Vorstufe zur Freigabe von Überweisungen. Der Missbrauch dieses Aktivierungscodes setzt dabei die Kenntnis weiterer personalisierter Sicherheitsmerkmale, namentlich des NetKeys und der PIN, voraus. Im Gegensatz zu dauerhaft verwendeten Passwörtern und Anmeldenamen ist hinsichtlich dieses Aktivierungscodes deshalb eine absolute Geheimhaltung nicht selbstverständlich. Vielmehr kann einem solchen Code seitens eines durchschnittlich erfahrenen Laien ein niedrigeres Gefahrenpotential beigemessen werden. Auch aufgrund des Verbrauchs des Codes durch einmalige Nutzung ist einem Laien, der die technischen Hintergründe nicht nachvollzogen hat - wie die Klägerin -, zuzugestehen, dass nicht ohne weiteres auf der Hand liegt, dass auch einer Weitergabe dieses Aktivierungscodes ein hohes Missbrauchsrisiko innewohnen kann. Denn jedenfalls kann ein im Online-Banking-Verfahren unbewanderter Nutzer - wie die Klägerin - davon ausgehen, dass sein Konto durch NetKey und PIN weiterhin hinreichend geschützt ist. Dass, wenn NetKey und PIN bereits zuvor durch einen Phishing-Angriff abgegriffen worden sind, durch die Herausgabe des Aktivierungscodes ein nahezu unbeschränkter Zugriff auf das Konto des Kontoinhabers ermöglicht wird, muss ein in den technischen Vorgängen des "VR S G"-Verfahrens nicht erfahrener Nutzer nicht zwingend nachvollziehen.

Bei ihrer Bewertung des Verschuldens der Klägerin hat die Kammer auch berücksichtigt, dass diese - nach dem streitigen Vortrag der Beklagten - mit dem maßgeblichen Aktivierungscode auch ein Anschreiben vom 03.05.2022 mit einem Warnhinweis erhalten haben soll, gemäß dem der Aktivierungscode ausschließlich der Verwendung durch den Kontoinhaber selbst zur Aktivierung seiner persönlichen "VR-SecureGo plus App" diene und es niemals vorgesehen sei, dass der Aktivierungscode per SMS, E-Mail oder Telefon abgefragt wird. Auch hat die Kammer berücksichtigt, dass die Sonderbedingungen der Beklagten für das Online-Banking einen dahingehenden Hinweis enthalten, dass Aktivierungscodes vor dem unbefugten Zugriff anderer Personen sicher zu verwahren sind, und die Bedingungen darauf hinweisen, dass anderenfalls die Gefahr bestünde, dass andere Personen ihr Gerät als Besitzelement für das Online-Banking aktivieren.

Auch auf Grundlage dieser Hinweise ist im hiesigen Einzelfall kein grob fahrlässiges Handeln der Klägerin bei der behaupteten Weitergabe des Aktivierungscodes anzunehmen. Denn trotz der Hinweise musste sich der Klägerin im hiesigen Einzelfall nicht zwingend aufdrängen, dass einer - hier unterstellten - Herausgabe des Aktivierungscodes an den Anrufer schwerwiegende Sicherheitsbedenken entgegenstehen. Dafür spricht neben den vorangestellten generellen Ausführungen zur Erkennbarkeit der notwenigen Geheimhaltung des Aktivierungscodes, dass die Klägerin nicht durch ganz naheliegende Überlegungen einen Sorgfaltspflichtverstoß durch die Herausgabe des Aktivierungscodes erkennen musste, weil der ihr unbekannte Anrufer den Namen ihres Bankberaters kannte und dieser auch unter Anzeige der Telefonnummer der Beklagten anrief.

Insoweit hat die Zeugin Adlim glaubhaft und für das Gericht überzeugend ausgesagt, dass es zum damaligen Zeitpunkt so gewesen sei, dass nach dem Einloggen im Onlinebanking der jeweilige Bankberater und dessen Telefonnummer angezeigt wurde. Insoweit ist davon auszugehen, dass die Klägerin sich diesen Vortrag jedenfalls konkludent zu eigen macht. Dabei ist die Aussage der Zeugin für das Gericht insbesondere deshalb glaubhaft, weil die Zeugin in der Lage war, ihre Aussage auf Nachfragen weiter zu ergänzen. Zudem sagte sie ohne Belastungstendenz aus und brachte auch zulasten ihrer Arbeitgeberin, der Beklagten, zum Ausdruck, dass zum streitgegenständlichen Zeitpunkt nach dem Einloggen im Online-Banking sofort ein Bild des Bankberaters und dessen Telefonnummer angezeigt worden sei. Dies, wie auch der Umstand, dass die Zeugin ihre Aussage um die Information ergänzen konnte, dass Name und Bild des Bankberaters mittlerweile aus dem Online-Banking-Portal entfernt worden seien, weist für das Gericht auf eine wahrheitsgemäße Aussage der Zeugin hin. Auf Grundlage dieser Aussage war es für einen Dritten, der sich zuvor des NetKeys und der PIN der Klägerin bemächtigte hatte, möglich, im Rahmen eines Anrufs unter Anzeige einer falschen Telefonnummer und unter Nennung des Namens des Bankberaters der Klägerin gegenüber vorzuspiegeln, er rufe als Mitarbeiter der Beklagten an. Das der Klägerin damit vermittelte Sicherheitsgefühl lässt eine Weitergabe des Aktivierungscodes unter Berücksichtigung der subjektiven Erkennbarkeit eines Angriffs nicht wider jeder sich aufdrängenden Sorgfalt erscheinen. Dies gilt umso mehr unter Berücksichtigung des Umstands, dass die Klägerin laut dem Anschreiben, dessen Übersendung mit dem Aktivierungscode die Beklagte behauptet, Kontakt mit der Beklagten aufnehmen sollte, wenn der Aktivierungscode per SMS, E-Mail oder Telefon abgefragt würde. Die Klägerin durfte nach obigen Ausführungen zumindest davon ausgehen, telefonisch mit einem Bankberater der Beklagten verbunden zu sein, also mit der Stelle, an die sie sich nach dem Vortrag der Beklagten wenden sollte, wenn es zu einer Abfrage des Aktivierungscodes am Telefon kommen sollte. In diesem - vermeintlichen - Gespräch mit einem Sachbearbeiter der Beklagten musste die Klägerin jedenfalls nicht besondere Aufmerksamkeit und Sorgfalt walten lassen, nachdem die Beklagte der Klägerin ein solches Telefonat als vertrauensvolle Maßnahme angeraten hatte. Dies gilt auch dann, wenn nicht die Klägerin die in den Aktivierungsschreiben angegebene Telefonnummer angerufen hat, sondern sie, soweit für sie erkennbar, von einer Telefonnummer der Beklagten aus angerufen worden ist. Die Klägerin musste sich unter Berücksichtigung ihrer individuellen Kenntnisse auch keine Gedanken darüber machen, ob es sich bei dem Anruf um den Anruf eines Dritten unter Vorspiegelung einer falschen Anrufernummer handelt, da ein solches Vorgehen einem durchschnittlichen Bankkunden jedenfalls nicht alltäglich begegnet und der Anrufer auch den Namen des Bankberaters der Klägerin und weitere Einzelheiten benennen konnte. Insoweit musste es für die Klägerin auch keinen Unterschied hinsichtlich der zu beachtenden Sorgfalt machen, von wem der Anruf ausgegangen war. Nach den vorstehenden Erwägungen erscheint die Herausgabe eines Aktivierungscodes in einem vermeintlichen Gespräch mit einem Bankberater nicht so abwegig, als dass jedermann einleuchten müsste, dass diese Information nicht an einen solchen herausgegeben werden darf. Im Gegensatz zu einer PIN oder einer TAN ist der Aktivierungscode nicht offensichtlich eine so sensible Information, dass dabei subjektiv ein schlechthin unentschuldbares Versagen der Klägerin anzunehmen wäre.

bb) Auch anderweite Ansprüche der Beklagten, mit denen diese wirksam hätte aufrechnen können, sind nicht ersichtlich. Die Regelung in § 675v BGB ist abschließend und lässt in ihrem Anwendungsbereich keinen Rückgriff auf andere Haftungsvorschriften zu (BGH BeckRS 2020, 38721 Rn. 43). Folglich kann sich die Beklagte in hiervon erfassten Fällen nicht auf § 280 BGB berufen und etwa eine Haftung wegen leicht fahrlässiger Verletzung von Sorgfaltspflichten, insbesondere im Hinblick auf den Umgang mit personalisierter Sicherheitsmerkmalen, geltend machen (BeckOK BGB/Schmalenbach, 66. Ed. 01.05.2023, BGB § 675v Rn. 24; Begr. RegE, BT-Drs. 16/11643, 113).

2. Die Forderung der Klägerin in Höhe von 24.890,00 € ist gemäß §§ 288 Abs. 1, § 286 Abs. 1, Abs. 2 Nr. 2 BGB mit fünf Prozentpunkten über dem Basiszinssatz seit dem 24.06.2022 zu verzinsen. Gemäß § 675u S. 3 BGB war die Beklagte verpflichtet, der Klägerin den nicht autorisierten Zahlungsvorgang spätestens bis zum Ende des Geschäftstags zu erstatten, der auf den Tag folgt, an welchem der Beklagten angezeigt wurde, dass der Zahlungsvorgang nicht autorisiert war. Die Klägerin teilte der Beklagten bereits am 22.06.2022 mit, dass sie die streitgegenständliche Überweisung nicht autorisiert hatte. Der Zahlungsvorgang wäre daher bis zum Ende des 23.06.2022 zu erstatten gewesen. Ab dem 24.06.2022 befand sich die Beklagte daher mit der Erstattung in Verzug gemäß § 286 Abs. 1, Abs. 2 Nr. 2 BGB.

3. Die Klägerin hat auch Anspruch auf Ersatz der außergerichtlichen Rechtsanwaltsgebühren in Höhe von 1.583,89 € aus § 286 Abs. 1, Abs. 2 Nr. 2 BGB. Die Beklagte befand sich seit dem 24.06.2022 und damit bereits zum Zeitpunkt der Beauftragung des Rechtsanwalte mit der Erstattung der Überweisung in Verzug (s.o.). Aufgrund ausbleibenden Erstattung durch die Beklagte durfte die Klägerin die Beauftragung des Rechtsanwaltes auch für erforderlich halten.

Auch diese Forderung ist gemäß §§ 288 Abs. 1, 286 Abs. 1 BGB mit fünf Prozentpunkten über dem Basiszinssatz seit dem 01.09.2022 zu verzinsen. Die Klägerin hat die Beklagte mit Schreiben vom 19.08.2022 unter Fristsetzung bis zum 31.08.2022 erfolglos zur Zahlung der Rechtsanwaltsgebühren in Höhe von 1.583,89 € aufgefordert. Die Beklagte befand sich daher seit dem 01.09.2022 mit der Zahlung in Verzug.

II. Die Kostenentscheidung beruht auf § 91 Abs. 1 S. 1 ZPO. Die Entscheidung über die vorläufige Vollstreckbarkeit beruht auf § 709 S. 1 und 2 ZPO.

III. Die Streitwertfestsetzung beruht auf § 3 ZPO.