Betrüger hebeln Zwei-Faktor-Authentifizierung aus
Die Deutsche Bank warnt auf ihrer Webseite u.a. vor Phishing-E-Mails und Phishing-SMS. Durch Phishing („Abfischen“), gelangen die Betrüger mittels täuschend echt aussehender E-Mails oder SMS meist über einen Link an Zugangsdaten zum Onlinebanking.
Die Bankkund:innen werden unter einem Vorwand aufgefordert, auf einen Link zu klicken. Dann werden sie größtenteils auf eine gefälschte Webseite geleitet. Diese sieht auf den ersten Blick haargenau so aus, wie die der Deutschen Bank. Dort sollen die Betroffenen ihre Zugangsdaten eingeben.
Die „abgefischten“ Zugangsdaten allein genügen den Tätern zwar noch nicht, denn sie benötigen noch den zweiten Faktor. Den beschaffen sie sich, indem sie vorgaukeln, die betroffenen Kund:innen müssten ihre App „erneuern“ oder eine Freigabe für das Log-in erteilen. In Wahrheit aktivieren die Betroffenen ein neues Sicherheitsverfahren, mit dem die Betrüger dann selbst Überweisungen vornehmen können.
„Sie sind Opfer von Onlinebanking-Betrug? Wir prüfen Ihren Fall. Setzen Sie auf unsere technische und rechtliche Erfahrung.“
Nachricht von der Kundenbetreuung
Die Gründe, mit denen die Betroffenen auf die gefälschte Webseite gelockt werden, sind mehr oder weniger austauschbar. Eine weitere Spielart, vor der die Deutsche Bank warnt, ist etwa die angebliche Nachricht eines „persönlichen Kundenbetreuers“. Hierbei fordern Täter dazu auf, die Kontakt- und Zugangsdaten online anzugeben. Den Betroffenen wird dabei angedroht, dass sie kostenpflichtig per Einschreiben dazu aufgefordert werden, wenn Sie der Aufforderung nicht nachkommen. Auch bei dieser Nachricht handelt es sich um eine Phishing-E-Mail.
In einem anderen Fall täuschen die Täter unter dem Vorwand einer „Online-Prüfung auf Geldwäsche“ vor, dass Funktionen ihres Kontos vorübergehend eingeschränkt seien und das Konto geprüft werden müsse. Betroffene Kund:innen werden in einer E-Mail aufgefordert, ihre Kontaktinformationen zu aktualisieren, da erst nach einem „erfolgreichen Update“ der Kontaktinformationen ihr Account wieder nutzbar wäre. Teilweise wird auch versucht, unter dem Vorwand einer IT-Umstellung an Daten zu gelangen.
Nachfolgend ein Beispiel von Phishing-SMS, die auch in Form einer E-Mail versendet werden können:
Eine Variante ist der Anruf eines angeblichen Bankmitarbeiters, der unter einem Vorwand die Bankkund:innen zur Freigabe von Überweisungsaufträgen bringt. Dabei nutzen die Täter den Umstand, dass es sehr leicht ist, die Telefonnummer, mit der sie anrufen, zu manipulieren. Es erscheint die Nummer der Kundenbetreuung der Deutschen Bank im Display (sog. Call-ID-Spoofing). Dies soll Vertrauen erwecken. Ist eine Kundin misstrauisch, verweist der Täter am anderen Ende der Leitung teilweise sogar darauf, man solle die Nummer auf der Webseite der Bank überprüfen. Das Ziel ist: Die Betroffenen in der Leitung zu halten und zu verhindern, dass sie auflegen oder sogar die Nummer zurückrufen.
„Tunnelblick“ durch vermeintlichen Zeitdruck
Allen Betrugsmaschen gemeinsam ist, dass sie versuchen, bei den Kund:innen eine Art „Tunnelblick“ auszulösen, durch den sie Warnanzeichen übersehen. Dies geschieht durch eine Kombination von
- vermeintlichem Zeitdruck,
- angeblich drohenden Nachteilen
- der Behauptung, die Kund:innen müssten handeln
Aus der psychologischen Forschung ist bereits lange bekannt, dass Menschen in derartigen Drucksituationen nur schwer in der Lage sind, die Situation kritisch zu hinterfragen.
Onlinebanking-Betrug bemerkt – Was nun?
Unmittelbar nach Entdeckung der betrügerischen Abbuchungen sollten Sie als Erstes die Bank hierüber informieren. Teilen Sie mit, dass Sie die Abbuchungen nicht autorisiert haben und fordern Sie die Bank zur Erstattung auf.
Im Anschluss sperren Sie Ihr Onlinebanking entweder mithilfe der Bank oder in Eigenregie durch mehrfaches falsches Eingeben Ihrer PIN.
Als weitere Maßnahme empfehlen wir die Kontaktaufnahme mit der Empfängerbank. Auch diese sollte über den Betrug informiert werden. Wenn Ihr Geld noch dort liegt, kann es unter Umständen von der Empfängerbank gesichert werden.
Zuletzt erstellen Sie ein Gedächtnisprotokoll und erstatten Strafanzeige bei der Polizei.
Vermeiden Sie Nachteile durch frühzeitige Beratung!
Machen Sie es der Bank nicht zu leicht, die Übernahme des Schadens abzulehnen. Unbedachte Äußerungen gegenüber dem Kundenservice oder der Polizei können dazu führen, dass Sie es in einem späteren Gerichtsverfahren schwerer haben, Ihre Ansprüche durchzusetzen. Deshalb sollten Sie frühzeitig einen Rechtsanwalt für IT-Recht hinzuziehen.
Haftet die Bank für den Schaden?
Da man der meist im Ausland sitzenden Täter in der Regel nicht habhaft wird, stellt sich die Frage, ob ein Erstattungsanspruch gegen die Bank besteht. Dies ist bei nicht autorisierten Abbuchungen grundsätzlich zu bejahen.
Rechtlich vermittelt § 675 u BGB geschädigten Bankkund:innen in solchen Fällen einen Erstattungsanspruch. Die Bank will sich dann häufig darauf berufen, die Betroffenen hätten ihre Sorgfaltspflichten verletzt. Sie hätten durch ihr Handeln grob fahrlässig zur Entstehung des Schadens beigetragen. Nach § 675 v Abs. 3 BGB gilt, dass die Bank dann nicht haftet, wenn dem Bankkunden bei der Entstehung des Schadens grobe Fahrlässigkeit vorzuwerfen ist.
Wann liegt grobe Fahrlässigkeit vor?
Grobe Fahrlässigkeit bedeutet, dass die beim Onlinebanking erforderliche Sorgfalt in besonders schwerem Maße verletzt wurde. Die Gerichte gehen davon aus, wenn sich den Betroffenen hätte aufdrängen müssen, dass ein Betrug vorliegt. Die Weitergabe von TANs am Telefon kann etwa grob fahrlässig sein, aber nicht in jedem Fall. Es kommt hier immer auf die Details des Einzelfalls an.
Die Weitergabe von Zugangsdaten über eine Phishing-E-Mail und die Freigabe von Überweisungsaufträgen wird von den Gerichten tatsächlich häufig als grob fahrlässig eingestuft. Ob den Betroffenen wegen einer cleveren Betrugsmasche eine Verletzung ihrer Pflichten anzulasten ist, muss aber immer genau analysiert werden. Denn Onlinebanking-Schadensfälle sind komplex.
Wenn der Vorwurf grober Fahrlässigkeit tatsächlich gemacht werden kann, kann ein Erstattungsanspruch dennoch bestehen, wenn der Bank ein Mitverschulden vorzuwerfen ist. Dies ist allgemein gesprochen dann der Fall, wenn derart untypische Kontobewegungen vorliegen, sodass der Schluss auf betrügerisches Handeln zu ziehen und die Bank dies hätte bemerken und rechtzeitig stoppen müssen.
Zudem kann die Bank eine Pflichtverletzung begehen, wenn sie nicht rechtzeitig einen Recall bei der Empfängerbank einleitet. Sobald die Betroffenen die Deutsche Bank informieren, dass ein Betrug vorliegt, muss die Bank sofort tätig werden, um den Eintritt des Schadens doch noch zu verhindern.
Akteneinsicht bei den Ermittlungsbehörden erforderlich
Ob die Bank rechtzeitig gehandelt hat und ob der Schaden bei einer schnellen Reaktion hätte vermieden werden können, lässt sich zumeist anhand einer Akteneinsicht bei den Ermittlungsbehörden feststellen. Voraussetzung ist, dass Sie frühzeitig auf die Ermittlungen einwirken, denn die Behörden müssen auch die richtigen Informationen von den Empfängerbanken anfordern. Eine umfassende Akteneinsicht kann durch eine Anwaltskanzlei erfolgen.
Wie hilft eine Kanzlei für IT-Recht?
Anders als bei Kanzleien für Bank- und Kapitalmarktrecht, ist der Umgang mit technischen Sachverhalten Teil der täglichen Arbeit in einer Kanzlei für IT-Recht. Entsprechend prüfen wir die Erfolgsaussichten des jeweiligen Einzelfalls rechtlich und auch technisch für Sie.
Wenn wir einen Ansatz sehen, schreiben wir die Bank zunächst außergerichtlich an und fordern diese zur Erstattung auf. Wenn sich die Bank endgültig weigert, ist der Gang zum Gericht ratsam.
In jedem Verfahrensabschnitt kann ein Vergleich mit der Bank geschlossen werden. Hier einigt man sich gegebenenfalls auf eine Schadensquotelung. Dieses Vorgehen ergibt Sinn, wenn – wie häufig – beide Seiten ihren Anteil an der Schadensentstehung haben. Ein Vergleich hat zudem den Vorteil, dass die Fortsetzung eines ggf. langwierigen Gerichtsverfahrens vermieden wird und zumindest ein Teil des Geldes sicher und schnell an Sie zurückfließt.
Schreiben Sie einen Kommentar