Betrüger im Internet bauen meistens auf die Gutgläubigkeit und Fahrlässigkeit ihrer Opfer. Ein Ehepaar aus Aying im Landkreis München hat sich sogar derart grob fahrlässig um 4444,44 Euro bringen lassen, dass selbst eine Klage gegen die eigene Bank nichts mehr nutzte: Laut Gericht ist das Ehepaar selbst schuld, dass es auf eine sogenannte Phishing-Mail hereingefallen ist - und wird nun mit dem Verlust des Geldes leben müssen.
Angefangen hatte es mit einer Mail am 12. Mai 2014, der Absender hatte sich als Hypovereinsbank ausgegeben. Die angebliche Bank teilte der Ehefrau aus Aying mit, dass der Zugang zum Online-Banking bald ablaufe, sofern eine Synchronität der Sepa-Umstellung im Zugang nicht aktualisiert werde. Sie solle deshalb einen Link zur manuellen Aktualisierung des Zugangs anklicken. Die Frau glaubte, was da stand, und tat, wie ihr geheißen.
Trotz vieler Pannen vertraut die Mehrheit der Kunden in die IT-Sicherheit von Banken. Experten sind weniger zuversichtlich.
Auf der Webseite, zu der der Link führte, gab sie dann ihren Namen, ihre Kontonummer sowie ihre Festnetznummer an. Die Betrüger nutzten ihre Chance: Bereits einen Tag später erhielt die Ehefrau des Klägers einen Anruf von einer Frau, die sich als Bankmitarbeiterin ausgab. Sie wies ihre Gesprächspartnerin an, sich Nummern und Buchstaben zu notieren und dann die letzte Ziffernfolge in einer SMS, die ihr sogleich gesendet werde, über das Telefon durchzugeben.
Die Inhalt der SMS: "Die mobile TAN für Ihre Überweisung von 4444,44 Euro auf das Konto ... mit BIC ... lautet: 253844". Die Ziffernfolge am Ende der SMS war eine gültige Transaktionsnummer, die Frau gab sie arglos weiter - und die Betrüger überwiesen sich das Geld auf ihr eigenes Konto.
Wenige Tage später wurde die Ehefrau skeptisch, ließ das Konto sperren und stellte Strafanzeige gegen Unbekannt. Allerdings blieben die Versuche, den Betrag zurückzuholen, erfolglos. Die Bank jedoch weigerte sich, den Schaden zu ersetzen, woraufhin das Ehepaar vor dem Amtsgericht München klagte. Der Richter allerdings ließ keinen Zweifel, dass die Ehefrau selbst schuld sei am Verlust des Geldes - der Bank jedenfalls sei kein Vorwurf zu machen.
Beim mobilen TAN-Verfahren werde eine Transaktionsnummer stets für eine konkrete Aktion, vor allem für eine Überweisung erzeugt und per SMS auf das Telefon des Kunden gesendet, so der Richter. Die SMS enthalte aber auch Informationen, welche Transaktionen abgeschlossen werden sollen. In der Kurznachricht sei eindeutig zu erkennen gewesen, dass eine Überweisung von 4444,44 Euro anstehe.
"Beachtet ein Kunde diese deutlichen Hinweise nicht und gibt die TAN an einen Dritten weiter, der damit dann eine Überweisung durchführt", urteilt das Gericht, "liegt hierin kein bloß einfach fahrlässiger Pflichtenverstoß mehr." Es hätte jedem einleuchten müssen, dass es sich um eine TAN handle, die rein vertraglich gar nicht weitergegeben werden dürfe - und die die Gefahr mit sich bringe, eine betrügerische Überweisung auszulösen.