Über viele Jahre hinweg galt im deutschen Recht ein einfacher Grundsatz, sobald Kundinnen und Kunden im Internet zu Schaden kamen. Wer sich am Computer einloggte, eine Überweisung freigab oder eine Transaktionsnummer eintippte, trug die Verantwortung für sein Handeln selbst. 

Diese Sichtweise wirkte lange überzeugend, weil sie davon ausging, dass ein aufmerksamer Mensch einen Betrugsversuch im Zweifel erkennen kann. Die Realität der heutigen Cyberkriminalität sieht jedoch anders aus, und genau deshalb beginnt sich die Rechtsprechung gerade spürbar zu wandeln.

Wie weit professionelle Täter inzwischen gehen, zeigt ein Fall, über den das Landgericht Berlin II Ende April entschieden hat. Eine Kundin der Apobank wurde Opfer einer Betrugskampagne, die aus mehreren sorgfältig abgestimmten Bausteinen bestand. Zunächst erhielt sie einen Brief, der täuschend echt im Namen ihrer Bank verfasst war und die baldige Einrichtung einer Zwei-Faktor-Authentifizierung ankündigte. 

Als sie sich später wie gewohnt über ihre gespeicherte Lesezeichenleiste einloggte, erschien tatsächlich eine entsprechende Aufforderung, sodass nichts ungewöhnlich wirkte. Kurz darauf rief eine vermeintliche Bankmitarbeiterin an, und das unter der offiziellen Rufnummer des Instituts, weshalb auch dieser Kontakt absolut glaubwürdig erschien. Die Anruferin kannte sogar Einzelheiten zu weiteren Konten der Frau, womit sie den letzten Zweifel zerstreute.

Die Klägerin fotografierte lediglich einige Codes vom Bildschirm ab, ohne PINs oder Transaktionsnummern aktiv an die Anruferin weiterzugeben. Trotzdem gelang es den Tätern, mehr als 200.000 Euro zu erbeuten. Entscheidend ist nun, wie das Gericht dieses Verhalten bewertete, denn die Richterinnen und Richter stellten klar, dass von grober Fahrlässigkeit keine Rede sein kann, wenn ein Mensch in eine derart perfekt inszenierte Täuschung gerät. 

Sobald Brief, Internetseite und Telefonanruf lückenlos ineinandergreifen, fehlt schlicht der Anhaltspunkt, an dem ein Betrug überhaupt auffallen könnte. Sollten Sie sich also fragen, ob Sie eine solche Masche durchschaut hätten, dürfen Sie ehrlich an sich zweifeln, weil genau darauf die Angreifer ihr gesamtes Vorgehen aufbauen.

Besonders bemerkenswert sind die Überlegungen, die das Gericht über den konkreten Fall hinaus angestellt hat. Während die Kundin sich von ihrem gewohnten Anschluss aus einloggte, registrierten die Täter zur gleichen Zeit ein neues Gerät, und das über eine völlig andere IP-Adresse sowie einen anderen Anbieter. Diese Ungereimtheit hätte einer automatisierten Sicherheitsprüfung auffallen müssen, weil zwei derart unterschiedliche Zugänge im selben Moment kaum zu einer einzigen Person passen. 

Die Bank ließ die Verknüpfung des neuen Geräts dennoch zu, ohne ausreichend zu prüfen, ob die Kundin dieses Gerät tatsächlich besaß. Das Gericht erkennt darin eine technische Pflicht, die viele Finanzhäuser bislang zu wenig ernst genommen haben, zumal die nötigen Daten in den Protokolldateien meist vollständig vorliegen.

Das Berliner Urteil steht nicht allein, sondern fügt sich in eine Linie ein, der auch andere Gerichte folgen. So hat das Oberlandesgericht Koblenz kürzlich entschieden, dass selbst das Anklicken eines Links und das Eingeben von Transaktionsnummern nicht automatisch leichtfertig ist, sofern die Betrugsmasche eine glaubwürdige Kette von Interaktionen aufbaut. Für Sie als Verbraucherin oder Verbraucher bedeutet diese Entwicklung, dass die Verantwortung für Sicherheit im Netz zunehmend geteilt wird. Der Gedanke reicht allerdings noch weiter, weil Phishing längst nicht nur Privatleute trifft. 

Gerade Freiberufler, Selbständige und mittelständische Unternehmen erleiden besonders hohe Einzelschäden, zumal moderne Banking-Anwendungen geschäftliche und private Konten immer stärker miteinander vermischen. Pflichten zur Überwachung verdächtiger Vorgänge betreffen zudem zahlreiche Branchen jenseits der Finanzwelt, weshalb das Urteil als Weckruf für die gesamte Wirtschaft verstanden werden sollte. Wenn Sie selbst digitale Dienste anbieten, werden Sie künftig genauer prüfen müssen, ob Ihre Schutzmechanismen mit der Professionalität der Angreifer überhaupt noch Schritt halten.

Prof. Dr. Dennis-Kenji Kipker forscht und berät als Direktor des cyberintelligence.institute international zu Cybersicherheit, digitaler Resilienz sowie IT-Recht in China und den USA. Er ist Teil unseres Expertennetzwerks EXPERTS Circle.