Gericht hält Zwei-Faktor-Authentifizierung beim Online-Banking für zu unsicher

Die Zwei-Faktor-Identifizierung gilt als besonders sicher und wird daher auch regelmäßig fürs Online-Banking verwendet. Doch wenn für die Identifizierung kein extra Gerät, sondern lediglich eine andere App verwendet wird, besteht ein erhöhtes Gefährdungspotenzial, entschied das Landgericht Heilbronn jüngst in einem Urteil (Bm 6 O 10/23). 

In dem Fall, den das Landgericht Heilbronn zu entscheiden hatte, klagte ein Kunde einer Bank auf die Rückzahlung von rund 8.400 Euro. Er wurde Opfer eines Betrügers, der sich per Telefon als Mitarbeiter der Bank ausgegeben hatte.  

TAN-Weitergabe per Telefon

Der Kläger war von einem vermeintlichen Bankmitarbeiter angerufen worden, der unter Vortäuschung falscher Tatsachen dafür sorgte, dass der Kläger ihm mehrere TAN-Nummern über das Telefon weitergab. Der Anrufer behauptete, dass das Überweisungslimit des Kontos erhöht worden sei und zwei Zahlungen vorgenommen wurden, was der Kläger ihm glaubte. Mit den TAN-Nummern würde er die Überweisung wieder rückgängig machen, so der Anrufer zum Kläger. In Wahrheit nahm der Betrüger allerdings Abbuchungen in Höhe von 8.400 Euro vor. 

Der Kläger verlangte daraufhin von der Bank die Summe zurück, da er der Auffassung war, der Betrüger sei nur durch ein Datenleck der Bank an die Login-Daten zu seinem Online-Banking Account gelangt. Denn zusätzlich zu den TAN-Nummern musste der Betrüger sich in das Banking-Portal des Klägers einloggen. 

Das Gericht wies die Klage allerdings ab, da es das Verhalten des Klägers als grob fahrlässig einstufte. Das Gericht führte dazu aus: „Dabei leuchtet jedem ein, dass Online-Banking eben nur online erfolgt, gerade nicht telefonisch oder schriftlich, egal, wer sich am Telefon wegen angeblicher Maßnahmen meldet.“

Hohes Gefährdungspotenzial

Das Gericht führte allerdings auch aus, dass eine Zwei-Faktor-Identifizierung, bei der kein zweites Gerät, sondern lediglich eine zweite App verwendet wird, ein hohes Gefährdungspotenzial aufweist. Denn die besondere Sicherheit einer Zwei-Faktor-Identifizierung entsteht gerade durch die Trennung der Kommunikationswege. Sind beide Apps auf dem Smartphone installiert, liegt gerade keine Trennung der Kommunikationswege vor. 

Diese Einschätzung kann in anderen Betrugsfällen zu einer früheren Haftung der Banken führen, wenn nicht, wie in diesem Fall, eine grob fahrlässige Handlung des Geschädigten vorliegt.