Wer ihm zugeschickte SMS-TANs im Rahmen einer Sicherheitsüberprüfung an Dritte weitergibt, handelt grob fahrlässig und kann sich nicht bei der Bank schadlos halten, wenn Betrüger damit Geld vom Konto abbuchen. Das hat das AG München im Fall einer Frau entschieden, die eine TAN zur Aktivierung des Mastercard 3D-Secure-Verfahrens weitergegeben hatte (Urteil vom 08.01.2025 – 271 C 16677/24).
Der Ehemann der Frau hatte am 6. Januar 2024 eine Reise im Internet buchen wollen. Dazu hatte er die Kreditkartendaten seiner Frau auf einer Homepage eingegeben, die er für das Vergleichsportal Check24 hielt. Kurz darauf erschienen mehrere Mitteilungen über vorgemerkte Beträge. Die Frau veranlasste noch am selben Abend die Sperrung der Kreditkarte. Am 8. Januar 2024 wurden sechs unberechtigte Abbuchungen zu je 318,99 Euro für Giftcards vom Konto der Frau vorgenommen, insgesamt 1.953,29 Euro.
Zur Autorisierung der Transaktionen benutzten die Betrüger das Mastercard 3D-Secure-Verfahren. Die Bank übersandte am 6. Januar 2024 eine SMS-TAN an die hinterlegte Mobilfunknummer der Frau, die zur Aktivierung des Verfahrens auf einem neuen Gerät eingegeben wurde. Die Frau behauptete, sie habe die Abbuchungen nicht autorisiert und keine SMS-TAN eingegeben und forderte von der Bank ihr Geld zurück.
AG: Frau muss TAN weitergegeben haben
Die Bank argumentierte, dass die Frau die SMS-TAN an Dritte weitergegeben haben müsse, da eine Freigabe der Buchungen anders technisch nicht möglich sei. Das Gericht folgte dieser Argumentation und sah die Weitergabe der SMS-TAN als grob fahrlässig an. Es sei technisch zwingend erforderlich gewesen, die SMS-TAN einzugeben, um das neue Gerät im Online-Banking der Frau als Freigabeinstrument zu hinterlegen.
Das AG stellte fest, dass die Frau durch die Preisgabe der SMS-TAN Dritten die Registrierung eines Geräts ermöglicht habe, was gemäß den vertraglichen Bestimmungen untersagt war. Die Weitergabe eines Zugangscodes im Rahmen einer Zwei-Faktor-Autorisierung sei nicht mit der Offenbarung von Kreditkartendaten gleichzusetzen. Die Preisgabe der SMS-TAN habe die Sicherheitsarchitektur grundlegend ausgehebelt.
Das Verhalten der Frau bewertete das Gericht als grob fahrlässig. Es müsse allen verständigen Nutzerinnen und Nutzern klar sein, welches Risiko mit der Weitergabe solcher Daten verbunden sei. Die Frau habe möglicherweise nicht bewusst gehandelt, doch der Vorgang lasse sich plausibel nicht anders erklären.
Das Urteil ist noch nicht rechtskräftig.
