BUNDESGERICHTSHOF IM NAMEN DES VOLKES URTEIL XI ZR 96/11 Verkündet am: 24. April 2012 Herrwerth, Justizangestellte als Urkundsbeamtin der Geschäftsstelle in dem Rechtsstreit Nachschlagewerk: ja BGHZ: nein BGHR: ja BGB § 276 Cc Ein Bankkunde, de r im Online - Banking Opfer eines Pharming - Angriffs wird, handelt fahrlässig, wenn er beim Log - In - Vorgang trotz ausdrücklichen Warnhinweises gleic h- zeitig zehn TAN eingibt. BGH, Urteil vom 24. April 2012 - XI ZR 96/11 - LG Düsseldorf AG Düsseldorf - 2 - Der X I. Zivilsenat des Bundesgerichtshofes hat auf die mündliche Verhandlung vom 24. April 2012 durch den Vorsitzenden Richter Wiechers und die Richter Dr. Joeres, Dr. Ellenberger, Dr. Matthias und Pamp für Recht erkannt: Die Revision des Klägers gegen das Urt eil der 23. Zivilkammer des Landgerichts Düsseldorf vom 19. Januar 2011 wird auf seine Kosten zurückgewiesen. Von Rechts wegen Tatbestand: Der Kläger nimmt die beklagte Bank wegen einer von ihr im Online - Banking ausgeführten Überweisung von 5.000 e- trages in Anspruch. Der Kläger unterhält bei der Beklagten ein Girokonto und nimmt seit 2001 am Online - Banking teil. Für Überweisungsaufträge verwendet di e Bekla g- te das sog. iT AN - Verfahren, bei dem der Nutzer nach Erhalt des Zugangs durch Eingabe einer korrekten persönlichen Identifikationsnummer (PIN) dazu aufg e- fordert wird, eine bestimmte, durch eine Positionsnummer gekennzeichnete (indizierte) Transaktio nsnummer (TAN) aus einer ihm vorher zur Verfügung g e- stellten , durchnummerierten TAN - Liste einzugeben . Vertragliche Grundlage des Online - Bankings sind die " Sonderbedingungen für die konto - /depotbezogene 1 2 - 3 - Nutzung des Online - Banking mit PIN und TAN " (Stand Dezember 2007; im Folgenden: AGB) , die u.a. folgende Bedingungen enthalten : " 7 Finanzielle Nutzungsgrenze Der Nutzer darf Verfügungen nur im Rahmen des Kontoguthabens oder eines vorher für das Konto eingeräumten Kredits vornehmen. Auch wenn der Nutz er diese Nutzungsgrenze bei seinen Verfügungen nicht einhält, ist das Kreditinstitut berechtigt, den Ersatz der Aufwendungen zu verla n- gen, die aus der Nutzung des Online - Banking entstehen. Die Buchung solcher Verfügungen auf dem Konto führt lediglich zu ei ner geduldeten Überziehung; das Kreditinstitut ist berechtigt, in diesem Fall den höheren Zinssatz für geduldete Kontoüberziehungen zu verlangen. 8 Sorgfalts - und Mitwirkungspflichten Der Nutzer hat dafür Sorge zu tragen, dass keine andere Person Kenn t- nis von der PIN und den TAN erlangt. Jede Person, die die PIN und falls erforderlich - eine TAN kennt, hat die Möglichkeit, das Online - Banking - Leistungsangebot zu nutzen. Sie kann z.B. Aufträge zulasten des Kontos/Depots erteilen. Insbesondere Folgendes ist zur Geheimha l- tung der PIN und TAN zu beachten: Die technische Verbindung zum Online - Banking - Angebot des Kreditinst i- tuts ist nur über die vom Kreditinstitut gesondert mitgeteilten Online - Banking - Zugangskanäle herzustellen. " In der Mitte der Log - In - Sei te des Online - Bankings der Beklagten befand sich vo m 10. September 2008 bis zum 28. Juli 2009 folgender Hinweis: " Derzeit sind vermehrt Schadprogramme und sogenannte Phishing - Mails in Umlauf, die Sie auffordern, mehrere Transaktionsnummern oder gar Kreditk artendaten in ein Formular einzugeben. Wir fordern Sie niemals auf, mehrere TAN gleichzeitig preiszugeben! Auch werden wir Sie ni e- mals per E - Mail zu einer Anmeldung im Banking auffordern! " 3 - 4 - Am 26. Januar 2009 um 18.10 Uhr wurde vom Girokonto d es Klägers nach Eingabe seiner PIN und einer korrekten TAN ein Betrag von 5.000 ein Konto bei einer griechischen Bank überwiesen. Am selben Tag kam es vom Konto eines anderen Kunden der Beklagten zu einer Überweisung eines Betr a- ges von 7.000 asselbe griechische Konto, was der betreffende Kunde am 26. Januar 2009 um 20.15 Uhr bei der Polizei zur Anzeige brachte. Am 29. Januar 2009 erstattete der Kläger Strafanzeige und gab Folgendes zu Pr o- tokoll: " Im Oktober 2008 - das genaue Datum weiß ich nic ht mehr - wollte ich ins Online - banking. Ich habe das Online - banking der Bank ang e- klickt. Die Maske hat sich wie gewohnt aufgemacht. Danach kam der Hinweis, dass ich im Moment keinen Zugriff auf Online - banking der Bank hätte. Danach kam eine Anweisung zehn Tan - Nummern einzugeben. Die Felder waren nicht von 1 bis 10 durchnummeriert, so n- dern kreuz und quer. Ich habe dann auch die geforderten Tan - Nummern, die ich schon von der Bank hatte, in die Felder chronologisch eingetr a- gen. Danach erhi elt ich dann Zugriff auf mein Online - banking. Ich habe dann unter Verwendung einer anderen Tan - Nummer eine Überweisung getätigt. " Das Ermittlungsverfahren wurde eingestellt, da ein Täter nicht ermittelt werden konnte. Auf dem Kontoauszug vom 29. Januar 2 009 findet sich hinter dem Wort " Limit " die Eintragung " 4.500 " . Die Überweisung führte zu einem Sol l- saldo von 4.315,73 Der Kläger behauptet, er habe die Überweisung von 5.000 n- lasst. Die Beklagte ist der Auffassung, der Beweis des ersten A nscheins spr e- che dafür, dass der Kläger einen entsprechenden Überweisungsauftrag erteilt habe. Jedenfalls stehe ihr ein Schadensersatzanspruch zu, weil der Kläger durch die Offenbarung von zehn TAN seine Sorgfaltspflichten verletzt habe. 4 5 6 - 5 - Die Klage auf Z ahlung von 5.000 Kosten ist in den Vorinstanzen erfolglos geblieben. Mit der vom Berufungsg e- richt zugelassenen Revision verfolgt der Kläger seinen Klageantrag weiter. Entscheidungsgründe: Die Revision ist unbegründet. I. Das Berufungsgericht hat zur Begründung seiner Entscheidung im W e- sentlichen ausgeführt: Der Kläger habe gegen die Beklagte keinen Anspruch aus §§ 675 Abs. 1, 676f aF, 667 BGB. Hierbei könne dahinstehen, ob der Kläger die Überweisung selbst getätigt habe und hierfür wegen Eingabe der korrekten PIN und TAN ein Anscheinsbeweis spreche. W enn er die Überweisung nicht selbst in Auftrag gegeben habe, habe die Beklagte mit einem Schadensersatzanspruch in gle i- cher Höhe aus § 280 Abs. 1 BGB aufgerechnet. Der K läger habe entgegen Nr. 8 der wirksam einbezogenen Sonderb e- dingungen der Beklagten einer dritten Person fahrlässig Kenntnis von den TAN verschafft, indem er im Oktober 2008 auf eine Aufforderung hin zehn chronol o- gische TAN in vorgegebene Felder eingetragen habe. Auch wenn auf dem Bil d- schirm die übliche Maske für das Online - Banking der Beklagten zu sehen g e- wesen sei und es insoweit keine optischen Auffälligkeiten gegeben habe, habe 7 8 9 10 11 - 6 - sich dem Kläger aufdrängen müssen, dass er Opfer eines sog. Phishing - Angriffs werde. Infolge der Aufforderung zur Eingabe mehrerer TAN sei für ihn erkennbar gewesen, dass ein Dritter und nicht die Beklagte tätig werde und er diesem Dritten mit der Eingabe Kenntnis von den TAN verschaffe. Es sei im Herbst 2008 schon durch Warnungen in den Medien allgemein bekannt gew e- sen, dass die Anfrage mehrerer TAN auf ein Phishing hindeute. Zudem habe die Beklagte den Kläger im Oktober 2008 ausdrücklich, gut verständlich und an hervorgehobener, sofort im Blickfeld befindlicher Stelle auf der Log - In - Seite d a- rauf hingewiesen, dass sie ihre Kunden niemals auffordere, mehrere TAN gleichzeitig preiszugeben und vermehrt Schadprogramme in Umlauf seien, die genau das verlangten. Der Beklagten sei auch kein Mitverschulden gemäß § 254 Abs. 1 BGB anzulast en. Das von der Beklagten verwendete iTAN - Verfahren bedeute g e- genüber dem normalen TAN - Verfahren eine zusätzliche Absicherung, die j e- denfalls im Jahr 2008 dem Stand der Technik entsprochen habe. Der Kläger s ei über seine Pflicht zur Geheimhaltung der PIN u nd TAN ausreichend informiert worden. Die Beklagte sei nicht verpflichtet gewesen, den Kläger vor Ausführung der Überweisung zu warnen. Nur in Ausnahmefällen bestehe für ein Kreditinst i- tut eine Warnpflicht, etwa wenn es aufgrund massiver Anhaltspunkte den Ve r- dacht hege, dass ein Kunde bei der Teilnahme am bargeldlosen Zahlungsve r- kehr durch eine Straftat einen anderen schädigen wolle. Die Bank müsse aber weder generell Kontobewegungen überwachen noch prüfen, ob die Abwicklung eines Zahlungsverkehrsvorgangs R isiken für einen Beteiligten berge. Da eine Auslandsüberweisung in Höhe von 5.000 o- sen Zahlungsverkehrs nicht ungewöhnlich und die Überweisung von 7.000 vom Konto eines anderen Kunden der Beklagten auf dasselbe griechische Ko n- to erst nach Ausführung der streitgegenständlichen Überweisung bekannt g e- 12 - 7 - worden sei, h ätten d er Beklagte n keine konkreten Verdachtsmomente vorgel e- gen , die eine Pflicht zur Rückfrage hätten begründen können. Der Vortrag des Klägers, die Beklagte habe ihm einige Monate vor der streitgegenständlichen Überweisung einen Kredit in Höhe von 2.000 i- gert, rechtfertige keine andere Beurteilung. Aus dem Kontoauszug vom 29. Januar 2009 ergebe sich, dass die Beklagte dem Kläger einen Disposition s- kredit von 4.500 5.000 unter diesem Gesichtspunkt keine Pflicht der Beklagten zur Überprüfung der Übe r- weisung bestanden habe. II. Diese Ausführ ungen halten rechtlicher Überprüfung stand, so dass die Revision zurückzuweisen ist. Dem Kläger steht kein Anspruch auf Zahlung von 5.000 700 Abs. 1 Satz 1, § 488 Abs. 1 Satz 1 BGB (vgl. Senatsurteil vom 11. Oktober 2005 - XI ZR 85/04, BGHZ 1 64 , 275 , 278 ) zu, da ein solcher , falls er mangels eines Überweisungsauftrags des Klägers bestanden hat, jedenfalls durch die Aufrechnung der Beklagten mit einem ihr in gleicher Höhe zustehenden Sch a- densersatzanspruch aus § 280 Abs. 1 BGB gemäß § 389 BGB e rloschen ist. 1 . Rechtsfehlerfrei hat das Berufungsgericht einen gemäß § 280 Abs. 1 BGB zum Schadensersatz verpflichtenden (einfach) fahrlässigen Sorgfaltsve r- stoß des Klägers darin gesehen, dass er im Oktober 2008 beim Log - In - Vorgang, also nicht in Bezu g auf einen konkreten Überweisungsvorgang , trotz ausdrücklichen Warnhinweises gleichzeitig zehn TAN eingegeben hat. 13 14 15 16 - 8 - a) Nach der ständigen Rechtsprechung des Bundesgerichtshofs trägt im Überweisungsverkehr zwar regelmäßig die Bank und nicht der Kunde das Ris i- ko, dass Überweisungsaufträge gefälscht oder inhaltlich verfälscht werden (S e- natsurteil vom 17. Juli 2001 - XI ZR 325/00, WM 2001, 1712, 1713 mwN). Dem Bankkunden kommt jedoch die girovertragliche Pflicht zu, die Gefahr einer Fä l- schung soweit wie mögl ich auszuschalten (Senatsurteile vom 11. Oktober 1994 - XI ZR 238/93, WM 1994, 2073, 2074 und vom 17. Juli 2001 - XI ZR 325/00, WM 2001, 1712, 1714). Mangels anderweitiger vertraglicher Ausgesta l tung des Haftungsmaßstabes genügte nach der vor dem 31. Oktob er 2009 ge l tenden Rechtslage , die das Berufungsgericht seiner Entscheidung zutreffend zugrunde gelegt hat (Art. 229 § 22 Abs. 1 Satz 2 EGBGB) , gemäß § 276 Abs. 1 Satz 1 BGB für ein haftungsbegründendes Verschulden des Bankkunden daher rege l- mäßig einfache F ahrlässigkeit (vgl. MünchKommBGB/Casper, 5. Aufl., § 676a Rn. 20; Karper, DuD 2006, 215, 216; Kind/Werner, CR 2006, 353, 354 ). b) Entgegen der Ansicht der Revision ergibt sich weder aus der Rech t- sprechung des Gerichtshofs der Europäischen Union noch au s der des Bu n- desgerichtshofs , dass § 276 Abs. 1 Satz 1 BGB bereits vor Ablauf der in Art. 94 Abs. 1 der Richtlinie 2007/64/EG des Europäischen Parlaments und des Rates vom 13. November 2007 über Zahlungsdienste im Binnenmarkt, zur Änderung der Richtlinien 97/7/EG, 2002/65/EG, 2005/60/EG und 2006/48/EG sowie zur Aufhebung der Richtlinie 97/5/EG ( A B l. EU 2007 Nr. L 319/1, im Folgenden: Zahlungsdiensterichtlinie) auf den 1. November 2009 gesetzten Umsetzung s- frist richtlinienkonform dahin auszulegen ist , dass n ur Vorsatz oder grobe Fah r- lässigkeit des Klägers eine Haftung begründen. aa) Zwar sieht § 675v Abs. 2 BGB nF, der Art. 61 der Zahlungsdienst e- richtlinie umsetzt (BT - Drucks. 16/11643 S. 113 f.), eine unbegrenzte Haftung des " Zahlers " bei missbräuchlicher Nutzung eines Zahlungsauthentifizierung s- 17 18 19 - 9 - instruments nur bei Vorsatz oder grober Fahrlässigkeit vor. D iese Vorschrift gilt aber nicht für den hier streitgegenständlichen Überweisungsvorgang vom 26. Januar 2009, da sie erst durch Gesetz vom 29. Juli 2009 (BG Bl. I S. 2355) mit Wirkung vom 31. Oktober 2009 eingefügt wurde (Art. 229 § 22 Abs. 1 Satz 2 EGBGB). bb) Vor Ablauf der in einer Richtlinie festgelegten Umsetzungsfrist kommt nach der Rechtsprechung des EuGH weder eine unmittelbare Wirkung der Richtlini e (EuGH, Slg. 1979, I - 1629 Rn. 41 ff.; Slg. 1992, I - 5567 Rn. 18 ff.; Slg. 1994, I - 763 Rn. 16) in Betracht, noch besteht für die nationalen Gerichte die Pflicht zur richtlinienkonformen Auslegung bereits bestehender Rechtsvorschri f- ten (EuGH, Slg. 2006, I - 60 57 Rn. 115 ; vgl. auch Slg. 1997, I - 4961 Rn. 9, 11, 43 ). Während des Laufs der Umsetzungsfrist haben die Mitgliedsstaaten l e- diglich den Erlass von Vorschriften zu unterlassen, die geeignet sind, die Erre i- chung des in der Richtlinie vorgeschriebenen Ziele s ernstlich zu gefährden (EuGH, Slg. 1997, I - 7411 Rn. 45; Slg. 2006, I - 6057 Rn. 121; sog. Frustration s- verbot). Darüber hinaus müssen die nationalen Gerichte es ab dem Zeitpunkt des Inkrafttretens einer Richtlinie soweit wie möglich unterlassen, das inne r- st aatliche Recht auf eine Weise auszulegen, die die Erreichung des mit der Richtlinie verfolgten Zieles nach Ablauf der Umsetzungsfrist ernsthaft gefährden würde (EuGH, Slg. 2006, I - 6057 Rn. 123). Bei § 276 BGB handelt es sich j e- doch nicht um eine erst nach Erlass der Zahlungsdiensterichtlinie eingefügte Norm . I hre Auslegung durch das Berufungsgericht gefährdet, wie der am 1. November 2009 in Kraft getretene § 675v BGB zeigt , auch nicht die Ziele der Richtlinie nach Ablauf der Umsetzungsfrist. Soweit das Bund esverfassungsg e- richt (NJW 2011, 288 Rn. 54) unter Berufung auf das genannte Urteil des EuGH (Slg. 2006, I - 6057) eine Pflicht zur richtlinienkonformen Auslegung ab Inkrafttr e- 20 21 - 10 - ten einer Richtlinie angenommen hat, ist nicht ersichtlich, dass es eine über die R echtsprechung des EuGH hinausgehende Pflicht zur richtlinienkonformen Au s legung bejahen wollte (vgl. auch BVerfG, Beschluss vom 21. Dezember 2010 - 1 BvR 2742/08, juris Rn. 26). Da die von der Revision vor Ablauf der Umsetzungsfrist befürwortete Reduktion des Haftungsmaßstabs des § 276 Abs. 1 Satz 1 BGB auf Vorsatz und grobe Fahrlässigkeit zu einer vom Gemei n- schaftsrecht nicht gebilligten (EuGH, Slg. 2006, I - 6057 Rn. 110) Auslegung con - tra legem des nationalen Rechts führen würde, ist die Einholung einer Vo r- abentscheidung des EuGH nach Art. 267 Abs. 3 AEUV nicht geboten. cc) In Übereinstimmung mit dem EuGH nimmt auch der Bundesgericht s- hof in ständiger Rechtsprechung e ine Pflicht der nationalen Gerichte zu richtl i- nienkonformer Auslegung erst nach Ablauf de r Umsetzungsfrist an (Urteile vom 19. April 2007 - I ZR 35/04, BGHZ 172, 119 Rn. 38; vom 23. Oktober 2008 IX ZR 111/07, WM 2009, 126 Rn. 6; vom 13. Oktober 2009 - KZR 34/06, juris Rn. 24; vom 5. Oktober 2010 - I ZR 4/06, BGHZ 187, 231 Rn. 13; vom 3. März 2011 - I ZR 167/09, WM 2011, 1321 Rn. 23 [zur Zahlungsdiensterichtlinie]; vgl. auch BAG, NZA - RR 2006, 253 Rn. 58 sowie aus der Literatur Münc h- KommBGB/Basedow, 6 . Aufl., Vorbemerkung zu § 305 - § 310 Rn. 27 ; Calliess/Ruffert, EUV/AEUV, 4. Aufl., Art. 288 AEUV Rn. 80; Gellermann in Handbuch des Rechtsschutzes in der EU, 2. Aufl., § 33 Rn. 52; Linck in Arbeit s- rechts - Handbuch, 14. Aufl., § 4 Rn. 30; Nettesheim in Grabitz/Hilf, Das Recht der Europäischen Union, 40. Aufl., Art. 249 EGV Rn. 153). Davon geht auch das von der Revision angeführte Urteil des Bundesg e- richtshofs vom 5. Februar 1998 ausdrücklich aus (I ZR 211/95, BGHZ 138, 55, 61). Nach dieser Entscheidung kann n ur im Rahmen d er Generalklausel des § 1 UWG der Inhalt einer EU - Richtlinie auch dann im Wege der r ichtlinienko n- forme n Auslegung berücksichtigt werden, wenn die Umsetzungsfrist noch nicht 22 23 - 11 - abgelaufen ist . Darauf beruft sich die Revision jedoch ohne Erfolg. Unabhängig davon, dass , wie dargelegt, vor Ablauf der Umsetzungsfrist des Art. 94 Abs. 1 der Zahlungsdiensterichtlinie keine Verpflichtung des Senats zur richtlinienko n- formen Auslegung nationalen Rechts besteht, handelt es sich bei § 276 Abs. 1 Satz 1 BGB nicht um eine Generalklausel, bei der sich die Unionskonformität mittels Auslegung unbest immter Rechtsbegriffe herstellen ließe. Eine vor dem Hintergrund des erst zum 1. November 2009 in Kraft getretenen § 675v BGB gebotene, richtlinienkonforme Auslegung des § 276 BGB scheidet daher vor Fristablauf aus (ebenso KG Berlin, WM 2011, 493, 495; Mai hold in Schimansky/ Bunte/Lwowski, Bankrechts - Handbuch, 4. Aufl., § 55 Rn. 38; Willershausen, jurisPR - BKR 10/2011 Anm. 4). c) Das Berufungsgericht hat das Verhalten des Klägers in revisionsrech t- lich nicht zu beanstandender Weise als einfach fahrlässig e ingestuft. Diese B e- urteilung unterliegt der Nachprüfung durch das Revisionsgericht nur dahin, ob der Tatrichter den Begriff der Fahrlässigkeit verkannt, bei der Beurteilung w e- sentliche Umstände außer Betracht gelassen oder gegen Verfahrensvorschri f- ten, Den kgesetze oder Erfahrungssätze verstoßen hat (st. Rspr., vgl. BGH, U r- teile vom 11. Mai 1953 - IV ZR 170/52, BGHZ 10, 14, 18; vom 21. Mai 1953 - IV ZR 192/52, BGHZ 10, 69, 74; vom 4. Dezember 1985 - IVa ZR 130/84, NJW - RR 1986, 705, 706; vom 17. Dezember 2008 IV ZR 9/08, NJW 2009, 1147 Rn. 13 und vom 8. Juli 2010 - III ZR 249/09, BGHZ 186, 152 Rn. 27 mwN). Derartige Verstöße zeigt die Revision nicht auf. aa) Nach den rechtsfehlerfreien und unangegriffenen Feststellungen des Berufungsgerichts hat der Kläge r im Oktober 2008 bei dem Versuch, die Star t- seite der Beklagten aufzurufen und sich zum Online - Banking anzumelden, im Rahmen der gewohnten Maske den Hinweis bekommen, dass er derzeit keinen Zugriff habe. Er ist daraufhin der Anweisung auf dem Bildschirm ge folgt und ha t 24 25 - 12 - insgesamt zehn TAN chronologisch in dafür vorgesehene Felder eingetragen, die nicht von eins bis zehn durchnummeriert gewesen s ind . Nachdem d araufhin der Zugriff auf das Online - Banking freigegeben worden ist , hat er die von ihm beabsichtigte Überweisung unter Verwendung einer anderen TAN durchgeführt. Der Revision ist zuzugeben, dass das Berufungsgericht diese Attacke unzutreffend als sog. Phishing eingeordnet hat. Dies er Begriff bezeichnet die Täuschung eines Nutzers von Internetdiensten mithilfe technischer Manipulat i- onen, um diesen zur Mitteilung vertraulicher Daten (meist PIN oder TAN) an einen Nichtberechtigten zu verleiten. Dazu wird der Nutzer durch einen ve r- fälschten , mei st in einer E - Mail mitgeteilten Link auf eine Internetseite ge leitet, die einen vertrauenswürdigen Betreiber vortäuscht, so dass der Nutzer arglos geschützte Daten preisgibt (vgl. Maihold in Schimansky/Bunte/Lwowski, Ban k- rechts - Handbuch, 4. Aufl., § 55 Rn. 30 mwN). Demgegenüber ist der Kläger Opfer des sog. Pharming geworden. Hier ist der Angriff gegen die Auflösung einer Internetadresse gerichtet. Durch Manipulation der sog. Hosts - Datei auf dem Rechner des Nutzers oder durch Einsatz eines korrumpierten DNS - Servers wird der korrekte Aufruf der Website der Bank technis ch in den Aufruf der betrügerischen Seite geändert (vgl. Maihold in Schimansky/Bunte/Lwowski, Bankrechts - Handbuch, 4. Aufl., § 55 Rn. 31 mwN). bb) Entgegen der Ansicht der Revision hat diese Verkennung der A n- griffsart durch das Berufungsgericht jedoch keine Auswirkung auf den Sor g- faltsverstoß des Klägers. Für diesen kommt es auch nicht maßgeblich auf Wa r- nungen in den Medien an. Entscheidend ist, dass der Kläger beim Log - In - Vorgang, also nicht etwa bei einer konkreten Transaktion, für die Transaktion s- num mern bestimmt sind, gleichzeitig zehn TAN eingegeben hat, obwohl sich in der Mitte der Log - In - Seite des Online - Banking der Beklagten vom 10. September 2008 bis zum 28. Juli 2009 ein graphisch hervorgehobene r (vgl. 26 27 - 13 - dazu Kind/Werner, CR 2006, 353, 357; Spind ler in Festschrift Nobbe, 2009, S. 215, 227) Hinweis auf Schadprogramme befand , die zur Eingabe mehrerer TAN in ein Formular auffordern, und die Beklagte in d iesem Hinweis ausdrüc k- lich klar gestellt hatte , dass sie Kunden niemals dazu auffordert, gleichzeit ig mehrere TAN preiszugeben. cc) Dass das Berufungsgericht aufgrund dieser Umstände einen fahrlä s- sigen Sorgfaltsverstoß des Klägers bejaht, ist naheliegend und revisionsrech t- lich nicht zu beanstanden. Dem Kläger hätte trotz fehlender optischer Auffälli g- keiten der Online - Banking - Maske aufgrund des Warnhinweises und der wä h- rend des Log - In - Vorgangs erfolgten Anforderung zur gleichzeitigen Eingabe von zehn TAN bewusst sein müssen, dass er sich außerhalb der " vom Kreditinstitut gesondert mitgeteilten Online - Banking - Zugangskanäle " (Nr. 8 AGB) bewegt und somit nicht die Bank, sondern ein un b efugter Dritter die TAN anforderte (vgl. LG Berlin, Urteil vom 11. August 2009 - 37 O 4/09, juris Rn. 20 ff. ; LG Berlin, BeckRS 2012, 01462; KG Berlin, WM 2011, 493, 494 f.; Borges/Schwenk/ Stuckenberg/Wegener, Identitätsdiebstahl und Identitätsmissbrauch im Internet, S. 283; Maihold in Schimansky/Bunte/Lwowski, Bankrechts - Handbuch, 4. Aufl., § 55 Rn. 125; Nobbe in Ellenberger/Findeisen/Nobbe, Kommentar zum Za h- lungsverkehrsre cht, § 675v BGB Rn. 53, 94; Rössel, ITRB 2010, 249 , 250 ; Willershau sen, jurisPR - BKR 10/2011 Anm. 4 ). Dies gilt umso mehr, als für den Zugang zum Online - Banking niemals eine, geschweige denn mehrere TAN, sondern alleine Kontonummer und PIN abgefragt werden (so auch LG Berlin, Urteil vom 11. August 2009 - 37 O 4/09, juris Rn. 20; Borges in Derleder/ Knops/Bamberger, Handbuch zum deutschen und europäischen Bankrecht, 2. Aufl., § 9 Rn. 144; Richter in Assies/Beule/Heise/Strube, Handbuch des Fachanwalts Bank - u nd Kapitalmarktrecht, 2. Aufl., Kap. 3 Rn. 314; Willershausen, jurisPR - BKR 10/2011 Anm. 4). Der Vorwurf fahrlässigen Verha l- tens gründet demnach nicht auf dem Umstand, dass der Kläger überhaupt O p- 28 - 14 - fer eines Pharming - Angriffs geworden ist. E in solcher Angrif f dürfte im Regelfall schwer zu erkennen sein (Borges, NJW 2005, 3313, 3315; Münc h- KommBGB/Casper, 5. Aufl., § 676a Rn. 20; Erfurth, WM 2006, 2198, 2202, 2206; Redeker, IT - Recht, 4. Aufl., D. Rn. 880; Schulte am Hülse/Klabunde, MMR 2010, 84, 87; Spindler/An ton in Spindler/Schuster, Recht der elektron i- schen Medien, 2. Aufl., § 164 BGB Rn. 10). Der Fahrlässigkeitsvorwurf beruht vielmehr darauf, dass der Kläger diesen Angriff trotz massiver Anhaltspunkte und Warnungen im Einzelfall nicht erkannt und diesbezügli che Verdachtsm o- mente ignoriert hat (vgl. auch Bender, WM 2008, 2049, 2057; Borges in Derleder/Knops/Bamberger, Handbuch zum deutschen und europäischen Bankrecht, 2. Aufl., § 9 Rn. 143; Maihold in Schimansky/Bunte/Lwowski, Ban k- rechts - Handbuch, 4. Aufl., § 55 Rn. 120 ; Richter in Assies/Beule/Heise/Strube, Handbuch des Fachanwalts Bank - und Kapitalmarktrecht, 2. Aufl., Kap. 3 Rn. 348). 2 . Ebenfalls rechtsfehlerfrei hat das Berufungsgericht eine Kürzung des Schadensersatzanspruches der Beklagten unter dem G esichtspunkt des Mi t- verschuldens (§ 254 Abs. 1 BGB) verneint. a) Die vorzunehmende Abwägung der Verantwortlichkeiten von Schäd i- ger und Geschädigtem gehört in den Bereich der tatrichterlichen Würdigung; sie ist deshalb mit der Revision nur begrenzt angre ifbar. Das Revisionsgericht kann lediglich nachprüfen, ob der Tatrichter alle in Betracht kommenden Umstände vollständig und richtig berücksichtigt und nicht gegen Denkgesetze und Erfa h- rungssätze verstoßen hat (st. Rspr., vgl. BGH, Urteile vom 11. Januar 2 007 III ZR 116/06, NJW 2007, 1063 Rn. 7 ff. und vom 16. Juli 2009 - III ZR 21/09, WM 2009, 1753 Rn. 15 ff. jeweils mwN). Derartige Verstöße zeigt die Revision nicht auf. 29 30 - 15 - b) Sie greift die Feststellung des Berufungsgerichts, die Beklagte sei mit dem Ei nsatz des im Jahr 2008 dem Stand der Technik entsprechenden iTAN - Verfahrens ihrer Pflicht zur Bereitstellung eines möglichst wenig missbrauch s- anfälligen Systems des Online - Bankings nachgekommen , nicht an und wendet sich auch nicht gegen die Beurteilung, Nr . 8 der AGB sowie der Hinweis auf der Log - In - Seite reichten für eine ordnungsgemäße Aufklärung über die Geheimha l- tungspflichten hinsichtlich PIN und TAN aus . c) Anders als die Revision meint, hat das Berufungsgericht auch die Ve r- letzung einer Warnpflich t durch die Beklagte rechtsfehlerfrei verneint. Im Za h- lungsverkehr bestehen Warn - und Hinweispflichten der Kreditinstitute zum Schutz ihrer Kunden vor drohenden Schäden nur in Ausnahmefällen (Senatsu r- teil vom 6. Mai 2008 - XI ZR 56/07, BGHZ 176, 281 Rn. 14 ). So hat im Übe r- weisungsverkehr ein Kreditinstitut, das aufgrund massiver Anhaltspunkte den Verdacht hegt, dass ein Kunde bei der Teilnahme am bargeldlosen Zahlung s- verkehr durch eine Straftat einen anderen schädigen will, diesem gegenüber eine Warnpflicht (Senatsurteil vom 6. Mai 2008 - XI ZR 56/07, BGHZ 176, 281 Rn. 15). Die Bank muss aber weder generell prüfen, ob die Abwicklung eines Zahlungsverkehrsvorgangs Risiken für einen Beteiligten begründet, noch Ko n- tobewegungen allgemein und ohne besondere Anhal tspunkte überwachen. E i- ne Warnpflicht besteht erst dann, wenn die Bank ohne nähere Prüfung im Rahmen der normalen Bearbeitung eines Zahlungsverkehrsvorgangs aufgrund einer auf massiven Verdachtsmomenten beruhenden objektiven Evidenz den Verdacht einer Veru ntreuung schöpft (Senatsurteil vom 6. Mai 2008 XI ZR 56/07, BGHZ 176, 281 Rn. 16). Gemessen hieran bestand im Streitfall keine Warnpflicht der Beklagten. Dass am 26. Januar 2009 nicht nur vom Konto des Klägers, sondern auch z u- lasten eines anderen Kund en der Beklagten eine Überweisung auf das gleiche 31 32 33 - 16 - griechische Zielkonto erfolgte, konnte schon deshalb kein Verdachtsmoment begründen, weil die Beklagte hiervon nach den rechtsfehlerfreien und unang e- griffenen Feststellungen des Berufungsgerichts erst nach der streitgegenstän d- lichen Überweisung Kenntnis erlangte. Die Revision macht auch ohne Erfolg geltend, eine zu einem Sollstand von über 4.300 e ines runden Betrages (5.000 Ausland sei für den Kläger absolut untypisch gewesen . Ohne besondere weit e- re Anhaltspunkte geben Überweisungen mit Auslandsberührung, der Einsatz glatter Beträge und dadurch eintretende Kontoüberziehungen eine r Bank ohne nähere Prüfung keinen hinreichenden Anlass , den Verdacht einer Straftat zu schöpfen. Kr editinstitute werden im bargeldlosen Zahlungsverkehr nur zum Zweck der technisch einwandfreien, einfachen und schnellen Abwicklung tätig und haben sich schon wegen dieses begrenzten Geschäftszwecks und der Massenhaftigkeit der Geschäftsvorgänge grundsätzli ch nicht um die beteiligten Interessen ihrer Kunden zu kümmern (Senatsurteil vom 6. Mai 2008 XI ZR 56/07, BGHZ 176, 281 Rn. 14). d) A uch aus der Überschreitung der in Nr. 7 AGB vereinbarten finanzie l- len Nutzungsgrenze hat das Berufungsgericht zu Rech t kein den Schadense r- satzanspruch minderndes oder gar ausschließendes Mitverschulden der B e- klagten ab ge leite t. Entgegen der Ansicht der Revision stellt eine finanzielle Nutzungsgrenze keine Bestimmung zum Schutz des Online - Banking - Kunden dar (Senatsurt eil vom 29. November 2011 - XI ZR 370/10, WM 2012, 164 Rn. 28 , dort als "ko n- tobezogener Verfügungsrahmen" bezeichnet ; Maihold in Schimansky/Bunte/ Lwowski, Bankrechts - Handbuch, 4. Aufl., § 54 Rn. 18, 98). Kreditinstitute haben grundsätzlich keine Schutzpfl icht, eine Kontoüberziehung des Kunden zu ve r- 34 35 36 - 17 - meiden (Maihold in Schimansky/Bunte/Lwowski, Bankrechts - Handbuch, 4. Aufl., § 54 Rn. 18; LG Lüneburg, ZIP 1985, 1132, 1133; vgl. auch BGH, Urteil vom 5. Februar 1973 - II ZR 116/71, WM 1973, 722, 723). Deshalb k ann dahi n- stehen, ob, wie das Berufungsgericht angenommen hat, schon von dem auf dem Kontoauszug befindlichen Aufdruck " Limit 4.500 " auf einen zwischen den Parteien in dieser Höhe wirksam vereinbarten Dispositionskredit und damit auf ein Einhalten der finan ziellen Nutzungsgrenze geschlossen werden kann. Einen die einzelne Transaktion unabhängig vom Kontostand beschrä n- kenden (vgl. Fandrich in Graf von Westphalen, Vertragsrecht und AGB - Klauselwerke, 29. Ergänzungslieferung, Bankkartenbedingungen Rn. 36; Gr undmann in Ebenroth/Boujong/Joost/Strohn, HGB, 2. Aufl., Rn. II 298; MünchKommHGB/Häuser/Haertlein, 2. Aufl., Bd. 5 Rn. E 22, 62; Maihold in Schimansky/Bunte/Lwowski, Bankrechts - Handbuch, 4. Aufl., § 54 Rn. 20) Ve r- fügungsrahmen, der kundenschützende Wirkun g hat und dessen Missachtung ein Mitverschulden der Bank begründen kann (vgl. Grundmann in Ebenroth/ Boujong/Joost/Strohn, HGB, 2. Aufl., Rn. II 299; MünchKommHGB/Häuser/ Haertlein, 2. Aufl., Bd. 5 Rn. E 62; Maihold in Schimansky/Bunte/Lwowski, 37 - 18 - Bankrech ts - Handbuch, 4. Aufl., § 54 Rn. 20, 98; Nobbe in Ellenberger/ Findeisen/Nobbe, Kommentar zum Zahlungsverkehrsrecht, § 675v BGB Rn. 116; Recknagel, Vertrag und Haftung beim Internet - Banking, Diss. i ur. 2005, S. 192), haben die Parteien nicht vereinbart. Wi echers Joeres Ellenberger Matthias Pamp Vorinstanzen: AG Düsseldorf, Entscheidung vom 06.04.2010 - 36 C 13469/09 - LG Düsseldorf, Entscheidung vom 19.01.2011 - 23 S 163/10 -
Full & Egal Universal Law Academy