BECKMANN UND NORDA - Rechtsanwälte Bielefeld

AG München
Urteil vom 08.01.2025
271 C 16677/24

Das AG München hat entschieden, dass kein Anspruch auf Schadensersatz nach einer Phishing-Attacke im Zusammenhang mit dem Mastercard 3D-Secure-Verfahren besteht, wenn eine Weitergabe der SMS-Tan an Dritte erfolgte.

Die Pressemitteilung des Gerichts:
Phishing bei Reisebuchung - Kein Anspruch auf Rückzahlung abgebuchter Kreditkartenbeträge

Der Ehemann der Münchner Klägerin wollte am Samstag, den 06.01.2024 für seine Ehefrau und sich eine Reise im Internet buchen. Hierzu gab er auf einer Homepage „Check24“ die Daten der Kreditkarte seiner Ehefrau ein. Kurz darauf erschien eine Mitteilung, dass ein Betrag in Höhe von 318,99 € vorgemerkt sei, ehe weitere Mitteilungen über vergleichbare Vormerkungen erschienen. Die Münchnerin veranlasste noch am selben Abend telefonisch die Sperrung der Kreditkarte. Am Montag, den 08.01.2024 sind sechs unberechtigte Abbuchungen zu je 318,99 € für Giftcards vom Konto der Klägerin erfolgt, insgesamt 1.953,29 €.

Zur Autorisierung der Transaktionen fand das Mastercard 3D-Secure-Verfahren Anwendung. Zur Aktivierung dieses Verfahrens auf einem weiteren Gerät, übersandte die beklagte Bank am 06.01.2024 eine SMS-TAN an die von der Klägerin bei der Beklagten hinterlegte Mobilfunknummer. Die an die Klägerin versandte SMS-TAN wurde dann auf dem weiteren mobilen Endgerät, auf dem auch die Banking-App freigeschaltet wurde, am 06.01.2024 eingegeben und damit das Secure-Verfahren aktiviert.

Die Münchnerin behauptete, dass sie diese Abbuchungen nicht autorisiert habe. Bei der Buchung sei sie nicht nach PIN oder Passwort gefragt worden, sie habe auch nirgendwo eine SMS-Tan eingegeben. Es sei nicht erkannt worden, dass es sich möglicherweise um eine Fake-Website handelte.

Die beklagte Bank ging davon aus, dass die Münchnerin die SMS-Tan an einen Dritten weitergegeben haben muss, da eine Freigabe der Buchungen anders technisch nicht möglich gewesen sei und verweigerte die Zahlung. Die Münchnerin verklagte die Bank daher vor dem Amtsgericht München auf Rückzahlung der 1.953,29 €.

Das Amtsgericht München wies die Klage mit Urteil vom 08.01.2025 ab. Das Gericht ging zwar davon aus, dass die Abbuchungen nicht von der Klägerin autorisiert waren, sondern von Dritten getätigt wurden. Aufgrund der Beweisaufnahme war das Gericht jedoch davon überzeugt, dass die Klägerin die SMS-Tan grob fahrlässig an Dritte weitergegeben haben muss, weshalb ein Schadensersatzanspruch der Bank gegen die Klägerin in gleicher Höhe bestehe, mit dem die Bank aufgerechnet habe. Insoweit führte es u.a. aus:

„Der Vortrag der Beklagten, dass diese in ihren Systemen feststellen konnte, dass das Mastercard 3D-Secure Verfahren per Banking App für die Kreditkarte der Klägerin am 06.01.2024 um 13:30 Uhr aktiviert wurde, und zur Aktivierung dieses Verfahrens auf dem neuen Gerät eine SMS-TAN an die im Vertrag hinterlegte Mobilfunknummer der Klägerin […] versandt wurde, wurde durch Inaugenscheinnahme des Mobiltelefons der Klägerin bestätigt. Dort befindet sich […] eine SMS vom 06.01.2024 13:29 Uhr mit dem Inhalt: „[…] ist Ihre TAN für die Aktivierung von Mastercard Identity Check vom 06.01.2024 13:44 Uhr.“ Der Eingang der SMS um 3:29 Uhr war im eingesehenen Nachrichtenverlauf […] um 13:29 Uhr dokumentiert und wird auch durch das als […] vorgelegte IT-Protokoll belegt. Der Vortrag der Klägerin, keine SMS-TAN erhalten zu haben und dass ihr Mobiltelefon nicht in die Freigabe involviert war, erwies sich damit als widerlegt.

Die Beklagte hat unbestritten vorgetragen, dass aufgrund der manuellen Eingabe einer an die Mobilfunknummer der Klägerin versandten SMS-Tan ein Fremdzugriff technisch ausgeschlossen ist. Es wurde ein neues Gerät im Online-Banking der Klägerin als Freigabeinstrument im Rahmen des 2-Faktor-Authentifizierungsverfahrens hinterlegt. Hierzu war – technisch zwingend – die Eingabe der SMS-Tan erforderlich. […] Das Gericht ist daher davon überzeugt, dass die Klägerin durch Preisgabe der SMS-Tan Dritten eine Registrierung eines Geräts ermöglicht hat, wobei die Preisgabe persönlicher Sicherheitsmerkmale an Dritte gemäß den vertraglichen Bestimmungen untersagt war. […]

Das Verhalten der Klägerin bewertet das Gericht als grob fahrlässig. Es ist eine Sache, wenn man seine Kreditkartendaten offenbart. Diese werden bei jeder Verwendung offenbart und können auch von der Karte abgelesen werden. […] Die Weitergabe eines im Rahmen einer Zwei-Faktor-Autorisierung erhaltenden Zugangscodes kann nicht damit gleichgesetzt werden. Mit dieser Weitergabe hilft der Nutzer (Kläger) die Sicherheitsarchitektur grundlegend auszuhebeln. Es muss jedem verständigen Nutzer solcher Kreditkarten klar sein, welches Risiko er mit der Weitergabe derartiger Daten schafft. Die Klägerin mag dies nicht bewusst getan haben und es mag […] auch nicht erinnerlich sein. Indessen lässt sich der Vorgang plausibel nicht anders erklären.“

Urteil des Amtsgerichts München vom 08.01.2025
Aktenzeichen: 271 C 16677/24
Das Urteil ist nicht rechtskräftig.

OLG Frankfurt
Urteil vom 22.04.2025
11 U 68/23 (Kart)

Das OLG Frankfurt hat entschieden, dass die Geltung deutschen Kartellrechts und die internationale Zuständigkeit deutscher Gerichte bei Kartellverstößen nicht durch eine Gerichtsstandsvereinbarung ausgeschlossen werden können.

Die Pressemitteilung des Gerichts:
Einschränkung von Gerichtsstandsvereinbarungen bei Kartellverstößen

Der Anwendungsvorrang des deutschen Kartellrechts vor dem Recht anderer Staaten soll auch die fehlerfreie Beurteilung eines Rechtsstreits durch die Instanzen sichern. Für auf Kartellverbote gestützten Klagen kann nicht mit einer Gerichtsstandsvereinbarung die Zuständigkeit deutscher Gerichte entzogen und auf Einrichtungen von Nicht-EU-Staaten übertragen werden. Das Oberlandesgericht Frankfurt am Main (OLG) hat mit heute veröffentlichter Entscheidung die internationale Zuständigkeit des angerufenen Landgerichts Frankfurt am Main bestätigt.

Die Beklagten betreiben das VISA-Kartensystem. Die Klägerinnen sind Sparkassen. Die im Vereinigten Königreich Großbritannien und Nordirland ansässige Beklagte zu 1) untersagte es den Klägerinnen in ihren Bedingungen, von Inhabern von Zahlungskarten der Marken „VISA“ und V Pay“, die von anderen Kreditinstituten ausgestellt wurden, für Bargeldabhebungen an Geldautomaten der Klägerinnen Entgelte zu verlangen.

Nach den zwischen den Parteien 2015 jeweils geschlossenen Mitgliedschaftsvereinbarungen („Membership Deed“) unterliegen die Rechtsbeziehungen englischem Recht. Zuständig sind „ausschließlich die Gerichte in England“. Die in den USA ansässige Beklagte zu 2) erwarb 2016 alle Anteile an der Beklagten zu 1). Gemäß der Mitgliedschaftsvereinbarung endete diese mit dem Erwerb der Beklagten zu 2).

Die hiesigen 13 Klägerinnen haben vor dem Landgericht Frankfurt am Main Klage eingereicht. Sie halten das Verbot der Beklagten, Entgelte verlangen zu dürfen, für kartellrechtswidrig. Das Landgericht Frankfurt am Main hat mit Zwischenurteil u.a. seine internationale Zuständigkeit bejaht. Die hiergegen eingelegte Berufung der Beklagten hatte auch vor dem OLG keinen Erfolg.

Zu Recht sei das Landgericht von seiner internationalen Zuständigkeit ausgegangen, bestätigte der zuständige 1. Kartellsenat die angefochtene Entscheidung. Die in den Mitgliedschaftsvereinbarungen enthaltene Gerichtsstandsvereinbarung stehe der Zuständigkeit deutscher Gerichte nicht entgegen.

Die Gerichtsstandsvereinbarung sei zwar anfänglich wirksam vereinbart worden. Sie erfasse aber keine Schadensersatzansprüche ab Erwerb der Beklagten zu 1) durch die Beklagte zu 2). Die maßgebliche Regelung sei damit vielmehr außer Kraft getreten.

Es sei auch keine neue Gerichtsstandsvereinbarung für die Folgezeit geschlossen worden. Diese hätte weiterhin nach Unionsrecht der Schriftform bedurft. Entsprechender Vortrag der Beklagten hierfür fehle.

Selbst wenn eine Gerichtsstandsvereinbarung für die Folgezeit bestehen würde, erfasste diese nicht die streitgegenständlichen kartellrechtlichen Ansprüche. Lege man die streitgegenständliche Regelung nach autonomen Unionsrecht aus, erstrecke sie sich nicht auf die hier streitigen kartellrechtlichen Ansprüche. Eine Gesamtschau der maßgeblichen Unionsregelungen und der im deutschen GWB niedergelegten Regelungen zum Zweck der Kartellverbote ergebe, dass nach deutschem Recht deutsche Gerichte ausschließlich international für die vorliegende Klage zuständig seien. Die Kartellverbote im GWB (§§ 19-21) gehörten gemäß höchstrichterlicher Rechtsprechung „zu den elementaren Grundlagen der Rechtsordnung und den grundlegenden Normen des Kartellrechts“, führte der Kartellsenat aus. Keine Rechtsordnung könne es hinnehmen, „dass den staatlichen Einrichtungen, die die Einhaltung dieser Bestimmungen gewährleisten sollen, durch die Akteure - und damit unter Mitwirkung der potentiellen Deliktstäter - die Zuständigkeit entzogen und stattdessen den Einrichtungen fremder Staaten übertragen wird“, vertiefte der Senat.

Die Entscheidung ist nicht rechtskräftig. Der Senat hat wegen grundsätzlicher Bedeutung der Sache die Revision zum BGH zugelassen.

Oberlandesgericht Frankfurt am Main, Urteil vom 22.4.2025, Az. 11 U 68/23 (Kart)
(vorausgehend Landgericht Frankfurt am Main, Urteil vom 5.7.2023, Az. 2-06 O 257/21)

LG Itzehoe
Urteil vom 20.03.2013
5 O 80/11


Das LG Itzehoe hatentschieden, dass die Werbung mit einer "kostenlosen Visakarte" durch comdirect bank irreführend ist, wenn Voraussetzung für die Ausgabe der Kreditkarte ein monatliche Mindestgeldeingang auf dem Konto ist. Diese Voraussetzung war in der Werbung nicht deutlich geworden. Aufgrund eines erneuten Verstoßes gegen den Unterlassungstitel wurde mit Beschluss vom 22.05.2013 ein Ordnungsgeld festgesetzt.