Schweizerisches Bundesgericht zur Haftungsfrage bei Bankkonto Hack

Als wäre der Hack eines Bankkontos allein nicht schon schlimm genug — das Bundesgericht hat neulich in der Haftungsfrage entschieden. Das Schweizerische Bundesgericht revidiert dabei den Beschluss des Genfer Kantonsgerichts.

Fall eines Bankkonto Hacks wanderte vor Gericht

Ein Geschäftskunde einer Genfer Privatbank zog vor Gericht, weil sein Bankkonto gehackt worden war. Der unerlaubte Eindringling löste diverse Zahlungsaufträge aus. Über den genauen finanziellen Schaden war anfangs nichts bekannt — es soll sich aber um mindestens acht Überweisungen gehandelt haben.

Das Kantonsgericht erachtete den Kläger für glaubwürdig: Er wusste nichts vom Hack. Die Genfer Bank wurde zum Ersatz des entstandenen Schadens verpflichtet. Im Urteil war von 320’000 Euro und 185’000 US-Dollar die Rede. Die Privatbank ging in Revision — der Fall gelangte bis vors Bundesgericht.

Bundesgericht: Bank haftet nicht für Konto-Hack

Kläger und Kantonsgericht sahen die Haftung bei „auffälligen Zahlungen“ eher bei der Bank. Das Bundesgericht kam zu einem anderen Entschluss.

Es begründete das Urteil damit, dass die vereinbarten Schadens-Geschäftsklauseln greifen: Zahlungsaufträge werden ohne separate schriftliche Bestätigung ausgeführt, sofern sie per Mail, Fax oder telefonisch eingehen.

Die umstrittenen Aufträge nach dem Hack stammten von der E-Mail-Adresse des Kunden. Nicht das Bankkonto war also direktes Ziel — sondern der E-Mail-Account. Ein klassischer Fall von Identitätsdiebstahl.

Hacker gingen sehr gewieft vor

Das Bundesgericht hält fest: Kaum eine Bank prüft systematisch jede Überweisung auf Missbrauch. Für den Kläger kam erschwerend hinzu, dass er kurz vor dem Hack selbst zwei Aufträge per Mail an seine Bank erteilt hatte. Ausserdem waren die Überweisungen der Hacker unauffällig — sie gingen an namhafte Institute, nicht an unbekannte, die Verdacht erregen könnten.

Weder Anzahl noch Kommunikationsweg der Zahlungen reichten aus, um die Haftung der Privatbank zu begründen. Die Kernaussage: Risiken bei der Identifikation und bei Übermittlungsfehlern trägt der Kunde. Banken haften nur für «grobe, interne» Fehler.