Jusletter IT

Am Montag, 7. November 2016 stellte die britische Tesco-Bank ihr Online-Banking vorläufig ein, nachdem über das vorausgehende Wochenende Hacker rund 20’000 Konten der Bank geplündert hatten.¹ Wie sind die Risiken in solchen und ähnlichen Fällen nach Schweizer Recht verteilt?

Elektronische Daten eignen sich oftmals schlecht als Beweismittel. Organisatorische und technische Massnahmen müssen getroffen werden, um den Beweis zu sichern. Der Kunde soll nicht abstreiten können, eine bestimmte Transaktion getätigt zu haben, und er soll sich umgekehrt keine Gedanken zur Sicherheit seines Bankkontos machen müssen.

In der Schweiz gibt es verschiedene E-Banking-Legitimationsmittel, beispielsweise die Mobile TAN, TAN-Generatoren oder das bankenübergreifende Paymit-System. Letzteres begnügt sich mit Benutzerkennung und Passwort oder einer Betätigung des Fingerabdrucksensors des Gerätes, lässt dafür aber nur Zahlungen bis 500 Franken zu. Gleiches gilt für manche E-Banking-Apps.

Aus rechtlicher Sicht bleibt es der Bank und ihren Kunden im Grundsatz unbenommen, für den Einsatz solcher Legitimationsmittel im Rahmen der gesetzlichen Schranken eine eigene vertragliche Legitimationsordnung und damit eine vom Gesetz abweichende Risikoverteilung zu vereinbaren. Im Bankgeschäft werden gewisse Risiken, die gemäss Gesetz bei der Bank liegen, regelmässig per Allgemeine Geschäftsbedingungen (AGB) auf den Kunden überwälzt.

Die Risikoabwälzung ist indessen bestimmten Schranken unterworfen. Diese Schranken liegen im Auftragsrecht, in der analogen Anwendung der Haftungsregelung nach Art. 100 und 101 OR sowie insbesondere in der relativ neuen Norm von Art. 8 UWG. Die Schweiz kennt indessen bislang, bis auf ein geldwäschereirechtlich motiviertes Rundschreiben der FINMA zur Video- und Online-Identifizierung bei der Aufnahme von Geschäftsbeziehungen² keine spezifische Regulierung der Legitimation im Bankenbereich.

Vorliegend soll das Augenmerk hauptsächlich auf Art. 8 UWG gerichtet werden, der die Verwender von allgemeinen Geschäftsbedingungen gegenüber Konsumenten bei deren Gestaltung einschränkt.

Zur Risikoüberwälzung nach Art. 8 UWG im Bereich des E-Banking findet sich eine grosse Bandbreite juristischer Meinungen:

Schott und Kut/Stauber gehen davon aus, dass die neue Norm keinerlei Änderungen gegenüber der alten Rechtslage³ mit sich brachte, gemäss der die Bank das Risiko auf den Kunden abwälzen konnte, so lange sie sich nur an die branchenübliche Sorgfalt hielt.⁴ Diese Position ist allerdings angesichts der Entstehungsgeschichte der Norm wenig plausibel. Sie wurde denn auch als aus Bankensicht riskant kritisiert.⁵

Widmer plädiert für eine Haftungsverteilung gemäss der sogenannten Sphärentheorie, die besagt, dass die Haftung für Zufall nur gemäss der jeweiligen Sphäre aufgeteilt werden darf, in der sie auftritt. Eine Risikoabwälzung sei dann gerecht, wenn jeder Vertragspartner diejenigen Risiken übernehme, die aus seinem Einflussbereich stammen, und die er entsprechend kontrollieren könne. Für den Fall, dass dem Kunden seine Bankkarte gestohlen wird (Sphäre des Kunden), dürfte die Bank das Risiko auch dann dem Kunden zuweisen, wenn diesen kein Verschulden trifft. Findet indessen ein Hackerangriff auf die Bank statt (wie im Fall der Tesco-Bank), müsste auf jeden Fall die Bank haften, selbst wenn sie kein Verschulden trifft, d.h. selbst wenn sie ihre Systeme korrekt abgesichert hat.⁶ Die Sphärentheorie kommt dem Konzept des «cheapest cost avoider» nahe, das sich in der Theorie der Ökonomischen Analyse des Rechts findet: Eine Übertragung des Risikos für Verschulden der Bank auf den Kunden scheint ineffizient und ist damit aus dieser Sicht abzulehnen.⁷

Rusch geht noch weiter als Widmer und lehnt selbst die Sphärentheorie ab, weil eine Zufallshaftung im Sinne einer verschuldensunabhängigen Schadensüberwälzung dem Schweizer Vertragsrecht fremd sei. Nach seiner Auffassung darf dem Kunden die Haftung nur für Fälle überwälzt werden, in denen ihn ein Verschulden (d.h. zumindest leichte Fahrlässigkeit) trifft.⁸ Ein Kartendiebstahl ohne Verschulden des Kunden könnte demnach für den Kunden nicht haftungsbegründend sein. Diese Position entspricht zugleich dem geltenden (dispositiven) Obligationenrecht, gemäss dem der Kunde nur bei Verschulden haftet.⁹

Angesichts des breiten Meinungsspektrums stellt sich die Frage, welchen Weg ein Finanzinstitut bei der Ausgestaltung seiner AGB gehen soll.

Zu beachten ist, dass eine Verletzung von Art. 8 UWG zu Nichtigkeit der betreffenden AGB-Klauseln führt und damit zur Anwendbarkeit des für die Bank ungünstigen dispositiven Gesetzesrechts.¹⁰ Dieses Risiko scheint bei AGB, die nur dem alten Recht genügen, erheblich. Nachdem Ruschs Position bereits dem dispositiven Gesetzesrecht entspricht, dürfte es sich umgekehrt rechtfertigen, auf die Sphärentheorie abzustellen: Denn greift auch eine Ausgestaltung gemäss Sphärentheorie nicht, fällt man ohnehin auf das dispositive Gesetzesrecht zurück.

Ebenfalls nach Art. 8 UWG ungültig dürften ferner Beweisregeln in AGB sein, gemäss denen jedes Login mit den Legitimationsmitteln des Kunden als genügender Beweis für die Urheberschaft des Kunden an einer Transaktion gelten soll.¹¹

Weniger problematisch dürfte der Einsatz von Legitimationsmitteln geringerer Sicherheit (Benutzerkennung und Passwort ohne TAN, Fingerabdrucksensoren¹² o.dgl.) dort sein, wo die Summen beschränkt sind (wie bei Paymit) oder wo andere Sicherheitsmechanismen greifen (bspw. Zahlungen nur auf bereits früher verwendete Empfängerkonti).¹³ Die Begründung hierfür liegt darin, dass der Kunde gerade bei kleinen Risiken ebenfalls ein Interesse an weniger kompliziert anzuwenden Legitimationsmitteln hat.

Die Tesco-Bank hätte den aus dem Hacker-Angriff resultierenden Schaden nach Schweizer Recht also selber zu tragen. Nach dem anwendbaren europäischen Recht dürfte dies ebenfalls der Fall sein, denn die EU kennt striktere Regeln als die Schweiz.¹⁴

Simon Schlauri