Herr B. erhielt einen Anruf von Telefonnummer, die er der seiner Bank zuordnete. Der Anrufer, ein Betrüger, forderte den Kunden dazu auf, Änderungen am Authentifizierungssystem vorzunehmen. Der Betroffene gab an, sich in die Applikation eingeloggt zu haben, konnte aber nicht mehr nachvollziehen, was er in der Applikation unter Anleitung des Betrügers genau gemacht hatte. Es wurde jedoch eine Überweisung von 13.700 Euro durchgeführt. Herr B. bemerkte alsbald, einem Betrüger aufgesessen zu sein, aber das Geld war weg. Die VZS brachte diesen klassischen Phishing-Fall nach einer erfolglosen Beschwerde vor das Bankenschiedsgericht.
In diesem Fall konnte die Bank nicht nachweisen, dass beim Login ins Online-Banking eine Zwei-Faktor-Authentifizierung durchgeführt wurde. Fehlt auch nur ein Nachweis in sämtlichen Phasen des Zahlungsvorgangs, also bereits beim Zugang zum System, kann die Bank für den Schaden verantwortlich gemacht werden.
Da der Nachweis gemäß ABF nicht erbracht wurde, entschied man zugunsten des Kunden und forderte die Bank auf, den gesamten entstandenen Schaden zu ersetzen.
„Dieser Fall ist für den Kunden erfreulich ausgegangen. Doch nicht jeder darf mit einem ähnlichen Urteil rechnen“, erklärt VZS-Geschäftsführerin Gunde Bauhofer. „Wenn die Bank zweifelsfrei belegen kann, dass eine sogenannte starke Zwei-Faktor-Authentifizierung erfolgt ist, könnte die Entscheidung auch anders ausfallen.“