Archiv der Kategorie: Forschung

Urteile

Zur Haftung bei Weitergabe persönlicher Daten und Dokumente

Schreibe einen Kommentar

Wer seine persönlichen Personaldaten nebst beglaubigter Personalausweiskopie sowie seine wesentlichen Finanzdaten wie Bank, Kontonummer und Bankleitzahl einem Dritten zur Verfügung stellt, hat im Betrugsfall nach den Grundsätzen der Anscheinsvollmacht für den Schaden zu haften. So entschied das AG Hamburg-St. Georg:

"Der Arrestbeklagte hat … in die Lage versetzt, seine Identität im Internet anzunehmen, indem er ihm seine wesentlichen persönlichen Daten wie Name, Adresse, Geburtstag und -ort und seine wesentlichen Finanzdaten wie Bank, Kontonummer und Bankleitzahl gegeben hat. Zudem hat er … in die Lage versetzt, im Internet die Identität als … als wahr nachzuweisen, indem er diesen eine beglaubigte Abschrift seines Personalausweises überlassen hat. Der Arrestbeklagte versetzte somit … in die Lage, im Internet seine Identität anzunehmen und dort Rechtsgeschäfte unter seinem Namen einzugehen und genau dass hat … den Vortrag des Arrestbeklagten als wahr unterstellt – getan, indem er ein Emailkonto bei … einrichtete und sich bei … als verifizierter Händler anmeldete. Im Prinzip ist das Verhalten des Arrestbeklagten mit dem Verhalten desjenigen zu vergleichen, der einem Fremden eine Blankovollmacht gibt. Aus diesem Grunde war es für den Arrestbeklagte auch vorhersehbar, dass … mit dem ihm überlassenen Daten und der beglaubigten Abschrift seines Personalausweises in der Lage sein wird, sich als Arrestbeklagter auszugeben und damit seine Daten zu missbrauchen. Es kommt nicht entscheiden darauf an, dass der Arrestbeklagte gerade die von … durchgeführten Betrügereien hätte vorhersehen müssen. Er reicht aus, dass er den Datenmissbrauch zum Nachteil Dritter, nämlich unter Verschleierung des wahren Handelnden und dessen Identität hätte erkennen können."

Das Urteil können Sie im Volltext >HIER< abrufen.

Technik Publikationen

L. Jean Camp – Economics of Identity Theft

Schreibe einen Kommentar

L Jean Camp von der School of Informatics an der Indiana University, hat ein Buch mit dem Titel “Economies of Identity Theft – Avoidance, Causes and Possible Cures” veröffentlicht. Camp beschäftigt sich darin mit den grundlegenden Unterschieden zwischen „analoger“ und digitaler Kommunikation und den dabei entstehenden Sicherheitsrisiken. Als kritisch sieht sie, dass mit wenigen persönlichen Daten, wie z.B. der Social Security Number (SSN) oder der Kreditkartennummer, zahlreiche Angebote online genutzt werden könnten. Dabei wiesen diese Angebote eine unterschiedliche Bedeutung und damit auch stark variierende Sicherheitsstandards auf. Durch diese gemeinsame Nutzung entstünden daher zusätzliche Möglichkeiten für Identitätsdiebstahl da die Daten zum einen in schwach geschützten System leicht geklaut werden könnten, zum anderen anschließend für sensible Angebote verwendet werden könnten. Die Verwendung eines gemeinsamen Zugangsschlüssels für unterschiedliche Angebote sie daher abzulehnen.

Daneben seien zur Vermeidung von Identitätsdiebstahl die persönlichen Daten möglichst geheim zu halten. Neben der Verwendung von sicheren E-Mail Programmen und Browsern müsse auch die Briefpost, die Zugangsdaten enthalten könne, möglichst vertraulich behandelt werden. Für Angebote, die eine SSN verlangen, könne man eine „alternative“ SSN selbst erstellen, da diese meist nicht nachgeprüft werde. Insgesamt sei aber festzustellen, dass der Einzelne den Schutz zwar durch sein Verhalten erhöhen, aber niemals vollständig gewährleisten könne. Zudem würden viele Nutzer den Schutz ihrer Geräte immer noch nicht ernst nehmen und auf Schutzmaßnahmen nach wie vor verzichten. Insgesamt sei festzustellen, dass der Identitätsmißrauch im Internet stetig zunehme.

Systeme die ein zentrales Identitätsmanagement anbieten hätten zwar ein Vorteil bzgl. der Nutzbarkeit, würden zugleich aber große Risiken beinhalten. Bei einem Missbrauch sei quasi die gesamte Identität des Opfers betroffen. Dies sei umso schwer wiegender, da man als Opfer eines solchen Missbrauches kaum Möglichkeiten habe die Folgen zu beheben.

Zentrales Element in Kommunikationsnetzwerken sei das Vertrauen, bzw. die Vertrauenswürdigkeit des Gegenüber. Dies sei im Internet kaum feststellbar. SSL biete hierfür zwar eine Möglichkeit, sei aber zugleich leicht zu untergraben. Bestimmte Siegel oder Auszeichnungen die auf Vertrauenswürdigkeit schließen ließen seien leicht zu fälschen und daher kaum brauchbar. Es sei festgestellt worden, dass Websites mit Sicherheitssiegeln häufiger einen schädlichen Inhalt besitzen, als solche ohne entsprechende Auszeichnung.

In Netzwerken wie Facebook fühlten die Nutzer sich an einem vertrauenswürdigen, sicheren Ort. Daher würden sie dort viele Informationen angeben, die eigentlich als sensibel einzustufen seien.

Die Softwarehersteller würden die Sicherheitsrisiken teilweise selbst schaffen, da sie aus ökonomischen Gründen unausgereifte Software auf den Mark brächten. Dies sei für sie mit höheren Gewinnen verbunden. Ohne Sicherheitsupdates werde der Einzelne aber durch solche Software zum Sicherheitsrisiko. Zudem ist die Flexibilität der Software zwar praktisch um Updates aufzuspielen, andererseits bietet sie dadurch auch zusätzliche Angriffsfläche.

Ein gutes Mittel um Authentisierung im Internet vorzunehmen sie grds. die Biometrie. Allerdings seien auch hier viele Punkte zu berücksichtigen. Insbesondere gebe es zwischen den verschiedenen biometrischen Eigenschaften große Unterschiede in der Sicherheit.

 Zusammenfassend lasse sich feststellen, dass eine Entwicklung hin zu einem verstärkt anonymen Auftreten in der Online-Kommunikation und eine Dezentralisierung der Sicherheitssysteme angestrebt werden muss. Andernfalls werde der Identitätsdiebstahl weiterhin verstärkt zunehmen.

 

Das Buch von L. Jean Camp ist im Springer Verlag erschienen.

Urteile

Haftung des Finanzagenten gegenüber der Überweiserbank

Schreibe einen Kommentar
Das LG Bad Kreuznach (3 O 331/07) hat mit Urteil vom 31.1.2008 einen Finanzagenten zur Rückzahlung des an ihn aufgrund von Phishing gezahlten Geldes verurteilt. Obwohl dieser den überwiesenen Betrag bereits per Western Union weitergeleitet hatte, konnte er sich nach Ansicht des Gerichts nicht auf den Einwand der Entreicherung berufen.
 
Urteile

Ansprüche des Phishing-Opfers gegen den Finanzagenten

Schreibe einen Kommentar

Mit Urteil vom 05.12.2007 (Az. 9 S 195/07) änderte das LG Köln ein Urteil des AG Köln ab und sprach dem Phishing-Opfer einen Schadensersatzanspruch gegen den Geldkurier  zu.

Vom Konto des klagenden Phishing-Opfers waren ohne dessen Wissen und Wollen etwa 3.000 € von „einem oder mehreren unbekannten Tätern vermutlich osteuropäischer Herkunft“, so das LG Köln, auf das Konto des beklagten Geldkuriers überwiesen worden. Dieses Geld wurde sodann vom Geldkurier mittels Western Union an eine Person in Russland überwiesen, die ihm gegenüber den Namen M verwendete. Zuvor hatte der Geldkurier E-Mail-Kontakt zu einer weiteren Person, die sich N nannte. N erklärte dem Geldkurier, dass das Geld aus einer Erbschaft ihres verstorbenen Vaters stammen würde.

Das LG Köln führt aus, dass das AG Köln zwar einen Bereicherungsanspruch des Klägers mit zutreffender Begründung abgelehnt hat, der Kläger jedoch einen Schadensersatzanspruch aus § 823 Abs. 2 BGB i.V.m. § 261 Abs. 2, 5 StGB habe und dem Kläger ein Mitverschulden nicht zur Last falle.

Hierzu erläutert das LG Köln zunächst ausführlich, dass der Geldkurier sich durch den Transfer des Geldes einer strafbaren Geldwäsche i.S.d. § 261 Abs. 2 Nr. 1, 5 StGB schuldig gemacht habe. Hierbei habe der Beklagte leichtfertig nicht erkannt, dass das Geld aus einem Computerbetrug stammt. Bei objektiver Betrachtung hätte es für den Beklagten auf der Hand liegen müssen, dass das Geld nicht aus einer Erbschaft der N, sondern aus kriminellen Machenschaften stammen musste. Das Gericht nennt in seinem Urteil zahlreiche Anhaltspunkte, die für die Leichtfertigkeit des Beklagten sprechen. Zum einen erklärte die N bereits nach kurzer Zeit, in der lediglich E-Mails ausgetaucht wurden, den Beklagten zu lieben. Zum anderen seien vergleichbare Betrügereien seit langem bekannt und Gegenstand häufiger Meldungen in den Medien. Außerdem stammten die eingehenden Gelder nicht von einem Konto, sondern von drei verschiedenen, die wiederum drei verschiedene Kontoinhaber aufwiesen. Darüber hinaus wurde seitens der N nie ein nachvollziehbarer Grund genannt, warum das Konto des Beklagten zum Transfer benötigt werden würde. Letztendlich sei auch die Verwendung von Western Union für den Geldtransfer verdächtig gewesen. Die Verkennung dieser Umstände könne nach Ansicht des Gerichts in der Gesamtschau nur als besonders unachtsam bezeichnet werden.

Indem er sich einer Geldwäsche schuldig gemacht habe, habe der Beklagte auch ein Schutzgesetz i.S.d. § 823 Abs. 2 BGB verletzt. Nach der Ansicht des LG Köln schützt § 261 StGB auch das durch die Vortat verletzte Rechtsgut, vorliegend also das Vermögen des Klägers. Die Vorinstanz verneinte hingegen den Schutzgesetzcharakter des § 261 StGB.

Der Schaden des Klägers besteht nach der Ansicht des LG Köln in der Vertiefung des durch den Computerbetrug entstandenen Schadens. Durch den Transfer des Geldes nach Russland sei eine einfache Rückbuchung durch die Bank des Klägers nach der Verfügung des Beklagten über den Betrag nämlich nicht mehr möglich gewesen.

Ein Mitverschulden des Klägers bei der Entstehung des Schadens lehnte das Gericht ab. Grundsätzlich hinge ein Verschuldensvorwurf davon ab, wie die Täter an die Kontodaten des Beklagten gekommen sind und welche Sorgfaltsanforderungen an den Kläger als Nutzer von Internet und Online-Banking zu stellen sind.

Beim Online-Banking könne man von einem verständigen, technisch durchschnittlich begabten Anwender fordern, dass dieser eine aktuelle Virenschutzsoftware und eine Firewall verwendet und regelmäßig Sicherheitsupdates für sein Betriebssystem und die verwendete Software einspielt. Außerdem müsse ein Kontoinhaber die Warnungen der Banken beachten, PIN und TAN niemals auf Anforderung per Telefon oder Mail herauszugeben. Ebenso müsse er deutliche Hinweise auf gefälschte E-Mails und Internetseiten seiner Bank erkennen. Beispielhaft nennt das Gericht hier sprachliche Mängel, deutlich falsche Internetadressen, Adressen ohne https:// oder das fehlende Schlüsselsymbol in der Statusleiste. Die Verwendung besonders leistungsfähiger Virenschutzprogramme oder spezialisierter Software zum Schutz gegen Schadsoftware, die Veränderung der Standard-Sicherheitseinstellungen von Betriebssystem oder Programmen, das Arbeiten ohne Administratorrechte, die ständige Überprüfung der Zertifikate oder auch das Erkennen subtiler Abweichungen in der Internetadresse würden die Sorgfaltsanforderungen hingegen überspannen.

Ein Mitverschulden sei zwar anzunehmen, wenn der Kontoinhaber PIN und TAN aufgrund eines klassischen Phishing-Angriffs herausgibt. Einen solchen Angriff nahm das Gericht jedoch vorliegend nicht an. Es spreche kein Anscheinsbeweis für die Anwendung von Phishing durch die Täter, weil auch andere Angriffsmethoden gleichermaßen in Betracht kämen. Die Täter hätten die Daten nämlich auch mittels Malware (Viren, Trojaner etc.) ausspionieren können. Dies sei selbst dann möglich, wenn der Kontoinhaber seine IT hinreichend schützt und hinreichend aufmerksam ist. Auch aktuelle Virenschutzsoftware könne nicht immer die neuesten Schadprogramme erkennen. Von einem durchschnittlichen User von Online-Banking könne angesichts der vielfältigen technischen Möglichkeiten nicht erwartet werden, im Nachhinein nachzuvollziehen,  auf welchem Wege die Täter eines Computerbetruges an seine Kontodaten gelangt sind. Das Gericht ging daher auch nicht davon aus, dass die Täter die Kontodaten erlangt haben, weil der Kläger den geforderten Sorgfaltsmaßstab nicht eingehalten hat.

Hier finden Sie das Urteil im Volltext.

Hier finden Sie das vorangehende Urteil des AG Bergisch Gladbach.  

Recht Beiträge

Rechtsfragen der Internetportale im Gesundheitswesen

Schreibe einen Kommentar
Auch im Gesundheitswesen wird vermehrt die Einführung von Internetportalen erwogen, die ihren Teilnehmern schnellen Zugang zu wichtigen Informationen verschaffen und Verwaltungsvorgänge (beispielsweise Abrechnungen) erleichtern sollen. Derartige Internetportale werfen zahlreiche Rechtsfragen auf. Zu den wesentlichen rechtlichen Aspekten hat Prof. Dr. Georg Borges im Auftrag des TeleTrust e.V. eine Studie verfasst.

Rechtsfragen der Internetportale im Gesundheitswesen weiterlesen →

Urteile

Sorgfaltspflichten der Bank

Schreibe einen Kommentar
Das LG Karlsruhe hatte zu den Ansprüchen der Empfängerbank gegen den Geldkurier bei einem Phishing-Angriff zu entscheiden (Urteil vom 5.10.2007 – 3 O 47/07).
Der beklagte Geldkurier hatte auf seinem Konto innerhalb weniger Tage drei Überweisungen in Höhe von knapp 20.000 Euro empfangen, anschließend in bar abgehoben und, unter Einbehalt einer Provision, ins Ausland weitergeleitet. Die geschädigten Kontoinhaber hatten ihre Konten ebenfalls allesamt bei der klagenden Bank geführt. Die Bank belastete, offenbar nach Beschwerden der Kontoinhaber, das Konto des Geldkuriers mit den Beträgen der gefälschten Überweisungen. Nachdem dieses anschließend einen Sollsaldo i.H.v. über 18.000 Euro aufwies, kündigte die Bank das Konto des Beklagten.

Das Gericht erklärte die Kontobelastung beim Geldkurier im Grundsatz für rechtmäßig. Die Bank habe einen Anspruch aus ungerechtfertigter Bereicherung. Da die Aussagen der betroffenen Kontoinhaber glaubwürdig seien, könne davon ausgegangen werden, dass sie die Überweisungen nicht selbst veranlasst hätten. Auf das Vorliegen eines Anscheinsbeweises bei der Verwendung der richtigen PIN und TAN komme es daher nicht an. Auch ließen sich die gefälschten Überweisungen im vorliegenden Fall den Kontoinhabern nicht nach Rechtsscheingesichtspunkten zurechnen. Keiner der Kunden habe den Missbrauch zurechenbar veranlasst. Dies gelte auch, wenn der Kontoinhaber zweimal nacheinander zur Eingabe einer TAN aufgefordert werde. Die Überweisungen hätten daher ohne Rechtsgrund stattgefunden. Der von dem Kläger eingewandte Wegfall der Bereicherung nach § 818 Abs. 3 BGB, scheide zum einen wegen Nr. 8 AGB Banken, zum anderen auch nach § 166 Abs. 1 BGB analog aus.

Allerdings besteht nach Ansicht des LG der Anspruch nicht in voller Höhe. Die Bank müsse sich einen Schadensersatzanspruch des Geldkuriers entgegenhalten lassen, mit welchem der Geldkurier aufrechnen könne. Die Bank habe gegen ihre Sorgfaltspflichten verstoßen, indem sie nicht alles nötige getan habe, missbräuchlich veranlasste Überweisungen zu verhindern. Obwohl eines der Phishing-Opfer Unregelmäßigkeiten bei einem Online-Überweisungsvorgang der Bank gemeldet hatte, unterließ diese es, seine TAN-Listen zu sperren. Damit verstoße die Bank nicht nur gegen eine Pflicht dem Kontoinhaber gegenüber, sonder auch gegen ein Nebenpflicht gegenüber dem Geldkurier. Daher bestehe ein Schadensersatzanspruch des Geldkuriers gegen die Bank, der allerdings in Anbetracht des Mitverschuldens des Geldkuriers um die Hälfte zu reduzieren sei.