Das Urteil des Europäischen Gerichtshofs (EuGH) schafft wichtige Klarheit beim Umgang mit Phishing-Angriffen im Online-Banking. Die Richter haben entschieden, dass Banken den Schaden aus Phishing-Betrügereien grundsätzlich ersetzen müssen, wodurch die Verantwortung deutlich bei den Finanzinstituten liegt.
Das Urteil basiert auf der Idee, dass Banken als Dienstleister mit Pflichten zur Sicherung ihrer Systeme die bessere Position haben, um Betrügereien zu verhindern. Sie verfügen über Technologien und Fachwissen, um ihre Kunden vor derartigen Angriffen zu schützen. Phishing-Attacken sind so weit verbreitet und technisch raffiniert, dass es unreasonable wäre, Privatpersonen die alleinige Last aufzubürden.
Es gibt jedoch eine Ausnahme: Wenn der Kunde grob fahrlässig handelt oder vorsätzlich betrügt, kann die Bank ihre Zahlung verweigern. Dies betrifft etwa Fälle, in denen jemand wissentlich auf ein gefälschtes Link klickt oder Zugangsdaten an Unbekannte weitergibt, ohne überhaupt Vorsichtsmassnahmen zu treffen.
Praktisch bedeutet dieses Urteil einen signifikanten Schutz für Bank-Nutzer. Opfer von Phishing müssen sich nicht fürchten, dass die Bank ihre Ansprüche einfach abweist, solange sie zumindest Grundvorsichtsmassnahmen eingehalten haben. Die Beweislast liegt nun bei der Bank, zu zeigen, dass der Kunde fahrlässig oder betrügerisch handelte.
Für Schweizer IT-Dienstleister und ihre KMU-Kunden ist dieses Urteil beruhigend. Es verschärft zwar die Verantwortung der Finanzinstitute, aber es bietet Bankunden und damit auch kleineren Unternehmen eine wichtige Absicherung. Dennoch sollten Unternehmen weiterhin ihre Mitarbeiter regelmässig zu Phishing-Risiken schulen, denn die Gefahr bleibt real, und Prävention ist immer besser als Regressforderungen.