{"id":4480,"date":"2024-03-18T06:30:00","date_gmt":"2024-03-18T05:30:00","guid":{"rendered":"https:\/\/hub.hslu.ch\/economiccrime\/?p=4480"},"modified":"2026-02-11T14:53:33","modified_gmt":"2026-02-11T13:53:33","slug":"bankkonto-in-gefahr-angriff-mittels-e-mail-hacking-social-engineering-und-unterschriftenfaelschung","status":"publish","type":"post","link":"https:\/\/hub.hslu.ch\/economiccrime\/bankkonto-in-gefahr-angriff-mittels-e-mail-hacking-social-engineering-und-unterschriftenfaelschung\/","title":{"rendered":"Bankkonto in Gefahr: Angriff mittels E-Mail-Hacking, Social Engineering und Unterschriftenf\u00e4lschung"},"content":{"rendered":"\n

Von Claudio Kerber<\/a><\/p>\n\n\n\n\n\n

Patrick O’Quinn (Name ge\u00e4ndert) hatte lange als Chemiker in der Schweiz gearbeitet. Nach seiner Pensionierung im Jahr 2013 kehrte er zur\u00fcck in seine Heimatstadt Galway an der Westk\u00fcste Irlands. Ein Sparkonto in der H\u00f6he von rund CHF 150’000 beliess er bei einer Regionalbank in der Schweiz. Auf dem Konto fanden in all den Jahren kaum Bewegungen statt.<\/p>\n\n\n\n

Mitte 2021 informierte die Bank O’Quinn, dass das E-Banking neu aufgesetzt werde. Von Irland aus konnte er den neuen Zugang per SMS jedoch aus technischen Gr\u00fcnden nicht aktivieren, sodass er online keinen Zugriff mehr auf sein Konto hatte. Anfang 2022 erhielt er per Post einen Kontoauszug, der einen Jahresendsaldo von nurmehr wenigen hundert Franken auswies. Bei Durchsicht des Kontoauszugs fielen ihm f\u00fcnf Ausland\u00fcberweisungen von insgesamt CHF 149’000 auf, die ihm nichts sagten. Erstaunt verlangte O’Quinn von seiner Bank eine Erkl\u00e4rung. Aus den Detailbelegen ergab sich, dass die \u00dcberweisungen auf Konten unbekannter Gesellschaften in England geflossen waren. Innerhalb von knapp zwei Monaten wurde so fast sein gesamtes Konto leerger\u00e4umt. O’Quinn erkl\u00e4rte gegen\u00fcber der Bank, weder die \u00dcberweisungen in Auftrag gegeben zu haben, noch die Empf\u00e4nger der Zahlungen zu kennen und reichte Strafanzeige ein. Im Rahmen der Strafuntersuchung lieferte die Bank weitere Unterlagen, aus denen sich Folgendes ergab:<\/p>\n\n\n\n

Eine unbekannte T\u00e4terschaft hatte sich Zugang zum E-Mail-Konto der Ehefrau von Patrick O’Quinn verschafft, die auf dem Bankkonto Vollmacht hatte. \u00dcber das gekaperte E-Mail wurde eine umfangreiche Kommunikation mit der Kontobetreuerin der Bank gestartet, wobei die T\u00e4terschaft vorspiegelte, die Frau des Kunden zu sein. Bei diesem Vorgehen handelt es sich um eine sogenannte «Person-in-the-middle»-Attacke. Dabei agiert die T\u00e4terschaft als Mittelsperson zwischen den beiden Kommunikationspartnern. W\u00e4hrend gewisse Schreibmuster der Ehefrau teilweise t\u00e4uschend echt imitiert wurden, enthielten die E-Mails gleichzeitig zahlreiche Tippfehler und waren in bisweilen fehlerhaftem Englisch verfasst. Dies passte nicht zum Umstand, dass es sich bei den O’Quinns um Personen englischer Muttersprache handelte. Der Bankmitarbeiterin fiel dies aber nicht auf, mutmasslich, weil sie selbst nur beschr\u00e4nkte Englischkenntnisse hatte.<\/p>\n\n\n\n

Nach einer Aufw\u00e4rmphase, die dazu diente, auf kommunikativer Ebene einen pers\u00f6nlichen Draht zur Bankmitarbeiterin aufzubauen, versuchte die T\u00e4terschaft, einen \u00dcberweisungsauftrag per E-Mail zu erteilen. Die Bankmitarbeiterin entgegnete korrekterweise, dass die Bank keine Zahlungsauftr\u00e4ge per E-Mail akzeptiere. Daraufhin erhielt die Bank einen ausgedruckten Zahlungsauftrag per DHL mit der vermeintlich echten Unterschrift Patrick O’Quinns. Gest\u00fctzt darauf f\u00fchrte die Bank eine erste \u00dcberweisung zugunsten einer Sitzgesellschaft in England aus. In der Folge erhielt die Bank in Abst\u00e4nden von einigen Tagen weitere vier \u00dcberweisungsauftr\u00e4ge per DHL, ebenfalls alle zugunsten von Gesellschaften in England, welche keinen ersichtlichen Bezug zum Kunden hatten. Im Vorfeld der Zahlungsauftr\u00e4ge erfolgte jeweils ein reger E-Mail-Verkehr. Dabei wurde versucht, der Bank eine Geschichte zu den Zahlungsauftr\u00e4gen zu liefern. So etwa die Behauptung, die O’Quinns seien gerade daran, eine Wohnung in London zu kaufen und m\u00fcssten dringend eine Anzahlung leisten. Andere E-Mails wiederum zielten darauf ab, weitere Informationen zum Konto beziehungsweise zum Kontostand zu ergattern, was teilweise auch gelang.<\/p>\n\n\n\n

Trotz zahlreicher Warnsignale f\u00fchrte die Bank s\u00e4mtliche \u00dcberweisungen aus, ohne mit O’Quinn R\u00fccksprache zu nehmen, beziehungsweise sich zu versichern, dass die Auftr\u00e4ge tats\u00e4chlich von ihm autorisiert waren. Dadurch gelang es der T\u00e4terschaft, innerhalb von zwei Monaten das gesamte Sparkonto leerzur\u00e4umen. Die Unterschriften auf den per DHL zugesandten Zahlungsauftr\u00e4gen stellten sich als plumpe F\u00e4lschungen heraus. Der Bank entgingen die teilweise augenscheinlichen Abweichungen von der Referenzunterschrift.<\/p>\n\n\n\n

Eine unerlaubte Handlung seitens der Bank beziehungsweise deren Mitarbeitenden liess sich nicht feststellen. Auch ein Rechtshilfeersuchen an die englischen Beh\u00f6rden f\u00f6rderte keine unmittelbar verwertbaren Informationen zutage. Somit r\u00fcckte die Frage der zivilrechtlichen Haftung der Bank ins Zentrum. Wie sieht die Rechtsprechung des Bundesgerichts dazu aus?<\/p>\n\n\n\n

Zivilrechtliche Haftung der Banken<\/strong><\/p>\n\n\n\n

Das Bundesgericht geht bereits seit Jahrzehnten vom Grundsatz aus, dass sich Bankkunden Kontobelastungen, die auf F\u00e4lschungen oder andere Legitimationsm\u00e4ngel basieren, nicht anrechnen lassen m\u00fcssen. Ihre Anspr\u00fcche gegen\u00fcber der Bank sind in solchen F\u00e4llen nicht Schadenersatz-, sondern Erf\u00fcllungsanspr\u00fcche, was sich wesentlich auf das Haftungsgef\u00fcge zwischen Bank und Kunden auswirkt.<\/p>\n\n\n\n

Im Entscheid BGE 146 III 121<\/a> aus dem Jahr 2019 fasste das Bundesgericht seine Rechtsprechung zu dieser Thematik zusammen und stellte, geradezu lehrbuchartig, ein dreistufiges Pr\u00fcfprogramm auf:<\/p>\n\n\n\n

Erste Stufe<\/strong>:<\/em> Bez\u00fcglich des Hauptanspruchs des Kunden auf Auszahlung seines ungeschm\u00e4lerten Kontoguthabens ist zun\u00e4chst zu pr\u00fcfen, ob die Bank die fragliche \u00dcberweisung an einen Dritten auf Weisung, also mit Auftrag\/Erm\u00e4chtigung, oder ohne Weisung, also ohne Auftrag\/Erm\u00e4chtigung, des Kunden vorgenommen hat:<\/p>\n\n\n\n