Die wichtigsten Verbraucherrechte und Bankpflichten nach der PSD2

• Unverzügliche Erstattung bei unautorisierten Zahlungen: Die Bank ist verpflichtet, den vollen Betrag eines nicht autorisierten Zahlungsvorgangs umgehend zu erstatten.
• Beweislast liegt bei der Bank: Die Bank muss nachweisen, dass der Kunde die Zahlung autorisiert hat – technische Systemprotokolle genügen nicht.
• Haftungsbegrenzung für Kunden: Verbraucher haften maximal mit 50 €, sofern sie nicht grob fahrlässig gehandelt haben.
• Sanktionen bei SCA-Verstoß: Wenn die Bank gegen die Pflicht zur Zwei-Faktor-Authentifizierung (SCA) verstößt, haftet sie vollumfänglich.
• Veraltete Verfahren bergen Risiken: Verfahren wie mTAN oder pushTAN auf demselben Gerät gelten als problematisch – bei Sicherheitslücken haftet die Bank.
• Pflicht zur Transaktionsüberwachung: Banken müssen verdächtige Transaktionen erkennen und auf Auffälligkeiten reagieren.
• Unsichere Verfahren sind angreifbar: Gerichte stufen einfache SMS-TAN-Verfahren zunehmend als unzureichend ein – zu Lasten der Bank.

Brauchen Sie Hilfe? Unsere Experten beraten Sie kostenlos und unverbindlich.

Zur Einschätzung

Im Detail: EU-Verordnung (EU) 2018/389 – Zusammenfassung der Hauptpunkte (PSD2 RTS)

Pflichten der Banken (Überwachung & Schutz vor Online-Betrug)

• Starke Kundenauthentifizierung (SCA): Zahlungsdienstleister (Banken) sind verpflichtet, bei Online-Zahlungen und Konto-Zugriffen eine starke Kundenauthentifizierung durchzuführen. Dies erfordert mindestens zwei unabhängige Authentifizierungsfaktoren aus den Kategorien Wissen (z. B. PIN/Passwort), Besitz (z. B. Smartphone, TAN-Generator) und Inhärenz (z. B. Fingerabdruck). Für jede Transaktion bzw. Sitzung muss ein einmaliger Authentifizierungscode generiert werden, der dynamisch mit Betrag und Empfänger verknüpft ist (d.h. jede TAN ist nur für genau diesen Zahlungsvorgang gültig). Dieses Verfahren soll sicherstellen, dass ein abgefangener Code nicht für betrügerische Transaktionen wiederverwendet werden kann.
• Pflicht zur Transaktionsüberwachung: Banken müssen Echtzeit-Überwachungssysteme einrichten, um unautorisierte oder betrügerische Zahlungsvorgänge zu erkennen. Die Regulatorischen Technischen Standards schreiben vor, dass diese Monitoring-Mechanismen verschiedene Risikofaktoren auswerten. Mindestens sind z. B. zu berücksichtigen: eine Blacklist gestohlener Authentifizierungsdaten, der Transaktionsbetrag, bekannte Betrugsmuster (z. B. typische Phishing-Konstellationen) und Anzeichen von Malware-Infektion während des Authentifizierungsvorgangs. Auffälligkeiten oder Abweichungen vom normalen Nutzungsverhalten des Kunden sollen so erkannt und ggf. die Zahlung blockiert oder einer verstärkten Prüfung unterzogen werden.
• Risiko-basierte Ausnahmen: Grundsätzlich muss SCA für alle elektronischen Zahlungen angewendet werden; jedoch erlaubt die Verordnung eng begrenzte Ausnahmen, sofern strikte Sicherheitskriterien erfüllt sind. So kann bspw. bei **Kleinbetragszahlungen, wiederkehrenden Zahlungen, vertrauten Empfängern oder Transaktionen mit geringem Risiko im Einzelfall auf SCA verzichtet werden. Voraussetzung ist u. a., dass die Bank durch ihre Risikoprüfung (Transaktionsrisiko-Analyse) kein auffälliges Muster erkennt und ihre betrugsbezogenen Verlustraten unter definierten Schwellen liegen. Diese Ausnahmen dienen der Benutzerfreundlichkeit, setzen aber eine nachweislich effektive Betrugserkennung und -begrenzung seitens der Bank voraus. Bei Überschreiten der Risikoschwellen oder atypischen Transaktionen muss die Bank wieder SCA anwenden.
• Sichere Schnittstellen (APIs) für Drittanbieter: Im Rahmen der PSD2-Open-Banking-Vorgaben sind kontoführende Zahlungsdienstleister verpflichtet, sichere Zugangsschnittstellen für Drittanbieter bereitzustellen. Dies bedeutet, dass z. B. Zahlungsinitiierungsdienste und Kontoinformationsdienste über eine spezielle API auf die Konten zugreifen können, anstatt wie früher Screen-Scraping mit Kunden-Passwörtern zu nutzen. Die bereitgestellte Schnittstelle muss sämtliche Anforderungen der Verordnung erfüllen (etwa Vorgaben aus Art. 30 und 32 RTS) – dazu zählen hohe Sicherheitsstandards (etwa Verschlüsselung und starke Kundenauthentifizierung auch für den Drittzugriff) sowie eine Verfügbarkeit und Leistungsfähigkeit mindestens auf dem Niveau des normalen Online-Bankings für Kunden. Drittanbieter müssen sich gegenüber der Bank eindeutig identifizieren (z. B. mittels qualifizierter Zertifikate), und die Kommunikation zwischen Bank und Drittanbieter ist gegen Unbefugte zu schützen (Integrität und Vertraulichkeit der Daten gemäß den gemeinsamen Standards der RTS).
• Notfallmechanismus & Ausnahmeregelung: Falls die dedizierte API-Schnittstelle der Bank ausfällt oder nicht ordnungsgemäß funktioniert, schreibt die Verordnung einen Notfallmechanismus vor. In diesem Fall muss der Drittanbieter vorübergehend auf alternative Weise Zugriff erhalten können (z. B. über das normale Online-Banking des Kunden als Fallback-Lösung). Banken können sich von der Pflicht zur Bereitstellung dieses Fallback-Zugangs befreien lassen, wenn sie der Aufsicht nachweisen, dass ihre API über einen längeren Zeitraum stabil, sicher und von Drittanbietern erfolgreich getestet wurde. Die Europäische Bankenaufsichtsbehörde (EBA) hat hierzu Leitlinien veröffentlicht, die Bedingungen für eine Ausnahme vom Notfallmechanismus definieren (EBA/GL/2018/07). Die deutsche Aufsicht (BaFin) orientiert sich an diesen Vorgaben bei der Ausnahmegenehmigung. Insgesamt soll so sichergestellt werden, dass Schnittstellen sicher und zuverlässig funktionieren, ohne berechtigte Drittanbieter vom Marktzugang auszuschließen.

Rechte und Ansprüche der Kunden (PSD2-Verbraucherschutz)

• Unverzügliche Erstattung bei unautorisierten Zahlungen: Wurde ein Zahlungsvorgang ohne Autorisierung des Kunden vorgenommen (z. B. durch einen Betrüger via Online-Banking), haftet grundsätzlich die Bank als Zahlungsdienstleister. Sie ist verpflichtet, den vollen Betrag des nicht autorisierten Zahlungsvorgangs unverzüglich an den Kunden zu erstatten. In der Praxis muss die Gutschrift in der Regel spätestens bis zum nächsten Geschäftstag erfolgen, sobald der Vorfall der Bank gemeldet wurde. Zudem muss die Bank ein belastetes Konto wieder auf den Stand bringen, der ohne die fragliche Zahlung bestanden hätte. Dieses Erstattungsrecht gibt Kunden Sicherheit, schnell wieder über ihr Geld verfügen zu können.
• Begrenzte Eigenhaftung des Kunden: Verbraucher haften nur in sehr begrenztem Umfang für Schäden aus missbräuchlichen Zahlungsvorgängen. PSD2 hat die maximale Selbstbeteiligung des Zahlers im Falle von missbräuchlichen Zahlungen (etwa bei gestohlenen Karten oder ausgespähten Zugangsdaten) von vormals 150 € auf 50 € gesenkt. Das heißt, solange der Kunde nicht grob fahrlässig oder vorsätzlich zur Kompromittierung seiner Sicherheitsmerkmale beigetragen hat, trägt er höchstens 50 € Eigenverlust – den Rest übernimmt die Bank. Wenn dem Kunden kein Verschulden (auch keine grobe Fahrlässigkeit) zur Last liegt – z. B. bei professionellem Betrug ohne Mitwirkung des Kunden – haftet er in der Regel gar nicht und erhält den vollen Schaden erstattet. Diese Haftungsgrenze stärkt die Verbraucherrechte und übt zugleich Druck auf Banken aus, für hohe Sicherheitsstandards zu sorgen.
• Beweislast zugunsten des Kunden: Im Streitfall um eine strittige Zahlung liegt die Darlegungs- und Beweislast grundsätzlich bei der Bank. Kann ein Kunde also glaubhaft machen, eine bestimmte Überweisung oder Zahlung nicht autorisiert zu haben, muss die Bank nach § 675w BGB nachweisen, dass der Zahlungsvorgang ordnungsgemäß authentifiziert wurde – d. h., dass die nach PSD2 vorgeschriebene Sicherungsprozedur (SCA) tatsächlich durchlaufen und keine technische Panne bekannt wurde. Wichtig: Selbst wenn die Bank nachweisen kann, dass ihr System eine korrekte Zwei-Faktor-Authentifizierung durchgeführt hat, ist dies laut Gesetz nicht automatisch ausreichend als Beweis dafür, dass der Kunde wirklich zugestimmt hat. Es bleibt Raum für Zweifel, ob nicht dennoch ein Betrug vorlag (z. B. wenn die Sicherheitsverfahren überwunden wurden). Diese Regelung stellt sicher, dass Banken nicht allein aufgrund technisch aufgezeichneter Authentifizierungen den Kunden die Verantwortung zuschieben können – verbleibende Zweifel gehen tendenziell zulasten der Bank.
• SCA-Compliance beeinflusst Haftung: Die Einhaltung der SCA-Pflichten durch die Bank ist entscheidend für die Haftungsverteilung. Hat die Bank gegen die Pflicht zur starken Kundenauthentifizierung verstoßen, darf sie den Kunden für daraus entstandene Schäden nicht in Anspruch nehmen. Konkret bedeutet dies: Wird etwa beim Online-Banking-Login oder bei einer Überweisung keine Zwei-Faktor-Authentifizierung verlangt, haftet der Kunde nicht für eventuelle unautorisierte Abbuchungen, die daraus resultieren. Dieses Haftungsprivileg des Kunden ist in § 675v Abs. 4 BGB verankert und soll Banken anhalten, SCA konsequent umzusetzen. Umgekehrt können Banken, die alle PSD2-Vorgaben erfüllen, im Betrugsfall argumentieren, sie hätten ihre Sorgfaltspflichten erfüllt – müssen aber dennoch im Einzelfall die Umstände des Betrugs beweisen.

Relevanz in der Praxis: Online-Banking-Betrugsfälle und Bankpflichten

• Berufung auf RegVerstöße: Geschädigte Kunden (Opfer von Online-Banking-Betrug) können sich im Streit mit der Bank auf Verstöße der Bank gegen die PSD2/RTS-Pflichten berufen. Insbesondere ein Verstoß gegen Sicherheitsvorgaben (z. B. wenn die Bank entgegen Art. 97 PSD2 bzw. § 55 ZAG keine starke Kundenauthentifizierung eingeholt hat) stärkt die Position des Kunden erheblich. In so einem Fall gilt der Zahlungsvorgang als „nicht autorisiert“, und der Kunde kann auf vollständige Erstattung pochen. Gerichte werden dann regelmäßig der Bank die Haftung auferlegen, da sie die vorgeschriebenen Schutzmaßnahmen nicht eingehalten hat.
• Unsichere Authentifizierungsverfahren: Ein häufiger praktischer Streitpunkt ist, ob das eingesetzte Sicherungsverfahren den gesetzlichen Anforderungen genügte. Banken müssen nachweisen, dass ihr gewähltes 2-Faktor-Verfahren ausreichend sicher war. Wird das Sicherheitsniveau angezweifelt, wirkt sich das zugunsten des Kunden aus. Beispiel: Das Landgericht Heilbronn (Urteil vom 16.05.2023, Az. 6 O 10/23) äußerte Zweifel, ob das pushTAN-Verfahren auf demselben Smartphone die Anforderungen an eine Zwei-Kanal-Sicherheit erfüllt – da hier Banking-App und TAN-App auf einem Gerät laufen, sei die Trennung der Kommunikationswege aufgehoben. Allerdings stellt Art. 9 Abs. 2 der Verordnung klar, dass auch auf einem einzigen Gerät die geforderte Unabhängigkeit der Authentifizierungsmerkmale gewährleistet werden kann, sofern entsprechende technische Schutzvorkehrungen implementiert sind. In der Praxis bedeutet dies: Solange die Bank nach RTS-Vorgaben sicherstellt, dass ein kompromittierter Faktor (z. B. Malware in der Banking-App) nicht automatisch den zweiten Faktor kompromittiert, gilt das Verfahren als zulässig. Unsichere Verfahren (wie etwa einfache mTAN/SMS-TAN ohne ausreichende Verschlüsselung) wurden von Gerichten hingegen als angreifbar eingestuft – hier fehlt die „praktische Unüberwindbarkeit“ des Verfahrens, sodass kein Anscheinsbeweis zulasten des Kunden greift. Banken, die veraltete oder als unsicher bekannte Methoden einsetzen, haben im Streitfall also schlechte Karten, die Verantwortung auf den Kunden abzuwälzen.
• Überwachungspflichten und Anomalien: In Betrugsprozessen wird mitunter geprüft, ob die Bank auffällige Transaktionsmuster übersehen und damit ihre Sorgfaltspflichten verletzt hat. Die RTS verlangen proaktive Betrugserkennung; daher könnten krasse Abweichungen (z. B. eine plötzliche Serie hoher Auslandsüberweisungen vom Konto eines sonst wenig aktiven Kunden) im Nachhinein als Warnsignal gewertet werden. Hat die Bank trotz solcher Alarmzeichen keine zusätzlichen Prüfungen vorgenommen oder Zahlungen freigegeben, kann dies vor Gericht zu ihren Lasten ausgelegt werden. Allerdings ist dieser Aspekt in der Praxis schwierig: Banken dürfen den Zahlungsverkehr nicht ohne Anlass blockieren, und Betrüger versuchen, Warnsignale zu minimieren. Nur grobe Versäumnisse – etwa wenn elementare Monitoring-Vorgaben der RTS völlig ignoriert wurden – führen typischerweise zu einer Haftungsbeteiligung der Bank. Dennoch kann der geschädigte Kunde argumentieren, die Bank hätte bei Befolgung der RTS-Pflichten (wie Anomalie-Erkennung) den Betrug möglicherweise verhindern oder früher stoppen können. Solche Argumente erhöhen den Druck auf Banken, ihre Überwachungssysteme ständig zu verbessern, um im Ernstfall nicht regresspflichtig zu werden.
• Durchsetzung der Kundenrechte: Die in der Verordnung verankerten Pflichten und Verbraucherrechte geben geschädigten Kunden wirksame Hebel in Rechtsstreitigkeiten. So kann der Kunde z. B. auf die Beweislastregel verweisen, wonach die Bank die ordnungsgemäße Authentifizierung nachzuweisen hat – was bei komplexen Phishing-Konstellationen oft schwierig ist. Auch die strikte Haftungsumkehr bei SCA-Verstößen der Bank liefert dem Kunden ein starkes Argument. In vielen Fällen lenken Banken ein und erstatten den Schaden, wenn klar wird, dass sie ansonsten gegen die PSD2-Vorgaben verstoßen hätten. Letztlich hat die Regulierung ein ausgewogeneres Risikoverhältnis geschaffen: Banken tragen das Hauptbetrugsrisiko, solange der Kunde nicht grob fahrlässig handelt, und Kunden können sich auf einen klar geregelten Anspruch auf Erstattung berufen. Dieses Zusammenspiel aus Bankpflichten und Kundenrechten sorgt dafür, dass Opfer von Online-Betrug rechtlich besser geschützt sind und im Streitfall gute Erfolgsaussichten haben, ihr Geld zurückzubekommen.

Warum Rechtsanwaltsgesellschaft Appelt Krause mbH?

Die Rechtsanwälte der Rechtsanwaltsgesellschaft Appelt Krause mbH sind durch ihre Doppelqualifikation im Bank- und Kapitalmarktrecht und IT-Recht die idealen Ansprechpartner um die komplexe EU-Verordnung (EU) 2018/389 (PSD2 RTS) zu durchblicken und für ihre Mandanten erfolgreich gegen Banken einzusetzen.