Überweisungsbetrug: Codes beweisen keine Zustimmung

Von Pierre-Louis Roquet, Rechtsanwalt der Rechtsanwaltskammer Lyon | 28 juillet 2026 | Lesezeit : 9 min
Vektorillustration: Bank-Sicherheitstoken und unterbrochene Authentifizierungskette

Cass. com., 1. Juli 2026: Die registrierte Nutzung von Sicherheitscodes beweist nicht die Zustimmung des Zahlers. Analyse und Konsequenzen für Unternehmen.

Analyse eines Urteils des Kassationshofs, Handelskammer (Cass. com.), vom 1. Juli 2026, Nr. 25-13.134, von Pierre-Louis Roquet, Rechtsanwalt für Wirtschaftsrecht in Lyon.

Am 23. November 2020 wurden drei Überweisungen vom Konto eines Industrieunternehmens, das bei Crédit Lyonnais geführt wurde, getätigt. Das Unternehmen behauptet, diese nie angeordnet zu haben. Die Computerprotokolle der Bank erzählen eine andere Geschichte: eingegebene ID, validierter Zugangscode zum Online-Bereich, „Token“, der von der einem Mitarbeiter zugewiesenen Sicherheitsbox generiert wurde. Aus Systemsicht ist alles regulär.

Diese scheinbare Regularität führte dazu, dass das Unternehmen seinen Prozess vor dem Pariser Berufungsgericht verlor. Die Argumentation der Pariser Richter war denkbar einfach: Da das Zahlungsinstrument in der vertraglich vereinbarten Form verwendet wurde, wird die Zustimmung des Kontoinhabers vermutet.

Die Handelskammer hat diese Abkürzung zensiert. Das Urteil vom 1. Juli 2026, im Bulletin veröffentlicht, hebt die Pariser Entscheidung vom 22. Januar 2025 in allen ihren Bestimmungen auf und verweist die Angelegenheit an das Berufungsgericht Versailles zurück. Die Begründung ist klar: Indem das Berufungsgericht die Zustimmung aus der vertraglich vereinbarten Form ableitete, kehrte es die Beweislast um.

Der Mechanismus der Artikel L. 133-6 und L. 133-7 des Währungs- und Finanzgesetzes (code monétaire et financier) ist jedoch eindeutig. Eine Zahlungstransaktion ist autorisiert, wenn der Zahler ihrer Ausführung zugestimmt hat. Diese Zustimmung wird in der zwischen dem Zahler und seinem Zahlungsdienstleister vereinbarten Form erteilt. Andernfalls gilt die Transaktion als nicht autorisiert. Die vereinbarte Form ist der Kanal der Zustimmung, sie ist nicht der Beweis dafür.

Artikel L. 133-23 ergänzt die Bestimmung. Wenn der Nutzer bestreitet, eine ausgeführte Transaktion autorisiert zu haben, obliegt es dem Dienstleister nachzuweisen, dass diese authentifiziert, ordnungsgemäß erfasst und verbucht wurde und nicht durch einen technischen oder sonstigen Mangel beeinträchtigt war. Derselbe Text fügt einen Satz hinzu, den die Institute manchmal lieber im Dunkeln lassen: Die Verwendung des Zahlungsinstruments, wie sie vom Dienstleister aufgezeichnet wurde, reicht als solche nicht unbedingt aus, um zu beweisen, dass die Transaktion vom Zahler autorisiert wurde.

Das Verbindungsprotokoll ist keine Unterschrift

Die ganze Schwierigkeit liegt in dieser Unterscheidung. Die Bank, die ihre technischen Aufzeichnungen vorlegt, erfüllt die erste Anforderung des Textes, die Authentifizierung. Sie beweist, dass ihre Systeme funktioniert haben. Sie beweist nicht, dass ein Wille hinter dem Auftrag stand. Die Verwechslung beider Punkte führt dazu, dass dem geschädigten Unternehmen ein negativer Beweis aufgebürdet wird, den es per Hypothese nicht erbringen kann, nämlich die Operation nicht gewollt zu haben.

Die Lösung ist kein Bruch. Sie setzt Cass. com., 18. Januar 2017, Nr. 15-18.102 fort, das bereits entschied, dass der Beweis einer groben Fahrlässigkeit des Zahlers nicht allein aus der Tatsache abgeleitet werden kann, dass das Zahlungsinstrument oder die damit verbundenen Daten tatsächlich verwendet wurden. Im Jahr 2017 befasste sich der Hof mit dem zweiten Teil der Argumentation, der des Fehlverhaltens des Benutzers. Im Jahr 2026 befasst er sich mit dem ersten, der der Autorisierung der Operation selbst. Die beiden Hürden sind nun gesetzt und schließen in dieselbe Richtung.

Der praktische Effekt ist beträchtlich. Eine Bank wird einen Rechtsstreit wegen Überweisungsbetrugs nicht mehr gewinnen, indem sie lediglich die Computerprotokolle der Verbindung vorlegt. Die technische Debatte verschiebt sich auf das, was ihre Protokolle nicht aussagen: die ursprüngliche IP-Adresse, das verwendete Gerät, den Zeitstempel, die Übereinstimmung des Begünstigten mit der Kontohistorie, das Vorhandensein einer unbeantworteten Sicherheitswarnung.

Was sich für Unternehmen und ihre Kontoverträge ändert

Für Lyoner Unternehmen, die mit einer Veruntreuung konfrontiert sind, beginnt die nützliche Abfolge vor dem Prozess. Artikel L. 133-18 verpflichtet den Dienstleister, den Betrag der nicht autorisierten Transaktion unverzüglich nach Kenntnisnahme und spätestens am Ende des folgenden Geschäftstages zu erstatten, es sei denn, er hat triftige Gründe, einen Betrug des Nutzers zu vermuten, Gründe, die er dann schriftlich der Banque de France mitteilen muss. Diese Erstattung ist eine Vorbedingung, nicht das Ergebnis einer gerichtlichen Auseinandersetzung. Dies schriftlich, mit dem Gesetzestext in der Hand, zu erinnern, ändert oft den Ton der Diskussion.

Ein Vorbehalt ist angebracht, und er ist für juristische Personen von erheblicher Bedeutung. Artikel L. 133-2 erlaubt den Parteien, vertraglich von Artikel L. 133-23 sowie von den Artikeln L. 133-19 und L. 133-20 abzuweichen, sofern der Nutzer keine natürliche Person ist, die für nicht-professionelle Zwecke handelt. Die Beweisregel, die der Kassationshof gerade durchgesetzt hat, ist daher gegenüber einer Gesellschaft dispositiv. Die Definition der autorisierten Operation, in den Artikeln L. 133-6 und L. 133-7, entzieht sich hingegen dieser Abweichungsmöglichkeit.

Die Konsequenz für die Prüfung und Verhandlung von Kontoverträgen ist unmittelbar. Die Bestimmungen bezüglich des Nachweises von Aufträgen, der Vermutungen im Zusammenhang mit der Verwendung personalisierter Sicherheitsvorrichtungen und der Beweiskraft der Bankaufzeichnungen müssen neu gelesen werden. Eine von der Bank geschickt formulierte Klausel kann einen Teil der Auswirkungen des Urteils neutralisieren. Eine ungeschickte Klausel, die vorgeben würde, allein die Verwendung der Vorrichtung als Beweis der Zustimmung anzusehen, würde sich dem zwingenden Fundament der Artikel L. 133-6 und L. 133-7 entgegenstellen. Diese Prüfung gehört zur gängigen Bankpraxis einer Lyoner Kanzlei, ebenso wie die Tarifbedingungen oder die Wertstellungstermine.

Was das Urteil offen lässt

Die Kassation ist kein Sieg. Vor dem Berufungsgericht Versailles bleiben der Bank zwei Ansatzpunkte. Der Nachweis der Zustimmung, den sie anders als über ihre Protokolle zu erbringen versuchen kann. Der Nachweis der groben Fahrlässigkeit des Nutzers im Sinne von Artikel L. 133-19, IV, der sie von jeder Erstattungspflicht befreit, wobei es ihr obliegt, diesen Nachweis zu erbringen. Die Handelskammer hat den zweiten Teil des Klagegrundes nicht geprüft und äußert sich nicht zur Zurechnung der Handlungen der Mitarbeiterin, die die Box besaß, an die Gesellschaft. Unter welchen Bedingungen das Verhalten eines préposé als Zustimmung des Zahlers gilt, bleibt eine offene Frage.

Eine letzte Grenze entscheidet oft über den Ausgang des Falls. Die Regelung der nicht autorisierten Zahlungsvorgänge setzt voraus, dass der Auftrag nicht vom Kunden stammt. Bei Betrug durch einen falschen Lieferanten oder falschen Geschäftsführer, wo ein getäuschter Mitarbeiter die Überweisung selbst tätigt, ist die Transaktion autorisiert und Artikel L. 133-18 findet keine Anwendung. Die Debatte verlagert sich dann auf die Sorgfaltspflicht des Bankers und die offensichtliche Anomalie, mit einer deutlich weniger kundenfreundlichen Beweislast. Diese Linie bereits beim ersten Beschwerdeschreiben zu ziehen, ist entscheidend.

Häufig gestellte Fragen

Meine Bank weigert sich, eine betrügerische Überweisung zu erstatten, was tun?

Reichen Sie unverzüglich eine schriftliche Beschwerde ein, in der Sie ausdrücklich bestreiten, die Transaktion autorisiert zu haben, und verweisen Sie auf die Artikel L. 133-18 und L. 133-23 des Währungs- und Finanzgesetzes. Fordern Sie die vollständige Übermittlung der technischen Authentifizierungsdaten an. Die Weigerung muss begründet sein. Bleibt die Bank hartnäckig, muss die zuständige Gerichtsbarkeit schnell angerufen werden, ohne den Ablauf der Einspruchsfristen abzuwarten.

Die Bank legt Protokolle vor, die die Verwendung meiner Codes zeigen – ist der Fall verloren?

Nein. Seit dem Urteil vom 1. Juli 2026 beweist die Verwendung des Zahlungsinstruments in der vertraglich vorgesehenen Form allein nicht, dass der Zahler zugestimmt hat. Diese Aufzeichnungen belegen die Authentifizierung, nicht den Willen. Es obliegt der Bank, ihren Nachweis zu vervollständigen, vorausgesetzt, Sie haben die Zustimmung von Anfang an ausdrücklich bestritten.

Innerhalb welcher Frist muss eine betrügerische Überweisung angefochten werden?

Artikel L. 133-24 verpflichtet, die Transaktion unverzüglich und spätestens innerhalb von dreizehn Monaten nach dem Belastungsdatum anzuzeigen. Nach Ablauf dieser Frist ist die Klage auf Erstattung ausgeschlossen. In der Praxis muss die Meldung sofort nach Entdeckung erfolgen, da jede Verzögerung den Vorwurf der Fahrlässigkeit gegenüber dem Unternehmen nährt.

Muss die Bank erstatten, bevor der Streit entschieden ist?

Ja, grundsätzlich. Artikel L. 133-18 sieht eine sofortige Erstattung vor, spätestens am Ende des ersten Werktages nach Kenntnisnahme der beanstandeten Transaktion. Die einzige Ausnahme ist der begründete Verdacht auf Betrug des Nutzers, den das Institut schriftlich der Banque de France melden muss. Diese Erstattung ist nicht an ein Gutachten gebunden.

Genießt mein Unternehmen den gleichen Schutz wie eine Privatperson?

Nicht unbedingt. Artikel L. 133-2 erlaubt es, vertraglich mehrere Schutzvorschriften, einschließlich derjenigen zur Beweislast, auszuschließen, wenn der Nutzer keine natürliche Person ist, die zu nicht-professionellen Zwecken handelt. Der Kontovertrag muss daher vor jeder strategischen Entscheidung im Rechtsstreit gelesen werden.

Fällt der „Präsidentenbetrug“ unter dieselbe Regelung?

Nein. Wenn ein getäuschter Mitarbeiter die Überweisung selbst tätigt, ist die Transaktion im Sinne der Texte autorisiert und Artikel L. 133-18 findet keine Anwendung. Die Haftung der Bank kann dann nur aufgrund ihrer Sorgfaltspflicht bei offensichtlichen Anomalien geltend gemacht werden, was einen deutlich schwerwiegenderen Nachweis erfordert.

Führt die Veruntreuung von Mitarbeiter-Codes zur Haftung des Unternehmens?

Diese Frage ist nicht endgültig geklärt. Das Urteil vom 1. Juli 2026 äußert sich nicht zur Zurechnung der Handlungen des Inhabers der Sicherheitsvorrichtung an den Zahler. Die Debatte wird sich auf die interne Organisation der Berechtigungen, die Trennung der Funktionen und die Sorgfalt des Unternehmens bei der Aufbewahrung seiner personalisierten Sicherheitsdaten konzentrieren.

Quellen

Ein Fall zu diesem Thema? Meine Tätigkeitsschwerpunkte — Kanzlei kontaktieren