Mal ganz grob als Einstieg: Grundsätzlich haftet die Bank bei Schäden (leider).
Es sei denn, der Benutzer verhält sich grob fahrlässig, dann muss er bis 150,-- selbst haften. Die Tatbestände der groben Fahrlässigkeit sind m.W. mittlerweile durch dieses PSD (Payment Service Directive) übergreifend gleich geregelt. Wären z.B. Weitergabe von Zugangsdaten, Speicherung von Zugangsdaten, kein aktueller Virenscanner, Aufhebung der Medientrennung bei smsTAN (gleiches Endgerät für Auftragserfassung und TAN-Empfang) usw.
Das gilt m.W. für Verbraucher. Für Nicht-Verbraucher weiß ich nicht.
OHNE GEWÄHR! BITTE NOCH VERIFIZIEREN!