BGH, Urteil vom 22. Juli 2025 – XI ZR 107/24
Werden ohne Zustimmung des Kontoinhabers Überweisungen ausgeführt, muss die Bank das Konto grundsätzlich wieder auf den Stand bringen, auf dem es sich ohne die nicht autorisierten Zahlungen befunden hätte. Dieser Erstattungsanspruch kann jedoch wirtschaftlich entfallen, wenn die Bank dem Kunden einen gleich hohen Schadensersatzanspruch wegen einer vorsätzlichen oder grob fahrlässigen Verletzung seiner Sicherheitspflichten entgegenhalten kann.
Der Bundesgerichtshof hat in einer aktuellen Entscheidung konkretisiert, unter welchen Voraussetzungen die Weitergabe von Transaktionsnummern an einen vermeintlichen Bankmitarbeiter als grob fahrlässig bewertet werden kann.
Was war geschehen?
Im entschiedenen Fall wurde eine Bankkundin von einer Person angerufen, die sich als Mitarbeiterin ihrer Sparkasse ausgab. Auf dem Telefondisplay wurde die Telefonnummer der Sparkasse angezeigt. Die Kundin erzeugte während der Gespräche mehrere TAN und gab diese an die angebliche Bankmitarbeiterin weiter.
Tatsächlich wurden die TAN für eine vom Kunden nicht gewollte Überweisung verwendet. Die betroffene Kundin verlangte anschließend von der Bank die Wiedergutschrift des abgebuchten Betrages.
Wie hat der Bundesgerichtshof entschieden?
Der Bundesgerichtshof bestätigte im konkreten Fall die Annahme einer grob fahrlässigen Pflichtverletzung. Die Kundin hatte die erzeugten TAN telefonisch an eine unbekannte Person weitergegeben, obwohl Transaktionsnummern gerade dazu bestimmt sind, einen konkreten Zahlungsvorgang abzusichern.
Dass im Telefondisplay die Telefonnummer der Bank erschien, führte nach der Bewertung des Gerichts nicht zu einem anderen Ergebnis. Telefonnummern können technisch manipuliert werden. Auch ein professionell wirkender Anruf bedeutet deshalb nicht automatisch, dass tatsächlich ein Mitarbeiter der Bank anruft.
Der BGH stellte außerdem klar: Hat die Bank für die konkrete Überweisung eine starke Kundenauthentifizierung verlangt, ist ein möglicher Schadensersatzanspruch der Bank nicht bereits deshalb ausgeschlossen, weil für die vorherige Anmeldung im Online-Banking möglicherweise keine starke Kundenauthentifizierung verlangt wurde.
Bedeutet das, dass Phishing-Opfer grundsätzlich keinen Anspruch haben?
Nein. Die Entscheidung erlaubt keine pauschale Beurteilung sämtlicher Fälle des Online-Banking-Betrugs.
Entscheidend sind unter anderem:
-
Welche Angaben wurden dem Kunden bei der Freigabe angezeigt?
-
Wurde eine TAN weitergegeben oder eine Freigabe in einer App bestätigt?
-
War der tatsächliche Betrag und Empfänger erkennbar?
-
Welche Warnhinweise hatte die Bank erteilt?
-
Wurde die Telefonnummer der Bank manipuliert?
-
Welches Authentifizierungsverfahren wurde verwendet?
-
Gab es technische oder organisatorische Sicherheitsmängel?
-
Wie verlief der Betrug im Einzelnen?
Auch ein unvorsichtiges Verhalten ist nicht automatisch grob fahrlässig. Für eine grobe Fahrlässigkeit muss die im Verkehr erforderliche Sorgfalt in besonders schwerem Maße verletzt worden sein. Die konkrete Gestaltung des Betrugs und des Freigabeverfahrens ist deshalb sorgfältig zu prüfen.
Was sollten Betroffene nach einem Phishing-Angriff tun?
Betroffene sollten unverzüglich die Bank informieren, den Online-Banking-Zugang sperren lassen und Strafanzeige erstatten. Außerdem sollten sämtliche Nachrichten, Telefonnummern, Screenshots, Kontoauszüge und Anzeigen aus der Freigabe-App gesichert werden.
Eine Erklärung gegenüber der Bank sollte nicht vorschnell abgegeben werden. Bereits die genaue Beschreibung, welche Daten angezeigt und welche Handlungen vorgenommen wurden, kann für die spätere rechtliche Bewertung von erheblicher Bedeutung sein.
Lehnt die Bank die Erstattung mit dem pauschalen Hinweis auf eine angebliche grobe Fahrlässigkeit ab, sollte geprüft werden, ob der Vorwurf unter Berücksichtigung des konkreten Betrugsablaufs und des eingesetzten Sicherungsverfahrens tatsächlich berechtigt ist.
Prüfung des Einzelfalls
Ob ein Erstattungsanspruch gegen die Bank besteht, lässt sich nicht allein danach beurteilen, ob eine TAN eingegeben oder eine Freigabe bestätigt wurde. Erforderlich ist eine Prüfung des vollständigen technischen und tatsächlichen Ablaufs.
Für eine erste Prüfung werden insbesondere die Kontoauszüge, das Ablehnungsschreiben der Bank, die Strafanzeige, vorhandene Screenshots und eine möglichst genaue zeitliche Darstellung des Betrugs benötigt.
Nehmen Sie Kontakt auf oder rufen Sie mich an Telefon 06447 8874452.
Entscheidung: BGH, Urteil vom 22. Juli 2025 – XI ZR 107/24.