BGH, Urteil vom 3. März 2026 – XI ZR 20/24
Werden vom Konto Überweisungen ausgeführt, die der Kontoinhaber nicht autorisiert hat, muss die Bank den belasteten Betrag grundsätzlich erstatten. Dieser Erstattungsanspruch kann jedoch wirtschaftlich entfallen, wenn die Bank dem Kunden einen Schadensersatzanspruch wegen einer vorsätzlichen oder grob fahrlässigen Verletzung seiner Sicherheitspflichten entgegenhalten kann.
Der Bundesgerichtshof hat nun eine wichtige technische Frage geklärt: Eine starke Kundenauthentifizierung setzt beim manuellen chipTAN-Verfahren nicht voraus, dass im Display des TAN-Generators neben der IBAN auch der Name des Zahlungsempfängers erscheint.
Was war geschehen?
Der Kläger war selbstständiger Handwerker und unterhielt bei einer Sparkasse ein Geschäftsgirokonto. Seine Ehefrau war verfügungsberechtigt und kümmerte sich um den Zahlungsverkehr des Betriebs.
Sie erhielt eine betrügerische E-Mail, die den Eindruck erweckte, von der Sparkasse zu stammen. Darin wurde sie zu einer angeblich notwendigen Umstellung des Online-Bankings aufgefordert. Nach Eingabe verschiedener Daten erhielt sie einen Anruf von einem vermeintlichen Bankmitarbeiter.
Auf dem Telefon wurde die Rufnummer der Sparkasse angezeigt. Tatsächlich handelte es sich um einen technisch manipulierten Anruf.
Der Anrufer forderte die Ehefrau auf, die Bankkarte in den TAN-Generator einzustecken und mehrere Zahlenfolgen einzugeben. Anschließend teilte sie die jeweils erzeugten TAN telefonisch mit.
Auf diese Weise wurden zunächst die vereinbarten Überweisungslimits erhöht und danach vier Echtzeitüberweisungen in Höhe von insgesamt 39.454 Euro ausgeführt. Die Ehefrau hatte bei den Überweisungen jeweils die IBAN und den Betrag in den TAN-Generator eingegeben.
Die Überweisungen waren nicht autorisiert
Der Bundesgerichtshof ging davon aus, dass der Kläger die Überweisungen nicht autorisiert hatte. Auch das Verhalten seiner Ehefrau stellte keine wirksame Zustimmung zu den konkreten Überweisungen dar.
Damit bestand zunächst ein Erstattungsanspruch gegen die Sparkasse. Bei einer nicht autorisierten Zahlung muss die Bank das Konto grundsätzlich wieder auf den Stand bringen, auf dem es sich ohne die Belastung befunden hätte.
Die Sparkasse konnte diesem Anspruch jedoch einen gleich hohen Schadensersatzanspruch entgegenhalten.
Warum erhielt der Bankkunde trotzdem keine Erstattung?
Nach den Feststellungen der Vorinstanz hatte die Ehefrau des Klägers ihre Sicherheitspflichten grob fahrlässig verletzt.
Dafür sprachen nach Auffassung der Gerichte insbesondere folgende Umstände:
- Die betrügerische E-Mail enthielt auffällige Formulierungen und Schreibfehler.
- Der angebliche Bankmitarbeiter rief an einem Wochenende außerhalb üblicher Bankgeschäftszeiten an.
- Die Ehefrau wurde aufgefordert, mehrfach TAN zu erzeugen und telefonisch weiterzugeben.
- Sie musste bei den Überweisungen jeweils eine IBAN und einen konkreten Betrag in den TAN-Generator eingeben.
- Der TAN-Generator bezeichnete die anschließend angezeigte Nummer ausdrücklich als „TAN“.
- Die Bedingungen für das Online-Banking untersagten die mündliche Weitergabe einer TAN.
Der Bundesgerichtshof bestätigte die Bewertung der Vorinstanz, wonach dieses Verhalten im konkreten Fall als grob fahrlässig anzusehen war.
Die Entscheidung bedeutet allerdings nicht, dass jede Täuschung am Telefon oder jede Weitergabe einer TAN automatisch grob fahrlässig ist. Maßgeblich bleibt eine Gesamtbewertung aller objektiven und subjektiven Umstände des Einzelfalls.
Was bedeutet „starke Kundenauthentifizierung“?
Bei elektronischen Zahlungsvorgängen müssen Banken grundsätzlich eine starke Kundenauthentifizierung einsetzen. Dazu werden mindestens zwei voneinander unabhängige Elemente aus unterschiedlichen Kategorien verwendet:
- Wissen, beispielsweise eine PIN,
- Besitz, beispielsweise eine Bankkarte oder ein registriertes Mobiltelefon,
- oder ein persönliches Merkmal, beispielsweise ein Fingerabdruck.
Bei einer Onlineüberweisung muss die Authentifizierung außerdem dynamisch mit dem konkreten Betrag und dem konkreten Zahlungsempfänger verknüpft sein. Wird der Betrag oder der Zahlungsempfänger verändert, darf der erzeugte Authentifizierungscode nicht mehr funktionieren.
Verlangt die Bank keine vorgeschriebene starke Kundenauthentifizierung, kann dies Auswirkungen auf einen von ihr erhobenen Schadensersatzanspruch gegen den Kunden haben.
Muss der Name des Empfängers im TAN-Generator stehen?
Nach der Entscheidung des Bundesgerichtshofs muss beim manuellen chipTAN-Verfahren nicht zusätzlich der ausgeschriebene Name des Zahlungsempfängers im Display des TAN-Generators angezeigt werden.
Im entschiedenen Verfahren musste der Nutzer zunächst die IBAN des Empfängers und anschließend den Überweisungsbetrag in den TAN-Generator eingeben. Aus diesen Angaben wurde eine ausschließlich für diese Transaktion verwendbare TAN erzeugt.
Nach Ansicht des Bundesgerichtshofs genügte dies für die dynamische Verknüpfung. Die Identität des Zahlungsempfängers konnte über die IBAN bestimmt werden. Eine zusätzliche Namensanzeige im TAN-Generator war nicht erforderlich.
Was folgt daraus für andere Online-Banking-Fälle?
Banken werden sich künftig möglicherweise auf dieses Urteil berufen, wenn ein Kunde einwendet, der Name des Zahlungsempfängers sei bei der TAN-Erzeugung nicht angezeigt worden.
Das Urteil beantwortet jedoch nur eine bestimmte technische Frage. Es sagt nicht, dass Banken bei jedem Betrug mit einem chipTAN-Verfahren von ihrer Erstattungspflicht befreit sind.
Weiterhin ist im Einzelfall zu prüfen:
- Wurden die Zahlungen tatsächlich autorisiert?
- Welches TAN- oder Freigabeverfahren wurde eingesetzt?
- Welche Angaben wurden dem Kunden angezeigt?
- Musste der Kunde die IBAN und den Betrag selbst eingeben?
- War die TAN erkennbar mit einer bestimmten Überweisung verbunden?
- Wurden die Sicherheitsbedingungen wirksam vereinbart?
- Hat der Kunde lediglich einfach oder bereits grob fahrlässig gehandelt?
- Waren technische Manipulationen oder Sicherheitsmängel vorhanden?
- Kann die Bank den behaupteten Ablauf anhand ihrer Protokolle nachweisen?
Die Bank muss sich deshalb mit dem konkreten Betrugsablauf auseinandersetzen. Der pauschale Hinweis, eine TAN sei verwendet worden, genügt nicht für jede Fallgestaltung.
Was sollten Betroffene tun?
Nach einem Online-Banking-Betrug sollte der Zugang unverzüglich gesperrt und die Bank informiert werden. Außerdem sollte möglichst sofort Strafanzeige erstattet werden.
Gesichert werden sollten insbesondere:
- Kontoauszüge,
- E-Mails und SMS,
- Screenshots,
- Telefonnummern und Anruflisten,
- Mitteilungen in der Banking-App,
- Ablehnungsschreiben der Bank,
- eine genaue zeitliche Darstellung des Geschehens,
- und Angaben dazu, welche Informationen bei jeder Freigabe angezeigt wurden.
Betroffene sollten sich nicht vorschnell schriftlich darauf festlegen, bestimmte Überweisungen selbst freigegeben oder Sicherheitsvorgaben missachtet zu haben. Die genaue Formulierung gegenüber der Bank kann für die spätere rechtliche Bewertung wichtig sein.
Fazit
Der Bundesgerichtshof hat entschieden, dass eine starke Kundenauthentifizierung beim manuellen chipTAN-Verfahren nicht die Anzeige des ausgeschriebenen Empfängernamens im TAN-Generator verlangt. Die Eingabe beziehungsweise Anzeige von IBAN und Betrag kann ausreichen.
Damit ist jedoch nicht jeder Erstattungsanspruch nach einem Online-Banking-Betrug ausgeschlossen. Entscheidend bleiben der konkrete technische Ablauf, die Täuschungsmethode, die angezeigten Transaktionsdaten und die Frage, ob dem Kunden tatsächlich grobe Fahrlässigkeit vorzuwerfen ist.
Ihre Bank verweigert nach einem Phishing- oder Online-Banking-Betrug die Erstattung?
Ich prüfe den tatsächlichen Ablauf, die Transaktionsprotokolle und die rechtlichen Einwendungen der Bank.
[Online-Banking-Fall prüfen lassen]
Autor: Rechtsanwalt Alexander Ermel
Fachanwalt für Bank- und Kapitalmarktrecht
Stand: 20. Juli 2026
Besprochene Entscheidung:
BGH, Urteil vom 3. März 2026 – XI ZR 20/24