Rechtsprechung: Wann Banken Betrugsschäden erstatten müssen
Die wichtigsten Urteile zu Phishing, Telefonbetrug, Apple‑Pay‑Betrug und Beweislast. Mit ehrlicher Einordnung, auch wenn Gerichte zugunsten der Bank entschieden haben.
Stand: 9 Entscheidungen
Die Rechtslage in drei Sätzen
Nicht autorisierte Zahlungen muss die Bank nach § 675u BGB unverzüglich erstatten, und sie muss beweisen, dass doch eine Autorisierung vorlag. Den Schaden trägt der Kunde nur, wenn die Bank ihm Betrugsabsicht, Vorsatz oder grobe Fahrlässigkeit nachweist. Seit dem EuGH‑Urteil vom 15.10.2026 (C‑70/25) gilt zudem: erst erstatten, dann über die grobe Fahrlässigkeit streiten.
EuGHUrteil vom Az. C‑70/25Stärkt Kunden
Grobe Fahrlässigkeit entbindet die Bank nicht von der sofortigen Erstattung
Eine Bankkundin gab nach einem Kleinanzeigen‑Phishing ihre Online‑Banking‑Daten auf einer gefälschten Seite ein. Die Bank verweigerte die Erstattung wegen grober Fahrlässigkeit. Der EuGH entschied: Die Bank muss nicht autorisierte Zahlungen unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags. Den Verlust kann sie erst in einem zweiten Schritt vom Kunden verlangen und muss dafür die grobe Fahrlässigkeit beweisen. Einzige Ausnahme ist ein begründeter Betrugsverdacht gegen den Kunden, den die Bank der Behörde schriftlich mitteilt.
Bedeutung für Betroffene: Pauschale Ablehnungen mit dem Hinweis auf grobe Fahrlässigkeit sind mit EU‑Recht nicht vereinbar. Die Entscheidung bindet auch deutsche Gerichte in vergleichbaren Fällen.
OLG Frankfurt am MainUrteil vom Az. 23 U 71/25Zugunsten der Bank
BestSign‑Freigaben für Google Pay: keine Erstattung
Nach einem Phishing‑Angriff hatte ein Kunde sechs Google‑Pay‑Zahlungen über insgesamt 5.343 Euro selbst per BestSign freigegeben, ohne die angezeigten Zahlungsinformationen zu prüfen. Das Gericht rechnete ihm die Freigaben zu und wertete sein Verhalten hilfsweise als grob fahrlässig. Die Revision wurde nicht zugelassen.
Bedeutung für Betroffene: Wer konkrete Zahlungsdaten in der App freigibt, ohne sie zu lesen, hat geringere Chancen. Entscheidend bleibt, was tatsächlich angezeigt wurde.
Call‑ID‑Spoofing: Sparkasse muss über 56.000 Euro erstatten
Ein Anrufer mit der echten Rufnummer der Sparkasse kündigte eine Umstellung von chipTAN auf pushTAN an. Der Kunde erzeugte eine TAN und gab sie im Online‑Banking ein, danach folgten Echtzeitüberweisungen ins Ausland. Ein Sachverständiger stellte fest, dass der Aktivierungscode auf dem Gerät der Täter angezeigt wurde. Das OLG verneinte grobe Fahrlässigkeit: Wer von Profis mit echten Bankdaten und gefälschter Nummer überrumpelt wird, verletzt nicht in besonders schwerem Maß seine Sorgfaltspflichten.
Bedeutung für Betroffene: Auch das Anklicken eines SMS‑Links und die Eingabe einer TAN begründen nicht automatisch grobe Fahrlässigkeit. Die Bank muss die Weitergabe von Sicherheitsdaten beweisen.
TANs am Telefon weitergegeben: Erstattung scheitert
Nach Phishing‑Mail und Anrufen mit gefälschter Sparkassen‑Nummer erzeugte die Ehefrau des Kontoinhabers TANs und gab sie telefonisch weiter. Es folgten Echtzeitüberweisungen über knapp 39.500 Euro. Der BGH entschied, dass das manuelle chipTAN‑Verfahren die Anforderungen an eine starke Kundenauthentifizierung erfüllt, auch wenn der Empfängername nicht auf dem Display des TAN‑Generators erscheint. Der Erstattungsanspruch scheiterte am Schadensersatzanspruch der Sparkasse wegen grober Fahrlässigkeit.
Bedeutung für Betroffene: Das Vorlesen von TANs am Telefon wird von Gerichten häufig als grob fahrlässig bewertet. Umso wichtiger ist eine genaue Dokumentation des Ablaufs.
OLG KarlsruheUrteil vom Az. 17 U 113/23Stärkt Kunden
Apple‑Pay‑Betrug: Bank muss über 42.000 Euro erstatten
Täter ließen die Debitkarte eines Kunden in Apple Pay auf ihrem eigenen Gerät freischalten. Der Kunde hatte in der pushTAN‑App eine Anfrage mit dem Titel „Karte registrieren“ bestätigt. Das Gericht sah die anschließenden Zahlungen als nicht autorisiert an, weil das Verfahren zur Kartendigitalisierung nicht den Anforderungen an eine starke Kundenauthentifizierung genügte und die Bezeichnung zu unbestimmt war. Die Bank trage das Missbrauchsrisiko, wenn sie nicht sicherstellt, dass die Karte nur auf dem Gerät des Kunden landet.
Bedeutung für Betroffene: Unklare Freigabetexte in der Banking‑App gehen zulasten der Bank. Bei Wallet‑Betrug lohnt sich die Prüfung besonders.
TANs am Folgetag am Telefon weitergegeben: grobe Fahrlässigkeit bejaht
Nach einem Phishing‑Pop‑up und einem Anruf mit angezeigter Sparkassen‑Nummer gab die Kundin am Folgeabend in einem zweiten Telefonat TANs an den Anrufer weiter. Es ging um eine Echtzeitüberweisung über 35.555 Euro. Der BGH sah darin eine grob fahrlässige Pflichtverletzung, weil die Kundin fast einen Tag Zeit hatte, die ungewöhnlichen Umstände zu überdenken. Nach dem Leitsatz ist der Schadensersatzanspruch der Bank nicht nach § 675v Abs. 4 BGB ausgeschlossen, wenn sie für die Überweisung selbst eine starke Kundenauthentifizierung verlangt hat, unabhängig davon, ob dies auch für den Login galt.
Bedeutung für Betroffene: Wer nach Zeit zum Nachdenken TANs am Telefon weitergibt, hat geringere Chancen. Nach dem EuGH‑Urteil von 2026 muss die Bank aber zunächst erstatten und die grobe Fahrlässigkeit gesondert geltend machen.
Mitverschulden der Sparkasse: 20 Prozent trotz grober Fahrlässigkeit
Der Kunde hatte nach einem Phishing‑Angriff grob fahrlässig gehandelt. Trotzdem musste die Sparkasse 20 Prozent des Schadens tragen. Für den Login ins Online‑Banking hatte sie nur PIN und Passwort verlangt, was nach Ansicht des Gerichts nicht den Anforderungen der Zahlungsdiensterichtlinie an eine starke Kundenauthentifizierung genügt.
Bedeutung für Betroffene: Sicherheitsmängel der Bank können selbst bei eigenem Fehlverhalten zu einer teilweisen Erstattung führen.
Ein Kunde erhielt eine SMS, wonach die Sicherheits‑App VR SecureGo plus ablaufe und erneuert werden müsse. Kurz darauf wurden zwei digitale Girocards aktiviert und Geld abgebucht. Die Bank berief sich auf grobe Fahrlässigkeit, konnte sie aber nicht beweisen. Das Gericht verurteilte sie zur Erstattung.
Bedeutung für Betroffene: Die Bank muss grobe Fahrlässigkeit konkret beweisen. Die Behauptung, der Kunde habe Daten preisgegeben, genügt nicht.
Der Bundesgerichtshof hat bestätigt, dass der Zahlungsdienstleister die Beweislast für die Autorisierung eines Zahlungsvorgangs trägt. Bestreitet der Kunde, die Zahlung veranlasst zu haben, muss die Bank das Gegenteil beweisen.
Bedeutung für Betroffene: Kunden müssen nicht beweisen, dass sie eine Zahlung nicht wollten. Die Bank muss die Autorisierung nachweisen.
Welches Gesetz regelt die Erstattung bei Online‑Banking‑Betrug?
Maßgeblich sind die §§ 675u bis 676b BGB. § 675u BGB verpflichtet die Bank zur Erstattung nicht autorisierter Zahlungen, § 675v BGB regelt die Haftung des Kunden und § 675w BGB die Beweislast. Sie setzen die EU-Zahlungsdiensterichtlinie (PSD2) um.
Welche Rolle spielt die starke Kundenauthentifizierung?
Hat die Bank für eine Zahlung keine starke Kundenauthentifizierung verlangt, also keine Kombination aus zwei unabhängigen Faktoren wie Wissen, Besitz oder Biometrie, haftet der Kunde in der Regel nicht (§ 675v Abs. 4 BGB). Mängel in der Sicherheitsarchitektur der Bank wirken sich deshalb häufig zugunsten der Kunden aus.
Sind die Urteile auf meinen Fall übertragbar?
Jedes Urteil betrifft einen konkreten Sachverhalt. Die Grundsätze zur Beweislast und zur sofortigen Erstattung gelten allgemein. Ob Ihnen grobe Fahrlässigkeit vorgeworfen werden kann, hängt aber vom Ablauf in Ihrem Fall ab. Die Partnerkanzlei prüft das anhand Ihrer Unterlagen.
Die Zusammenfassungen beruhen auf Pressemitteilungen, Leitsätzen und Berichten über die Entscheidungen. Sie ersetzen keine rechtliche Prüfung im Einzelfall.
Ihre Bank hat abgelehnt?
Wir prüfen kostenlos, ob die Ablehnung im Licht dieser Rechtsprechung Bestand hat.
