| Gericht | Bundesgerichtshof |
|---|---|
| Datum | |
| Aktenzeichen | XI ZR 107/24 |
| Ergebnis | Zugunsten der Bank |
Das Urteil in Kürze
Eine Kundin, die am Folgeabend in einem zweiten Anruf TANs an einen angeblichen Sparkassen‑Mitarbeiter weitergab, handelte grob fahrlässig. Der Erstattungsanspruch über 35.555 Euro bestand zwar, die Sparkasse durfte ihn aber mit ihrem Schadensersatzanspruch abwehren.
Sachverhalt
Die Kundin versuchte mehrfach erfolglos, ihre PIN zu ändern. Gegen 22:30 Uhr erschien ein Pop‑up: Ihr Online‑Banking‑Zugang laufe ab, wenn sie keine neue Sicherheitssoftware installiere. Sie klickte darauf und gab persönliche Daten ein. Kurz darauf rief ein angeblicher Sparkassen‑Mitarbeiter an; auf dem Display erschien die Nummer der Sparkasse. Die Kundin nannte ihre Kartennummer, das Gespräch wurde abgebrochen und ein weiterer Anruf für den nächsten Tag vereinbart.
Im zweiten Telefonat am Folgeabend gab sie TANs weiter. Um 18:24 Uhr wurde das Überweisungslimit auf 55.555 Euro erhöht, um 18:26 Uhr eine Echtzeitüberweisung über 35.555 Euro auf ein fremdes Konto freigegeben.
Die Entscheidung
Der BGH wies die Klage ab. Der Erstattungsanspruch nach § 675u Satz 2 BGB bestand zwar, weil die Kundin der Zahlung nicht zugestimmt hatte. Die Sparkasse hatte aber einen gleich hohen Schadensersatzanspruch nach § 675v Abs. 3 Nr. 2 Buchst. a BGB, weil die Kundin grob fahrlässig ihre Pflicht zum Schutz der TANs verletzt hatte. Wer fordere, was er sofort zurückgeben müsse, handle treuwidrig (§ 242 BGB).
Zum Ausschluss der Kundenhaftung nach § 675v Abs. 4 Satz 1 Nr. 1 BGB stellte der BGH im Leitsatz klar: Es kommt allein auf den streitigen Zahlungsvorgang an. Hat die Bank für die Überweisung eine starke Kundenauthentifizierung verlangt, ist ihr Anspruch nicht ausgeschlossen, auch wenn der Login ohne starke Kundenauthentifizierung möglich war.
Begründung
- Kein Augenblicksversagen: Entscheidend war das zweite Telefonat. Die Kundin hatte fast einen ganzen Tag Zeit, die ungewöhnlichen Umstände des ersten Anrufs zu überdenken.
- Angezeigte Rufnummer entlastet nicht: Dass auf dem Display die Nummer der Sparkasse stand, reichte dem BGH nicht, weil die Bank auf ihrer Website und im Online‑Banking vor solchen Anrufen gewarnt hatte und über Phishing seit Jahren berichtet wird.
- Weitergabe der TAN als Pflichtverletzung: TANs sind personalisierte Sicherheitsmerkmale, die nicht an Dritte weitergegeben werden dürfen (§ 675l Abs. 1 BGB).
Was das Urteil für Betroffene bedeutet
- Wer eine TAN nach Bedenkzeit am Telefon vorliest, hat schlechte Chancen.
- Anders kann es liegen, wenn Codes nur in der eigenen App bestätigt wurden, wenn die Anzeige unklar war oder wenn die Täuschung den Kunden überrumpelt hat, wie im Fall des OLG Koblenz.
- Seit dem EuGH‑Urteil vom 15.10.2026 ist fraglich, ob Banken die Erstattung weiterhin sofort mit dem eigenen Gegenanspruch verweigern dürfen.
Einordnung
Das Urteil ist die wichtigste Entscheidung des BGH zur groben Fahrlässigkeit beim Telefon‑Phishing. Es zeigt, wie stark Gerichte auf die konkreten Umstände schauen: Bedenkzeit, Warnhinweise der Bank und die Art der Weitergabe. Die Entscheidung ist vor dem EuGH‑Urteil C‑70/25 ergangen.
Häufige Fragen
Ist die TAN‑Weitergabe am Telefon immer grob fahrlässig?
Nicht automatisch, aber häufig. Der BGH stellt auf die Umstände ab. Im Fall XI ZR 107/24 war entscheidend, dass die Kundin vor dem zweiten Anruf fast einen Tag Bedenkzeit hatte.
Was bedeutet das Urteil für die starke Kundenauthentifizierung?
Maßgeblich ist der streitige Zahlungsvorgang. Hat die Bank für die Überweisung eine starke Kundenauthentifizierung verlangt, haftet der grob fahrlässige Kunde, auch wenn der Login ohne sie möglich war.
Gilt das Urteil nach dem EuGH‑Urteil von 2026 noch?
Die Aussagen zur groben Fahrlässigkeit gelten weiter. Ob Banken die Erstattung aber sofort mit ihrem Gegenanspruch verweigern dürfen, ist nach EuGH C‑70/25 offen, weil die Bank nach dem EuGH zuerst erstatten muss.
Quellen
Zusammenfassung auf Grundlage der genannten Quellen. Allgemeine Information, keine Rechtsberatung im Einzelfall.