| Gericht | Oberlandesgericht Dresden |
|---|---|
| Datum | |
| Aktenzeichen | 8 U 1482/24 |
| Ergebnis | Teilerfolg für den Kunden |
Das Urteil in Kürze
Ein Sparkassen‑Kunde verlor nach Phishing und Anrufen fast 50.000 Euro. Das Gericht sah ihn als grob fahrlässig an, verurteilte die Sparkasse aber zu rund 20 Prozent des Schadens, weil der Login ins Online‑Banking nur mit Benutzername und statischer PIN möglich war.
Sachverhalt
Der Kunde erhielt eine E‑Mail, das Online‑Banking werde erneuert. Der Link führte auf eine gefälschte Sparkassen‑Seite, auf der er seine Zugangsdaten eingab. Anschließend riefen angebliche Sparkassen‑Mitarbeiter an und brachten ihn dazu, mehrere angeblich technische Aufträge in seiner S‑pushTAN‑App zu bestätigen. Nach seiner Darstellung zeigte die App dabei weder Empfänger noch Beträge an.
Die Täter erhöhten das Tageslimit und überwiesen per Echtzeitüberweisung fast 50.000 Euro auf ein fremdes Konto. Das Landgericht Chemnitz hatte der Klage noch stattgegeben.
Die Entscheidung
Das OLG Dresden änderte das Urteil teilweise ab. Es bejahte grobe Fahrlässigkeit des Kunden, sah aber ein Mitverschulden der Sparkasse von rund 20 Prozent. Die Sparkasse muss damit knapp 10.000 Euro tragen.
Begründung
- Grobe Fahrlässigkeit des Kunden: Er hatte seine Pflichten zum Schutz der Sicherheitsmerkmale nach § 675l BGB verletzt.
- Schwacher Login: Für die Anmeldung im Online‑Banking genügten Benutzername und statische PIN. Das entspricht nach Auffassung des Gerichts nicht den Anforderungen an eine starke Kundenauthentifizierung beim Zugriff auf sensible Zahlungsdaten (§ 55 ZAG).
- Mitverschulden: Dieses Sicherheitsdefizit der Bank hat zum Schaden beigetragen und führt zu einer Teilhaftung.
Was das Urteil für Betroffene bedeutet
- Auch wer grob fahrlässig gehandelt hat, muss den Schaden nicht zwingend vollständig selbst tragen.
- Es lohnt sich, die Sicherheitsarchitektur der Bank zu prüfen: Login, Freigabetexte, Limitänderungen.
- Der BGH hat später im Urteil XI ZR 107/24 klargestellt, dass für den Ausschluss der Kundenhaftung nach § 675v Abs. 4 BGB der Zahlungsvorgang selbst maßgeblich ist, nicht der Login. Die Frage eines Mitverschuldens ist davon zu unterscheiden.
Einordnung
Das Urteil zeigt einen Mittelweg zwischen vollständiger Erstattung und vollständiger Haftung des Kunden. Zum Datum der Entscheidung finden sich in Berichten unterschiedliche Angaben (5. Mai bzw. 5. Juni 2025); wir verwenden das in der Entscheidungsdatenbank dejure.org genannte Datum.
Weiterer Verfahrensgang: Der BGH hat mit Beschluss vom 07.07.2026 (XI ZR 71/25) die Nichtzulassungsbeschwerde des Klägers gegen dieses Urteil zurückgewiesen. Der Beschluss ist keine allgemeine Bestätigung einer Erstattungsquote von 20 Prozent; die Darstellung betrifft den konkreten Ausgangsfall. Beschlussnachweis und Verfahrensgang bei NWB.
Häufige Fragen
Was hat das OLG Dresden zum Mitverschulden der Sparkasse entschieden?
Die Sparkasse muss rund 20 Prozent eines Phishing‑Schadens von fast 50.000 Euro tragen, obwohl der Kunde grob fahrlässig gehandelt hatte. Grund war ein zu schwach gesicherter Login.
Bekomme ich bei grober Fahrlässigkeit gar nichts?
Nicht unbedingt. Hat die Bank eigene Sicherheitspflichten verletzt, kann sie über ein Mitverschulden einen Teil des Schadens tragen müssen.
Quellen
- datenschutzticker.de: OLG Dresden – S‑pushTAN ist keine starke Authentifizierung
- dejure.org: Rechtsprechung zu § 675u BGB
- BGH, Beschluss vom 07.07.2026, XI ZR 71/25 – Nachweis bei NWB
Zusammenfassung auf Grundlage der genannten Quellen. Allgemeine Information, keine Rechtsberatung im Einzelfall.