39.454 Euro nach falschem Bankanruf weg: Warum der Kunde den Phishingschaden selbst tragen musste

Archivdatum: 27. April 2026 · Redaktionell aktualisiert am 31. Oktober 2026.

Ein angeblich notwendiges Update, eine E-Mail mit Sparkassenlogo und anschließend ein Anruf unter der vertrauten Banknummer: So begann ein Betrugsfall, der einen Handwerksbetrieb 39.454 Euro kostete. Die Ehefrau des Inhabers erzeugte auf telefonische Anweisung mehrere TANs und las sie dem vermeintlichen Bankmitarbeiter vor. Der Bundesgerichtshof ließ den Kontoinhaber auf dem Schaden sitzen. Sein Urteil vom 3. März 2026 – XI ZR 20/24 – erklärt zugleich, weshalb die Verwendung einer korrekten TAN noch keine Zustimmung zur Überweisung beweist.

Ein vermeintliches Update führte zu vier Überweisungen

Der selbstständige Handwerker unterhielt ein Geschäftsgirokonto. Seine verfügungsberechtigte Ehefrau erledigte den Zahlungsverkehr. Ende Oktober 2020 stieß sie beim Anmeldeversuch auf die Mitteilung, der TAN-Generator müsse neu konfiguriert werden. Eine E-Mail behauptete eine verpflichtende Systemumstellung. Über einen Link gab sie persönliche Angaben und Daten der Sparkassenkarte ein.

Am folgenden Samstag meldete sich ein Anrufer, der sich als Sparkassenmitarbeiter ausgab. Auf dem Telefon erschien die Nummer der Bank. Er ließ die Frau ihre Karte in den Generator stecken, Zahlenfolgen eingeben und die angezeigten sechsstelligen Nummern weitergeben. Wegen angeblicher technischer Probleme wiederholte sich der Vorgang, auch am Sonntag. Tatsächlich wurden das Überweisungslimit erhöht und vier Echtzeitüberweisungen über zusammen 39.454 Euro ausgeführt.

Das Landgericht Halle sprach dem Kontoinhaber zunächst die Wiederherstellung seines Kontostands zu. Das Oberlandesgericht Naumburg wies die Klage nach einer erneuten Beweisaufnahme ab. Der BGH bestätigte dieses Ergebnis; die Revision blieb erfolglos.

Nicht autorisiert, aber trotzdem ein ersatzfähiger Schaden der Bank

Der Ausgangspunkt war für den Kunden günstig. Die Überweisungen waren nicht von ihm oder seiner Frau autorisiert. Nach § 675u BGB muss ein Zahlungsdienstleister bei einer nicht autorisierten Kontobelastung grundsätzlich den früheren Kontostand wiederherstellen. Technische Authentifizierung und rechtliche Zustimmung sind verschiedene Fragen.

Damit war der Streit jedoch nicht entschieden. Bei vorsätzlicher oder grob fahrlässiger Verletzung bestimmter Sicherheits- und Vertragspflichten kann der Bank ein Gegenanspruch aus § 675v Absatz 3 BGB zustehen. Besteht dieser Anspruch in derselben Höhe, darf die Bank nach den Grundsätzen von Treu und Glauben die Erstattung verweigern. Genau diese Konstellation sahen die Gerichte hier als bewiesen an.

Warum die Warnzeichen in diesem Fall schwer wogen

Die vereinbarten Onlinebankingbedingungen untersagten ausdrücklich, TANs außerhalb des Onlinebankings telefonisch oder schriftlich weiterzugeben. Hinzu kamen nach der gerichtlichen Würdigung auffällige Umstände: die fremde Absenderadresse, Fehler und Unstimmigkeiten der E-Mail sowie die Anrufe am Wochenende. Das Verhalten der bevollmächtigten Ehefrau musste sich der Kontoinhaber zurechnen lassen.

Besonders relevant war die Funktionsweise des Geräts. Das Berufungsgericht ließ sich das manuelle chipTAN-Verfahren demonstrieren. Danach waren IBAN, Betrag und TAN als solche erkennbar. Die Frau hatte also nicht lediglich bedeutungslose Wartungscodes vorgelesen. Der BGH beanstandete die darauf gestützte Bewertung als grob fahrlässig nicht. Er erklärte damit keineswegs jedes Hereinfallen auf einen überzeugenden Betrug automatisch zu grober Fahrlässigkeit. Erforderlich bleiben ein objektiv schwerer und subjektiv nicht entschuldbarer Sorgfaltsverstoß sowie eine Würdigung des Einzelfalls.

Der Empfängername musste nicht auf dem Generator stehen

Der Kunde berief sich außerdem auf die Sicherheitsanforderungen der Bank. Verlangt sie keine starke Kundenauthentifizierung, schließt § 675v Absatz 4 BGB eine Haftung des Zahlers grundsätzlich aus, soweit dieser nicht betrügerisch handelt. Für elektronische Fernzahlungen verlangt § 55 ZAG zusätzlich die Verknüpfung der Freigabe mit einem bestimmten Betrag und Empfänger.

Das eingesetzte Verfahren genügte diesen Anforderungen. Nach dem BGH musste insbesondere der Name des Empfängers nicht zusätzlich auf dem Display des TAN-Generators erscheinen. Bei vertragsgemäßer Nutzung sind auch die Angaben im Onlinebanking zu berücksichtigen. Ob grundsätzlich allein die IBAN genügt, ließ der Senat offen. Seine Aussage betrifft das geprüfte Verfahren und den Zahlungsablauf von 2020; sie ersetzt keine Prüfung anderer technischer Abläufe oder später eingeführter Pflichten.

Welche Unterlagen nach einem Betrug wichtig werden

Betroffene sollten die Bank unverzüglich über den Missbrauch informieren, den Zugang sperren lassen und Nachrichten, Anruflisten sowie den Ablauf möglichst genau sichern. Für die rechtliche Prüfung zählen die tatsächlich angezeigten Informationen, die vereinbarten Bedingungen und die einzelnen Freigabeschritte. Die bloße Behauptung, das System habe technisch funktioniert, beantwortet die Haftungsfrage ebenso wenig wie der Hinweis auf die kriminelle Täuschung.

Anders gelagert ist eine Zahlung, die der Kontoinhaber selbst an eine versehentlich falsch eingegebene Kontoverbindung anweist. Dazu erläutert unser Beitrag zur Fehlüberweisung auf ein falsches Konto die Rückforderungsfragen. Im Phishingfall muss zunächst geklärt werden, wer den konkreten Zahlungsvorgang rechtlich veranlasst hat und welche Sicherheitsverstöße bewiesen sind.

Quellen und rechtliche Grundlage

• BGH, Urteil vom 3. März 2026 – XI ZR 20/24
• § 675u BGB – Nicht autorisierte Zahlungsvorgänge
• § 675v BGB – Haftung des Zahlers
• § 55 ZAG – Starke Kundenauthentifizierung

Stand: 31. Oktober 2026.