Phishing beim Online-Banking: Aktuelle Urteile und Ihre Chancen als Bankkunde
Einleitung: Wenn die Banküberweisung zum Albtraum wird
Phishing-Angriffe auf Online-Banking-Konten haben in den letzten Jahren massiv zugenommen. Immer häufiger stehen Bankkunden plötzlich vor hohen, scheinbar irreversiblen Abbuchungen – und die Bank verweist pauschal auf ein „Fehlverhalten des Kunden“. Die aktuelle Rechtsprechung des Bundesgerichtshofs (BGH) und mehrerer Oberlandesgerichte verschiebt die Haftungsrisiken jedoch deutlich zugunsten der Verbraucher und eröffnet neue Chancen, verlorenes Geld zurückzuholen.
Rechtlicher Rahmen: Wer haftet bei Phishing?
Rechtsgrundlage für die Haftung bei Phishing ist das Zahlungsdiensterecht im Bürgerlichen Gesetzbuch (BGB). Entscheidend ist, ob der Zahlungsvorgang „autorisiert“ war – also ob der Kunde die Überweisung tatsächlich veranlasst hat. Für nicht autorisierte Zahlungsvorgänge muss die Bank den Schaden grundsätzlich erstatten.
Wichtig: Die Bank trägt die Beweislast dafür, dass eine streitige Online-Überweisung wirklich vom Kunden autorisiert wurde. Es reicht nicht, dass die Zahlung technisch über den Zugang des Kunden lief oder TANs verwendet wurden; maßgeblich ist, ob das Verfahren insgesamt sicher war und kein unbefugter Dritter eingreifen konnte.
BGH-Urteil XI ZR 107/22: Stärkung der Beweislast des Kunden
Mit Urteil vom 5. März 2024 (XI ZR 107/22) hat der BGH die Rechte der Bankkunden deutlich gestärkt. Das Gericht verlangt, dass die Bank detailliert darlegt und beweist, dass der konkrete Zahlungsvorgang ordnungsgemäß autorisiert wurde. Bloße Systemprotokolle oder pauschale Hinweise auf ein „sicheres Online-Banking-System“ genügen nicht.
Bleiben Zweifel, ob der Kunde die Zahlung tatsächlich veranlasst hat, gilt der Vorgang als nicht autorisiert. In diesem Fall muss die Bank den vollständigen Betrag erstatten und das Konto so stellen, als wäre die Buchung nie erfolgt. Dieses Urteil ist ein zentraler Hebel, um unberechtigte Abbuchungen nach Phishing gerichtlich oder außergerichtlich zurückzufordern.
BGH-Urteil XI ZR 107/24: Grobe Fahrlässigkeit – aber mit Grenzen
Im Urteil vom 22. Juli 2025 (XI ZR 107/24) befasste sich der BGH mit einer Kundin, die unter dem Eindruck eines angeblichen „Sicherheitsupdates“ mehrfach TANs an einen vermeintlichen Bankmitarbeiter weitergab. Der BGH sah hierin grobe Fahrlässigkeit und verneinte im konkreten Fall einen Erstattungsanspruch.
Gleichzeitig stellte der BGH klar: Grobe Fahrlässigkeit ist kein Automatismus. Ob dem Kunden der Erstattungsanspruch vollständig abgeschnitten wird, hängt von den Umständen des Einzelfalls ab – etwa von der Gestaltung des Sicherheitsverfahrens, der Qualität der Warnhinweise der Bank und der Professionalität des Betrugsangriffs. Das eröffnet argumentativen Spielraum, trotz schwerer Fehler des Kunden zumindest eine teilweise Haftung der Bank durchzusetzen.
OLG Dresden 8 U 1482/24: Mithaftung der Bank trotz grober Fahrlässigkeit
Besonders verbraucherfreundlich ist das Urteil des OLG Dresden vom 5. Juni 2025 (8 U 1482/24). Das Gericht bejahte zwar grobe Fahrlässigkeit des Kunden, weil dieser Zugangsdaten preisgab und Aufträge per App freigab. Dennoch musste die Sparkasse einen Teil des Schadens ersetzen.
Grund: Das Sicherheitssystem der Bank genügte nicht den Anforderungen der starken Kundenauthentifizierung. Insbesondere wurden beim Login nicht ausreichend Schutzmechanismen eingesetzt, sensible Daten waren zu leicht einsehbar und auffällige Transaktionsmuster wurden nicht abgefangen. Das OLG erkannte daher ein Mitverschulden der Bank an und nahm eine Haftungsquotelung vor. Diese Entscheidung zeigt: Auch bei grober Fahrlässigkeit des Kunden kann die Bank mithaften, wenn ihr eigenes Sicherheitskonzept Lücken aufweist.
Rollenverteilung: Bank vs. Kunde im Überblick
| Aspekt | Bank | Kunde |
| Beweislast Autorisierung | Muss nachweisen, dass Zahlung autorisiert und Verfahren sicher war | Muss nur bestreiten und Phishing-Sachverhalt schildern |
| Sicherheitskonzept Online-Bank | Muss starke Kundenauthentifizierung und Schutzmechanismen umsetzen | Darf auf zeitgemäßes, sicheres System vertrauen |
| Sorgfaltspflichten | Warnhinweise, Limits, Monitoring auffälliger Transaktionen | Keine Weitergabe von PIN/TAN, Vorsicht bei Anrufen / Links |
| Folge grober Fahrlässigkeit | Kann Erstattung kürzen, haftet aber ggf. bei eigenem Mitverschulden | Risiko teilweiser oder vollständiger Eigenhaftung |
Was bedeutet das für Bankkunden nach einem Phishing-Angriff?
Die aktuellen Urteile zeigen: Eine vorschnelle Ablehnung durch die Bank („Sie waren grob fahrlässig, wir zahlen nichts“) ist rechtlich oft angreifbar. Entscheidend ist die Gesamtschau aus Kundenverhalten, Qualität des Betrugs, Sicherheitsarchitektur der Bank und deren Reaktion auf auffällige Vorgänge.
Bankkunden sollten Phishing-Schäden daher nicht einfach hinnehmen, sondern prüfen lassen, ob ein Anspruch auf vollständige oder teilweise Erstattung besteht. Gerade in Fällen mit professionell wirkenden Fake-Anrufen, echt wirkenden SMS („Call-ID-Spoofing“) oder unklaren Sicherheitsabläufen der Bank bestehen regelmäßig Ansatzpunkte, gegen die Bank vorzugehen.
Wie wir Sie unterstützen können
Als Fachanwaltskanzlei für Bank- und Kapitalmarktrecht kann systematisch geprüft werden:
- ob die Bank ihrer Beweislast zur Autorisierung des Zahlungsvorgangs überhaupt nachkommt
- ob das eingesetzte Sicherheitsverfahren den gesetzlichen Anforderungen und der aktuellen Rechtsprechung genügt
- ob Warnhinweise, Transaktionslimits und Monitoring der Bank ausreichend waren
- ob das Verhalten des Kunden tatsächlich als grob fahrlässig einzustufen ist oder eher als nachvollziehbares Augenblicksversagen
Auf dieser Grundlage lassen sich außergerichtlich Vergleichslösungen verhandeln oder die Erstattung des Schadens konsequent gerichtlich durchsetzen.
Was Sie nach einem Phishing-Vorfall sofort tun sollten
- Sofort Online-Banking und Karten sperren (Sperrhotline / App)
- Alle Unterlagen sichern: SMS, E-Mails, Anruflisten, Screenshots, Bankkorrespondenz
- Den Vorfall der Bank schriftlich melden und Rückbuchung der nicht autorisierten Zahlungen verlangen
- Keine eigenständigen Schuldanerkenntnisse gegenüber der Bank abgeben
- Frühzeitig anwaltliche Unterstützung in Anspruch nehmen