Phishing und TAN: BGH zur Erstattung durch die Bank

Die Entscheidung im Überblick

Gericht

Bundesgerichtshof

Entscheidung

Urteil vom 03.03.2026

Aktenzeichen

XI ZR 20/24

Quelle abgerufen

26.09.2026

Amtliche BGH-Entscheidung als PDF lesen

Gesetzliche Grundlagen: § 675u BGB – Nicht autorisierte Zahlung · § 675v BGB – Haftung des Zahlers · § 675w BGB – Nachweisregeln

Phishing und TAN-Weitergabe: Wann muss die Bank erstatten?

Bei einer nicht autorisierten Überweisung besteht grundsätzlich ein Anspruch auf Wiederherstellung des Kontostands. Hat der Kunde den Schaden jedoch durch eine grob fahrlässige Pflichtverletzung verursacht, kann die Bank einen eigenen Schadensersatzanspruch entgegenhalten. Das bestätigt der Bundesgerichtshof im Urteil vom 3. März 2026, XI ZR 20/24.

Der Fall betrifft eine gefälschte Banknachricht, einen Anruf unter vorgetäuschter Banknummer und mehrere telefonisch weitergegebene TANs. Er zeigt, warum die technische Freigabe einer Zahlung und ihre rechtliche Autorisierung getrennt geprüft werden müssen. Nicht jeder Phishing-Fall endet wie dieser.

Was geschah bei den vier Überweisungen?

Ein selbständiger Handwerker führte ein Geschäftskonto. Seine verfügungsberechtigte Ehefrau erledigte den Zahlungsverkehr. Sie erhielt eine Nachricht über eine angeblich notwendige technische Umstellung und folgte später den Anweisungen eines vermeintlichen Bankmitarbeiters am Telefon.

Dabei erzeugte sie mit einem TAN-Generator mehrere Nummern und teilte diese dem Anrufer mit. Tatsächlich wurden Überweisungslimits verändert und vier Echtzeitüberweisungen über insgesamt 39.454 Euro ausgelöst. Die angezeigte Telefonnummer vermittelte den Eindruck eines Anrufs der Sparkasse.

Das Landgericht gab der Klage zunächst statt. Das Oberlandesgericht wies sie nach weiterer Beweisaufnahme ab. Der BGH bestätigte dieses Ergebnis: Die Revision des Kontoinhabers blieb ohne Erfolg.

Warum half die fehlende Autorisierung hier nicht?

Auch der BGH ging davon aus, dass die Überweisungen nicht autorisiert waren. Daraus folgte grundsätzlich der Anspruch aus § 675u BGB. Die Bank durfte diesem Anspruch im konkreten Fall jedoch ihren eigenen Schadensersatzanspruch wegen grob fahrlässiger Pflichtverletzung entgegenhalten (Randnummern 17 bis 22).

Für die Beurteilung waren mehrere Umstände zusammen maßgeblich: die ungewöhnliche Nachricht, die telefonische Aufforderung zur Erzeugung von TANs und deren Weitergabe an einen unbekannten Anrufer. Nach den Feststellungen wurden zudem IBAN, Betrag und TAN im Generator angezeigt. Das Verhalten der verfügungsberechtigten Ehefrau wurde dem Kontoinhaber zugerechnet.

Grobe Fahrlässigkeit setzt einen objektiv schweren und subjektiv nicht entschuldbaren Sorgfaltsverstoß voraus. Ein bloßer Betrugserfolg beweist das nicht automatisch. Deshalb sind die konkreten Anzeigen, Warnungen, Bedienungsschritte und persönlichen Umstände wichtig. Die im Urteil gebilligte Bewertung ist kein pauschales Urteil über sämtliche Opfer von Bankbetrug.

Muss der TAN-Generator den Empfängernamen anzeigen?

Der BGH verneint für das geprüfte manuelle chipTAN-Verfahren, dass eine starke Kundenauthentifizierung die Anzeige des Namens des Zahlungsempfängers auf dem Generator voraussetzt. Das Fehlen dieser Namensanzeige begründete daher nicht den vom Kläger geltend gemachten Ausschluss seiner Haftung.

Die Entscheidung betrifft die konkret geprüfte technische und rechtliche Konstellation. Daraus folgt keine Aussage, dass jede andere Freigabemaske oder jedes Authentifizierungsverfahren hinreichend sicher ist. Auch weitere heute geltende Pflichten bei Überweisungen sind gesondert zu prüfen. Die damaligen Vorgänge ereigneten sich im Jahr 2020.

Welche Nachweise sind bei Phishing entscheidend?

Die Bank muss sich bei ihrer Ablehnung mit den gesetzlichen Voraussetzungen befassen. Die bloße Aufzeichnung einer technischen Authentifizierung ersetzt nicht in jedem Fall den Nachweis einer Autorisierung oder einer grob fahrlässigen Pflichtverletzung. § 675w BGB enthält hierfür besondere Nachweisregeln.

Für eine Prüfung sollten der Ablauf möglichst genau rekonstruiert und vorhandene Belege gesichert werden:

• Kontoauszüge mit den beanstandeten Buchungen und die Mitteilung an die Bank.
• Die ursprüngliche Nachricht, Absenderangaben, vorhandene Screenshots und Anrufzeiten.
• Erinnerungen an Anzeigen im TAN-Generator oder in der Banking-App.
• Bankbedingungen, Warnhinweise, Ablehnungsschreiben und soweit vorhanden Transaktionsprotokolle.
• Angaben dazu, wer das Konto bedienen durfte und welche Schritte tatsächlich vorgenommen wurden.

Wenn der Vorfall gerade erst entdeckt wurde, sollten Sie den Zugang über einen unabhängig verifizierten Kontakt zur Bank sperren lassen und die Buchungen unverzüglich melden. Nutzen Sie hierfür keine Telefonnummer oder Verknüpfung aus der verdächtigen Nachricht.

MANDATI Rechtsanwaltskanzlei & Steuerberatung in Essen prüft den Erstattungsanspruch und die Einwendungen der Bank. Entscheidend ist eine nachvollziehbare Bewertung Ihres Ablaufs. Vorgehen und Kosten besprechen wir vor der Beauftragung.

Häufige Fragen zu Phishing und Bankhaftung

Ist eine mit TAN ausgelöste Überweisung immer autorisiert?

Nein. Technische Authentifizierung und rechtliche Autorisierung sind unterschiedliche Fragen. Im besprochenen Fall ging auch der BGH von nicht autorisierten Überweisungen aus.

Muss die Bank dann immer den gesamten Betrag erstatten?

Nein. Ein eigener Schadensersatzanspruch der Bank, etwa wegen grob fahrlässiger Pflichtverletzung, kann entgegenstehen. Die Bank kann sich darauf nicht allein mit dem allgemeinen Hinweis berufen, dass eine TAN verwendet wurde.

Beweist eine angezeigte Banknummer einen echten Bankanruf?

Nein. Eine Rufnummer kann vorgetäuscht werden. Genau das spielte im entschiedenen Fall eine Rolle. Bei Zweifeln sollte die Bank über einen unabhängig bekannten Kontakt erreicht werden.

Ist nach diesem Urteil jede Phishing-Klage aussichtslos?

Nein. Ausschlaggebend sind das jeweilige Verfahren, die Beweise und die konkreten Umstände. Das Urteil bestätigt die Klageabweisung in diesem Fall und enthält keine allgemeine Entscheidung für alle Betrugsvarianten.

Bankrechtliches Anliegen mit MANDATI besprechen · Beratung bei digitalen Rechtsfragen · SCHUFA-Eintrag nach Zahlung prüfen · Weitere aktuelle Urteile · Kontakt aufnehmen