chipTAN zeigt nur die IBAN, nicht den Namen: BGH bestätigt Sicherheitsstandard (Urt. v. 3.3.2026 – XI ZR 20/24)

Kurzübersicht: Der Bundesgerichtshof hat mit Urteil vom 3. März 2026 (Az. XI ZR 20/24) entschieden: Beim manuellen chipTAN-Verfahren muss der TAN-Generator nur die IBAN des Zahlungsempfängers anzeigen – der Name ist nicht erforderlich. Wer sich nach einem Betrugsfall darauf beruft, die Bank habe keine ausreichende „starke Kundenauthentifizierung“ verlangt, weil der Empfängername fehlte, kann damit nicht mehr durchdringen. Für Bankkunden bedeutet das: Die IBAN im Display Ihres TAN-Generators ist Ihre letzte Kontrollmöglichkeit vor jeder Überweisung – und rechtlich reicht sie aus.

Inhaltsverzeichnis

chipTAN zeigt nur die IBAN, nicht den Namen: BGH bestätigt Sicherheitsstandard (Urt. v. 3.3.2026 – XI ZR 20/24)

Der Fall: Zwei Tage, mehrere TAN-Freigaben, ein leeres Konto

Der Kläger führte seit 2004 ein Geschäftsgirokonto per Online-Banking, zunächst mit klassischen TAN-Listen, später umgestellt auf das sogenannte manuelle chipTAN-Verfahren. Bei diesem Verfahren steckt man seine Bankkarte in ein kleines Lesegerät (den TAN-Generator), gibt bestimmte Daten der Überweisung manuell ein, und das Gerät erzeugt daraus eine TAN.

An einem Wochenende im Herbst 2020 nahmen Unbekannte telefonisch Kontakt zur Ehefrau des Klägers auf, die ebenfalls Zugriff auf das Konto hatte. Sie brachten sie dazu, im chipTAN-Generator mehrere TANs zu erzeugen und weiterzugeben. Am Samstag wurde das Überweisungslimit auf 94.999 Euro angehoben und zwei Echtzeitüberweisungen über 7.222 Euro und 7.445 Euro ausgelöst. Am Folgetag wiederholte sich der Vorgang: erneute Limiterhöhung, weitere Überweisungen, darunter eine über 8.787 Euro.

Der Kläger verlangte von seiner Bank die vollständige Erstattung nach § 675u BGB – schließlich habe nicht er selbst, sondern ein unbekannter Dritter die Zahlungen veranlasst. Das Landgericht Halle gab ihm zunächst recht. Das Oberlandesgericht Naumburg sah das nach Vernehmung der Ehefrau als Zeugin anders und wies die Klage überwiegend ab. Dagegen legte der Kläger Revision beim BGH ein.

Die Rechtsfrage: Reicht die IBAN – oder muss der Name des Empfängers erscheinen?

Der Kläger argumentierte unter anderem, das chipTAN-Verfahren seiner Bank habe gar keine wirksame „starke Kundenauthentifizierung“ im Sinne von § 55 ZAG dargestellt. Sein Argument: Die europäische Delegierte Verordnung (EU) 2018/389 verlangt, dass dem Zahler bei der Autorisierung einer Überweisung der Zahlungsbetrag und der Zahlungsempfänger angezeigt werden (sogenannte dynamische Verknüpfung). Sein TAN-Generator zeigte aber nur die IBAN des Empfängers an – nicht dessen Namen. Eine IBAN sagt niemandem etwas; wer sie nicht mit seinen eigenen Unterlagen abgleicht, erkennt einen fremden Empfänger nicht. Wäre stattdessen der Name angezeigt worden, hätte die Ehefrau des Klägers möglicherweise gestutzt.

Diese Argumentation hatte Gewicht: Wenn die Bank keine ausreichende starke Kundenauthentifizierung verlangt hätte, wäre ihr Schadensersatzanspruch gegen den Kunden nach § 675v Abs. 4 BGB von vornherein ausgeschlossen gewesen – unabhängig davon, wie unvorsichtig sich die Ehefrau am Telefon verhalten hatte.

Die Entscheidung des BGH

Der BGH bestätigte die Auffassung des OLG Naumburg und wies die Revision zurück. Die zentrale Aussage: Das manuelle chipTAN-Verfahren erfüllt die Anforderungen der Delegierten Verordnung (EU) 2018/389 auch dann, wenn im Display des TAN-Generators nur die IBAN, nicht aber der Name des Zahlungsempfängers angezeigt wird.

Die Begründung des Senats folgt der Systematik der Verordnung: Art. 5 Abs. 1 Buchst. a der Delegierten Verordnung schreibt keinen bestimmten Zeitpunkt vor, zu dem Betrag und Empfänger angezeigt werden müssen. Aus Art. 5 Abs. 1 Buchst. b ergibt sich, dass diese Angaben spätestens beim Auslösen des Zahlungsvorgangs sichtbar sein müssen. Da ein TAN-Generator ohne eigene Internetverbindung arbeitet, erfolgt diese Anzeige ohnehin bereits im Online-Banking-Portal selbst, in dem der Zahlungsauftrag erstellt wird – dort sieht der Nutzer in aller Regel auch den Namen des Empfängers, sofern er ihn selbst eingetragen hat. Das Gesetz verlangt nicht, dass sämtliche Angaben in jeder Phase der Authentifizierung – also auch noch einmal auf dem separaten TAN-Generator – vollständig wiederholt werden.

Im Klartext: Die IBAN-Anzeige auf dem Generator dient als zusätzliche, aber nicht als einzige Kontrollebene. Die eigentliche Prüfpflicht liegt beim Nutzer bereits im Moment der Eingabe der Überweisungsdaten im Online-Banking.

Warum der Kläger trotzdem verlor: grobe Fahrlässigkeit

Wichtig für das Verständnis des Urteils: Der BGH bestätigte zwar in Übereinstimmung mit den Vorinstanzen, dass die streitgegenständlichen Überweisungen nicht wirksam autorisiert waren – der Erstattungsanspruch aus § 675u BGB bestand also zunächst dem Grunde nach. Doch die Bank konnte diesem Anspruch einen eigenen Schadensersatzanspruch aus § 675v Abs. 3 Nr. 2 BGB entgegenhalten, weil die Ehefrau des Klägers durch die telefonische Weitergabe der TANs grob fahrlässig gegen ihre Sorgfaltspflichten nach § 675l Abs. 1 BGB verstoßen hatte. Da dieser Schadensersatzanspruch der Höhe nach dem Erstattungsanspruch entsprach, glichen sich beide Ansprüche im Ergebnis aus (§ 242 BGB) – wirtschaftlich blieb der Kläger auf dem Schaden sitzen.

Der Streit um die Displayanzeige war also keine akademische Nebenfrage, sondern die letzte verbliebene Verteidigungslinie des Klägers: Hätte er mit dem Argument der unzureichenden starken Kundenauthentifizierung durchdringen können, wäre der Schadensersatzanspruch der Bank nach § 675v Abs. 4 BGB von vornherein ausgeschlossen gewesen – unabhängig von der groben Fahrlässigkeit seiner Ehefrau. Genau diesen Ausweg hat der BGH nun versperrt.

Wie hoch die Hürden für den Vorwurf der groben Fahrlässigkeit im Einzelnen liegen und wann Banken bei Telefon-Phishing trotzdem haften, habe ich in einem gesonderten Beitrag zum BGH-Urteil XI ZR 107/24 im Detail erläutert.

Fallbeispiel: Was das für Ihren Alltag bedeutet

Stellen Sie sich vor: Sie erhalten einen Anruf, angeblich von Ihrer Bank. Die vermeintliche Mitarbeiterin erklärt, es gebe verdächtige Zugriffe auf Ihr Konto, die durch ein „Sicherheits-TAN“ bestätigt werden müssten. Sie folgen den Anweisungen, stecken Ihre Karte in den TAN-Generator und geben die durchgesagten Zahlen ein. Im Display erscheint eine fremde IBAN – die Sie aber nicht weiter beachten, weil Sie unter Druck stehen und der Anruferin vertrauen. Sie lesen die generierte TAN am Telefon vor.

Kurze Zeit später ist Geld weg. Sie fordern die Erstattung von Ihrer Bank und argumentieren, das Sicherheitssystem sei mangelhaft gewesen, weil im Display nur eine bedeutungslose Zahlenfolge (die IBAN) und kein Name zu sehen war.

Nach dem Urteil des BGH wird dieses Argument allein nicht mehr ausreichen. Die Bank kann sich darauf berufen, dass die IBAN-Anzeige rechtlich genügt. Entscheidend wird dann, ob Sie selbst grob fahrlässig gehandelt haben – etwa weil Sie die angezeigte IBAN nicht mit dem beabsichtigten Empfänger abgeglichen und die TAN trotz erkennbarer Warnsignale weitergegeben haben.

Was bedeutet das Urteil für Sie als Bankkunde?

Drei Kernpunkte sollten Sie mitnehmen:

Die IBAN-Anzeige im TAN-Generator ist rechtlich ausreichend. Sie können sich nach einem Betrugsfall nicht mehr erfolgreich darauf berufen, das Sicherheitsverfahren Ihrer Bank sei allein deshalb mangelhaft gewesen, weil der Empfängername fehlte.
Die eigentliche Kontrollpflicht liegt bei Ihnen selbst – im Moment der Eingabe. Der Name des Empfängers wird regelmäßig im Online-Banking-Portal angezeigt, in dem Sie die Überweisung erstellen. Diesen Moment sollten Sie nutzen, nicht erst den TAN-Generator.
Eine nicht autorisierte Überweisung bleibt ein eigenständiger Anspruch – aber grobe Fahrlässigkeit kann ihn neutralisieren. Auch wenn eine Zahlung formal „nicht autorisiert“ war, kann die Bank Ihren Erstattungsanspruch durch eine Gegenforderung faktisch auf null setzen, wenn Sie unsorgfältig mit TANs umgegangen sind.

Praktische Empfehlung: So prüfen Sie jede TAN-Freigabe richtig

Kontrollieren Sie die IBAN im Display des TAN-Generators, bevor Sie eine TAN erzeugen oder freigeben – auch wenn kein Name angezeigt wird. Vergleichen Sie sie mit der IBAN, die Sie tatsächlich überweisen wollten.
Geben Sie niemals eine TAN am Telefon weiter – unabhängig davon, wer anruft und wie dringlich die Situation geschildert wird. Ihre Bank wird Sie niemals auffordern, TANs vorzulesen.
Misstrauen Sie angeblichen „Sicherheitsupdates“ oder „Verifizierungen“, die eine TAN-Erzeugung erfordern, ohne dass Sie selbst zuvor eine Überweisung ausgelöst haben.
Sperren Sie Konto und Zugang sofort, wenn Sie unautorisierte Buchungen bemerken – rund um die Uhr über den Sperrnotruf 116 116.
Fordern Sie die Erstattung schriftlich und lassen Sie im Streitfall prüfen, ob Ihnen tatsächlich grobe Fahrlässigkeit vorgeworfen werden kann – das ist keine automatische Folge eines Phishing-Vorfalls, sondern muss die Bank im Einzelfall nachweisen.

Häufige Fragen (FAQ)

Muss mein TAN-Generator den Namen des Zahlungsempfängers anzeigen? Nein. Nach dem BGH-Urteil vom 3.3.2026 (XI ZR 20/24) reicht die Anzeige der IBAN im manuellen chipTAN-Verfahren aus, um die Anforderungen an eine starke Kundenauthentifizierung zu erfüllen.

Kann ich mich nach einem Betrugsfall darauf berufen, dass mein Sicherheitsverfahren mangelhaft war, weil kein Name angezeigt wurde? Nach diesem Urteil grundsätzlich nicht mehr allein mit diesem Argument. Andere Mängel des Sicherheitsverfahrens – etwa bei pushTAN-Apps mit unklaren Freigabetexten – können weiterhin relevant sein und sollten im Einzelfall geprüft werden.

Bedeutet das Urteil, dass ich bei einem Phishing-Betrug generell keine Erstattung mehr bekomme? Nein. Die Frage der Displayanzeige ist nur ein Baustein. Entscheidend bleibt weiterhin, ob Ihnen im konkreten Fall grobe Fahrlässigkeit nachgewiesen werden kann. Dazu haben wir in einem separaten Beitrag die Grundsätze zur Haftung bei Telefon-Phishing ausführlich behandelt.

Was ist der Unterschied zwischen diesem Urteil und dem BGH-Urteil XI ZR 107/24? XI ZR 107/24 betraf die Frage, ob die telefonische Weitergabe von TANs grobe Fahrlässigkeit begründet. XI ZR 20/24 betraf die vorgelagerte technische Frage, ob das chipTAN-Verfahren als solches überhaupt eine ausreichende starke Kundenauthentifizierung darstellt. Beide Fragen können in ein und demselben Fall eine Rolle spielen.

Gilt das Urteil auch für pushTAN oder photoTAN? Das Urteil betrifft ausdrücklich das manuelle chipTAN-Verfahren. Bei anderen Verfahren (pushTAN-App, photoTAN) können die Anzeigepflichten anders ausgestaltet und rechtlich anders zu bewerten sein. Lassen Sie das im Zweifel für Ihr konkretes Verfahren prüfen.

Ist das Urteil bereits rechtskräftig? Ja. Es handelt sich um eine Entscheidung des Bundesgerichtshofs als letzter Instanz; ein weiteres Rechtsmittel ist nicht möglich.

Empfehlung für Betroffene

Wenn Ihre Bank eine Erstattung mit Verweis auf dieses Urteil pauschal ablehnt, sollten Sie das nicht unwidersprochen hinnehmen. Die Displayfrage ist nur ein Baustein der rechtlichen Bewertung – ob Ihnen tatsächlich grobe Fahrlässigkeit vorzuwerfen ist, hängt von den konkreten Umständen Ihres Falls ab, etwa davon, wie professionell der Betrug aufgebaut war und welche Warnsignale erkennbar waren.

Kontaktieren Sie mich gerne für eine erste Einschätzung. Als Fachanwalt für Bank- und Kapitalmarktrecht prüfe ich, ob und in welchem Umfang Ansprüche gegen Ihre Bank oder Sparkasse bestehen.

Kontakt

Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung. Die Rechtslage kann sich weiterentwickeln; maßgeblich ist stets der konkrete Einzelfall.

chipTAN ohne Namensanzeige: BGH-Urteil XI ZR 20/24 erklärt