Social-Engineering-Betrug beim Online-Banking: Warum die Bank trotz TAN-Weitergabe haften kann (OLG Brandenburg, 4 U 131/25)

Kurzübersicht: Sie erhalten einen Anruf von einer Nummer, die im Display als „Ihre Bank“ erscheint. Der Anrufer bittet Sie, eine „Demo-Überweisung“ über 0 Euro freizugeben, um ein neues Sicherheitsverfahren zu testen. Sie geben eine TAN weiter – und wenig später fehlen mehrere tausend Euro auf Ihrem Konto. Viele Betroffene gehen davon aus, dass sie in diesem Moment jeden Anspruch gegen ihre Bank verwirkt haben, weil sie ja selbst eine TAN preisgegeben haben. Das Oberlandesgericht (OLG) Brandenburg hat mit Urteil vom 27.05.2026 (Az. 4 U 131/25) entschieden: Das stimmt so pauschal nicht. Auch wenn dem Kunden grobe Fahrlässigkeit vorzuwerfen ist, kann die Bank zur Mithaftung verpflichtet sein – etwa, weil ihre eigene Hotline nicht gewarnt hat, obwohl ihr die Betrugsmasche bekannt war.

Der Fall: Die „Demo-Überweisung“, die keine war

Ein diplomierter Ingenieur nutzte seit Jahren das Online-Banking seiner Bank. An einem Tag im Juni 2021 geriet er auf eine gefälschte Webseite, die dem echten Online-Banking-Portal seiner Bank täuschend ähnlich sah. Dort gab er seine Zugangsdaten ein. Kurz darauf rief ihn – so glaubte er – ein Mitarbeiter seiner Bank an und forderte ihn auf, eine „Demo-Überweisung“ über 0 Euro durchzuführen, um ein angeblich neues Sicherheitsverfahren zu testen. Der Anrufer bat ihn zusätzlich, per TeamViewer den Fernzugriff auf sein Notebook freizugeben, und ließ sich am Telefon eine vom Kunden generierte TAN nennen.

Tatsächlich lösten unbekannte Täter damit eine echte Überweisung über 20.498,38 Euro aus – auf ein Konto bei der N26-Bank, das auf einen wegen Raubes vorbestraften polnischen Staatsbürger lief. Das Geld war noch am selben Tag weiter transferiert worden, auf ein Konto, das die polnischen Behörden als nicht existent einstuften.

Bemerkenswert: Bevor der Kunde die TAN weitergab, hatte er selbst bei der echten Bank-Hotline angerufen und nach der „Demo-Überweisung“ gefragt. Die Mitarbeiterin konnte ihm nicht weiterhelfen, stellte lediglich einen Rückruf der IT-Abteilung in Aussicht – warnte ihn aber nicht. Eine Stunde später erhielt er den Betrugsanruf über eine gefälschte, aber im Display als Bank-Nummer angezeigte Rufnummer (Call-ID-Spoofing).

Das Landgericht Cottbus sprach dem Kläger zunächst nur ein Fünftel der Schadenssumme zu. Beide Seiten gingen in Berufung.

Die Entscheidung des OLG Brandenburg

Der 4. Zivilsenat des OLG Brandenburg hat die bereits vom Landgericht zugesprochene Grundstruktur bestätigt, die Quote zugunsten des Klägers aber deutlich angehoben: Er erhält 6.832,79 Euro – also ein Drittel der ursprünglichen Schadenssumme, statt wie erstinstanzlich nur ein Fünftel.

Die rechtliche Prüfung erfolgte in drei Schritten:

1. Keine Autorisierung der Überweisung. Weil der Kunde tatsächlich nur eine Überweisung über 0 Euro auslösen wollte, die echte Überweisung über 20.498,38 Euro aber von unbekannten Dritten ohne sein Wissen ausgelöst wurde, lag keine wirksame Zustimmung im Sinne von § 675j BGB vor. Der grundsätzliche Erstattungsanspruch des Kunden aus § 675u S. 2 BGB bestand damit in voller Höhe – die Bank kann sich nicht darauf berufen, dass „irgendeine“ TAN des Kunden verwendet wurde, wenn dieser eine ganz andere Transaktion vor Augen hatte.

2. Gegenanspruch der Bank wegen grober Fahrlässigkeit. Diesem Anspruch konnte die Bank jedoch einen eigenen Schadensersatzanspruch aus § 675v Abs. 3 Nr. 2 lit. a) BGB entgegenhalten, weil der Kunde grob fahrlässig gegen seine Pflicht verstoßen hatte, seine personalisierten Sicherheitsmerkmale zu schützen (§ 675l Abs. 1 BGB).

3. Mitverschulden der Bank zu einem Drittel. Diesen Gegenanspruch der Bank kürzte der Senat wiederum um ein Drittel – wegen zwei eigener Versäumnisse der Bank.

Das OLG Brandenburg stützt sich dabei ausdrücklich auf die Grundsätze, die der Bundesgerichtshof erst kurz zuvor für Phishing-Fälle aufgestellt hatte – dazu mehr in meinem Beitrag BGH-Urteil XI ZR 107/24: Wann haften Banken bei Phishing?.

Warum der Kunde trotzdem grob fahrlässig handelte

Der Senat des OLG Brandenburg machte deutlich, dass die Aufforderung zu einer „Demo-Überweisung“ schon für sich genommen misstrauisch machen muss: Eine solche Überweisung ergibt außerhalb eines Betrugsversuchs schlicht keinen Sinn. Der Kläger selbst hatte in seiner Anhörung eingeräumt, ihm sei die Aufforderung von Anfang an „spanisch“ vorgekommen. Entscheidend fiel zudem ins Gewicht:

• Er gewährte einem Unbekannten vollen Fernzugriff auf sein Notebook per TeamViewer.
• Er gab zusätzlich eine TAN telefonisch weiter – obwohl selbst für die vermeintliche „Demo-Überweisung“ keine TAN-Weitergabe am Telefon nötig gewesen wäre.
• Es bestand kein Zeitdruck; der gesamte Vorgang zog sich über mehr als eine Stunde hin, sodass kein bloßes „Augenblicksversagen“ vorlag.
• Banken bieten im Online-Banking grundsätzlich keinen Support mit Fernzugriff auf private Rechner an – das Argument, Fernwartung sei „generell nicht unüblich“, ließ das Gericht daher nicht gelten.

Diese Kombination reichte für die Einstufung als grob fahrlässig im Sinne des § 276 Abs. 2 BGB.

Warum die Bank dennoch mithaften musste

Trotz dieses gravierenden Eigenverschuldens musste sich die Bank ein Drittel Mitverschulden anrechnen lassen – aus zwei Gründen, die für die Praxis besonders relevant sind.

Unterlassene Warnung am Telefon. Der Kunde hatte die Bank vor der eigentlichen Betrugshandlung von sich aus kontaktiert und die Situation geschildert. Die Mitarbeiterin hätte – so der Senat – ohne besonderen Aufwand erkennen müssen, dass es sich um einen Betrugsversuch handelte, zumal die Bank in ihren eigenen Kundenwarnungen genau vor dieser „Demo-Überweisung“-Masche gewarnt hatte. Das Gericht leitet daraus eine vertragliche Nebenpflicht zur unverzüglichen Warnung ab, sobald sich einer bereits bekannten Betrugsmasche konkrete Anhaltspunkte im Kundengespräch zeigen. Diese Pflicht hat die Bank verletzt.

Fehlende starke Kundenauthentifizierung beim Login. Der bloße Login mit Benutzername und Passwort war nicht durch eine starke Kundenauthentifizierung (2-Faktor) abgesichert. Das Gericht sah darin eine eigenständige Pflichtverletzung nach § 55 Abs. 1 Nr. 3 ZAG – und vor allem einen kausalen Zusammenhang zum Schaden: Erst durch das ungesicherte Login konnten die Täter über die Phishing-Daten persönliche Informationen (Name, Telefonnummer) des Kunden ermitteln, die sie brauchten, um ihn überhaupt gezielt anzurufen.

Praxisbeispiel

Frau M. erhält beim Online-Banking eine Meldung, ihr Konto sei aus Sicherheitsgründen eingeschränkt; ein Mitarbeiter werde sich telefonisch melden. Wenig später ruft tatsächlich jemand an, die angezeigte Nummer stimmt mit der ihrer Bank überein. Der Anrufer bittet um eine „Verifizierungs-TAN“. Frau M. zögert – ruft aber, anders als der Kläger im vorliegenden Fall, nicht selbst vorher bei ihrer Bank an, sondern gibt die TAN direkt weiter. Auch hier dürfte grobe Fahrlässigkeit vorliegen. Ob und in welcher Höhe ihre Bank dennoch mithaften muss, hängt maßgeblich davon ab, ob die Bank ihrerseits Pflichten verletzt hat – etwa fehlende starke Authentifizierung beim Login oder eine unterlassene Warnung, wenn (wie hier) vorab Kontakt zur Bank bestand. Das zeigt: Auch bei eigenem Fehlverhalten lohnt sich eine genaue Prüfung des Bankverhaltens im Einzelfall.

Checkliste: Was Sie nach einem Online-Banking-Betrug tun sollten

• Sofort handeln: Online-Banking-Zugang und betroffene Karten unverzüglich sperren lassen (Sperr-Notruf 116 116) und die Bank schriftlich über den nicht autorisierten Zahlungsvorgang informieren.
• Anzeige erstatten: Strafanzeige bei der Polizei stellen – die Ermittlungsakte kann später als Beweismittel dienen, etwa zum Zahlungsweg des Geldes.
• Kommunikation dokumentieren: Anrufe, Uhrzeiten, Anrufer-ID und Gesprächsinhalte so genau wie möglich festhalten (Screenshots, Anrufliste).
• Nicht vorschnell resignieren: Auch bei eigenem Fehlverhalten (TAN-Weitergabe, Fernzugriff) besteht nicht automatisch ein Totalausfall der Ansprüche – prüfen Sie, ob die Bank eigene Pflichten verletzt hat.
• Starke Authentifizierung prüfen: Fragen Sie nach, ob Ihre Bank beim Login eine starke Kundenauthentifizierung (2-Faktor) verlangt. Falls nicht, kann dies ein Mitverschuldensargument sein.
• Fristen im Blick behalten: Der Erstattungsanspruch nach § 675u BGB sollte zeitnah geltend gemacht werden; die Bank muss unverzüglich nach Anzeige des nicht autorisierten Vorgangs erstatten.

Häufige Fragen (FAQ)

Muss ich mein Geld abschreiben, wenn ich eine TAN telefonisch weitergegeben habe? Nicht zwangsläufig. Zwar begründet die telefonische TAN-Weitergabe an einen vermeintlichen Bankmitarbeiter regelmäßig grobe Fahrlässigkeit. Ob die Bank vollständig von der Haftung befreit ist, hängt aber davon ab, ob sie selbst Pflichten verletzt hat – etwa eine Warnpflicht oder Sicherheitsstandards beim Login.

Wann muss meine Bank mich vor einem Betrugsversuch warnen? Eine Warnpflicht der Bank kann entstehen, wenn sich im konkreten Kundenkontakt – etwa bei einem Anruf vor der eigentlichen Betrugshandlung – Anhaltspunkte für eine bereits bekannte Betrugsmasche aufdrängen. Allgemeine Warnhinweise auf der Webseite reichen dafür nicht aus; entscheidend ist die konkrete Situation.

Was bedeutet „starke Kundenauthentifizierung“ und warum ist sie wichtig? Damit ist ein Login-Verfahren mit mindestens zwei unabhängigen Sicherheitsfaktoren gemeint (z. B. Passwort plus TAN-App). Fehlt sie bereits beim einfachen Login, kann dies laut OLG Brandenburg ein Mitverschulden der Bank begründen, wenn dies für den späteren Betrug ursächlich war.

Wie hoch ist meine Erstattung, wenn mich ein Gericht als grob fahrlässig einstuft? Es gibt keine feste Quote. Im vorliegenden Fall wurden dem Kunden trotz grober Fahrlässigkeit ein Drittel des Schadens zugesprochen. Die Quote hängt vom Verhältnis der beiderseitigen Pflichtverletzungen im Einzelfall ab.

Was ist eine „Demo-Überweisung“ und warum sollte man bei dieser Aufforderung misstrauisch werden? Es handelt sich um eine bekannte Betrugsmasche, bei der Kunden unter einem Vorwand (Sicherheitstest, neues Verfahren) zur Freigabe einer angeblichen „0-Euro-Überweisung“ per TAN gedrängt werden. Da es dafür regulär keinen Anlass gibt, ist dies ein starkes Warnsignal.

Fazit

Das Urteil des OLG Brandenburg zeigt: Grobe Fahrlässigkeit auf Kundenseite bedeutet nicht automatisch, dass die Bank aus der Verantwortung ist. Wer selbst aktiv wurde – etwa durch einen Anruf bei der eigenen Bank, bevor der Betrug geschah – sollte diesen Kontakt dokumentieren und im Streitfall geltend machen. Ebenso lohnt sich der Blick auf die technischen Sicherheitsstandards der eigenen Bank. Betroffene sollten sich nicht von einer ersten Ablehnung ihrer Bank entmutigen lassen, sondern den Einzelfall anwaltlich prüfen lassen.

Betroffen von einem Online-Banking-Betrug? Ich prüfe für Sie, ob und in welcher Höhe Ihre Bank haftet.

Dieser Beitrag ersetzt keine individuelle Rechtsberatung und stellt lediglich eine allgemeine Einordnung der Rechtslage auf Basis der Entscheidung des OLG Brandenburg vom 27.05.2026 (Az. 4 U 131/25) dar. Für eine verbindliche Einschätzung Ihres Einzelfalls wenden Sie sich bitte an eine Rechtsanwältin oder einen Rechtsanwalt