Phishing beim Online-Banking: Wann die Bank zahlen muss – und wann Sie leer ausgehen (BGH XI ZR 107/24

Kurzübersicht: Phishing-Angriffe im Online-Banking nehmen seit Jahren massiv zu. Mit Urteil vom 22.07.2025 (Az. XI ZR 107/24) hat der Bundesgerichtshof erneut klargestellt, wann Banken Schäden ersetzen müssen – und wann Verbraucher wegen grober Fahrlässigkeit selbst haften. Die Entscheidung hat erhebliche Bedeutung für Opfer von Telefon-Phishing, Call-ID-Spoofing und manipulierten TAN-Freigaben.

---

Der Fall: Phishing-Anruf mit gefälschter Sparkassen-Nummer

Die betroffene Bankkundin erhielt einen Anruf, der scheinbar von ihrer Sparkasse stammte. Die Täter nutzten sogenanntes „Call-ID-Spoofing“, wodurch auf dem Display tatsächlich die Telefonnummer der Bank erschien. Unter dem Vorwand eines Sicherheitsupdates wurde die Kundin dazu gebracht, mehrere TAN-Freigaben vorzunehmen.

Im Anschluss wurden Überweisungen von mehr als 36.000 Euro ausgelöst, die die Kundin selbst nicht veranlasst hatte. Sie verlangte von ihrer Bank die Erstattung der abgebuchten Beträge wegen nicht autorisierter Zahlungsvorgänge nach § 675u BGB.

Das rechtliche Problem: Wer haftet bei Phishing?

Grundsätzlich gilt im Zahlungsdiensterecht:

Nicht autorisierte Überweisungen muss die Bank dem Kunden erstatten. Allerdings entfällt dieser Anspruch, wenn der Kunde grob fahrlässig gegen seine Sorgfaltspflichten verstoßen hat (§ 675v Abs. 3 BGB).

Genau darüber hatte der BGH zu entscheiden:

• Reicht die Weitergabe von TANs bereits für grobe Fahrlässigkeit aus?
• Welche Rolle spielt professionelles Social Engineering?
• Muss die Bank trotz fehlender Autorisierung dennoch zahlen?
• Welche Bedeutung hat eine starke Kundenauthentifizierung?

Diese Fragen beschäftigen seit Jahren Gerichte in ganz Deutschland und sind besonders relevant bei modernen Phishing-Methoden im Online-Banking.

Die Entscheidung des BGH

Der BGH entschied zugunsten der Bank.

Nach Auffassung des Gerichts handelte die Kundin grob fahrlässig, weil sie mehrere eindeutige Warnsignale ignorierte und TAN-Freigaben telefonisch bestätigte. Besonders relevant war dabei, dass in der TAN-App konkrete Überweisungsdaten und fremde IBANs angezeigt wurden. Die Kundin hätte erkennen müssen, dass gerade keine bloße Sicherheitsprüfung durchgeführt wurde.

Der Erstattungsanspruch gegen die Bank entfiel daher vollständig.

Gleichzeitig stellte der BGH jedoch klar:

Nicht jeder Phishing-Fall führt automatisch zur Haftung des Kunden. Entscheidend bleibt immer die konkrete Einzelfallprüfung. Gerade bei besonders professionellen Betrugsmethoden oder Pflichtverletzungen der Bank können weiterhin Ansprüche gegen Kreditinstitute bestehen.

Bedeutung für Verbraucher

Das Urteil zeigt deutlich:

Verbraucher müssen bei TAN-Freigaben und telefonischen Bankkontakten höchste Vorsicht walten lassen. Banken werden sich künftig noch häufiger auf grobe Fahrlässigkeit berufen, um Erstattungen abzulehnen.

Dennoch bedeutet ein Phishing-Vorfall nicht automatisch, dass Betroffene rechtlos sind. In vielen Fällen bestehen weiterhin gute Erfolgsaussichten gegen Banken – insbesondere wenn:

• Sicherheitsmechanismen der Bank unzureichend waren,
• ungewöhnliche Transaktionen nicht erkannt wurden,
• Authentifizierungsverfahren fehlerhaft waren,
• Warnpflichten verletzt wurden oder
• kein grob fahrlässiges Verhalten des Kunden vorliegt.

Handlungsempfehlung bei Phishing und Online-Banking-Betrug

Wenn Sie Opfer eines Phishing-Angriffs geworden sind, sollten Sie sofort handeln:

1. Konto und Online-Banking sperren lassen
2. Strafanzeige erstatten
3. Unberechtigte Buchungen dokumentieren
4. Bank schriftlich zur Rückerstattung auffordern
5. Frühzeitig anwaltliche Hilfe in Anspruch nehmen

Gerade im Bank- und Kapitalmarktrecht entscheidet häufig die richtige rechtliche Argumentation darüber, ob Banken den Schaden ersetzen müssen oder nicht.

Häufige Fragen zum Phishing

Muss meine Bank mir Geld nach einem Phishing-Angriff zurückzahlen?
Grundsätzlich ja: Nicht autorisierte Überweisungen muss die Bank nach § 675u BGB erstatten. Dieser Anspruch entfällt nur, wenn der Kunde grob fahrlässig gehandelt hat.

Was bedeutet „grobe Fahrlässigkeit“ bei Phishing?
Grobe Fahrlässigkeit liegt laut BGH XI ZR 107/24 vor, wenn eindeutige Warnsignale ignoriert werden – etwa wenn in der TAN-App konkrete Überweisungsdaten und eine fremde IBAN angezeigt werden, die telefonisch trotzdem freigegeben werden.

Reicht eine telefonische TAN-Freigabe automatisch für eine Haftung des Kunden aus?
Nein. Der BGH verlangt eine Einzelfallprüfung. Auch bei telefonischer TAN-Freigabe bleiben Ansprüche gegen die Bank möglich, wenn deren Sicherheitsmechanismen unzureichend waren oder Warnpflichten verletzt wurden.

Was sollte ich als Erstes tun, wenn ich Opfer von Phishing geworden bin?
Konto und Online-Banking sofort sperren lassen, Strafanzeige erstatten, unberechtigte Buchungen dokumentieren und die Bank schriftlich zur Rückerstattung auffordern.

Habe ich noch Chancen gegen die Bank, wenn ich eine TAN weitergegeben habe?
Ja, ein Phishing-Vorfall führt nicht automatisch zum Anspruchsverlust. Entscheidend bleibt die konkrete Einzelfallprüfung, insbesondere Umstände auf Bankenseite.

Wie lange kann ich Ansprüche gegen meine Bank geltend machen?
Es gilt regelmäßig die allgemeine zivilrechtliche Verjährungsfrist von drei Jahren (§§ 195, 199 BGB), beginnend mit Ablauf des Jahres der Kenntniserlangung.

Unterstützung durch einen Fachanwalt für Bank- und Kapitalmarktrecht

Als Fachanwalt für Bank- und Kapitalmarktrecht unterstütze ich Verbraucher bundesweit bei:

• Phishing-Fällen
• Online-Banking-Betrug
• unberechtigten Überweisungen
• Kreditkartenmissbrauch
• Rückforderungen gegenüber Banken und Sparkassen

Nach einer individuellen Prüfung Ihres Falls bewerte ich Ihre Erfolgsaussichten und setze Ihre Ansprüche gegenüber Banken und Zahlungsdienstleistern konsequent durch.

Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung. Die Rechtslage kann sich weiterentwickeln; maßgeblich ist stets der konkrete Einzelfall.