BGH-Urteil zu Phishing per Telefon: Wenn der „nette Sparkassen-Mitarbeiter“ doch nur ein Betrüger war – und wer am Ende zahlt

BGH, Urteil vom 22.07.2025 – XI ZR 107/24

Ein Wochenende, ein Anruf, eine vermeintlich hilfsbereite Bankmitarbeiterin – und am Ende ist ein fünfstelliger Betrag vom Konto verschwunden. Was wie der Plot eines schlechten Krimis klingt, ist für viele Verbraucherinnen und Verbraucher bittere Realität. Der Bundesgerichtshof hat sich in einem aktuellen Urteil erneut mit der Frage beschäftigt, wann Bankkunden nach einem Phishing-Anruf auf ihrem Schaden sitzen bleiben – und wann die Bank haftet. Das Ergebnis ist ernüchternd, aber lehrreich. Wir erklären, worum es ging, was der BGH entschieden hat und was Sie daraus für den eigenen Umgang mit TANs mitnehmen sollten.

Ein Wochenende, zwei Anrufe, 35.555 Euro weg

Die Klägerin führte seit 2014 ein Online-Banking-Konto bei ihrer Sparkasse und nutzte dafür das chipTAN-Verfahren. An einem Samstagabend im Juli 2022 versuchte sie mehrfach erfolglos, ihre PIN zu ändern. Kurz darauf öffnete sich auf ihrem PC ein Fenster, das zur Installation einer „neuen Sicherheitssoftware“ aufforderte und persönliche Daten abfragte. Sie schloss das Fenster – schaltete aber innerlich offenbar noch nicht auf Alarm.

Wenige Minuten später klingelte das Telefon. Angezeigt wurde die echte Telefonnummer der Sparkasse (sogenanntes Call-ID-Spoofing), am anderen Ende eine Frau, die sich als Bankmitarbeiterin ausgab, sogar den Namen der zuständigen Sachbearbeiterin kannte und erklärte, es müsse „spät am Samstagabend“ noch ein neues Sicherheitsprogramm installiert werden. Zur „Identifizierung“ ließ sie sich Teile der Kartennummer und die letzten Buchungen bestätigen – und bat die Klägerin, mit ihrem TAN-Generator Zahlenfolgen einzugeben und die erzeugten TANs telefonisch durchzugeben.

Die Klägerin tat dies – mehrfach, mit „Vertippern“, das Gespräch brach ab. Am Folgetag, einem Sonntag, meldete sich dieselbe Anruferin erneut, wieder unter der echten Bank-Rufnummer. Wieder wurden TANs generiert und durchgegeben. Ergebnis: Das Überweisungslimit wurde erhöht, eine Echtzeitüberweisung über 35.555 Euro an eine unbekannte dritte Person ausgelöst und bestätigt.

Die Kläger verlangten von der Sparkasse, die Buchung rückgängig zu machen. Das Landgericht gab ihnen zunächst recht – das Oberlandesgericht Naumburg und nun auch der BGH sahen das anders.

Die rechtliche Ausgangslage: Erstattungsanspruch trifft Schadensersatzanspruch

Grundsätzlich gilt: Wird eine Zahlung ohne wirksame Autorisierung des Kontoinhabers ausgelöst, muss die Bank nach § 675u Satz 2 BGB den ursprünglichen Kontostand wiederherstellen. Genau das hatte das OLG auch bejaht – die Überweisung war von der Klägerin selbst nicht autorisiert worden, sondern von unbekannten Dritten, die sich mithilfe der abgephishten TANs Zugriff verschafft hatten.

Doch der BGH bestätigt: Diesem Erstattungsanspruch kann die Bank nach Treu und Glauben (§ 242 BGB) einen eigenen Schadensersatzanspruch aus § 675v Abs. 3 Nr. 2 BGB entgegenhalten – und zwar dann, wenn der Kunde den Schaden durch grob fahrlässige Verletzung seiner Sorgfaltspflichten (§ 675l Abs. 1 BGB) selbst mitverursacht hat. Im Ergebnis heben sich beide Ansprüche auf: Der Kunde bekommt nichts zurück.

Warum der BGH hier grobe Fahrlässigkeit annimmt

Das ist der Kern des Urteils – und für Betroffene besonders wichtig zu verstehen, weil hier die Grenze zwischen „normalem“ Reinfallen auf einen Betrug und einem so schwerwiegenden Fehler verläuft, der die eigene Bank aus der Haftung entlässt.

Der BGH bestätigt die tatrichterliche Würdigung des OLG Naumburg, wonach folgende Umstände in der Gesamtschau einen objektiv schwerwiegenden und subjektiv unentschuldbaren Sorgfaltsverstoß begründen:

• Ungewöhnlicher Zeitpunkt: Ein Anruf einer Bankmitarbeiterin an einem Samstagabend gegen 23 Uhr ist untypisch – das hätte stutzig machen müssen.
• Ungewöhnlicher Anlass: Die angebliche Notwendigkeit, „noch am selben Tag“ ein neues Sicherheitsprogramm zu installieren, passt nicht zum sonst so behäbigen Bankalltag.
• Zweckentfremdung der TAN: TANs dienen ausschließlich der Bestätigung eines bereits ausgelösten Zahlungsvorgangs – nicht der „Identifizierung“ oder Software-Installation. Dass im TAN-Generator sogar IBAN und Überweisungsbetrag sichtbar wurden, hätte spätestens hier ein Warnsignal sein müssen.
• Zeit zum Nachdenken: Zwischen erstem und zweitem Anruf lag fast ein ganzer Tag. Diese Zeit hätte genutzt werden müssen, um das Geschehen zu hinterfragen oder bei der Bank direkt nachzufragen – und genau das unterscheidet den Fall von einem bloßen „Augenblicksversagen“, das eine grobe Fahrlässigkeit ausschließen könnte.
• Fehlende Rückversicherung: Weder vor dem zweiten Telefonat noch danach hat die Klägerin von sich aus bei der Bank nachgefragt, ob die Anruferin tatsächlich existiert.

Auch die Unerfahrenheit mit dem manuellen chipTAN-Verfahren (statt des bisher genutzten optischen Flickercode-Verfahrens) und die korrekt angezeigte Bank-Telefonnummer ändern daran nichts. Der BGH stellt klar: Unerfahrenheit kann im Einzelfall entlastend wirken, schließt grobe Fahrlässigkeit aber nicht automatisch aus – hier reichte sie nicht, weil sich das Auffällige „aufdrängen musste“.

Die zweite wichtige Aussage: Starke Kundenauthentifizierung zählt pro Zahlungsvorgang

Praktisch mindestens ebenso bedeutsam ist der zweite Leitsatz. Nach § 675v Abs. 4 Satz 1 Nr. 1 BGB entfällt die Schadensersatzpflicht des Zahlers, wenn die Bank keine starke Kundenauthentifizierung (2FA nach § 1 Abs. 24 ZAG) verlangt hat. Die Kläger argumentierten: Beim Login ins Online-Banking sei überhaupt keine starke Authentifizierung nötig gewesen – also müsse der Haftungsausschluss greifen.

Der BGH widerspricht: Maßgeblich ist ausschließlich der konkret streitgegenständliche Zahlungsvorgang – hier die Echtzeitüberweisung –, nicht die vorgelagerte Anmeldung im Online-Banking. Da für die Überweisung selbst eine starke Kundenauthentifizierung (TAN-Verfahren) verlangt wurde, bleibt der Schadensersatzanspruch der Bank bestehen, unabhängig davon, wie sicher (oder unsicher) der Login-Vorgang ausgestaltet war.

Ein womöglicher Verstoß der Bank gegen ihre eigenen Authentifizierungspflichten beim Login – der den Tätern erst ermöglicht haben könnte, an Geburtsdatum, Telefonnummer, Kartennummer und Kontobewegungen zu gelangen und damit Vertrauen zu erschleichen – wirkt sich nicht auf den Haftungsausschluss aus, sondern allenfalls über ein Mitverschulden nach § 254 BGB mindernd aus. Im vorliegenden Fall ließ der BGH aber auch das nicht durchgreifen: Der eigene, gravierende Sorgfaltsverstoß der Klägerin überwog derart, dass der mögliche Verursachungsbeitrag der Bank vollständig dahinter zurücktrat.

Was bedeutet das für Sie als Bankkundin oder Bankkunde?

Dieses Urteil ist kein Freibrief für Banken – aber eine deutliche Mahnung an alle, die TANs freigeben:

1. TANs sind niemals zur „Identifizierung“ da. Eine TAN bestätigt immer nur einen bereits ausgelösten Vorgang. Wer Sie auffordert, eine TAN „zur Legitimation“, „für ein Sicherheitsupdate“ oder „zur Verifizierung“ durchzugeben, ist kein Bankmitarbeiter – Punkt.
2. Die angezeigte Telefonnummer beweist nichts. Call-ID-Spoofing ist technisch einfach und weit verbreitet. Auch die korrekte Bank-Hotline auf dem Display ist kein Echtheitsnachweis.
3. Banken rufen nicht spätabends oder am Wochenende an, um „dringend“ ein Sicherheitsprogramm zu installieren. Ungewöhnliche Dringlichkeit ist das klassische Kennzeichen von Social Engineering.
4. Im Zweifel auflegen und selbst zurückrufen – über die Ihnen bekannte, unabhängig recherchierte Servicenummer, nicht über eine Rückruffunktion aus dem verdächtigen Gespräch heraus.
5. Schauen Sie auf den TAN-Generator, nicht nur auf die angezeigte Zahl. Werden dort IBAN und Betrag angezeigt, obwohl Sie angeblich nur „bestätigen“ sollen, ist das ein deutliches Alarmsignal.

Nicht jeder Phishing-Fall ist verloren

So hart dieses Urteil für die betroffene Familie ausgefallen ist – es bedeutet nicht, dass jeder Phishing-Geschädigte automatisch grob fahrlässig gehandelt hat und leer ausgeht. Die Entscheidung, ob im Einzelfall grobe Fahrlässigkeit vorliegt, hängt immer von einer Gesamtwürdigung aller Umstände ab: Wie professionell war der Betrug aufgebaut? Gab es tatsächlich erkennbare Warnsignale? Wie hat sich die Bank selbst verhalten – hat sie etwa pflichtwidrig auf eine starke Kundenauthentifizierung beim Login verzichtet und damit den Betrug erst ermöglicht? Gerade bei besonders raffinierten Maschen, bei denen selbst aufmerksame Kunden kaum eine Chance hatten, den Betrug zu erkennen, sehen Gerichte die Sache oft anders – und die Bank bleibt in der Haftung.

Sind auch Sie Opfer eines Phishing-Angriffs oder einer betrügerischen Überweisung geworden, und Ihre Bank verweigert die Erstattung? Ob im konkreten Fall tatsächlich grobe Fahrlässigkeit vorliegt oder Ihre Bank ihrerseits Sicherheitspflichten verletzt hat, lässt sich nur anhand der genauen Umstände beurteilen. Wir prüfen Ihren Fall und setzen Ihre Ansprüche gegen die Bank durch, wo dies möglich ist.

Dieser Beitrag ersetzt keine individuelle Rechtsberatung. Bei konkreten Fragen zu Ihrem Fall nehmen Sie gerne Kontakt mit unserer Kanzlei auf.