Konto am Haken: Mit immer subtileren Methoden versuchen Betrüger über das Internet an das Geld anderer zu kommen (Foto: Katarina / stock.adobe.com).
Bankrecht
OLG Oldenburg: Keine Haftung der Bank für Phishing-Betrug
ESV-Redaktion Recht
25.08.2025
Phishing als Methode, an das Geld anderer Leute zu gelangen, boomt. Zwar haftet grundsätzlich die Bank (bzw. der Zahlungsdienstleister) beim Pishing-Betrug, doch auch den Kunden treffen Sorgfaltspflichten – und deren Verletzung kann teuer werden, wie eine aktuelle Entscheidung des OLG Oldenburg zeigt.
In dem Streitfall hatte ein Ehepaar aus dem Ammerland geklagt. Von dessen Konto verschwanden 41.000 EUR, die die Eheleute von der kontoführenden Bank zurückverlangten. Ihre Begründung: Die entsprechenden Zahlungsvorgänge waren von ihnen nicht autorisiert. Daher beriefen sie sich auf § 675 u, Satz 2 BGB (siehe unten), der grundsätzlich eine Erstattungspflicht des Zahlungsdienstleisters normiert.
Nach dem weiteren Sachverhalt wollte die Ehefrau im Jahr 2021 ihre PushTAN-Funktion erneuern. Auslöser war eine E-Mail, die angeblich von der Bank kam. Darin stand, sie solle die Registrierung innerhalb von zwei Tagen aktualisieren, sonst müsse sie sich komplett neu anmelden.
Nachdem die Ehefrau auf den in der E-Mail enthaltenen Link klickte, kam sie auf eine gefälschte Website. Auf dieser gab sie mindestens ihr Geburtsdatum und die Nummer ihrer EC-Karte ein. Anschließend erhielt sie eine SMS mit einem Link für die Neuregistrierung zum PushTAN-Verfahren auf ihr Handy. Am nächsten Tag stellte die Klägerin fest, dass etwa 41.000 Euro von ihrem Gemeinschaftskonto – über zwei Echtzeit-Überweisungen – auf ein Konto in Estland transferiert wurden.
Vorher hatte ein Anrufer die Klägerin dazu gebracht, in ihrer Banking-App eine angebliche Sicherheitsprüfung zu bestätigen – dadurch wurde das Geld jedoch an Betrüger überwiesen. Auf dem Display erschien eine echt wirkende Telefonnummer, die durch sogenanntes Caller-ID-Spoofing – also das Fälschen der Anrufernummer – erzeugt worden war. Daraufhin verlangte das Ehepaar von der Bank die Erstattung von 41.000 Euro.
LG Oldenburg: Der Rückzahlung an die Eheleute steht ein Schadenersatzanspruch der Bank entgegen
Die erste Instanz – das LG Oldenburg – wies die Klage ab. Demnach haftet die Bank beim Pishing-Betrug grundsätzlich nicht. Zwar meinte das LG, dass die Eheleute die umstrittenen Zahlungsvorgänge nicht autorisiert hatten.
Dennoch sah das LG im Ergebnis keinen Anspruch der Kläger auf Erstattung der Zahlungsbeträge. Nach seiner Auffassung konnte die beklagte Bank den beiden Eheleuten einen Schadensersatzanspruch entgegenhalten, da die Ehefrau grob fahrlässig im Sinne von § 675 v Absatz 3 Nr. 2 BGB handelte. Dieses Verhalten muss sich auch der Ehemann nach § 278 BGB zurechnen lassen. Nach der Beweisaufnahme stellte das LG fest, dass die Klägerin auf der gefälschten Website neben ihrem Geburtsdatum und der EC-Kartennummer auch ihren Anmeldenamen sowie ihre PIN eingab. Dem gerichtlich bestellten Sachverständigen zufolge war es technisch nicht möglich und auch unplausibel, dass die Täter die Überweisungen ohne diese Angaben ausführen konnten. Mit der Preisgabe von Anmeldedaten und PIN, so das LG weiter, verletzte die Klägerin ihre vertraglichen Sorgfaltspflichten grob.
| Der kostenlose Newsletter Recht – Wir freuen uns auf Ihre Anmeldung! |
| Redaktionelle Meldungen zu neuen Entscheidungen und Rechtsentwicklungen, Interviews und Literaturtipps |
OLG Oldenburg: Ehefrau handelte grob fahrlässig
Die Berufung blieb vor dem 8. Zivilsenat des OLG Oldenburg ohne Erfolg. Die wesentlichen Erwägungen des Senats:
- Preisgabe von Anmeldedaten und Tan: Die Klägerin konnte nach den Anhörungen vor dem OLG nicht zu 100 Prozent ausschließen, dass sie neben ihrem Geburtsdatum und ihrer EC-Karten-Nummer noch weitere Daten auf der gefälschten Website eingegeben hatte. Auch die Annahme des erneut angehörten Sachverständigen, dass die Klägerin auf der gefälschten Website auch den Anmeldenamen und die PIN eingegeben hatte, erschien dem Senat in jeder Hinsicht plausibel.
- Zweifel an der Seriosität der E-Mail: Zudem hätten sich der Klägerin Zweifel an der Seriosität der E-Mail aufdrängen müssen. So war diese nicht unmittelbar namentlich an die Kläger adressiert. Vielmehr sprach die E-Mail die Adressaten nur mit „Sehr geehrter Kunde“ an. Schließlich enthielt die E-Mail mehrere Rechtschreibfehler.
- Weitere Pflichtverletzung: Außerdem war der Senat der Meinung, dass sich die Ehefrau noch einen weiteren dicken Patzer geleistet hat. Nach der ergänzenden Beweisaufnahme stand nämlich fest: Die Klägerin hatte den Registrierungs-Link beziehungsweise den Code für die neue PushTAN-Anmeldung aus der SMS entweder direkt weitergeleitet oder den Kriminellen sonst irgendwie in die Hände gespielt. Auch das stufte der Senat als grob fahrlässig ein. Ob das Ganze am Ende aber wirklich ursächlich war, ließ er offen – letzlich blieb unklar, ob die Täter den Link oder Code nicht sowieso schon kannten.
- Kein Mitverschulden der Bank: Schließlich muss sich die Bank auch kein Mitverschulden entgegenhalten lassen. Insbesondere war es nach Senatsauffassung zum Zeitpunkt der Kontoeröffnung nicht geboten, in der damaligen Registrierungs-SMS einen – inzwischen von der Beklagten verwendeten – Warnhinweis aufzunehmen, dass die SMS nicht an Dritte weitergeleitet werden darf.
Die Entscheidung des OLG Oldenburg ist rechtskräftig.
Quelle: PM des OLG Oldenburg vom 08.08.2025 zum Urteil vom 24.04.2026 – 8 U 103/23
 |
|
| Verlagsprogramm | Weitere Nachrichten aus dem Bereich Recht |
| Im Wortlaut: § 675 u BGB – Sätze 1 und 2 – Haftung des Zahlungsdienstleisters für nicht autorisierte Zahlungsvorgänge |
| 1 Im Fall eines nicht autorisierten Zahlungsvorgangs hat der Zahlungsdienstleister des Zahlers gegen diesen keinen Anspruch auf Erstattung seiner Aufwendungen. 2 Er ist verpflichtet, dem Zahler den Zahlungsbetrag unverzüglich zu erstatten und, sofern der Betrag einem Zahlungskonto belastet worden ist, dieses Zahlungskonto wieder auf den Stand zu bringen, auf dem es sich ohne die Belastung durch den nicht autorisierten Zahlungsvorgang befunden hätte. |
(ESV/bp)
Programmbereich: Bank- und Kapitalmarktrecht