Neues Urteil zum Online-Banking-Betrug: Nicht jeder Fehler des Kunden ist grob fahrlässig

Viele Opfer von Phishing-Angriffen erleben nach dem eigentlichen Betrug eine zweite Enttäuschung: Die Bank verweigert die Erstattung des Schadens mit der Begründung, der Kunde habe grob fahrlässig gehandelt. Das Oberlandesgericht Koblenz hat dieser Praxis mit Urteil vom 17.04.2026 (Az. 8 U 682/24) nun deutliche Grenzen gesetzt.

Das Gericht verurteilte eine Bank dazu, ihren Kunden einen Schaden von insgesamt über 56.000 Euro zu ersetzen, nachdem Betrüger mehrere Echtzeitüberweisungen ins Ausland veranlasst hatten. Besonders bemerkenswert ist dabei, dass das Gericht sehr genau herausarbeitet, welche Anforderungen an den Nachweis einer groben Fahrlässigkeit zu stellen sind und dass Banken nicht allein aufgrund eines erfolgreichen Betrugs auf ein Fehlverhalten des Kunden schließen dürfen.

Die Entscheidung dürfte für tausende Verbraucher von Bedeutung sein, die Opfer moderner Phishing-Angriffe, Push-TAN-Betrugsfälle oder sogenannter „Spoofing-Angriffe“ geworden sind.

Der Fall: Betrüger gaben sich als Mitarbeiter der Bank aus

Dem Verfahren lag ein inzwischen weit verbreitetes Betrugsschema zugrunde. Ein vermeintlicher Mitarbeiter der Bank kontaktierte den Kläger telefonisch und erklärte, dass eine Umstellung vom Chip-TAN-Verfahren auf das Push-TAN-Verfahren erforderlich sei. Dabei verfügte der Anrufer über zahlreiche Informationen zu den Bankverbindungen der Kunden und verwendete sogar die Rufnummer der Bank.

Aus Sicht der Kunden sprach zunächst alles dafür, dass sie tatsächlich mit ihrer Bank kommunizierten. Die Täter nutzten gezielt das Vertrauen der Bankkunden aus und führten diese Schritt für Schritt durch einen angeblichen Umstellungsprozess.

In den folgenden Tagen wurden mehrere Echtzeitüberweisungen ins Ausland durchgeführt. Insgesamt flossen mehr als 56.000 Euro von den Konten der Kläger ab. Die Betroffenen bestritten von Anfang an, diese Überweisungen autorisiert zu haben. Die Bank lehnte eine Erstattung jedoch ab und behauptete, die Kunden hätten ihre Sorgfaltspflichten grob fahrlässig verletzt.

Landgericht gab zunächst der Bank Recht

In erster Instanz folgte das Landgericht Koblenz noch der Argumentation der Bank. Zwar ging auch das Landgericht davon aus, dass die Kläger die Überweisungen nicht selbst veranlasst hatten. Gleichwohl nahm es an, dass die Kunden den Tätern durch grob fahrlässiges Verhalten den Zugriff auf das Online-Banking ermöglicht hätten.

Nach Auffassung des Landgerichts stand der Bank deshalb ein Schadensersatzanspruch gegen die Kunden zu, der dem Erstattungsanspruch entgegengehalten werden könne. Die Klage wurde daher zunächst abgewiesen.

Das Oberlandesgericht Koblenz sah dies jedoch grundlegend anders.

OLG Koblenz: Die Bank muss grobe Fahrlässigkeit beweisen

Das Berufungsgericht stellte zunächst klar, dass die Überweisungen unautorisiert waren und den Klägern daher grundsätzlich ein Anspruch auf vollständige Erstattung nach § 675u BGB zusteht.

Entscheidend war anschließend die Frage, ob die Bank nachweisen konnte, dass die Kunden ihre Pflichten im Umgang mit den Sicherheitsmerkmalen des Online-Bankings grob fahrlässig verletzt hatten.

Hieran scheiterte die Bank.

Das Oberlandesgericht betont ausdrücklich, dass die Beweislast für grobe Fahrlässigkeit bei der Bank liegt. Es genügt nicht, theoretische Möglichkeiten oder bloße Vermutungen vorzutragen. Vielmehr muss konkret nachgewiesen werden, welches Verhalten des Kunden den Betrug ermöglicht hat und weshalb dieses Verhalten als besonders schwerwiegender Sorgfaltsverstoß einzustufen ist.

Gerade dieser Punkt ist für Verbraucher von erheblicher Bedeutung. In vielen gerichtlichen Verfahren beschränken sich Banken darauf, mögliche Geschehensabläufe zu schildern, ohne den tatsächlichen Ablauf nachweisen zu können. Das OLG Koblenz macht deutlich, dass dies nicht ausreicht.

Das Anklicken eines Links begründet keine grobe Fahrlässigkeit

Besondere Aufmerksamkeit verdient die Feststellung des Gerichts zum Anklicken eines per SMS versandten Links.

Die Bank hatte vorgetragen, dass im Rahmen der Umstellung auf das Push-TAN-Verfahren ein Link per SMS an den Kunden versandt worden sei. Der Kläger hatte bestätigt, diesen Link angeklickt zu haben.

Das OLG Koblenz stellt hierzu klar, dass dieses Verhalten gerade nicht pflichtwidrig war. Der Link war nach dem eigenen Vortrag der Bank automatisiert erzeugt und an den Kunden versandt worden. Das Anklicken des Links entsprach daher exakt dem vorgesehenen Ablauf der Aktivierung. Ein durchschnittlicher Bankkunde musste hierin keinen verdächtigen Vorgang erkennen.

Diese Aussage ist für zahlreiche Phishing-Verfahren von großer Bedeutung. Banken argumentieren häufig, dass bereits das Anklicken eines Links einen schwerwiegenden Sorgfaltspflichtverstoß darstelle. Das OLG Koblenz erteilt einer solchen pauschalen Betrachtungsweise eine klare Absage.

Professionelle Betrugsmaschen dürfen nicht zu Lasten der Kunden gehen

Das Gericht würdigt zudem die besondere Professionalität der Täter.

Nach den Ermittlungen handelte es sich um ein ausgefeiltes Betrugssystem. Die Täter verfügten über sensible Kundendaten, verwendeten die Rufnummer der Bank und waren in der Lage, die Zahlungsströme über zahlreiche Konten und Länder hinweg zu verschleiern.

Gerade diese Professionalität spricht nach Auffassung des Gerichts dagegen, vorschnell von einem grob fahrlässigen Verhalten der Kunden auszugehen. Die Kläger seien erkennbar Opfer eines professionell organisierten Betrugs geworden. Hinweise auf eine Beteiligung oder bewusste Unterstützung der Täter habe es nicht gegeben.

Sachverständiger widerlegt zentrale Verteidigung der Bank

Besondere Bedeutung kommt dem vom Oberlandesgericht eingeholten Sachverständigengutachten zu.

Die Bank hatte behauptet, die Kunden müssten einen Freischaltcode oder Sicherheitscode an die Täter weitergegeben haben. Nur so sei der Angriff technisch möglich gewesen.

Der gerichtlich bestellte Sachverständige kam jedoch zu einem anderen Ergebnis. Nach seinen Feststellungen konnte der betreffende Freischaltcode unmittelbar auf dem Gerät der Täter angezeigt worden sein. Eine Weitergabe durch die Kläger ließ sich gerade nicht nachweisen. Ebenso konnte der Sachverständige keine technische Notwendigkeit feststellen, wonach die Kunden einen solchen Code hätten übermitteln müssen.

Damit brach die zentrale Verteidigungslinie der Bank zusammen.

Täuschend echte Phishing-Seiten begründen nicht automatisch grobe Fahrlässigkeit

Das Gericht befasste sich außerdem mit modernen Phishing-Webseiten, die inzwischen häufig kaum noch von den echten Internetseiten der Banken zu unterscheiden sind.

Der Sachverständige bestätigte, dass Täter regelmäßig täuschend echte Nachbildungen von Bankseiten verwenden, um Zugangsdaten der Kunden abzugreifen. Das OLG Koblenz stellte hierzu fest, dass allein die Nutzung einer solchen professionell gestalteten Phishing-Seite nicht automatisch als grob fahrlässig bewertet werden kann. Vielmehr komme es stets auf die konkreten Umstände des Einzelfalls an.

Auch insoweit stärkt das Urteil die Rechte der Verbraucher erheblich.

Bedeutung des Urteils für Bankkunden

Die Entscheidung des OLG Koblenz reiht sich in eine Reihe verbraucherfreundlicher Urteile ein, die deutlich machen, dass Banken nicht jede erfolgreiche Betrugshandlung auf ein grob fahrlässiges Verhalten ihrer Kunden zurückführen können.

Die technischen Methoden der Täter werden immer professioneller. Call-ID-Spoofing, gefälschte Webseiten, manipulierte Push-TAN-Verfahren und künstlich erzeugte Sicherheitsmeldungen führen dazu, dass selbst vorsichtige und erfahrene Nutzer Opfer werden können.

Das Urteil zeigt, dass Gerichte zunehmend bereit sind, diese technische Realität zu berücksichtigen und die Anforderungen an den Nachweis einer groben Fahrlässigkeit hoch anzusetzen.

SIBURG LEGAL vertritt bundesweit Opfer von Online-Banking-Betrug

Die Kanzlei SIBURG LEGAL verfügt über umfangreiche Erfahrung bei der Vertretung von Verbrauchern gegen Banken nach Phishing-Angriffen, Push-TAN-Betrug, SMS-Phishing (Smishing), Apple-Pay-Betrugsfällen und sonstigen unautorisierten Zahlungsvorgängen.

Unsere Erfahrung aus einer Vielzahl von Verfahren zeigt, dass Banken Erstattungsansprüche häufig bereits außergerichtlich mit dem pauschalen Hinweis auf eine angebliche grobe Fahrlässigkeit ablehnen. Eine genaue rechtliche und technische Analyse ergibt jedoch oft, dass die Voraussetzungen des § 675v BGB gerade nicht vorliegen und die Bank den erforderlichen Nachweis nicht führen kann.

Das Urteil des OLG Koblenz bestätigt eindrucksvoll, dass sich Verbraucher gegen solche Ablehnungen erfolgreich zur Wehr setzen können.

Kostenlose Ersteinschätzung für Betroffene

Wenn von Ihrem Konto unautorisierte Überweisungen vorgenommen wurden oder Sie Opfer eines Phishing-Angriffs geworden sind, sollten Sie die Ablehnung Ihrer Bank nicht ungeprüft akzeptieren.

SIBURG LEGAL prüft Ihre Ansprüche und unterstützt Sie bundesweit bei der Durchsetzung von Erstattungsansprüchen gegen Banken und Zahlungsdienstleister.

Gerade in Phishing-Fällen ist eine frühzeitige rechtliche Prüfung häufig entscheidend für den Erfolg.