Pishing im Online-Banking - Aktuelle Rechtsprechung

Kapitalmarktrecht

Phishing im Online-Banking: Aktuelle Rechtsprechung stärkt Verbraucherrechte

Phishing-Angriffe im Online-Banking sind mittlerweile einer der häufigsten Streitpunkte zwischen Bankkunden und Kreditinstituten. Die jüngere Rechtsprechung des BGH und der Oberlandesgerichte verschiebt die Haftungsrisiken dabei spürbar zulasten der Banken und eröffnet neue Ansatzpunkte für die anwaltliche Durchsetzung von Erstattungsansprüchen.

Zahlungsdiensterecht

Ausgangspunkt ist das Zahlungsdiensterecht (§§ 675u ff. BGB i.V.m. PSD2): Nicht autorisierte Zahlungsvorgänge sind vom Kreditinstitut grundsätzlich vollständig zu erstatten. Die Beweislast für eine wirksame Autorisierung liegt bei der Bank. Kunden müssen lediglich substantiiert bestreiten, die Zahlung veranlasst zu haben.

Bundesgerichtshof zur Beweislast

Mit Urteil vom 5. März 2024 (BGH, XI ZR 107/22) hat der Bundesgerichtshof diese Beweislast weiter verschärft. Banken müssen nun konkret nachweisen, dass der Kunde die Zahlung tatsächlich autorisiert hat; rein technische Nachweise wie Logfiles oder Systemprotokolle genügen regelmäßig nicht. Verbleibende Zweifel gehen zulasten des Instituts.

Grobe Fahrlässigkeit: wann?

Gleichzeitig hat der BGH im Urteil vom 22. Juli 2025 (XI ZR 107/24) klargestellt, dass grobe Fahrlässigkeit von Kunden – etwa durch Weitergabe von TANs an angebliche Bankmitarbeiter – zwar einen Erstattungsanspruch ausschließen kann, dies jedoch kein Automatismus ist. Entscheidend bleiben stets die Umstände des Einzelfalls, insbesondere die Sicherheitsarchitektur des Bankverfahrens und die Warnpraxis des Instituts.

OLG Dresden: Mitverschulden der Bank denkbar; kommt auf Umstände des Einzelfalls an

Besonders praxisrelevant ist schließlich das Urteil des OLG Dresden vom 5. Juni 2025 (8 U 1482/24). Trotz grober Fahrlässigkeit des Kunden erkannte das Gericht ein Mitverschulden der Sparkasse wegen unzureichender starker Kundenauthentifizierung und sprach eine anteilige Erstattung von 20 % zu. Banken treffen demnach eigene Schutzpflichten, deren Verletzung auch in Phishing-Fällen zu einer Haftungsquote führen kann.

Fazit:

Die aktuelle Rechtsprechung verlangt von Banken deutlich höhere Sicherheits- und Nachweisanforderungen. Selbst bei Sorgfaltsverstößen von Kunden bestehen heute realistische Chancen, Erstattungs- oder zumindest Teilansprüche erfolgreich durchzusetzen.