35.555 Euro weg per Telefonanruf: Warum die Bank hier nicht zahlen musste

Eine Sparkassenkundin gibt am Telefon TANs an eine falsche Bankmitarbeiterin weiter, das Geld ist weg. Der BGH sagt: grobe Fahrlaessigkeit, keine Erstattung. Was das fuer deinen eigenen Kartenmissbrauch bedeutet.

Stell dir vor, dein Konto wird am Wochenende leergeraeumt, weil du selbst am Telefon Zahlencodes weitergegeben hast, die eine angebliche Bankmitarbeiterin von dir wollte. Genau das ist einer Frau aus Sachsen-Anhalt passiert, und der Bundesgerichtshof musste entscheiden, wer den Schaden traegt.

Der Fall stammt aus Halle. Die Klaegerin und ihr Mann fuehren bei ihrer Sparkasse ein gemeinsames Girokonto mit Online-Banking, seit 2014 schon. Am Samstag, den 2. Juli 2022, versucht die Frau abends mehrfach, ihre PIN fuers Online-Banking zu aendern, weil sie diese aus Versehen im Browser gespeichert hatte.

Die PIN-Aenderung klappt nicht, der TAN-Generator zeigt jedes Mal Vorgang abgebrochen an. Gegen 22:30 Uhr oeffnet sich dann ein Fenster auf ihrem PC, das vor einem angeblich ablaufenden Online-Banking-Zugang warnt und zur Installation einer neuen Sicherheitssoftware auffordert. Sie klickt drauf, es folgen Datenabfragen, sie schliesst das Fenster wieder.

Wenige Augenblicke spaeter klingelt ihr Telefon. Auf dem Display steht die echte Nummer der Sparkasse, die Anruferin gibt sich als Mitarbeiterin aus und nennt sogar den Namen der tatsaechlich zustaendigen Sachbearbeiterin. Sie erklaert, es muesse ein neues Sicherheitsprogramm installiert werden, dafuer solle die Kundin ihren TAN-Generator benutzen.

Die Kundin macht mit, tippt sich mehrfach, das Gespraech bricht ab. Kurz danach ruft dieselbe Nummer wieder an, im Hintergrund werden ueber die von ihr erzeugten TANs das Tageslimit auf 111.111 Euro erhoeht und drei Ueberweisungen von je 36.666 Euro versucht, die wegen falscher TAN-Eingabe aber scheitern. Die Anruferin vertroestet auf den naechsten Tag.

Am Sonntag, den 3. Juli 2022, sind die Klaeger auf dem Weg in den Urlaub. Die Frau hat TAN-Generator und Sparkassenkarte extra dabei, weil sie den Rueckruf erwartet. Gegen 18:15 Uhr meldet sich die Anruferin erneut unter der Sparkassen-Nummer, fragt wieder die Kartennummer ab und laesst mehrere TANs erzeugen.

Waehrend des Telefonats laufen im Hintergrund echte Vorgaenge im Online-Banking: Um 18:24 Uhr wird das Ueberweisungslimit auf 55.555 Euro hochgesetzt, zwei Minuten spaeter geht eine Echtzeitueberweisung ueber 35.555 Euro an ein fremdes Konto raus, freigeschaltet durch genau die TAN, die die Kundin gerade weitergegeben hat.

Die Klaeger verlangen von der Sparkasse, das Konto wieder auf den alten Stand zu bringen. Das Landgericht Halle gibt ihnen am 4. Januar 2024 unter dem Aktenzeichen 4 O 187/23 im Wesentlichen recht. Die Sparkasse geht in Berufung.

Das Oberlandesgericht Naumburg dreht das Urteil am 22. Mai 2024 (Aktenzeichen 5 U 11/24) komplett um und weist die Klage ab, nachdem es die Kundin persoenlich angehoert hat. Die Begruendung: Die Frau habe grob fahrlaessig gehandelt, weil ihr die Ungewoehnlichkeit der Situation haette auffallen muessen. Ein Anruf am Wochenende ausserhalb der Bankoeffnungszeiten, eine dringliche Identifizierung per TAN-Generator statt wie sonst nur zur Bestaetigung einer eigenen Ueberweisung, das haette Alarmglocken laeuten lassen muessen.

Der Bundesgerichtshof bestaetigt das am 22. Juli 2025 unter dem Aktenzeichen XI ZR 107/24 und weist die Revision der Klaeger zurueck. Wichtig dabei: Der BGH stellt erst einmal klar, dass die Kundin die Ueberweisung nicht autorisiert hat, weil ein unbekannter Dritter im Hintergrund gehandelt hat. Das begruendet grundsaetzlich einen Erstattungsanspruch nach Paragraf 675u BGB.

Aber die Sparkasse darf diesem Anspruch einen eigenen Schadensersatzanspruch entgegenhalten, nach Paragraf 675v Absatz 3 Nummer 2 BGB, weil die Kundin grob fahrlaessig gegen ihre Pflicht verstossen hat, ihre TANs vor unbefugtem Zugriff zu schuetzen. Beide Anspruche heben sich in der Hoehe gegenseitig auf, am Ende bleibt der Schaden bei der Kundin.

Entscheidend fuer die grobe Fahrlaessigkeit war fuer den BGH vor allem das zweite Telefonat am Sonntag. Zwischen den beiden Anrufen lag fast ein ganzer Tag, in dem die Kundin die Ungereimtheiten des ersten Gespraechs haette reflektieren koennen. Ein Augenblicksversagen, das grobe Fahrlaessigkeit im Einzelfall ausschliessen kann, lag laut BGH deshalb gerade nicht vor.

Auch das Argument, sie habe zuvor nur das optische chipTAN-Verfahren gekannt und das manuelle Verfahren am Telefon sei ihr fremd gewesen, hat nicht geholfen. Unerfahrenheit schliesst grobe Fahrlaessigkeit laut BGH nicht automatisch aus, sie kann hoechstens im Einzelfall mildernd wirken. Und dass auf dem Display die echte Sparkassen-Nummer stand, sogenanntes Call-ID-Spoofing, hat die Kundin ebenfalls nicht entlastet.

Interessant ist noch ein zweiter rechtlicher Punkt des Urteils. Die Kunden hatten argumentiert, die Bank habe beim ersten Login der Betrueger keine starke Kundenauthentifizierung verlangt und dadurch den Betrug erst ermoeglicht, weshalb sie sich gar nicht auf den vollen Schadensersatz berufen duerfe. Der BGH sagt dazu: Massgeblich ist nur, ob fuer die konkrete Ueberweisung eine starke Authentifizierung verlangt wurde, und das war hier der Fall.

Was heisst das jetzt fuer dich, wenn dir aehnliches passiert? Die Rechtsgrundlage bleibt Paragraf 675u BGB: Bei einer nicht autorisierten Zahlung muss deine Bank dein Konto grundsaetzlich sofort wieder auf den alten Stand bringen. Das ist der Ausgangspunkt, und daran aendert dieses Urteil nichts.

Die Grenze zieht Paragraf 675v BGB. Bei einfacher Fahrlaessigkeit, zum Beispiel wenn du auf einen gut gemachten Phishing-Link klickst, haftest du seit der PSD2-Reform meist nur mit maximal 50 Euro, die alte Bagatellgrenze von 150 Euro gilt nicht mehr. Bei grober Fahrlaessigkeit dagegen, wenn du also elementare Sorgfaltspflichten in aussergewoehnlichem Mass missachtest, haftest du fuer den vollen Schaden.

Und genau da liegt das Problem fuer Betroffene: Die Bank muss die grobe Fahrlaessigkeit beweisen, aber die Gerichte legen die Latte in Faellen wie diesem hoeher, als viele erwarten wuerden. Ein Anruf am Wochenende, eine dringliche Identifizierung, eine ungewoehnliche TAN-Abfrage, all das reicht in der Gesamtschau schon aus, um grobe Fahrlaessigkeit anzunehmen, auch wenn du selbst nie auf eine gefaelschte Sparkassen-Webseite gegangen bist.

Wenn du Opfer von Kartenmissbrauch oder eines nicht autorisierten Zahlungsvorgangs wirst, zaehlt ausserdem eine Frist. Nach Paragraf 676b BGB musst du deiner Bank spaetestens 13 Monate nach der Belastung Bescheid geben, sonst sind deine Anspruche und Einwendungen ausgeschlossen. Die Frist beginnt erst zu laufen, wenn die Bank dir die Transaktionsdetails mitgeteilt hat.

Praktisch heisst das: Kontoauszuege regelmaessig pruefen und bei jeder unbekannten Buchung sofort reagieren, nicht erst nach Monaten. Und bei Anrufen, die angeblich von deiner Bank kommen: Eine Bank fragt niemals am Telefon nach TANs, das ist der einfachste und wichtigste Grundsatz, den auch dieses Urteil noch einmal unterstreicht.

Der Fall zeigt vor allem, wie professionell moderne Betrugsmaschen inzwischen sind, mit gefaelschter Rufnummer, Insiderwissen ueber Kontobewegungen und psychologischem Druck. Trotzdem hat der BGH die Verantwortung am Ende bei der Kundin belassen, weil ihr in der konkreten Situation genug Zeit und Gelegenheit blieb, misstrauisch zu werden.