Ein gefälschter Anruf an einem Samstagnachmittag, ein paar Tastendrücke am TAN-Generator – und gut 39.000 Euro sind weg. Für den betroffenen Handwerker, dessen Frau dem vermeintlichen Bankmitarbeiter vertraute, beginnt damit nicht nur der finanzielle Schaden, sondern auch ein zäher Streit darüber, wer ihn am Ende trägt. Der Bundesgerichtshof hat diese Frage in seinem Urteil vom 3. März 2026 (XI ZR 20/24, Vorinstanz OLG Naumburg) zu Lasten des Bankkunden entschieden und dabei zugleich geklärt, welche technischen Anforderungen an eine starke Kundenauthentifizierung beim chipTAN-Verfahren zu stellen sind und dabei klargestellt:
Eine starke Kundenauthentifizierung im Sinne von § 675v Abs. 4 Satz 1 Nr. 1 BGB erfordert im manuellen chipTAN-Verfahren nicht die Angabe des Namens des Zahlungsempfängers im Display des TAN-Generators.
Der zugrunde liegende Sachverhalt
Der klagende Handwerker unterhielt seit 2003 ein Geschäftsgirokonto bei einer Sparkasse; seine verfügungsberechtigte Ehefrau wickelte den Zahlungsverkehr ab. Für das Online-Banking war das manuelle chipTAN-Verfahren vereinbart, bei dem ein gesonderter TAN-Generator die Transaktionsnummern erzeugt. Im Oktober 2020 stieß die Ehefrau auf eine Phishing-Mail, die unter dem Logo der Sparkasse eine angebliche Pflichtumstellung auf ein „neues System“ namens „Covid Intelligence Spa Connect“ ankündigte. Sie gab daraufhin auf einer gefälschten Seite persönliche Daten preis.
An den beiden folgenden Tagen – einem Samstag und einem Sonntag, jeweils außerhalb der Bankzeiten – rief ein vermeintlicher Mitarbeiter an, dessen Nummer durch Call-ID-Spoofing als die der Sparkasse erschien. Auf seine Anweisung hin erzeugte die Ehefrau mehrfach TANs am Generator und gab sie telefonisch weiter. Im Hintergrund veranlasste ein Dritter damit zwei Limiterhöhungen und vier Echtzeit-Überweisungen über insgesamt rund 39.454 Euro auf ein unbekanntes Konto. Der Kläger verlangte die Wiedergutschrift dieser Beträge.
Zweistufige Haftungsarchitektur
Der Senat bestätigt zunächst, dass dem Kläger ein Anspruch auf Wiedergutschrift aus § 675u Satz 2 BGB zusteht, weil die Überweisungen nicht autorisiert waren. Niemand hatte sie wirksam in Auftrag gegeben; die TANs waren der arglosen Ehefrau durch Täuschung entlockt worden. Damit greift der zahlungsdiensterechtliche Grundsatz, dass der Zahlungsdienstleister das Risiko nicht autorisierter Vorgänge trägt und das Konto auf den Stand ohne die fehlerhafte Belastung zurückführen muss.
Entscheidend ist die zweite Stufe. Dem Erstattungsanspruch des Kunden kann die Bank nach Treu und Glauben (§ 242 BGB) einen eigenen Schadensersatzanspruch aus § 675v Abs. 3 Nr. 2 BGB entgegenhalten, wenn der Zahler grob fahrlässig gegen seine Pflichten verstoßen hat. Dieser dogmatische Kniff – ein Schadensersatzanspruch, der wirtschaftlich an die Stelle des ausgeschlossenen Aufwendungsersatzes tritt – ist gefestigte Senatsrechtsprechung. Im Ergebnis heben sich beide Ansprüche in gleicher Höhe auf, sodass der Kunde leer ausgeht.
Grobe Fahrlässigkeit als Schlüsselbegriff
Den Ausschlag gibt damit die Bewertung des Kundenverhaltens. Die Online-Banking-Bedingungen untersagten ausdrücklich, TANs außerhalb des Online-Banking mündlich oder in Textform weiterzugeben. Genau dagegen verstieß die Ehefrau, deren Verhalten sich der Kläger zurechnen lassen muss. Der Senat betont, dass grobe Fahrlässigkeit einen objektiv schweren und subjektiv nicht entschuldbaren Sorgfaltsverstoß verlangt, dessen Einordnung primär dem Tatrichter obliegt und revisionsrechtlich nur eingeschränkt überprüfbar ist.
Die vom Berufungsgericht herangezogenen Indizien zeichnen das Bild einer Häufung von Warnsignalen, die unbeachtet blieben. Die Phishing-Mail enthielt Rechtschreibfehler und stammte erkennbar nicht von der Bank, das angebliche „Covid“-System war frei erfunden, die Anrufe erfolgten am Wochenende außerhalb der Geschäftszeiten, und eine Aufforderung zur „Neukonfigurierung“ des seit Jahren genutzten Generators hatte es nie zuvor gegeben. Hinzu kommt, dass die wiederholte telefonische Weitergabe von TANs angesichts der breiten medialen Aufklärung über Online-Banking-Betrug als allgemein bekanntes Tabu gelten muss. Wer trotz dieser Signaldichte mehrfach mitspielt, lässt jede gebotene Vorsicht vermissen.
Der Kern: Anforderungen an die starke Kundenauthentifizierung
Der eigentliche Rechtssatz der Entscheidung betrifft § 675v Abs. 4 Satz 1 Nr. 1 BGB. Danach entfällt die Haftung des Zahlers, wenn die Bank keine starke Kundenauthentifizierung verlangt hat. Der Kläger versuchte, sich auf diesen Haftungsausschluss zu berufen, und argumentierte, das manuelle chipTAN-Verfahren genüge den Anforderungen nicht, weil der Name des Zahlungsempfängers nicht im Display des TAN-Generators erscheine. Damit hätte die technische Unzulänglichkeit des Verfahrens die eigene grobe Fahrlässigkeit gleichsam neutralisiert.
Diesem Ansatz erteilt der Senat eine klare Absage: Eine starke Kundenauthentifizierung im manuellen chipTAN-Verfahren erfordert nicht, dass der Name des Zahlungsempfängers im Display des TAN-Generators angezeigt wird. Maßgeblich sind § 1 Abs. 24, § 55 ZAG und Art. 5 der Delegierten Verordnung (EU) 2018/389. Diese verlangen zwar eine dynamische Verknüpfung des Vorgangs mit Betrag und Empfänger und die Anzeige beider Angaben, geben aber weder einen bestimmten Ort noch eine bestimmte technische Ausgestaltung der Anzeige vor.
Der Senat löst dies über eine Gesamtbetrachtung der angezeigten Informationen. Da der Generator über keine Internetverbindung verfügt, erfolgt die Anzeige von Empfänger und Betrag bei vereinbarungsgemäßer Nutzung stets im Online-Banking selbst, in dem der Vorgang ausgelöst wird. Es kommt deshalb nicht allein auf das Display des Generators an, sondern auch auf die Angaben, die der Kunde bei ordnungsgemäßer Bedienung am Bildschirm sieht. Ob die „Anzeige des Empfängers“ überhaupt dessen Namen oder nur die IBAN verlangt, konnte der Senat offenlassen, zumal nach dem europäischen Überweisungsrecht der Empfängername ohnehin nur „sofern verfügbar“ zu übermitteln ist.
Eigenes Fehlverhalten begründet keinen Schutzanspruch
Bemerkenswert ist die rechtliche Stoßrichtung der Argumentation. Der Kläger hatte die TAN gerade unter Umgehung des Online-Bankings erzeugt und telefonisch weitergegeben – also genau jene vertragswidrige Nutzung gewählt, die ihn nun um die Anzeige im Bildschirm brachte. Der Senat hält ihm entgegen, dass die Schutzmechanismen der starken Kundenauthentifizierung nicht losgelöst davon zu beurteilen sind, ob sich der Zahler selbst vertragswidrig verhält. Wer den vorgesehenen Weg verlässt und die TAN außerhalb des Online-Bankings preisgibt, kann sich nicht darauf berufen, dass ihm dabei die im regulären Ablauf vorgesehene Empfängeranzeige nicht erschienen sei.
Eine Vorlage an den Europäischen Gerichtshof lehnt der Senat ab, weil die Auslegung der Delegierten Verordnung als „acte clair“ derart offenkundig sei, dass vernünftige Zweifel ausschieden. Damit steht fest, dass das verbreitete chipTAN-Verfahren auch in seiner manuellen Variante den unionsrechtlichen Sicherheitsanforderungen genügt – ein Befund von erheblicher Tragweite für die gesamte Kreditwirtschaft.
Ausblick
Das Urteil verschiebt die Risikoverteilung beim Online-Banking nicht, sondern schärft sie: Technische Sicherheitsstandards entlasten den Kunden nur, wenn sie tatsächlich fehlen, nicht aber dann, wenn er den vorgesehenen Sicherungsmechanismus selbst aushebelt. Die telefonische Weitergabe von TANs bleibt der klassische Fall grober Fahrlässigkeit, und auch eine raffinierte Kombination aus Phishing-Mail und Spoofing-Anruf ändert daran nichts, solange genügend Warnzeichen erkennbar waren. Banken dürfen sich zugleich darauf verlassen, dass das etablierte chipTAN-Verfahren den Maßstab der starken Kundenauthentifizierung erfüllt, ohne dass der Empfängername im Generatordisplay erscheinen müsste. Für Nutzer bleibt die ernüchternde Erkenntnis, dass der beste Schutz vor dem Totalverlust noch immer im eigenen Misstrauen liegt.
Als Lehrbeauftragter an der FH Aachen (Wirtschaftsstrafrecht und IT-Compliance) doziert er zu KI-Kompetenz und strategischem Denken und publiziert regelmäßig in straf- und IT-rechtlichen Fachaufsätzen sowie in der Kommentierung im BeckOK StPO (zu IT-Strafprozessrecht und digitalen Beweismitteln). Weiterhin spricht er über die rechtsstaatlichen Grundlagen moderner Arbeit, speziell zu IT-/KI-Kompetenz und Cybersecurity-Awareness.
Wir sind hochspezialisiert, was bedeutet, dass wir im IT-Recht und Strafrecht nur bestimmte Bereiche übernehmen. So im IT-Recht nur im Softwarerecht mit darauf bezogebem IT-Vertragsrecht & Lizenzrecht und rund um Cybersicherheit. Im Strafrecht übernehmen wir nur Strafverteidigungen in Bereichen auf die wir spezialisieren: Jugendstrafrecht, Sexualstrafrecht, BtMG/KCang/AMG, Medizinstrafrecht, Cybercrime & Medienstrafrecht, Wirtschaftsstrafrecht mit Schwerpunkten Arbeitsstrafrecht und Steuerstrafrecht
- Eigene Plattformen rechtssicher betreiben … (?) – 15. Juli 2026
- Missbrauchsanleitung: Strafbarkeit fiktiver Inhalte nach § 176e StGB – 14. Juli 2026
- Lichtbildschutz und KI-Bearbeitung: reduzierter Schutzumfang beim einfachen Foto – 14. Juli 2026