Falscher Bankmitarbeiter am Telefon: Muss die Bank nach TAN-Betrug das Geld erstatten?

Betrügerische Angriffe auf das Online-Banking beginnen längst nicht mehr nur mit schlecht formulierten Phishing-Mails. Kriminelle treten heute professionell auf, kennen teilweise persönliche Daten ihrer Opfer und rufen sogar unter einer Telefonnummer an, die auf dem Display scheinbar zur eigenen Bank oder Sparkasse gehört.

Der angebliche Bankmitarbeiter warnt beispielsweise vor verdächtigen Kontobewegungen, einer notwendigen Sicherheitsaktualisierung oder einem vermeintlichen Angriff auf das Konto. Um das Geld zu „schützen“, sollen Betroffene eine TAN erzeugen, eine PushTAN-Freigabe bestätigen oder bestimmte Schritte im Online-Banking durchführen.

Kurz danach fehlen mitunter mehrere Tausend oder sogar Zehntausende Euro auf dem Konto.

Dann stellt sich die entscheidende Frage: Muss die Bank den Schaden ersetzen – oder bleibt der Bankkunde auf dem Verlust sitzen?

Die Antwort hängt stark davon ab, wie der Betrug konkret abgelaufen ist. Gerade zwei Entscheidungen des Bundesgerichtshofs zeigen, dass es auf Einzelheiten ankommt.

Nicht autorisierte Überweisung: Grundsätzlich muss die Bank erstatten

Ausgangspunkt ist § 675u BGB.

Hat ein Bankkunde einem Zahlungsvorgang nicht zugestimmt, handelt es sich grundsätzlich um einen nicht autorisierten Zahlungsvorgang. In diesem Fall ist die Bank verpflichtet, den Zahlungsbetrag zu erstatten und das Konto grundsätzlich wieder auf den Stand zu bringen, auf dem es ohne die unberechtigte Belastung gewesen wäre.

Das ist für Opfer von Online-Banking-Betrug zunächst eine wichtige Regelung.

Banken können eine Erstattung daher nicht allein mit dem Hinweis ablehnen, dass eine Überweisung technisch mit PIN, TAN, Banking-App oder einem anderen Sicherheitsverfahren durchgeführt wurde.

Ist zwischen Bank und Kunde streitig, ob eine Zahlung tatsächlich autorisiert wurde, enthält § 675w BGB besondere Beweisregeln. Die Bank muss unter anderem nachweisen, dass eine Authentifizierung stattgefunden hat und der Vorgang ordnungsgemäß aufgezeichnet und verbucht wurde. Die bloße Verwendung eines Zahlungsinstruments oder eines Authentifizierungsverfahrens reicht jedoch nicht automatisch aus, um zu beweisen, dass der Kunde die Zahlung tatsächlich autorisiert oder grob fahrlässig gehandelt hat.

Warum Banken trotzdem häufig die Erstattung verweigern

In der Praxis lautet die Argumentation der Bank nach einem Betrugsfall häufig:

Der Kunde habe seine PIN, TAN oder andere Sicherheitsmerkmale weitergegeben und dadurch grob fahrlässig gehandelt.

Hier kommt § 675v BGB ins Spiel.

Hat ein Kunde den Schaden durch eine vorsätzliche oder grob fahrlässige Verletzung seiner Pflichten ermöglicht, kann die Bank unter bestimmten Voraussetzungen Schadensersatz verlangen. Dieser Gegenanspruch kann im Ergebnis dazu führen, dass der Kunde trotz des grundsätzlich bestehenden Erstattungsanspruchs seinen Schaden selbst tragen muss.

Entscheidend ist deshalb häufig nicht nur die Frage:

„Habe ich die Überweisung selbst durchgeführt?“

Sondern vielmehr:

„Wie genau ist es den Betrügern gelungen, die Zahlung auszulösen, und wie habe ich mich dabei verhalten?“

BGH: Auch eine angezeigte Bank-Telefonnummer schützt nicht automatisch

Besonders wichtig ist ein Urteil des Bundesgerichtshofs vom 22.07.2025 (Az. XI ZR 107/24).

In dem Verfahren hatten Betrüger telefonisch Kontakt zu einer Bankkundin aufgenommen. Besonders überzeugend war dabei, dass auf dem Mobiltelefon die Telefonnummer der Bank angezeigt wurde.

Dieses sogenannte Call-ID-Spoofing kann bei Betroffenen den Eindruck erwecken, tatsächlich mit einem Mitarbeiter der eigenen Bank zu sprechen.

Die Kundin wurde im Verlauf der Gespräche dazu gebracht, mithilfe ihres TAN-Generators mehrere TANs zu erzeugen und weiterzugeben. Dabei ging es um einen erheblichen Betrag.

Der BGH beanstandete die Bewertung als grob fahrlässig in diesem konkreten Fall nicht. Unter anderem spielte eine Rolle, dass mehrere TANs erzeugt wurden und bei der Bedienung des TAN-Generators Angaben zu Überweisungsbetrag und Empfänger-IBAN erkennbar waren. Außerdem hatte die Betroffene zwischen den Telefonaten Zeit, die ungewöhnlichen Vorgänge zu hinterfragen.

Besonders bemerkenswert: Auch die Tatsache, dass auf dem Telefon die echte Nummer der Bank angezeigt wurde, führte nicht automatisch dazu, dass der Vorwurf grober Fahrlässigkeit entfiel.

Das Urteil bedeutet jedoch nicht, dass Opfer eines gefälschten Bankanrufs grundsätzlich keinen Anspruch gegen ihre Bank haben. Der BGH betont vielmehr die Bewertung der konkreten Umstände des jeweiligen Einzelfalls.

BGH 2026: Was gilt beim chipTAN-Verfahren?

Eine weitere wichtige Entscheidung folgte am 03.03.2026 (Az. XI ZR 20/24).

Auch dort ging es um Überweisungen, die nach der Weitergabe von TANs an einen vermeintlichen Bankmitarbeiter durchgeführt worden waren.

Der Bundesgerichtshof beschäftigte sich insbesondere mit der Frage, welche Anforderungen an eine sogenannte starke Kundenauthentifizierung gestellt werden.

Der BGH entschied, dass beim dort verwendeten manuellen chipTAN-Verfahren für eine starke Kundenauthentifizierung nicht zusätzlich der Name des Zahlungsempfängers auf dem Display des TAN-Generators erscheinen musste.

Auch in diesem Verfahren spielte das Verhalten der Betroffenen eine wesentliche Rolle. Mehrere TANs waren außerhalb des eigentlichen Online-Bankings telefonisch weitergegeben worden.

Die Entscheidung zeigt nochmals: Wer von seiner Bank eine Erstattung verlangt, sollte nicht nur darauf abstellen, dass er „Opfer eines Betrugs“ geworden ist. Entscheidend sind technische und rechtliche Einzelheiten des Zahlungsvorgangs.

Wann liegt grobe Fahrlässigkeit vor?

Nicht jeder Fehler eines Bankkunden ist automatisch grob fahrlässig.

Grobe Fahrlässigkeit setzt einen besonders schweren Sorgfaltsverstoß voraus. Ob ein solcher vorliegt, muss anhand des gesamten Ablaufs beurteilt werden.

Eine Rolle können beispielsweise folgende Fragen spielen:

• Wie nahm der Betrüger Kontakt auf?
• Wurde tatsächlich die Telefonnummer der Bank angezeigt?
• Welche Kenntnisse hatte der Täter bereits über den Bankkunden?
• Wurde eine TAN telefonisch oder per Nachricht weitergegeben?
• Welche Angaben waren bei der TAN-Erzeugung oder in der Banking-App sichtbar?
• Wurde der konkrete Betrag angezeigt?
• War die Empfänger-IBAN erkennbar?
• Wurde nur eine Sicherheitsfreigabe oder erkennbar eine Überweisung bestätigt?
• Wurde der Kunde massiv unter Zeitdruck gesetzt?
• Gab es Warnhinweise der Bank?
• Wurde ein neues Smartphone oder ein anderes Gerät für das Online-Banking registriert?
• Hat der Kunde die streitige Überweisung tatsächlich selbst eingegeben oder wurde sie durch die Täter ausgelöst?

Gerade diese Einzelheiten können darüber entscheiden, ob die Bank den entstandenen Schaden tragen muss.

Authentifizierung ist nicht automatisch Autorisierung

Ein wichtiger Unterschied wird in der Praxis häufig übersehen.

Eine Authentifizierung bedeutet vereinfacht gesagt, dass das Banksystem bestimmte Sicherheitsmerkmale erkannt und geprüft hat.

Eine Autorisierung bedeutet dagegen, dass der Bankkunde dem konkreten Zahlungsvorgang zugestimmt hat.

Das ist nicht zwingend dasselbe.

Hat ein Betrüger beispielsweise Zugangsdaten abgegriffen und anschließend selbst eine Überweisung ausgelöst, kann es sich trotz technisch erfolgreicher Anmeldung oder Authentifizierung um einen nicht autorisierten Zahlungsvorgang handeln.

Genau deshalb sollte die Aussage einer Bank, der Vorgang sei „ordnungsgemäß mit TAN bestätigt worden“, nicht ohne weitere Prüfung akzeptiert werden.

Vorsicht: Selbst ausgeführte Überweisung kann rechtlich anders zu bewerten sein

Davon zu unterscheiden sind Fälle, in denen ein Betrugsopfer den konkreten Überweisungsauftrag selbst bewusst eingibt und freigibt, weil der Täter es über den Zweck der Zahlung täuscht.

Hier kann die rechtliche Situation erheblich schwieriger sein.

Denn wenn der Bankkunde genau die Überweisung autorisiert, die anschließend ausgeführt wird, liegt nicht ohne Weiteres ein nicht autorisierter Zahlungsvorgang im Sinne des § 675u BGB vor.

Deshalb ist es wichtig, den tatsächlichen Ablauf exakt zu rekonstruieren:

Hat der Täter die Zahlung ausgelöst? Hat das Opfer lediglich Sicherheitsdaten weitergegeben? Wurde ein neues Gerät freigeschaltet? Oder hat der Kunde die konkrete Überweisung selbst eingegeben und bestätigt?

Diese Unterscheidung kann für die Erfolgsaussichten gegenüber der Bank entscheidend sein.

Was sollten Sie unmittelbar nach einem Online-Banking-Betrug tun?

Wenn Sie verdächtige Überweisungen oder Abbuchungen feststellen, sollten Sie möglichst schnell reagieren.

• Informieren Sie unverzüglich Ihre Bank.
• Lassen Sie Online-Banking, Karten und gegebenenfalls betroffene Zugänge sperren.
• Verlangen Sie die Rückholung noch nicht endgültig ausgeführter Überweisungen.
• Widersprechen Sie nicht autorisierten Zahlungsvorgängen ausdrücklich.
• Erstatten Sie Strafanzeige.
• Ändern Sie Zugangsdaten und Passwörter.
• Sichern Sie E-Mails, SMS, Messenger-Nachrichten und Screenshots.
• Notieren Sie Telefonnummern, Uhrzeiten und den genauen Gesprächsablauf.
• Bewahren Sie Kontoauszüge und das Ablehnungsschreiben Ihrer Bank auf.
• Löschen Sie verdächtige Nachrichten nicht, bevor die Beweise gesichert sind.

Nach § 676b BGB müssen nicht autorisierte Zahlungsvorgänge der Bank nach Feststellung unverzüglich angezeigt werden. Zwar sieht das Gesetz grundsätzlich eine äußerste Ausschlussfrist von 13 Monaten vor. Darauf sollten Betroffene jedoch keinesfalls warten.

Je schneller reagiert wird, desto besser sind regelmäßig auch die Möglichkeiten, Zahlungen noch zu stoppen oder den Sachverhalt nachvollziehbar zu dokumentieren.

Bank lehnt die Erstattung ab – ist damit alles verloren?

Nein.

In unserer anwaltlichen Praxis erleben wir immer wieder, dass Banken die Erstattung nach Online-Banking-Betrug zunächst ablehnen und sich dabei auf eine angebliche grobe Fahrlässigkeit des Kunden berufen.

Eine solche Ablehnung sollte nicht automatisch als endgültig angesehen werden.

Gerade bei professionellen Phishing-, Spoofing- und Social-Engineering-Angriffen ist eine genaue Prüfung erforderlich. Dabei müssen sowohl der konkrete Betrugsablauf als auch das eingesetzte Sicherheitsverfahren und die Argumentation der Bank betrachtet werden.

Zudem liegt die Darlegungs- und Beweislast nicht einfach vollständig beim geschädigten Bankkunden. Nach § 675w BGB bestehen besondere Anforderungen an den Nachweis durch die Bank.

Anwaltskanzlei Lenné prüft Ansprüche nach Online-Banking-Betrug

Wenn durch einen gefälschten Bankanruf, Phishing, Call-ID-Spoofing oder den Missbrauch Ihres Online-Bankings Geld von Ihrem Konto verschwunden ist, prüfen wir gerne, ob Ansprüche gegen Ihre Bank bestehen.

Dabei untersuchen wir insbesondere,

• ob die Zahlungen tatsächlich autorisiert waren,
• wie die Täter Zugriff auf das Online-Banking erhalten haben,
• welches Authentifizierungsverfahren eingesetzt wurde,
• ob die Voraussetzungen einer starken Kundenauthentifizierung erfüllt waren,
• ob die Bank grobe Fahrlässigkeit ausreichend darlegen kann und
• welche Möglichkeiten zur Rückforderung des verlorenen Geldes bestehen.

Eine vorschnelle Ablehnung Ihrer Bank sollten Sie daher nicht ungeprüft hinnehmen.

Kostenlos informiert bleiben

👉 Sie möchten über aktuelle Betrugsmaschen, neue Urteile und wichtige Verbraucherrechte informiert bleiben?

Dann abonnieren Sie unseren kostenlosen Newsletter der Anwaltskanzlei Lenné. Wir informieren regelmäßig verständlich und kompakt über aktuelle Entwicklungen im Bankrecht, Versicherungsrecht, Arbeitsrecht, Verkehrsrecht und weiteren Rechtsgebieten.