Ein aktuelles Urteil des Bundesgerichtshofs (XI ZR 107/24 vom 22.07.2025) schärft die Grenzen der Haftung beim Online-Banking. Obwohl die betroffene Kundin im konkreten Fall ihren Schaden nicht ersetzt bekam, stärkt das Urteil die Rechte von Verbrauchern, die durch Call-ID-Spoofing überrumpelt werden. Entscheidend ist die Unterscheidung zwischen einem entschuldbaren Augenblicksversagen und grober Fahrlässigkeit.
Phishing ist der Oberbegriff für Betrugsmethoden, mit denen Kriminelle an Ihre Zugangsdaten gelangen. Die aktuell gefährlichste Variante ist das Telefon-Phishing (Vishing), oft in Kombination mit Call-ID-Spoofing:
Das Vorgehen ist so perfide, weil es durch die Anzeige der korrekten Rufnummer Ihre natürliche Skepsis gezielt aushebelt.
Die rechtliche Auseinandersetzung nach einem Phishing-Angriff folgt einem klaren Muster:
Nach § 675u BGB gilt: Buchen Betrüger Geld ohne Ihre Zustimmung von Ihrem Konto ab, handelt es sich um einen „nicht autorisierten Zahlungsvorgang“. Ihre Bank ist gesetzlich verpflichtet, Ihnen den Betrag unverzüglich zu erstatten und Ihr Konto so zu stellen, als hätte die Abbuchung nie stattgefunden.
Die Bank kann die Erstattung verweigern, wenn sie Ihnen grobe Fahrlässigkeit nachweisen kann (§ 675v Abs. 3 BGB). Das bedeutet, Sie müssten die Sorgfalt in besonders schwerem Maße verletzt haben – also einfachste und naheliegendste Sicherheitsüberlegungen außer Acht gelassen haben.
Das neue Urteil des BGH (Az. XI ZR 107/24 vom 22.07.2025) verdeutlicht genau diese Abgrenzung:
Die Kundin gab nach einem Anruf von Betrügern mehrfach und mit zeitlichem Abstand verschiedene TANs frei. Der BGH wertete dies als grob fahrlässig, da sie mehrfach die Chance hatte, innezuhalten und den Betrug zu erkennen. Ein einmaliges, entschuldbares Versagen lag hier nicht mehr vor.
Der BGH betont, dass die Hürden für die Annahme grober Fahrlässigkeit hoch bleiben. Insbesondere bei einer echten Überrumpelungssituation durch professionelles Social Engineering kann ein Fehler als Augenblicksversagen gewertet werden. Dies gilt vor allem, wenn Sie unmittelbar nach dem Anruf zu einer einzigen, schnellen Handlung gedrängt werden.
➜ Wichtig: Die Bank trägt die volle Beweislast dafür, dass Sie grob fahrlässig gehandelt haben.
Die Rechtslage ist für Opfer von Phishing-Angriffen grundsätzlich stark. Lassen Sie sich vom Einwand der groben Fahrlässigkeit nicht sofort entmutigen. Besonders bei professionell gemachten Angriffen mit Call-ID-Spoofing erkennen Gerichte an, dass ein Fehler in einer psychischen Ausnahmesituation passieren kann. Nun auch durch den BGH bestätigt!
