Erhält ein Bankkunde den überwiesenen Betrag erstattet, wenn er sich durch einen Betrüger telefonisch dazu verleiten lässt, eine in Wahrheit von Dritten veranlasste Überweisung im Online-Banking per pushTAN freizugeben?
Mit dieser Frage hat sich das Oberlandesgericht Düsseldorf mit Beschluss vom 23.02.2026 (Az. 14 U 37/25) befasst.
Sachverhalt
Die Klägerin unterhielt bei der beklagten Sparkasse ein Konto und nutzte seit etwa zehn Jahren das Online-Banking. Die Zustimmung zu Zahlungsaufträgen erfolgte nach den vereinbarten Bedingungen durch Freigabe einer pushTAN, die an die Mobiltelefon-App der Klägerin übersandt wurde. Am 16.02.2024 erhielt die Klägerin eine Phishing-SMS und gab auf der darin verlinkten Webseite persönliche Daten ein. Bereits am Vormittag rief sie bei der Sparkasse an und berichtete vom Erhalt der SMS. Am Nachmittag wurde sie von einem vermeintlichen Sparkassenmitarbeiter angerufen, dem nach ihrer Aussage auch die Rufnummer der Sparkasse zugeordnet gewesen sein soll. Unter Aufbau von Druck veranlasste dieser sie, zum angeblichen „Rückruf“ einer Überweisung eine pushTAN freizugeben. Tatsächlich gab die Klägerin damit eine von Dritten initiierte Überweisung über 14.000,00 EUR frei. Die Transaktion wurde ihr sowohl im Online-Banking, in das sie eingeloggt war, als auch in der pushTAN-App zutreffend angezeigt; die Klägerin irrte sich aber über die Folgen der Freigabe. Die Sparkasse hatte zuvor mehrfach vor genau dieser Betrugsmasche gewarnt, namentlich durch einen seit Februar/März 2023 geschalteten Sicherheitshinweis sowie durch ein Warnschreiben in das elektronische Postfach. Das Landgericht Düsseldorf wies die auf Erstattung gerichtete Klage ab. Hiergegen richtete sich die Berufung der Klägerin.
Entscheidung des Oberlandesgerichts Düsseldorf
Das Oberlandesgericht Düsseldorf kündigte durch Hinweisbeschluss nach § 522 Abs. 2 ZPO an, die Berufung als offensichtlich aussichtslos zurückzuweisen.
In erster Linie verneinte das Gericht einen Erstattungsanspruch aus § 675u Satz 2 BGB, weil die Klägerin den Zahlungsvorgang autorisiert habe.
Autorisierung bedeute nach der Legaldefinition des § 675j Abs. 1 Satz 1 BGB die Zustimmung zum Zahlungsvorgang. Dabei handle es sich nach herrschender Meinung um eine einseitige, empfangsbedürftige Willenserklärung. Die Zustimmung kann mittels eines Zahlungsinstruments in der zwischen Zahler und Zahlungsdienstleister vereinbarten Art und Weise erteilt werden (§ 675j Abs. 1 Sätze 3 und 4 BGB). Die Parteien hatten hier die Freigabe per pushTAN vereinbart. Diesem Verfahren hat die Klägerin entsprochen, indem sie den ihr korrekt angezeigten Zahlungsauftrag nach Authentifizierung in der App freigegeben hat. Die Authentifizierung war wirksam und nicht kompromittiert. Der allein verbleibende Irrtum der Klägerin betraf nicht das Authentifizierungsverfahren, sondern lediglich die Folgen der Freigabe. Ein solcher täuschungsbedingter Irrtum außerhalb des Authentifizierungsverfahrens steht nach Auffassung des OLG Düsseldorf einer wirksamen Autorisierung nicht entgegen. Mit der Freigabe der ihr unverändert vorgelegten Überweisung habe sich die Klägerin den Zahlungsauftrag zu eigen gemacht. Die von der Klägerin angeführte Entscheidung des OLG Dresden (Urteil vom 06.04.2023 – 8 U 578/22) führe zu keinem anderen Ergebnis, weil der dortige Kläger ohne jedes Bewusstsein einer Überweisung an einen bestimmten Empfänger gehandelt habe, während der Klägerin hier die richtige Transaktion angezeigt und von ihr bewusst freigegeben worden sei. Das OLG Düsseldorf stützte sich insoweit auf den Beschluss des Hanseatischen Oberlandesgerichts in Bremen vom 30.08.2024 (1 U 32/24).
Vorsorglich führte das Oberlandesgericht aus, dass die Frage der Autorisierung im Ergebnis dahinstehen könne, weil der Beklagten jedenfalls ein Schadensersatzanspruch in gleicher Höhe aus § 675v Abs. 1, Abs. 3 Nr. 2 BGB in Verbindung mit § 675l BGB beziehungsweise den einbezogenen Online-Banking-Bedingungen zustehe. Diesen Gegenanspruch dürfe die Beklagte einem etwaigen Anspruch der Klägerin aus § 675u Satz 2 BGB nach Treu und Glauben (§ 242 BGB) entgegenhalten und die Erfüllung verweigern. Der Anspruch sei nicht nach § 675v Abs. 5 BGB ausgeschlossen, da es an einer Missbrauchsanzeige nach § 675l Abs. 1 Satz 2 BGB fehle; die bloße Mitteilung über den Erhalt einer Phishing-SMS stelle noch keine missbräuchliche Verwendung oder sonstige nicht autorisierte Nutzung dar.
Die Klägerin habe die ihr obliegenden Pflichten grob fahrlässig verletzt. Grobe Fahrlässigkeit erfordere einen objektiv schweren und subjektiv nicht entschuldbaren Verstoß gegen die im Verkehr erforderliche Sorgfalt. Die Klägerin habe gegen die Bedingungen für das Online-Banking verstoßen, namentlich gegen die Pflicht, alle zumutbaren Vorkehrungen zum Schutz der Authentifizierungselemente zu treffen, die Sicherheitshinweise zu beachten und vor der Bestätigung die Übereinstimmung der angezeigten Daten zu prüfen. Der maßgebliche Wortlaut lautet:
Gem. Ziffer 7.1. Abs. 1 der Bedingungen für das Online-Banking (AGB) hat der Teilnehmer, also die Klägerin als Zahlerin, „alle zumutbaren Vorkehrungen zu treffen, um seine Authentifizierungselemente (siehe Nummer 2) vor unbefugtem Zugriff zu schützen“.
Bei gewissenhafter Prüfung hätte der Klägerin auffallen müssen, dass der Auftrag nicht von ihr stammte. Es sei zudem erkennbar fernliegend, dass eine Bank die Mithilfe des Kunden durch Eingabe einer bestätigenden TAN benötige, um eine Überweisung anzuhalten. Der telefonische Druckaufbau habe Anlass zu Skepsis geben müssen. Das Phänomen betrügerischer Anrufe vorgeblicher Bankmitarbeiter könne seit Langem als allgemeines Wissen vorausgesetzt werden; ebenso sei 2024 allgemein bekannt gewesen, dass die angezeigte Anrufernummer technisch gefälscht werden könne. Hierauf habe der Sicherheitshinweis ausdrücklich aufmerksam gemacht. Auch subjektiv sei das Verhalten grob fahrlässig: Der langjährig erfahrenen, seinerzeit 64-jährigen Kundin habe angesichts der vorgelagerten Geschehnisse klar sein müssen, dass absolute Vorsicht geboten war. Ein anspruchsminderndes Mitverschulden der Beklagten nach § 254 BGB verneinte das Gericht. Eine allgemeine Prüfungs- oder Warnpflicht habe nicht bestanden; eine Kontosperrung sei nach der bloßen Mitteilung über eine Phishing-SMS nicht veranlasst gewesen, zumal eine unberechtigte Sperre ihrerseits schadensersatzpflichtig machen könne. Schließlich entfalte § 675z Satz 1 BGB eine Sperrwirkung für Ansprüche mit denselben Rechtsfolgen; mangels Hauptforderung bestünden auch keine Ansprüche auf Verzinsung oder Erstattung außergerichtlicher Rechtsverfolgungskosten.
(OLG Düsseldorf, Beschluss vom 23.02.2026 – 14 U 37/25)