Ein oberösterreichisches Berufungsgericht hat entschieden, dass eine Bank die Hälfte eines Phishing-Schadens tragen muss. In dem Fall autorisierte ein Kunde innerhalb kurzer Zeit mehrere Überweisungen; das interne Betrugserkennungssystem der Bank schlug aber nicht an. Zeitgleich haben deutsche Richter in drei Fällen entschieden, dass Sparkassen Überweisungen nach Phishing voll erstatten müssen und verweisen auf die Erstattungspflicht nach § 675u BGB. Die Urteile zeigen unterschiedliche Haftungsgrenzen für Banken und heben die Bedeutung technisch-organisationeller Schutzpflichten hervor.

Ein Vereinsobmann aus Oberösterreich klickte auf einen Link und nahm einen Anruf an, bei dem sich die Täter als Bankmitarbeiter ausgegeben hatten. Er autorisierte danach 41 Überweisungen innerhalb von anderthalb Stunden. Die Gesamtsumme lag bei 203.000 Euro, wobei das Geld überwiegend von einem Vereinskonto stammte.

Was die Gerichte entschieden

Das Oberlandesgericht (OLG) Linz wertete den Vorgang als betrügerische Manipulation, erkannte jedoch gleichwohl grobe Fahrlässigkeit beim Kunden. Das Landesgericht hatte zuvor ebenfalls grobe Fahrlässigkeit gesehen. Die Berufungsinstanz stellte aber fest, dass die Bank Mitschuld trage, weil ihr Betrugserkennungssystem nicht ausreichend reagiert habe. In einer Präsentation des OLG Linz, dem "Fall des Monats" April 2026, heißt es, die Häufung der 41 Transaktionen, die Summe von rund EUR 200.000 in 1 1/2 Stunden sowie das abweichende Zahlungsverhalten hätten das Fraud Transaction Monitoring zum Eingreifen veranlassen müssen. Das Urteil ist rechtskräftig (Az. 1 R 45/25f).

Die Bank hatte im Verfahren darauf verwiesen, dass sie ihre Kunden kurz vor dem Vorfall vor der eingesetzten Betrugsmethode gewarnt habe. Außerdem betonte sie, alle Zahlungen seien vom Kunden selbst mittels des Zwei-Faktor-Systems freigegeben worden. Ihr FTM-System bezeichnete sie als branchenüblich. Dem hielt das OLG Linz entgegen, die technische Erkennung sei nicht ausreichend ausgestaltet gewesen und habe die vertraglichen Schutz- und Sorgfaltspflichten verletzt. Daher falle eine ähnliche Teilschuld auf die Bank.

Kontrast: Koblenz ordnet volle Erstattung an

Parallel dazu fällte das Oberlandesgericht Koblenz mehrere Entscheidungen, in denen es Sparkassen zur vollständigen Erstattung verurteilte. In drei parallel verhandelten Fällen gaben die Richter den Klägern in der Berufung recht. Das Koblenzer Gericht stellte in einem Urteil vom 17. April (Az. 8 U 682/24) klar, dass allein das Anklicken von Links in SMS und die Eingabe von Transaktionsnummern nicht automatisch grobe Fahrlässigkeit bedeutet.

Das Gericht bezog sich dabei auf die zivilrechtliche Regelung des § 675u des Bürgerlichen Gesetzbuchs. Danach trägt die Bank die Verpflichtung, unautorisierte Zahlungen zu erstatten. Koblenz entschied, dass die Banken hier eine weitergehende Verantwortung tragen, insbesondere wenn die Umstände auf professionelle Phishing-Angriffe hindeuten. In den genannten Fällen musste die Sparkasse den Schaden vollständig übernehmen.

Mastheads

Unterschiedliche Rechtsfolgen, gleiche Warnung

Die Urteile zeigen einen klaren Unterschied in der Haftungsverteilung zwischen den Instanzen und Rechtsordnungen. Linz setzt bei offensichtlichen Auffälligkeiten ein stärkeres Gewicht auf die technische Überwachung der Bank. Koblenz legt den Fokus dagegen auf die Schutzpflicht der Bank gegenüber Kunden nach dem Erstattungsrecht des BGB. Beide Linien folgen allerdings einem gemeinsamen Kern: Banken müssen Mechanismen vorhalten, die ungewöhnliche Zahlungsabläufe erkennen und stoppen.

Die Banken argumentierten in beiden Verfahren ähnlich. Sie verwiesen auf branchenübliche FTM-Systeme und die Freigabe der Zahlungen durch die Kunden via Zwei-Faktor-Authentifizierung. Die Gerichte prüften hingegen, ob die eingesetzten Systeme angesichts des Verhaltens und der Höhe der Transaktionen angemessen waren. Linz befand, das System habe nicht angeschlagen, obwohl die Transaktionen deutlich vom bisherigen Muster abwichen.

Technik und Vertragspflicht

Die Entscheidungen betreffen zwei Ebenen. Erstens die Frage, wann Kundinnen und Kunden als grob fahrlässig gelten. Zweitens die Frage, welche technischen und organisatorischen Vorkehrungen Banken zumutbar sind. Koblenz zeigte, dass allein aktive Mitwirkung eines Kunden, wie das Anklicken eines Links oder die Eingabe einer TAN, nicht automatisch dessen volle Verantwortung begründet. Linz machte deutlich, dass ein versagendes Betrugserkennungssystem die Bank zur Haftung heranziehen kann, selbst wenn das Opfer Mitwirkung leistete.

Beide Urteile heben also Pflichten der Institute hervor. Banken müssen nicht nur Standardverfahren haben. Sie müssen beobachten, ob ein Transaktionsmuster plötzlich abweicht. Und sie müssen zeigen, dass ihre Systeme in solchen Fällen reagieren. Kommt es nicht dazu, mindert das die Verteidigung, der Kunde habe grob fahrlässig gehandelt.

Für Banken bedeutet das eine intensivere Prüfung ihrer FTM-Lösungen. Wenn ein Monitoring-System typische Indikatoren für Massentransaktionen oder ungewöhnliche Beträge nicht erkennt, kann die Haftung der Institute steigen. Für Kunden heißt es, dass ihre Eigenverantwortung nicht automatisch zu voller Last führt, wenn technische Schutzmaßnahmen der Bank versagen.

Die Urteile könnten zudem den Umgang mit Warnhinweisen in der Kundenkommunikation beeinflussen. Linz erwähnte, dass die Bank kurz vor dem Vorfall Warnungen verschickt hatte. Das reichte nicht zur Entlastung. Die Frage bleibt, in welchem Umfang eine Warnung vor einem Betrugsverfahren die Beurteilung der Kundensorgfalt verändert.

In allen genannten Fällen waren die ersten Instanzen nicht erfolgreich für die Geschädigten. Die Berufungen änderten diese Bilanz. Koblenz stellte ausdrücklich auf die rechtliche Pflicht der Banken zur Erstattung unautorisierter Zahlungen ab. Linz spiegelte das Verhältnis von Kunden- und Bankpflichten als geteilt wider und sprach von besonders sorglosem Verhalten beider Seiten.

Die Rechtsprechung ist damit nicht einheitlich. Sie zeigt aber eine Tendenz: Wenn Überweisungen in hoher Zahl und ungewöhnlicher Weise ausgelöst werden, müssen Banken aktiv werden. Unterlassen sie das, führt das zumindest zur Teilhaftung.

Related Articles

Das OLG Linz erklärte die Entscheidung für rechtskräftig und begründete die Teilhaftung mit dem Versagen der Betrugserkennung der Bank.

Dieser Artikel wurde mit KI-Unterstützung erstellt.