Bank-Hotline muss vor bekanntem Betrugsversuch warnen

Nach einem Phishing-Angriff erhält ein Kunde laut dem OLG Brandenburg ein Drittel der verlorenen Summe zurück. Die Bank trage ein Mitverschulden, weil eine Mitarbeiterin nach Rücksprache am Telefon nicht vor der "Demo-Überweisung" als offensichtlicher Betrugsmasche gewarnt habe.

Gibt ein Kunde im Rahmen einer offensichtlichen Betrugsmasche – hier eines Phishing Versuchs durch eine sogenannte Demo-Überweisung – am Telefon eine generierte TAN heraus, liegt darin eine grob fahrlässige Pflichtverletzung. Eine Pflichtverletzung sei es aber auch, so das OLG Brandenburg, wenn eine Bankmitarbeiterin am Telefon von dem Vorfall erfahre und lediglich einen Rückruf durch die IT in Aussicht stelle, anstatt vor dem Betrugsversuch zu warnen. Der gegenläufige Schadensersatzanspruch der Bank sei daher um einen Mitverschuldensanteil zu kürzen (Urteil vom 27.05.2026 – 4 U 131/25).

Im Juni 2021 gingen vom Konto eines Bankkunden fast 20.500 Euro ab – zunächst auf das Konto eines in Polen vorbestraften Räubers. Dieser hatte sich als Bankmitarbeiter ausgegeben und den Kunden zu einer "Demo-Überweisung" auf einer Phishing-Maske veranlasst, die der tatsächlichen Online-Banking Website der Bank nachgebildet war. Nachdem dieser die Zugangsdaten eingegeben und auch eine von ihm generierte TAN am Telefon weitergegeben hatte, gelangte der Betrüger in sein tatsächliches Konto und autorisierte die Überweisung. Zuvor hatte der Kunde ihm über die App "TeamViewer" Fernzugriff auf sein Notebook gegeben.

Betrüger hatte vollen Zugriff

Den Betrag verlangte der betroffene Kunde nun von seiner Bank zurück, das LG Cottbus sprach ihm dabei zunächst nur ein Fünftel der beantragten Summe zu. Wegen der unautorisierten Zahlung bestehe zwar ein Zahlungsanspruch gegen die Bank in voller Höhe (§ 675u S. 2 BGB), diese könne jedoch ihrerseits einen Schadensersatzanspruch entgegenhalten (§ 675v Abs. 3 Nr. 2 lit. a BGB), weil der Kunde grob fahrlässig gegen seine vertraglichen Pflichten verstoßen habe. Die Bank treffe allerdings ein Mitverschulden, weil sie nicht schon für den Zugang zum Online-Banking eine starke Authentifizierung verlange.

Der Kunde argumentierte in seiner Anschlussberufung, dass er während des TeamViewer-Zugriffs sogar die Hotline der Bank angerufen habe, weil ihm die Sache "spanisch" vorgekommen war. Dort habe man ihm aber nicht helfen können und ihm lediglich einen Rückruf der IT in Aussicht gestellt. Als der Betrüger eine Stunde später selbst angerufen habe, sei er davon ausgegangen, dass er nun mit der Bank spreche. Außerdem sei es nicht unüblich, dass Online-Support über Fernzugriffprogramme wie TeamViewer laufe. Damit hatte er vor dem OLG Brandenburg nun teilweise Erfolg, weshalb es den Mitverschuldensanteil der Bank auf ein Drittel erhöhte.

Grob fahrlässig, auf beiden Seiten

Indem er nicht nur einen TeamViewer Zugriff erlaubt, sondern auch die generierte TAN herausgegeben habe, habe der Bankkunde grob fahrlässig gegen seine Pflicht verstoßen, alle personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen (§ 675l Abs. 1 S. 1 BGB). Selbst einem Laien müsse auffallen, dass "Demo-Überweisungen" über 0 Euro außer in Betrugsfällen gar keinen Sinn machen würden, so der 4. Zivilsenat. Ihn als diplomierten Ingenieur habe auch der Fernzugriff stutzig machen müssen, da im Bankwesen auf diese Weise kein Support angeboten werde. Alle Vorgänge im Online-Banking könnten mit den entsprechenden Daten in jedem Browser vorgenommen werden und seien weitestgehend selbsterklärend.

Mit seinen Schilderungen zum Telefongespräch mit der tatsächlichen Bankmitarbeiterin drang er hingegen durch. Er habe sich "Hilfe suchend" an die Hotline gewandt und die Vorgänge auf seinem Bildschirm geschildert. Die "Demo-Überweisung" sei ein dermaßen offensichtlicher Betrugsversuch, dass auch die Bankmitarbeiterin diesen habe erkennen müssen, zumal auf der Website der Bank mehrfach vor genau diesen Maschen gewarnt werde. Die Bank treffe in solchen Fällen die Nebenpflicht, unverzüglich zu warnen. Da der Kunde hier allerdings nur mit einem Rückruf abgespeist worden war, habe die Bank insoweit gegen diese Pflicht verstoßen. 

Zwar liege der Verschuldensanteil zu einem Großteil immer noch beim Bankkunden, das Fehlverhalten der Bank trete dahinter allerdings nicht vollständig zurück. Dafür sei genau diese Betrugsmasche bereits zu bekannt gewesen.