Organisationsverschulden der Bank: Mithaftung trotz eigener Unachtsamkeit

Selbst wer eine TAN unbedacht weitergibt, steht nicht automatisch mit leeren Händen da, wenn die Bank ein erkennbares Betrugsmuster übersehen hat.

Ein Klick auf einen gefälschten Link, eine TAN am Telefon preisgegeben, wenige Minuten später ist das Konto leer geräumt – auf den ersten Blick ein klassischer Fall grober Fahrlässigkeit, bei dem die Bank sich zurücklehnen kann. Doch die Realität ist komplexer, wenn dieselbe Betrugsmasche innerhalb kurzer Zeit mehrfach über dasselbe Konto oder dieselbe Empfänger-IBAN läuft und das Fraud-Monitoring der Bank trotzdem nicht anschlägt. Genau an diesem Punkt setzt die Debatte um das Organisationsverschulden Bank Phishing an: Wenn ein Institut ein Muster hätte erkennen müssen, tritt neben die Unachtsamkeit des Kunden ein eigenständiger, der Bank zurechenbarer Pflichtenverstoß.

Rechtlich prallen hier zwei Ebenen aufeinander. Auf der einen Seite steht die Frage, ob dem Zahlungsdienstnutzer grobe Fahrlässigkeit im Sinne des § 675v BGB vorzuwerfen ist. Auf der anderen Seite stehen die eigenen Sorgfalts- und Organisationspflichten der Bank, die sich unter anderem aus § 675m BGB und den aufsichtsrechtlichen Vorgaben zur Überwachung von Zahlungsverkehrsströmen ergeben. Wir ordnen ein, wann eine Bank trotz eigener Unachtsamkeit des Kunden mithaftet, was die Rechtsprechung des BGH zum Augenblicksversagen dazu beiträgt und welche Rolle die neuen europäischen Vorgaben spielen.

Der Ausgangspunkt: Grobe Fahrlässigkeit nach § 675v BGB

Autorisiert der Zahler eine Überweisung selbst – etwa durch Eingabe einer TAN –, ist die Verfügung grundsätzlich wirksam. Nur wenn die Bank dem Kunden grobe Fahrlässigkeit nachweisen kann, entfällt der Erstattungsanspruch aus § 675u BGB und die Haftungsfolge kehrt sich nach § 675v BGB um. Die Beweislast für die grobe Fahrlässigkeit trägt dabei die Bank, nicht der Kunde – ein Punkt, der in der Praxis häufig unterschätzt wird.

Für die Bewertung des Organisationsverschulden Bank Phishing ist dieses Urteil ein wichtiger Ausgangspunkt, auch wenn es selbst kein Organisationsverschulden der Bank feststellte. Der Bundesgerichtshof hat mit dem Urteil XI ZR 107/24 vom 22.07.2025 klargestellt, dass die TAN-Weitergabe für sich genommen keine wirksame Autorisierung im engeren Sinne darstellt, sondern die Zahlung dennoch als nicht autorisiert im Sinne der Erstattungsvorschriften gilt. Im entschiedenen Fall verlor die Klägerin, weil sie am Folgetag nach Bedenkzeit erneut TANs preisgab – kein Augenblicksversagen mehr, sondern eine bewusste zweite Entscheidung. Diese Nuance zeigt: Nicht jede Unachtsamkeit ist automatisch grob fahrlässig, und selbst wenn sie es ist, endet die rechtliche Prüfung dort nicht.

Warum grobe Fahrlässigkeit nicht das Ende der Prüfung ist

Die Feststellung grober Fahrlässigkeit beim Kunden beantwortet nur eine Seite der Gleichung. Zivilrechtlich gilt der allgemeine Grundsatz des Mitverschuldens, verankert in § 254 BGB: Trägt auch die Gegenseite – hier die Bank – durch eigenes Fehlverhalten zur Entstehung oder Vertiefung des Schadens bei, kann eine Haftungsquote entstehen, statt dass eine Seite den vollen Schaden allein trägt. Genau hier setzt das Organisationsverschulden Bank Phishing als eigenständiger Prüfungspunkt an: Hat die Bank ein wiederkehrendes, technisch erkennbares Betrugsmuster ignoriert, kann dies als eigener Sorgfaltspflichtverstoß neben die Unachtsamkeit des Kunden treten.

• Mehrere Überweisungen an dieselbe oder ähnlich lautende Empfänger-IBAN in kurzer Zeitfolge
• Ungewöhnliche Beträge oder Häufungen außerhalb des bisherigen Kontoverhaltens
• Bekannte Betrugsmuster, die im Fraud-Monitoring anderer Institute bereits als Warnsignal hinterlegt sind
• Auffällige Änderungen von Geräte-Fingerprint, IP-Adresse oder Login-Verhalten kurz vor der Verfügung

Organisationspflichten der Bank aus § 675m BGB und § 25h KWG

Banken sind im Zahlungsverkehr nicht bloße Durchleitungsstellen. Aus § 675m BGB ergeben sich Sicherungspflichten für Zahlungsauthentifizierungsinstrumente, aufsichtsrechtlich flankiert durch § 25h KWG, der Institute zu angemessenen internen Sicherungsmaßnahmen und einem funktionierenden System zur Aufdeckung ungewöhnlicher oder verdächtiger Transaktionen verpflichtet. Diese Pflicht ist zwar primär aufsichtsrechtlich und geldwäscherechtlich verortet, entfaltet aber zivilrechtlich Ausstrahlungswirkung: Wo ein funktionierendes Monitoring ein klares Betrugsmuster hätte auffangen müssen und es nicht tat, lässt sich daraus ein eigener Organisationsmangel der Bank ableiten.

Wichtig ist die Differenzierung: Ein Betrugsmonitoring, das jede Einzeltransaktion isoliert prüft, genügt den heutigen Anforderungen häufig nicht mehr. Banken verfügen über Systeme, die Kontobewegungen im Zeitverlauf und im Verhältnis zu anderen Konten auswerten. Bleibt ein solches System bei einem eindeutigen, wiederholten Muster untätig, ist das kein reines Compliance-Thema, sondern kann im Streitfall Grundlage für eine anteilige Mithaftung der Bank sein – unabhängig davon, dass der Kunde selbst unachtsam gehandelt hat.

Betrugsmonitoring in der Praxis: Welches Muster eine Bank erkennen muss

Ob ein Betrugsmonitoring-Versagen als Organisationsverschulden Bank Phishing zu werten ist, entscheidet sich am Einzelfall – konkret an der Frage, was für die Bank technisch und wirtschaftlich zumutbar erkennbar war. Ein einzelner Phishing-Vorfall, bei dem der Kunde selbst getäuscht wurde, begründet regelmäßig kein Organisationsverschulden. Anders liegt es, wenn dieselbe Betrugsmasche – etwa nach dem Muster gefälschter Sicherheitswarnungen wie bei der Hanseatic Bank oder gefälschten Login-Seiten wie bei der Deutschen Bank – innerhalb weniger Tage mehrfach über dieselbe Zielstruktur läuft und die Bank ihr eigenes System nicht nachschärft.

Für Betroffene bedeutet das: Es lohnt sich, nach einem Phishing-Schaden nicht nur die eigene TAN-Weitergabe zu bewerten, sondern auch zu fragen, ob es sich um ein bekanntes, wiederkehrendes Muster handelte. Presseberichte, Verbraucherwarnungen oder Parallelfälle bei derselben Bank – etwa vergleichbare Vorfälle, wie sie im Zusammenhang mit der Sparda-Bank oder Neobanken wie im Beitrag zu C24 dokumentiert sind – können im Streitfall als Indiz dafür dienen, dass ein Institut das Muster hätte kennen müssen.

Verification of Payee: Der neue Maßstab beim IBAN-Namensabgleich

Seit dem 9. Oktober 2025 ist der IBAN-Namensabgleich, bekannt als Verification of Payee (VoP), für Euro-Instant-Überweisungen EU-weit verpflichtend eingeführt. Die Bank des Zahlers muss den angegebenen Empfängernamen mit dem tatsächlichen Kontoinhaber abgleichen und bei einer Abweichung warnen, bevor die Zahlung ausgeführt wird. Unterlässt eine Bank diese Warnung bei einer erkennbaren Abweichung, kann sich daraus ein weiterer Baustein für ein Organisationsverschulden Bank Phishing ergeben – gerade bei Betrugsfällen, in denen Empfängername und tatsächlicher Kontoinhaber erkennbar auseinanderfallen.

VoP verschiebt den Fokus der Diskussion: Weg von der reinen Frage, ob der Kunde eine TAN weitergegeben hat, hin zur Frage, ob die Bank die ihr technisch zur Verfügung stehenden Schutzmechanismen tatsächlich genutzt hat. Für Betroffene, die nach dem 9. Oktober 2025 Opfer eines Phishing-Angriffs mit klarem Empfänger-Namens-Mismatch wurden, ist dies ein zusätzlicher Prüfpunkt bei der Frage der Mithaftung.

Mitverschulden und Haftungsquote: Wie Gerichte abwägen

Liegt neben der groben Fahrlässigkeit des Kunden zusätzlich ein Organisationsverschulden Bank Phishing vor, geht es im Ergebnis nicht mehr um ein Alles-oder-nichts, sondern um eine Haftungsquote. Die Gerichte wägen dabei typischerweise ab, wie gewichtig der jeweilige Pflichtenverstoß war: Wie leicht war die Täuschung des Kunden zu durchschauen, wie offensichtlich war das Betrugsmuster für die Bank erkennbar, und wie zeitnah hätte ein funktionierendes Monitoring reagieren müssen. Ähnliche Abwägungsfragen prägen bereits die Rechtsprechung zu Phishing trotz TAN-Verfahren, wo die Autorisierungswirkung der TAN nicht mit der Frage der Haftungsverteilung verwechselt werden darf.

In der Praxis bedeutet das für Betroffene: Auch wer eingesteht, unvorsichtig gehandelt zu haben, sollte nicht vorschnell von einer vollständigen Eigenhaftung ausgehen. Die anwaltliche Prüfung, ob ein Organisationsverschulden der Bank vorliegt, kann eine erhebliche Reduzierung des eigenen Schadens bedeuten, selbst wenn eine vollständige Erstattung nicht durchsetzbar ist.

Der Blick nach vorn: PSD3, PSR und Art. 59 PSR-E

Die politische Einigung von Rat und Parlament zur neuen Zahlungsdiensterichtlinie PSD3 und der begleitenden Zahlungsdiensteverordnung PSR erfolgte am 27. November 2025, die finale Trilog-Einigung am 23. April 2026 – die Regelwerke sind damit noch nicht unmittelbar anwendbares Recht, sondern befinden sich auf dem Weg zur Veröffentlichung im Amtsblatt mit anschließender Übergangsfrist. Vorgesehen ist mit Art. 59 PSR-E ein Paradigmenwechsel: Banken sollen künftig auch für autorisierte, aber betrügerisch veranlasste Zahlungen haften, etwa bei Call-ID-Spoofing, wenn eine gefälschte Bank-Rufnummer angezeigt wird. Das ist ein deutlicher Unterschied zur heutigen Rechtslage nach § 675v BGB, in der der Kunde bei grober Fahrlässigkeit noch selbst haftet.

Auch die Schlussanträge des Generalanwalts vom 5. März 2026 in der Rechtssache C-70/25 vor dem EuGH weisen in eine ähnliche Richtung: Danach soll die Bank bei nicht autorisierten Zahlungen zunächst unverzüglich erstatten müssen, während sie sich erst nachgelagert auf grobe Fahrlässigkeit berufen kann. Ein Endurteil liegt noch nicht vor, doch der EuGH folgt den Schlussanträgen seines Generalanwalts in der Praxis häufig. Für die aktuelle deutsche Rechtslage bleibt es einstweilen bei §§ 675u, 675v BGB – die künftige Rechtsentwicklung sollte Betroffene aber nicht davon abhalten, schon heute ein Organisationsverschulden der Bank prüfen zu lassen.

Beweislast im Streitfall: Was Betroffene dokumentieren sollten

Da die Bank die grobe Fahrlässigkeit des Kunden beweisen muss, der Kunde umgekehrt aber ein Organisationsverschulden der Bank vortragen muss, ist eine saubere Beweislastverteilung entscheidend. Für den Einzelfall kommt es auf eine saubere Dokumentation an. Hilfreich sind Kontoauszüge mit auffälligen Vorgängen, Screenshots gefälschter Webseiten oder E-Mails, Zeitstempel der eigenen TAN-Eingabe sowie – soweit erreichbar – Hinweise auf parallele Betrugsfälle bei derselben Bank in vergleichbarem Zeitraum.

• Vollständige Kontoauszüge und Transaktionsprotokolle rund um den Vorfall sichern
• Phishing-Mails, SMS oder Anrufprotokolle nicht löschen, sondern als Beweismittel aufbewahren
• Strafanzeige erstatten, um über die Akteneinsicht nach § 406e StPO auf Ermittlungsergebnisse zugreifen zu können
• Die Bank schriftlich zur Stellungnahme zum eingesetzten Fraud-Monitoring auffordern

Handlungsempfehlungen nach einem Phishing-Schaden mit Bankversäumnis

Wer nach einem Phishing-Angriff feststellt, dass die eigene Bank ein wiederkehrendes Betrugsmuster nicht aufgehalten hat, sollte nicht vorschnell auf eine Erstattung verzichten, nur weil die eigene Unachtsamkeit offensichtlich erscheint. Zunächst empfiehlt sich eine schriftliche Reklamation innerhalb der 13-Monats-Frist des § 676b Abs. 2 BGB, um den Anspruch nicht durch Fristablauf zu verlieren. Parallel sollte geprüft werden, ob ähnliche Vorfälle – etwa wie im Beitrag zur BW Bank beschrieben – bereits öffentlich dokumentiert sind.

Am Ende steht meist eine differenzierte Bewertung: Weder ein pauschales Anerkenntnis der eigenen Schuld noch die unrealistische Erwartung einer vollständigen Erstattung wird dem Einzelfall gerecht. Eine anwaltliche Prüfung des konkreten Organisationsverschulden Bank Phishing-Sachverhalts schafft hier Klarheit über realistische Erstattungschancen und die richtige Argumentationslinie gegenüber der Bank.

Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht

Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.

FAQs – Häufig gestellte Fragen zu Organisationsverschulden Bank Phishing