Phishing im Online-Banking: Haftung des Bankkunden bei grober Fahrlässigkeit auf Tageslimit gedeckelt

Vereinbaren Bank und Kunde ein Zahlungsverkehrs-Tageslimit für das Online-Banking, ist ein Schadensersatzanspruch der Bank gegen den Kunden wegen grob fahrlässiger Pflichtverletzung der Höhe nach auf dieses Limit begrenzt - und zwar auch dann, wenn unbekannte Dritte das Limit zuvor unautorisiert erhöht haben. Eine solche unautorisierte Limitänderung ist dem Kunden nicht zuzurechnen und lässt die vertragliche Haftungsbegrenzung unberührt.

Rückwirkende Wertgutschrift bei nicht autorisierten Zahlungsvorgängen

Wird ein Zahlungskonto durch einen Zahlungsvorgang belastet, den der Kontoinhaber nicht autorisiert hat, kann dieser gemäß § 675 u Satz 2 2. Alt. BGB die Wiederherstellung des Kontostandes verlangen, der ohne die Belastung bestanden hätte. Ein Zahlungsvorgang ist gemäß § 675 j Abs. 1 S. 1 BGB gegenüber dem Zahler nur wirksam, wenn dieser ihn vor der Ausführung durch Einwilligung oder nachträglich durch Genehmigung autorisiert hat. Fehlt es an einem entsprechenden Bewusstsein und Willen des Kontoinhabers, einen Zahlungsauftrag zu erteilen oder ihm zuzustimmen, liegt keine Autorisierung vor - unabhängig davon, welche technischen Schritte (etwa die Erzeugung einer TAN) der Kontoinhaber tatsächlich vorgenommen hat, sofern ihm der damit verfolgte Zweck nicht erkennbar war. Eine Zurechnung des Handelns Dritter nach Rechtsscheingrundsätzen scheidet aus, da die Regelungen der §§ 675 j Abs. 1, 675 u Satz 1 und 2 sowie 675 v Abs. 3 Nr. 2 BGB insoweit abschließend sind (vgl. BGH, 17.11.2020 - Az: XI ZR 294/19).

Schadensersatzanspruch der Bank wegen grober Fahrlässigkeit

Dem Anspruch auf Wertgutschrift kann die Bank einredeweise einen eigenen Schadensersatzanspruch gegen den Zahler entgegenhalten (§ 242 BGB). Ein solcher Anspruch entsteht gemäß § 675 v Abs. 3 Nr. 2 b BGB, wenn der Zahler den Schaden durch vorsätzliche oder grob fahrlässige Verletzung vereinbarter Bedingungen für die Nutzung des Zahlungsinstruments herbeigeführt hat. Grobe Fahrlässigkeit setzt einen in objektiver Hinsicht schweren und in subjektiver Hinsicht schlechthin unentschuldbaren Sorgfaltsverstoß voraus. Die telefonische Weitergabe einer TAN an einen unbekannten Anrufer außerhalb der üblichen Kommunikationswege der Bank begründet regelmäßig den Vorwurf grober Fahrlässigkeit, da ein Zahler nicht darauf vertrauen darf, dass eine TAN auch zur Mitwirkung an vermeintlichen technischen Umstellungen oder zum Abschluss von Rahmenvereinbarungen dienen kann.

Begrenzung der Haftung durch ein vereinbartes Zahlungsverkehrs-Tageslimit

Ist zwischen den Parteien ein Zahlungsverkehrs-Tageslimit für das Online-Banking vereinbart und sind die Allgemeinen Geschäftsbedingungen der Bank hierfür einbezogen, so beschränkt eine entsprechende AGB-Klausel die Haftung des Kontoinhabers für Schäden, die innerhalb des Geltungszeitraums des Verfügungsrahmens verursacht werden, der Höhe nach auf den vereinbarten Verfügungsrahmen. Eine solche vertragliche Haftungsbegrenzung ist im Rahmen der Privatautonomie grundsätzlich zulässig und tritt neben die gesetzliche Haftungsbegrenzung des § 675 v Abs. 1 BGB auf 50,00 EUR bei einfacher Fahrlässigkeit. Sie ist auch bei grob fahrlässiger Pflichtverletzung des Kontoinhabers zu beachten, da andernfalls eine derartige Vereinbarung praktisch leerliefe. Ein Berufen auf die Haftungsbegrenzung ist dem Kontoinhaber nach Treu und Glauben (§ 242 BGB) nicht verwehrt, wenn der Schaden auf mehreren grob fahrlässigen Pflichtverletzungen beruht, solange kein vorsätzliches oder betrügerisches Handeln des Zahlers vorliegt.

Kann ein unautorisiert erhöhtes Limit zulasten des Kunden wirken?

Eine Änderung des Zahlungsverkehrs-Tageslimits, die von unbefugten Dritten im Online-Banking veranlasst wurde, ist dem Kontoinhaber nicht zuzurechnen, wenn dieser dieser Änderung nicht zugestimmt und sie nicht autorisiert hat. Die vertraglich vereinbarte Haftungsbegrenzung bleibt in diesem Fall auf das ursprünglich vereinbarte, nicht auf das unautorisiert erhöhte Limit bezogen. Für das Zustandekommen einer entsprechenden Tageslimit-Vereinbarung obliegt dem Kontoinhaber grundsätzlich die Darlegungslast; maßgeblich können hierfür auch Transaktionsprotokolle sowie das übereinstimmende prozessuale Verhalten der Parteien herangezogen werden.

Mitverschulden der Bank bei unzureichender Sicherung des Verfügungsrahmens

Ein Mitverschulden der Bank gemäß § 254 Abs. 1 BGB kommt in Betracht, wenn diese es unterlässt, den Zahlungsdienstenutzer bei Erzeugung eines Authentifizierungsinstruments erkennbar über den damit verfolgten Verwendungszweck - etwa eine Änderung des Verfügungslimits - zu informieren, obwohl eine solche Kennzeichnung technisch möglich und zumutbar wäre. Gleiches gilt, wenn der Kontoinhaber über eine bereits erfolgte Erhöhung des Verfügungslimits nicht informiert wird, obwohl eine entsprechende Benachrichtigung geeignet gewesen wäre, weiteren Schaden zu verhindern. Im Rahmen der Abwägung der beiderseitigen Verursachungsbeiträge nach § 254 Abs. 1 BGB ist jedoch zu berücksichtigen, ob dem Kontoinhaber selbst mehrere grob fahrlässige, den Schaden mitverursachende Sorgfaltspflichtverletzungen zur Last fallen und ob dem Zahler bereits eine wirksame vertragliche Haftungsbegrenzung zugutekommt, die sein Schutzbedürfnis abdeckt.

Welcher Sachverhalt lag der vorliegenden Entscheidung zugrunde?

Im vorliegenden Fall war zwischen den Parteien ein Zahlungsverkehrs-Tageslimit von 10.000,00 Euro vereinbart, welches unbekannte Dritte im Zuge eines betrügerischen Vorgehens unautorisiert auf den maximal möglichen Betrag erhöht hatten, um eine Überweisung in Höhe von 59.855,25 Euro zu veranlassen. Die Haftung des Kontoinhabers wegen grob fahrlässiger Weitergabe der hierfür erzeugten TAN an unbekannte Dritte war trotz Vorliegens mehrerer Sorgfaltspflichtverletzungen entsprechend der vertraglichen Vereinbarung auf das ursprüngliche Tageslimit von 10.000,00 Euro begrenzt; die darüberhinausgehende Belastung des Kontos war rückgängig zu machen (vgl. hierzu bereits, im Ergebnis allerdings offenlassend, BGH, 24.04.2012 - Az: XI ZR 96/11; OLG Bremen, 30.08.2024 - Az: 1 U 32/24; OLG Naumburg, 23.04.2025 - Az: 5 U 107/24).

Hinweis: Urteile geben die Rechtsauffassung des Gerichts zum Entscheidungsdatum wieder und ersetzen keine rechtliche Beratung im Einzelfall. Für Aktualität, Vollständigkeit und Richtigkeit wird keine Gewähr übernommen.