OLG Oldenburg verneint Haftung der Bank: Phis­hing-Betrug kostet Ehe­paar 41.000 Euro

E-Mails von nigerianischen Prinzen, die in Not geraten sind und dringend Geld benötigen, erkennt (fast) jeder sofort als Betrug. Immer öfter sind sogenannte Phishing-Betrugsversuche aber gewiefter ausgestaltet und Nachrichten von vermeintlichen Banken sehen täuschend echt aus. Dann muss der Empfänger schon genauer hinsehen, sonst kann es teuer werden.

Einen solchen Fall hatte kürzlich das Oberlandesgericht (OLG) Oldenburg zu entscheiden. Es entschied: Wer auf einen Link aus einer E-Mail mit Rechtschreibfehlern klickt und dort die Zugangsdaten für sein Online-Banking preisgibt, handelt grob fahrlässig. Das verlorene Geld gibt es von der Bank in so einem Fall dann nicht zurück (Urt. v. 24.04.2025, Az. 8 U 103/23).

Vermeintliche PushTAN-Registrierung kostet Frau 41.000 Euro 

Das Betrugsopfer war in diesem Fall ein Ehepaar aus dem Ammerland. Eigentlich wollte die Frau nur die PushTAN-Registrierung für das Gemeinschaftskonto aktualisieren. Dazu war sie von ihrer Bank per E-Mail aufgefordert worden – dachte sie zumindest. Tatsächlich stammte die E-Mail aber nicht von ihrer Bank, der darin enthaltene Link führte stattdessen zu einer gefälschten Webseite. Nichtsahnend gab die Frau dort nach Gerichtsangaben mindestens ihr Geburtsdatum sowie die Nummer ihrer EC-Karte ein. Im Anschluss erhielt sie per SMS einen Link für die Neuregistrierung zum PushTAN-Verfahren. 

Am nächsten Tag dann der Schock: Von dem Konto des Ehepaares waren durch zwei Überweisungen knapp 41.000 Euro nach Estland transferiert worden.

Juristisch passiert dann Folgendes: Grundsätzlich können Bankkunden nach § 675u S. 2 Bürgerliches Gesetzbuch (BGB) die Erstattung nicht autorisierter Zahlungen von ihrer Bank verlangen. Es gibt allerdings einen Haken. Nicht zurückfordern können Bankkunden das Geld, wenn die Überweisung nur aufgrund ihrer groben Fahrlässigkeit möglich war. Dann bleibt der Kunde nach § 675v Abs. 3 Nr. 2 BGB auf den Kosten sitzen.

"Sehr geehrter Kunde"-Anrede hätte stutzig machen müssen

Sowohl das Landgericht Oldenburg als nun das OLG Oldenburg waren davon überzeugt, dass die Frau grob fahrlässig mit ihren Daten umgegangen war. 

Zwar seien die Überweisungen und auch die im Vorfeld erfolgte Erhöhung des Tageslimits tatsächlich nicht autorisiert, sondern von den unbekannten Tätern vorgenommen worden, die die Daten der Frau erhalten hatten. Allerdings sei davon auszugehen, dass die Frau auf der gefälschten Webseite nicht nur ihr Geburtsdatum und ihre EC-Karten-Nummer, sondern auch ihren Anmeldenamen und ihre PIN eingegeben habe. Anders sei es weder technisch möglich noch plausibel, dass die Täter die Überweisungen hätten vornehmen können, wie ein Sachverständiger vor Gericht bestätigte. Damit liege im Ergebnis grobe Fahrlässigkeit seitens der Frau vor, sie habe keinen Anspruch auf Erstattung durch die Bank.

Das OLG stellte darüber hinaus noch weitere Sorgfaltspflichtverletzungen der Frau fest. Insbesondere hätten sich bei der Bankkundin Zweifel an der Seriosität der E-Mail aufdrängen müssen, so das Gericht. Denn zum einen wurde sie in dieser nicht namentlich, sondern mit "Sehr geehrter Kunde" angesprochen. Zum anderen habe die Mail mehrere Rechtschreibfehler enthalten.

Die 41.000 Euro erhält das Ehepaar daher nicht zurück. Die Entscheidung des OLG Oldenburg ist rechtskräftig.

lmb/LTO-Redaktion