OLG Koblenz 8 U 682/24: Beweislast bei Phishing – was Geschädigte wissen sollten

Das Oberlandesgericht Koblenz hat am 17. April 2026 (Az. 8 U 682/24) entschieden: Die Bank trägt die vollständige Beweislast dafür, dass ein Phishing-Opfer grob fahrlässig handelte. Spekulationen genügen folglich nicht. Die Sparkasse Westerwald-Sieg wurde daher zur vollständigen Schadenserstattung verurteilt, einschließlich vorgerichtlicher Anwaltskosten.

Wer nach einem Online-Banking-Angriff fragt, ob er sein Geld von der Bank zurückerhält, findet in OLG Koblenz 8 U 682/24 eine wegweisende Antwort. Zudem interessiert diese Entscheidung alle, die nach „Sparkasse Phishing Erstattung“, „Call-ID-Spoofing Beweislast“ oder „grobe Fahrlässigkeit Online-Banking“ suchen. Sie verschiebt die Beweislast somit klar zugunsten der Betroffenen und schließt eine langjährige Schutzlücke.

Was regelt OLG Koblenz 8 U 682/24?

Im Juli 2022 riefen Betrüger Kunden der Sparkasse Westerwald-Sieg an. Die angezeigte Rufnummer entsprach exakt der echten Bankhotline — sogenanntes Call-ID-Spoofing. Der Anrufer kannte sensible Kontodaten. Er gab zudem vor, das chipTAN-Verfahren werde auf pushTAN umgestellt. Per SMS erhielten die Kunden daraufhin einen Aktivierungslink, sodass sie gezielt in die Täuschung geführt wurden.

In den Folgetagen wurden sieben Echtzeit-Überweisungen ins Ausland über rund 56.100 Euro ausgeführt. Die Kunden hatten diese weder veranlasst noch autorisiert. Das Landgericht Koblenz wies die Klage zunächst ab. Das OLG Koblenz hob dieses Urteil jedoch auf und verurteilte die Sparkasse deshalb zur vollständigen Schadenserstattung zuzüglich vorgerichtlicher Anwaltskosten.

Welche Erlaubnislücke schließt OLG Koblenz 8 U 682/24?

Nach § 675u Satz 2 BGB ist der Zahlungsdienstleister bei einem nicht autorisierten Zahlungsvorgang zur sofortigen Erstattung verpflichtet — verschuldensunabhängig. Diesem Anspruch kann die Bank nach § 675v Abs. 3 BGB nur dann einen Gegenanspruch entgegenstellen, wenn der Zahler grob fahrlässig handelte. Folglich liegt die Beweislast vollständig bei der Bank, nicht beim Kunden.

Diese Verteilung ergibt sich unmittelbar aus § 675w BGB. Danach trägt die Bank den vollen Beweis für die ordnungsgemäße Authentifizierung und das grob fahrlässige Verhalten des Kunden. Zuvor nutzten Banken eine Schutzlücke: Sie spekulierten im Prozess über mögliche Sorgfaltsverstöße, ohne konkreten Nachweis zu erbringen. Deshalb kamen sie damit in Vorinstanzen durch. Nach der Koblenzer Entscheidung ist dieser Weg jedoch versperrt — somit hat das Urteil bundesweite Bedeutung.

Was stellt OLG Koblenz 8 U 682/24 fest — und was nicht?

Das Gericht stellt fest, dass professionelles Call-ID-Spoofing mit täterseits bekannten Kontodaten eine Situation schafft, der ein durchschnittlich sorgfältiger Bankkunde nicht ohne Weiteres begegnen kann. Der Angriff war zudem so gestaltet, dass selbst kritische Personen getäuscht wurden. Daraus folgt jedoch kein automatisches Urteil über grobe Fahrlässigkeit. Die nötige Beweisführung der Bank fehlt, sodass eine Haftungszuweisung an den Kunden ausscheidet.

Das OLG bewertet ausschließlich die zivilrechtliche Haftungsbeziehung zwischen Kontoinhaber und Bank. Es spricht dennoch keine strafrechtliche Verurteilung der Täter aus. Ob Betrug im strafrechtlichen Sinne des § 263 StGB vorliegt, ist daher separat zu klären. Trotzdem bietet das Urteil eine belastbare Grundlage für zivilrechtliche Rückforderungen — und zwar unabhängig vom Ausgang eines Strafverfahrens.

Welche forensischen Ansatzpunkte ergeben sich aus OLG Koblenz 8 U 682/24?

Alle Belege der täuschenden Kommunikation — Anrufprotokolle, SMS-Verläufe mit Zeitstempeln, Kontoauszüge — sind sofort zu sichern. Diese Unterlagen widerlegen typische Bankbehauptungen über angeblich eigenverantwortliches Handeln. Zudem sollte schriftlich bei der Bank eine Darlegung der Authentifizierungsmaßnahmen und der Transaktionsüberwachung nach § 25h KWG angefordert werden. Daher erhöht frühe Dokumentation die Erfolgsaussichten erheblich.

Bei Krypto-Transfers, die durch Phishing ausgelöst wurden, kommt Blockchain-Forensik hinzu. TxIDs und Wallet-Adressen ermöglichen die Verfolgung auf zentralisierten Exchanges, wo frühe Einfrierungsanträge noch Wirkung entfalten können. Eine strukturierte Übersicht zu relevanten Warnungen bietet die Scam-Broker-Warnübersicht auf kryptoschaden.de. Ergänzend zeigt dieser anwalt.de-Beitrag zu den ersten Stunden nach einem Krypto-Betrug, worauf es unmittelbar ankommt.

Was bedeutet OLG Koblenz 8 U 682/24 für Personen mit Phishing-Schaden?

Das Urteil stärkt die Verhandlungsposition Geschädigter erheblich. Wer nach einem professionellen Spoofing-Angriff mit dem Vorwurf grober Fahrlässigkeit konfrontiert wurde, findet hier eine konkrete Argumentationsgrundlage. Die Bank ist in der Beweispflicht — nicht der Geschädigte. Voreilige Vergleiche unterhalb des vollen Schadensersatzes lohnen sich deshalb nur, wenn die Bank tatsächlich konkrete Belege vorlegen kann. Somit verbessert das Urteil die Ausgangslage bei außergerichtlichen Einigungen spürbar.

Zudem empfiehlt sich, keine Stellungnahmen gegenüber der Bank ohne anwaltliche Begleitung abzugeben. Jede Äußerung kann im Prozess als Indiz für Fahrlässigkeit dienen. Wie eine zielgerichtete Rückforderung strukturiert wird, erläutert dieser anwalt.de-Beitrag zur Rückforderung bei unerlaubten Anbietern. Die dort beschriebenen Grundsätze zur Fristenwahrung gelten sinngemäß auch bei klassischen Phishing-Fällen — daher lohnt sich die Lektüre unabhängig vom konkreten Schadenstyp.

Anna Orlowa, LL.M., Rechtsanwältin und Fachanwältin für Bank- und Kapitalmarktrecht, zertifizierte Spezialistin für Kryptowerte und Steuern