BGH XI ZR 20/24: chipTAN SCA-konform – was Geschädigte wissen sollten

BGH XI ZR 20/24 vom 03.03.2026 entschied: Das manuelle chipTAN-Verfahren erfüllt die Anforderungen der starken Kundenauthentifizierung (SCA) nach § 1 Abs. 24 ZAG — auch ohne Namensanzeige im TAN-Generator-Display. Wer TANs telefonisch weitergibt, handelt grob fahrlässig. Deshalb läuft der Erstattungsanspruch nach § 675u BGB wirtschaftlich leer — weitere Angriffspunkte gegen die Bank bleiben jedoch offen.

Wer nach „BGH XI ZR 20/24″, „chipTAN grobe Fahrlässigkeit“ oder „Phishing Erstattungsanspruch Bank 2026″ sucht, findet hier die vollständige Einordnung. Die Entscheidung zum Aktenzeichen BGH XI ZR 20/24 klärt die SCA-Frage für chipTAN abschließend — verschiebt jedoch das Gewicht auf die Sorgfaltspflichten der Bank. Deshalb lohnt die Prüfung, ob im konkreten Fall neben der Autorisierungsfrage weitere Pflichtverletzungen geltend gemacht werden können.

Was regelt BGH XI ZR 20/24 im Zahlungsdiensterecht?

Im Oktober 2020 erhielt die Ehefrau eines Handwerkers aus Sachsen-Anhalt eine E-Mail, die vorgab, die Sparkasse verlange eine Neukonfiguration des TAN-Generators. Die Ehefrau registrierte sich auf einer gefälschten Website. Sodann rief ein angeblicher Sparkassenmitarbeiter an. Auf seine Anweisung gab sie mehrere TANs telefonisch weiter. Die Täter nutzten diese TANs, um das Überweisungslimit auf bis zu 94.999 Euro anzuheben und danach vier Sofortüberweisungen in Höhe von insgesamt knapp 39.454 Euro auszuführen.

Das Landgericht Halle hatte dem Erstattungsbegehren zunächst stattgegeben. Das OLG Naumburg wies die Berufung zurück. Der BGH bestätigte das klageabweisende Ergebnis in der Revision. Die Entscheidung berührt mehrere aufeinander aufbauende Normen: § 675u S. 2 BGB begründet dem Grundsatz nach einen Erstattungsanspruch bei nicht autorisierten Zahlungsvorgängen. Allerdings erlaubt § 675v Abs. 3 Nr. 2 lit. b BGB der Bank, diesem Anspruch einen Gegenanspruch entgegenzuhalten, wenn grobe Fahrlässigkeit nach § 675l Abs. 1 BGB vorliegt. Deshalb entfiel der Erstattungsanspruch im Ergebnis.

Welche Verfahrenslücke schließt BGH XI ZR 20/24 — und welche bleibt offen?

BGH XI ZR 20/24 schließt die bis dahin offene Frage, ob chipTAN ohne Empfängernamenanzeige SCA-Anforderungen erfüllt: Die Antwort lautet ja. Damit ist der SCA-Einwand der Banken in vergleichbaren Fällen gefestigt. Jedoch bleibt eine wesentliche Lücke: Das Urteil schließt nicht aus, dass die Bank ihrerseits eigene Sorgfaltspflichten verletzt hat. Deshalb kann das Prinzip „dolo agit“ nach § 242 BGB dem Gegenanspruch der Bank entgegengehalten werden, wenn sie selbst Warnpflichten aus § 241 Abs. 2 BGB verletzt hat.

Zudem gilt: § 675v Abs. 4 Nr. 1 BGB schließt den Gegenanspruch der Bank aus, wenn sie keine geeigneten Meldemittel bereitgestellt hat. Folglich lohnt die Prüfung, ob die Sparkasse im konkreten Fall ausreichende Schutzmechanismen zur Verfügung gestellt hatte. Außerdem kann bei Phishing-Fällen § 675w BGB — die Beweislast des Zahlungsdienstleisters — nach wie vor eine Rolle spielen, wenn die Umstände der TAN-Eingabe streitig sind. Somit bietet BGH XI ZR 20/24 keine abschließende Antwort auf alle Phishing-Schadensfälle.

Was stellt BGH XI ZR 20/24 fest — und was nicht?

Der BGH stellt fest: chipTAN ist starke Kundenauthentifizierung nach § 1 Abs. 24 ZAG, auch ohne Empfängernamensanzeige. Die telefonische Weitergabe von TANs ist grob fahrlässig im Sinne von § 675l Abs. 1 BGB. Der Erstattungsanspruch nach § 675u S. 2 BGB entfällt deshalb im Wege des Gegenanspruchs der Bank nach § 675v Abs. 3 Nr. 2 lit. b BGB. Folglich hatte die Klage keinen Erfolg. Dieser Befund ist für alle vergleichbaren Fälle — Phishing mit telefonischer TAN-Weitergabe — bindend.

Der BGH stellt hingegen nicht fest, dass Betroffene keinerlei Ansprüche haben. Das Urteil befasst sich nicht mit der Frage, ob die Sparkasse eigene Warnpflichten verletzt hat. Ebenso klärt es nicht, ob § 675v Abs. 4 Nr. 1 BGB im Einzelfall eingreift. Somit ist BGH XI ZR 20/24 kein genereller Freifahrtschein für Banken. Deshalb bleibt die Prüfung, ob Warnpflichtverletzungen nach §§ 241 Abs. 2, 280 Abs. 1 BGB eine eigenständige Anspruchsgrundlage begründen, in jedem Fall sinnvoll.

Welche forensischen Ansatzpunkte ergeben sich aus BGH XI ZR 20/24?

Für Geschädigte mit vergleichbarem Sachverhalt lohnt zunächst die Dokumentation des Tatablaufs: Wie wurde der Erstkontakt hergestellt, welche E-Mails gingen der TAN-Weitergabe voraus? Außerdem sind die Transaktionsparameter entscheidend: Limiterhöhungen von 10.000 auf 94.999 Euro, gefolgt von vier Sofortüberweisungen, sind ein evidentes Warnmerkmal. Kreditinstitute sind nach § 25h KWG zur Überwachung ungewöhnlicher Transaktionsmuster verpflichtet. Deshalb lohnt die Prüfung, ob die Bank hätte warnen können.

Eine Übersicht zu einschlägigen Betrugsplattformen bietet kryptoschaden.de/scam-broker-warnungen-uebersicht/.

Zudem ist die strafrechtliche Spur relevant: Die Täter haben nach § 263 StGB (Betrug) und § 263a StGB (Computerbetrug) gehandelt. Eine Strafanzeige nach § 158 StPO ermöglicht es der Staatsanwaltschaft, nach § 111e StPO einen Vermögensarrest gegen identifizierte Konten zu beantragen — auch wenn die Bankerstattung zivilrechtlich ausscheidet. Deshalb empfiehlt sich die parallele Einschlagung beider Wege. Zur Beweissicherung in den ersten Stunden gibt anwalt.de — Erste Stunden nach Erkennen eines Krypto-Betrugs eine strukturierte Orientierung.

Was bedeutet BGH XI ZR 20/24 für Personen mit Verlust durch Phishing?

Wer TANs telefonisch weitergegeben hat, sollte zunächst die vollständige Dokumentation sichern: alle E-Mails, Anruflogs, TAN-Protokolle und Kontoauszüge. Danach lohnt die Prüfung, ob die Bank eigene Sorgfaltspflichten verletzt hat — insbesondere bei ungewöhnlichen Limiterhöhungen oder Transaktionsmustern. Trifft das zu, kommen §§ 241 Abs. 2, 280 Abs. 1 BGB als Anspruchsgrundlage in Betracht, unabhängig von BGH XI ZR 20/24. Deshalb sollte der Bankbefund im Licht dieser Norm separat geprüft werden.

Außerdem gilt: Das Urteil betrifft chipTAN im Phishing-Kontext. Bei gefälschten Banking-Oberflächen, bei denen die Autorisierung streitig ist, bleibt § 675w BGB anwendbar. Zudem lohnt die Prüfung nach § 675v Abs. 4 Nr. 1 BGB, ob die Bank ausreichende Meldemöglichkeiten bereitgestellt hatte. Somit bietet das Urteil keine abschließende Antwort auf alle Phishing-Schadensfälle. Einen strukturierten Einstieg in die Rückforderung bietet anwalt.de — Rückforderung von Kryptowerten bei unerlaubten Anbietern.

Anna Orlowa, LL.M., Rechtsanwältin und Fachanwältin für Bank- und Kapitalmarktrecht, zertifizierte Spezialistin für Kryptowerte und Steuern