§ 25h KWG: Bank-Monitoring-Pflicht und Haftung – was Geschädigte wissen sollten

§ 25h KWG verpflichtet Kreditinstitute zum Betrieb von Datenverarbeitungssystemen, die ungewöhnliche Transaktionen erkennen. Das OLG Linz hat im April 2026 erstmals klargestellt, dass ein versagendes Fraud-Monitoring zu einer Haftungsquote der Bank von 50 Prozent führen kann. Diese Argumentation ist über § 675u BGB, § 280 Abs. 1 BGB und § 823 Abs. 2 BGB unmittelbar auf deutsche Kreditinstitute übertragbar. Die h.M. der deutschen Instanzgerichte bejaht zudem den Schutzgesetzcharakter der Norm – was Schadensersatzansprüche geschädigter Kontoinhaber erheblich stärkt.

Wer nach Begriffen wie „Bank Monitoring Pflicht Kryptobetrug“, „§ 25h KWG Schadensersatz“ oder „Fraud-Monitoring Pflichtverletzung“ sucht, ist vermutlich von einem Investment- oder Überweisungsbetrug betroffen. Dabei hat die eigene oder eine empfangende Bank die verdächtigen Transaktionen nicht gestoppt. Dieser Beitrag klärt daher, welche Pflichten Banken nach § 25h KWG treffen und welche Schadensersatzansprüche sich daraus ergeben können. Außerdem erläutert er, wie die Beweisführung praktisch gelingt.

Ist § 25h KWG ein Schutzgesetz im Sinne von § 823 Abs. 2 BGB?

Die herrschende Meinung der Instanzgerichte bejaht dies. § 25h Abs. 2 KWG verpflichtet Kreditinstitute zum Betrieb funktionaler Monitoring-Systeme zum Schutz vor strafbaren Handlungen – folglich auch zum Schutz der Vermögensinteressen individueller Kontoinhaber. Ein Verstoß löst Schadensersatz nach § 823 Abs. 2 BGB aus, ohne dass ein Vertrag mit der beklagten Bank erforderlich ist. Somit öffnet die Norm eine Anspruchsbasis, die auch ohne vertragliche Beziehung greift.

Für Geschädigte ohne direkten Vertrag mit der Empfängerbank ist dieser Anspruchsweg daher besonders bedeutsam. Beim Social-Engineering-Betrug und bei Pig-Butchering-Strukturen ist die Empfängerbank häufig nicht die kontoführende Bank des Opfers. Der Wortlaut des § 25h Abs. 2 KWG verlangt zudem, dass Kreditinstitute Transaktionen erkennen, die ohne offensichtlichen wirtschaftlichen Zweck erfolgen. Daher ist nach Darstellung der Instanzgerichte der Schutzgesetzcharakter zu bejahen.

Welche Verfahrenslücke zeigt § 25h KWG bei typischen Betrugsmuster der Praxis?

Die praktische Lücke liegt nicht im Fehlen von Systemen, sondern in ihrer Aktualisierungsfrequenz. § 25h KWG verlangt die laufende Anpassung an das verfügbare Erfahrungswissen – und gerade dieses Erfahrungswissen über neue Betrugsmuster wächst jedoch schneller, als viele Institute ihre Systeme nachjustieren. Die BaFin hat deshalb angekündigt, eine neue IT-Inspektionseinheit einzurichten, die gezielt prüft, wie gut Finanzinstitute auf KI-gestützte Cyberrisiken vorbereitet sind. Was der Aufsicht als unzureichend gilt, begründet zivilrechtlich ab demselben Moment eine erhöhte Haftungserwartung.

Für Geschädigte hat diese Lücke eine unmittelbare Konsequenz. Wenn 41 Überweisungen in 90 Minuten erfolgen und das Monitoring nicht anspricht, ist das kein technischer Zufall, sondern ein beweisbarer Organisationsmangel. Genau dieser Organisationsmangel begründet den Schadensersatzanspruch nach § 280 Abs. 1 BGB gegenüber der kontoführenden Bank. Zudem greift der deliktische Anspruch aus § 823 Abs. 2 BGB gegenüber der Empfängerbank, ohne dass ein Vertrag erforderlich ist.

Was stellt die Rechtsprechung zu § 25h KWG fest – und was nicht?

Das OLG Koblenz, Braunschweig und Nürnberg haben den Schutzgesetzcharakter des § 25h KWG bejaht und Schadensersatzansprüche zugesprochen, wenn das Monitoring nachweislich versagt hat. Was die Rechtsprechung hingegen noch nicht abschließend klärt, ist die Mitverschuldensquote nach § 254 BGB. Wie stark wirkt sich das Verhalten des Opfers auf den Anspruch aus? Das OLG-Linz-Urteil mit 50-Prozent-Haftungsquote deutet darauf hin, dass selbst bei Mitverschulden ein substanzieller Erstattungsanspruch verbleiben kann.

Was die Norm ausdrücklich nicht begründet, ist eine absolute Garantiehaftung der Bank. Vielmehr ist hingegen nachzuweisen, dass das konkret eingesetzte System nach dem Stand der Technik hätte ansprechen können. Zudem ist zu belegen, dass der Schaden bei rechtzeitiger Reaktion abwendbar gewesen wäre. Dieser Kausalitätsnachweis ist in der Praxis daher der anspruchsvollste Teil der Anspruchsdurchsetzung.

Welche forensischen Ansatzpunkte ergeben sich aus einer § 25h KWG-Verletzung?

Wer einen Anspruch nach § 823 Abs. 2 BGB i.V.m. § 25h KWG durchsetzen will, benötigt konkrete Belege für das Monitoring-Versagen. Dazu gehören Transaktionsprotokolle mit Zeitstempeln sowie Korrespondenz mit der Bank über die Sperrung oder Freigabe von Zahlungen.

Außerdem lassen sich Informationen über das eingesetzte Monitoring-System über Auskunftsrechte nach § 34 BDSG erlangen. Nach Darstellung von Betroffenen liefert auch die Strafakte über § 406e StPO wertvolle Hinweise auf das interne Meldegeschehen der Bank.

Geschädigte, die Beweise eigenständig sichern wollen, laufen folglich Gefahr, Fristen zu versäumen oder Beweismittel unbemerkt zu verlieren. Eine strukturierte Übersicht zu kombinierten Ansätzen bietet kryptoschaden.de; die beweistechnische Absicherung der Transaktionskette erläutert der Beitrag zur Blockchain-Forensik bei Kryptobetrug auf anwalt.de. Dabei gilt: Je vollständiger die Beweislage, desto geringer ist das Prozessrisiko.

Was bedeutet § 25h KWG für Personen, die nach einem Bankbetrug Ansprüche geltend machen wollen?

Wer Opfer eines Überweisungsbetrugs oder eines Investment-Scams mit Bankbezug wurde, sollte zunächst sämtliche Kontoauszüge und Transaktionsprotokolle sichern. Diese bilden die Grundlage für den Nachweis, dass das Monitoring hätte ansprechen können. Anschließend empfiehlt sich die gleichzeitige Geltendmachung von Ansprüchen nach § 675u BGB und nach § 823 Abs. 2 BGB, um keine Anspruchsbasis ungenutzt zu lassen. Dabei ist die Kombination keine Dopplung, sondern eine Absicherung gegen unterschiedliche Anspruchsgrenzen.

Zudem verjähren Deliktsansprüche nach § 195 BGB in drei Jahren ab Kenntnis – eine Frist, die rasch abläuft, wenn der Schaden erst später vollständig bekannt wird. Deshalb lohnt sich die frühzeitige anwaltliche Orientierung zur Verfahrensplanung, wie sie anwalt.de zur Rückforderung von Kryptowerten bietet. Eigenständige Schritte ohne anwaltliche Begleitung sind hingegen besonders riskant, da die Beweisführung komplex ist.

Anna Orlowa, LL.M., Rechtsanwältin und Fachanwältin für Bank- und Kapitalmarktrecht, zertifizierte Spezialistin für Kryptowerte und Steuern