OLG Koblenz Bankhaftung Phishing: Az. 8 U 682/24 – was Geschädigte wissen sollten

Das OLG Koblenz Bankhaftung Phishing-Urteil vom 17. April 2026 (Az. 8 U 682/24) verdichtet eine Rechtsprechungslinie, die sich seit 2023 herausbildet. Banken können sich bei professionell inszenierten Angriffen nicht mehr pauschal auf grobe Fahrlässigkeit des Kunden berufen. Daher erläutert dieser Beitrag, was das Urteil konkret bedeutet und welche Rechtsmittel Phishing-Opfer heute haben.

Viele Betroffene suchen nach Begriffen wie „OLG Koblenz Bankhaftung Phishing 2026″ oder „§ 675u BGB Bank Erstattung“. Zudem fragen Geschädigte, ob ein einmaliges Eingeben einer TAN nach einer gefälschten SMS bereits als grob fahrlässig gilt. Genau das beantwortet die OLG-Koblenz-Linie — und die Antwort fällt für Anleger günstiger aus als bisher oft angenommen.

Was stellt OLG Koblenz Bankhaftung Phishing Az. 8 U 682/24 fest?

Das OLG Koblenz hat in Az. 8 U 682/24 klargestellt: Eine Bank, die einen Zahlungsvorgang nach einem Phishing-Angriff ohne ausreichende Sicherheitsmaßnahmen genehmigt, haftet nach § 675u BGB. Das Zahlauthentisierungsrisiko liegt grundsätzlich beim Zahlungsdienstleister. Folglich trifft den Kunden die Beweislast für grobe Fahrlässigkeit nicht — vielmehr hat die Bank zu beweisen, dass der Zahlungsvorgang ordnungsgemäß autorisiert wurde.

Zudem knüpft das Gericht an § 675w BGB an. Wenn die Bank die starke Kundenauthentifizierung (SCA) nach § 55 ZAG durchgeführt hat, begründet das prima facie eine Genehmigung. Allerdings reicht die technische Protokollierung einer SCA allein nicht aus. Insbesondere dann nicht, wenn der Phishing-Angriff professionell aufgebaut war und selbst erfahrene Nutzer täuschen konnte. Somit bleibt das Täuschungsniveau des Angriffs der entscheidende Bewertungsmaßstab.

Welche Erlaubnislücke schließt OLG Koblenz Bankhaftung Phishing?

Vor dieser Rechtsprechungsverdichtung konnten Banken Phishing-Opfern pauschal entgegnen, wer seine TAN herausgebe, handele grob fahrlässig. Das OLG Koblenz Bankhaftung Phishing-Urteil schließt diese Schutzlücke. Das Gericht differenziert zwischen einem simplen Passwort-Leak und einem mehrstufigen Social-Engineering-Angriff mit gefälschten Domains und Oberflächen. Dabei kommt es auf das konkrete Täuschungsniveau an, nicht auf ein pauschales Verbot der TAN-Weitergabe.

Ebenso bedeutsam ist die Monitoring-Pflicht nach § 25h KWG. Banken haben verdächtige Transaktionsmuster zu erkennen und proaktiv zu blockieren. Demzufolge haftet eine Bank, die ein ungewöhnliches Muster nicht erkannt hat, für den eingetretenen Schaden. Das gilt selbst dann, wenn der Kunde technisch eine TAN eingegeben hat. Das stärkt die Rechtsposition von Phishing-Opfern erheblich.

Was stellt die OLG-Koblenz-Linie fest — und was nicht?

Die OLG-Koblenz-Linie stellt fest: Der pauschale Vorwurf grober Fahrlässigkeit bei Phishing ist unzureichend. Es bedarf einer konkreten Würdigung des Täuschungsniveaus im Einzelfall. Allerdings schließt das Urteil nicht aus, dass besonders sorglosiges Verhalten dennoch als grob fahrlässig gewertet werden kann. Somit bleibt die Einzelfallbetrachtung entscheidend.

Was die OLG-Koblenz-Linie hingegen nicht regelt, sind Fälle, in denen der Kunde selbst die Überweisung initiiert hat und erst nachträglich geltend macht, er sei unter Druck gesetzt worden. Dabei handelt es sich um einen anderen Sachverhalt als beim technischen Phishing. Insofern ist die rechtliche Bewertung stets anhand der genauen Tatumstände vorzunehmen.

Welche forensischen Ansatzpunkte ergeben sich aus der OLG-Koblenz-Linie?

Der erste Schritt ist die Sicherung aller Kommunikationsverläufe: SMS, E-Mails und Banking-App-Logs sind zeitnah zu sichern. Dabei dokumentieren sie das Täuschungsniveau des Angriffs. Weiterhin ist die Transaktionshistorie der Bank vollständig anzufordern, um ein Monitoring-Versagen nach § 25h KWG zu belegen. Zugleich empfiehlt sich die Sicherung der gefälschten Phishing-Webseite mittels Zeitstempel-Screenshot.

Zudem liefert die Analyse der involvierten Zahlungsempfänger-Konten wichtige Erkenntnisse. Wurden die erbeuteten Gelder sofort weitertransferiert? Über welche Banken flossen sie? Die Dokumentation forensischer Methoden auf kryptoschaden.de zeigt, wie Zahlungsströme für gerichtliche Schritte aufbereitet werden. Ferner beschreibt der Beitrag zu den ersten Stunden nach Erkennen eines Krypto-Betrugs auf anwalt.de die zeitkritischen Maßnahmen.

Was bedeutet OLG Koblenz Bankhaftung Phishing für Personen mit Verlust?

Phishing-Opfer können sich auf § 675u BGB stützen und die Bank unmittelbar auf Erstattung in Anspruch nehmen. Die Verjährungsfrist nach § 195 BGB beträgt drei Jahre ab Kenntnis des Schadens. Daher empfiehlt sich keine Verzögerung bei der rechtlichen Einschätzung. Zudem ist zu prüfen, ob die Bank ihre Monitoring-Pflichten nach § 25h KWG verletzt hat, was die Haftungskette weiter verstärkt.

Wichtig ist, keine Selbsteskalation zu betreiben: Wer eigenständig Druck auf die Bank ausübt, riskiert ungünstige Verhandlungspositionen. Folglich empfiehlt sich frühzeitig spezialisierte Unterstützung. Der Beitrag zur Rückforderung von Kryptowerten bei unerlaubten Anbietern auf anwalt.de gibt eine erste rechtliche Einschätzung zu den geeigneten Rückführungshebeln und zur weiteren Verfahrensplanung.

Anna Orlowa, LL.M., Rechtsanwältin und Fachanwältin für Bank- und Kapitalmarktrecht, zertifizierte Spezialistin für Kryptowerte und Steuern