BGH XI ZR 20/24 chipTAN: Phishing-Bankhaftung – was Geschädigte wissen sollten

Karlsruhe, 3. März 2026 — der XI. Zivilsenat des Bundesgerichtshofs entscheidet im Fall eines sachsen-anhaltischen Handwerker-Ehepaars. Knapp 39.454 Euro hatte ein Betrüger 2020 durch manipulierte Überweisungen vom Geschäftskonto abgeräumt. Die zentrale Frage: Haftet die Sparkasse — oder bleibt der Schaden beim Geschädigten? Das Ergebnis trifft Tausende Phishing-Opfer in Deutschland.

Wer nach BGH XI ZR 20/24 chipTAN sucht, fragt häufig: Verliere ich meinen Erstattungsanspruch automatisch? Wann haftet die Bank dennoch? Und was ändert der ausstehende EuGH-Entscheid in C-70/25 an der Lage? Dieser Beitrag benennt deshalb die Kerninhalte des Urteils, erklärt die Abgrenzungen und zeigt, welche Wege Betroffene konkret beschreiten können.

Was regelt BGH XI ZR 20/24 chipTAN – und warum entschied der BGH gegen den Geschädigten?

Das Urteil BGH XI ZR 20/24 chipTAN vom 03.03.2026 bestätigt: Wer eine transaktionsbezogene TAN telefonisch an Betrüger weitergibt, handelt grob fahrlässig im Sinne von § 675v BGB. Folglich verliert der Konto-Inhaber seinen Erstattungsanspruch gegen die Bank. Der zentrale Einwand — das manuelle chipTAN-Verfahren sei keine wirksame starke Kundenauthentifizierung — ließ der BGH nicht gelten. Somit haftet die Sparkasse nicht.

Der BGH folgt einer dreigliedrigen Prüfung nach § 675v Abs. 4 BGB. Zunächst erfüllt das manuelle chipTAN-Verfahren zwei SCA-Faktoren: Wissen (PIN) und Besitz (Chipkarte und Generator). Zudem bejahte der BGH die dynamische Verknüpfung nach § 55 Abs. 2 ZAG, weil Betrag und IBAN rechnerisch in die TAN einfließen. Folglich ist das Verfahren SCA-konform und der Schadensersatzanspruch der Sparkasse bleibt bestehen.

Welche Verfahrenslücke schließt BGH XI ZR 20/24 chipTAN für Phishing-Geschädigte?

Das Urteil schließt eine langjährige Verteidigungslücke in Phishing-Fällen. Geschädigte hatten argumentiert: Fehlt der Empfänger-Klarname im Display, sei das chipTAN-Verfahren nicht SCA-konform. Daher müsse die Erstattung nach § 675u BGB uneingeschränkt greifen. Dieser Einwand ist durch BGH XI ZR 20/24 chipTAN abschließend verworfen.

Der BGH stellt klar: Die Delegierte VO (EU) 2018/389 schreibt nicht vor, dass der Empfängername im Generator-Display erscheinen muss. Es genügt, dass der Name im Online-Banking-Fenster beim Anlegen der Überweisung sichtbar ist. Jedoch verbleibt eine wichtige Ausnahme: Liegt das Sicherheitsversagen in der Sphäre der Bank — etwa durch fehlende SCA beim Login — kann ein Mitverschulden nach §§ 280, 286 BGB weiterhin relevant sein. Folglich ist BGH XI ZR 20/24 chipTAN kein Freifahrtschein für Banken.

Was stellt BGH XI ZR 20/24 chipTAN fest – und was bleibt offen?

Das Urteil stellt fest: Das manuelle chipTAN-Verfahren ist eine wirksame starke Kundenauthentifizierung. Wer daher unter diesen Bedingungen eine TAN auf telefonische Aufforderung hin preisgibt, handelt grob fahrlässig — auch wenn der Betrüger sich als Bankmitarbeiter ausgegeben hat. Zudem wird grobe Fahrlässigkeit der voll verfügungsberechtigten Ehefrau dem Kläger zugerechnet.

Offen bleibt indes, wie das Urteil auf Fälle anzuwenden ist, bei denen Täter ohne aktive TAN-Weitergabe auf Konten zugriffen. Das LG Köln (Az. 22 O 43/23) hat Call-ID-Spoofing als banklagiges Sicherheitsversagen eingeordnet und grobe Fahrlässigkeit des Kunden verneint.

Ebenso offen ist die Wirkung des ausstehenden EuGH-Urteils in C-70/25. Generalanwalt Rantos empfahl am 5. März 2026 eine unverzügliche Erstattungspflicht vor Schadensersatz-Verrechnung. Sollte der EuGH dem folgen, würde sich die Ausgangslage für Betroffene folglich erheblich verbessern.

Welche forensischen Ansatzpunkte ergeben sich aus BGH XI ZR 20/24 chipTAN?

Für Geschädigte, deren Fall an BGH XI ZR 20/24 chipTAN zu scheitern droht, lohnt sich eine genaue Prüfung. Zunächst: Hat die Bank beim Kontozugang selbst eine wirksame SCA verlangt? Fehlte diese, greift § 675v Abs. 4 Nr. 1 BGB zugunsten des Kunden. Zudem: Wurde die Kontaktaufnahme durch Spoofing einer Bankrufnummer ermöglicht? Dann liegt ein banklagiges Sicherheitsversagen vor, das ein Mitverschulden von 20 Prozent oder mehr begründen kann.

Auf kryptoschaden.de finden Betroffene einen Überblick über Plattformen und Vorgehensweisen, zu denen bereits Verfahren laufen. Ergänzend erläutert der Beitrag zu den ersten Stunden nach einem Krypto-Betrug auf anwalt.de, welche Beweissicherungsschritte nach dem Schadenseintritt entscheidend sind. Nach Darstellung führender Bankrechts-Kommentatoren kann die Struktur der Täter-Kontaktaufnahme die Haftungsgrenze bereits verschieben.

Was bedeutet BGH XI ZR 20/24 chipTAN für Personen mit Verlust durch Phishing?

Für Betroffene bedeutet das Urteil nicht das Ende aller Ansprüche, sondern eine klare Triage-Aufgabe. Wer die TAN aktiv weitergegeben hat und keine bankseitigen Sicherheitsmängel geltend machen kann, steht nach BGH XI ZR 20/24 chipTAN schwer da. Jedoch gibt es Konstellationen, in denen der Erstattungsanspruch trotzdem besteht oder teilweise durchsetzbar ist.

Zudem sollte die strafrechtliche Seite nicht unterschätzt werden. § 263 StGB und § 263a StGB sind einschlägig. Die Vermögensabschöpfung nach § 73 StGB in Verbindung mit § 111e StPO ermöglicht daher die vorläufige Sicherstellung überweisungsempfangener Konten. Außerdem steht die Rückforderung über zivilrechtliche Klagen gegen Empfängerkonten als weiterer Weg offen. Die Möglichkeiten der Rückforderung bei unerlaubten Anbietern auf anwalt.de zeigen, dass auch in schwierigen Fällen strukturierte Strategien existieren.

Nach Darstellung des BGH selbst bleibt der Weg über § 826 BGB gegen an der Tat mitwirkende Dritte gesondert zu prüfen. Schließlich empfiehlt sich in jedem Fall eine anwaltliche Erstberatung, bevor gegenüber der Bank eine Erklärung abgegeben oder ein Kulanzangebot angenommen wird. Somit lässt sich der Handlungsspielraum frühzeitig sichern.

Anna Orlowa, LL.M., Rechtsanwältin und Fachanwältin für Bank- und Kapitalmarktrecht, zertifizierte Spezialistin für Kryptowerte und Steuern