Commerzbank photoTAN-Phishing: § 675u BGB und Erstattung – was Geschädigte wissen sollten

Commerzbank-Kunden stehen seit Mitte Mai 2026 im Fokus einer professionell organisierten photoTAN-Phishing-Kampagne. Wer Zugangsdaten preisgegeben hat und unautorisierte Abbuchungen feststellt, hat nach § 675u BGB einen verschuldensunabhängigen Erstattungsanspruch. Die Beweislast für grobe Fahrlässigkeit liegt nach § 675w BGB ausnahmslos bei der Bank – das OLG Koblenz hat diese Verteilung mit Urteil vom 17. April 2026 (Az. 8 U 682/24) auf 56.100 Euro Schadensumfang bestätigt und die Bank zur Erstattung verpflichtet.

Wer über Suchanfragen wie „Commerzbank photoTAN Betrug Erstattung“, „unautorisierte Abbuchung § 675u BGB“ oder „photoTAN Phishing Konto leergeräumt“ auf diesen Beitrag gelangt, hat vermutlich selbst Zugangsdaten preisgegeben. Dieser Beitrag erläutert daher den rechtlichen Rahmen, die entscheidende Beweislastverteilung und die notwendigen Sofortmaßnahmen beim Commerzbank photoTAN-Phishing. Außerdem zeigt er, welche Fehler Betroffene beim Geltendmachen des Anspruchs vermeiden sollten.

Wie funktioniert das Commerzbank photoTAN-Phishing und welche rechtliche Angriffsfläche ergibt sich?

Das Commerzbank photoTAN-Verfahren nutzt zwei voneinander getrennte Faktoren: Zugangsdaten und eine separate TAN-Grafik. Betrüger versenden E-Mails, die optisch von offiziellen Commerzbank-Nachrichten kaum zu unterscheiden sind. Sie fordern deshalb unter dem Vorwand angeblicher Sicherheitsrichtlinien ein Update des Verfahrens. Dabei erzeugen sie durch eine Frist von einem Werktag gezielt Panik. Wer auf den Link klickt und dort Login-Daten sowie die photoTAN-Aktivierungsgrafik eingibt, übergibt den Tätern somit die vollständige Kontoherrschaft.

Die kritische Schwachstelle liegt in der Aktivierungsgrafik: Wer sie erlangt, kann eigenständig neue Endgeräte registrieren und künftige Transaktionen autorisieren. Damit sind die Täter in der Lage, dauerhaft und unbemerkt auf das Konto zuzugreifen. Rechtlich entscheidend ist jedoch: Die Transaktion wurde durch die Täter ausgelöst, nicht durch den Kontoinhaber. Daher handelt es sich nach § 675j Abs. 1 BGB um eine nicht autorisierte Zahlung – mit den Erstattungsfolgen des § 675u BGB.

Welche Beweislastverteilung zeigt § 675w BGB beim Commerzbank photoTAN-Phishing?

§ 675w BGB bestimmt zunächst, dass die Bank den Nachweis für die ordnungsgemäße Authentifizierung zu erbringen hat. Dieser Nachweis genügt jedoch nicht, um grobe Fahrlässigkeit des Kunden zu belegen. Nur grobe Fahrlässigkeit schließt nach § 675v Abs. 3 BGB den Erstattungsanspruch aus.

Die Lücke in der Bank-Argumentation entsteht daher dort, wo die Phishing-Seite optisch von der Original-Commerzbank-Seite nicht zu unterscheiden ist. Wer auf eine täuschend echte Phishing-Seite hereinfällt, handelt folglich nach herrschender Rechtsprechung nicht grob fahrlässig.

Das OLG Koblenz (Az. 8 U 682/24) hat diesen Grundsatz auf eine Schadenssumme von 56.100 Euro angewandt und die Commerzbank zur vollständigen Rückerstattung verpflichtet. Zudem hat das OLG festgestellt, dass allein die Preisgabe von Zugangsdaten noch keine grobe Fahrlässigkeit begründet, solange keine eindeutigen Warnsignale vorlagen und ignoriert wurden. Somit stärkt diese Rechtsprechungslinie die Position der Geschädigten erheblich.

Was stellt das OLG Koblenz zum Commerzbank photoTAN-Fall fest – und was nicht?

Das OLG Koblenz stellt fest, dass die Beweislast für grobe Fahrlässigkeit bei der Bank liegt. Zudem stellt es klar, dass ein optisch überzeugend gefälschtes Phishing-Interface diese grobe Fahrlässigkeit nicht automatisch begründet. Was das Gericht hingegen nicht regelt, ist die automatische Erstattungspflicht bei jeder Phishing-Variante. Entscheidend bleibt die Einzelfallprüfung: Lagen eindeutige Warnsignale vor? Wurden Bank-Warnhinweise explizit ignoriert?

Daher gilt: Auch bei klarer Rechtslage nach § 675u BGB ist die Geltendmachung des Anspruchs ohne anwaltliche Unterstützung riskant. Banken versuchen routinemäßig, Mitverschulden nach § 675v Abs. 3 BGB i.V.m. § 254 BGB einzuwenden. Wer den Anspruch eigenständig formuliert, liefert der Bank hingegen unter Umständen die Argumente für eine Abweisung. Deshalb empfiehlt sich eine anwaltliche Begleitung von Anfang an.

Welche forensischen Ansatzpunkte ergeben sich nach einem Commerzbank photoTAN-Vorfall?

Die ersten Stunden nach Erkennen des Schadens sind entscheidend. Erstens: Die Commerzbank unverzüglich über die Betrugshotline kontaktieren und eine Kontosperrung veranlassen. Zweitens: Screenshots der Phishing-E-Mail, der Phishing-Seite und aller unautorisierten Transaktionen sichern. Drittens: Strafanzeige bei der Polizei erstatten, da die Strafakte über § 406e StPO später zudem als Beweismittel dienen kann. Außerdem sollte alle Korrespondenz mit der Commerzbank schriftlich geführt werden.

Eine strukturierte Übersicht zu kombinierten Rückforderungsansätzen – insbesondere wenn Gelder weiter auf Krypto-Plattformen transferiert wurden – bietet kryptoschaden.de; was in den ersten Stunden nach Bekanntwerden eines Kryptobetrugs zu tun ist, erläutert der Beitrag auf anwalt.de zu den ersten Stunden nach einem Kryptobetrug. Dabei gilt: Jede Stunde ohne Sperrantrag erhöht das Risiko weiterer Transfers.

Was bedeutet das Commerzbank photoTAN-Urteil für Kunden mit Schaden?

Wer nach einem Commerzbank photoTAN-Phishing-Vorfall unautorisierte Abbuchungen feststellt, hat nach § 675u BGB einen starken Erstattungsanspruch. Dieser Anspruch besteht unabhängig davon, ob man die Phishing-E-Mail für echt gehalten hat. Die Commerzbank ist verpflichtet, den Betrag unverzüglich zu erstatten, wenn die Zahlung als nicht autorisiert eingestuft wird. Diese Einstufung liegt nach dem OLG Koblenz bei qualifizierten Phishing-Angriffen daher regelmäßig vor.

Lehnt die Bank die Erstattung ab oder beruft sie sich auf grobe Fahrlässigkeit, steht der Klageweg offen. Da die Beweislast bei der Bank liegt, ist die Prozesssituation für Geschädigte folglich günstiger als in vielen anderen Konstellationen. Dennoch lohnt sich die anwaltliche Vorbereitung, um die Darlegung des Sachverhalts so zu gestalten, dass keine unnötigen Mitverschuldensargumente geliefert werden. Eine Orientierung zur Verfahrensplanung bietet anwalt.de zur Rückforderung bei unerlaubten Anbietern.

Anna Orlowa, LL.M., Rechtsanwältin und Fachanwältin für Bank- und Kapitalmarktrecht, zertifizierte Spezialistin für Kryptowerte und Steuern