Phishing-Monitoring: 90 Minuten, Bankpflicht nach § 280 BGB – was Geschädigte wissen sollten

Wenn eine Bank bei 41 Überweisungen in 90 Minuten keinen Alarm auslöst, haftet sie nach § 280 BGB für das Monitoring-Versagen — auch dann, wenn der Kunde TANs bestätigt hat. Grobe Fahrlässigkeit des Kunden und Haftung der Bank schließen einander nicht aus; die Beweislast für die Autorisierung trägt nach § 675w BGB die Bank. Das OLG Linz hat diesen Grundsatz am 29. April 2026 zur 50/50-Schadensteilung verdichtet.

Das OLG Koblenz (Az. 8 U 682/24, 17. April 2026) hat in einem strukturell identischen Fall die Sparkasse Westerwald-Sieg zur vollständigen Erstattung von 56.099,91 Euro verurteilt. Deshalb gilt: Ein eigenständiger Anspruch aus § 280 BGB tritt neben den Erstattungsanspruch aus § 675u BGB — das ist der entscheidende Hebel für Geschädigte.

Wer nach einem Phishing-Schaden sucht, fragt häufig: Haftet meine Bank trotz TAN-Bestätigung? Welcher Standard gilt für das Phishing-Monitoring? Kann ich gegen die Bank vorgehen, wenn 41 Überweisungen unbemerkt blieben? Dieser Beitrag erläutert, wie das Phishing-Monitoring-Versagen § 280 BGB-Ansprüche begründet — und welche Ansatzpunkte sich für Geschädigte ergeben. Außerdem finden Sie auf kryptoschaden.de eine Übersicht zu verwandten Fällen.

Was regelt das Phishing-Monitoring nach § 280 BGB — und welchen Standard setzt das Urteil?

§ 280 BGB statuiert einen eigenständigen Schadensersatzanspruch wegen Verletzung von Organisationspflichten. Der Standard des OLG Linz (29. April 2026) ist präzise: Das bankinterne Phishing-Monitoring hätte spätestens bei Transaktion Nr. 1 eingreifen können. Das ist keine rückwirkende Schärfe — es ist der geltende Maßstab nach § 280 BGB. Somit ist das Phishing-Monitoring-Versagen keine technische Kleinigkeit, sondern eine zivilrechtlich relevante Pflichtverletzung.

Das OLG Koblenz (8 U 682/24) hat zudem klargestellt: Die Bank trägt die vollständige Beweislast für grobe Fahrlässigkeit des Kunden nach § 675v BGB. Eine pauschale Behauptung genügt daher nicht. Deshalb sind TAN-Bestätigungen allein kein Freifahrtschein für die Bank — jedoch bleibt der Kontext der Transaktionsfolge entscheidend.

Welche Lücke im Phishing-Monitoring zeigen 90 Minuten und 41 Überweisungen?

Professionelle Phishing-Angriffe nutzen eine systematische Lücke in regelbasierten Monitoring-Systemen: Viele Banken reagieren ausschließlich auf absolute Betragsobergrenzen. Smurfing — viele Transaktionen knapp unter Schwellenwerten an neue Empfängerkonten — umgeht diese Filter vollständig. Dabei wäre das Muster für ein parametrisches System sofort erkennbar. Folglich ist das Monitoring-Versagen nicht zufällig, sondern strukturell bedingt — und daher als Organisationsmangel rechtlich greifbar.

90 Minuten reichen für einen Vollschaden, weil der Angreifer vier Phasen optimiert: Spoofing-Anruf, TAN-Phishing, SEPA-Überweisungswelle und Wallet-Drain. Jede Phase dauert kürzer als die typische Reaktionszeit des Bankmonitorings. Deshalb ist das 90-Minuten-Fenster kein Zufall, sondern Angriffs-Design. Wer nachweist, dass das Monitoring nicht auf das Frequenzmuster reagiert hat, hat einen starken § 280 BGB-Anspruch.

Was stellt das Urteil zum Phishing-Monitoring fest — und was nicht?

Das OLG Linz stellt fest: Bei 41 Überweisungen in 90 Minuten liegt ein Monitoring-Versagen vor, das einen eigenständigen Haftungsgrund nach § 280 BGB begründet. Das Gericht stellt jedoch nicht fest, dass die Bank automatisch den vollen Schaden trägt — es hat eine 50/50-Teilung vorgenommen. Dennoch ist das Urteil bedeutsam: Es trennt klar zwischen § 675u BGB und § 280 BGB. Somit können Geschädigte beide Ansprüche parallel verfolgen.

Das OLG Koblenz (8 U 682/24) geht jedoch weiter und verurteilt die Bank zur vollständigen Erstattung. Es stellt klar, dass die Bank den Nachweis grober Fahrlässigkeit durch ein Sachverständigengutachten erbringen und nicht bloß behaupten kann. Daher ist die Qualität des Beweisangebots der Bank letztlich entscheidend.

Welche forensischen Ansatzpunkte ergeben sich aus dem Phishing-Monitoring-Versagen?

Geschädigte sollten zunächst vollständige Kontoauszüge und Transaktionsprotokolle sichern. Darüber hinaus empfiehlt sich eine Anforderung der bankinternen Monitoring-Protokolle — diese sind nach Art. 13 DORA aufzubewahren. Wenn das Protokoll zeigt, dass kein Alarm ausgelöst wurde, ist das Phishing-Monitoring-Versagen dokumentiert. Außerdem lohnt eine Anforderung der bankeigenen Risikoklassifizierung.

Informationen zur richtigen Reaktion in den ersten Stunden und zur Blockchain-Forensik bei Krypto-Betrug sind zudem ergänzend hilfreich.

Zahlungsanalytisch ist außerdem die Empfängerkonten-Analyse relevant: Wenn alle 41 Überweisungen an erstmalig genutzten Empfängerkonten erfolgten, ist das ein klassisches Smurfing-Muster. Deshalb sollten Kontoauszüge und Transaktionsprotokolle im Rahmen einer anwaltlich begleiteten Dokumentenanfrage von der Bank eingeholt werden — die Frist nach § 675u BGB beträgt 13 Monate ab Belastungsbuchung.

Was bedeutet das Phishing-Monitoring-Versagen für Personen mit Verlust durch Phishing?

Für Personen mit Phishing-Verlusten ergibt sich ein konkreter Handlungsrahmen: Wer nachweist, dass das Phishing-Monitoring der Bank versagt hat, kann § 280 BGB neben § 675u BGB geltend machen. Die Beweislast liegt nach § 675w BGB bei der Bank. Zudem gilt: Selbst wenn grobe Fahrlässigkeit des Kunden vorliegt, schließt das den Anspruch aus dem Phishing-Monitoring-Versagen nicht automatisch aus. Deshalb lohnt eine frühzeitige anwaltliche Beratung.

Darüber hinaus lohnt eine Prüfung des Rückforderungsanspruchs nach § 675u BGB. Dieser entsteht bei nicht autorisierten Zahlungsvorgängen — unabhängig vom Verschulden. Informationen zur Rückforderung von Kryptowerten bei unerlaubten Anbietern finden Sie ebenfalls. Eine strukturierte Bestandsaufnahme ist dabei entscheidender als eine rasche Klageeinreichung.

Anna Orlowa, LL.M., Rechtsanwältin und Fachanwältin für Bank- und Kapitalmarktrecht, zertifizierte Spezialistin für Kryptowerte und Steuern