Eine Verkaufsanzeige auf Kleinanzeigen, der Käufer fragt nach Kreditkartendaten. Die Banking-App warnt vor Betrug. Trotzdem eingegeben – Stunden später ist das Konto leer. Die Bank weigert sich, den Schaden zu ersetzen. Das Landgericht Itzehoe muss entscheiden, ob grobe Fahrlässigkeit die Erstattungspflicht kippt.

Wer Warnmeldungen in der Banking-App ignoriert und Kreditkartendaten auf Drittseiten eingibt, handelt laut Landgericht Itzehoe grob fahrlässig. Symbolfoto: KI

---

Zum vorliegenden Urteilstext springen: 7 O 114/24

Wann entfällt Erstattung trotz Phishing?

Gemäß § 675u Satz 2 BGB ist ein Zahlungsdienstleister bei einem nicht autorisierten Zahlungsvorgang verpflichtet, dem Zahler den abgebuchten Betrag unverzüglich zu erstatten. Das Girokonto muss dabei exakt auf den Stand gebracht werden, auf dem es sich ohne die unrechtmäßige Belastung befunden hätte. Eine rechtmäßige Autorisierung erfordert nach § 675j Abs. 1 BGB immer die wirksame Zustimmung des Zahlers. Diese Zustimmung kann entweder vorab als eine Einwilligung oder nachträglich als eine Genehmigung erteilt werden.

Das Landgericht Itzehoe wies in einem aktuellen Urteil die Klage eines getäuschten Bankkunden auf Erstattung von 6.486,44 Euro vollumfänglich ab und bürdete ihm die gesamten Verfahrenskosten auf (Az. 7 O 114/24 vom 28.01.2025). Der Mann wollte am 19. März 2024 über das Portal kleinanzeigen.de eine gebrauchte Babytrage verkaufen. Nach einer angeblichen Kaufbestätigung erhielt er eine E-Mail mit einem Link zur Abwicklung über ein System namens „Sicher Bezahlen“. Die Betrüger buchten in der Folge bei drei separaten Transaktionen hohe Beträge nach Dubai ab.

Obwohl das Gericht formell bestätigte, dass die Abbuchungen aus dem Ausland mangels wirksamer Zustimmung nicht autorisiert waren, verlor der Kontoinhaber den Zivilprozess. Die Richter stellten fest, dass der ursprüngliche Erstattungsanspruch durch einen massiven eigenen Pflichtverstoß des Verkäufers vollständig erloschen war.

Phishing-Fall: Anspruch richtig prüfen Wann liegt grobe Fahrlässigkeit bei Phishing vor?

In der juristischen Praxis wird grobe Fahrlässigkeit als ein objektiv schwerer und subjektiv unentschuldbarer Verstoß gegen die im Verkehr erforderliche Sorgfalt definiert. Verletzt der Zahler diese Pflichten erheblich, kann der Zahlungsdienstleister nach § 675v Abs. 3 Nr. 2 lit. a), b) BGB einen Gegenanspruch auf Schadensersatz geltend machen. Zu diesen zentralen Pflichten gehört gemäß § 675l Abs. 1 Satz 1 BGB insbesondere der Schutz personalisierter Sicherheitsmerkmale vor einem unbefugten Zugriff Dritter.

Das bedeutet konkret: Grob fahrlässig handelt, wer elementare Vorsichtsmaßnahmen unterlässt, die jedem vernünftigen Menschen in der Situation sofort aufgefallen wären — etwa das Ignorieren offensichtlicher Warnzeichen oder das sorglose Eingeben sensibler Daten auf einer verdächtigen Seite. Es geht also nicht um ein kleines Versehen, sondern um ein Verhalten, das schlechterdings nicht mehr nachvollziehbar ist.

Der Gegenanspruch auf Schadensersatz funktioniert so: Weil der Kunde durch seine Pflichtverletzung der Bank einen Schaden verursacht hat — nämlich die unrechtmäßig abgebuchten Beträge —, kann die Bank diesen Schaden vom Kunden zurückverlangen. Dieser Gegenanspruch wird dann mit dem Erstattungsanspruch des Kunden verrechnet.

Der Verlauf des Betrugs offenbarte im Gerichtssaal eine Reihe folgenschwerer Leichtsinnsfehler des Kontoinhabers. Er klickte auf den E-Mail-Link eines hochgradig verdächtigen Absenders und landete auf einer gefälschten Webseite, die optisch dem Auftritt seines Kreditinstituts nachempfunden war. Dort gab der Verkäufer nicht nur seine Zugangsnummer und die PIN ein, sondern schaltete das Login eigenhändig frei.

Übergabe kompletter Kreditkartendaten

Im nächsten Schritt löste die gefälschte Seite die Registrierung einer Mastercard-Kreditkarte in der sogenannten S-ID-Check-App aus. Der Mann tippte seinen Vor- und Zunamen, die vollständige Kreditkartennummer sowie die Prüfnummer ein. Anschließend bestätigte er die Freigabe des neuen Geräts – nach Feststellung des Gerichts durch Gesichtserkennung, nach eigener Aussage durch ein einfaches „Okay“ auf dem Bildschirm.

Das Gericht wertete dieses Verhalten als beispiellos sorglos. Die Richter hoben hervor, dass die Eingabe sämtlicher Kreditkartendaten für den reinen Empfang einer Zahlung völlig unplausibel und widersprüchlich sei. Dass der Mann bei einem angeblichen Verkaufsprozess aktiv sensible Zahlungsdaten auf einer externen Seite eintrug, statt lediglich eine Kontoverbindung für einen Geldeingang bereitzustellen, reichte für die Feststellung der groben Fahrlässigkeit aus.

Unter Berücksichtigung aller Umstände des hiesigen Einzelfalls ist das Verhalten des Klägers nach Auffassung des erkennenden Gerichts im Ergebnis als grob fahrlässig einzustufen. – so das Landgericht Itzehoe

Die praktische Konsequenz für alle Online-Verkäufer: Wer auf Kleinanzeigen-Portalen etwas verkauft, muss ausschließlich seine IBAN für den Zahlungseingang weitergeben. Fordert ein vermeintlicher Käufer Kreditkartennummer, PIN, Prüfziffer oder eine Registrierung in einer Zahlungs-App, ist das ein eindeutiges Betrugssignal — den Vorgang sofort abbrechen und keinen einzigen Datensatz eingeben.

Wann haftet der Kunde trotz Betrugs?

Selbst wenn ein Erstattungsanspruch des Kunden nach einem Betrug existiert, kann dieser durch eine automatische Aufrechnung mit dem Schadensersatzanspruch der Bank sofort entfallen. Eine Ausnahme existiert lediglich in § 675v Abs. 4 Nr. 1 BGB: Die Haftung des Zahlers ist in der Regel ausgeschlossen, wenn das Kreditinstitut zuvor keine starke Kundenauthentifizierung verlangt hat. Die technischen und rechtlichen Anforderungen an diese Authentifizierung richten sich nach den strikten Vorgaben des § 1 Abs. 24 ZAG.

Aufrechnung bedeutet praktisch: Wenn zwei Parteien einander Geld schulden — hier die Bank dem Kunden die Rückerstattung und der Kunde der Bank den Schadensersatz —, heben sich diese Forderungen gegenseitig auf. Es fließt kein Geld; der Anspruch des Kunden erlischt, ohne dass die Bank tatsächlich überweisen muss.

Eine starke Kundenauthentifizierung verlangt mindestens zwei unabhängige Sicherungselemente aus verschiedenen Kategorien: Wissen (z. B. PIN), Besitz (z. B. Smartphone) oder Biometrie (z. B. Gesichtserkennung). Ein einfaches Passwort allein genügt diesem Standard nicht.

Die praktische Anwendung dieser Normen verdeutlichte das Gericht durch die strikte Abweisung sämtlicher finanzieller Forderungen. Das Kreditinstitut hatte gegen den Erstattungsanspruch des Kunden wirksam mit einem eigenen Gegenanspruch aufgerechnet, sodass sich die Beträge gegenseitig aufhoben. Die Argumentation des Mannes, die Bank trage das Risiko wegen eines angeblich fehlenden Authentifizierungs-Verfahrens, stieß bei der Zivilkammer auf taube Ohren.

Die Richter stellten zweifelsfrei fest, dass die Bank im Vorfeld eine starke Kundenauthentifizierung im Sinne des Gesetzes verlangt und technisch umgesetzt hatte. Der rettende Haftungsausschluss zugunsten des getäuschten Verbrauchers griff somit nicht. In der Konsequenz blieb der Mann auf dem Gesamtschaden sitzen und erhielt auch keinen Ersatz für die vorgerichtlichen Rechtsanwaltskosten, von denen seine Rechtsschutzversicherung bereits 669,91 Euro und er selbst weitere Forderungen übernommen hatten.

Wer nach einem Phishing-Angriff auf Erstattung hofft, muss wissen: Hat man selbst grob fahrlässig gehandelt, trägt man nicht nur den kompletten finanziellen Verlust, sondern zusätzlich alle Gerichtskosten und die eigenen Anwaltskosten. Eine Rechtsschutzversicherung übernimmt in der Regel nur einen Teilbetrag.

Welche Sorgfaltspflichten für den Kontoinhaber gelten?

Jeder Kontoinhaber ist gesetzlich verpflichtet, die ihm von der Bank überlassenen personalisierten Sicherheitsmerkmale bestmöglich vor Spionage zu schützen. In der digitalen Bankpraxis besteht die absolute Obliegenheit, Displayanzeigen und dazugehörige Warnhinweise in Authentifizierungs-Apps vor jeder Freigabe gewissenhaft zu prüfen. Eine Missachtung dieser digitalen Warnmechanismen führt nahezu unweigerlich zum Verlust des gesetzlichen Schutzes gegen missbräuchliche Verfügungen.

Eine Obliegenheit ist im Unterschied zur klassischen Rechtspflicht eine Verpflichtung gegenüber sich selbst: Wer sie verletzt, schuldet der Bank zwar keinen Schadensersatz, verliert aber den eigenen gesetzlichen Schutz — hier den Anspruch auf Rückerstattung bei missbräuchlichen Abbuchungen.

Die Zivilkammer warf dem Kontoinhaber massiv vor, die Displayanzeige in der Sicherheits-App vor der finalen Bestätigung nicht ansatzweise ausreichend geprüft zu haben. Unmittelbar vor der Freigabe ploppte auf seinem eigenen Smartphone ein expliziter Phishing-Hinweis auf, der eindringlich davor warnte, dass mit diesem Schritt Zahlungen im Internet durch unbekannte Dritte freigegeben werden können.

Der Mann argumentierte verzweifelt, er könne sich an diesen konkreten Hinweis nicht erinnern und hielt sein Verhalten für ein rein menschliches „Augenblicksversagen“ in einer Überrumpelungssituation. Das Gericht verwarf diese Verteidigung jedoch rigoros. Wer trotz solch deutlicher Verdachtsmomente – vom ominösen E-Mail-Absender bis hin zum App-Warnhinweis – aktiv kritische Daten eingibt und den Prozess nicht abbricht, handelt nicht mehr im Augenblicksversagen, sondern grob schuldhaft.

Konkret heißt das für jeden Banking-App-Nutzer: Vor jeder Freigabe in der Authentifizierungs-App den Displaytext Wort für Wort lesen. Warnt die App vor einer unbekannten Zahlung oder einem neuen Gerät — nicht bestätigen, sondern den Vorgang sofort abbrechen und die Bank über die offizielle Telefonnummer kontaktieren.

Muss die Bank vor Phishing warnen?

Grundsätzlich kann ein Mitverschulden eines Zahlungsdienstleisters nach § 254 BGB den eigenen Schadensersatzanspruch mindern. Die unionsrechtlichen Vorgaben verlangen laut gängiger Rechtsprechung zwar eine aufsichtsrechtliche Überwachung zur generellen Betrugsprävention, jedoch keine individuelle Vorabkontrolle jeder einzelnen Transaktion. Spezielle Warn- und Hinweispflichten gegenüber dem einzelnen Kunden bei plötzlich auftretenden, ungewöhnlichen Transaktionen bestehen daher nicht zwingend.

Mitverschulden nach § 254 BGB bedeutet: Hat der Geschädigte durch eigenes Fehlverhalten zum Entstehen seines Schadens beigetragen, kürzt dies seinen Schadensersatzanspruch anteilig — im Extremfall bis auf null. Die Bank könnte also selbst bei eigenem Verschulden weniger oder nichts zahlen müssen, wenn der Kunde den Betrug mitverschuldet hat.

Im Prozessverlauf versuchte der Kontoinhaber eine Teilschuld des Kreditinstituts zu konstruieren, weil dieses die ungewöhnlich hohen Transaktionen in die Vereinigten Arabischen Emirate nicht sofort gestoppt hatte. Er warf der Bank vor, sie hätte ihn nach der Digitalisierung der Karte auf dem Warnweg über das alte Gerät oder per gesonderter E-Mail überprüfen müssen.

Keine Pflicht zur Echtzeit-Überwachung

Das Gericht wies dieses Argument unter Verweis auf eine Entscheidung des Hanseatischen Oberlandesgerichts Bremen vom 15. April 2024 (Az. 1 U 47/23) zurück. Es lehnte eine Mitverantwortung des Finanzinstituts ab, da es für Banken keine Pflicht zur Vorabkontrolle einzelner Buchungsvorgänge gibt. Die Bank hatte zu ihrer juristischen Verteidigung zudem angeführt, dass eine lückenlose, individuelle Totalüberwachung aller Kundentransaktionen in Echtzeit gravierend gegen das Gebot der datensparsamen Verarbeitung aus Artikel 22 der Datenschutz-Grundverordnung verstoßen würde.

Nach den maßgeblichen europarechtlichen Vorgaben ist im Bereich der elektronischen Zahlungsdiensteabwicklung der Zahlungsdienstleister zur Vorhaltung eines Systems zur Betrugsprävention aber nur zur aufsichtsrechtlichen Überwachung verpflichtet, nicht dagegen zur Überwachung und Vorabkontrolle einzelner Zahlungsvorgänge. – so das Landgericht Itzehoe

Was Online-Verkäufer jetzt prüfen müssen

Das Landgericht Itzehoe hat als erstinstanzliches Gericht entschieden — das Urteil bindet andere Gerichte nicht formal, folgt aber der etablierten BGH-Linie zur groben Fahrlässigkeit bei Phishing. Die Regel ist eindeutig und übertragbar: Wer nach einer verdächtigen Nachricht sensible Bankdaten auf externen Seiten eingibt oder Warnhinweise in der Banking-App ignoriert, verliert seinen Erstattungsanspruch gegen die Bank vollständig — unabhängig davon, wie professionell der Betrug aufgebaut war.

Wer bereits auf eine Phishing-Attacke hereingefallen ist, sollte sofort die Bank über die offizielle Hotline kontaktieren, alle Zugangsdaten sperren lassen und den Hergang lückenlos dokumentieren. Je schneller die Reaktion, desto eher lassen sich weitere unberechtigte Abbuchungen verhindern.

Verlassen Sie sich niemals darauf, dass Ihre Bank verdächtige Abbuchungen erkennt und automatisch stoppt. Das Gericht hat eindeutig klargestellt: Keine Bank ist verpflichtet, einzelne Transaktionen in Echtzeit zu überwachen oder Sie vor ungewöhnlichen Buchungen zu warnen. Der vollständige Schutz vor Betrug liegt allein in Ihrer Verantwortung.

---

---

---

---

Das vorliegende Urteil

---

LG Itzehoe – Az.: 7 O 114/24 – Urteil vom 28.01.2025

---

* Der vollständige Urteilstext wurde ausgeblendet, um die Lesbarkeit dieses Artikels zu verbessern. Klicken Sie auf den folgenden Link, um den vollständigen Text einzublenden.

→ Lesen Sie hier den vollständigen Urteilstext…

Hinweis: Informationen in unserem Internetangebot dienen ausschließlich Informationszwecken und stellen keine Rechtsberatung dar. Sie können eine individuelle rechtliche Beratung, die die Besonderheiten des jeweiligen Einzelfalls berücksichtigt, nicht ersetzen. Ebenso kann sich die aktuelle Rechtslage durch neue Urteile und Gesetze geändert haben. Teile dieses Beitrags könnten mithilfe von KI-Unterstützung erstellt worden sein, um eine effiziente und präzise Darstellung der Informationen zu gewährleisten. Trotz umfassender Kontrolle können Irrtümer enthalten sein. Für eine rechtssichere Auskunft oder eine persönliche Rechtsberatung kontaktieren Sie uns bitte.

Ratgeber und hilfreiche Tipps unserer Experten.

Lesen Sie weitere interessante Urteile.

Unsere Kontaktinformationen.