Kann man seiner Bank blind vertrauen, wenn das pushTAN-Verfahren im Spiel ist? Das Oberlandesgericht Dresden hat mit Urteil vom 5. Mai 2025 (Az. 8 U 1482/24) eine bemerkenswerte Entscheidung getroffen, die zeigt, dass auch Banken nicht jede Sicherheitslücke auf Kunden abwälzen dürfen.
Der Fall: Ein Klick zu viel
Ein Bankkunde wird Opfer eines raffinierten Phishing-Angriffs. Eine täuschend echte E-Mail – angeblich von seiner Sparkasse – informiert über eine bevorstehende technische Umstellung im Online-Banking. Der Kunde folgt dem Link, gibt seine Zugangsdaten ein und erhält kurz darauf einen Anruf. Am anderen Ende der Leitung: eine angebliche Sparkassenmitarbeiterin, die um „Freigaben“ per pushTAN bittet – angeblich zur Systemaktualisierung.
Was tatsächlich passiert: Es werden in diesem Moment Überweisungslimits erhöht, Anmeldedaten geändert und knapp 50.000 Euro in zwei Echtzeitüberweisungen an Unbekannte transferiert. Der Schaden: immens. Die Bank verweigert die Erstattung. Begründung: grobe Fahrlässigkeit.
Doch so einfach macht es sich das OLG Dresden nicht.
Was ist das pushTAN-Verfahren – und wo liegt das Problem?
Das pushTAN-Verfahren gilt als sicher, weil es auf zwei Komponenten basiert:
-
Online-Banking-Zugang, geschützt durch Benutzername und PIN.
-
TAN-App, die separat auf dem gleichen oder einem anderen Gerät läuft und Transaktionen freigibt.
Die Idee: Nur wer beide Kanäle kontrolliert, kann Überweisungen autorisieren. Das Verfahren basiert auf dem Prinzip der sogenannten „starken Kundenauthentifizierung“, wie es das Zahlungsdiensteaufsichtsgesetz (§ 55 ZAG) verlangt.
Der Haken: In der Praxis findet alles oft auf einem Gerät statt – z. B. einem Smartphone. Technisch lässt sich dies absichern. Doch sobald der Nutzer selbst, wenn auch gutgläubig, mehrfach auf „Freigeben“ tippt, wird das System ausgehebelt.
Das OLG macht hier einen wichtigen Punkt: Wenn dem Nutzer nicht klar erkennbar ist, was er da gerade freigibt – etwa weil die TAN-App manipuliert wurde oder keine ausreichenden Hinweise zur Transaktion angezeigt wurden – kann keine wirksame Autorisierung vorliegen (§ 675j BGB).
Haftet die Bank – oder doch der Kunde?
Grundsätzlich gilt: Unautorisierte Zahlungen muss die Bank erstatten (§ 675u BGB). Doch sie kann sich auf einen Haftungsausschluss berufen, wenn der Kunde grob fahrlässig gehandelt hat (§ 675v Abs. 3 BGB).
Im konkreten Fall spricht vieles für eine gutgläubige Irreführung:
-
Die E-Mail war optisch kaum von echter Sparkassenkommunikation zu unterscheiden.
-
Die Anrufe wirkten glaubhaft, sogar mit lokal bekannter Telefonnummer.
-
Die App zeigte nach Darstellung des Kunden keine konkreten Überweisungsdaten an – obwohl dies vorgeschrieben wäre (Art. 5 Abs. 1 lit. a der Delegierten Verordnung (EU) 2018/389).
Das Gericht stellte fest: Der Kunde hat die Zahlungen nicht bewusst autorisiert. Ein etwaiger Anscheinsbeweis für eine Autorisierung – also der Schluss „Wer die TAN freigibt, will die Zahlung“ – sei durch die Gesamtumstände widerlegt worden.
Der springende Punkt: War das pushTAN-Verfahren sicher genug?
Ein erheblicher Teil des Urteils kreist um die Frage, ob das von der Sparkasse eingesetzte pushTAN-System die rechtlichen Anforderungen erfüllt hat. Dabei geht es nicht nur um technische Standards, sondern auch um:
-
Transparenz der TAN-Freigabe: Muss der Kunde sehen können, wohin das Geld fließt?
-
Zugangsschutz: Reicht ein einfacher Login mit PIN?
-
Starke Authentifizierung auch beim Login: Das Gericht deutet an, dass ein statisches Login möglicherweise nicht den Anforderungen des § 55 ZAG genügt.
Gerade hier könnte es für Banken ungemütlich werden. Denn wenn sie es versäumen, beim Login oder bei der Anzeige von Transaktionsdaten eine „starke Authentifizierung“ zu verlangen, verlieren sie im Zweifel ihren Rückgriff gegen den Kunden – so § 675v Abs. 4 BGB.
Was heißt das für Bankkunden?
Dieses Urteil ist ein Warnsignal an Banken – und ein Lichtblick für betroffene Kunden. Wer arglos auf eine fingierte TAN-Freigabe hereinfällt, handelt nicht automatisch grob fahrlässig. Insbesondere dann nicht, wenn die Bank es versäumt hat, ihr System hinreichend gegen Phishing, Rufnummernfälschung oder Visualisierungstricks abzusichern.
Für Banken ergibt sich daraus eine klare Botschaft: Die Sicherheit des Verfahrens ist ihre Verantwortung. Technische Siegel reichen nicht, wenn der Prozess menschlich manipulierbar bleibt.
Fazit: Die Haftung der Bank ist kein Freifahrtschein – aber auch kein Mythos
Das Urteil des OLG Dresden rückt zurecht den Blick auf systemische Schwächen im pushTAN-Verfahren – und auf die Grenzen der Haftungsverlagerung auf den Kunden. Wer Online-Banking nutzt, sollte wachsam sein. Doch auch Banken dürfen sich nicht hinter Allgemeinbedingungen und „zertifizierter Sicherheit“ verstecken.
Wer Opfer eines solchen Vorfalls geworden ist, sollte sich nicht vorschnell mit einer Ablehnung durch die Bank zufriedengeben. Oft lohnt sich ein zweiter Blick – rechtlich und technisch.