Unberechtigte Abbuchung Beweislast

Unberechtigte Abbuchung: Wenn die Bank die Beweislast nicht trägt

Ein ungewohnter Posteingang, ein Anruf angeblicher Bankmitarbeiter, plötzlich fehlt Geld auf dem Konto – der Schock sitzt tief. Viele Betroffene fühlen sich hilflos, wenn die Bank die Rückbuchung verweigert und auf grobe Fahrlässigkeit verweist. Doch die Rechtsprechung verschiebt sich: Das Landgericht Karlsruhe hat in einem wegweisenden Urteil (Urt. v. 3.12.2025 – 2 O 64/24) klargestellt, dass Zahlungsdienstleister die Darlegungs- und Beweislast für eine autorisierte Transaktion tragen – und Sicherheitslücken im eigenen System nicht auf Kosten der Kunden gehen dürfen.

Das Urteil stärkt Verbraucherrechte nachhaltig. Es definiert die sekundäre Darlegungslast des Kontoinhabers eng, lehnt pauschale Social-Engineering-Vorwürfe ab und zieht systemische Sicherheitsmängel der Bank als normativen Korrekturfaktor heran. Für Betroffene bedeutet das: Wer Opfer eines raffinierten Betrugs wird, muss sich nicht alles vorwerfen lassen, was technisch möglich erscheint. Die folgende Zusammenfassung zeigt die Kernpunkte auf einen Blick.

Zusammenfassung für den eiligen Lesen

• Beweislast liegt bei der Bank: Der Zahlungsdienstleister muss Authentifizierung, ordnungsgemäße Aufzeichnung und Fehlen technischer Störungen beweisen (Paragraf 675w BGB). Gelingt das nicht, war die Abbuchung nicht autorisiert.
• Keine Rekonstruktion des Tätergeschehens: Die sekundäre Darlegungslast des Kunden beschränkt sich auf eigenes Nutzungsverhalten und eigene Sicherheitsvorkehrungen. Eine hypothetische Täterhandlung muss der Kunde nicht darlegen.
• Social-Engineering-Vortrag reicht nicht: Pauschale Behauptungen, der Kunde sei hereingelegt worden, genügen nicht. Die Bank muss konkrete Kommunikationsereignisse benennen und beweisen.
• Sicherheitsdefizite der Bank mindern Fahrlässigkeit: Wer ein Zweitgerät per Ein-Faktor-Authentifizierung (postalischer Code, ohne Rückbestätigung) freischaltet und Limits ohne zweiten Faktor erhöht, schafft Systemfehler. Diese fließen in die Prüfung der groben Fahrlässigkeit ein (Paragraf 675v Abs. 3 Nr. 2 BGB).
• Keine grobe Fahrlässigkeit bei strukturellen Mängeln: Fehlen Push-Benachrichtigungen, parallele Alerts auf dem Erstgerät und Identitätsprüfungen, kann dem Kunden subjektive Unentschuldbarkeit nicht vorgeworfen werden.

Die Beweislastverteilung: Bank in der Pflicht

Ausgangspunkt ist Paragraf 675w BGB. Die Bank muss beweisen, dass die Transaktion authentifiziert, ordnungsgemäß aufgezeichnet und nicht durch einen technischen Fehler verursacht wurde. Schafft sie das, greift der Beweis des ersten Anscheins: Ein typischer Geschehensablauf lässt auf Autorisierung durch den Kontoinhaber schließen. Doch dieser Anscheinsbeweis setzt einen Erfahrungssatz voraus – nach allgemeiner Lebenserfahrung muss ein bestimmter Erfolg auf eine bestimmte Ursache zurückführbar sein.

Genau hier setzt das LG Karlsruhe an. Der enge zeitliche Zusammenhang zwischen Neuregistrierung eines Freigabeverfahrens, sofortiger zweifacher Limitanhebung, Serienüberweisungen und dem Auslandsaufenthalt der Kontoinhaber lässt keinen typischen Ablauf erkennen. Die Vermutung der Autorisierung ist erschüttert. Hinzu kommt: Der postalische Aktivierungscode für das App-Verfahren (SecureGo) entfaltet keine Zugangsvermutung. Wer sein Sicherheitssystem auf einfachen Briefversand stützt, trägt das Beweisrisiko für den Zugang selbst.

Sekundäre Darlegungslast: Eng und kundenfreundlich

Ein zentraler Streitpunkt in der Praxis: Wie weit reicht die sekundäre Darlegungslast des Zahlungsdienstnutzers? Das LG Karlsruhe zieht eine klare Grenze. Sie umfasst ausschließlich Angaben zum eigenen Nutzungsverhalten und zu den eigenen Sicherheitsvorkehrungen. Eine Rekonstruktion hypothetischer Täterhandlungen wird nicht verlangt. Der zweite Leitsatz stellt damit klar: Der Kunde muss darlegen, wie er sein Gerät nutzt, welche Passwörter er schützt, ob er Phishing-Mails erhielt. Er muss nicht erklären, wie der Täter an den Aktivierungscode gelangte – das ist Sache der Bank.

Die Beklagte blieb auch nach Erfüllung dieser Darlegungslast für die konkrete grob-fahrlässige Pflichtverletzung beweisbelastet. Ein Schadensersatzanspruch nach Paragraf 675v Abs. 3 Nr. 2 BGB scheidet damit aus. Das ist ein entscheidender Fortschritt für Verbraucher: Die Bank kann sich nicht durch vage Verdachtsmomente entlasten.

Systemische Sicherheitsmängel als normativer Korrekturfaktor

Der dritte Leitsatz hat Signalwirkung. Erhebliche Defizite in der Sicherheitsarchitektur des Zahlungsdienstleisters sind bei der normativen Beurteilung eines möglichen grob-fahrlässigen Verhaltens des Kunden zu berücksichtigen. Das Gericht wertet sie als Korrektiv beim Fahrlässigkeitsmaßstab.

Im konkreten Fall: Die Registrierung des Zweitgeräts erfolgte per Ein-Faktor-Authentifizierung (Login mit Benutzername und PIN, Code per Brief). Eine Rückbestätigung über das bestehende chipTAN-Verfahren war nicht vorgesehen. Das Überweisungslimit wurde zweimal innerhalb von zwei Tagen ohne zweiten Faktor erhöht – von 2.000 € auf 25.000 €, dann auf 70.000 €. Ohne diese Limitänderungen hätten die Täter maximal 2.000 € bewegen können.

Push-Benachrichtigungen auf dem Erstgerät? Fehlanzeige. Parallele Alerts bei jeder Freigabe? Nicht implementiert. Identitätsprüfung bei Geräteregistrierung? Nicht erfolgt. Diese Einfallstore sind keine Einzelfehler, sondern Systemfehler. Das Zweitgerät wird zum Generalschlüssel für das Konto – Täter autorisieren künftige Transaktionen, ohne dass der Inhaber davon erfährt.

Grobe Fahrlässigkeit setzt voraus, dass die im Verkehr erforderliche Sorgfalt in ungewöhnlich hohem Maße verletzt wurde und das, was jedem einleuchten muss, unbeachtet blieb (BGH BKR 2025, 843 Rn. 27). Wer nicht weiß, dass die Registrierung eines weiteren Geräts bedeutet, dass alle künftigen Transaktionen von diesem fremden Gerät aus freigegeben werden können, handelt nicht schlechthin unentschuldbar. Die Bank, die ein strukturell missbrauchsanfälliges Registrierungsverfahren anbietet, kann sich nicht durch den Vorwurf grober Fahrlässigkeit entlasten. Das kommt im Ergebnis einer Gefährdungshaftung nahe.

Europäische Perspektive: Noch mehr Verbraucherschutz ab 2028

Die Entwicklung geht weiter. Die EU-Zahlungsdiensteverordnung (PSR-E), voraussichtlich ab 2028 anwendbar, sieht in Art. 59 eine verschuldensunabhängige Haftung des Zahlungsdienstleisters bei Identitätsbetrug durch Spoofing vor – außer bei grober Fahrlässigkeit, deren Beweislast aber beim Zahlungsdienstleister liegt. Die Frage der groben Fahrlässigkeit bleibt damit zentraler Streitpunkt.

Solange Banken Zweitgeräte ohne weitere Sicherheitsfaktoren online freischalten, Limits unkontrolliert erhöhen lassen, keine parallele Benachrichtigung auf dem Erstgerät senden und Kunden nicht explizit aufklären, fehlt die subjektive Unentschuldbarkeit. Kein Raum für grobe Fahrlässigkeit. Das LG Karlsruhe hat das zutreffend erkannt.

Handlungsbedarf? Wenn Ihre Bank eine unberechtigte Abbuchung nicht erstattet und auf grobe Fahrlässigkeit verweist, lassen Sie den Fall rechtssicher prüfen. Die Anwalts- und Notarkanzlei Krau in Hohenahr begleitet Sie bundesweit kompetent und durchsetzungsstark. Vereinbaren Sie jetzt einen Beratungstermin – für Ihre finanzielle Sicherheit.

Fazit: Ihre Rechte sind stärker, als Banken oft darstellen

Das Urteil des LG Karlsruhe markiert eine Wende. Es verneint die wirksame Autorisierung, weil die Bank den typischen Geschehensablauf nicht nachweisen konnte. Es begrenzt die sekundäre Darlegungslast auf das eigene Verhalten des Kunden. Und es zieht systemische Sicherheitsdefizite als normativen Korrekturfaktor in die Fahrlässigkeitsprüfung ein. Wer als Bank Sicherheitslücken schafft, darf sie nicht auf dem Rücken der Kunden schließen.

Für Sie als Kontoinhaber gilt: Dokumentieren Sie verdächtige Vorgänge sofort. Fordern Sie die Bank schriftlich zur Erstattung auf. Holen Sie anwaltlichen Rat ein, bevor Sie Erklärungen abgeben. Die Beweislast liegt bei der Bank – nutzen Sie das.