Durch die Medien geht gerade ein Gerichtsurteil, das das Oberlandesgericht (OLG) Dresden gefällt hat. Die Sparkasse wurde in einem besonderen Fall für mitschuldig befunden und muss Schadensersatz leisten. Das Gericht kam zu dem Schluss, dass die Sparkasse Sicherheitslücken im PushTAN-Verfahren aufweist, ohne die der Schaden nicht entstanden wäre.

Konkret geht es darum, dass ein Kunde der Sparkasse Opfer einer Phishing-Attacke geworden ist und nun auf einer hohen Schadenssumme sitzt. Die Sparkasse muss dem Kläger laut Gerichtsurteil 20 Prozent seiner Schadenssumme erstatten. Im Urteil vom 5. Mai 2025 (Az. 8 U 1482/24) steht geschrieben, dass der Mann grob fahrlässig gehandelt hat, weil er seine persönlichen Daten gegenüber Fremden preisgegeben hat. Doch die Bank sei auch beteiligt, weil sie den Log-in nicht mit einer starken Kundenauthentifizierung geschützt habe.

Was ist passiert?

Im Grunde genommen geht es um einen Mann, der für seine Bank-Aktivitäten das sogenannte S-pushTAN-Verfahren der Sparkasse in Anspruch genommen hat. Kriminelle legten ihn mit einer Phishing-Mail herein und fragten darüber seine persönlichen Log-in-Daten ab.

Durch geschickte telefonische Gesprächsführung schafften sie es tatsächlich, ihn Anfang des Jahres dazu zu bewegen, seinen Höchstbetrag für Überweisungen nach oben zu setzen. Daraufhin überredeten sie ihn, dass er ihnen eine Summe von 49.421,44 Euro in Echtzeit freigab, schreibt Techbook.

Im Gerichtssaal sagte der Mann aus, dass die S-pushTAN-App ihm keine Informationen zu den Transaktionen preisgegeben habe. Er habe weder die genaue Summe noch den Empfänger bei der Freigabe sehen können. Lediglich die Freigabeaufforderungen seien ihm angezeigt worden. Das Gericht traute dieser Aussage nicht, stufte die Situation der TAN-Freigabe am Telefon laut Techbook aber als "ungewöhnlich" ein. 

Warum trägt die Sparkasse eine Mitschuld?

Zunächst einmal muss sich der Kunde den Schuh anziehen, grob fahrlässig gehandelt zu haben. Denn er hat einfach so auf einer Fakeseite im Internet seine persönlichen Daten eingetippt und die Zahlungen freigegeben.

Im Urteil steht geschrieben: "Aufgrund der in den letzten Jahren vielfach durch verschiedene Medien bekannt gewordenen Fälle ist die Erkenntnis, dass Kunden durch betrügerische Nachrichten und Anrufe angeblicher Bankmitarbeiter zur Preisgabe von Zugangsdaten zum Online-Banking veranlasst werden sollen, als allgemeines Wissen vorauszusetzen" (Auszug aus dem Urteil 8 U 1482/24).