Der 17. Zivilsenat des Oberlandesgerichts Karlsruhe hat mit seinem Urteil vom 23. Dezember 2025 (Aktenzeichen 17 U 113/23) eine richtungsweisende Entscheidung im Bank‑ und Zahlungsrecht getroffen und Verbraucherrechte im digitalen Zahlungsverkehr deutlich gestärkt.
Hintergrund des Falls
Ein Bankkunde stellte Mitte April 2022 fest, dass sein Konto innerhalb von wenigen Tagen über 120 unautorisierte Zahlungen im Gesamtwert von rund 42.182,68 € aufwies, die über eine digitale Debitkarte via Apple Pay ausgelöst worden waren. Die Abbuchungen waren nicht von ihm autorisiert.
Die Bank weigerte sich zunächst, den Schaden zu ersetzen, und machte geltend, der Kunde habe durch eine Bestätigung in seiner Push‑TAN‑App grob fahrlässig gehandelt.
Entscheidung der Richter
Das OLG Karlsruhe bestätigte die Entscheidung der Vorinstanz (Landgericht Karlsruhe) und entschied:
- Die Bank muss den Verlustbetrag auf dem Konto des Kunden wieder vollständig gutschreiben.
- Dies gilt auch dann, wenn der Kunde möglicherweise unachtsam war.
- Entscheidend ist, dass die Bank die gesetzlich vorgeschriebene „starke Kundenauthentifizierung“ (SCA) nicht korrekt durchgeführt hat.
Was bedeutet „starke Kundenauthentifizierung“?
Nach EU‑Recht und deutschem Zahlungsdienste‑Recht muss bei elektronischen Zahlungsdienstleistungen eine zweifache Authentifizierung erfolgen. Das können sein:
-
Wissen: z. B. Passwort oder PIN
-
Besitz: z. B. Smartphone oder Karte
-
Inhärenz: z. B. biometrische Merkmale wie Fingerabdruck 👆
Die Richter stellten fest, dass die Bank bei der Registrierung der digitalen Debitkarte über Apple Pay nicht ausreichend geprüft hat, ob der Kläger auch tatsächlich der rechtmäßige Besitzer des Geräts war, auf dem die Karte eingerichtet wurde. Allein die Bestätigung „Karte registrieren“ reiche hierfür nicht aus.
Keine Haftung des Kunden
Selbst wenn der Kunde die Push‑TAN‑Bestätigung versehentlich ausgelöst haben sollte, ist nach dieser Entscheidung entscheidend:
- Der Kunde haftet nicht für die unautorisierten Zahlungen, wenn die Bank die Sicherheitsanforderungen nicht erfüllt hat.
- Die bloße Interaktion des Kunden mit einer Push‑TAN‑Benachrichtigung kann nicht die fehlende starke Kundenauthentifizierung ersetzen.
Relevanz für Banken und Verbraucher
Diese Entscheidung hat weitreichende Bedeutung:
-
Verbraucher erhalten mehr Schutz beim digitalen Bezahlen.
-
Banken müssen ihre Sicherheitsprozesse strenger gestalten, besonders bei digitalen Wallets wie Apple Pay.
-
Die Anforderungen an die starke Kundenauthentifizierung sind konkret und technisch zu erfüllen, damit Banken eine Haftung ausschließen können.
Das Gericht hat zudem die Revision zum Bundesgerichtshof zugelassen, was zeigt, wie grundlegend diese Fragen für den Zahlungsverkehr der Zukunft sind.
Fazit
Das Urteil 17 U 113/23 des OLG Karlsruhe ist ein starkes Signal zugunsten von Bankkunden im digitalen Zahlungsverkehr. Es betont, dass Sicherheitsstandards nicht nur formal, sondern tatsächlich und technisch korrekt eingehalten werden müssen. Verbraucher können sich im Zweifel darauf verlassen, dass ihnen bei unautorisierten Zahlungen nicht allein wegen einer ungenauen Push‑TAN‑Bestätigung ein finanzielles Risiko zugeschoben wird