Phishing Online-Banking: Wann haftet die Bank? (BGH)

Die Lage: Der Schreck nach der Überweisung

Der Anruf klang echt. Die Nummer im Display gehörte zur Hausbank, der Gesprächspartner kannte den Namen des zuständigen Kundenberaters und sprach von einer angeblichen Betrugswarnung. Wenige Minuten später ist ein fünfstelliger Betrag unwiederbringlich auf ein fremdes Konto geflossen, ausgelöst per Echtzeitüberweisung. Die erste Reaktion ist Panik, die zweite die Frage, die in der Kanzlei Koslowski & Traub regelmäßig gestellt wird: Muss die Bank das Geld erstatten, oder bleibt der Schaden am Kunden hängen? Die Antwort hängt seit Sommer 2025 an einem präzisen Maßstab, den der Bundesgerichtshof neu vermessen hat. Diese Konstellation unterscheidet sich rechtlich deutlich von der Haftung wegen Falschberatung durch die Bank, bei der es nicht um eine fremdveranlasste Zahlung, sondern um eine fehlerhafte Anlageempfehlung geht.

Der Fall vor dem Bundesgerichtshof: Anruf am Wochenende, TAN-Generator, 35.555 Euro

Dem Urteil des XI. Zivilsenats lag ein Fall aus Sachsen-Anhalt zugrunde, der über LG Halle (Az. 4 O 187/23) und OLG Naumburg (Urteil vom 22.05.2024, Az. 5 U 11/24) bis zum Bundesgerichtshof durchprozessiert wurde. Die Kontoinhaberin nutzte seit 2014 Online-Banking mit persönlichem Login und einem ChipTAN-Generator. An einem Wochenende meldete sich ein Anrufer, dessen Rufnummer per Call-ID-Spoofing als offizielle Sparkassen-Nummer angezeigt wurde. Der Anrufer kannte Details früherer Kontobewegungen und den Namen des zuständigen Kundenbetreuers, ein klassisches Muster des Vishing, also des Telefon-Phishings.

Über zwei Telefonate hinweg, zwischen denen fast ein ganzer Tag lag, gab die Kundin mehrere TANs weiter, die sie zuvor manuell an ihrem Generator erzeugt hatte. Dabei musste sie eine fremde IBAN und einen hohen Betrag eingeben, um die jeweilige TAN zu erhalten, ein Vorgang, der bei einer echten Sicherheitsprüfung durch die Bank nicht anfällt. Die Täter lösten daraufhin eine Echtzeitüberweisung über 35.555 Euro aus. Die Kundin verlangte von ihrer Bank Erstattung nach § 675u BGB. LG Halle und OLG Naumburg wiesen die Klage ab, der Bundesgerichtshof bestätigte dies.

Wann ist eine Überweisung überhaupt autorisiert?

Ausgangspunkt jeder Prüfung ist § 675j Abs. 1 BGB. Ein Zahlungsvorgang ist nur dann autorisiert, wenn der Zahler ihm zugestimmt hat. Fehlt diese Zustimmung, etwa weil ein Betrüger die Überweisung veranlasst hat, ist der Vorgang nicht autorisiert. In diesem Fall hat die Bank nach § 675u Satz 2 BGB den Zahlungsbetrag unverzüglich zu erstatten und das Konto so zu stellen, als hätte die Belastung nie stattgefunden. Das gilt zunächst unabhängig davon, wie es zu der falschen Anweisung kam.

Bei Phishing-Fällen mit TAN-Weitergabe wird formal zwar eine echte, technisch korrekte TAN verwendet. Der eigentliche Kontoinhaber hat der konkreten Zahlung aber nie wirksam zugestimmt, er wurde durch Täuschung dazu gebracht, ein Sicherheitsmerkmal preiszugeben. Der Zahlungsvorgang bleibt deshalb nicht autorisiert im Sinne des § 675j BGB. Die Bank kann sich von ihrer Erstattungspflicht daher nur über den Umweg eines eigenen Schadensersatzanspruchs befreien, den sie gegen den Erstattungsanspruch des Kunden aufrechnet.

Die Haftungsfalle: Grobe Fahrlässigkeit nach § 675v BGB

Genau hier setzt § 675v BGB an. Nach Absatz 3 Nummer 2 Buchstabe a ist der Zahler der Bank zum Ersatz des gesamten Schadens verpflichtet, wenn er seine Pflichten aus § 675l Abs. 1 BGB, insbesondere die Pflicht, personalisierte Sicherheitsmerkmale wie PIN, Passwort oder TAN vor unbefugtem Zugriff zu schützen, vorsätzlich oder grob fahrlässig verletzt hat. Der allgemeine Fahrlässigkeitsmaßstab aus § 276 Abs. 2 BGB, wonach fahrlässig handelt, wer die im Verkehr erforderliche Sorgfalt außer Acht lässt, wird für die grobe Fahrlässigkeit deutlich verschärft. Verlangt wird eine besonders schwere und subjektiv nicht mehr nachvollziehbare Sorgfaltspflichtverletzung.

Der Bundesgerichtshof hat diesen Maßstab im Urteil vom 22.07.2025 auf den Punkt gebracht: Erforderlich ist eine „auch subjektiv schlechthin unentschuldbare Pflichtverletzung“. Das bloße Hereinfallen auf einen professionell gemachten Betrugsanruf reicht dafür für sich genommen nicht aus. Entscheidend ist, wie viele Warnsignale der Betroffene ignoriert hat und wie viel Zeit und Gelegenheit zum Nachdenken zwischen der Täuschung und der TAN-Weitergabe lag.

Was der BGH als schlechthin unentschuldbar wertet

Im entschiedenen Fall stützte der XI. Zivilsenat die Annahme grober Fahrlässigkeit auf ein Bündel von Umständen, die zusammen ein stimmiges Warnbild ergaben. Dazu zählten der ungewöhnliche Zeitpunkt der Anrufe an einem Wochenende, die Aufforderung, ein angebliches neues Sicherheitsprogramm zu installieren, sowie der Umstand, dass die Kundin für die TAN-Erzeugung selbst eine fremde IBAN und einen hohen Betrag eingeben musste. Besonders schwer wog aus Sicht des Gerichts, dass zwischen den beiden Telefonaten fast ein Tag lag. Diese Zeitspanne hätte ausgereicht, um die Angaben zu hinterfragen oder bei der eigenen Bank nachzufragen.

Genau an diesem Punkt zieht der Bundesgerichtshof die Grenze zum bloßen Augenblicksversagen. Ein einzelner, spontaner Fehler unter Zeitdruck, ohne mehrfache Gelegenheit zum Innehalten, begründet regelmäßig keine grobe Fahrlässigkeit. Häufen sich dagegen die Warnzeichen und bleibt Zeit zur Reflexion ungenutzt, wird aus einem nachvollziehbaren Irrtum ein vorwerfbares Verhalten. Diese Differenzierung ist der praktisch wichtigste Ertrag des Urteils, weil sie Gerichten unterhalb des Bundesgerichtshofs einen greifbaren Prüfungsmaßstab an die Hand gibt.

Die zweite Weichenstellung: starke Kundenauthentifizierung und § 675v Abs. 4 BGB

Der zweite Kernpunkt des Urteils betrifft eine Ausnahme von der Kundenhaftung, die in der Praxis oft übersehen wird. Nach § 675v Abs. 4 Satz 1 Nr. 1 BGB haftet der Zahler selbst bei grober Fahrlässigkeit nicht, wenn der Zahlungsdienstleister für den konkreten Zahlungsvorgang keine starke Kundenauthentifizierung im Sinne des § 1 Abs. 24 ZAG verlangt oder der Empfänger beziehungsweise dessen Bank eine solche nicht akzeptiert hat. Die starke Kundenauthentifizierung, im europäischen Recht als SCA bezeichnet, verlangt die Kombination von mindestens zwei unabhängigen Elementen aus Wissen, Besitz und Inhärenz, etwa PIN und TAN-Generator.

Die Klägerin hatte argumentiert, ihre Bank habe jedenfalls beim Login ins Online-Banking keine durchgängig starke Authentifizierung verlangt und müsse daher nach § 675v Abs. 4 BGB haften. Der Bundesgerichtshof widersprach dieser Argumentation in aller Deutlichkeit. Maßgeblich ist nicht, ob irgendwann im System eine starke Authentifizierung fehlte, sondern ausschließlich, ob sie für den konkreten, streitgegenständlichen Zahlungsvorgang verlangt wurde. War das der Fall, wie hier durch die ChipTAN-Erzeugung mit Eingabe von Empfänger-IBAN und Betrag, bleibt der Haftungsausschluss versperrt, selbst wenn an anderer Stelle des Systems Sicherheitslücken bestanden haben mögen.

Warum ältere Sicherheitslücken der Bank hier nicht mehr helfen

Diese Klarstellung hat erhebliche praktische Bedeutung. In der bisherigen Beratungspraxis wurde häufig versucht, eine generelle Schwäche des bankseitigen Sicherheitskonzepts, etwa ein veraltetes TAN-Verfahren für den Log-in, gegen die konkrete Haftung für eine bestimmte Zahlung ins Feld zu führen. Der Bundesgerichtshof erteilt dieser Argumentationslinie eine klare Absage. Die Prüfung erfolgt transaktionsbezogen, nicht systembezogen. Wer sich gegen eine Kundenhaftung wehren will, muss darlegen, dass gerade für die streitige Überweisung keine starke Authentifizierung vorlag oder technisch nicht ordnungsgemäß funktionierte.

Für die Beweislast bedeutet das im Ergebnis eine Zweiteilung. Die Bank muss zunächst nachweisen, dass der Zahlungsvorgang authentifiziert, ordnungsgemäß aufgezeichnet und verbucht wurde, § 675w Satz 1 BGB. Gelingt ihr das, kommt den von der Rechtsprechung aus § 242 BGB entwickelten Grundsätzen des Anscheinsbeweises eine gewisse indizielle Wirkung zugunsten der Bank zu, die der Kunde erschüttern muss. Erst danach stellt sich überhaupt die Frage der groben Fahrlässigkeit im Sinne des § 675v Abs. 3 BGB.

Diese technischen Protokolle sind in der Praxis der eigentliche Ausgangspunkt jeder Auseinandersetzung. Banken legen im Streitfall regelmäßig Log-Dateien vor, aus denen sich IP-Adresse, Zeitstempel und verwendetes Authentifizierungsverfahren ergeben. Wer diese Protokolle nicht anfordert und ungeprüft die Darstellung der Bank akzeptiert, verschenkt oft die Möglichkeit, gerade an diesem Punkt anzusetzen. Ein Anwalt, der regelmäßig mit Zahlungsdienstleistern streitet, weiß, welche Unterlagen zu verlangen sind und woran sich technische Lücken in der Dokumentation erkennen lassen.

Besonderheiten bei Firmenkonten und Prokuristen

Bei Geschäftskonten verschärft sich die Prüfung zusätzlich. Wird die Überweisung nicht vom Geschäftsführer selbst, sondern von einem Prokuristen oder einer angestellten Person mit eigener Zeichnungsberechtigung ausgelöst, ist zunächst zu klären, wessen Sorgfaltspflichtverletzung überhaupt maßgeblich ist. Nach § 675v Abs. 3 BGB kommt es auf das Verhalten des Zahlungsdienstnutzers an, bei einer juristischen Person also regelmäßig auf die Person, die im Namen des Unternehmens tatsächlich gehandelt hat. Interne Freigabeprozesse mit Vier-Augen-Prinzip können die Wahrscheinlichkeit grober Fahrlässigkeit senken, weil sie zusätzliche Kontrollpunkte schaffen, an denen ein Betrugsversuch auffallen kann. Fehlen solche Kontrollen völlig, kann umgekehrt schon die Organisation des Zahlungsverkehrs im Unternehmen als Sorgfaltsdefizit gewertet werden. Für Mandanten mit Firmenkonto lohnt sich deshalb eine Prüfung der eigenen internen Freigabeprozesse, bevor es überhaupt zu einem Schadensfall kommt.

Außergerichtliche Streitbeilegung: Ombudsmann statt sofortige Klage

Bevor eine Klage eingereicht wird, lohnt bei den meisten Kreditinstituten der Weg über die zuständige Schlichtungsstelle, etwa den Ombudsmann der privaten Banken beim Bundesverband deutscher Banken oder die Schlichtungsstelle bei der Deutschen Bundesbank für Sparkassen, Genossenschaftsbanken und öffentlich-rechtliche Institute. Das Verfahren ist für Verbraucher kostenfrei und dauert in unstreitigen Fällen häufig nur wenige Wochen. Der Schlichterspruch bindet die Bank bis zu einem bestimmten Beschwerdewert, dem Kunden bleibt der Klageweg in jedem Fall offen, wenn ihm das Ergebnis nicht zusagt. Für Unternehmer mit Firmenkonto steht dieser Weg regelmäßig nicht offen, hier führt bei einer Ablehnung meist nur die anwaltliche Auseinandersetzung mit der Bank zum Ziel.

Prüfschema: Haftet die Bank oder haften Sie?

Das folgende Schema orientiert sich an der vom Bundesgerichtshof vorgezeichneten Prüfungsreihenfolge und eignet sich, um die eigene Lage nach einem Phishing-Vorfall einzuordnen.

Schritt 1: Wurde der Zahlungsvorgang von Ihnen autorisiert? Maßstab ist § 675j Abs. 1 BGB. Haben Sie die konkrete Überweisung nie gewollt und wurden Sie über deren wahren Zweck getäuscht, liegt keine Autorisierung vor. Ergebnis: weiter mit Schritt 2. Haben Sie die Zahlung bewusst veranlasst, scheidet ein Erstattungsanspruch von vornherein aus.

Schritt 2: Hat die Bank eine ordnungsgemäße Authentifizierung nachgewiesen? Maßstab ist § 675w Satz 1 BGB. Weist die Bank technisch saubere Protokolle vor, spricht zunächst einiges für die korrekte Ausführung. Ergebnis Nein: Erstattungsanspruch aus § 675u BGB bleibt bestehen. Ergebnis Ja: weiter mit Schritt 3.

Schritt 3: Wurde für genau diesen Zahlungsvorgang starke Kundenauthentifizierung verlangt? Maßstab ist § 675v Abs. 4 Satz 1 Nr. 1 BGB in Verbindung mit § 1 Abs. 24 ZAG. Ergebnis Nein: Ihre Haftung ist ausgeschlossen, selbst bei grober Fahrlässigkeit. Ergebnis Ja: weiter mit Schritt 4.

Schritt 4: Liegt eine auch subjektiv schlechthin unentschuldbare Pflichtverletzung vor? Maßstab ist § 675v Abs. 3 Nr. 2 Buchst. a BGB nach der Konkretisierung durch BGH, Urteil vom 22.07.2025, XI ZR 107/24. Zu prüfen sind Anzahl und Eindeutigkeit der Warnsignale sowie die Ihnen verbliebene Zeit zum Nachdenken. Ergebnis Nein, etwa bei einem einmaligen Augenblicksversagen unter Zeitdruck: Erstattungsanspruch bleibt bestehen. Ergebnis Ja: die Bank kann mit einem Schadensersatzanspruch aufrechnen.

Schritt 5: Trifft die Bank ein Mitverschulden? Maßstab ist § 254 Abs. 1 BGB. Hat die Bank etwa eine ungewöhnlich hohe Echtzeitüberweisung ohne zusätzliche Prüfung freigegeben, kann der Schadensersatzanspruch der Bank gemindert werden, selbst wenn dem Kunden grobe Fahrlässigkeit zur Last fällt.

Beispielsfall: Wenn ein einzelner Klick keine grobe Fahrlässigkeit ist

Beispielsfall: Ein Handwerksmeister erhält während der Mittagspause eine SMS, die angeblich von seiner Hausbank stammt und vor einer verdächtigen Abbuchung warnt. Der enthaltene Link führt auf eine täuschend echte Nachbildung der Banking-Seite. Er gibt dort binnen zwei Minuten seine Zugangsdaten und die per App generierte Freigabe für eine angebliche Sicherheitsüberprüfung ein, ohne dass ihm ein weiteres Warnsignal begegnet. Erst als kurz darauf eine Kontobewegung über 4.200 Euro erscheint, bemerkt er den Betrug und ruft binnen einer Stunde bei seiner Bank an.

Anders als im vom Bundesgerichtshof entschiedenen Fall fehlt es hier an mehreren, sich zeitlich erstreckenden Warnsignalen und an einer Gelegenheit zum Innehalten. Ein einzelner, unter Zeitdruck erfolgter Fehlklick auf einen professionell gefälschten Link kann als entschuldbares Augenblicksversagen zu werten sein. Ob im Einzelfall dennoch grobe Fahrlässigkeit vorliegt, hängt von weiteren Details ab, etwa davon, ob die gefälschte Seite bereits an der Internetadresse erkennbar unecht war. Der Fall zeigt, dass die Zahl und Eindeutigkeit der Warnzeichen über die Haftung entscheidet, nicht die bloße Tatsache, dass überhaupt ein Fehler passiert ist.

Abgrenzung: Phishing, Trojaner, Kartenmissbrauch und Enkeltrick

Nicht jeder Vermögensschaden im Zusammenhang mit dem Konto folgt denselben Regeln. Beim klassischen Phishing und Vishing, wie im entschiedenen Fall, gibt der Kunde selbst ein echtes Sicherheitsmerkmal preis, ausgelöst durch Täuschung. Beim Trojaner-Angriff dagegen manipuliert Schadsoftware unbemerkt die Überweisungsdaten während einer eigentlich vom Kunden gewollten Transaktion, etwa indem sie im Hintergrund die Empfänger-IBAN austauscht. Hier ist bereits fraglich, ob der Kunde die tatsächlich ausgeführte Zahlung überhaupt autorisiert hat, was die Erstattungspflicht der Bank nach § 675u BGB in den Vordergrund rückt.

Beim physischen Kartenmissbrauch, etwa nach Diebstahl der Debitkarte, gelten dieselben §§ 675u, 675v BGB, jedoch mit anderen tatsächlichen Anknüpfungspunkten wie der Aufbewahrung der PIN. Der sogenannte Enkeltrick wiederum betrifft keinen unautorisierten Zahlungsvorgang im Sinne des Zahlungsdiensterechts, weil das Opfer die Überweisung selbst und bewusst veranlasst, wenn auch unter Täuschung über den wahren Empfänger. Hier scheidet ein Erstattungsanspruch gegen die eigene Bank von vornherein aus, in Betracht kommen allenfalls deliktische Ansprüche gegen die Täter, deren Durchsetzung angesichts anonymer Auslandskonten häufig faktisch aussichtslos bleibt.

Ein verwandtes Risiko trifft Anleger, die ihr Depot bei einer Kryptobörse führen. Auch dort zielen Phishing-Angriffe auf die Zugangsdaten zum Handelskonto, wie der Beitrag zum Wechsel der Kryptobörse nach Fristablauf beschreibt. Anders als beim Bankkonto greift dort meist kein vergleichbares Zahlungsdiensterecht mit gesetzlicher Erstattungspflicht, was das Verlustrisiko für Kleinanleger nach den Grundsätzen zum Anlegerschutz bei Kryptoanlagen zusätzlich erhöht.

Was Sie nach einem Phishing-Vorfall in den nächsten Stunden tun müssen

1. Bank sofort telefonisch informieren und Kontosperrung verlangen. Jede Minute zählt, weil weitere Verfügungen möglich bleiben, solange der Zugang nicht gesperrt ist. Nutzen Sie den bundesweiten Sperr-Notruf 116 116, falls die Bank telefonisch nicht erreichbar ist.
2. Schriftliche Anzeige des nicht autorisierten Zahlungsvorgangs nachreichen. Die Ausschlussfrist des § 676b Abs. 1 BGB beträgt 13 Monate ab dem Belastungsdatum, danach sind Ansprüche gegen die Bank ausgeschlossen. Für die zügige Durchsetzung genügt die Frist rechtlich, praktisch sollte die Anzeige aber binnen weniger Tage erfolgen, weil Verzögerungen im Rahmen der Gesamtwürdigung gegen den Kunden gewertet werden können.
3. Strafanzeige bei der Polizei stellen. Sie dokumentiert den Vorfall aus neutraler Quelle und ist für spätere Beweisfragen von erheblichem Wert, auch wenn die Ermittlungen gegen die eigentlichen Täter selten zum Erfolg führen.
4. Kommunikation mit den vermeintlichen Bankmitarbeitern lückenlos dokumentieren. Anrufzeiten, Rufnummern, verwendete Formulierungen und der zeitliche Abstand zwischen mehreren Kontakten sind exakt die Details, an denen sich nach der Rechtsprechung des Bundesgerichtshofs entscheidet, ob grobe Fahrlässigkeit vorliegt.
5. Ablehnungsschreiben der Bank juristisch prüfen lassen, bevor Sie es akzeptieren. Banken stützen Ablehnungen häufig auf pauschale Behauptungen grober Fahrlässigkeit, ohne die vom Bundesgerichtshof geforderte Einzelfallwürdigung tatsächlich durchzuführen.

Die häufigsten Fehler nach einem Phishing-Angriff

• Zu spätes Melden. Wer erst nach Wochen reagiert, verliert wertvolle Zeit für die Kontosperrung und erweckt zugleich den Eindruck mangelnder Sorgfalt, was sich in der Gesamtwürdigung negativ auswirken kann.
• Vorschnelle Unterschrift unter ein Formular der Bank. Manche Kreditinstitute legen Betroffenen Erklärungen vor, die faktisch ein Anerkenntnis eigenen Verschuldens enthalten. Prüfen Sie jedes Dokument vor der Unterschrift.
• Fehlende Dokumentation des genauen Gesprächsverlaufs. Ohne Zeitangaben zu den einzelnen Telefonaten lässt sich später kaum belegen, dass ein Augenblicksversagen und keine mehrfach ignorierte Warnkette vorlag.
• Verzicht auf Strafanzeige. Ohne polizeiliches Aktenzeichen fehlt ein neutraler Beleg für den äußeren Geschehensablauf.
• Eigenständige Verhandlung mit der Bank ohne anwaltliche Begleitung. Banken kennen die Feinheiten der Rechtsprechung zu § 675v BGB naturgemäß genau und formulieren Ablehnungen entsprechend, ein Ungleichgewicht, das sich mit anwaltlicher Unterstützung ausgleichen lässt.
• Annahme, ein abgelehnter Fall sei automatisch aussichtslos. Gerade die enge, transaktionsbezogene Prüfung nach § 675v Abs. 4 BGB eröffnet in vielen Fällen Ansatzpunkte, die im ersten Ablehnungsschreiben der Bank nicht erwähnt werden.

Wie Rechtsanwalt Dr. Holger Traub unterstützt

Rechtsanwalt Dr. Holger Traub prüft für Mandanten nach einem Phishing-Vorfall zunächst, ob der Zahlungsvorgang überhaupt autorisiert war und ob die Bank eine ordnungsgemäße Authentifizierung des konkreten Vorgangs nachweisen kann. Erst danach wird die Frage der groben Fahrlässigkeit anhand der vom Bundesgerichtshof entwickelten Maßstäbe durchgearbeitet, einschließlich der Frage, ob für die betroffene Transaktion tatsächlich eine starke Kundenauthentifizierung im Sinne des § 1 Abs. 24 ZAG verlangt wurde. Dabei zahlt sich die Kombination aus Fachanwaltschaft für Handels- und Gesellschaftsrecht und langjähriger Praxis im Wirtschaftsrecht aus, weil sich Ablehnungsschreiben der Banken selten auf den ersten Blick als vollständig oder rechtlich haltbar erweisen.

Bei Firmenkonten kommt regelmäßig die Frage hinzu, wer innerhalb des Unternehmens für die Freigabe zuständig war und ob interne Kontrollmechanismen eine zusätzliche Rolle spielen. Dr. Holger Traub begleitet Mandanten von der ersten Reaktion auf den Betrugsfall über die Auseinandersetzung mit der Bank bis zur gerichtlichen Durchsetzung des Erstattungsanspruchs, sofern eine außergerichtliche Einigung nicht gelingt. Vergleichbare Sorgfalt legt die Kanzlei an, wenn es um die Haftung der Bank für Risikoanlageprodukte geht, ein weiteres Feld, in dem Kreditinstitute ihre Pflichten gegenüber Kunden regelmäßig verletzen.

Quellenverzeichnis

• BGH, 11. Zivilsenat, Urteil vom 22.07.2025, Az. XI ZR 107/24
• Vorinstanz: OLG Naumburg, Urteil vom 22.05.2024, Az. 5 U 11/24
• Vorinstanz: LG Halle, Az. 4 O 187/23
• § 675j, § 675l, § 675u, § 675v, § 675w, § 676b, § 254, § 276, § 242, § 195, § 199 Abs. 1 BGB (Bürgerliches Gesetzbuch)
• § 1 Abs. 24 Zahlungsdiensteaufsichtsgesetz (ZAG), Legaldefinition starke Kundenauthentifizierung