Phishing & Online-Banking-Betrug

Ihr Konto wurde leergeräumt. Die Bank sagt: selbst schuld.

Das Gesetz sieht das anders. Bei einer nicht autorisierten Zahlung muss die Bank den Betrag grundsätzlich erstatten – und sie muss beweisen, dass Sie den Schaden zu verantworten haben. Nicht umgekehrt.

Ich vertrete Privatpersonen und Selbstständige gegenüber Banken und Zahlungsdienstleistern, wenn nach Phishing, Social Engineering oder Kreditkartenmissbrauch Geld verschwunden ist – und die Erstattung abgelehnt wurde.

Grundlagen

Was Phishing und Social Engineering wirklich sind

Phishing bezeichnet den Versuch, an Zugangsdaten zum Online-Banking, TANs oder Kartendaten zu kommen, indem sich Täter als Bank, Zahlungsdienst, Behörde oder Paketdienst ausgeben. Der Angriff läuft über E-Mail, SMS, Messenger, Telefon oder gefälschte Webseiten.

Social Engineering geht einen Schritt weiter: Hier wird nicht die Technik überwunden, sondern der Mensch. Die Täter erzeugen Zeitdruck, Angst oder Vertrauen – ein angeblicher Mitarbeiter der Betrugsabteilung ruft an, nennt Ihre echten Kontodaten und bittet Sie, eine Freigabe in der Banking-App zu bestätigen, „um die Zahlung zu stoppen“. Genau diese Freigabe ist die Zahlung.

Der entscheidende Punkt für die rechtliche Bewertung: Sie haben in solchen Fällen keine Zahlung gewollt. Sie haben getäuscht eine Freigabe erteilt. Zahlungsrechtlich ist das keine autorisierte Zahlung, sondern eine Zahlung, die durch Täuschung erschlichen wurde – und dafür gilt ein eigenes Haftungsregime im BGB.

Der Satz „Sie haben Ihre Daten doch selbst eingegeben“ ist kein Rechtsargument. Er ist der Anfang der Auseinandersetzung.

Aktuelle Maschen

So wird 2026 tatsächlich zugegriffen

Die Maschen wechseln schnell. Gemeinsam ist ihnen, dass am Ende eine Freigabe aus Ihrer eigenen App oder mit Ihrem eigenen Gerät steht – das ist es, worauf sich Banken bei der Ablehnung berufen.

Der Anruf der „Betrugsabteilung“

Ein Anrufer mit korrekter Rufnummer der Bank im Display warnt vor einer verdächtigen Abbuchung und lässt Sie zur „Stornierung“ eine Push-TAN bestätigen. Freigegeben wird damit eine Überweisung oder die Registrierung eines fremden Geräts.

Smishing per SMS

„Ihr Konto wurde eingeschränkt“, „Ihr Paket konnte nicht zugestellt werden“, „Ihre PhotoTAN läuft ab“. Der Link führt auf eine exakte Kopie der Bankseite, die Ihre Eingaben in Echtzeit an die Täter weitergibt.

Quishing über QR-Codes

Aufgeklebte Codes an Parkautomaten und Ladesäulen oder QR-Codes in angeblichen Bankbriefen. Der Code umgeht Spamfilter und Linkvorschau – gesehen wird erst die gefälschte Seite.

Fremdes Gerät in der Banking-App

Statt einer einzelnen Überweisung wird ein Smartphone der Täter für Ihr Online-Banking freigeschaltet. Danach laufen Zahlungen über Wochen scheinbar korrekt authentifiziert – oft erhöhen die Täter vorher still das Überweisungslimit.

Rechtslage

§ 675u BGB: Erstattung ist der Normalfall

Nicht autorisiert heißt: Geld zurück

Führt die Bank eine Zahlung aus, die Sie nicht autorisiert haben, hat sie keinen Anspruch auf Erstattung ihrer Aufwendungen. Sie muss den Betrag unverzüglich zurückerstatten und das Konto auf den Stand bringen, auf dem es ohne die Zahlung wäre. Ein Verschulden der Bank ist dafür nicht erforderlich.

§ 675w BGB: Die Bank muss beweisen

Die Aufzeichnung einer erfolgreichen Authentifizierung genügt allein nicht als Nachweis, dass Sie die Zahlung autorisiert haben – und auch nicht als Nachweis für Vorsatz oder grobe Fahrlässigkeit. Die Bank muss den konkreten Ablauf darlegen und ihre Systeme offenlegen. In der Praxis scheitert sie daran häufig.

§ 675v BGB: Wann Sie doch haften

Eine Haftung des Kunden kommt in Betracht, wenn er die Zahlung vorsätzlich ermöglicht oder grob fahrlässig gegen Sicherheitspflichten verstoßen hat. Grobe Fahrlässigkeit setzt aber ein besonders schweres Verschulden voraus und wird von Gerichten in Phishing-Fällen deutlich seltener angenommen, als Banken behaupten – gerade bei professionell inszenierten Anrufen.

Erst erstatten, dann streiten

Nach der Entscheidung des EuGH in der Sache C-70/25 muss die Bank bei einer nicht autorisierten Zahlung zunächst erstatten – auch dann, wenn sie dem Kunden grobe Fahrlässigkeit vorwirft. Ihre Gegenansprüche muss sie anschließend selbst geltend machen. Die Entscheidung im Detail

Fristen

Nicht autorisierte Zahlungen sollten Sie spätestens 13 Monate nach der Belastung anzeigen. Warten Sie nicht so lange: Je früher der Widerspruch dokumentiert ist, desto schwerer fällt der Bank die Behauptung, Sie hätten die Belastung hingenommen.

Ablehnungsschreiben

Die fünf Standardsätze der Bank – und was ihnen entgegensteht

Ablehnungen sind Textbausteine. Sie kommen in fast identischer Formulierung von nahezu jedem Institut.

„Die Zahlung wurde mit Ihrer PIN und Ihrer TAN freigegeben.“

Die technisch korrekte Authentifizierung sagt nichts darüber aus, wer sie ausgelöst hat und mit welchem Wissen. § 675w BGB verbietet gerade den Schluss von der Aufzeichnung auf die Autorisierung.

„Sie haben Ihre Zugangsdaten weitergegeben – das ist grob fahrlässig.“

Grobe Fahrlässigkeit ist keine Pauschale. Sie ist im Einzelfall zu prüfen: Wie professionell war die Täuschung? Was stand auf dem Freigabedialog? Hat die Bank selbst vor genau dieser Masche gewarnt – oder nicht?

„In unseren Bedingungen steht, dass Sie TANs niemandem mitteilen dürfen.“

Ein Verstoß gegen Bedingungen führt nicht automatisch zur Haftung. Er muss kausal für den Schaden sein, und die Grenzen des § 675v BGB gelten unabhängig davon, was in den Bedingungen steht.

„Es lag keine Störung in unserem System vor.“

Darauf kommt es nicht an. Der Erstattungsanspruch aus § 675u BGB ist verschuldensunabhängig. Umgekehrt ist zu fragen, ob die Bank auffällige Zahlungen und neu registrierte Geräte überhaupt überwacht hat.

Häufige Fragen

Was Betroffene mich am häufigsten fragen

Die Bank hat schon abgelehnt. Ist der Fall verloren?

Nein. Die Ablehnung ist der Regelfall, nicht das Ergebnis. Viele Verfahren enden nach anwaltlicher Aufforderung, in der Beschwerde bei der Schlichtungsstelle oder im Klageverfahren mit einer Erstattung.

Ich habe die TAN selbst bestätigt. Bin ich damit nicht selbst schuld?

Eine getäuscht erteilte Freigabe ist keine gewollte Zahlung. Entscheidend ist, was Ihnen vorgespiegelt wurde, was auf dem Freigabedialog stand und wie die Täuschung aufgebaut war.

Was kostet die Vertretung?

Das Erstgespräch ist kostenlos und unverbindlich. Danach nenne ich Ihnen die Kosten, bevor etwas beauftragt wird. Bestehende Rechtsschutzversicherungen deckt Bankrecht häufig ab – die Deckungsanfrage übernehme ich.

Auf mich wurde ein Kredit abgeschlossen, den ich nie beantragt habe.

Bei Identitätsmissbrauch geht es nicht nur um Erstattung, sondern um die Abwehr der Forderung selbst und um die Löschung falscher Einträge bei Auskunfteien. Beides gehört zusammen behandelt.

Ich bin selbstständig. Gilt das alles auch für mein Firmenkonto?

Teilweise. Gegenüber Unternehmen können einzelne Schutzvorschriften vertraglich abbedungen werden. Der Erstattungsanspruch bei nicht autorisierten Zahlungen bleibt aber im Kern bestehen und die Beweisfragen stellen sich genauso.

Wie lange dauert so ein Verfahren?

Von wenigen Wochen bis zu mehreren Monaten, je nachdem, ob die Bank außergerichtlich einlenkt. Das lässt sich nach Durchsicht der Unterlagen realistisch einschätzen.

Lassen Sie Ihren Fall prüfen, bevor Sie ihn abschreiben.

Ich bin Michaela Zinke, Fachanwältin für Bank- und Kapitalmarktrecht in Kassel und deutschlandweit tätig. Schildern Sie mir im kostenlosen Erstgespräch, was passiert ist. Danach wissen Sie, ob und wie sich Ihr Geld zurückholen lässt.

Ich bin Michaela Zinke, Fachanwältin für Bank- und Kapitalmarktrecht in Kassel und deutschlandweit tätig

Lassen Sie Ihren Fall prüfen, bevor Sie ihn abschreiben

Schildern Sie mir im kostenlosen Erstgespräch, was passiert ist. Danach wissen Sie, ob und wie sich Ihr Geld zurückholen lässt.