Phishing: Wann muss die Bank gestohlenes Geld erstatten?

Geld verschwunden: Diese Schritte haben Vorrang

Eine SMS kündigt ein Sicherheitsupdate an. Ein Anrufer nennt Ihren Namen und behauptet, für Ihre Bank zu arbeiten. Kurz darauf fehlen mehrere Tausend Euro. Für die rechtliche Prüfung ist nicht die überzeugendste Beschreibung der Betrugsmasche entscheidend, sondern die genaue Abfolge: Was haben Sie gesehen, eingegeben und bestätigt? Dieser Beitrag behandelt Ansprüche von Verbrauchern gegen ihre Bank nach deutschem Zahlungsdiensterecht.

Beenden Sie den Kontakt mit den mutmaßlichen Tätern und kontaktieren Sie die Bank über eine selbst ermittelte, verlässliche Nummer. Lassen Sie betroffene Zugänge und Zahlungsinstrumente sperren und fragen Sie sofort nach einem Überweisungsrückruf. Ein Rückruf ist ein Rettungsversuch, keine Rückzahlungsgarantie. Sichern Sie vorhandene Nachrichten und erstatten Sie Strafanzeige. Die Anzeige bei der Polizei ersetzt die Mitteilung an die Bank nicht.

Nicht autorisiert oder selbst überwiesen?

§ 675u BGB setzt voraus, dass der Zahlungsvorgang nicht autorisiert war. Dann hat die Bank grundsätzlich keinen Aufwendungsersatzanspruch und muss das Konto auf den Stand ohne die Belastung bringen. Das Gesetz verlangt die Erstattung spätestens bis zum Ende des folgenden Geschäftstags nach Anzeige oder Kenntnis. Eine besondere Ausnahme betrifft einen gegenüber der zuständigen Behörde schriftlich mitgeteilten, begründeten Verdacht auf betrügerisches Verhalten des Zahlers.

Wer dagegen selbst eine bestimmte Überweisung an einen vermeintlich seriösen Empfänger in Auftrag gegeben hat, kann nicht allein wegen der Täuschung voraussetzen, dass § 675u BGB greift. Eine bloße Gerätefreigabe, die Zustimmung zu einem konkreten Zahlungsauftrag und eine von Tätern ausgelöste Zahlung sind auseinanderzuhalten. Gerade bei angeblichen Sicherheitskonten oder Gerätewechseln muss der tatsächliche Ablauf rekonstruiert werden.

Warum die Bank sich nicht auf die TAN allein beschränken darf

Nach § 675w BGB muss die Bank bei streitiger Autorisierung die Authentifizierung und die ordnungsgemäße Aufzeichnung und Verbuchung ohne relevante Störung nachweisen. Die technische Nutzung eines Zahlungsinstruments einschließlich seiner Sicherheitsmerkmale reicht allein nicht notwendigerweise als Nachweis Ihrer Zustimmung aus. Dass das System eine TAN akzeptiert hat, beantwortet damit noch nicht jede rechtliche Frage.

Das bedeutet umgekehrt nicht, dass eine dokumentierte Freigabe bedeutungslos wäre. Relevant sind insbesondere der angezeigte Betrag, der Empfänger, Warntexte, das verwendete Gerät und die Frage, ob Sie einen Gerätewechsel oder tatsächlich eine Zahlung bestätigt haben. Verlangen Sie eine nachvollziehbare Erklärung, auf welche konkreten Vorgänge die Bank ihre Ablehnung stützt.

Grobe Fahrlässigkeit: Die wichtigste Gegenfrage

Die Bank kann nach § 675v Absatz 3 BGB einen Anspruch auf Ersatz des gesamten Schadens haben, wenn Sie ihn durch eine vorsätzliche oder grob fahrlässige Verletzung der maßgeblichen Pflichten verursacht haben. Ob das zutrifft, lässt sich nicht allein am Etikett Phishing entscheiden. Eindeutige Warnungen, widersprüchliche Anzeigen und die Weitergabe von Sicherheitsmerkmalen können erheblich sein. Für Betrug, Vorsatz oder grobe Fahrlässigkeit verlangt § 675w unterstützende Beweismittel.

Auch Ausnahmen von der Kundenhaftung gehören in die Prüfung. § 675v Absatz 4 regelt insbesondere Fälle ohne verlangte starke Kundenauthentifizierung; Absatz 5 betrifft unter anderem Schäden aus der Nutzung nach einer Sperranzeige. Die dortigen Ausnahmen bei betrügerischem Verhalten des Zahlers bleiben zu beachten. Eine pauschale Aussage, Kunden müssten immer oder niemals zahlen, wird diesen Unterschieden nicht gerecht.

Welche Belege Sie jetzt sichern sollten

Erstellen Sie eine sachliche Chronologie, solange Ihre Erinnerung frisch ist. Trennen Sie sichere Beobachtungen von Vermutungen. Wenn Sie einen Warntext nicht mehr erinnern, schreiben Sie genau das auf. Eine nachträglich geglättete Geschichte erschwert die Prüfung.

• Kontoauszüge mit Buchungsdatum, Betrag, Empfänger und Buchungstext.
• SMS, E-Mails, Anruflisten und vorhandene Screenshots der Freigabeanzeigen.
• Zeitpunkte von Bankkontakt, Sperrung und Rückrufversuch sowie Vorgangsnummern.
• Die vollständige Ablehnung der Bank und ihre Angaben zum technischen Ablauf.

Welche Frist gilt und wann lohnt sich die Prüfung?

§ 676b BGB verlangt die unverzügliche Mitteilung nach Feststellung des nicht autorisierten Vorgangs. Daneben besteht grundsätzlich eine Ausschlussfrist von 13 Monaten nach Belastung, deren Beginn von der gesetzlich vorgesehenen Unterrichtung abhängt. Diese Höchstfrist ist keine Erlaubnis, nach Entdeckung abzuwarten. Lassen Sie sich den Eingang Ihrer Meldung bestätigen und bewahren Sie den Nachweis auf.

Ein eigenes Beispiel: Ein Kunde bestätigt nach einem täuschenden Anruf die Registrierung eines neuen Geräts. Die Täter veranlassen anschließend Überweisungen. Hier sind die Registrierung, die späteren Zahlungsfreigaben und die jeweils sichtbaren Hinweise getrennt zu untersuchen. Aus dem ersten Klick folgt weder automatisch ein vollständiger Erstattungsanspruch noch automatisch eine vollständige Kundenhaftung.

Für eine wirtschaftlich sinnvolle anwaltliche Prüfung zählen Schadenshöhe, Beweislage, Einwände der Bank und mögliche Kostendeckung. Eine Deckungszusage der Rechtsschutzversicherung ist gesondert zu klären. Mit einer vollständigen Chronologie lässt sich früh erkennen, welche rechtlichen und technischen Fragen den Fall tatsächlich entscheiden.