Phishing, Quishing und Online-Banking-Betrug
Unbekannte Abbuchung vom Konto? Erstattungsanspruch gegen die Bank prüfen
Betrüger geben sich als Bankmitarbeiter, Polizei, Paketdienst, Zahlungsdienst oder vermeintlicher Sicherheitssupport aus. Häufig werden Kunden dazu gebracht, Zugangsdaten mitzuteilen, QR-Codes zu scannen, Apps zu installieren oder Transaktionen zu bestätigen.
Wurde eine Zahlung nicht von Ihnen autorisiert, kann grundsätzlich ein Anspruch auf Erstattung und Wiedergutschrift gegen die Bank bestehen. Die Bank kann sich jedoch darauf berufen, dass der Zahlungsvorgang autorisiert gewesen sei oder dass der Kunde seine Pflichten vorsätzlich oder grob fahrlässig verletzt habe.
SH Rechtsanwälte prüft den technischen Ablauf, die Autorisierung, mögliche Sicherheitswarnungen, das Verhalten der Bank und die Frage, ob Ihnen grobe Fahrlässigkeit vorgeworfen werden kann.
Konto sichern.
Buchungen sofort beanstanden.
Das sollten Sie nach einem Betrugsverdacht sofort tun
Konto, Karte und Online-Banking-Zugang sperren lassen.
Jede unbekannte Zahlung ausdrücklich als nicht autorisiert melden.
Nachrichten, Anruflisten, QR-Codes, Screenshots und Kontobelege speichern.
Polizeiliches Aktenzeichen und eingereichte Unterlagen dokumentieren.
Passwörter ändern und verdächtige Apps oder Fernzugriffe prüfen lassen.
Zahlung nicht freigegeben
Sie haben die Überweisung, Kartenzahlung oder sonstige Belastung nicht selbst veranlasst und auch keiner anderen Person die Zustimmung dazu erteilt.
Freigabe manipuliert
Sie haben zwar eine TAN oder App-Freigabe verwendet, wurden aber über Zahlungsempfänger, Betrag, Zweck oder den tatsächlichen Vorgang getäuscht.
Falscher Bankmitarbeiter
Ein Anrufer kannte persönliche Daten, verwendete eine gefälschte Telefonnummer und behauptete, Ihr Konto vor einem Angriff schützen zu müssen.
Nicht autorisierte Zahlung
Wann muss die Bank den Betrag erstatten?
Ein Zahlungsvorgang ist dem Kunden grundsätzlich nur zuzurechnen, wenn er diesem zugestimmt hat. Fehlt eine wirksame Autorisierung, hat die Bank grundsätzlich keinen Anspruch darauf, den belasteten Betrag vom Kunden zu behalten.
Das Konto ist grundsätzlich wieder auf den Stand zu bringen, auf dem es sich ohne die nicht autorisierte Belastung befunden hätte.
Streitig ist in der Praxis häufig, ob der Kunde den konkreten Vorgang tatsächlich freigegeben hat oder ob die verwendeten Sicherheitsmerkmale durch Dritte missbraucht beziehungsweise unter Täuschung erlangt wurden.
Davon getrennt ist zu prüfen, ob der Bank ein eigener Schadensersatzanspruch gegen den Kunden wegen vorsätzlicher oder grob fahrlässiger Verletzung von Sicherheits- und Sorgfaltspflichten zusteht.
Typische Streitfragen
- War die Zahlung wirklich autorisiert?
- Was wurde in der Banking-App angezeigt?
- Wurde eine neue Geräteverknüpfung bestätigt?
- Wurden PIN, TAN oder Passwörter weitergegeben?
- War eine Warnung eindeutig und verständlich?
- War das Verhalten grob fahrlässig?
- War die Transaktion für die Bank auffällig?
- Wurde der Schaden rechtzeitig gemeldet?
Wer muss Autorisierung und grobe Fahrlässigkeit beweisen?
Bestreitet der Kunde die Autorisierung, muss die Bank grundsätzlich nachweisen, dass der Zahlungsvorgang authentifiziert, ordnungsgemäß aufgezeichnet und verbucht wurde und nicht durch eine technische Störung beeinträchtigt war.
Die bloße Aufzeichnung, dass das richtige Sicherheitsverfahren verwendet wurde, reicht für sich allein nicht zwingend aus, um eine Autorisierung oder eine vorsätzliche beziehungsweise grob fahrlässige Pflichtverletzung des Kunden zu beweisen.
Die Bank kann sich im Prozess auf konkrete Umstände und Erfahrungssätze stützen. Der Kunde muss seinerseits den Ablauf vollständig und widerspruchsfrei schildern und Tatsachen benennen, die einen Missbrauch durch Dritte plausibel erscheinen lassen.
Deshalb sind Screenshots, Nachrichten, Anruflisten, Transaktionsanzeigen und eine frühzeitig erstellte chronologische Schilderung besonders wichtig.
Häufige Formen des Online-Banking-Betrugs
Die Bezeichnung der Angriffsmethode ist weniger entscheidend als der konkrete Ablauf und die Frage, was der Kunde tatsächlich bestätigt hat.
Phishing per E-Mail oder SMS
Eine Nachricht führt auf eine täuschend echt gestaltete Internetseite. Dort werden Zugangsdaten, Karteninformationen oder TAN-Codes abgefragt.
Quishing mit QR-Code
Ein gefälschter QR-Code führt auf eine manipulierte Bank-, Paket-, Behörden- oder Zahlungsseite und soll Zugangsdaten oder Freigabebestätigungen abgreifen.
Vishing und falsche Bankanrufe
Täter behaupten telefonisch, verdächtige Zahlungen verhindern zu müssen. Dabei verwenden sie teilweise echte Kundendaten und manipulierte Rufnummernanzeigen.
Fernzugriffs- und Supportbetrug
Der Kunde wird zur Installation einer Fernwartungs-App bewegt. Anschließend können Täter Eingaben mitverfolgen oder das Gerät teilweise selbst bedienen.
Neue Geräteverknüpfung
Unter einem Vorwand wird die Freigabe eines neuen Smartphones, Banking-Verfahrens oder digitalen Zahlungsinstruments veranlasst.
Manipulierte Echtzeitüberweisung
Der Kunde soll angeblich eine Zahlung zurückholen, ein Sicherheitskonto verwenden oder eine Stornierung bestätigen. Tatsächlich wird eine neue Überweisung ausgelöst.
Zahlung überhaupt nicht bestätigt
Hat der Kunde weder Überweisung noch Gerätefreigabe oder Zahlungsvorgang bestätigt, spricht vieles für einen vollständig fremdveranlassten Vorgang.
Dann ist insbesondere zu prüfen, wie die Täter Zugriff erhielten, wie die Bank die Authentifizierung dokumentiert und ob ein technischer Angriff, eine Schadsoftware oder eine fremde Geräteverknüpfung vorlag.
Die Verwendung korrekter Zugangsdaten allein beantwortet noch nicht, ob der Kunde die konkrete Zahlung autorisiert hat.
Freigabe unter Täuschung erteilt
Schwieriger kann die Lage sein, wenn der Kunde selbst eine TAN eingegeben oder eine App-Freigabe bestätigt hat.
Dann kommt es genau darauf an, welcher Inhalt angezeigt wurde, ob Zahlungsempfänger und Betrag erkennbar waren und ob der Kunde eine Zahlung oder vermeintlich nur eine Sicherheitsmaßnahme bestätigen wollte.
Eine unter Täuschung abgegebene Bestätigung muss deshalb anhand des konkreten technischen und tatsächlichen Ablaufs eingeordnet werden.
Wann kann grobe Fahrlässigkeit vorliegen?
Grobe Fahrlässigkeit setzt mehr als einen einfachen Fehler oder eine kurze Unaufmerksamkeit voraus. Erforderlich ist regelmäßig eine besonders schwerwiegende Verletzung der im konkreten Fall erforderlichen Sorgfalt.
Bei der Bewertung sind unter anderem Gestaltung und Inhalt der Betrugsnachricht, Professionalität des Angriffs, vorhandene Warnhinweise, Zeitdruck, angezeigte Transaktionsdaten und das individuelle Verhalten des Kunden zu berücksichtigen.
Kritisch können insbesondere die bewusste Weitergabe einer TAN für eine konkret angezeigte Überweisung, die Missachtung eindeutiger Warnungen oder die Freigabe erkennbar abweichender Zahlungsdaten sein.
Eine pauschale Aussage, jede Eingabe von PIN oder TAN sei automatisch grob fahrlässig, ist ebenso wenig richtig wie die Annahme, der Kunde hafte niemals.
Welche Pflichten der Bank können eine Rolle spielen?
Neben der Frage der Autorisierung kann zu prüfen sein, ob Sicherheits-, Prüf- oder Warnmechanismen ordnungsgemäß eingesetzt wurden.
Ob die Bank eine verdächtige Zahlung erkennen oder stoppen musste, hängt von den konkreten Umständen ab. Nicht jede ungewöhnliche Zahlung führt automatisch zu einer Pflichtverletzung.
Privatkonto und Verbraucherkonto
Bei privaten Bankkunden stehen häufig nicht autorisierte Überweisungen, Kreditkartenzahlungen, Lastschriften oder manipulierte App-Freigaben im Mittelpunkt.
Zu prüfen sind Erstattungsanspruch, mögliche Eigenhaftung, rechtzeitige Schadensmeldung und die Dokumentation des gesamten Betrugsablaufs.
Auch eine Hausrat-, Cyber- oder sonstige Versicherung kann je nach Vertragsbedingungen ergänzend zu berücksichtigen sein.
Geschäfts- und Unternehmenskonto
Bei Unternehmen können hohe Einzelüberweisungen, manipulierte Lieferantenrechnungen, CEO-Fraud und kompromittierte Mitarbeiterzugänge zu erheblichen Schäden führen.
Neben den gesetzlichen Regeln sind Kontovertrag, vereinbarte Sicherheitsverfahren, interne Berechtigungen und mögliche Mitverantwortung von Beschäftigten zu prüfen.
Wichtig sind außerdem Cyberversicherung, Vertrauensschadenversicherung und interne Richtlinien zur Zahlungsfreigabe.
Achtung bei gefälschten Rechnungen und veränderter IBAN
Wird eine echte Rechnung von Tätern verändert oder eine gefälschte Nachricht aus einem kompromittierten E-Mail-Konto versandt, überweist der Kunde häufig selbst an die angegebene falsche IBAN.
Ein solcher Fall unterscheidet sich rechtlich von einer vollständig fremdveranlassten, nicht autorisierten Überweisung. Der Kunde hat den Zahlungsvorgang möglicherweise technisch selbst freigegeben, sich aber über die Identität des Empfängers geirrt.
Dann können neben Ansprüchen gegen die eigene Bank auch Ansprüche gegen die Empfängerbank, den ursprünglichen Vertragspartner, Versicherer oder weitere Beteiligte zu prüfen sein. Eine Erstattung ist jedoch nicht automatisch gewährleistet.
Welche Unterlagen werden benötigt?
Erstellen Sie möglichst früh eine vollständige zeitliche Darstellung des Geschehens und bewahren Sie sämtliche digitalen Spuren auf.
Buchungen unverzüglich melden und Fristen beachten
Ein nicht autorisierter oder fehlerhaft ausgeführter Zahlungsvorgang muss der Bank unverzüglich nach seiner Feststellung angezeigt werden.
Erfolgt die Anzeige nicht spätestens innerhalb von 13 Monaten nach dem Tag der Belastung, können gesetzliche Ansprüche und Einwendungen grundsätzlich ausgeschlossen sein.
Daneben können Verjährungsfristen, vertragliche Anzeigeobliegenheiten und Fristen gegenüber Versicherern eine Rolle spielen.
Warten Sie daher nicht auf den Abschluss eines Strafverfahrens, bevor Sie Ansprüche gegenüber Bank und Versicherern prüfen und geltend machen.
Unsere anwaltliche Unterstützung bei Online-Banking-Betrug
Wir prüfen sowohl den Anspruch des Kunden auf Wiedergutschrift als auch mögliche Gegenansprüche und Einwendungen der Bank.
Technischen Ablauf aufbereiten
Rekonstruktion von Anruf, Nachricht, Internetseite, Geräteverknüpfung, TAN-Eingabe und tatsächlicher Transaktion.
Autorisierung rechtlich prüfen
Bewertung, ob der Kunde der konkreten Zahlung zugestimmt hat oder Sicherheitsmerkmale missbräuchlich verwendet wurden.
Vorwurf grober Fahrlässigkeit bewerten
Prüfung von Warnhinweisen, angezeigten Daten, Täuschungsqualität, Zeitdruck und individuellem Verhalten.
Bankunterlagen anfordern
Auswertung der von der Bank vorgelegten Authentifizierungs-, Geräte-, Freigabe- und Transaktionsinformationen.
Erstattung außergerichtlich verlangen
Bezifferung und Geltendmachung des Wiedergutschriftanspruchs sowie Auseinandersetzung mit der Ablehnungsbegründung der Bank.
Gerichtliche Durchsetzung
Prüfung und Führung eines Klageverfahrens einschließlich Beweisangeboten, technischen Unterlagen und Zeugenaussagen.
So prüfen wir Ihren Online-Banking-Schaden
Chronologie, Kontaktweg und Freigabeschritte dokumentieren.
Bankantworten, Buchungen und digitale Beweismittel auswerten.
Zustimmung und tatsächlichen Inhalt der Freigabe einordnen.
Erstattungsanspruch und möglichen Bankeinwand bewerten.
Erstattung verlangen oder gerichtliche Schritte vorbereiten.
Häufige Fragen zu Phishing und Online-Banking-Betrug
Klicken Sie auf eine Frage, um die Antwort zu öffnen.
Muss die Bank eine nicht autorisierte Überweisung erstatten?
Grundsätzlich ja. Fehlt die Autorisierung, muss die Bank den Betrag grundsätzlich erstatten und das Konto berichtigen. Davon zu trennen ist ein möglicher Gegenanspruch der Bank, wenn der Kunde vorsätzlich oder grob fahrlässig gegen seine Pflichten verstoßen hat.
Beweist die Verwendung von PIN und TAN, dass ich die Zahlung autorisiert habe?
Nicht automatisch. Die Bank muss die Authentifizierung und ordnungsgemäße Aufzeichnung nachweisen. Die bloße technische Nutzung eines Sicherheitsverfahrens beweist für sich allein nicht zwingend die Autorisierung der konkreten Zahlung oder grobe Fahrlässigkeit.
Was gilt, wenn ich selbst eine TAN eingegeben habe?
Entscheidend ist, welchen Vorgang Sie tatsächlich bestätigen wollten und welche Informationen Ihnen angezeigt wurden. Eine TAN-Eingabe kann für eine Autorisierung sprechen, beendet die rechtliche Prüfung aber nicht automatisch.
Ist die Weitergabe einer TAN immer grob fahrlässig?
Nein, aber sie kann je nach Situation erheblich sein. Geprüft werden Täuschungsqualität, Warnhinweise, angezeigte Daten, Zweck der vermeintlichen Freigabe und das gesamte Verhalten des Kunden.
Was gilt beim Anruf eines angeblichen Bankmitarbeiters?
Die Täter verwenden häufig persönliche Daten und manipulierte Rufnummernanzeigen. Entscheidend ist, welche Angaben gemacht, welche Warnungen angezeigt und welche Freigaben vorgenommen wurden.
Kann die Bank ungewöhnliche Zahlungen stoppen müssen?
Im Einzelfall kann zu prüfen sein, ob Transaktion, Empfänger, Höhe, Zeitpunkt oder Gerätewechsel auffällig waren und ob vorhandene Sicherheitsmechanismen ordnungsgemäß eingesetzt wurden. Nicht jede ungewöhnliche Zahlung begründet jedoch automatisch eine Pflicht zur Sperrung.
Was gilt bei einer falschen IBAN auf einer manipulierten Rechnung?
Hat der Kunde die Überweisung selbst an die angezeigte IBAN freigegeben, kann der Vorgang autorisiert sein, obwohl er über die Identität des Empfängers getäuscht wurde. Dann sind andere Anspruchsgrundlagen und Beteiligte zu prüfen.
Wie schnell muss ich den Schaden der Bank melden?
Nicht autorisierte oder fehlerhafte Zahlungsvorgänge müssen unverzüglich nach ihrer Feststellung angezeigt werden. Nach Ablauf von 13 Monaten ab Belastung können Ansprüche grundsätzlich ausgeschlossen sein.
Muss ich das Strafverfahren abwarten?
Nein. Die Anzeige bei der Polizei ist wichtig, ersetzt aber nicht die Beanstandung gegenüber der Bank. Ansprüche und Fristen sollten unabhängig vom Verlauf des Strafverfahrens geprüft werden.
Übernimmt eine Rechtsschutzversicherung die Kosten?
Das hängt von Vertrag, versichertem Rechtsbereich, Zeitpunkt des Rechtsschutzfalls, Wartezeiten und Ausschlüssen ab. Eine Deckungsanfrage sollte möglichst frühzeitig gestellt werden.
Welche Unterlagen soll ich für eine erste Prüfung senden?
Benötigt werden insbesondere Kontoauszüge, Bankkorrespondenz, Nachrichten und Screenshots der Täter, Anruflisten, Strafanzeige, eine genaue Chronologie und Angaben zu jeder von Ihnen vorgenommenen Freigabe.
Bitte reagieren Sie rechtzeitig
Beanstanden Sie unbekannte Buchungen unverzüglich bei Ihrer Bank und bewahren Sie sämtliche Beweismittel auf. Löschen Sie Nachrichten, Anruflisten und verdächtige Apps möglichst erst nach einer fachgerechten Sicherung.
Durch eine Anfrage oder die Übersendung von Unterlagen entsteht noch kein Mandatsverhältnis. Eine Mandatsübernahme erfolgt erst nach Interessenkollisionsprüfung und ausdrücklicher Bestätigung durch SH Rechtsanwälte. Bis dahin werden keine Fristen übernommen oder überwacht.
Geld durch Phishing oder Online-Banking-Betrug verloren?
Übermitteln Sie uns Kontoauszüge, Bankkorrespondenz, Nachrichten, Screenshots und eine kurze chronologische Darstellung. Wir prüfen, ob ein Anspruch auf Erstattung oder Wiedergutschrift besteht und wie die Einwendungen der Bank rechtlich zu bewerten sind.
Fachanwälte für Bankrecht
Vladimir Stamenković, LL.M.Rechtsanwalt
Thomas Hüttenmüller, LL.M.Rechtsanwalt
