Stand: . Eigene Auswertung der Kanzleiakten
Wenn Sie nach einem Anruf selbst überwiesen haben, war die Zahlung rechtlich autorisiert. Der einfache Erstattungsanspruch aus § 675u BGB greift dann nicht – und genau darauf stützen Banken ihre Ablehnung. Das bedeutet aber nicht, dass Sie leer ausgehen. Zu prüfen sind Schadensersatzansprüche wegen Verletzung der Schutz- und Warnpflichten der Bank (§ 280 Abs. 1 BGB). Die Ansatzpunkte sind oft stärker, als Betroffene vermuten: gefälschte Rufnummern, eine auffällige Transaktionskette, die niemand gestoppt hat, und seit Oktober 2025 die Pflicht zur Empfängerüberprüfung. Entscheidend ist, welche Protokolle Sie bei der Bank anfordern – und wie schnell.
Ein Fall aus meiner Praxis
Anfang Oktober 2026, an einem Abend nach Feierabend, klingelte bei zwei Kontoinhabern das Telefon. Eine Frau meldete sich mit Namen als Mitarbeiterin ihrer Bank, einer großen Filialbank. Sie fragte, ob die beiden mitbekommen hätten, dass von einem fremden Mobiltelefon aus dem Ausland versucht worden sei, Überweisungen von ihren Konten auszulösen – von jedem der beiden Konten jeweils ein fünfstelliger Betrag.
Das war nicht der Fall. Die Angerufenen waren verunsichert, und der Zeitpunkt tat sein Übriges: Am Abend ist keine Filiale geöffnet, bei der man nachfragen könnte.
Dann geschah etwas, das diesen Fall von den üblichen Schilderungen unterscheidet. Die Betroffenen misstrauten dem Anruf und prüften nach. Sie sagten der Anruferin ausdrücklich, dass sie die Rufnummer jetzt im Internet nachschlagen würden. Die Anruferin hatte nichts dagegen und nannte die Nummer sogar selbst. Die Recherche ergab, dass es sich um die offizielle Notfallnummer der Bank für Betrugsverdacht sowie Konto- und Kartensperrungen handelte. Erst daraufhin hielten die Betroffenen den Anruf für echt.
Anschließend lief alles scheinbar korrekt weiter. Es kamen SMS über die angeblichen Unregelmäßigkeiten. Es kam zu jedem einzelnen Schritt eine Bestätigungsnachricht. Als die Anruferin zum Schluss vorschlug, den Online-Zugang „sicherheitshalber“ zu sperren, kam auch dafür eine Bestätigung per E-Mail. Zuletzt sandte sie ein PDF mit Sicherheitshinweisen zum Online-Banking.
Die eigentliche Schadenshandlung war in diese Abfolge eingebettet. Begründet wurde sie mit einer angeblichen internen Regel: Erscheine eine Überweisung doppelt, werde sie nicht ausgeführt. Auf Anweisung der vermeintlichen Mitarbeiterin wurde daraufhin das Tageslimit erhöht, Geld vom Tagesgeld- auf das Girokonto umgebucht und anschließend an eine von ihr genannte Kontoverbindung überwiesen. Alle Schritte gaben die Kontoinhaber selbst in der Freigabe-App ihrer Bank frei.
Nach persönlichen Daten, nach PIN, Passwort oder TAN wurde zu keinem Zeitpunkt gefragt. Genau deshalb schlug keine der eingeübten Warnlampen an.
Der Termin, den es gab. Die Anruferin vereinbarte zum Abschluss per E-Mail einen Beratungstermin in der Filiale für den übernächsten Tag; auch dafür ging eine Bestätigung ein. Bemerkenswert ist, was danach geschah: Ein Mitarbeiter genau dieser Filiale rief von sich aus an und fragte, auf welches Thema er sich für den Termin vorbereiten solle. Der Termin war also im System der Bank angelegt. Die Betroffenen schilderten ihm am Telefon den gesamten Ablauf.
Weil Zweifel geblieben waren, suchten die beiden bereits am Tag nach dem Anruf ihre Filiale auf – ohne den vereinbarten Termin abzuwarten. Dort erfuhren sie, dass sie Opfer eines Betrugs geworden waren. Noch vor Ort wurden das Online-Banking gesperrt und die Rückholung des Geldes bei der Empfängerbank veranlasst. Ob das Geld zurückkomme, stellte der Mitarbeiter in Frage. Anschließend erstatteten die Betroffenen Strafanzeige.
Der Fall ist anonymisiert und mit Einverständnis der Mandantschaft wiedergegeben.
Was dieser Fall für die Beweisführung hergibt. Drei Umstände sind hier ungewöhnlich gut dokumentiert, und alle drei richten sich nicht gegen die Betroffenen, sondern gegen die Bank. Erstens die Prüfung der Rufnummer: Wer die angezeigte Nummer aktiv nachschlägt und als offizielle Notfallnummer seiner Bank bestätigt findet, hat mehr Sorgfalt aufgewendet als der Durchschnitt – nicht weniger. Zweitens die Transaktionskette aus Limiterhöhung, Umbuchung und Überweisung an einen erstmaligen Empfänger innerhalb kurzer Zeit, am Abend, auf zwei Konten parallel: ein Lehrbuchmuster für jede Betrugserkennung. Drittens die Schnelligkeit der Reaktion – Filialbesuch am Folgetag, Sperrung und Rückholung noch am selben Tag, Strafanzeige unmittelbar danach. Der Einwand, es sei zu spät gehandelt worden, scheidet damit aus.
Warum dieser Angriff funktioniert, obwohl die Betroffenen misstrauisch waren
Die übliche Warnung lautet: Klicken Sie nicht auf Links, geben Sie keine Daten preis, achten Sie auf Rechtschreibfehler. In diesem Fall half davon nichts, weil keine dieser Regeln verletzt wurde. Drei Mechanismen greifen ineinander.
Die Rufnummer lässt sich fälschen
Beim Call-ID-Spoofing übermitteln die Täter eine beliebige Rufnummer an das Telefonnetz. Im Display erscheint die echte Nummer der Bank, und zwar auch dann, wenn der Anruf aus dem Ausland kommt. Das Nachschlagen der Nummer im Internet bestätigt deshalb nur, dass die Nummer der Bank gehört. Über den tatsächlichen Anrufer sagt es nichts aus.
Dass die Anruferin die Prüfung sogar angeboten hat, ist kein Zufall, sondern Teil der Masche. Nichts erzeugt mehr Vertrauen als eine Kontrolle, die man selbst durchführen darf und die ein positives Ergebnis liefert.
Es werden keine Daten abgefragt
Die Täter brauchen keine Zugangsdaten mehr, wenn das Opfer die Zahlung selbst freigibt. Was jahrelang als zuverlässiges Erkennungsmerkmal galt – „eine echte Bank fragt nie nach Ihrer PIN“ – wirkt hier umgekehrt: Weil nicht gefragt wurde, erschien der Anruf besonders seriös.
Die Bank bestätigt jeden Schritt
Limiterhöhung, Umbuchung, Überweisung, Sperrung des Zugangs: Zu jedem Vorgang kam eine Bestätigung. Für die Betroffenen war das der laufende Beweis, dass alles seine Ordnung hat. Tatsächlich dokumentierte die Bank damit in Echtzeit eine Kette von Vorgängen, die ihr eigenes Überwachungssystem hätte alarmieren müssen.
Die entscheidende Weiche: autorisiert oder nicht autorisiert
Dieser Punkt bestimmt den gesamten weiteren Verlauf, und er wird von Betroffenen fast immer falsch eingeschätzt.
| Klassisches Phishing | Anruf mit eigener Überweisung | |
|---|---|---|
| Wer löst die Zahlung aus? | Die Täter, mit erbeuteten Zugangsdaten oder einem gekaperten Freigabeverfahren | Der Kunde selbst, in der eigenen App |
| Rechtliche Einordnung | Nicht autorisierte Zahlung | Autorisierte Zahlung, veranlasst durch Täuschung |
| Anspruchsgrundlage | § 675u BGB, Erstattung durch die Bank; Beweislast bei der Bank | § 280 Abs. 1 BGB, Schadensersatz wegen Pflichtverletzung; Darlegungslast beim Kunden |
| Typische Reaktion der Bank | Vorwurf der groben Fahrlässigkeit | „Sie haben die Überweisung selbst freigegeben.“ |
Wer in der zweiten Konstellation gegenüber der Bank mit § 675u BGB argumentiert, bekommt zu Recht ein Standardschreiben zurück – und hat seine beste Gelegenheit vertan. Die Fragen, die tatsächlich weiterführen, richten sich nicht auf das Verhalten des Kunden, sondern auf das Verhalten der Bank.
Wo die Bank trotzdem haftet
Eine Bank schuldet ihren Kunden nicht nur die Ausführung von Aufträgen, sondern auch Schutz vor erkennbaren Gefahren. Verletzt sie diese Pflichten, haftet sie auf Schadensersatz. In Spoofing-Fällen sind vier Ansatzpunkte zu prüfen.
1. Die Transaktionskette
Erhöhung des Tageslimits, unmittelbar danach eine Umbuchung vom Tagesgeld- auf das Girokonto, unmittelbar danach eine Überweisung an einen erstmaligen Empfänger – diese Abfolge innerhalb kurzer Zeit ist ein Lehrbuchmuster für Betrugserkennung. Ein Überwachungssystem nach dem Stand der Technik muss darauf reagieren, mindestens mit einer Rückfrage. Geschieht nichts, liegt eine Pflichtverletzung nahe.
2. Die Empfängerüberprüfung
Seit dem 9. Oktober 2025 müssen Banken im SEPA-Raum vor jeder Überweisung abgleichen, ob der angegebene Empfängername zur IBAN gehört (Verordnung (EU) 2024/886). Bei einer Zahlung auf ein Täterkonto liegt es nahe, dass dieser Abgleich keine Übereinstimmung ergeben hat. Fragen Sie deshalb ab: Welches Ergebnis hat die Prüfung geliefert, und wie deutlich wurde gewarnt?
Dieser Punkt wirkt in beide Richtungen. Wurde eine klare Warnung angezeigt und trotzdem überwiesen, verschlechtert das Ihre Position erheblich. Wurde gar nicht geprüft oder nur unauffällig gewarnt, ist es ein starkes Argument.
3. Die eigene Kommunikation der Bank
Zu klären ist, ob die Bestätigungsnachrichten tatsächlich aus den Systemen der Bank stammten. Falls ja, hat die Bank jeden einzelnen Schritt quittiert, ohne dass irgendwo eine Prüfung ausgelöst wurde – bis hin zur Bestätigung eines Beratungstermins, den es nie gab.
4. Das Spoofing selbst
Wenn Täter die offizielle Notfallnummer einer Bank im Display erscheinen lassen können, stellt sich die Frage nach der Absicherung der eigenen Kommunikationskanäle. Für den Vorwurf der groben Fahrlässigkeit gilt jedenfalls: Wer die Nummer aktiv nachprüft und bestätigt findet, hat mehr Sorgfalt aufgewendet als der Durchschnitt – nicht weniger.
Schriftlich, mit Fristsetzung, bei Ihrer Bank:
Authentifizierungsaufzeichnungen zu jeder streitigen Buchung · Protokoll der Limiterhöhung mit Zeitstempel und Kanal · Ergebnis der Empfängerüberprüfung je Zahlung · Protokolle des Betrugserkennungssystems und etwaiger ausgelöster Warnungen · Nachweis, ob und wann ein Zahlungsrückruf an die Empfängerbank veranlasst wurde · Herkunft aller Bestätigungs-SMS und -E-Mails.
Das Mitverschulden: die ehrliche Seite
Diese Fälle sind schwieriger als klassische Phishing-Fälle. Wer selbst überwiesen hat, muss sich mit § 254 BGB auseinandersetzen, und die Bank wird genau dort ansetzen: Eine Bank fordere niemals zu Überweisungen auf, das hätte auffallen müssen.
Dem ist entgegenzuhalten, wie der Angriff tatsächlich abgelaufen ist – mit gefälschter Rufnummer, mit einer vom Opfer selbst durchgeführten und scheinbar erfolgreichen Prüfung, ohne jede Abfrage sensibler Daten und flankiert von Bestätigungen der Bank. Je besser dieser Ablauf dokumentiert ist, desto schwächer wird der Vorwurf. Deshalb gilt: nichts löschen, alles sichern.
Was sich mit der neuen EU-Zahlungsdiensteverordnung ändert
Die EU hat sich auf eine Reform des Zahlungsdiensterechts geeinigt. Vorgesehen ist eine Haftung der Bank gerade für die hier beschriebene Konstellation: wenn sich Täter als die eigene Bank des Kunden ausgeben und der Kunde dadurch zu einer Zahlung veranlasst wird. Geknüpft sein soll der Anspruch unter anderem an eine Strafanzeige und die unverzügliche Meldung an die Bank; grobe Fahrlässigkeit kann ihn weiterhin ausschließen.
Wichtig für die Einordnung: Die Texte sind noch nicht endgültig in Kraft, und mit einer Geltung wird frühestens gegen Ende 2027 gerechnet. Für heutige Fälle bleibt es bei den §§ 675u ff. BGB und bei § 280 Abs. 1 BGB. Wer Ihnen schon jetzt eine „Vollhaftung der Banken bei Spoofing“ verspricht, verkürzt unzulässig.
Drei Sätze, die Sie sich merken sollten
- Eine Rufnummer im Display beweist nichts. Sie lässt sich fälschen, auch die Notfallnummer Ihrer eigenen Bank. Legen Sie auf und rufen Sie selbst zurück, über die Nummer auf Ihrer Bankkarte.
- Keine Bank bittet Sie, Geld zu bewegen, um es zu schützen. Kein Tageslimit erhöhen, nicht zwischen eigenen Konten umbuchen, nicht auf ein „Sicherheitskonto“ überweisen. Jede Begründung dafür ist erfunden.
- Dass nicht nach PIN oder TAN gefragt wird, ist kein Echtheitsbeweis. Es ist das Kennzeichen der aktuellen Masche.
Häufige Fragen
Ich habe selbst überwiesen. Ist damit alles verloren?
Nein. Der einfache Erstattungsanspruch aus § 675u BGB greift zwar nicht, weil die Zahlung autorisiert war. Zu prüfen sind aber Schadensersatzansprüche wegen Verletzung der Schutz- und Warnpflichten der Bank, insbesondere bei auffälligen Transaktionsmustern und bei der Empfängerüberprüfung.
Die Nummer im Display war die echte Nummer meiner Bank. Hilft mir das?
Ja, das ist ein wichtiges Argument. Es zeigt, dass der Angriff technisch so angelegt war, dass er mit üblicher Sorgfalt nicht zu erkennen war. Wer die Nummer sogar aktiv nachgeprüft hat, hat mehr getan als der Durchschnitt.
Was muss ich als Erstes tun?
Bank anrufen und Zahlung stoppen beziehungsweise Rückruf verlangen, solange das Geld vielleicht noch auf dem Empfängerkonto liegt. Danach schriftlich den Sachverhalt anzeigen, alle Nachrichten sichern, Strafanzeige erstatten. Keine Schuldeingeständnisse gegenüber der Bank, auch nicht beiläufig am Telefon.
Wie lange habe ich Zeit?
Praktisch entscheiden die ersten Stunden, weil nur dann ein Zahlungsrückruf Aussicht hat. Rechtlich gilt für die Anzeige nicht autorisierter Zahlungen eine absolute Frist von 13 Monaten (§ 676b Abs. 2 BGB); Schadensersatzansprüche verjähren nach den allgemeinen Regeln. Warten schadet in jedem Fall.
Die Bank hat abgelehnt. Lohnt sich das Weiterverfolgen?
Die erste Ablehnung ist in aller Regel eine Standardreaktion. Entscheidend ist, ob sich aus den Protokollen der Bank eine Pflichtverletzung belegen lässt. Genau deshalb sollten diese Unterlagen angefordert werden, bevor über weitere Schritte entschieden wird.
Gilt das auch bei Direktbanken ohne Filiale?
Ja, und dort ist die Lage oft zugespitzt, weil die Möglichkeit eines persönlichen Gegenchecks fehlt.
Wie ich Ihnen helfe
Als Fachanwalt für IT-Recht, Rechtsanwalt seit 1994, habe ich über 1.500 Mandate zu Phishing und Internetbetrug bearbeitet. Ich prüfe, in welche der beiden Konstellationen Ihr Fall fällt, fordere die Protokolle bei Ihrer Bank an und setze die Ansprüche durch – außergerichtlich und, wenn nötig, vor Gericht. Wenn die Aussichten schlecht sind, sage ich Ihnen das.
Die Ersteinschätzung ist kostenlos. Telefon 0511 47 39 06-0 · anwalt@thomas-feil.de · Hannover, bundesweit tätig · 4,7 von 5 Sternen bei 67 Google-Rezensionen
Stand: 15.10.2026. Dieser Beitrag gibt allgemeine Hinweise und ersetzt keine Prüfung des Einzelfalls.