Commerzbank Phishing-Mail: Geld zurück nach Kontozugriff

📋 Das Wichtigste in Kürze

Wurde Ihr Commerzbank-Konto nach einer Phishing-Mail leergeräumt, waren die Zahlungen in aller Regel nicht autorisiert – dann muss die Bank nach § 675u BGB erstatten, und zwar unverzüglich. Nicht Sie müssen beweisen, dass Sie sorgfältig waren: Die Commerzbank muss Ihnen grobe Fahrlässigkeit nachweisen, und ihr eigenes Authentifizierungsprotokoll genügt dafür nach § 675w BGB nicht. Seit dem EuGH-Urteil vom 15. Oktober 2026 darf sie die Erstattung auch nicht hinauszögern, solange sie prüft. Prüfen Sie außerdem sofort, ob ein fremdes Gerät mit Ihrem Online-Banking verknüpft ist – eine gesperrte Karte beendet diesen Zugang nicht.

Commerzbank Phishing-Mail erkennen: die fünf Vorwände

Die Betreffzeilen wechseln, die Vorwände nicht. In den Fällen, die mich erreichen, laufen praktisch alle gefälschten Nachrichten auf eine dieser fünf Begründungen hinaus.

1. Die photoTAN läuft ab. Sie sollen das Verfahren „verlängern“ oder die App „neu aktivieren“. Tatsächlich koppeln Sie damit ein fremdes Gerät.
2. Ihre Daten müssen bestätigt werden. Mit Verweis auf Gesetze, oft auf das Geldwäschegesetz oder den Datenschutz. Klingt amtlich, ist es nicht.
3. Eine Sicherheitsüberprüfung steht an. Ihr Konto sei auffällig geworden, Sie müssten sich „legitimieren“.
4. Das Konto wird gesperrt. Mit Frist, meist 24 oder 48 Stunden. Der Zeitdruck ist der eigentliche Angriff – er soll das Nachdenken verhindern.
5. Eine Zahlung muss freigegeben werden. Angeblich eine Abbuchung, die Sie stoppen können, wenn Sie schnell reagieren.

Das Muster dahinter: Jeder dieser Vorwände endet damit, dass Sie etwas freigeben, eingeben oder installieren sollen – und zwar sofort. Eine echte Nachricht Ihrer Bank verlangt nichts davon über einen Link. Im Zweifel schließen Sie die Nachricht, öffnen die Banking-App selbst und sehen nach, ob dort eine Aufforderung liegt.

Die Absenderadresse prüfen

Wenn Sie wegen einer Adresse hier gelandet sind: Die Adresse allein entscheidet nicht. Absender lassen sich fälschen, und echte Banken verschicken aus mehreren Postfächern. Umgekehrt gilt aber: Eine Adresse, die nicht auf @commerzbank.de oder @commerzbank.com endet, stammt nicht von der Bank.

Achten Sie auf die Zeichen unmittelbar vor dem ersten Schrägstrich beziehungsweise nach dem letzten Punkt. Gefälscht wird mit Zusätzen (commerzbank-sicherheit.de), mit Vertauschungen (commerzbannk.de) und mit Subdomains fremder Anbieter (commerzbank.kundenportal-xy.com).

Diese Adressen werden häufig gesucht und sind der Bank zuzuordnen: {{ABSENDER_LISTE}}. Eine Nachricht von dort kann trotzdem gefälscht sein, wenn der Absender nur vorgetäuscht ist – maßgeblich bleibt, was die Nachricht von Ihnen verlangt.

Commerzbank-Konto leergeräumt: die ersten 24 Stunden

Wenn Sie feststellen, dass Ihr Commerzbank-Konto leergeräumt wurde, zählt jede Minute. Die ersten 24 Stunden nach einem Phishing-Angriff sind entscheidend – sowohl für die Schadensbegrenzung als auch für Ihre späteren rechtlichen Ansprüche gegenüber der Bank. Handeln Sie sofort und strukturiert:

1. Online-Banking sofort sperren lassen
Rufen Sie unverzüglich den zentralen Sperr-Notruf 116 116 an und veranlassen Sie die Sperrung Ihres Online-Banking-Zugangs sowie Ihrer Kreditkarten. Alternativ erreichen Sie die Commerzbank direkt unter ihrer offiziellen Kundenhotline. Warten Sie nicht ab – jede Minute kann weitere unautorisierte Transaktionen ermöglichen.

2. Alle Zugangsdaten sofort ändern
Ändern Sie umgehend sämtliche Passwörter – für Ihr Online-Banking, Ihre E-Mail-Adresse und alle weiteren Konten, für die Sie möglicherweise dasselbe oder ein ähnliches Passwort verwendet haben. Auch Ihre PIN sollte sofort geändert werden, sobald der Zugang wieder gesichert ist.

3. Alle Transaktionen dokumentieren
Erstellen Sie sofort Screenshots oder Ausdrucke Ihrer Kontoauszüge und der unautorisiert durchgeführten Transaktionen. Diese Dokumentation ist für das spätere rechtliche Vorgehen gegenüber der Bank unverzichtbar. Notieren Sie Datum, Uhrzeit und Betrag jeder verdächtigen Buchung.

4. Strafanzeige bei der Polizei erstatten
Erstatten Sie noch am selben Tag Strafanzeige bei der zuständigen Polizeidienststelle oder online über das jeweilige Landesportal. Das Aktenzeichen der Strafanzeige ist ein wichtiges Dokument für Ihren Anspruch gegenüber der Bank.

5. Die Bank schriftlich in Verzug setzen
Wenden Sie sich nicht nur telefonisch, sondern auch schriftlich – per E-Mail mit Lesebestätigung oder per Einschreiben – an die Commerzbank. Fordern Sie die Bank auf, die unautorisierten Transaktionen zu stornieren und den Schaden zu ersetzen. Halten Sie dabei fest, dass Sie den Vorfall unverzüglich gemeldet haben.

6. Einen Fachanwalt für IT-Recht einschalten
Die Commerzbank wird den Schaden nicht automatisch ersetzen – häufig versucht die Bank, eine Mitschuld des Kontoinhabers geltend zu machen, um sich der Haftung zu entziehen. Als Fachanwalt für IT-Recht mit über 1.500 abgewickelten Phishing-Fällen unterstütze ich Sie dabei, Ihre Ansprüche schnell und konsequent durchzusetzen. Je früher Sie rechtlichen Beistand hinzuziehen, desto besser stehen Ihre Chancen, das verlorene Geld zurückzuholen.

Wichtig: Gemäß § 675u BGB ist die Bank grundsätzlich verpflichtet, nicht autorisierte Zahlungen zu erstatten. Diese Pflicht entfällt jedoch, wenn die Bank grobe Fahrlässigkeit auf Ihrer Seite nachweisen kann. Genau an diesem Punkt setze ich als Ihr Anwalt an: Ich prüfe, ob die Bank ihre eigenen Sicherheitspflichten verletzt hat – und mache das zu Ihrem Vorteil geltend.

Die ersten 24 Stunden nach einem Phishing-Angriff sind keine Zeit zum Zögern. Handeln Sie strukturiert, dokumentieren Sie alles – und holen Sie sich professionelle Unterstützung. Ich helfe Ihnen, Ihr Geld zurückzuholen.

Vier Fälle aus meiner Praxis

Die folgenden Fälle sind anonymisiert und mit Einwilligung der Betroffenen wiedergegeben. Sie zeigen vier verschiedene Einstiege – und vier verschiedene Gründe, aus denen die Ablehnung der Bank angreifbar ist.

Fall 1: Die Bank sperrt die Karte – und es geht weiter

An zwei aufeinanderfolgenden Tagen im Juli meldete die Commerzbank dem Mandanten per SMS auffällige Transaktionen und sperrte seine Kreditkarte von sich aus. Damit war der Vorgang für die Bank offenbar erledigt.

Er war es nicht. Nach der Sperrung gingen weitere Meldungen ein – über neu eingerichtete virtuelle Debitkarten. Über diese liefen anschließend vier Abbuchungen in der Währung eines Golfstaats. Erst am Folgetag wurde die Karte eingeschränkt gesperrt. Gesamtschaden: rund 18.000 Euro.

Der Mandant handelte zügig und vollständig: Kündigung der virtuellen Karten, Kündigung der Ersatzkarte und des Online-Banking-Zugangs in der Filiale, sechs Reklamationsvorgänge, Strafanzeige, Beschwerde, ein separates Schreiben an die zentrale Stelle der Bank mit der Gesamtdarstellung.

Alle sechs Reklamationen wurden abgelehnt – mit ein und demselben Wortlaut. Auf die Beschwerde folgte: „Nach erneuter Prüfung bestätigen wir, dass die Ablehnungen zu Ihren Reklamationen korrekt erfolgt sind.“

Der rechtliche Kern: Die Bank hat den Angriff erkannt und reagiert – aber nur auf die Karte. Dass auf demselben, weiterhin kompromittierten Zugang neue Zahlungsinstrumente eingerichtet wurden, hat sie nicht verhindert. Eine Sperre, die den Zugang offenlässt, ist keine Sperre. Und sechs identische Ablehnungen sind ein Indiz dafür, dass keine Einzelfallprüfung stattgefunden hat.

Fall 2: „Während der Prüfung wird weiter abgebucht“

Eine Mandantin stellte an einem Junitag fest, dass rund 4.400 Euro in vier Raten von ihrem Kreditkonto an einen Zahlungsempfänger im Ausland abgeflossen waren. Sie ließ die Karte sperren, verlangte Rückerstattung, erstattete Strafanzeige und gab ihre Beschwerde persönlich in der Filiale ab; Kopien gingen an die Aufsichtsbehörde.

In der Filiale bat sie darum, die weitere Abbuchung des Betrags von ihrem Konto zu stoppen, solange der Vorgang untersucht wird. Der Mitarbeiter lehnte ab – während der laufenden Prüfung werde das Geld weiterhin automatisch abgebucht. Auf ihren Einwand, der Vorgang sei ein Sicherheitsproblem der Bank, widersprach er ausdrücklich.

Die Mandantin ist alleinerziehend. Der Betrag entsprach etwa einem Monatsgehalt.

Der rechtliche Kern: Genau diese Praxis hat der Europäische Gerichtshof am 15. Oktober 2026 beendet. Die Bank darf die Erstattung nicht zurückhalten, solange sie prüft. Hinzu kommt eine Besonderheit dieses Falls: Weil die Beträge über ein Kreditkonto liefen, zahlte die Mandantin für die Dauer der Prüfung auch noch Zinsen auf fremdes Geld.

Fall 3: „Das kann nur Sie selbst freigegeben haben“

Eine Mandantin bot Kindersachen auf einer Kleinanzeigen-Plattform an. Kurz darauf erreichten sie mehrere Nachrichten angeblicher Käufer und die Aufforderung, eine Zahlungsbestätigung aufzurufen. In einem Chat, der einen menschlichen Ansprechpartner vortäuschte, wurde sie dazu gebracht, ihre Kreditkartendaten einzugeben und einen Screenshot aus ihrer photoTAN-App zu übermitteln.

Kurz danach erhielt sie photoTAN-Mitteilungen über zwei Überweisungen, die sie nicht freigegeben hatte. Schaden: rund 10.000 Euro. Sie informierte sofort telefonisch die Bank, der Zugang wurde umgehend gesperrt, Strafanzeige erstattet.

Die Bank lehnte ab – mit der Begründung, photoTAN-Zahlungen hätten „nur von ihr selbst freigegeben werden können“.

Der rechtliche Kern: Diese Begründung ist in dieser Pauschalität nicht haltbar. Entscheidend ist, was die Bank bei der Freigabe tatsächlich angezeigt hat und ob über den übermittelten Screenshot ein weiteres Gerät für das Verfahren aktiviert werden konnte – dann erzeugt der Angreifer die TAN selbst. Beides steht in den Protokollen der Bank, nicht in denen der Mandantin. Offen gesagt ist dies der schwierigste der vier Fälle: Wer Kartendaten eingibt und einen Screenshot aus der TAN-App versendet, muss mit dem Vorwurf grober Fahrlässigkeit rechnen. Beweisen muss ihn die Bank – und dazu genügt ihr Authentifizierungsprotokoll nach § 675w BGB nicht.

Fall 4: Gemeldet, während die Zahlung noch offen war

Eine Mandantin erhielt im Februar einen Anruf, der unter der offiziellen Rufnummer der Commerzbank angezeigt wurde. Der Anrufer behauptete, in ihrem Konto seien zwei Kryptotransaktionen in erheblicher Höhe vorgemerkt, die dringend storniert werden müssten. Unter diesem Vorwand und erheblichem Zeitdruck gab sie ihre Zugangsdaten preis.

Unmittelbar nach dem Gespräch erkannte sie den Betrug und meldete ihn noch am selben Tag. Zu diesem Zeitpunkt standen die Transaktionen noch auf „pending“.

Trotz der Meldung und der Sperrung ihrer Zugänge wurden in den folgenden Tagen 11.050 Euro ausgeführt. Zwei Wochen später lehnte die Bank die Reklamation ab.

Der rechtliche Kern: Eine Zahlung, die noch nicht ausgeführt ist, lässt sich anhalten. Wird sie nach einer ausdrücklichen Meldung trotzdem ausgeführt, verletzt die Bank ihre Schutzpflichten aus § 280 Abs. 1 BGB – und zwar unabhängig davon, ob man der Kundin einen Vorwurf macht. Die Frage, wie sorgfältig sie am Telefon war, kann in diesem Fall offenbleiben.

Das Muster hinter den vier Fällen

Dreimal hat die Commerzbank den Vorgang selbst erkannt – durch ihre SMS-Warnungen, durch die eigene Kartensperre, durch die Meldung der Kundin bei noch offener Zahlung. In allen drei Fällen folgte daraus keine wirksame Konsequenz. Der häufigste Einwand der Bank zielt auf das Verhalten des Kunden. Die entscheidenden Informationen liegen aber bei ihr: in den Protokollen zur Geräteaktivierung, zum angezeigten Freigabetext und zu den ausgelösten Warnungen des Betrugserkennungssystems.

Die Rechtslage: Was die Commerzbank Ihnen schuldet

Der Erstattungsanspruch aus § 675u BGB

War eine Zahlung nicht autorisiert, hat die Bank keinen Anspruch auf Erstattung ihrer Aufwendungen und muss den Betrag unverzüglich zurückbuchen. Nicht autorisiert heißt: Sie haben der konkreten Zahlung nicht wirksam zugestimmt. Wer einer vermeintlichen Stornierung zustimmt, stimmt keiner Überweisung zu. Wer eine Telefonnummer bestätigt, aktiviert kein Zahlungsverfahren.

Die Beweislast liegt bei der Bank

Das ist der Punkt, an dem die meisten Ablehnungen scheitern. Will die Bank nicht erstatten, braucht sie einen Gegenanspruch – in aller Regel Schadensersatz nach § 675v Abs. 3 Nr. 2 BGB wegen grober Fahrlässigkeit. Diesen Vorwurf muss sie beweisen. Sie müssen nicht beweisen, dass Sie sorgfältig waren.

Und nach § 675w BGB genügt dafür die Aufzeichnung der Authentifizierung ausdrücklich nicht. Dass eine Zahlung „mit photoTAN freigegeben“ wurde, beweist weder, dass Sie sie autorisiert haben, noch dass Sie grob fahrlässig gehandelt haben. Die Bank muss mehr vortragen als ihr eigenes Protokoll.

Ohne starke Kundenauthentifizierung keine Kundenhaftung

Hat die Bank keine starke Kundenauthentifizierung verlangt, haften Sie nach § 675v Abs. 4 S. 1 Nr. 1 BGB selbst dann nicht, wenn man Ihnen grobe Fahrlässigkeit vorwirft. Verlangt werden zwei voneinander unabhängige Elemente aus Wissen, Besitz und Inhärenz. Wurde ein weiteres Gerät für das TAN-Verfahren aktiviert, stellt sich die Frage, ob dessen Besitz überhaupt geprüft wurde.

Erst erstatten, dann streiten: EuGH, 15.10.2026, C-70/25

Der Europäische Gerichtshof hat entschieden, dass die Bank nicht autorisierte Zahlungen unverzüglich zu erstatten hat und die Erstattung nicht zurückhalten darf, solange sie prüft. Zurückhalten darf sie nur bei einem begründeten Verdacht betrügerischen Verhaltens des Kunden – und selbst dann muss sie diesen Verdacht der zuständigen nationalen Behörde schriftlich mitteilen.

Über die Haftung wird danach gestritten, auf Betreiben der Bank. Die Praxis aus Fall 2 – während der internen Prüfung weiter abzubuchen – ist damit nicht mehr haltbar. Ausführlich: EuGH C-70/25 – die Bank muss sofort erstatten.

Die 13-Monats-Frist

Nach § 676b Abs. 2 BGB sind Ansprüche ausgeschlossen, wenn Sie die nicht autorisierte Zahlung nicht innerhalb von 13 Monaten nach der Belastung angezeigt haben. Die Frist läuft auch dann, wenn Sie mit der Bank noch verhandeln. Eine telefonische Meldung lässt sich später kaum belegen – melden Sie schriftlich.

Was die Commerzbank antworten wird

Die Ablehnungen folgen wenigen Mustern. Wenn Sie wissen, welches Sie erwartet, verlieren Sie keine Zeit mit der falschen Diskussion.

Sechs Fragen, schriftlich und mit Fristsetzung

Die Geräte- und Verfahrensaktivierung: Wann, über welchen Kanal und mit welcher Authentifizierung wurde ein weiteres Gerät für das TAN-Verfahren aktiviert? · Der Anzeigetext: Welcher Text wurde bei jeder Freigabe übermittelt? · Die neuen Zahlungsinstrumente: Wann und auf welchem Weg wurden virtuelle Karten eingerichtet, und welche Prüfung fand dabei statt? · Das Betrugserkennungssystem: Welche Warnungen wurden ausgelöst – und was ist daraufhin geschehen? · Die gemeldete Zahlung: Wann ging die Meldung ein, in welchem Status befand sich die Zahlung, und warum wurde sie dennoch ausgeführt? · Die Prüfung selbst: Wer hat wann geprüft, und auf welcher Tatsachengrundlage?

Fünf Fehler, die Fälle kosten

Nur telefonisch melden. Die Meldung ist der Beginn der 13-Monats-Frist und der Ausgangspunkt jedes späteren Verfahrens. Rufen Sie an, damit gesperrt wird – und schreiben Sie am selben Tag.

Die Karte sperren und sich in Sicherheit wiegen. Fall 1 zeigt, wie das endet. Prüfen Sie, welche Geräte mit Ihrem Online-Banking verknüpft sind und ob zusätzliche Karten oder virtuelle Karten eingerichtet wurden.

Über die Schuldfrage diskutieren. Jede Erklärung, warum Sie den Anruf für echt hielten, liefert der Bank Material für den Fahrlässigkeitsvorwurf. Schildern Sie den Ablauf sachlich und verlangen Sie Auskunft – die entscheidenden Informationen liegen ohnehin bei der Bank.

Die Ablehnung hinnehmen. Eine Ablehnung ist eine Rechtsauffassung, kein Urteil. In allen vier Fällen oben war die erste Antwort der Bank ablehnend.

Gespräche heimlich aufzeichnen. Das ist nach § 201 StGB strafbar, und solche Aufnahmen sind im Zivilprozess grundsätzlich unverwertbar. Notieren Sie stattdessen unmittelbar nach jedem Telefonat Datum, Uhrzeit, Namen und Inhalt.

Weiterführend

Anruf oder SMS, aber noch kein Schaden? Woran Sie echte Kontakte der Commerzbank von gefälschten unterscheiden: Ruft die Commerzbank an? Echte Anrufe von Betrug unterscheiden.

Brief zur Aktualisierung Ihrer Kundendaten? Dieser Brief ist häufig echt: Commerzbank Brief zur Aktualisierung der Kundendaten – echt oder gefälscht?

Ihre Karte in einem fremden Wallet? Wie Tokenisierung funktioniert und warum eine Kartensperre sie nicht beendet.

Wie ich Ihnen helfe

Ich bin Fachanwalt für IT-Recht und seit 1994 als Rechtsanwalt zugelassen. Phishing- und Online-Banking-Fälle bearbeite ich bundesweit; die Kanzlei sitzt in Hannover, der Kontakt läuft in aller Regel über Telefon, E-Mail und Videotermin.

Was ich konkret für Sie tue

Erstens die Fristen sichern. Der Schaden wird schriftlich angezeigt und die Erstattung nach § 675u BGB unter Fristsetzung verlangt – wegen der Ausschlussfrist aus § 676b Abs. 2 BGB und weil mündliche Meldungen später kaum zu belegen sind.

Zweitens die Bank zur Auskunft zwingen. Die sechs Fragen oben, schriftlich und mit Frist. Diese Unterlagen entscheiden Verfahren häufiger als die Frage, was Sie angeklickt haben.

Drittens die Ablehnung angreifen. Gegen den Vorwurf der groben Fahrlässigkeit und gegen die Behauptung, eine korrekt authentifizierte Zahlung sei damit autorisiert.

Viertens, wenn nötig, klagen. Erfolgsaussichten, Kostenrisiko und Dauer bespreche ich mit Ihnen, bevor etwas eingereicht wird.

Eine Rechtsschutzversicherung übernimmt die Kosten in diesen Fällen häufig – ob Ihre eintritt, kläre ich vorab für Sie.

Die erste Einschätzung ist kostenlos. Schildern Sie mir kurz, was passiert ist. Wenn ich keine Erfolgsaussicht sehe, sage ich Ihnen das im ersten Gespräch und nicht nach der ersten Rechnung.

Telefon 0511 47 39 06-0 · anwalt@thomas-feil.de

Erst erstatten, dann streiten: EuGH, 15.10.2026, C-70/25

Der Europäische Gerichtshof hat entschieden, dass die Bank bei einer nicht autorisierten Zahlung unverzüglich zu erstatten hat und die Erstattung nicht zurückhalten darf, solange sie prüft. Zurückhalten darf sie nur bei einem begründeten Verdacht betrügerischen Verhaltens des Kunden – und selbst dann muss sie diesen Verdacht der zuständigen nationalen Behörde schriftlich mitteilen.

Über die Haftung wird danach gestritten, auf Betreiben der Bank. Die verbreitete Praxis, die Erstattung bis zum Abschluss der internen Prüfung oder bis zum Ausgang einer Rückforderung bei der Empfängerbank hinauszuzögern, ist damit nicht mehr haltbar.

Ausführlich: EuGH C-70/25 – die Bank muss sofort erstatten.

Banken begründen ihre Ablehnung regelmäßig damit, die Zahlung sei „korrekt authentifiziert“ worden – mit photoTAN, mit App-Freigabe, mit protokolliertem Login. Das genügt nicht. Nach § 675w BGB beweist die Aufzeichnung der Authentifizierung für sich genommen weder, dass Sie die Zahlung autorisiert haben, noch dass Sie vorsätzlich oder grob fahrlässig gehandelt haben. Die Bank muss mehr vortragen als ihr eigenes Protokoll.

Häufige Fragen

Die Commerzbank hat meine Reklamation abgelehnt. Ist damit alles vorbei?

Nein. Eine Ablehnung ist die Rechtsauffassung der Bank, kein Urteil. In allen vier oben geschilderten Fällen war die erste Antwort ablehnend. Entscheidend ist, ob die Bank den Vorwurf der groben Fahrlässigkeit beweisen kann – und ihr eigenes Authentifizierungsprotokoll genügt dafür nach § 675w BGB nicht.

Die Bank sagt, mit photoTAN hätte nur ich selbst freigeben können. Stimmt das?

In dieser Pauschalität nicht. Maßgeblich ist, welches Gerät freigegeben hat, wann es für das Verfahren aktiviert wurde und welcher Text bei der Freigabe angezeigt wurde. Wurde ein weiteres Gerät aktiviert, erzeugt der Angreifer die TAN selbst. Diese Angaben liegen bei der Bank und sind anzufordern.

Mein Konto wird weiter belastet, während die Bank prüft. Darf sie das?

Nach dem EuGH-Urteil vom 15. Oktober 2026 nicht. Die Erstattung darf nicht zurückgehalten werden, solange die Bank prüft. Zurückhalten darf sie nur bei einem begründeten Verdacht betrügerischen Verhaltens des Kunden – und muss diesen Verdacht dann der zuständigen Behörde schriftlich mitteilen.

Meine Karte war gesperrt. Wie konnte trotzdem Geld abfließen?

Weil eine Kartensperre den Zugang zum Konto nicht beendet. Über einen weiterhin offenen Online-Banking-Zugang lassen sich neue Karten einrichten, darunter virtuelle Debitkarten. Prüfen Sie deshalb immer auch die verknüpften Geräte und die Liste Ihrer Karten.

Lohnt sich jetzt noch eine Rechtsschutzversicherung?

Für diesen Schaden nicht. Versicherungen leisten grundsätzlich nur für Rechtsschutzfälle, die nach Vertragsbeginn und nach Ablauf einer Wartezeit eintreten; ein bereits eingetretener Fall ist nicht versichert. Für künftige Fälle kann eine Versicherung sinnvoll sein – den laufenden rettet sie nicht.

Wie lange habe ich Zeit?

Die Anzeige muss innerhalb von 13 Monaten nach der Belastung erfolgen (§ 676b Abs. 2 BGB). Unabhängig davon gilt: Je früher gemeldet wird, desto eher lässt sich eine noch offene Zahlung anhalten.

Was kostet die Prüfung meines Falls?

Die erste Einschätzung ist kostenlos. Was eine weitere Bearbeitung kostet, bespreche ich vorher mit Ihnen – ebenso, ob Ihre Rechtsschutzversicherung eintritt.

Weiterführend

Geld ist bereits abgeflossen? Was die Bank Ihnen schuldet, welche Fristen gelten und wie Sie vorgehen: Commerzbank Phishing – Geld zurückfordern nach Kontozugriff.

Brief von der Commerzbank zur Aktualisierung Ihrer Daten? Dieser Brief ist häufig echt. Woran Sie den Unterschied erkennen: Commerzbank Brief zur Aktualisierung der Kundendaten – echt oder gefälscht?

Anruf eines angeblichen Bankmitarbeiters? Wie Spoofing funktioniert und was rechtlich gilt.

Sonderfall: Sie haben nach einem Anruf selbst überwiesen?

Fazit

Nach einem Phishing-Angriff auf ein Commerzbank-Konto ist die rechtliche Ausgangslage besser, als die erste Antwort der Bank vermuten lässt. Nicht autorisierte Zahlungen muss die Bank nach § 675u BGB unverzüglich erstatten. Den Vorwurf der groben Fahrlässigkeit muss sie beweisen, und ihr eigenes Protokoll genügt dafür nicht. Seit dem EuGH-Urteil vom 15. Oktober 2026 darf sie die Erstattung auch nicht hinauszögern, solange sie prüft.

Drei Dinge entscheiden in der Praxis: Melden Sie schriftlich und sofort. Prüfen Sie, ob ein fremdes Gerät verknüpft oder ein zusätzliches Zahlungsinstrument eingerichtet wurde – eine gesperrte Karte beendet das nicht. Und nehmen Sie die erste Ablehnung nicht als Ende, sondern als Anfang.

Stand: 27.10.2026. Dieser Beitrag gibt allgemeine Hinweise und ersetzt keine Prüfung des Einzelfalls.

Commerzbank Phishing – Geld weg? Ich helfe bundesweit!

▼

Suchen Sie rechtlichen Beistand?

Kontakt aufnehmen

Stand: 27.10.2026 (letzte Änderung)