📋 Das Wichtigste in Kürze
Wurde Ihr DKB-Konto leergeräumt, waren die Zahlungen in aller Regel nicht autorisiert – dann muss die Bank nach § 675u BGB erstatten, und zwar unverzüglich. Nicht Sie müssen beweisen, dass Sie sorgfältig waren: Die DKB muss die grobe Fahrlässigkeit beweisen, und die aufgezeichnete Authentifizierung genügt dafür nach § 675w BGB nicht. Seit dem EuGH-Urteil vom 15. Oktober 2026 darf die Bank die Erstattung auch nicht hinauszögern, solange sie prüft. Prüfen Sie außerdem sofort, ob ein fremdes Gerät mit Ihrem Online-Banking verknüpft ist – das ist in meinen DKB-Mandaten der häufigste Mechanismus, und eine gesperrte Karte stoppt es nicht.
Soforthilfe bei DKB-Phishing Für Sperren rund um die Uhr erreichbar · geprüft am 26. Oktober 2026
Wenn Sie Zugangsdaten eingegeben oder auf einen Link geklickt haben, gilt bei der DKB eine ungewöhnliche, aber wirkungsvolle Reihenfolge: Setzen Sie zuerst Ihr Überweisungslimit auf 0,00 Euro. Das geht in Sekunden im Banking oder in der App und stoppt Überweisungen sofort — ohne dass Sie erst in einer Warteschleife hängen. Danach sperren, dann anrufen.
Englischer Text ist das sicherste Erkennungsmerkmal. Viele gefälschte DKB-Nachrichten enthalten Formulierungen wie „The user account is locked“ oder ähnliche englische Sätze. Die DKB kommuniziert mit deutschen Kundinnen und Kunden auf Deutsch. Ein englischer Satz in einer angeblichen DKB-Nachricht ist damit praktisch ein Beweis für eine Fälschung — unabhängig davon, wie professionell der Rest gestaltet ist.
Bei Verdacht auf Schadsoftware: Gerät vom Internet trennen. WLAN und mobile Daten abschalten. Die DKB empfiehlt das ausdrücklich, damit sich Schadsoftware nicht auf andere Geräte im selben Netzwerk ausbreitet. Nutzen Sie für Sperrung und Anruf ein anderes Gerät.
Danach: die nächsten Schritte
- Auf angelegte Aufträge und Empfänger prüfen. Täter richten häufig neue Überweisungsvorlagen, Daueraufträge oder zusätzliche Empfänger ein. Auch hinterlegte Telefonnummern und E-Mail-Adressen kontrollieren.
- Umsätze sichern. Screenshots aller unbekannten Buchungen mit Datum, Betrag und Empfänger. Bei noch vorgemerkten, nicht ausgeführten Umsätzen sofort nach einem Rückruf fragen — dort ist ein Stopp oft noch möglich.
- Die Nachricht aufbewahren. E-Mail oder SMS nicht löschen, bevor Sie sie gesichert haben. Bei E-Mails zusätzlich den vollständigen Kopfzeilen-Text sichern.
- Der Abbuchung schriftlich widersprechen. Ein Telefonat genügt als Nachweis nicht. Ein kurzes Schreiben, das die Zahlung ausdrücklich als nicht autorisiert bezeichnet, sichert Ihre Position.
- Strafanzeige erstatten. Bei jeder Polizeidienststelle oder online über die Internetwache Ihres Bundeslandes. Das Aktenzeichen benötigen Sie später gegenüber der Bank.
Wichtig: Verwenden Sie niemals eine Rufnummer oder einen Link aus der verdächtigen Nachricht. Rufen Sie das Banking nur über die selbst eingetippte Adresse oder die DKB-App auf. Angaben nach Auskunft der DKB, geprüft am 26. Oktober 2026.
Inhaltsverzeichnis
DKB Phishing-Mail erkennen: die fünf Vorwände
Seit Anfang 2024 verfolge ich die Betrugswellen gegen DKB-Kunden. Die Gestaltung wird besser, die Absender wechseln – aber die Vorwände sind seit Jahren dieselben fünf. Wenn die Nachricht vor Ihnen in eine dieser Kategorien passt, brauchen Sie nicht weiter zu prüfen.
1. Ihre Daten müssen aktualisiert werden. Mal als allgemeine Aufforderung, mal mit einer erfundenen Pflicht im Rücken – etwa, Kontodaten seien alle 90 Tage zu bestätigen. Eine solche Pflicht gibt es nicht.
2. Es steht eine Sicherheitsüberprüfung an. Eine Verifizierung, eine Legitimation, eine Prüfung Ihres Zugangs. Klingt regulatorisch, ist erfunden.
3. Ihr Konto wird geschlossen oder eingeschränkt. Die Drohvariante. Mal heißt es Kontoschließung, mal Aussetzung des Vertrags, mal Einschränkung des Zugangs – immer mit Frist.
4. Ihre App-Anmeldung muss erneuert werden. Die gefährlichste Variante, weil sie den Mechanismus direkt bedient: Am Ende steht die Kopplung eines fremden Geräts mit Ihrem Online-Banking.
5. Ein Vorwand ohne Bankbezug. Angebliche Zollgebühren per SMS, eine Paketbenachrichtigung, eine Nachricht im Stil eines Karrierenetzwerks. Hier geht es zunächst nur um den Klick; das Banking kommt später.
Worauf Sie sich nicht mehr verlassen können
Auf Rechtschreibung, auf das Layout und auf die Absenderadresse. Texte werden maschinell erzeugt und sind fehlerfrei, Logos lassen sich kopieren, Absenderadressen fälschen – dazu gleich mehr. Verlässlich ist allein das Muster oben, verbunden mit Handlungsdruck.
Und die Gegenprobe, die immer funktioniert: Öffnen Sie Ihre DKB-App und sehen Sie dort nach, ob tatsächlich ein Vorgang offen ist. Steht dort nichts, war die Nachricht gefälscht – unabhängig davon, wie überzeugend sie aussah.
Eine Nachricht erhalten, die in keine dieser Kategorien passt? Schicken Sie sie mir gern als Screenshot an anwalt@thomas-feil.de – ich sehe sie mir an.
Ihr Konto wurde von der DKB gesperrt?
Das ist ein anderes Problem als Phishing. Wenn die Bank selbst den Zugang sperrt – meist im Rahmen einer Geldwäscheprüfung –, gelten andere Regeln und andere Fristen. Dazu habe ich eine eigene Seite: DKB Konto gesperrt – was Sie jetzt tun können.
Ist diese E-Mail wirklich von der DKB? Die Absenderadressen
Viele Betroffene machen genau das Richtige: Sie kopieren die Absenderadresse aus der verdächtigen Mail und suchen danach. Deshalb hier die Einordnung der Adressen, nach denen am häufigsten gefragt wird.
Diese Adressen verwendet die DKB tatsächlich:
| E-Mail-Adresse | Status / Verwendung |
|---|---|
noreply@dkb.de | Echt. Wird für automatisierte Systembenachrichtigungen genutzt (z. B. Bestätigungen oder Info-Mails, auf die man nicht antworten kann). |
kundeninformation@emails.dkb.de | Echt. Die DKB nutzt die Subdomain emails.dkb.de nachweislich für regelmäßige Kundeninformationen, Zinsänderungen oder gesetzliche Updates. |
autoreply@dkb.de | Echt. Wird in der Regel als automatisierte Eingangsbestätigung verschickt, wenn Sie eine Anfrage an den Support gesendet haben. |
phishingverdacht@dkb.de | Echt. Die offizielle Adresse, an die Kunden verdächtige Nachrichten zur Prüfung weiterleiten können. |
Und hier kommt die schlechte Nachricht: Dass eine Adresse echt ist, beweist nichts. Absenderadressen lassen sich fälschen, und genau das geschieht. In der Welle vom September 2024 trugen die Phishing-Mails den Absender noreply@dkb.de – eine Adresse, die die DKB selbst nutzt.
Die Adresse ist also nur ein erstes Indiz. Verlässlich ist allein die Gegenprobe: Öffnen Sie Ihre DKB-App und sehen Sie dort nach, ob tatsächlich ein Vorgang offen ist. Steht dort nichts, war die Mail gefälscht – unabhängig davon, wie der Absender lautete.
Und niemals über den Link in der Nachricht gehen, auch nicht „nur zum Nachsehen“.
Vier Fälle aus meiner Praxis – und was sie über die DKB verraten
Die folgenden vier Mandate stammen von Menschen, die nichts voneinander wissen. Die Einstiege sind völlig verschieden: ein Anruf, ein Kleinanzeigen-Verkauf, eine Phishing-Mail – und in einem Fall gar nichts davon. Die Schäden reichen von 9.000 bis knapp 30.000 Euro.
Und doch haben alle vier dasselbe Merkmal: In jedem Fall wurde ein fremdes Gerät mit dem Online-Banking verknüpft. In drei Fällen hat die DKB das selbst per E-Mail gemeldet. Die Bank hat den Vorgang also erkannt, den Kunden benachrichtigt – und nicht eingegriffen.
Fall 1: „Das ist nur eine Scheinüberweisung“
Der Mandant hat nie auf eine Phishing-Mail geklickt und nie bewusst Daten weitergegeben. Er bekam einen Anruf – unter der ihm bekannten Hotline-Nummer der DKB. Eine Frau gab sich als Mitarbeiterin aus und erklärte, man müsse sich gemeinsam in die Banking-App einloggen.
Sie kannte bereits seinen Benutzernamen, den er ursprünglich von der DKB erhalten hatte. Und sein Passwort war offenbar schon geändert: Sein eigener Login funktionierte nicht mehr. Sie nannte ihm das neue Passwort – „Berlin123.“ – und damit kam er wieder in die App.
Dann sollte er die App löschen und neu installieren. Kurz darauf kam eine E-Mail der DKB: Anmeldung mit einem neuen Gerät. Die Anruferin erklärte, das bestätige nur die Sicherheitsmaßnahmen.
Nach seinem Kenntnisstand konnte die Anruferin seine E-Mails mitlesen – sie reagierte auf Inhalte der DKB-Kommunikation und bezog sie in ihre Erklärungen ein.
Dann wurden 9.000 Euro überwiesen. Sie erklärte vorab, es handle sich um eine Scheinüberweisung, die nur die Zwei-Faktor-Authentifizierung teste; das Geld komme in wenigen Stunden automatisch zurück. Auf die Sicherheits-E-Mail der DKB solle er keinesfalls reagieren.
Und hier wird es für die Bank unangenehm. Er las die E-Mail trotzdem. Darin stand, die Überweisung sei wegen Betrugsverdachts zurückgehalten worden und er möge spätestens bis zum nächsten Werktag antworten. Er antwortete innerhalb von etwa sechs Stunden und teilte ausdrücklich mit, dass er die Überweisung nicht veranlasst habe und sie gestoppt werden solle.
Das Geld ging trotzdem raus – auf ein Konto im europäischen Ausland. Die DKB teilte mit, man versuche eine Rückforderung über die Empfängerbank; das könne bis zu sechs Wochen dauern.
Unmittelbar nach seiner Antwort rief dieselbe Frau wieder an, erneut unter der DKB-Hotline-Nummer, sichtlich verärgert, und versuchte ihn von weiteren Schritten abzuhalten.
Fall 2: 17 Fehlversuche in neun Tagen
Dieser Fall hat keinen Einstieg im üblichen Sinn. Keine Phishing-Mail, kein Anruf, keine Weitergabe von Zugangsdaten oder TAN, ein Mobiltelefon mit Virenschutz. Und trotzdem wurde das Girokonto übernommen.
Über neun Tage im Winter liefen nicht autorisierte SEPA-Echtzeitüberweisungen, dazu eine nicht beantragte Dispo-Erhöhung auf 6.100 Euro und Abbuchungen vom Tagesgeldkonto. Gesamtschaden: knapp 30.000 Euro.
Die DKB hat in diesem Zeitraum eine beachtliche Zahl eigener Nachrichten verschickt: eine E-Mail „Neues Gerät verknüpft“, eine E-Mail über die Sperrung der Visa-Debitkarte – und 17 E-Mails zu fehlgeschlagenen Echtzeitüberweisungen.
Siebzehn Fehlversuche. Eine Dispo-Erhöhung, die niemand beantragt hatte. Ein neu verknüpftes Gerät. Neun Tage Zeit. Das Konto blieb offen.
Entdeckt wurde der Schaden erst danach, sofort gemeldet, Strafanzeige erstattet. Eine Erstattung steht aus.
Fall 3: Der Verkauf, der in einem fremden iPhone endete
Ein Kinderspielzeug sollte über eine Kleinanzeigen-Plattform verkauft werden. Der Käufer wirkte völlig normal, nannte eine Lieferadresse und fragte nach PayPal. Das funktioniere leider nicht, hieß es dann – ob man nicht das Bezahlmodul der Plattform nutzen könne.
Es folgten mehrere E-Mails, die wie echte Plattform-Nachrichten aussahen: Der Artikel sei verkauft, die Abwicklung laufe nun über das Bezahlmodul, die Kontoverbindung möge bestätigt werden. In einem Chat hatten die Täter bereits die IBAN, die Information, dass es ein DKB-Konto ist, und das Ablaufdatum der Karte. Es fehlten nur noch die drei Prüfziffern.
Der Mandant zögerte kurz – und dachte dann, er habe das Bezahlmodul ja schon einmal genutzt, also lägen die Daten dort ohnehin vor. Über einen Link gelangte er auf eine gefälschte Seite. In diesem Zusammenhang wurde die Debitkarte auf einem fremden iPhone nutzbar gemacht.
Kurz darauf kamen zwei E-Mails der DKB: Sofortüberweisungen auf verschiedene Konten seien gestoppt worden. Er versuchte, in die App zu kommen – vergeblich, die Täter hatten den Zugang bereits. Sie buchten 2.000 Euro vom Tagesgeld- auf das Girokonto und von dort knapp 3.000 Euro an einen großen Reiseportal-Zahlungsempfänger.
Die DKB stoppte also mehrere Sofortüberweisungen – und ließ diese eine durch.
Bemerkenswert ist der Satz, den er bei der Bank zu hören bekam: Diese Vorgehensweise sei der DKB bereits bekannt.
Fall 4: Der Code, der kein Code für die Telefonnummer war
Eine E-Mail der DKB, angeblich, mit der Bitte, die Kontaktdaten zu aktualisieren. Der Mandant gab seine Zugangsdaten auf dem vermeintlichen Login-Portal ein. Dann wurde er aufgefordert, seine Telefonnummer zu bestätigen, indem er den an ihn gesendeten Code eingab.
Er tat es. In seinen Worten: „Was ich leider nicht sah: dass dadurch ein neues Gerät mit meinem Online-Banking verknüpft wurde.“
In den folgenden zwei Tagen gingen zweimal rund 9.000 Euro und einmal 5.000 Euro an Konten im Ausland. Zusammen 24.000 Euro. Die Bank verweigert die Erstattung.
Was diese vier Fälle gemeinsam haben
Vier Muster wiederholen sich, und jedes hat rechtliche Folgen.
Das fremde Gerät – und die E-Mail der Bank darüber. In allen vier Fällen wurde ein Gerät verknüpft, das dem Kunden nicht gehörte. Dreimal hat die DKB das selbst gemeldet. Eine Bank, die eine Gerätekopplung erkennt und per E-Mail darüber informiert, hat den sicherheitsrelevanten Vorgang registriert. Die Frage ist, warum daraus keine Prüfung folgte – etwa ein Rückruf über einen vom Kunden selbst gewählten Kanal, bevor über das neue Gerät Verfügungen möglich sind.
Die Freigabe, die etwas anderes war. In Fall 4 wurde ein Code angefordert, um „die Telefonnummer zu bestätigen“. Tatsächlich koppelte er ein fremdes Gerät. Wer einer Telefonnummernbestätigung zustimmt, stimmt nicht der Einrichtung eines fremden Zugangs zu. Maßgeblich ist, welcher Text bei der Code-Anforderung angezeigt wurde. Das OLG Karlsruhe hat in vergleichbarem Zusammenhang beanstandet, dass eine allgemein gehaltene Freigabemeldung nicht erkennen ließ, wozu der Kunde tatsächlich zustimmt (Urteil vom 23.12.2025, Az. 17 U 113/23 – Revision zugelassen).
Die Zeitfenster. Das sind keine Sekundenbruchteile. Fall 2: neun Tage und 17 Fehlversuche. Fall 4: zwei Tage und drei Auslandsüberweisungen. Fall 1: sechs Stunden zwischen dem ausdrücklichen Widerspruch des Kunden und der Ausführung. In allen drei Fällen hatte die Bank Zeit zu handeln.
Die Bank stoppt – und lässt trotzdem durch. In Fall 1 wurde die Zahlung wegen Betrugsverdachts zurückgehalten, der Kunde widersprach innerhalb der von der Bank selbst gesetzten Frist, und das Geld ging raus. In Fall 3 stoppte die Bank mehrere Sofortüberweisungen und ließ eine durch. Das Betrugserkennungssystem funktioniert also – nur die Konsequenz fehlt.
Welche Unterlagen Sie bei der DKB anfordern sollten
Sechs Fragen, schriftlich und mit Fristsetzung
Die Geräteregistrierung: Wann, über welchen Kanal und mit welcher Authentifizierung wurde das fremde Gerät verknüpft? Welche Gerätekennung und welche IP-Adresse sind protokolliert? · Der Anzeigetext: Welcher Text wurde bei jeder Freigabe- oder Code-Anforderung übermittelt? · Die Passwortänderung: Wann und über welchen Weg wurde das Passwort geändert, und welche Prüfung fand dabei statt? · Das Betrugserkennungssystem: Welche Warnungen wurden ausgelöst – bei der Gerätekopplung, bei der Dispo-Erhöhung, bei den fehlgeschlagenen Überweisungen, beim erstmaligen Auslandsempfänger – und was ist daraufhin geschehen? · Die zurückgehaltene Zahlung: Aus welchem Grund wurde sie angehalten, wann ging die Antwort des Kunden ein, und warum wurde sie dennoch ausgeführt? · Der Zahlungsrückruf: Wann wurde er veranlasst, an welche Bank, mit welchem Ergebnis?
Verweigert die Bank die Auskunft mit dem Hinweis auf interne Kriterien, ist das kein Nachweis, sondern dessen Gegenteil. Die Beweislast liegt bei ihr.
Alle vier Fälle sind anonymisiert und mit Einverständnis der Mandantschaft wiedergegeben. Die Verfahren sind nicht abgeschlossen; über den Ausgang ist damit nichts gesagt.
Die Rechtslage: Was die DKB Ihnen schuldet
§ 675u BGB – der Erstattungsanspruch
Haben Dritte mit Ihren Daten Zahlungen ausgelöst, waren diese nicht autorisiert. Dann muss die Bank den Betrag erstatten und das Konto wieder auf den Stand bringen, auf dem es ohne die Buchung gewesen wäre – unverzüglich, spätestens bis zum Ende des Geschäftstags, der auf Ihre Anzeige folgt.
Nicht Sie müssen beweisen, dass Sie sorgfältig waren. Die DKB muss beweisen, dass Sie grob fahrlässig gehandelt haben.
§ 675w BGB – warum „das Verfahren wurde durchlaufen“ nichts beweist
Die aufgezeichnete Nutzung eines Zahlungsinstruments einschließlich der Authentifizierung reicht für sich allein nicht notwendigerweise aus, um zu beweisen, dass der Zahler die Zahlung autorisiert hat. Wer sich auf Protokolle beruft, sie aber nicht vorlegt, hat nichts bewiesen.
§ 675v Abs. 4 BGB – die Norm, die fast niemand kennt
Sie haften nicht, wenn die Bank keine starke Kundenauthentifizierung verlangt hat – unabhängig davon, ob man Ihnen grobe Fahrlässigkeit vorwirft. Verlangt werden zwei voneinander unabhängige Elemente aus Wissen, Besitz und Inhärenz.
In Fall 4 oben stellt sich genau diese Frage: Wenn ein per SMS versandter Code als Bestätigung einer Telefonnummer angefordert wird und damit ein fremdes Gerät gekoppelt wird, war dann der Besitz dieses Zielgeräts geprüft?
Erst erstatten, dann streiten: EuGH, 15.10.2026, C-70/25
Das ist die wichtigste Entwicklung für alle, die auf eine Prüfung warten. Der Europäische Gerichtshof hat entschieden, dass eine Bank die unverzügliche Erstattung einer nicht autorisierten Zahlung nicht mit der Begründung verweigern darf, der Kunde habe sie grob fahrlässig ermöglicht.
Die einzige Ausnahme ist der begründete Verdacht, dass der Kunde selbst betrügt – und selbst dann muss die Bank diesen Verdacht der zuständigen nationalen Behörde schriftlich mitteilen. Über die Haftung wird erst danach gestritten, und zwar auf Betreiben der Bank.
Praktische Folge für Fall 1 oben: Dass die DKB eine Rückforderung über die Empfängerbank versucht und das „bis zu sechs Wochen“ dauern kann, ändert nichts an der Erstattungspflicht. Der Anspruch besteht unabhängig davon, ob die Bank das Geld bei den Tätern wiederbekommt.
Mehr dazu mit den Randnummern der Entscheidung: EuGH C-70/25 – Bank muss nach Phishing sofort erstatten.
Die Schutz- und Warnpflichten der Bank
Neben dem Erstattungsanspruch steht ein zweiter Weg: Schadensersatz wegen Verletzung der Schutz- und Warnpflichten (§ 280 Abs. 1 BGB). Eine Bank schuldet nicht nur die Ausführung von Aufträgen, sondern auch Schutz vor erkennbaren Gefahren.
Die vier Fälle oben liefern die Anknüpfungspunkte: eine erkannte und gemeldete Gerätekopplung ohne Konsequenz, 17 fehlgeschlagene Überweisungen über neun Tage ohne Sperre, eine nicht beantragte Dispo-Erhöhung, eine wegen Betrugsverdachts angehaltene Zahlung, die trotz fristgerechten Widerspruchs ausgeführt wurde.
Wenn Ihre Karte in einem fremden Gerät gelandet ist
Fall 3 zeigt eine Konstellation, die eigene Regeln hat: Die Debitkarte wurde auf einem fremden iPhone nutzbar gemacht. Dann laufen die Zahlungen über jenes Gerät, und eine gesperrte Karte oder ein geändertes Passwort berührt das nicht ohne Weiteres. Dazu ausführlich: Karte in fremdem Wallet – wann die Bank erstatten muss.
Sie haben nach einem Anruf selbst überwiesen
Dann liegt Ihr Fall anders: Die Zahlung ist zunächst autorisiert, § 675u BGB greift nicht ohne Weiteres. Aussichtslos ist er nicht – der Weg führt über die Schutz- und Warnpflichten. Dazu an einem konkreten Fall: Falscher Bankmitarbeiter am Telefon – wann die Bank Ihr Geld erstatten muss.
Die Fristen
Die Anzeige muss unverzüglich nach Feststellung erfolgen, die absolute Ausschlussfrist beträgt 13 Monate ab dem Tag der Belastung (§ 676b Abs. 2 BGB). Praktisch zählen die ersten Stunden, weil nur dann ein Zahlungsrückruf Aussicht hat.
Was die DKB antworten wird – und was darauf gehört
| Argument der Bank | Was dem entgegensteht |
|---|---|
| „Die Zahlungen wurden ordnungsgemäß authentifiziert.“ | Protokolle verlangen. Die Aufzeichnung allein beweist die Autorisierung nicht (§ 675w BGB). |
| „Sie haben die Gerätekopplung selbst freigegeben.“ | Welcher Text wurde angezeigt? Wer eine Telefonnummer bestätigt, stimmt keiner Gerätekopplung zu. |
| „Wir haben Sie über das neue Gerät informiert.“ | Eben. Die Bank hat den Vorgang erkannt. Warum folgte daraus keine Prüfung, bevor Verfügungen möglich waren? |
| „Wir versuchen eine Rückforderung, das dauert bis zu sechs Wochen.“ | Der Erstattungsanspruch besteht unabhängig davon, ob die Bank das Geld wiederbekommt (§ 675u BGB, EuGH C-70/25). |
| „Sie haben grob fahrlässig gehandelt.“ | Beweislast bei der Bank. Und bei fehlender starker Kundenauthentifizierung haften Sie ohnehin nicht (§ 675v Abs. 4 BGB). |
| „Die Prüfung läuft noch.“ | Die Erstattungsfrist knüpft an Ihre Anzeige an, nicht an das Ende der Prüfung. Fristsetzung. |
Die vier Fehler, die DKB-Fälle am häufigsten kosten
Die E-Mail der Bank wird ignoriert. „Neues Gerät verknüpft“, „Überweisung zurückgehalten“, „Sofortüberweisung gestoppt“ – diese Nachrichten kommen automatisch und werden oft weggeklickt. Sie sind der einzige Moment, in dem Sie noch eingreifen können. Und sie sind später Ihr Beweis dafür, dass die Bank Bescheid wusste.
Nur die Karte wird gesperrt. Eine gesperrte Karte stoppt kein fremdes Gerät, das mit Ihrem Online-Banking verknüpft ist. Prüfen Sie in der App, welche Geräte hinterlegt sind, und entfernen Sie alles Unbekannte.
Es wird nur telefonisch gemeldet. Die Erstattungsfrist läuft ab Ihrer Anzeige, und ein Telefonat lässt sich später nicht belegen. Zeigen Sie jede Buchung schriftlich an.
Die Prüfung der Bank wird abgewartet. Sechs Wochen Rückforderungsversuch über die Empfängerbank sind kein Grund stillzuhalten. Seit dem EuGH-Urteil vom Oktober 2026 schiebt eine laufende Prüfung die Erstattungspflicht nicht hinaus.
Erfahrungsberichte von DKB-Kunden
Diese Zuschriften haben mich über die Jahre erreicht. Sie zeigen, wie breit die Maschen gestreut sind – und dass niemand davor sicher ist, der sie noch nicht kennt.
Die DKB hat mir das neue Gerät per E-Mail gemeldet. Hilft mir das?
Ja, erheblich. Die E-Mail beweist, dass die Bank die Gerätekopplung erkannt hat. Damit stellt sich die Frage, warum daraus keine Prüfung folgte, bevor über dieses Gerät Verfügungen möglich waren. Heben Sie die Nachricht auf – sie ist eines Ihrer wichtigsten Beweismittel.
Ich habe nur einen Code zur Bestätigung meiner Telefonnummer eingegeben. Habe ich damit ein Gerät freigegeben?
Das ist die entscheidende Frage, und sie lässt sich nur anhand der Protokolle beantworten. Maßgeblich ist, welcher Text bei der Code-Anforderung angezeigt wurde. War daraus nicht erkennbar, dass Sie eine Gerätekopplung bestätigen, spricht viel dagegen, darin eine wirksame Zustimmung zu sehen.
Die DKB sagt, die Rückforderung bei der Empfängerbank dauere sechs Wochen. Muss ich warten?
Nein. Der Erstattungsanspruch aus § 675u BGB besteht unabhängig davon, ob die Bank das Geld bei den Tätern wiederbekommt. Der EuGH hat am 15.10.2026 entschieden, dass die Erstattung nicht mit dem Vorwurf grober Fahrlässigkeit hinausgeschoben werden darf (C-70/25).
Mein DKB-Konto wurde leergeräumt, obwohl ich nie auf etwas geklickt habe. Wie geht das?
Das kommt vor – in einem meiner Mandate ohne jede Phishing-Nachricht und ohne Anruf. Dann stellt sich die Frage, wie die Zugangsdaten überhaupt in fremde Hände gelangen konnten und warum die Bank die anschließende Kontoübernahme nicht erkannt hat. Genau das sollte sie beantworten müssen.
