easybank Phishing: Ihre Rechte bei Betrug, die Haftung der Bank und der Weg zum Schadensersatz

Warum easybank-Kunden derzeit besonders im Visier stehen

Das deutsche Privatkundengeschäft von Barclays wurde Anfang 2025 an die BAWAG Group verkauft und tritt seit Februar 2026 unter der Marke easybank auf. Seit März 2026 werden die alten Barclays-Karten ausgetauscht.

Genau diese Umstellung nutzen Täter aus. Eine Nachricht, die zur „Umstellung Ihrer Barclays-Karte auf easybank“, zur „Bestätigung Ihrer Daten für die neue Karte“ oder zur „Reaktivierung Ihres Zugangs“ auffordert, wirkt in dieser Phase plausibel — und genau darauf setzen die Absender. Bei einem Markenwechsel erwarten Kunden ohnehin ungewohnte Post von ihrer Bank.

Drei Merkmale, an denen Sie eine Fälschung erkennen:

• easybank versendet echte Sicherheitsabfragen per SMS mit einer JA/NEIN-Antwort. Verlangt eine Nachricht stattdessen einen Klick auf einen Link oder die Eingabe von Kartendaten, ist sie gefälscht. Im Zweifel mit NEIN antworten — die Karte bleibt dann gesperrt.
• Für den Kartentausch müssen Sie nichts bestätigen. Die neue Karte kommt per Post. Wer online eine „Freischaltung“ oder „Verifizierung“ verlangt, will Ihre Daten.
• Keine Bank fragt am Telefon nach TAN, PIN oder Kartenprüfnummer. Bei Anrufen angeblicher Sicherheitsmitarbeiter: auflegen und über die Nummer oben selbst zurückrufen.

Geld ist bereits abgebucht: Ihre Ansprüche gegen die easybank

Die Sperrung stoppt den weiteren Schaden. Über die Rückerstattung entscheidet ein eigener Maßstab — und der fällt für Betroffene günstiger aus, als die erste Reaktion der Bank oft nahelegt.

Da die easybank als BAWAG AG Niederlassung Deutschland im deutschen Markt auftritt, gilt deutsches Recht. Nach § 675u BGB muss die Bank eine nicht autorisierte Zahlung unverzüglich erstatten. Die Beweislast dafür, dass Sie die Zahlung freigegeben haben, liegt bei der Bank, nicht bei Ihnen. Kürzen darf sie nur, wenn sie Ihnen grobe Fahrlässigkeit nachweist (§ 675v BGB). Dass jemand auf eine technisch gut gemachte Täuschung hereingefallen ist, genügt dafür nach der Rechtsprechung für sich genommen nicht — erst recht nicht in einer Phase, in der die Bank selbst ihre Kunden mit Umstellungsschreiben und neuen Karten kontaktiert.

Beachten Sie die Frist: Die nicht autorisierte Buchung müssen Sie unverzüglich nach Kenntnis anzeigen, spätestens innerhalb von 13 Monaten nach der Belastung (§ 676b Abs. 2 BGB). Danach ist der Anspruch verloren, unabhängig davon, wie eindeutig der Fall im Übrigen ist.

Erfahrungsgemäß lehnen Banken die Erstattung zunächst häufig ab und berufen sich auf grobe Fahrlässigkeit. Diese erste Ablehnung ist kein Endergebnis. Entscheidend ist, welches Sicherungsverfahren im konkreten Fall eingesetzt wurde, wie die Freigabe technisch abgelaufen ist und was sich davon dokumentieren lässt.

Nach einem Phishing-Angriff auf Ihre easybank- oder Barclays-Karte wurde Geld abgebucht? Ich prüfe den Ablauf und die Erfolgsaussichten einer Rückforderung. Schildern Sie mir den Fall über das Kontaktformular oder rufen Sie an.

Eine Bedrohung, die keine Pause kennt

Wer sich in den vergangenen Monaten die Sicherheitswarnungen der easybank genauer angesehen hat, dem fällt eines sofort auf: Die Liste der Warnmeldungen ist lang – und sie wird regelmäßig länger. Die easybank warnt vor Phishing-Mails, vor betrügerischen Nachrichten im Namen der Bank und vor gefälschten Sicherheitsanwendungen – und der Strom dieser Warnungen reißt nicht ab. Noch im August 2025 warnte die Bank vor betrügerischen Anrufen, bei denen angeblich die Karte von zu Hause abgeholt werden solle.

Was sich hinter dieser Warndichte verbirgt, ist keine bloße Vorsichtsmaßnahme. Es ist der Ausdruck einer systematischen, professionell organisierten Kriminalitätswelle, die gezielt auf easybank-Kunden abzielt. Wer Opfer dieser Welle wird, verliert oft innerhalb von Minuten erhebliche Geldbeträge – und steht danach vor der Frage, ob und wie er sein Geld zurückbekommt. Genau darum geht es in diesem Beitrag: nicht darum, Phishing-Methoden zu beschreiben, sondern darum, was rechtlich passiert, wenn der Schaden bereits eingetreten ist – und welche konkreten Wege zum Schadensersatz führen.

Warum ausgerechnet easybank? Die strukturelle Verwundbarkeit einer reinen Online-Bank

Um zu verstehen, warum easybank so häufig als Marke für Phishing-Angriffe missbraucht wird, muss man sich die Besonderheit des Geschäftsmodells vor Augen führen. Als reiner Online-Anbieter ohne Filialnetz kommuniziert die Bank fast ausschließlich digital mit ihren Kunden – was bedeutet, dass Kunden es gewohnt sind, wichtige Bankbenachrichtigungen per E-Mail oder SMS zu erhalten. Dieses Vertrauen in digitale Kommunikation nutzen Betrüger gezielt aus.

Dazu kommt ein Faktor, der in der deutschen Bankenwelt einmalig war: Der Markenwechsel von Barclays zu easybank Deutschland, der 2025 vollzogen wurde, schuf ein ideales Einfallstor für Kriminelle. Kunden erwarteten ohnehin Nachrichten über Systemmigrationen, neue Zugangsdaten und App-Updates – eine Erwartungshaltung, die Betrüger schamlos ausnutzten.

Das deutsche Privatkundengeschäft von Barclays läuft jetzt unter dem Namen easybank. Das machen sich Betrüger zunutze, indem sie mit Phishing-E-Mails Verwirrung stiften, die Kunden das Konto kosten kann. Wer also eine E-Mail erhielt, die ihn aufforderte, seine Zugangsdaten angesichts des Markenübergangs zu aktualisieren, hatte aus subjektiver Sicht wenig Grund, daran zu zweifeln. Die Täuschung war eingebettet in eine reale, öffentlich kommunizierte Veränderung – und damit besonders wirkungsvoll.

Das Phishing-Spektrum: Von der gefälschten E-Mail bis zur Fake-Security-App

Wer von easybank Phishing spricht, meint längst nicht mehr nur die klassische Phishing-Mail. Das Angriffsarsenal der Täter ist deutlich vielfältiger geworden. Mimikama dokumentierte, dass Betrüger Kunden auffordern, ihr TAN-Verfahren zu aktualisieren. In den letzten Monaten haben Nutzer SMS-Nachrichten erhalten, die angeblich von der easybank stammen, und darin wurde mitgeteilt: „Es gibt ein Sicherheitsupdate für Ihr Tan-Verfahren.“

Besonders perfide ist eine Variante, die die easybank in zwei gesonderten Warnungen thematisiert hat: Kriminelle versenden Nachrichten, die Kunden auffordern, eine neue „Sicherheits-App“ der easybank herunterzuladen – angeblich, um ihr Konto zu schützen. In Wirklichkeit handelt es sich um Schadsoftware, die auf dem Gerät installiert wird und fortan den gesamten Datenverkehr überwacht, Eingaben protokolliert und Transaktionen im Hintergrund durchführen kann. Die easybank hat sowohl im Juli 2024 als auch im Februar 2025 offiziell vor solchen gefälschten Sicherheitsanwendungen gewarnt.

Variante Vishing

Daneben existiert die Variante des sogenannten Vishing: Ein Anrufer gibt sich als Mitarbeiter der easybank aus, schildert einen angeblichen Sicherheitsvorfall und bittet den Kunden, eine TAN zu bestätigen oder eine Zahlung freizugeben – angeblich, um das Konto zu sichern. Auch hier warnte die easybank selbst mehrfach: zuletzt mit einer Meldung vom 1. Juni 2026 über betrügerische Vishing-Anrufe im Namen der easybank sowie einer weiteren Warnung vom 16. Juli 2025 über Anrufe, bei denen Täter sogar ankündigten, die Karte persönlich beim Kunden zuhause abholen zu wollen – ein Detail, das die Dreistigkeit dieser Maschen auf die Spitze treibt.

Im Mai 2026 kursierten gefälschte E-Mails unter dem Namen „easybank ehemals Barclays Privatkundengeschäft Deutschland“, in denen Kunden aufgefordert wurden, gemäß der PSD2-Richtlinien ihre hinterlegte Mobilfunknummer bis zum 24. Mai 2026 zu bestätigen. Diese Masche kombiniert gleich mehrere Vertrauenselemente: den Verweis auf eine reale europäische Richtlinie, die Nennung des Markenübergangs und eine künstliche Dringlichkeit durch ein Ablaufdatum.

Auch die Verbraucherzentrale ist inzwischen auf dieses Thema aufmerksam geworden. Sie warnte vor einer gefährlichen Phishing-Mail, die es gezielt auf Kunden der easybank abgesehen hat. Unter dem Betreff „Mitteilung zur Aktualisierung Ihrer Kontodaten“ fordern Kriminelle darin zur Bestätigung persönlicher Informationen auf.

Was juristisch passiert, wenn das Konto leergeräumt wurde

Der entscheidende rechtliche Dreh- und Angelpunkt ist die Frage: Wer trägt den Schaden, wenn durch Phishing unberechtigt Geld vom Konto abgeflossen ist? Die Antwort des deutschen Gesetzgebers findet sich in den §§ 675u bis 675v BGB – und sie ist klarer, als viele Betroffene ahnen.

Die §§ 675u und 675v BGB regeln, wer bei unautorisierten Zahlungsvorgängen für den Schaden aufkommt. Grundsätzlich muss die Bank erstatten – sie trägt die volle Beweislast für eine Autorisierung.

Das bedeutet: Allein die Tatsache, dass technisch gesehen eine TAN eingegeben und eine Zahlung ausgelöst wurde, genügt nicht, um die Bank von ihrer Erstattungspflicht zu befreien. Die Bank muss lückenlos nachweisen, dass der Kunde diese Zahlung tatsächlich in Kenntnis ihrer Tragweite autorisiert hat – und nicht durch eine Täuschung dazu gebracht wurde.

Das BGH-Urteil vom 5. März 2024 – ein Meilenstein für Phishing-Opfer

Der Bundesgerichtshof hat mit Urteil vom 5. März 2024 (Az. XI ZR 107/22) klargestellt, dass im Streitfall um eine nicht vom Kunden genehmigte Überweisung die Bank lückenlos nachweisen muss, dass die Transaktion tatsächlich vom Kontoinhaber authentifiziert und autorisiert wurde. Gelingt der Bank dieser Beweis nicht oder bleiben Zweifel, muss sie den unberechtigt abgebuchten Betrag in voller Höhe erstatten.

Dabei trage der Zahlungsdienstleister gemäß § 675w BGB die Beweislast für die Autorisierung eines Zahlungsvorgangs durch den Zahler. Für Phishing-Opfer ist das eine bedeutende Stärkung ihrer Position: Sie müssen nicht beweisen, dass sie Opfer einer Täuschung wurden. Vielmehr muss die Bank beweisen, dass die Autorisierung wirksam war.

Das BGH-Urteil vom 22. Juli 2025 – Präzisierung der Sorgfaltspflichten

Das Urteil des Bundesgerichtshofs vom 22. Juli 2025 (Az. XI ZR 107/24) befasst sich mit Online-Überweisungen nach einem Phishing-Angriff und den Anforderungen an die Sorgfaltspflicht des Zahlers sowie die starke Kundenauthentifizierung im Zahlungsverkehr, insbesondere zur grob fahrlässigen Verletzung einer Pflicht durch den Zahler im Sinne von § 675v Abs. 3 Nr. 2 Buchst. a BGB.

In einem solchen Fall darf die Bank ihren Schadensersatzanspruch gegen den Erstattungsanspruch des Kunden aufrechnen, sodass der Kunde im Ergebnis auf seinem Schaden sitzen bleibt. Dieses Urteil zeigt: Die Rechtslage ist nicht einfach schwarz oder weiß. Es kommt auf die genauen Umstände des Einzelfalls an – insbesondere darauf, ob dem Kunden grobe Fahrlässigkeit vorgeworfen werden kann.

OLG Dresden, 5. Juni 2025 – Mithaftung der Bank auch bei Fahrlässigkeit des Kunden

Selbst wenn dem Kunden grobe Fahrlässigkeit angelastet werden kann, ist die Situation nicht zwangsläufig aussichtslos. Das Oberlandesgericht Dresden hat mit Urteil vom 5. Juni 2025 (Az. 8 U 1482/24) ein Mitverschulden der Sparkasse mangels Zwei-Faktor-Authentifizierung beim Einloggen zum Onlinebanking bejaht.

Das OLG Dresden hat 2025 klargestellt, dass selbst bei grober Fahrlässigkeit des Kunden eine Mithaftung der Bank möglich ist, wenn diese ihrerseits Sicherheitsstandards verletzt hat. Konkret: Eine Bank, die beim Login kein ausreichendes Zwei-Faktor-Verfahren implementiert hat, kann sich nicht vollständig hinter dem Fehlverhalten des Kunden verstecken. Sie trägt eine Mitverantwortung dafür, dass ihr System Angriffe nicht verhindert hat.

Das ist im Kontext von easybank Phishing von unmittelbarer Relevanz: Wenn die easybank als reiner Online-Anbieter über digitale Kanäle kommuniziert und die Sicherheitsarchitektur ihrer Systeme nicht den aktuellen Standards entspricht, kann das ein eigenes Mitverschulden begründen.

OLG Bremen, 30. August 2024, und OLG Naumburg, 23. April 2025 – Tageslimit als Haftungsgrenze

In einem konkreten Fall war zwischen den Parteien ein Zahlungsverkehrs-Tageslimit von 10.000,00 Euro vereinbart, welches unbekannte Dritte im Zuge eines betrügerischen Vorgehens unautorisiert auf den maximal möglichen Betrag erhöht hatten, um eine Überweisung in Höhe von 59.855,25 Euro zu veranlassen. Die Haftung des Kontoinhabers wegen grob fahrlässiger Weitergabe der hierfür erzeugten TAN war trotz mehrerer Sorgfaltspflichtverletzungen entsprechend der vertraglichen Vereinbarung auf das ursprüngliche Tageslimit begrenzt; die darüberhinausgehende Belastung war rückgängig zu machen (vgl. BGH, 24.04.2012, Az. XI ZR 96/11; OLG Bremen, 30.08.2024, Az. 1 U 32/24; OLG Naumburg, 23.04.2025, Az. 5 U 107/24).

Dieser Rechtssatz ist wichtig: Selbst wenn dem Kunden grobe Fahrlässigkeit vorgeworfen werden kann, ist seine Haftung auf das vertraglich vereinbarte Tageslimit begrenzt. Ein Betrag, der dieses Limit übersteigt, weil die Täter das Limit unautorisiert erhöht haben, ist von der Bank zu erstatten – unabhängig vom Verschuldensgrad des Kunden.

LG Köln, 8. Januar 2024 – Call-ID-Spoofing und PushTAN

Das Landgericht Köln hat die Sparkasse Köln Bonn dazu verpflichtet, einem Bankkunden unautorisierte Zahlungen in Höhe von insgesamt 9.933,38 Euro zurückzuerstatten. Dies geschah durch ein Urteil vom 8. Januar 2024 zum Aktenzeichen 22 O 43/23. Der Täter hatte Call-ID-Spoofing eingesetzt, einen vermeintlichen Sparkassenmitarbeiter vorgetäuscht, die Entsperrung über PushTAN veranlasst und eine digitale Debitkarte aktiviert – ohne dass dem Kunden ein grob fahrlässiger Pflichtverstoß angelastet werden konnte. Die Bank haftet auch bei Freigabe einer PushTAN.

LG Hamburg, 29. April 2025 – Wenn die Bank gewinnt

Zur Vollständigkeit sei auch auf das Urteil des Landgerichts Hamburg vom 29. April 2025 (Az. 330 O 23/23) hingewiesen. In einem praxisrelevanten Fall um vermeintlich unautorisierte Online-Überweisungen hat das LG Hamburg zugunsten der beklagten Bank entschieden. Die Klägerin verlangte die Rückerstattung von drei Überweisungen in Höhe von insgesamt 29.725 Euro. Das Gericht wies die Klage ab, da eine Autorisierung der Zahlungen durch ein etabliertes Zwei-Faktor-Sicherungsverfahren nachgewiesen war.

Dieses Urteil zeigt: Wer unbedacht agiert, riskiert, auf dem Schaden sitzen zu bleiben. Das unterstreicht, warum die rechtliche Aufarbeitung eines Phishing-Schadens professionell begleitet werden sollte – von Beginn an.

Grobe Fahrlässigkeit: Die zentrale Abgrenzungsfrage

Der Begriff der „groben Fahrlässigkeit“ entscheidet in Phishing-Fällen häufig darüber, ob ein Kunde seinen Schaden vollständig erstattet bekommt oder nicht. Wer TANs am Telefon weitergibt oder Codes leichtfertig bestätigt, riskiert den vollständigen Verlust des Erstattungsanspruchs.

Allerdings ist die Abgrenzung im Kontext moderner Phishing-Angriffe alles andere als einfach. Das OLG Frankfurt hat entschieden, dass ein Kunde, der nach einer Phishing-Nachricht mittels PushTAN und Gesichtserkennung die temporäre Erhöhung seines Limits und anschließend eine Überweisung freigibt, grob fahrlässig handelt. Die Bank schuldet in diesem Fall keine Rückerstattung. Das Gericht stellt darauf ab, dass der Kunde durch die Bestätigung auf Zuruf die Kontrolle über das Authentifizierungsinstrument faktisch aus der Hand gegeben hat.

Das OLG Bremen hat diese Linie 2024 fortgeführt und im Call-ID-Spoofing-Kontext präzisiert. Das bedeutet: Es gibt keine pauschale Antwort. Die Frage, ob grobe Fahrlässigkeit vorliegt, hängt von der Qualität des Angriffs, der Überzeugungskraft der Täuschung und dem Verhalten des Kunden im konkreten Moment ab.

Die Rechtslage ist komplex genug, dass Einzelfälle erheblich voneinander abweichen können. Ob grobe Fahrlässigkeit vorliegt, hängt von der konkreten Angriffsmethode und dem Verhalten des Kunden ab.

Entscheidend ist dabei eine Frage, die ich in meiner Beratungspraxis immer wieder stelle: Wäre ein durchschnittlich aufmerksamer Bankkunde in der gleichen Situation genauso auf die Täuschung hereingefallen? Wenn die Antwort ja lautet – weil der Angriff technisch ausgeklügelt, die gefälschten Kommunikationsmittel täuschend echt und die Täuschungshandlung für einen normalen Menschen nicht erkennbar war –, dann spricht viel dafür, dass grobe Fahrlässigkeit nicht vorliegt.

Echtzeit-Überweisungen: Wenn Schnelligkeit zum Verhängnis wird

Ein besonders problematisches Phänomen im Zusammenhang mit easybank Phishing betrifft Echtzeit-Überweisungen. Werden Kontoinhaber durch eine Betrugsmasche zur Freigabe einer solchen Überweisung verleitet, ist das Geld in der Regel unwiederbringlich verloren. Das Landgericht Frankenthal entschied, dass eine einmal autorisierte Echtzeit-Überweisung nicht mehr widerrufen werden kann. Der Zahlungsauftrag wird in Sekundenschnelle an die Bank des Empfängers übermittelt und ausgeführt. Selbst wenn der Betrug nur wenige Minuten später bemerkt und das Konto umgehend gesperrt wird, kann der Zahlungsvorgang nicht mehr gestoppt werden. Die Bank handelt in einem solchen Fall nicht pflichtwidrig, da sie einen korrekt autorisierten Auftrag ausgeführt hat.

Das zeigt, wie entscheidend das Soforthandeln nach einem Phishing-Angriff ist – auch wenn eine bereits ausgeführte Überweisung nicht mehr rückgängig gemacht werden kann. Denn selbst wenn das gestohlene Geld technisch nicht mehr aufgehalten werden kann, können rechtliche Ansprüche gegen die Bank auf anderem Weg durchgesetzt werden – etwa dann, wenn die Autorisierung selbst durch eine Täuschung erschlichen wurde, die die Bank hätte erkennen können.

Die richtige Reaktion im Ernstfall: Was Betroffene sofort tun müssen

Der Moment, in dem easybank-Kunden merken, dass sie Opfer eines Phishing-Angriffs geworden sind, ist der wichtigste Moment für die Durchsetzung ihrer Ansprüche. Was in den ersten Stunden geschieht – oder unterbleibt –, bestimmt maßgeblich, wie erfolgreich die rechtliche Aufarbeitung sein wird.

Das Allerwichtigste ist die sofortige Sperrung des Kontos. Die easybank hält dafür eine Notfallnummer bereit; auch über den allgemeinen deutschen Sperr-Notruf 116 116 kann eine Kontosperre veranlasst werden. Wer zögert, riskiert weitere unautorisierte Transaktionen.

Parallel dazu sollte umgehend eine Strafanzeige bei der Polizei erstattet werden. Diese Anzeige ist nicht nur eine formelle Pflicht – sie dokumentiert den Betrugsfall mit Datum und Uhrzeit und schafft damit eine wichtige Grundlage für spätere Erstattungsforderungen gegenüber der Bank. Sollten Sie Opfer werden, ist eine Anzeige bei der Polizei sowie die Konsultation eines auf IT-Recht spezialisierten Anwalts ratsam.

Außerdem sollte der gesamte Schriftverkehr mit der easybank schriftlich geführt werden – also keine Telefonate ohne anschließende schriftliche Bestätigung. Was mündlich besprochen wird, lässt sich später schwer beweisen. Wer seine Ansprüche gegenüber der Bank geltend macht, sollte jede Kommunikation dokumentieren: Wer hat was gesagt? Welche Reaktionen hat die Bank gezeigt? Hat die Bank die Erstattung verweigert, und wenn ja, mit welcher Begründung?

Schließlich sollten alle Beweise gesichert werden: Screenshots der Phishing-E-Mails oder -SMS, Verbindungsnachweise, Kontoauszüge mit den unautorisierten Abbuchungen und – sofern vorhanden – alle Kommunikationen mit den vermeintlichen Bankvertretern.

Warum Banken Erstattungen häufig verweigern – und wie man damit umgeht

In der Praxis begegne ich immer wieder demselben Muster: Betroffene melden den Phishing-Schaden bei ihrer Bank, und die Bank verweigert die Erstattung mit dem Hinweis, der Kunde habe selbst die Zahlung autorisiert oder sei grob fahrlässig vorgegangen. Dieses Argument klingt zunächst überzeugend – und viele Betroffene geben an diesem Punkt auf.

Das ist ein Fehler. Denn das Gericht stellte klar: Die Bank trägt die volle Beweislast dafür, dass ein Zahlungsvorgang authentifiziert und vom Kunden autorisiert wurde. Das bedeutet: Die Bank muss diesen Beweis erbringen – nicht der Kunde. Und kann die Bank diesen Beweis nicht lückenlos führen – und das ist bei Phishing-Angriffen oft der Fall –, muss sie erstatten.

Hinzu kommt, dass fehlende Zwei-Faktor-Authentifizierung oder unzureichende Sicherheitssysteme ein Mitverschulden der Bank begründen. Wer als Phishing-Opfer also die Sicherheitsarchitektur der easybank unter die Lupe nimmt und Lücken identifiziert, hat möglicherweise ein weiteres Argument auf seiner Seite.

Das Vorgehen gegen eine Bank, die eine Erstattung verweigert, folgt einem klaren Pfad: zunächst ein formelles Erstattungsverlangen per Einschreiben mit Rückverfolgung, dann – im Falle der Ablehnung – der Gang zur Schlichtungsstelle der Banken oder direkt zu Gericht. In meiner Erfahrung zeigen viele Banken erst dann Bewegungsbereitschaft, wenn ein anwaltliches Schreiben eingeht, das die konkreten Rechtsnormen und die einschlägige Rechtsprechung benennt.

Die neue EU-Regulierung: Was 2026 und danach auf Banken zukommt

Die Rechtslage wird sich in absehbarer Zeit noch weiter zugunsten der Verbraucher verschieben. Neue EU-Regulierung ab Ende 2026 verschärft die Haftung der Banken und stärkt Verbraucherrechte weiter.

Im Rahmen der überarbeiteten Payment Services Directive (PSD3) und der Payment Services Regulation (PSR) werden die Sorgfaltspflichten der Zahlungsdienstleister erheblich erweitert. Banken werden künftig stärker in die Pflicht genommen, Betrugsversuche proaktiv zu erkennen, Kunden zu warnen und verdächtige Transaktionen zu verzögern oder zu blockieren. Wer als Bank diese Pflichten verletzt, trägt in Zukunft einen noch größeren Anteil des Schadens.

Für easybank-Kunden, die jetzt Opfer eines Phishing-Angriffs werden, ist das eine wichtige Perspektive: Auch wenn ein laufendes Erstattungsverfahren zunächst ins Stocken gerät, können neue Urteile und neue Regulierungsrahmen die Position der Betroffenen in der Zukunft stärken.

Phishing mit gefälschten A1-Rechnungen: Die neueste Bedrohungswelle für easybank-Kunden

Die easybank selbst warnte am 1. September 2026 vor einer besonders aktuellen Betrugsmasche: Phishing-Angriffe, bei denen gefälschte A1-Rechnungen als Einstiegspunkt genutzt werden, um an easybank-Zugangsdaten zu gelangen. Das zeigt, wie weit das Phishing-Spektrum inzwischen gefächert ist: Nicht mehr nur direkte E-Mails im Namen der Bank, sondern indirekte Angriffe über vermeintliche Rechnungen von Telekommunikationsanbietern, die Kunden auf gefälschte Banking-Seiten locken.

Diese Entwicklung verdeutlicht, dass sich die Täterseite kontinuierlich anpasst – an neue Sicherheitsmaßnahmen, an veränderte Kundengewohnheiten und an aktuelle gesellschaftliche Ereignisse. Die Angriffe werden raffinierter, die Schadensbeträge größer, die Betroffenen – häufig verunsichert und unter Zeitdruck stehend – leichter zu täuschen.

Buchung.com, Vishing und Identitätsdiebstahl: Die Vielfalt der Angriffe auf easybank-Kunden

Neben dem klassischen Phishing warnte die easybank am 2. Juni 2026 vor Betrugsversuchen bei Booking.com-Kunden und am 19. Februar 2026 vor Identitätsdiebstahl. Diese Vielfalt ist kein Zufall. Täter kombinieren verschiedene Angriffsvektoren, um die Erfolgswahrscheinlichkeit zu maximieren: Ein erster Angriff dient dazu, grundlegende Daten zu ergaunern, ein zweiter nutzt diese Daten, um einen telefonischen Betrug glaubwürdiger zu machen. So entsteht eine Angriffskette, bei der jede Stufe auf der vorherigen aufbaut.

Rechtlich ist diese Kettenstruktur bedeutsam: Sie zeigt, dass der einzelne Betroffene in der Regel keine individuelle Schwäche aufweist, sondern Teil einer systematischen Angriffskampagne ist. Das stärkt das Argument, dass grobe Fahrlässigkeit nicht vorliegt – denn wer in einer ausgeklügelten, mehrstufigen Täuschungskampagne aufgeht, handelt nicht so unvorsichtig, dass er den Verlust selbst tragen muss.

Schutzmaßnahmen, die Kunden ergreifen können – und ihre rechtliche Bedeutung

Generell sollten Kunden zur Eingabe ihrer Login-Daten direkt auf der Webseite ihrer Bank gehen und niemals Links aus SMS oder anderen Nachrichten öffnen. Diese goldene Regel kann vor vielen digitalen Betrugsfällen schützen.

Doch über den technischen Schutz hinaus hat das Verhalten des Kunden auch eine rechtliche Dimension. Wer nachweisen kann, dass er die von der Bank empfohlenen Sicherheitsmaßnahmen stets befolgt hat – regelmäßige Passwortänderungen, Nutzung der offiziellen App, Vermeidung öffentlicher WLAN-Netze beim Banking –, stärkt seine Position erheblich, wenn er nach einem Phishing-Angriff Erstattungsansprüche geltend macht. Grobe Fahrlässigkeit setzt nämlich voraus, dass der Betroffene die im Verkehr erforderliche Sorgfalt in besonders schwerem Maß verletzt hat. Wer dokumentiert, dass er grundlegende Sicherheitsregeln eingehalten hat, macht es der Bank schwerer, diesen Vorwurf zu erheben.

Mein Fazit: Phishing-Opfer sind keine schuldlosen Verlierer – sie sind Anspruchsinhaber

easybank Phishing ist keine Schicksalsfrage. Wer Opfer wird, ist nicht automatisch derjenige, der den Schaden zu tragen hat. Das Gesetz stellt die Bank in die Pflicht, die Autorisierung einer Zahlung nachzuweisen – und wenn dieser Nachweis nicht gelingt, muss erstattet werden. Die Rechtsprechung, von BGH XI ZR 107/22 über OLG Dresden 8 U 1482/24 bis OLG Naumburg 5 U 107/24, hat diesen Grundsatz in den letzten Jahren deutlich geschärft.

Die Herausforderung liegt nicht im Recht, sondern in der Durchsetzung: Banken verweigern Erstattungen, streiten grobe Fahrlässigkeit herbei und setzen auf die Unwissenheit der Betroffenen. Dagegen hilft nur eines – frühzeitig anwaltliche Unterstützung zu suchen, die eigenen Ansprüche klar zu benennen und konsequent durchzusetzen.

Ich unterstütze Sie dabei, genau das zu tun. Als Fachanwalt für IT-Recht mit über 25 Jahren Erfahrung im Bereich Internetbetrug und Phishing kenne ich die Strategien der Banken – und ich weiß, wie man ihnen wirksam begegnet. Nehmen Sie jetzt Kontakt auf und sichern Sie sich Ihre kostenlose Erstberatung. Ihr Geld ist es wert.

Rechtsanwalt Thomas Feil – Fachanwalt für IT-Recht
Spezialisiert auf Phishing, Internetbetrug und Krisenmanagement bei leergeräumten Bankkonten.
Kostenlose Erstberatung!

easybank Phishing -Schnelle Hilfe bundesweit

▼

Suchen Sie rechtlichen Beistand?

Kontakt aufnehmen