Ein Blick auf den Kontoauszug, und plötzlich fehlen mehrere tausend Euro. Die Abbuchung stammt von einem unbekannten Händler, irgendwo im Ausland, zu einer Uhrzeit, zu der der Karteninhaber schläft. Wer seine ADAC Kreditkarte bei der Solarisbank führt, kennt dieses Szenario mittlerweile erschreckend gut. Denn was viele Betroffene zunächst nicht ahnen: Ihr Fall ist kein Einzelschicksal – er reiht sich ein in eine Welle von Betrugsangriffen, die seit dem Herbst 2024 systematisch auf Inhaber der ADAC Kreditkarte abzielen. Und was noch schwerer wiegt als der Schaden selbst: Die Solarisbank verweigert in vielen Fällen die Erstattung – mit einer Begründung, die juristisch auf tönernen Füßen steht.
Dieser Beitrag erklärt, wie die Täter vorgehen, warum die Bank trotzdem zahlen muss, was das Argument der „tokenisierten Zahlung“ wirklich bedeutet – und welche rechtlichen Schritte Betroffene jetzt unternehmen sollten.
Der Ausgangspunkt: Eine Bankenmigration wird zur Einladung für Kriminelle
Um zu verstehen, warum gerade jetzt so viele ADAC-Kreditkartenkunden betroffen sind, muss man kurz zurückblicken. Seit der Migration der ADAC Kreditkarten von der LBB zur Solaris SE nutzen Kriminelle die Umstellung gezielt aus. Unter dem Vorwand technischer Anpassungen oder Kontosperrungen werden Kunden auf täuschend echte Phishing-Seiten gelockt.
Das ist ein bewährtes Muster: Immer wenn Banken ihre Infrastruktur wechseln, entstehen kurze Fenster der Unsicherheit. Kunden sind ohnehin verunsichert, sie erwarten E-Mails ihrer Bank, sie sind bereit, Daten zu aktualisieren. Nach der Migration der ADAC-Kreditkarten zur Solarisbank im September 2024 häuften sich Meldungen über unautorisierte Abbuchungen von 2.000 bis 3.000 Euro, teils bei monatelang ungenutzten Karten. Letzteres ist besonders bemerkenswert: Wer seine Karte seit Monaten nicht benutzt hat, konnte subjektiv keinen Fehler gemacht haben – und dennoch wurden Abbuchungen verzeichnet. Das wirft grundlegende Fragen zur Systemsicherheit auf.
Das Handelsblatt berichtete am 24.03.2025 über „Cyberangriffe auf ADAC-Kreditkartenkunden“, der BR am 17.04.2025 über anhaltende Probleme, und der WDR widmete sich am 02.06.2025 der „umstrittenen Partnerbank Solaris“ – über stark angestiegene Kundenbeschwerden der ADAC-Kreditkarten-Kunden und die Betrugsfälle. Dieses mediale Echo zeigt: Es handelt sich nicht um ein Randphänomen, sondern um einen strukturellen Missstand.
Wie das Phishing im Detail funktioniert
Die Angriffsmuster sind durchdacht und psychologisch präzise kalibriert. Solarisbank-Betrugsfälle folgen meist einem klaren Muster aus technischen Schwachstellen und gezielter psychologischer Manipulation. Die Kriminellen nutzen verschiedene digitale Kanäle und setzen auf den Faktor Zeit, um Opfer unter Druck zu setzen.
Konkret läuft ein typischer Angriff so ab: Die Betroffenen erhalten eine E-Mail, die optisch nicht von einer echten ADAC- oder Solarisbank-Kommunikation zu unterscheiden ist. Logo, Schriftbild, Absenderadresse – alles wirkt authentisch. Phishing-Mails im ADAC-Design, gefälschte Seiten des Kartenkontos oder Missbrauch der physischen Karte gehören zu den häufigsten Angriffen.
In der Mail wird meist eine dringende Handlungsaufforderung formuliert: Das Konto müsse reaktiviert werden, eine neue Sicherheitsverifizierung sei erforderlich, oder die Karte werde andernfalls gesperrt. Der eingefügte Link führt auf eine Website, die der echten Kartenverwaltung täuschend ähnlich sieht. Wer dort seine Zugangsdaten, Kartennummern oder TANs eingibt, übergibt sie in diesem Moment direkt an die Täter.
Viele Betroffene gaben in dem Glauben an eine legitime Anfrage ihre Daten preis. Kurz darauf kam es zu dubiosen Abbuchungen von den ADAC Kreditkarten. Die Reaktionszeit der Täter ist dabei erschreckend kurz – zwischen dem Moment der Dateneingabe und der ersten unautorisierten Abbuchung liegen oft nur Minuten.
Cyberkriminelle haben sich offenbar Zugang zu den sensiblen Kundendaten verschafft und Geld von den Konten ihrer Opfer abgebucht. Dabei ist zu betonen: Der Begriff „Opfer“ ist hier keine Übertreibung. Wer auf professionell gefälschte Kommunikation hereinfällt, handelt nicht grob fahrlässig – er wird Ziel einer kriminellen Operation, die mit erheblichem Aufwand betrieben wird.
Das Abwehrargument der Solarisbank: Der „tokenisierte Zahlungsvorgang“
Wenn Betroffene den Schaden bei der Solarisbank melden und die Erstattung verlangen, begegnen sie in vielen Fällen einer standardisierten Ablehnung. Als die Kunden sich bei der Solaris Bank, die die Kreditkarte herausgibt, beschwerten, erhielten sie die Antwort, es habe sich um eine angeblich „tokenisierte Zahlung“ gehandelt und die Kunden hätten keine Ansprüche gegen die Bank – ein Verweis, der viele Betroffene ratlos zurückließ.
Was steckt hinter diesem Argument? Unter „tokenisierten Zahlungen“ versteht man Zahlungen, bei denen anstelle der eigentlichen Kartendaten ein digitaler Token verwendet wird. Die Solarisbank argumentiert, solche Zahlungen seien besonders sicher und daher in jedem Fall vom Kunden autorisiert. In der Praxis bedeutet dies jedoch oft: Die Bank wälzt das Risiko auf die Kunden ab.
Dieses Argument klingt für juristisch nicht vorgebildete Kunden überzeugend – und das ist offensichtlich beabsichtigt. Wer nicht weiß, was ein Token ist, wird kaum in der Lage sein, diese Begründung zu hinterfragen. Viele Betroffene geben an diesem Punkt auf und akzeptieren den Schaden als unabwendbar. Das ist ein schwerer Fehler – denn rechtlich hält dieses Argument nicht stand.
Dass Kunden hier die Zahlungen auch wirklich freigegeben haben, kann die Bank damit nicht beweisen, und das ist bei den Phishing-Fällen der wichtigste Hebel für Betroffene. Der entscheidende Punkt ist einfach formuliert: Ein technisches Verfahren, das theoretisch sicher sein mag, kann durch Phishing ausgehebelt werden. Die Tatsache, dass eine Zahlung technisch über ein Token abgewickelt wurde, beweist noch nicht, dass der Karteninhaber diese Zahlung persönlich und bewusst autorisiert hat.
Der pauschale Verweis auf „tokenisierte Zahlungen“ entbindet die SolarisBank (Solaris SE) nicht von der Pflicht zur Rückerstattung. Dies haben mittlerweile auch Gerichte klargestellt.
Die Rechtslage: § 675u BGB gibt Ihnen das Recht auf Erstattung
Die rechtliche Grundlage für Ansprüche der Betroffenen ist klar und eindeutig. Nach § 675u S. 2 BGB ist der Zahlungsdienstleister – in diesem Fall die Solaris SE – im Falle eines unautorisierten Zahlungsvorgangs verpflichtet, dem Zahler den Zahlungsbetrag unverzüglich zu erstatten. Nur wenn dem Kunden grob fahrlässiges Verhalten nachgewiesen werden kann, darf die Bank die Haftung verweigern.
Zwei Wörter sind hier entscheidend: „unverzüglich“ und „nachgewiesen“. Die Bank muss nicht nur eine Vermutung anstellen, sie muss den Nachweis grober Fahrlässigkeit erbringen. Die Beweislast für ein grob fahrlässiges Verhalten liegt grundsätzlich bei der Bank. Das ist eine fundamentale Weichenstellung zugunsten der Verbraucher – denn in der Praxis ist dieser Nachweis für die Bank häufig kaum zu führen.
Grob fahrlässiges Verhalten
Nur wenn dem Kunden grob fahrlässiges Verhalten nachgewiesen werden kann, darf die Bank die Haftung verweigern. In den bekannten Fällen lässt sich ein solches Verhalten jedoch zum weit überwiegenden Teil nicht erkennen – im Gegenteil: Die betroffenen Kunden haben sich nachweislich korrekt verhalten. Trotzdem lehnt die Solaris SE viele Reklamationen pauschal ab.
Das ist eine Praxis, die juristisch nicht haltbar ist. Nach aktueller Einschätzung und bisherigen Mandatsfällen lassen sich die pauschalen Argumentationen der Solaris SE juristisch nicht halten.
Darüber hinaus gibt es eine zweite Anspruchsgrundlage: Bei nachgewiesener Fahrlässigkeit der Bank können Betroffene auch Schadenersatz verlangen. Das bedeutet: Wenn die Bank eigene Sicherheitslücken hatte oder zu langsam auf Verdachtsmeldungen reagiert hat, kommt neben der Rückbuchung nach § 675u BGB auch ein weitergehender Schadensersatzanspruch in Betracht.
Hinzu kommt der europarechtliche Rahmen: Die europäische Zahlungsdiensterichtlinie stärkt zusätzlich die Verbraucherrechte. Sie gibt Kunden ein grundsätzliches Recht auf Rückbuchung unrechtmäßiger Transaktionen. Und: Der Bundesgerichtshof hat in mehreren wichtigen Urteilen die Haftung von Banken bei Phishing präzisiert. Besonders bedeutsam ist die Klarstellung der Beweislast: Banken müssen beweisen, dass Kunden fahrlässig gehandelt haben, nicht umgekehrt.
Die Rechtslage ist damit eindeutig auf der Seite der Betroffenen – vorausgesetzt, sie handeln richtig und zügig.
Die Rolle der BaFin: Regulatorischer Druck auf die Solarisbank
Die Solarisbank steht nicht erst seit den Phishing-Fällen unter regulatorischem Druck. Mit seit dem 7. März 2024 bestandskräftigem Bescheid verhängte die BaFin ein Bußgeld von 6,5 Millionen Euro wegen verspäteter Geldwäscheverdachtsmeldungen. Im Juni 2025 kamen weitere Bußgelder von 500.000 Euro wegen wiederholter Überschreitung von Großkreditgrenzen hinzu.
Die BaFin prüft seither Verbraucherbeschwerden und hatte die Solarisbank bereits im März 2024 wegen verspäteter Geldwäscheverdachtsmeldungen mit 6,5 Millionen Euro Bußgeld belegt. Diese Ausgangslage ist für Betroffene insofern relevant, als sie zeigt: Es handelt sich um ein Institut, das in der Vergangenheit Compliance-Pflichten vernachlässigt hat. Wer eine Beschwerde bei der BaFin einreicht, trägt damit aktiv zur regulatorischen Kontrolle bei – und erhöht gleichzeitig den institutionellen Druck auf die Bank, Einzelfälle kulant zu behandeln.
Betroffene sollten daher parallel zur rechtlichen Durchsetzung ihrer Ansprüche auch eine Beschwerde bei der BaFin sowie beim Ombudsmann der privaten Banken einreichen. Dieser kostenlose außergerichtliche Beschwerdeweg kann zusätzlichen Druck erzeugen – und ist kein Ersatz, aber eine sinnvolle Ergänzung zur anwaltlichen Durchsetzung.
Grobe Fahrlässigkeit – und warum Phishing-Opfer damit meistens nicht gemeint sind
Die entscheidende Frage in jedem Phishing-Fall lautet: Hat der Betroffene grob fahrlässig gehandelt? Denn nur dann kann die Bank ihre Erstattungspflicht einschränken oder entfallen lassen. Ob eine Bank hiergegen dann mit einem Schadensersatzanspruch gemäß § 675v BGB aufrechnen kann, ist stets eine Frage des Einzelfalls und erfordert grundsätzlich zumindest einen grob fahrlässigen Sorgfaltsverstoß des Kreditkartenkunden. Daher versuchen die die Karten emittierenden Banken nach eigener Erfahrung häufig, den Karteninhabern eine grob fahrlässige Verletzung ihrer Sorgfaltspflichten zu unterstellen.
Doch was ist grobe Fahrlässigkeit überhaupt? Rechtlich bedeutet es, dass jemand die im Verkehr erforderliche Sorgfalt in besonders schwerem Maße verletzt – also das Naheliegende nicht beachtet und das außer Acht lässt, was im gegebenen Fall jedem einleuchten musste. Wer auf eine professionell gefälschte Bank-E-Mail hereinfällt, die optisch nicht von einem Original zu unterscheiden ist, und dort Daten eingibt, handelt in der Regel nicht grob fahrlässig. Er unterliegt einer gezielten Täuschung.
Anders wäre es zu beurteilen, wenn jemand etwa auf eine offensichtlich fragwürdige E-Mail reagiert, etwa mit Rechtschreibfehlern, dubiosen Absenderadressen oder absurden Anfragen. Aber selbst hier kommt es auf den konkreten Einzelfall an. Phishing-Angriffe auf ADAC-Kunden waren nach übereinstimmenden Berichten handwerklich so präzise gestaltet, dass selbst sorgfältige Nutzer darauf hereinfallen konnten.
Die Solarisbank behauptet grobe Fahrlässigkeit häufig pauschal – sie muss sie aber beweisen. Und genau diesen Nachweis kann sie im konkreten Fall oft nicht führen. Das ist der entscheidende Hebel im Gespräch mit der Bank und erst recht vor Gericht.
Was Betroffene jetzt sofort tun müssen
Wenn Sie feststellen, dass Ihre ADAC Kreditkarte durch einen Phishing-Angriff missbraucht wurde oder unbekannte Abbuchungen erscheinen, gilt eines vor allem: schnell handeln. Wenn Sie Opfer von Solaris Bank Phishing geworden sind, ist schnelles und strukturiertes Handeln entscheidend. In den ersten Stunden nach der Entdeckung des Betrugs sollten Sie Ihr Online-Banking sofort sperren und alle Karten blockieren lassen.
Sperren Sie die Karte über den bundesweit gültigen Sperrnotruf 116 116 oder direkt über die Banking-App. Dokumentieren Sie jeden Schritt: Machen Sie Screenshots der Phishing-Mail, der Absenderadresse und etwaiger Bestätigungsseiten. Löschen Sie die Mail erst, wenn die Beweise gesichert sind.
Erstatten Sie umgehend Strafanzeige bei der Polizei. Das dient nicht nur der Strafverfolgung, sondern schafft auch eine offizielle Dokumentation des Sachverhalts, die im weiteren zivilrechtlichen Verfahren gegen die Bank wertvoll ist. Wichtig zu verstehen ist, dass Strafverfahren primär der Bestrafung der Täter dienen und nicht der Schadenswiedergutmachung für die Opfer. Den finanziellen Schaden müssen Sie daher separat gegenüber der Bank geltend machen.
Fordern Sie die Bank schriftlich zur Erstattung nach § 675u BGB auf. Die Schriftform ist dabei wichtig – nicht nur für die Beweissicherung, sondern auch, weil wichtige Fristen beachtet werden müssen: Sie müssen den Betrugsfall unverzüglich der Bank melden. Die grundsätzliche Erstattungsfrist beträgt nach der EU-Zahlungsdiensterichtlinie 13 Monate. Schadenersatzansprüche verjähren nach drei Jahren, weshalb schnelles Handeln wichtig ist.
Wenn die Bank ablehnt oder nicht reagiert: Geben Sie nicht auf. Die Solaris SE vertraut darauf, dass Kunden nach der ersten Ablehnung aufgeben. Das ist eine Strategie – keine Rechtslage.
Warum anwaltliche Unterstützung entscheidend ist
Viele Betroffene versuchen zunächst, den Schaden eigenständig gegenüber der Solarisbank geltend zu machen. Das ist verständlich, denn niemand will zusätzliche Kosten auf einen ohnehin erlittenen Schaden aufhäufen. Die Realität zeigt jedoch: Banken reagieren auf außergerichtliche Aufforderungen von Privatpersonen anders als auf anwaltliche Schreiben. Reagiert die Bank zögerlich oder lehnt ab, hilft anwaltliche Unterstützung, da bereits mehrere Gerichtsverfahren zugunsten betroffener Kunden entschieden wurden.
Als Fachanwalt für IT-Recht kenne ich die technischen Zusammenhänge, die in diesen Fällen entscheidend sind. Es reicht nicht, § 675u BGB zu zitieren – es kommt darauf an, den konkreten Sachverhalt so aufzubereiten, dass das Argument der Bank – die angebliche Tokenisierung, die angebliche Autorisierung durch den Kunden, die angebliche grobe Fahrlässigkeit – systematisch widerlegt wird. Das erfordert sowohl juristische als auch technische Kompetenz.
Ein spezialisierter Anwalt kann die Sicherheitslücken im System der Bank aufzeigen und den Druck erhöhen, um eine Rückzahlung nach § 675u BGB zu erzwingen. Und in Fällen, in denen eine außergerichtliche Einigung nicht möglich ist, stehen die Chancen vor Gericht gut: Betroffene haben nach § 675u BGB einen Erstattungsanspruch, den Gerichte bereits mehrfach zugunsten der Kunden bestätigt haben.
Ein weiterer praktischer Punkt: Übernimmt die Rechtsschutzversicherung die Kosten? In der Regel ja. Da es sich um einen klassischen Fall des Bank- und Kapitalmarktrechts handelt, sind diese Verfahren meist gedeckt. Wer eine Rechtsschutzversicherung hat, sollte daher nicht zögern, anwaltliche Hilfe in Anspruch zu nehmen – die Kosten trägt in aller Regel die Versicherung.
Der Unterschied, den Erfahrung macht
Solarisbank-Betrugsfälle entstanden hauptsächlich durch gezielte Angriffe von Cyberkriminellen, die sich speziell auf diese Zielgruppe konzentrierten. Wer solche Fälle regelmäßig betreut, versteht die Muster: die standardisierten Ablehnungsschreiben der Bank, die typischen Gegenargumente, die Schwachstellen in der Beweislage der Bank.
Ich bearbeite seit vielen Jahren Phishing-Fälle und kenne die Argumentationslinien der Banken genau. Die Solarisbank-Fälle weisen spezifische Besonderheiten auf, die eine differenzierte Herangehensweise erfordern: Erstens die Besonderheit der Bankenmigration als Ausgangspunkt des Betrugs, zweitens das technische Argument der Tokenisierung, das gezielt eingesetzt wird, um Verbraucher zu verunsichern, und drittens die regulatorische Vorbelastung der Bank durch BaFin-Bußgelder, die im Kontext der Argumentation durchaus relevant sein kann.
Jeder Fall ist dabei individuell. Die Frage, ob grobe Fahrlässigkeit vorliegt, lässt sich nicht abstrakt beantworten – sie erfordert eine genaue Prüfung des konkreten Sachverhalts. Wann genau wurde die Phishing-Mail empfangen? Wie sah sie aus? Was hat der Betroffene eingegeben? Wie schnell wurde die Bank informiert? All diese Faktoren beeinflussen die Erfolgsaussichten.
Was die Solarisbank-Fälle für das Online-Banking insgesamt bedeuten
Die Häufung der Phishing-Angriffe rund um die Solarisbank ist kein isoliertes Phänomen. Sie steht exemplarisch für eine wachsende Bedrohungslage im digitalen Banking insgesamt. Banken lagern ihre Kreditkarteninfrastruktur aus, migrieren zu neuen Dienstleistern und kommunizieren mit Millionen von Kunden gleichzeitig per E-Mail – eine Situation, die Kriminellen strukturelle Angriffsflächen bietet.
Die Frage, wer in diesem System das Risiko trägt, ist eine politische und rechtliche Grundsatzfrage. Die Rechtsprechung zu Phishing entwickelt sich ständig weiter. Verbraucher, die sich gegen unbegründete Ablehnungen wehren und ihren Fall durch die Instanzen tragen, tragen nicht nur zu ihrer eigenen Entschädigung bei – sie gestalten durch Gerichtsurteile aktiv die Rechtslage mit. Jede erfolgreiche Klage gegen eine Bank, die pauschal Erstattungen verweigert, stärkt die Position aller zukünftigen Betroffenen.
Das ist der tiefere Sinn eines Rechtsstreits, der über den Einzelfall weit hinausgeht.
Fazit: Ihr Geld ist nicht verloren – aber Sie müssen handeln
Wenn Sie Opfer eines Phishing-Angriffs auf Ihre ADAC Kreditkarte bei der Solarisbank geworden sind, stehen Ihre rechtlichen Chancen gut. Die Bank ist nach § 675u BGB zur Erstattung verpflichtet, sie trägt die Beweislast für grobe Fahrlässigkeit, und ihr zentrales Gegenargument – die Tokenisierung – hält einer rechtlichen Prüfung nicht stand.
Was Sie nicht tun sollten: resignieren, nachdem die erste Ablehnung der Bank in Ihrem Briefkasten gelandet ist. Viele Betroffene glauben, sie seien selbst schuld und das Geld sei verloren. Das ist rechtlich oft falsch.
Handeln Sie schnell, sichern Sie Beweise, erstatten Sie Anzeige – und nehmen Sie rechtliche Unterstützung in Anspruch. Als Fachanwalt für IT-Recht mit langjähriger Erfahrung in Phishing-Mandaten helfe ich Ihnen dabei, Ihre Ansprüche gegenüber der Solarisbank durchzusetzen und Ihr verlorenes Geld zurückzuholen. Eine kostenfreie Ersteinschätzung Ihres Falles ist der erste Schritt – ohne Risiko, ohne Verpflichtung.
Rechtsanwalt Thomas Feil ist Fachanwalt für IT-Recht mit über 25 Jahren Berufserfahrung und spezialisiert auf Phishing, Internetbetrug und die Durchsetzung von Erstattungsansprüchen gegenüber Banken. Er bietet eine kostenfreie Ersteinschätzung für Phishing-Betroffene an.
