Fachanwalt für IT-Recht · Rückforderung nach Phishing
Anwalt bei Phishing: Ihr Geld von der Bank zurückfordern
Ihr Konto wurde leergeräumt, und die Bank sagt, Sie seien selbst schuld? Nach dem Gesetz muss die Bank nachweisen, dass Sie grob fahrlässig gehandelt haben – nicht umgekehrt.
Stand: . Eigene Auswertung der Kanzleiakten
Was ich für Sie übernehme
Die meisten Ablehnungsschreiben berufen sich pauschal auf grobe Fahrlässigkeit. Ich prüfe, ob die Bank diesen Vorwurf überhaupt belegen kann.
Wie wurde die Zahlung authentifiziert, welches Gerät war registriert, was stand auf dem Freigabebildschirm? Diese Daten hat nur die Bank — und sie muss sie liefern.
Außergerichtlich, und wenn nötig vor Gericht. Mit Blick darauf, was Ihre Rechtsschutzversicherung wann übernimmt.
Gerade passiert? Hier sind die Sperrnummern Ihrer Bank
Wenn der Angriff erst wenige Minuten oder Stunden zurückliegt, geht die Sperrung allem anderen vor. Für die folgenden Banken habe ich die offiziellen Notfallnummern, die aktuellen Betrugsmaschen und die ersten Schritte zusammengestellt:
Ihre Bank ist nicht dabei? Der Sperr-Notruf 116 116 sperrt bei den meisten Instituten zumindest die Karten. Ob er auch das Online-Banking sperrt, ist von Bank zu Bank verschieden — im Zweifel zusätzlich die Hotline Ihrer Bank anrufen.
Die Rechtslage: Warum die Bank oft zahlen muss
Die Ablehnungsschreiben der Banken klingen endgültig. Sie sind es häufig nicht. Das Gesetz verteilt die Risiken bei nicht autorisierten Zahlungen deutlich zugunsten der Kunden:
- Die Bank muss erstatten — § 675u BGB
- Bei einer Zahlung, die Sie nicht autorisiert haben, muss die Bank den Betrag unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags.
- Die Bank muss beweisen — § 675w BGB
- Ist streitig, ob eine Zahlung autorisiert war, muss die Bank nachweisen, dass eine Authentifizierung stattgefunden hat und der Vorgang ordnungsgemäß aufgezeichnet wurde. Die Aufzeichnung allein genügt nicht, um Ihnen grobe Fahrlässigkeit nachzuweisen.
- Nur bei grober Fahrlässigkeit haften Sie voll — § 675v BGB
- Den gesamten Schaden tragen Sie nur, wenn die Bank Ihnen Vorsatz oder grobe Fahrlässigkeit nachweist. Dass jemand einer professionell gemachten Täuschung erlegen ist, reicht dafür für sich genommen nicht.
- Die Frist läuft — § 676b Abs. 2 BGB
- Die nicht autorisierte Zahlung müssen Sie unverzüglich nach Kenntnis anzeigen, spätestens aber binnen 13 Monaten nach der Belastung. Danach ist der Anspruch verloren.
Der Streitpunkt: „Sie haben doch die TAN freigegeben“
Mit diesem Satz lehnen Banken die meisten Fälle ab. Er verkürzt die Rechtslage erheblich.
Entscheidend ist nicht, dass Sie etwas freigegeben haben, sondern was Sie dabei freigegeben haben. Wurde Ihnen am Telefon eine „Rückbuchung“, eine „Stornierung“ oder eine „Gerätebestätigung“ angekündigt, und haben Sie im Vertrauen darauf eine TAN bestätigt, dann haben Sie einer ganz anderen Handlung zugestimmt als der Überweisung an die Täter. Ob das eine Autorisierung der tatsächlichen Zahlung ist, hängt davon ab, was auf dem Freigabebildschirm konkret angezeigt wurde. [PRÜFEN: um Rechtsprechungsverweis ergänzen]
Und selbst wenn die Freigabe als Autorisierung gewertet wird, bleibt die Frage, ob die Bank ihre eigenen Pflichten erfüllt hat: Hat ihr Betrugserkennungssystem angeschlagen? War die Zahlung für Ihr Konto ungewöhnlich? Hat die Bank vor einer bekannten Masche gewarnt — und zwar Sie persönlich, nicht nur auf irgendeiner Unterseite ihrer Website?
Drei Fälle aus meiner Praxis
Die Maschen unterscheiden sich, die Antwort der Banken ist fast immer dieselbe. Die folgenden Fälle sind anonymisiert; die Banken sind mit Einverständnis der Betroffenen genannt.
Erst ein Brief, Tage später der Anruf
Was passiert ist
Kurz nach der Umstellung des TAN-Verfahrens erhielt eine Kundin ein täuschend echtes Schreiben: Sie solle das neue Verfahren noch einmal per TAN-Freigabe bestätigen. Sie tat es, wurde dabei stutzig und brach ab. Weil in den folgenden Tagen nichts geschah, war sie beruhigt.
Dann kam der Anruf — von der Kölner Nummer, unter der die Bank das Ehepaar üblicherweise kontaktiert. Das System habe eine ungewöhnliche Überweisung von knapp 15.000 € festgestellt, die man gerade noch zurückholen könne. Dafür sei eine TAN-Freigabe nötig. Eine Stunde später war genau dieser Betrag abgebucht.
Empfänger war ein Konto bei der Norisbank — einer Tochtergesellschaft der Deutschen Bank. Die Bank lehnte ab: Die Kundin habe die Überweisung schließlich freigegeben.
Worauf es ankommt
- Freigegeben wurde nach dem Verständnis der Kundin eine Rückbuchung, keine Überweisung an Dritte. Was auf dem Freigabebildschirm stand, wird entscheidend.
- Die Anrufer kannten den Betrag im Voraus — ein Indiz dafür, dass sie über den ersten Schritt bereits Zugriff auf das Konto hatten.
- Die angezeigte Rufnummer entsprach der gewohnten Filiale. Das spricht gegen grobe Fahrlässigkeit.
- Das Empfängerkonto lag bei einer Konzerntochter der eigenen Bank. Wie konnte dort ein Konto für eine solche Transaktion genutzt und binnen Kurzem leergeräumt werden?
Keine Phishing-Mail, kein Fehler — trotzdem 11.400 € weg
Was passiert ist
Ein IT-Fachmann entdeckt an einem Samstagmorgen zwei Überweisungen vom Vortag über zusammen rund 11.400 €. Beide gingen an dieselbe IBAN, aber an zwei unterschiedliche Firmennamen — einer davon mit einem auffälligen Schreibfehler.
Er sperrt binnen Minuten den Online-Zugang, erstattet noch am Vormittag Anzeige und lässt seine Rechner vollständig prüfen: keine Schadsoftware. Beide Geräte für die Zwei-Faktor-Freigabe waren durchgehend in seinem Besitz. Eine Phishing-Nachricht hatte er nicht erhalten.
Die Bank verweigert die Auskunft, wie und wann die Zahlungen autorisiert worden sein sollen.
Worauf es ankommt
- Genau diese Auskunft ist die Beweislast der Bank. Wer nicht darlegen kann, wie eine Zahlung authentifiziert wurde, kann eine Autorisierung nicht nachweisen.
- Zwei Empfängernamen für dieselbe IBAN, einer mit Schreibfehler — das hätte eine Empfängerprüfung stutzig machen müssen.
- Es ist kein Verhalten des Kunden erkennbar, das überhaupt als Fahrlässigkeit in Betracht käme. Vorbildlicher lässt sich kaum reagieren.
Praxiskonto: rund 20.000 € — drei Tage nach der Warnung der Bank
Was passiert ist
Eine niedergelassene Praxisinhaberin aktualisierte über eine gefälschte E-Mail ihre Praxisanschrift und Mobilnummer — mehr nicht. Kurz darauf rief jemand von einer apoBank-Nummer an: Ein zweites Smartphone sei für ihr Online-Banking freigeschaltet worden, drei hohe Beträge seien bereits unterwegs. Die Rückbuchung müsse sofort erfolgen, das Geld bleibe nie lange auf den Konten der Täter.
Unter diesem Zeitdruck gab sie die Zahlungen frei. Die apoBank hatte die Masche drei Tage zuvor auf ihrer Website gemeldet — ihre Kundin informiert hatte sie nicht. Seit der Meldung schweigt die Bank; nicht einmal, ob das gesamte Praxiskonto oder nur das Online-Banking gesperrt ist, erfährt sie.
Worauf es ankommt
- Die Bank kannte die Masche und beließ es bei einem Hinweis auf ihrer Website. Reicht das, wenn sie ihre Kunden sonst durchaus aktiv anschreibt?
- Die Kundin war es gewohnt, Bankangelegenheiten telefonisch zu klären und Überweisungen sogar per E-Mail zu beauftragen. Wer solche Abläufe selbst etabliert, kann seinem Kunden kaum vorwerfen, einen unüblichen Anruf nicht als Betrug erkannt zu haben.
- Preisgegeben wurden nur Anschrift und Telefonnummer. Wie kamen die Täter an Kennung und Passwort? Die Frage nach einem Datenschutzvorfall ist offen.
- Die Rechtsschutzversicherung der Praxis greift erst im Klageverfahren — die Kosten davor müssen geplant werden.
So arbeiten wir zusammen
- Sie schildern mir den Ablauf Per Telefon oder Formular. Am hilfreichsten sind eine kurze Chronologie, Screenshots der Buchungen und — falls vorhanden — das Ablehnungsschreiben der Bank.
- Kostenfreie Ersteinschätzung Ich sage Ihnen, wie ich die Erfolgsaussichten sehe, was an Kosten entsteht und was Ihre Rechtsschutzversicherung voraussichtlich übernimmt.
- Forderung und Auskunftsverlangen Ich fordere die Bank zur Erstattung auf und verlange die Offenlegung der Authentifizierungsdaten. An dieser Stelle zeigt sich meist, wie belastbar die Ablehnung tatsächlich ist.
- Einigung oder Klage Viele Fälle lassen sich außergerichtlich klären. Wenn nicht, prüfen wir gemeinsam den Klageweg.
Kosten und Rechtsschutzversicherung
Die Ersteinschätzung ist kostenfrei. Danach richten sich die Kosten nach dem Rechtsanwaltsvergütungsgesetz und damit nach der Höhe des Schadens. [ERGÄNZEN: Beispielrechnung oder Preiskorridor, z. B. für einen Schaden von 5.000 € und 20.000 €]
Zur Rechtsschutzversicherung ein wichtiger Hinweis: Viele Policen — gerade bei Praxen und Gewerbetreibenden — decken nur das gerichtliche Verfahren, nicht die außergerichtliche Tätigkeit. Private Policen enthalten dagegen häufig auch die außergerichtliche Vertretung. Ich kläre die Deckung vorab mit Ihrer Versicherung, damit Sie wissen, welche Kosten auf Sie zukommen können, bevor Sie mich beauftragen.
Entscheidungen, auf die es ankommt
| Gericht | Aktenzeichen | Kernaussage |
|---|---|---|
| EuGH | C-665/23 | Rechte und Pflichten bei nicht autorisierten Zahlungsvorgängen nach der Zahlungsdiensterichtlinie |
| OLG | [AZ ERGÄNZEN] | S-pushTAN: Die Bank haftet auch bei grober Fahrlässigkeit des Kunden anteilig mit |
| OLG Karlsruhe | [AZ ERGÄNZEN] | Anforderungen an die starke Kundenauthentifizierung bei Apple Pay |
| OLG Oldenburg | 8 U 103/23 | Wo die Grenze zur groben Fahrlässigkeit verläuft |
Alle Entscheidungen zur Bankhaftung im Überblick →
Häufige Fragen
Die Bank hat meine Erstattung abgelehnt. Lohnt sich ein Anwalt noch?
Ja, gerade dann. Die meisten Ablehnungen berufen sich pauschal auf grobe Fahrlässigkeit, ohne sie zu belegen. Beweisen muss sie aber die Bank. Eine erste Ablehnung ist kein Endergebnis.
Ich habe die TAN selbst freigegeben. Habe ich überhaupt eine Chance?
Das hängt davon ab, was Sie freigegeben haben und was Ihnen dabei angezeigt wurde. Wer im Glauben an eine Rückbuchung oder Gerätebestätigung getäuscht wurde, hat einer anderen Handlung zugestimmt als der Überweisung an die Täter. Das muss im Einzelfall geprüft werden.
Wie lange habe ich Zeit?
Die nicht autorisierte Zahlung müssen Sie unverzüglich melden, spätestens binnen 13 Monaten nach der Belastung. Praktisch gilt: Je früher, desto besser — für die Sperrung, für die Beweislage und für die Chance, das Geld noch aufzuhalten.
Übernimmt meine Rechtsschutzversicherung die Kosten?
Häufig ja, aber nicht immer für jeden Verfahrensabschnitt. Manche Policen decken nur das Gerichtsverfahren. Ich kläre die Deckung vorab mit Ihrer Versicherung.
Kann das Geld noch zurückgeholt werden, wenn es schon weitergeleitet wurde?
Vom Empfängerkonto meist nicht mehr, weil die Täter es binnen Minuten weiterbewegen. Darauf kommt es für Ihren Anspruch aber nicht an: Der Erstattungsanspruch richtet sich gegen Ihre eigene Bank, nicht gegen die Täter.
Muss ich zuerst Strafanzeige erstatten?
Die Strafanzeige ist kein rechtliches Muss für den Erstattungsanspruch, aber praktisch unverzichtbar. Banken verlangen das Aktenzeichen regelmäßig, und die Anzeige dokumentiert, dass Sie zeitnah gehandelt haben.
