Hat ein Dritter Zahlungen von Ihrem N26-Konto ausgelöst, waren diese nicht autorisiert. Dann muss die Bank den Betrag nach § 675u BGB erstatten, und zwar unverzüglich. Nicht Sie müssen beweisen, dass Sie sorgfältig waren – N26 muss beweisen, dass Sie grob fahrlässig gehandelt haben. Dass ein Verfahren technisch durchlaufen wurde, genügt dafür nach § 675w BGB nicht. Und wenn Sie eine Bestätigung freigegeben haben, die lediglich eine Einrichtung betraf: Das ist keine Autorisierung der späteren Zahlungen. Die absolute Frist beträgt 13 Monate (§ 676b Abs. 2 BGB) – praktisch zählen die ersten Stunden.
Die Masche mit dem größten Schaden: Ihre Karte im fremden Apple Pay
Die N26-Fälle, die derzeit auf meinem Tisch landen, folgen fast alle demselben Muster – und es ist nicht das klassische Phishing per E-Mail. Die Täter rufen an, zunehmend über WhatsApp, sprechen Deutsch oder Englisch, kennen Ihren Namen und manchmal Ihre Adresse. Sie bringen Sie dazu, eine Bestätigung in der N26-App freizugeben. Danach liegt Ihre Karte in ihrem Apple Pay, und sie zahlen damit, bis das Konto leer ist.
Was dabei technisch geschieht
Beim Hinterlegen einer Karte in einem Wallet wandert nicht die Kartennummer auf das Telefon. Es wird eine zweite, gerätegebundene Nummer erzeugt – ein sogenanntes Token. Jede spätere Zahlung läuft über dieses Token, also über das Gerät der Täter. Die eigentliche Kartennummer sieht der Händler nie.
Daraus folgen zwei Dinge, die Betroffene regelmäßig überraschen. Erstens: Was parallel auf Ihrem eigenen Telefon geschieht, sagt über die einzelne Zahlung nichts aus. Die Anmeldung in der App und die Zahlung am Kassenterminal sind zwei Vorgänge auf zwei verschiedenen Geräten. Zweitens: Ein geändertes Passwort berührt ein bereits erzeugtes Token nicht. Es muss gesondert entfernt werden – deshalb Schritt 2 der Notfallbox.
Entscheidend ist der Moment der Hinterlegung. Dabei muss geprüft werden, ob derjenige, der die Karte hinterlegt, auch der Karteninhaber ist. Diese Prüfung legt nicht Apple fest und nicht Google, sondern die kartenausgebende Bank. Dort liegt die Sicherheitslücke, und dort liegt die rechtliche Verantwortung.
Warum „Sie haben das selbst freigegeben“ nicht trägt
Die Standardantwort lautet, der Kunde habe die Einrichtung freigegeben, also seien die Zahlungen autorisiert. Das OLG Karlsruhe hat dem widersprochen: Eine Autorisierung ist die Zustimmung zu einem bestimmten Zahlungsvorgang. Wer eine Kartenregistrierung bestätigt, stimmt keiner einzigen Zahlung zu. In dem entschiedenen Fall ging es um 122 Kartenzahlungen über 42.182,68 Euro, und die Bank musste erstatten (OLG Karlsruhe, Urteil vom 23.12.2025, Az. 17 U 113/23 – Revision zugelassen).
Das Gericht beanstandete außerdem den Wortlaut der Freigabemeldung. Aus einem allgemein gehaltenen „Karte registrieren“ konnte der Kunde nicht erkennen, dass er die Speicherung auf einem fremden Telefon freigibt. Und es stellte fest, dass die Freigabe nur den Zugriff auf das Freigabegerät belegt – nicht den Besitz des Geräts, auf dem die Karte landete.
Wie Sie in dieser Konstellation vorgehen und welche Protokolle Sie anfordern sollten, habe ich ausführlich zusammengestellt: Karte in fremdem Wallet – wann die Bank erstatten muss.
Zwei Fälle aus meiner Praxis
Beide Mandate betreffen N26, beide laufen über Apple Pay, und in beiden lehnt die Bank mit derselben Begründung ab. Sie zeigen, wie weit die Täter inzwischen gehen.
Im September 2026 wurden über Apple Pay zwei Zahlungen vom Konto eines Mandanten ausgeführt, zusammen gut 6.000 Euro – eine über rund 4.200 Euro, eine über rund 1.900 Euro. Vorausgegangen war ein Anruf über WhatsApp. Der Anrufer gab sich als N26-Mitarbeiter aus und veranlasste den Mandanten zu einer Bestätigung, die er als Wallet-Vorgang nicht einordnen konnte.
Die beiden Zahlungen selbst hat der Mandant weder per Face ID noch per PIN bestätigt. Genau darauf kommt es an: Bestätigt wurde allenfalls eine Einrichtung, nicht eine einzelne Zahlung.
N26 hat die Erstattung endgültig abgelehnt und beruft sich auf „Protokolle und systemseitige Fakten“. Der Mandant hatte zuvor schriftlich gefragt, wie die beiden Zahlungen technisch authentifiziert und welchem Gerät sie zugeordnet wurden. Eine konkrete Antwort darauf steht aus. Strafanzeige ist erstattet.
Nach § 675w BGB reicht die aufgezeichnete Nutzung eines Zahlungsinstruments einschließlich der Authentifizierung für sich allein nicht aus, um eine Autorisierung zu beweisen. Wer sich auf Protokolle beruft, sie aber nicht vorlegt, hat seine Beweislast nicht erfüllt.
An einem Nachmittag im Juni 2026 erhielt eine Mandantin einen Anruf. Ein englischsprachiger Mann meldete sich als N26-Mitarbeiter, sprach sie mit Namen an und fragte, ob sie soeben eine Zahlung in Irland veranlasst habe. Das hatte sie nicht.
Dann nannte er ein Detail, das alles glaubwürdig machte: Am Vormittag habe es einen Login von einem nicht verifizierten Gerät gegeben. Die Mandantin war zu dieser Zeit tatsächlich in einem öffentlichen WLAN an einem Bahnhof gewesen. Der Anrufer nannte weitere verdächtige Transaktionen, die die Bank angeblich bereits zurückgehalten habe und die deshalb in der App nicht sichtbar seien. Er bat sie, sich einzuloggen und zu prüfen – sie fand nichts, was seine Darstellung widerlegte.
Auffällig und planvoll: Nach ihrem Passwort hat er nie gefragt. Im Gegenteil, er forderte sie auf, es sofort zu ändern. Sie sperrte parallel ihre Kreditkarte. Beides erzeugte das Gefühl, hier arbeite jemand an ihrer Sicherheit.
Anschließend erklärte er, er werde nun den Apple-Pay-Zugang sperren, über den die Abbuchungsversuche liefen. Dafür müsse er ihre Identität verifizieren. Dazu werde er ihr eine virtuelle Kreditkarte einblenden – und diese Karte erschien tatsächlich in ihrem Konto. Es handle sich um ein reines Verifizierungstool, mit dem keine Zahlungen möglich seien; ihre richtige Karte sei ja ohnehin gesperrt. Unter diesem Eindruck gab sie die Daten der virtuellen Karte durch.
Dann kündigte er eine „Identitätsabfrage“ an, die sie in der App bestätigen solle. Sie bestätigte per Fingerabdruck. Kurz darauf erschienen vier Buchungen über rund 30.000 Euro, die sie zu keinem Zeitpunkt einzeln freigegeben hatte. Der Anrufer beruhigte sie: Das seien nur die abgewiesenen Anfragen, sie würden in wenigen Stunden als abgelehnt erscheinen.
Nach dem Gespräch wurde sie misstrauisch. Noch am selben Abend änderte sie alle Passwörter, löschte die virtuelle Karte und meldete die Buchungen dem Kundenservice als betrügerisch. Am nächsten Morgen erstattete sie Strafanzeige. Weitere Anrufe lehnte sie ab – darunter einen von einer englischen Mobilnummer, bei dem automatisch das Logo von N26 eingeblendet wurde.
N26 lehnt die Erstattung ab, weil sie den Apple-Pay-Zugang selbst freigegeben habe.
Warum diese Begründung angreifbar ist. Bestätigt wurde eine „Identitätsabfrage“ – nicht vier Zahlungen über einen fünfstelligen Betrag. Genau diese Unschärfe hat das OLG Karlsruhe beanstandet. Hinzu kommt die Frage nach § 675v Abs. 4 BGB, ob bei der Einrichtung überhaupt eine starke Kundenauthentifizierung stattgefunden hat, die den Besitz des Zielgeräts prüft. Und schließlich: Dass Kartendaten preisgegeben wurden, genügt allein nicht, um eine Karte in ein fremdes Wallet zu bringen – dafür braucht es die Prüfung der Bank.
Beide Fälle sind anonymisiert und mit Einverständnis der Mandantschaft wiedergegeben. Die Verfahren sind nicht abgeschlossen; über den Ausgang ist damit nichts gesagt.
Eine Rufnummer beweist nichts – auch nicht, wenn das Logo Ihrer Bank eingeblendet wird oder der Anruf über WhatsApp kommt. · Kein Mitarbeiter bittet Sie, etwas freizugeben, um Ihr Konto zu schützen. Keine Identitätsabfrage, keine Verifizierung, keine Registrierung. · Dass nicht nach Passwort oder PIN gefragt wird, ist kein Echtheitsbeweis, sondern das Kennzeichen der aktuellen Masche. · Eine virtuelle Karte ist nie ein Verifizierungstool. Sie ist ein Zahlungsmittel. · Legen Sie auf und rufen Sie selbst zurück, über die Nummer in Ihrer App.
Die weiteren Maschen bei N26
Neben dem Wallet-Betrug laufen bei N26-Kunden seit Jahren dieselben vier Muster. Sie sind weniger lukrativ für die Täter, aber deutlich verbreiteter.
Die gefälschte Identitätsüberprüfung
E-Mails kündigen eine angebliche Identitätsprüfung über ein „Kundenpanel“ an. Erkennbar sind sie an einer unpersönlichen Anrede, einem eingebetteten Link, gelegentlichen Rechtschreibfehlern und vor allem daran, dass kein plausibler Anlass für eine solche Prüfung genannt wird. Diese Masche läuft seit Anfang 2025 in Wellen.
Die angebliche neue „Internetkennung“
Eine ältere, aber immer wiederkehrende Variante: Angeblich sei eine neue Kennung nötig, sonst werde das Konto gesperrt. Die Gestaltung ist meist unprofessionell, die Absenderadresse auffällig. Das Grundmuster ist stets dasselbe – eine Frist, eine Drohung, ein Link.
Kontoübernahme nach Phishing
Gelangen Zugangsdaten in fremde Hände, folgt der vollständige Zugriff auf das Konto: Überweisungen, Limitänderungen, neue virtuelle Karten. Hier gilt die Rechtslage unten unverändert – es sind nicht autorisierte Zahlungen.
Wenn Ihr Geld auf ein N26-Konto geflossen ist
Eine eigene Konstellation, die häufig verwechselt wird: Sie sind gar nicht N26-Kunde, sondern haben bei einem Kauf oder einer vermeintlichen Anlage Geld auf ein N26-Konto überwiesen, hinter dem ein Betrüger steckt. Dann richtet sich Ihr Anspruch nicht nach § 675u BGB, denn Sie haben die Überweisung selbst veranlasst. Zu prüfen sind hier Ansprüche gegen den Kontoinhaber sowie Auskunftsansprüche gegenüber N26, damit Sie überhaupt wissen, wen Sie in Anspruch nehmen können. Wenden Sie sich in diesem Fall zuerst an Ihre eigene Bank und verlangen Sie einen Zahlungsrückruf.
Dann liegt Ihr Fall rechtlich anders. Eine Zahlung, die Sie selbst in der App freigegeben haben, ist autorisiert – der Erstattungsanspruch aus § 675u BGB greift dann nicht ohne Weiteres. Aussichtsreich sind stattdessen Schadensersatzansprüche wegen verletzter Schutz- und Warnpflichten der Bank, etwa wenn eine auffällige Transaktionskette nicht gestoppt wurde: Falscher Bankmitarbeiter am Telefon – wann die Bank Ihr Geld erstatten muss.
Die Rechtslage: Was N26 Ihnen schuldet
Ein Punkt vorweg, der Betroffene oft beschäftigt: N26 ist eine deutsche Bank mit deutscher Banklizenz und Sitz in Berlin, beaufsichtigt von der BaFin. Fragen nach anwendbarem Recht oder Gerichtsstand, die bei ausländischen Neobanken Zeit kosten, stellen sich hier nicht. Es gilt deutsches Recht, und Sie können am eigenen Wohnsitz klagen.
§ 675u BGB – der Erstattungsanspruch
Führt eine Bank eine nicht autorisierte Zahlung aus, hat sie keinen Anspruch auf Erstattung ihrer Aufwendungen. Sie muss den belasteten Betrag erstatten und das Konto wieder auf den Stand bringen, auf dem es ohne die Buchung gewesen wäre. Diese Erstattung hat unverzüglich zu erfolgen, spätestens bis zum Ende des Geschäftstags, der auf Ihre Anzeige folgt.
Deshalb entscheidet Schritt 3 der Notfallbox über den Zeitplan: Die Frist läuft ab Ihrer Anzeige, nicht ab dem Ende einer internen Prüfung.
§ 675w BGB – warum „das Verfahren wurde durchlaufen“ nichts beweist
Das stärkste Argument gegen die Standardantwort steht in § 675w BGB: Die Aufzeichnung der Nutzung eines Zahlungsinstruments einschließlich der Authentifizierung reicht für sich allein nicht notwendigerweise aus, um zu beweisen, dass der Zahler die Zahlung autorisiert hat. Die Beweislast trägt die Bank.
Übersetzt: „Unsere Protokolle und systemseitigen Fakten belegen die Authentifizierung“ ist keine Beweisführung, sondern eine Behauptung – solange die Protokolle nicht auf dem Tisch liegen.
§ 675v Abs. 4 BGB – die Norm, die fast niemand kennt
Nach § 675v Abs. 4 Satz 1 Nr. 1 BGB haften Sie nicht, wenn die Bank keine starke Kundenauthentifizierung verlangt hat – und zwar unabhängig davon, ob man Ihnen grobe Fahrlässigkeit vorwirft. Eine starke Kundenauthentifizierung verlangt zwei voneinander unabhängige Elemente aus den Kategorien Wissen, Besitz und Inhärenz.
Genau daran scheiterte die Bank im Karlsruher Fall: Der Besitz des Zielgeräts wurde nicht geprüft, das Entsperren des Geräts nicht ausreichend, und die Unabhängigkeit der beiden Faktoren war nicht gewährleistet. Die Folge ist erheblich: Steht die Absicherung der Hinterlegung in Frage, muss über Ihr Verhalten gar nicht mehr gestritten werden.
§ 676b Abs. 2 BGB – die Frist
Die Anzeige muss unverzüglich nach Feststellung erfolgen, die absolute Ausschlussfrist beträgt 13 Monate ab dem Tag der Belastung. Wer länger wartet, verliert den Anspruch endgültig.
EuGH, 15.10.2026, C-70/25 – erst erstatten, dann streiten
Seit Oktober 2026 kommt ein weiteres Argument hinzu. Der Europäische Gerichtshof hat entschieden, dass eine Bank die unverzügliche Erstattung einer nicht autorisierten Zahlung nicht mit der Begründung verweigern darf, der Kunde habe sie grob fahrlässig ermöglicht. Die einzige Ausnahme von der Erstattungspflicht ist der begründete Verdacht, dass der Kunde selbst betrügt – und selbst dann muss die Bank diesen Verdacht der zuständigen nationalen Behörde schriftlich mitteilen.
Über die Haftung wird erst danach gestritten, und zwar auf Betreiben der Bank. Mehr dazu mit den Randnummern der Entscheidung: EuGH C-70/25 – Bank muss nach Phishing sofort erstatten.
Ein Urteil gegen N26
Dass sich der Weg lohnt, zeigt eine Entscheidung gegen die Bank selbst. Das Amtsgericht Berlin Mitte verurteilte N26 zur Zahlung von 4.200 Euro nebst Zinsen; die Bank hat gezahlt. Das Gericht stellte die Annahme grober Fahrlässigkeit in Frage und legte der Bank auf, die Kontoaufzeichnungen vorzulegen. In der Begründung heißt es, es sei nicht bewiesen, dass die Abbuchungen ordnungsgemäß authentifiziert wurden (AG Berlin Mitte, Urteil vom 29.08.2024, Az. 15 C 271/23).
Was die Bank antworten wird
| Argument von N26 | Was dem entgegensteht |
|---|---|
| „Sie haben Apple Pay selbst freigegeben.“ | Die Freigabe einer Einrichtung ist keine Autorisierung der einzelnen Zahlungen (OLG Karlsruhe, 17 U 113/23). |
| „Unsere Protokolle belegen die Authentifizierung.“ | Vorlage verlangen. Die Aufzeichnung allein beweist die Autorisierung nicht (§ 675w BGB). |
| „Die App wurde auf Ihrem Gerät geöffnet.“ | Das sagt nichts darüber, von welchem Gerät die Zahlung ausgelöst wurde. |
| „Wir prüfen noch, das dauert einige Wochen.“ | Die Erstattungsfrist knüpft an Ihre Anzeige an, nicht an das Ende der Prüfung (EuGH C-70/25). Fristsetzung. |
| „Sie haben grob fahrlässig gehandelt.“ | Beweislast bei der Bank. Und bei fehlender starker Kundenauthentifizierung haften Sie ohnehin nicht (§ 675v Abs. 4 BGB). |
Häufige Fehler nach dem Schadensfall
In der Panik nach einem Angriff geschehen Dinge, die die spätere Rechtsposition schwächen. Vier davon sehe ich immer wieder.
Beweise werden gelöscht. Die Phishing-SMS, die WhatsApp-Nachricht, der Chatverlauf mit dem Support – oft aus Scham oder Ärger entfernt. Es sind die wichtigsten Beweisstücke, und nach einer Kontosperrung kommen Sie an Ihre eigene Korrespondenz nicht mehr heran.
Die Wallet-Einträge bleiben stehen. Karte gesperrt, Passwort geändert, und trotzdem laufen die Abbuchungen weiter. Der Grund ist fast immer ein Token oder eine virtuelle Karte, die niemand entfernt hat.
Es wird etwas zugegeben. „Ich habe wohl etwas Falsches bestätigt“ oder „Das war mein Fehler“ – im Chat getippt, später zitiert. Schildern Sie den Ablauf, bewerten Sie ihn nicht.
Es wird abgewartet. Die Bank kündigt eine Prüfung von mehreren Wochen an, und viele warten sie ab. Dabei läuft die Zeit für einen Zahlungsrückruf in Stunden, nicht in Wochen – und die Erstattungsfrist beginnt ohnehin mit Ihrer Anzeige.
Wie ich Ihren Fall bearbeite
Als Fachanwalt für IT-Recht, Rechtsanwalt seit 1994, habe ich über 1.500 Mandate zu Phishing und Internetbetrug bearbeitet. Der Ablauf ist in jedem Fall derselbe:
- Einordnung in der ersten Besprechung. Nicht autorisierte Zahlung oder selbst veranlasste Überweisung? Davon hängt die gesamte Argumentation ab – und die meisten Ablehnungen beruhen darauf, dass Betroffene hier den falschen Weg eingeschlagen haben.
- Anforderung der Protokolle. Authentifizierungsaufzeichnungen je Buchung, Protokoll der Wallet-Hinterlegung mit Gerätekennung und Zeitstempel, Wortlaut der Freigabemeldung, ausgelöste Warnungen des Betrugserkennungssystems.
- Schreiben an N26 mit Fristsetzung. Dokumentiert, mit konkreter Bezugnahme auf die Lücken des Verfahrens statt auf allgemeine Rechtsausführungen.
- Begleitung der Strafanzeige so, dass sie für das zivilrechtliche Verfahren nutzbar ist, einschließlich Akteneinsicht.
- Klage, wenn die Bank bei ihrer Ablehnung bleibt.
Die Ersteinschätzung ist kostenlos. Ob eine Rechtsschutzversicherung die Kosten übernimmt, prüfe ich mit. Wenn die Aussichten schlecht sind, sage ich Ihnen das.
Häufige Fragen zum N26-Phishing
N26 sagt, ich hätte Apple Pay selbst freigegeben. Ist der Fall damit verloren?
Nein. Eine Autorisierung ist die Zustimmung zu einem bestimmten Zahlungsvorgang. Wer eine Einrichtung oder eine Identitätsabfrage bestätigt, stimmt keiner einzelnen Zahlung zu. Das OLG Karlsruhe hat das für 122 Kartenzahlungen entschieden (Urteil vom 23.12.2025, Az. 17 U 113/23).
N26 beruft sich auf Protokolle, legt sie aber nicht vor. Was gilt dann?
Die Beweislast liegt bei der Bank. Nach § 675w BGB reicht die aufgezeichnete Nutzung eines Zahlungsinstruments einschließlich der Authentifizierung für sich allein nicht aus, um eine Autorisierung zu beweisen. Wer sich auf Protokolle beruft, sie aber nicht herausgibt, erfüllt seine Beweislast nicht.
Warum wurde weiter abgebucht, obwohl ich meine Karte gesperrt habe?
Weil eine Karte, die bereits als Token in einem fremden Wallet liegt, davon nicht ohne Weiteres berührt wird. Prüfen Sie in der App, welche virtuellen Karten angelegt und welche Geräte für Apple Pay oder Google Pay hinterlegt sind, und löschen Sie unbekannte Einträge.
Darf N26 die Erstattung zurückhalten, solange die Prüfung läuft?
Nein. Die Erstattung hat unverzüglich zu erfolgen, spätestens bis zum Ende des Geschäftstags, der auf die Anzeige folgt. Der EuGH hat am 15.10.2026 entschieden, dass die Bank das nicht mit dem Vorwurf grober Fahrlässigkeit hinausschieben darf (C-70/25).
Wie lange habe ich Zeit, den Schaden bei N26 anzuzeigen?
Die Anzeige muss unverzüglich nach Feststellung erfolgen, spätestens 13 Monate nach dem Tag der Belastung (§ 676b Abs. 2 BGB). Praktisch zählen die ersten Stunden, weil nur dann ein Zahlungsrückruf Aussicht hat.
Fazit
Ein leergeräumtes N26-Konto ist kein Schicksalsschlag, sondern ein Rechtsfall mit klarer Ausgangslage. Die Zahlung war nicht autorisiert, die Bank muss erstatten, und sie trägt die Beweislast für den Gegenvorwurf. Seit Oktober 2026 darf sie die Erstattung nicht einmal mehr hinausschieben, solange sie prüft.
Verloren gehen diese Fälle fast nie an der Rechtslage. Sie gehen verloren an gelöschten Nachrichten, an einem unbedachten Satz im Chat, an einem Wallet-Eintrag, den niemand entfernt hat, und an verstrichener Zeit.
Sichern Sie die Beweise, prüfen Sie die hinterlegten Geräte, zeigen Sie schriftlich an, geben Sie nichts zu – und lassen Sie prüfen, was in den Protokollen der Bank tatsächlich steht.
Opfer von N26-Phishing? Schildern Sie mir Ihren Fall. Telefon 0511 47 39 06-0 · anwalt@thomas-feil.de · Hannover, bundesweit tätig · Anwalt bei Phishing
Stand: 22.10.2026. Dieser Beitrag gibt allgemeine Hinweise und ersetzt keine Prüfung des Einzelfalls.