über 30Jahre als Rechtsanwalt tätigZugelassen seit 1994
1.500+Phishing- und InternetbetrugsfälleRückforderung gegenüber Banken
4,7Sterne bei Googleaus 67 Rezensionen
Stand: .
Eigene Auswertung der Kanzleiakten
📋 Das Wichtigste in Kürze
Hat ein Dritter Überweisungen von Ihrem Openbank-Konto ausgelöst, waren diese Zahlungen nicht autorisiert. Dann muss die Bank den Betrag nach § 675u BGB erstatten, und zwar unverzüglich. Nicht Sie müssen beweisen, dass Sie sorgfältig waren – die Bank muss beweisen, dass Sie grob fahrlässig gehandelt haben (§ 675v Abs. 3 Nr. 2 BGB). Dass die Täter eine TAN oder eine OpenbankSign-Freigabe verwendet haben, genügt dafür nach § 675w Satz 3 BGB ausdrücklich nicht. Entscheidend sind die ersten Stunden und die ersten Schreiben. Wer zu lange wartet, verliert den Anspruch endgültig: Die absolute Frist beträgt 13 Monate (§ 676b Abs. 2 BGB).
Openbank, Santander und die spanische IBAN: warum gerade hier Phishing funktioniert
Openbank ist die digitale Direktbank der spanischen Banco Santander. In Deutschland tritt sie mit kostenlosem Girokonto, Tagesgeld und digitalen Karten auf, ohne eine einzige Filiale. Die deutsche Niederlassung sitzt in Frankfurt am Main. Rechtlich ist Ihr Vertragspartner aber die spanische Open Bank S.A.
Diese Konstellation ist der Grund, warum Openbank-Kunden ein lohnenderes Ziel sind als Kunden einer Sparkasse – und zwar aus drei Gründen, die in keinem anderen Ratgeber stehen.
1. Die Bank selbst hat Kunden an Sperrandrohungen gewöhnt
Openbank hat deutsche Kunden von der spanischen ES-IBAN auf eine deutsche DE-IBAN umgestellt. In den Anschreiben an die Kundschaft stand sinngemäß, das Konto werde zu einem bestimmten Stichtag gesperrt, wenn nicht gehandelt werde. Zu diesem Zeitpunkt war das echt.
Genau diese Erfahrung nutzen die Täter aus. Eine SMS mit dem Inhalt „Ihr Openbank-Konto wird gesperrt, bitte bestätigen Sie Ihre Daten“ trifft bei Openbank-Kunden auf eine bereits eingeübte Erwartung. Wer von seiner eigenen Bank gelernt hat, dass Kontosperrungen per Nachricht angekündigt werden und dass man reagieren muss, prüft die nächste solche Nachricht weniger kritisch.
Das ist juristisch relevant. Wenn die Bank ihren Kunden selbst daran gewöhnt hat, auf Sperrankündigungen per Nachricht hin tätig zu werden, lässt sich der Vorwurf der groben Fahrlässigkeit deutlich schwerer halten. Dieses Argument gehört in jedes erste Schreiben an die Bank, und es wird praktisch nie verwendet.
2. Zinia, Openbank Pay und die Markenverwirrung
Innerhalb der Santander-Gruppe wurden Marken zusammengeführt und umbenannt. Kunden erhalten deshalb seit Längerem Nachrichten mit Betreffzeilen wie „Openbank Pay formerly Zinia – Update required“, die unter Zeitdruck zum Handeln auffordern. Wo eine Bank selbst Produktnamen wechselt, kann ein Kunde eine unbekannte Markenbezeichnung nicht als Betrugsindiz erkennen. Auch das ist ein Argument gegen den Fahrlässigkeitsvorwurf.
3. Keine Filiale, kein Gegencheck
Bei einer Filialbank kann ein unsicherer Kunde hingehen und fragen. Bei Openbank existiert dieser Weg nicht. Jede Prüfung läuft über denselben digitalen Kanal, über den auch der Angriff kommt. Diese strukturelle Eigenschaft hat die Bank gewählt, nicht der Kunde – und sie erhöht die Anforderungen an die Betrugserkennungssysteme der Bank entsprechend.
Aus meiner Praxis
Ein Mandat aus dem Oktober 2026 betraf nicht Openbank selbst, sondern eine Bank derselben
Unternehmensgruppe mit einem baugleichen App-Freigabeverfahren. Zwei Kontoinhaber erhielten
abends einen Anruf; im Display stand die echte Notfallnummer ihrer Bank. Sie schlugen die
Nummer vorsichtshalber im Internet nach und fanden sie bestätigt. Danach folgten sie den
Anweisungen der vermeintlichen Mitarbeiterin: Tageslimit erhöhen, Geld vom Tagesgeld- auf das
Girokonto umbuchen, überweisen – jeder Schritt von ihnen selbst in der App freigegeben, jeder
Schritt von der Bank per SMS bestätigt. Nach PIN oder TAN wurde nie gefragt. Am Folgetag
erfuhren sie in ihrer Filiale, dass sie betrogen worden waren.
Was sich in meinen Mandaten regelmäßig zeigt: Banken lehnen zunächst pauschal ab und
lenken ein, sobald sie mit einer Argumentation konfrontiert werden, die konkret auf die
Lücken ihres eigenen Sicherheitsverfahrens zielt statt auf das Verhalten des Kunden.
Die Maschen, die bei Openbank konkret laufen
OpenbankSign: das Freigabeverfahren als eigentliches Ziel
Openbank bestätigt Transaktionen über das eigene Verfahren OpenbankSign in der App. Der Angriff zielt deshalb nicht mehr auf einzelne TANs, sondern auf die Aktivierung des Verfahrens auf einem fremden Gerät. Das Muster: Über eine gefälschte Seite oder einen Anruf wird das Opfer dazu gebracht, einen Aktivierungscode einzugeben oder durchzugeben. Damit registrieren die Täter OpenbankSign auf ihrem eigenen Smartphone – und autorisieren anschließend beliebig viele Überweisungen selbst, ohne dass das Opfer noch etwas davon mitbekommt.
Dieser Punkt ist der juristisch wichtigste des gesamten Falls. Denn die Bank wird argumentieren, die Zahlungen seien ordnungsgemäß über OpenbankSign freigegeben worden. Die entscheidende Rückfrage lautet: Welche Prüfung hat stattgefunden, als das Verfahren auf einem neuen, unbekannten Gerät registriert wurde? Die Geräteregistrierung ist selbst ein sicherheitsrelevanter Vorgang. Wurde sie ohne zusätzliche Absicherung zugelassen, liegt der Fehler im System der Bank, nicht beim Kunden.
Fordern Sie deshalb von Openbank schriftlich an: das Protokoll der Geräteregistrierung mit Zeitstempel, Gerätekennung und IP-Adresse, dazu die Authentifizierungsaufzeichnungen aller streitigen Buchungen. Die Bank muss diese Daten im Streitfall vorlegen, denn sie trägt die Beweislast.
Smishing mit Zwei-Stufen-Anruf
Zuerst kommt eine SMS, die einen Anruf der Bank ankündigt. Dann ruft ein vermeintlicher Mitarbeiter an. Die vorangegangene SMS erzeugt eine Erwartungshaltung, die den Anruf glaubwürdig macht. Häufig wird dabei die echte Rufnummer der Bank im Display angezeigt, weil die Täter sie technisch fälschen (Call-ID-Spoofing).
Gefälschte Suchanzeigen
Wer „Openbank Login“ oder „Openbank Online Banking“ sucht, findet in den Anzeigenplätzen gelegentlich Treffer, die auf nachgebaute Seiten führen. Der Login gehört ausschließlich über die direkt eingetippte Adresse oder die App aufgerufen, nie über ein Suchergebnis.
Die gefälschte Sicherheits-App
Kunden werden aufgefordert, eine angebliche Sicherheits-App zu installieren. Dahinter steht Schadsoftware, die eingehende SMS und Bildschirminhalte ausliest. Ist sie installiert, sind auch TANs und Freigaben kompromittiert.
Führt eine Bank eine nicht autorisierte Zahlung aus, hat sie keinen Anspruch auf Erstattung ihrer Aufwendungen. Sie muss den belasteten Betrag erstatten und das Konto wieder auf den Stand bringen, auf dem es ohne die Buchung gewesen wäre. Diese Erstattung hat unverzüglich zu erfolgen, spätestens bis zum Ende des Geschäftstags, der auf den Tag folgt, an dem Sie der Bank die nicht autorisierte Zahlung angezeigt haben.
Das ist der Grund, warum Schritt 3 der Notfallbox über den Erfolg entscheidet: Die Frist läuft erst ab Ihrer Anzeige. Ein Telefonat lässt sich später nicht beweisen. Zeigen Sie schriftlich an.
§ 675w BGB – warum „die TAN wurde eingegeben“ nichts beweist
Das stärkste Argument gegen die Standardantwort der Banken steht in § 675w Satz 3 BGB: Die Aufzeichnung der Nutzung eines Zahlungsinstruments einschließlich der Authentifizierung reicht für sich allein nicht notwendigerweise aus, um zu beweisen, dass der Zahler die Zahlung autorisiert hat.
Übersetzt: Die Antwort „Die Überweisung wurde mit OpenbankSign freigegeben, also haben Sie sie autorisiert“ ist rechtlich kein Beweis. Die Bank muss darlegen, dass das Verfahren ordnungsgemäß funktioniert hat, ordnungsgemäß gesichert war und nicht umgangen wurde.
§ 675v BGB – die Grenze der Kundenhaftung
Die Bank kann dem Erstattungsanspruch nur einen eigenen Schadensersatzanspruch entgegenhalten, wenn Sie vorsätzlich oder grob fahrlässig gehandelt haben (§ 675v Abs. 3 Nr. 2 BGB). Grobe Fahrlässigkeit bedeutet, die erforderliche Sorgfalt in besonders schwerem Maße außer Acht zu lassen. Der Klick auf einen professionell gefälschten Link erfüllt das nicht automatisch.
Ebenfalls wenig bekannt: Nach § 675v Abs. 4 BGB entfällt die Haftung des Kunden, wenn die Bank keine starke Kundenauthentifizierung verlangt hat. Prüfen Sie daher für jede einzelne streitige Buchung, ob tatsächlich zwei unabhängige Faktoren zum Einsatz kamen.
Openbank muss ihre Sicherheits- und Überwachungssysteme auf dem Stand der Technik halten. Dazu gehört, auffällige Muster zu erkennen: die Registrierung des Freigabeverfahrens auf einem neuen Gerät, ein Login aus einem ungewöhnlichen Land, mehrere Überweisungen kurz hintereinander, ein für das Konto völlig untypischer Betrag, ein Empfänger im Ausland. Wird nichts davon erkannt und nichts gesperrt, ist das eine Pflichtverletzung der Bank.
Seit Oktober 2025: die Empfängerüberprüfung
Seit dem 9. Oktober 2025 müssen Banken im SEPA-Raum vor jeder Überweisung abgleichen, ob der angegebene Empfängername zur IBAN gehört (Verification of Payee, Verordnung (EU) 2024/886). Das ist in Phishing-Fällen ein zusätzlicher Prüfpunkt: Haben die Täter auf ein Konto überwiesen, das auf einen fremden Namen lief, hätte die Prüfung anschlagen müssen. Fragen Sie das Prüfergebnis zu jeder streitigen Buchung bei der Bank ab.
Umgekehrt gilt: Wer selbst überwiesen und eine Abweichungswarnung ignoriert hat, steht schlechter. Auch das gehört zur ehrlichen Einschätzung.
Ausblick: PSD3 und die Zahlungsdiensteverordnung
Die EU hat sich auf eine Reform des Zahlungsdiensterechts geeinigt. Vorgesehen ist unter anderem eine Haftung der Bank in Fällen, in denen sich Täter als die eigene Bank des Kunden ausgeben. Wichtig für die Einordnung: Die Texte sind noch nicht endgültig in Kraft, und mit einer Geltung wird frühestens gegen Ende 2027 gerechnet. Für heutige Fälle gilt weiterhin das Recht der §§ 675u ff. BGB. Wer Ihnen schon jetzt eine „Vollhaftung der Banken“ verspricht, verkürzt unzulässig.
Die Besonderheit bei Openbank: spanische Bank, deutscher Kunde
Dieser Abschnitt betrifft ausschließlich Openbank-Kunden und wird in allgemeinen Phishing-Ratgebern nirgends behandelt.
Weil Ihr Vertragspartner zur spanischen Open Bank S.A. gehört und viele Konten über Jahre auf spanischen IBANs geführt wurden, stellen sich zusätzliche Fragen, die den Ausgang des Falls beeinflussen können:
Welches Recht gilt? Bei Verbraucherverträgen greifen besondere Schutzvorschriften. Eine Rechtswahl in den AGB darf dem Verbraucher den Schutz des Rechts seines Aufenthaltsstaats nicht entziehen.
Wo kann geklagt werden? Verbraucher können ihren Vertragspartner in aller Regel am eigenen Wohnsitz verklagen. Das ist ein erheblicher praktischer Vorteil, den viele Betroffene nicht kennen und den die Bank nicht von sich aus erwähnt.
Welche Beschwerdestelle ist zuständig? Je nach Konstellation kommen die deutsche Niederlassung, die BaFin oder der spanische Weg über die Banco de España in Betracht.
Zahlungsrückruf über Ländergrenzen. Läuft die Zahlung über eine spanische Bankverbindung, dauert ein Recall länger. Umso wichtiger ist, ihn in den ersten Stunden ausdrücklich zu verlangen.
In der Praxis führt diese Unklarheit dazu, dass Betroffene zwischen Hotline in Madrid und Niederlassung in Frankfurt hin- und hergeschickt werden, während die Frist läuft. Lassen Sie sich darauf nicht ein: Die schriftliche Anzeige geht parallel an beide Adressen.
Was die Bank antworten wird – und was darauf gehört
Argument der Bank
Was dem entgegensteht
„Die Zahlung wurde mit OpenbankSign freigegeben, also autorisiert.“
Die Aufzeichnung der Authentifizierung beweist die Autorisierung nicht (§ 675w Satz 3 BGB). Vorlage der Protokolle verlangen.
„Sie haben Ihre Daten grob fahrlässig preisgegeben.“
Die Bank trägt die Beweislast. Professionalität des Angriffs, Zwei-Stufen-Masche, Rufnummern-Spoofing und die eigene Sperrkommunikation der Bank dokumentieren.
„Wir prüfen den Fall, bitte haben Sie Geduld.“
Die Erstattungsfrist des § 675u BGB knüpft an die Anzeige an, nicht an das Ende einer internen Prüfung. Fristsetzung.
„Der Vorgang kam von Ihrem Gerät.“
Geräteregistrierung, IP-Adressen und Zeitstempel anfordern. Oft zeigt sich genau hier das fremde Gerät.
„Wir können nichts mehr tun, das Geld ist weg.“
Der Erstattungsanspruch besteht unabhängig davon, ob die Bank das Geld bei den Tätern wiederbekommt.
Wie ich Ihren Fall bearbeite
Als Fachanwalt für IT-Recht, Rechtsanwalt seit 1994, habe ich über 1.500 Mandate zu Phishing und Internetbetrug bearbeitet. Der Ablauf ist in jedem Fall derselbe:
Analyse in der ersten Besprechung. Welche Masche, welches Freigabeverfahren, welche Lücke auf Seiten der Bank. Daraus ergibt sich, ob und wie vorgegangen wird – und das sage ich auch, wenn die Aussichten schlecht sind.
Anforderung der Protokolle. Authentifizierungsaufzeichnungen, Geräteregistrierung, Ergebnis der Empfängerüberprüfung, interne Betrugswarnungen.
Schreiben an die Bank mit Fristsetzung. Dokumentiert, mit konkreter Bezugnahme auf die Mängel des Verfahrens.
Begleitung der Strafanzeige so, dass sie für das zivilrechtliche Verfahren nutzbar ist, einschließlich Akteneinsicht.
Klage, wenn die Bank bei ihrer Ablehnung bleibt.
Die Ersteinschätzung ist kostenlos. Ob eine Rechtsschutzversicherung die Kosten übernimmt, prüfe ich mit.
Häufige Fragen zu Openbank-Phishing
Muss ich zuerst Strafanzeige erstatten oder zuerst die Bank informieren?
Die Bank zuerst, und zwar sofort telefonisch zur Sperrung und unmittelbar danach schriftlich zur Anzeige der nicht autorisierten Zahlungen. Nur die schriftliche Anzeige setzt die Erstattungsfrist in Gang. Die Strafanzeige folgt am selben oder am nächsten Tag.
Verliere ich meinen Anspruch, weil ich die Daten selbst eingegeben habe?
Nein, nicht automatisch. Entscheidend ist nicht, ob Sie gehandelt haben, sondern ob Sie dabei die erforderliche Sorgfalt in besonders schwerem Maße außer Acht gelassen haben. Wer durch eine professionell gefälschte Nachricht und einen Anruf mit gespoofter Bankrufnummer getäuscht wurde, handelt nicht ohne Weiteres grob fahrlässig.
Die Täter haben OpenbankSign benutzt. Ist der Fall damit verloren?
Im Gegenteil, das ist oft der stärkste Ansatzpunkt. Zu klären ist, wie das Verfahren auf einem fremden Gerät aktiviert werden konnte und welche Prüfung die Bank bei dieser Registrierung vorgenommen hat. Die Authentifizierungsaufzeichnung allein beweist die Autorisierung nicht (§ 675w Satz 3 BGB).
Wie lange habe ich Zeit?
Die Anzeige muss unverzüglich erfolgen. Die absolute Ausschlussfrist beträgt 13 Monate ab dem Tag der Belastung (§ 676b Abs. 2 BGB). Praktisch zählen aber die ersten Stunden, weil ein Zahlungsrückruf nur so lange Aussicht hat, wie das Geld auf dem Empfängerkonto liegt.
Openbank hat abgelehnt. Was jetzt?
Die erste Ablehnung ist in aller Regel eine Standardreaktion und nicht das letzte Wort. Sinnvoll ist ein begründetes Schreiben, das die Lücken im Sicherheitsverfahren der Bank benennt und eine Frist setzt. Bleibt die Bank dabei, folgt die Klage.
Spielt es eine Rolle, dass Openbank eine spanische Bank ist?
Ja. Es stellen sich zusätzliche Fragen zum anwendbaren Recht, zum Gerichtsstand und zur zuständigen Beschwerdestelle. Für Verbraucher wirken sich diese Regeln meist günstig aus, weil sie regelmäßig am eigenen Wohnsitz klagen können. Das sollte im Einzelfall geprüft werden.
Lohnt sich anwaltliche Hilfe bei kleinen Beträgen?
Bei Schäden unter etwa 1.000 Euro steht der Aufwand oft nicht im Verhältnis. In diesen Fällen ist der sinnvollere Weg, die Anzeige selbst sauber zu formulieren und die Frist im Blick zu behalten.
Sonderfall: Sie haben nach einem Anruf selbst überwiesen?
Dann liegt Ihr Fall rechtlich anders als das klassische Phishing. Eine Zahlung, die Sie
selbst in der App freigegeben haben, ist autorisiert – der Erstattungsanspruch aus
§ 675u BGB greift dann nicht ohne Weiteres. Aussichtsreich sind stattdessen
Schadensersatzansprüche wegen verletzter Schutz- und Warnpflichten der Bank, etwa wenn eine
auffällige Transaktionskette nicht gestoppt oder die Empfängerüberprüfung ignoriert wurde.
Wie das funktioniert und welche Protokolle Sie sofort anfordern sollten, erkläre ich an einem
konkreten Fall: Falscher
Bankmitarbeiter am Telefon – wann die Bank Ihr Geld erstatten muss.
Fazit
Ein leergeräumtes Openbank-Konto ist kein Schicksalsschlag, sondern ein Rechtsfall mit klarer gesetzlicher Ausgangslage: Die Zahlung war nicht autorisiert, die Bank muss erstatten, und sie trägt die Beweislast für den Gegenvorwurf. Verloren gehen diese Fälle fast nie an der Rechtslage, sondern an gelöschten Nachrichten, an einem unbedachten Satz im ersten Telefonat und an verstrichener Zeit.
Sichern Sie die Beweise, zeigen Sie schriftlich an, geben Sie nichts zu – und lassen Sie prüfen, was in den Protokollen der Bank tatsächlich steht.
Sie benötigen rechtliche Hilfe bei einem Phishing-Fall?
Mussten Sie bereits negative Erfahrungen durch Phishing sammeln? Dann würden Sie auch anderen Betroffenen sehr helfen, wenn Sie das Vorgehen in einem Kommentar beschreiben. Vielen Dank!
