Bank haftet bei Phishing – welche Voraussetzungen gelten für eine Erstattung nach einem Betrug?

Wer nach einem Phishing-Angriff Geld auf seinem Bankkonto vermisst, steht häufig vor zwei Problemen: Der finanzielle Schaden ist bereits eingetreten, und die Bank erklärt möglicherweise, die Überweisungen seien mit den richtigen Zugangsdaten oder einer gültigen Freigabe vorgenommen worden. Für Betroffene stellt sich dann die entscheidende Frage, ob die Bank für den entstandenen Verlust einstehen muss oder ob sie den Schaden selbst tragen sollen. Die Antwort hängt von den konkreten Umständen des Zahlungsvorgangs ab. Dass Kriminelle Zugangsdaten abgefangen, eine gefälschte Bankseite eingesetzt oder den Kontoinhaber durch eine täuschend echte Nachricht zur Freigabe einer Zahlung bewegt haben, entscheidet für sich genommen noch nicht abschließend über die Haftung.

Bei der rechtlichen Prüfung kommt es insbesondere darauf an, ob die streitige Zahlung tatsächlich vom Kontoinhaber autorisiert wurde, welche Sicherheitsverfahren zum Einsatz kamen, wie die Täter Zugriff auf das Konto erlangten und ob dem Kunden ein rechtlich vorwerfbares Verhalten anzulasten ist. Ebenso wichtig ist, wann der Kontoinhaber den Vorfall bemerkte, wie schnell er die Bank informierte und welche Informationen sich aus den Unterlagen zum Zahlungsvorgang ergeben. Wer sich mit der Frage beschäftigt, ob die Bank bei Phishing haftet, sollte deshalb nicht allein auf die Darstellung des Kreditinstituts vertrauen. Eine pauschale Aussage wie „Die Zahlung wurde technisch korrekt freigegeben“ beantwortet noch nicht alle rechtlichen Fragen.

Phishing bezeichnet unterschiedliche Vorgehensweisen, bei denen Täter versuchen, an vertrauliche Informationen zu gelangen oder Bankkunden zu einer Handlung zu bewegen, die ihnen einen finanziellen Nachteil verursacht. Dazu gehören gefälschte E-Mails und SMS, nachgeahmte Internetseiten, manipulierte QR-Codes, betrügerische Anrufe und Nachrichten, die angeblich von der Bank stammen. Teilweise werden Kunden aufgefordert, ihre Zugangsdaten einzugeben. In anderen Fällen sollen sie eine neue Gerätebindung bestätigen, eine vermeintlich notwendige Sicherheitsprüfung durchführen oder eine Zahlung in ihrer Banking-App freigeben. Auch Kombinationen mehrerer Methoden kommen vor: Zunächst werden Zugangsdaten abgegriffen, anschließend kontaktieren die Täter das Opfer telefonisch und setzen es unter Druck, weitere Schritte vorzunehmen.

Diese Unterschiede sind rechtlich bedeutsam. Wenn ein Täter ohne Wissen des Kontoinhabers eine Überweisung auslöst, stellt sich die Frage nach einer nicht autorisierten Zahlung. Wenn der Kunde dagegen selbst eine Zahlung bestätigt, weil er über den tatsächlichen Empfänger oder den Zweck der Transaktion getäuscht wurde, muss genauer geprüft werden, was er mit der Freigabe tatsächlich erklären wollte und welche Zahlungsdaten ihm angezeigt wurden. Eine Täuschung bedeutet nicht automatisch, dass jede vom Kunden bestätigte Transaktion rechtlich als nicht autorisiert gilt. Umgekehrt beweist eine technische Authentifizierung allein nicht zwangsläufig, dass der Kunde die Zahlung im rechtlichen Sinne gebilligt hat. Die Bewertung hängt von den konkreten Abläufen und den einschlägigen gesetzlichen Regeln ab.

Für die rechtliche Einordnung ist vor allem das Zahlungsdiensterecht des Bürgerlichen Gesetzbuchs relevant. § 675u BGB regelt grundsätzlich die Folgen nicht autorisierter Zahlungsvorgänge. Ist eine Zahlung tatsächlich nicht autorisiert, hat der Zahlungsdienstleister im gesetzlichen Rahmen grundsätzlich keinen Anspruch darauf, den Betrag dauerhaft zulasten des Kunden zu belassen. Die Vorschrift sieht vor, dass der Zahlungsdienstleister den Zahlungsbetrag erstattet und das belastete Zahlungskonto wieder auf den Stand zu bringen hat, auf dem es sich ohne die nicht autorisierte Zahlung befunden hätte. Dabei sind die gesetzlichen Voraussetzungen und möglichen Ausnahmen im jeweiligen Fall zu prüfen. Nicht jeder Phishing-Schaden fällt automatisch unter diese Regelung, insbesondere wenn der Kunde selbst eine Zahlung autorisiert hat oder die Umstände eine gesonderte rechtliche Bewertung erfordern.

Die Unterscheidung zwischen einer nicht autorisierten Zahlung und einer vom Kunden autorisierten, aber durch Täuschung veranlassten Zahlung ist deshalb einer der wichtigsten Ausgangspunkte. Hat ein Täter beispielsweise Zugangsdaten ausgespäht und anschließend eigenständig eine Überweisung ausgelöst, ohne dass der Kunde die konkrete Zahlung freigegeben hat, spricht dies für die Prüfung eines nicht autorisierten Zahlungsvorgangs. Hat der Kunde dagegen eine Überweisung selbst in seiner Banking-App bestätigt, weil ein vermeintlicher Bankmitarbeiter ihn dazu überredet hat, muss untersucht werden, welche Angaben zur Zahlung angezeigt wurden, welche Erklärung mit der Bestätigung verbunden war und ob sich daraus eine Autorisierung ergibt. Auch hier darf nicht allein aus dem Umstand, dass eine App verwendet oder ein Sicherheitscode eingegeben wurde, auf eine abschließende rechtliche Bewertung geschlossen werden.

Eine weitere Rolle spielt die Frage, wer den Zahlungsvorgang ausgelöst hat und wie das Authentifizierungsverfahren eingesetzt wurde. Banken verwenden verschiedene Sicherheitsmechanismen, beispielsweise Passwörter, Einmalcodes, TAN-Verfahren, Push-Freigaben, biometrische Merkmale oder die Bestätigung über ein registriertes Endgerät. Diese Verfahren sollen unbefugte Zugriffe erschweren. Sie können bei der Aufklärung helfen, beantworten aber nicht zwangsläufig alle Fragen zur rechtlichen Autorisierung. Ein protokollierter Login oder eine erfolgreiche technische Bestätigung kann ein Indiz sein. Daraus folgt jedoch nicht ohne Weiteres, dass der Kontoinhaber selbst gehandelt hat oder dass ihm jede Nutzung seiner Zugangsdaten rechtlich zugerechnet werden kann.

Für Betroffene ist es daher wichtig, die Begründung der Bank genau zu prüfen. Beruft sich das Kreditinstitut lediglich darauf, dass die Überweisung mit korrekten Zugangsdaten vorgenommen wurde, sollte geklärt werden, welche konkreten Vorgänge dokumentiert sind. Wurde ein neues Gerät registriert? Gab es einen ungewöhnlichen Login? Wurde eine Überweisung an einen zuvor unbekannten Empfänger ausgeführt? Hat die Bank eine Warnung angezeigt? Wurde eine Freigabe für eine konkrete Zahlung erteilt oder lediglich eine Anmeldung beziehungsweise Geräteaktivierung bestätigt? Wurden mehrere Zahlungen innerhalb kurzer Zeit vorgenommen, obwohl das Verhalten vom bisherigen Kontoverlauf abwich? Solche Umstände können für die Einordnung des Geschehens erheblich sein, ohne dass jeder einzelne davon automatisch eine Haftung begründet.

Die gesetzlichen Regelungen sehen außerdem vor, dass bei nicht autorisierten Zahlungsvorgängen die Beweisfragen nicht einfach dadurch erledigt sind, dass die Bank auf ihre technischen Aufzeichnungen verweist. § 675w BGB enthält besondere Anforderungen an den Nachweis der Authentifizierung und der ordnungsgemäßen Aufzeichnung und Verbuchung eines Zahlungsvorgangs. Die Vorschrift ist für Auseinandersetzungen über Phishing besonders relevant, weil Banken häufig technische Protokolle und Sicherheitsverfahren als Argument gegen eine Erstattung anführen. Ob diese Informationen im konkreten Fall ausreichen, hängt von den gesetzlichen Anforderungen und den tatsächlichen Umständen ab. Die erfolgreiche Verwendung eines Zahlungsinstruments kann für sich genommen nicht ohne Weiteres jede weitere Frage nach der Autorisierung und dem Verhalten des Kunden beantworten.

Auch die Pflichten des Bankkunden sind zu berücksichtigen. Kunden müssen die vereinbarten Sicherheitsanforderungen einhalten und insbesondere ihre personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff schützen. Wird ein Verlust oder eine missbräuchliche Verwendung des Zahlungsinstruments bekannt, ist die Bank grundsätzlich unverzüglich zu informieren. Welche Pflichten im Einzelnen gelten, richtet sich nach den gesetzlichen Vorschriften und dem jeweiligen Vertragsverhältnis. Ein Verstoß kann rechtliche Folgen haben, bedeutet aber nicht automatisch, dass der Kunde in jedem Fall den gesamten Schaden tragen muss. Entscheidend sind unter anderem Art und Schwere des Verhaltens, die konkrete Schadensentstehung und die anwendbaren gesetzlichen Haftungsregeln.

Besonders wichtig ist in diesem Zusammenhang die Unterscheidung zwischen einfacher Unachtsamkeit und grober Fahrlässigkeit. Banken berufen sich bei Phishing-Fällen nicht selten darauf, der Kunde habe eine gefälschte Nachricht nicht ausreichend geprüft, eine TAN weitergegeben oder eine Freigabe bestätigt, obwohl die Situation verdächtig gewesen sei. Ob daraus eine Haftung des Kunden folgt, kann nicht pauschal beurteilt werden. Nicht jede Täuschung lässt sich bei normaler Aufmerksamkeit zuverlässig erkennen. Betrüger verwenden mitunter überzeugende Gestaltung, persönliche Angaben, nachgeahmte Telefonnummern und realistisch wirkende Abläufe. Zugleich können deutliche Warnhinweise, die Weitergabe besonders sensibler Daten oder die Freigabe einer erkennbar ungewöhnlichen Zahlung bei der Bewertung des Einzelfalls eine Rolle spielen.

Die rechtliche Beurteilung richtet sich daher nicht allein danach, ob der Kunde auf einen Betrug hereingefallen ist. Es muss vielmehr untersucht werden, welche Informationen ihm vorlagen, welche Handlungen er vorgenommen hat und ob sein Verhalten nach den gesetzlichen Maßstäben als pflichtwidrig einzuordnen ist. Selbst wenn ein Fehlverhalten festgestellt wird, sind die einschlägigen gesetzlichen Haftungsgrenzen und Voraussetzungen zu berücksichtigen. Eine pauschale Erklärung der Bank, der Kunde habe seine Zugangsdaten selbst eingegeben oder eine TAN bestätigt, ersetzt diese Prüfung nicht. Ebenso wenig bedeutet der Umstand, dass ein Kunde getäuscht wurde, automatisch, dass das Kreditinstitut den gesamten Verlust erstatten muss.

Phishing-Fälle unterscheiden sich auch danach, ob Täter lediglich auf ein bestehendes Konto zugreifen oder den Kunden zur Ausführung einer Überweisung bewegen. Beim unbefugten Zugriff können die Täter beispielsweise eine Überweisung auslösen, ein neues Gerät registrieren oder vorhandene Sicherheitsmechanismen missbrauchen. Bei einer sogenannten Zahlungsinitiierung durch Täuschung kann der Kunde hingegen selbst Empfängerdaten eingeben oder eine Zahlung bestätigen, weil er glaubt, damit eine Sicherheitsmaßnahme durchzuführen. In einem solchen Fall muss geprüft werden, ob die Zahlung als autorisiert gilt und welche Ansprüche sich aus den konkreten Umständen ergeben. Auch mögliche Ansprüche gegen andere Beteiligte können in Betracht kommen, lassen sich aber nicht ohne weitere Prüfung voraussetzen.

Hinzu kommt, dass nicht jeder Betrugsfall, bei dem eine Bank beteiligt ist, dieselben rechtlichen Fragen aufwirft. Eine Phishing-Nachricht kann zum Beispiel dazu führen, dass Zugangsdaten abgegriffen werden, ohne dass unmittelbar Geld abfließt. In einem anderen Fall wird das Konto bereits wenige Minuten später belastet. Wieder andere Betroffene werden telefonisch dazu gebracht, mehrere Zahlungen zu bestätigen oder Sicherheitsfunktionen zu verändern. Für die rechtliche Bewertung ist deshalb eine genaue zeitliche Rekonstruktion wichtig: Wann kam die erste Nachricht? Wann wurden Daten eingegeben? Wann wurde ein Gerät registriert? Wann erschienen die Überweisungen? Wann wurde der Kontoinhaber auf den Vorgang aufmerksam? Und wann wurde die Bank informiert? Eine nachvollziehbare Chronologie kann helfen, Widersprüche zu erkennen und die Darstellung des Kreditinstituts sachlich zu überprüfen.

Betroffene sollten außerdem unterscheiden, ob sie den Schaden bereits bei der Bank beanstandet haben oder ob das Kreditinstitut eine Erstattung ausdrücklich abgelehnt hat. Eine erste telefonische Meldung ist nicht immer ausreichend, um später nachvollziehen zu können, welche Angaben gemacht wurden und welche Reaktion erfolgte. Es empfiehlt sich deshalb, die wesentlichen Tatsachen schriftlich festzuhalten und vorhandene Unterlagen geordnet aufzubewahren. Dazu gehören Kontoauszüge, Buchungsdetails, Nachrichten, E-Mails, Screenshots, Telefonnummern, Angaben zu angeblichen Bankmitarbeitern sowie vorhandene Hinweise zu den verwendeten Geräten und Sicherheitsfreigaben. Wer die einzelnen Schritte dokumentiert, kann die Vorgänge später gezielter rechtlich einordnen lassen.

Die Bankhaftung ist zudem von der Frage zu trennen, ob das verlorene Geld tatsächlich von den Tätern zurückerlangt werden kann. Ein Anspruch gegen das Kreditinstitut und die tatsächliche Wiederbeschaffung eines überwiesenen Betrags sind unterschiedliche Themen. Ebenso wenig führt die Feststellung, dass eine Überweisung nicht autorisiert war, automatisch dazu, dass sämtliche finanziellen Folgen bereits ausgeglichen sind. Entscheidend ist zunächst, welcher Anspruch gegen welchen Beteiligten besteht und welche Voraussetzungen dafür erfüllt sein müssen. Bei mehreren Zahlungsvorgängen kann eine gesonderte Prüfung erforderlich sein, weil die einzelnen Buchungen unter unterschiedlichen Umständen erfolgt sein können.

Wer von Phishing betroffen ist, sollte deshalb keine vorschnelle Schlussfolgerung aus einer Standardantwort der Bank ziehen. Eine Ablehnung kann sich auf die vermeintliche Autorisierung, eine angebliche grobe Fahrlässigkeit oder die Einhaltung vertraglicher Sicherheitsregeln stützen. Diese Einwände müssen anhand des konkreten Sachverhalts und der einschlägigen Rechtsgrundlagen überprüft werden. Gleichzeitig sollten Betroffene vermeiden, die rechtliche Bewertung allein auf die eigene Erinnerung zu stützen. Gerade bei Stress, telefonischem Druck und mehreren aufeinanderfolgenden Sicherheitsabfragen kann es schwierig sein, den Ablauf nachträglich genau zu rekonstruieren. Dokumente und technische Angaben können helfen, die Erinnerung zu ergänzen und Unklarheiten offenzulegen.

Für eine erste Orientierung ist es sinnvoll, den konkreten Zahlungsweg zu bestimmen: Wurde Geld vom eigenen Konto abgebucht, ohne dass eine entsprechende Zahlung bewusst freigegeben wurde? Wurde eine Überweisung aufgrund einer Täuschung selbst bestätigt? Oder wurden zunächst Zugangsdaten abgegriffen und anschließend weitere Schritte durch die Täter vorgenommen? Diese Fragen bilden den Ausgangspunkt für die weitere rechtliche Prüfung. Eine allgemeine Darstellung der unterschiedlichen Formen von Phishing und Internetbetrug kann helfen, die Vorgehensweise der Täter einzuordnen. Für den Erstattungsanspruch ist jedoch die konkrete Transaktion entscheidend.

Eine belastbare Einschätzung sollte am Ende drei Punkte auseinanderhalten: erstens, ob eine Zahlung im rechtlichen Sinne autorisiert war; zweitens, welche Nachweise die Bank für ihre Darstellung vorlegt und welche Bedeutung diese Nachweise haben; und drittens, ob dem Kunden ein rechtlich relevanter Pflichtverstoß vorgeworfen werden kann. Erst wenn diese Fragen anhand des tatsächlichen Ablaufs geprüft wurden, lässt sich seriös beurteilen, ob und in welchem Umfang eine Haftung des Kreditinstituts in Betracht kommt. Weder eine automatische Erstattung in jedem Phishing-Fall noch eine pauschale Haftungsfreiheit der Bank lässt sich aus der bloßen Tatsache ableiten, dass Kriminelle das Konto missbraucht haben.

Bank haftet bei Phishing – welche Rolle spielt die Autorisierung einer Überweisung?

Ob eine Bank nach einem Phishing-Angriff für den entstandenen Schaden haftet, hängt nicht ausschließlich davon ab, ob eine Zahlung vom Kontoinhaber autorisiert wurde. Auch die Abläufe rund um die Transaktion können für die rechtliche Bewertung wichtig sein. Betroffene sollten deshalb prüfen lassen, welche Sicherheitsverfahren eingesetzt wurden, ob die Bank ihre gesetzlichen und vertraglichen Pflichten eingehalten hat und welche Auffälligkeiten im Zahlungsverkehr erkennbar waren. Dabei ist allerdings zwischen einer allgemeinen Sicherheitsanforderung und einer konkreten Pflicht zu unterscheiden, eine bestimmte Überweisung zu verhindern. Banken müssen Zahlungsdienste nach den geltenden rechtlichen Vorgaben erbringen. Daraus folgt aber nicht, dass jede ungewöhnliche Kontobewegung automatisch eine manuelle Prüfung auslösen oder jede betrügerische Zahlung verhindert werden muss.

Für die Beurteilung ist zunächst relevant, welche Schutzmechanismen das Kreditinstitut für den Zugang zum Onlinebanking und für die Freigabe von Zahlungen eingerichtet hat. Dazu gehören die Authentifizierung des Kunden, die sichere Übermittlung von Zahlungsaufträgen, der Schutz personalisierter Sicherheitsmerkmale und die Überwachung möglicher Missbrauchssituationen. Welche Anforderungen im konkreten Fall gelten, richtet sich unter anderem nach dem Zahlungsdiensterecht, den einschlägigen aufsichtsrechtlichen Vorgaben und den vereinbarten Bedingungen. Entscheidend ist nicht allein, ob die Bank irgendein Sicherheitsverfahren angeboten hat. Zu prüfen ist vielmehr, welche Vorgaben für den betreffenden Zahlungsvorgang galten und ob das eingesetzte Verfahren diesen Anforderungen entsprach.

In vielen Fällen nutzen Banken mehrere Sicherheitsfaktoren. Ein Kunde meldet sich beispielsweise mit Zugangsdaten an und bestätigt eine Zahlung anschließend über eine Banking-App, einen TAN-Generator oder ein anderes Freigabeverfahren. Solche Maßnahmen sollen verhindern, dass allein die Kenntnis eines Passworts genügt, um über das Konto zu verfügen. Phishing kann diese Schutzmechanismen jedoch auf unterschiedliche Weise umgehen. Täter können Zugangsdaten abfangen, Kunden zur Eingabe eines Codes auf einer gefälschten Internetseite bewegen oder sie durch eine täuschend echte Nachricht zur Bestätigung eines Vorgangs verleiten. Mitunter wird der Kunde zusätzlich telefonisch unter Druck gesetzt. Die technische Verwendung eines vorgesehenen Sicherheitsverfahrens beantwortet daher nicht automatisch die Frage, ob die Bank alle rechtlichen Anforderungen erfüllt hat.

Eine besondere Bedeutung hat die Frage, was der Kunde mit einer Sicherheitsbestätigung tatsächlich freigegeben hat. Nicht jede Bestätigung innerhalb einer Banking-App bezieht sich auf eine Überweisung. Sie kann auch die Anmeldung, die Registrierung eines neuen Geräts, eine Änderung von Zugangseinstellungen oder eine andere sicherheitsrelevante Handlung betreffen. Wenn ein Kunde glaubt, lediglich sein Konto zu schützen, während tatsächlich eine Zahlung vorbereitet oder ein neuer Zugang eingerichtet wird, muss der konkrete Ablauf rekonstruiert werden. Welche Angaben vor der Bestätigung angezeigt wurden, welche Funktion die Bestätigung hatte und welche Transaktion anschließend ausgeführt wurde, kann für die rechtliche Beurteilung erheblich sein. Dafür sind die konkreten Protokolle und Unterlagen wichtiger als eine pauschale Beschreibung des eingesetzten Verfahrens.

Betroffene sollten sich deshalb nicht mit der Aussage zufriedengeben, eine Transaktion sei durch eine TAN oder eine App-Freigabe bestätigt worden. Diese Information kann relevant sein, ist aber nicht zwingend die vollständige Antwort auf die Frage nach der Autorisierung. Es kommt darauf an, welche Handlung dokumentiert wurde, wie sie technisch ablief und welche Bedeutung ihr rechtlich zukommt. Wurde nur eine Anmeldung bestätigt, darf daraus nicht ohne weitere Prüfung geschlossen werden, dass der Kunde auch eine später ausgeführte Überweisung autorisiert hat. Wurde dagegen eine konkrete Zahlung bestätigt, muss untersucht werden, welche Informationen zur Zahlung vorlagen und ob die Bestätigung als Autorisierung einzuordnen ist. Die Unterscheidung ist gerade bei mehrstufigen Phishing-Angriffen wichtig, bei denen Täter mehrere Sicherheitsvorgänge hintereinander auslösen.

Neben der Authentifizierung spielt die Erkennung verdächtiger Vorgänge eine Rolle. Banken können über technische Systeme verfügen, die ungewöhnliche Anmeldungen, neue Geräte, auffällige Zahlungsbeträge oder andere Abweichungen vom bisherigen Nutzungsverhalten erfassen. Solche Systeme können Risiken erkennen und je nach Ausgestaltung zusätzliche Prüfungen oder Sicherheitsmaßnahmen auslösen. Allerdings besteht keine pauschale Regel, wonach jede Abweichung vom bisherigen Zahlungsverhalten eine Zahlungssperre zur Folge haben muss. Ebenso lässt sich aus dem späteren Eintritt eines Betrugs nicht rückwirkend automatisch ableiten, dass die Bank den Vorgang vorher hätte erkennen müssen. Ob konkrete Prüf- oder Schutzpflichten verletzt wurden, ist anhand des tatsächlichen Ablaufs und der jeweils geltenden Anforderungen zu beurteilen.

Trotzdem können ungewöhnliche Transaktionen ein wichtiger Bestandteil der rechtlichen Prüfung sein. Wird ein Konto über längere Zeit für kleinere alltägliche Zahlungen genutzt und erfolgen plötzlich mehrere hohe Überweisungen an bislang unbekannte Empfänger, kann diese Abweichung für die Aufklärung relevant sein. Dasselbe gilt, wenn innerhalb kurzer Zeit zahlreiche Transaktionen ausgeführt werden, ein neues Gerät mit dem Konto verbunden wird oder nach einer verdächtigen Anmeldung unmittelbar größere Beträge abfließen. Solche Umstände beweisen für sich genommen keine Pflichtverletzung der Bank. Sie können aber Anlass geben, die vorhandenen Sicherheitsprotokolle, die Abfolge der einzelnen Schritte und mögliche zusätzliche Schutzmaßnahmen genauer zu untersuchen.

Dabei kommt es auf die Gesamtsituation an. Eine hohe Überweisung ist nicht allein deshalb verdächtig, weil sie einen größeren Betrag umfasst. Kunden können legitime Gründe für außergewöhnliche Zahlungen haben, etwa den Kauf einer Immobilie, eine größere Anschaffung oder eine Investition. Umgekehrt kann auch eine betragsmäßig kleinere Transaktion Teil eines umfangreichen Betrugsgeschehens sein. Aussagekräftig kann daher die Kombination verschiedener Umstände sein: ein bislang unbekanntes Endgerät, eine ungewöhnliche Anmeldezeit, mehrere kurz aufeinanderfolgende Buchungen, ein neuer Zahlungsempfänger und eine auffällige Veränderung des Nutzungsverhaltens. Welche Bedeutung diese Faktoren haben, muss im konkreten Fall untersucht werden.

Ein weiterer Gesichtspunkt ist die Frage, ob die Bank den Kunden vor einer Zahlung oder einem Sicherheitsvorgang angemessen informiert hat. Sicherheitswarnungen können beispielsweise auf eine ungewöhnliche Anmeldung, eine neue Gerätebindung oder bestimmte Risiken bei der Freigabe hinweisen. Ob eine Warnung im Einzelfall ausreichend war, hängt unter anderem von ihrem Inhalt, ihrer Gestaltung und dem konkreten Vorgang ab. Eine allgemeine Meldung, man solle Zugangsdaten nicht weitergeben, ist nicht ohne Weiteres mit einer klaren Information über den konkreten Empfänger und Betrag einer bevorstehenden Zahlung gleichzusetzen. Umgekehrt kann eine verständliche Warnung, die auf eine konkrete Gefahr aufmerksam macht, bei der Bewertung des Kundenverhaltens relevant werden.

Betroffene sollten daher festhalten, welche Warnhinweise tatsächlich angezeigt wurden. Screenshots, gespeicherte E-Mails, SMS und Nachrichten aus der Banking-App können helfen, den Inhalt später nachzuvollziehen. Auch die Reihenfolge der Anzeigen ist wichtig: Wurde die Warnung vor der Eingabe der Daten gezeigt oder erst nach einer bereits vorgenommenen Handlung? Bezog sie sich auf die Anmeldung, auf die Registrierung eines Geräts oder auf eine konkrete Zahlung? Wurde der Empfänger der Überweisung angezeigt? War der Betrag erkennbar? Gab es einen Hinweis auf eine neue Sicherheitsfunktion oder eine Änderung der Zugangsdaten? Solche Einzelheiten können die Beurteilung wesentlich präzisieren.

Die Verantwortung für die Sicherheit des Kontos verteilt sich dabei nicht einfach nach dem Grundsatz, dass entweder ausschließlich die Bank oder ausschließlich der Kunde verantwortlich ist. Das Kreditinstitut muss die für seinen Zahlungsdienst geltenden gesetzlichen und vertraglichen Anforderungen erfüllen. Der Kunde muss seinerseits die ihm obliegenden Sorgfaltspflichten beachten und mit seinen personalisierten Sicherheitsmerkmalen entsprechend den vereinbarten Bedingungen umgehen. Kommt es zu einem Betrug, müssen die tatsächlichen Abläufe deshalb getrennt untersucht werden. Die bloße Tatsache, dass Kriminelle ein Sicherheitsverfahren erfolgreich genutzt haben, beweist nicht automatisch, dass die Bank ihre Pflichten erfüllt hat. Ebenso wenig lässt sich aus dem Umstand, dass der Kunde getäuscht wurde, unmittelbar auf eine Pflichtverletzung des Kreditinstituts schließen.

Bei Phishing über einen angeblichen Bankmitarbeiter ist besonders genau zu prüfen, welche Informationen der Täter bereits besaß und wie er den Kunden zur Mitwirkung bewegte. Manche Betrüger geben sich als Sicherheitsabteilung aus und behaupten, verdächtige Zahlungen verhindern zu müssen. Andere erklären, das Konto sei gefährdet und der Kunde müsse eine angebliche Schutzmaßnahme bestätigen. Teilweise werden dabei echte persönliche Daten verwendet oder Telefonnummern so dargestellt, dass sie scheinbar von der Bank stammen. Diese Umstände können erklären, warum ein Kunde den Anweisungen vertraut hat. Sie beantworten jedoch nicht automatisch, ob die Bank für eine konkrete Zahlung haftet. Entscheidend bleibt, welche Transaktion ausgeführt wurde, wie sie zustande kam und welche rechtlichen Voraussetzungen für einen Erstattungsanspruch erfüllt sind.

Auch die Frage, ob ein ungewöhnlicher Vorgang von der Bank hätte erkannt werden können, lässt sich nicht allein anhand der nachträglichen Kontobewegungen beantworten. Für eine belastbare Bewertung können Angaben zu den üblichen Transaktionen, zu den technischen Anmeldedaten und zur zeitlichen Abfolge erforderlich sein. Betroffene verfügen über diese Informationen häufig nicht vollständig. Sie können deshalb die Bank schriftlich auffordern, den Vorgang nachvollziehbar zu erläutern und die für die Prüfung relevanten Informationen zur Verfügung zu stellen. Dabei sollten sie möglichst konkret benennen, welche Buchungen sie bestreiten und welche Fragen ungeklärt sind. Eine allgemeine Beschwerde über mangelnde Sicherheit führt nicht zwangsläufig zu einer ausreichenden Aufklärung des Einzelfalls.

Hilfreich ist es, jede beanstandete Buchung einzeln aufzulisten. Dazu gehören das Buchungsdatum, der Betrag, der Empfänger, die Art der Zahlung und die Frage, ob der Kunde den Vorgang selbst vorgenommen oder freigegeben hat. Ergänzend sollten ungewöhnliche Anmeldungen, Änderungen der Sicherheitsdaten und Kontakte mit angeblichen Bankmitarbeitern dokumentiert werden. Wenn mehrere Überweisungen erfolgt sind, kann sich die Sachlage von Zahlung zu Zahlung unterscheiden. Eine Buchung kann ohne Mitwirkung des Kunden ausgelöst worden sein, während eine andere aufgrund einer Täuschung bestätigt wurde. Werden alle Transaktionen pauschal als ein einziger Vorgang behandelt, können wichtige Unterschiede unberücksichtigt bleiben.

Die Bank kann bei der Prüfung auf technische Protokolle, Authentifizierungsdaten und Buchungsinformationen zurückgreifen. Welche Informationen im Einzelfall vorliegen und welche davon offengelegt werden müssen, hängt von den gesetzlichen Vorgaben und den konkreten Umständen ab. Für Betroffene ist es sinnvoll, nach den Informationen zu fragen, die für die Nachvollziehbarkeit der beanstandeten Zahlung wesentlich sind. Dazu können die dokumentierte Art der Authentifizierung, die Zuordnung einer Freigabe zu einem bestimmten Vorgang und die zeitliche Abfolge der relevanten Ereignisse gehören. Es sollte nicht vorausgesetzt werden, dass sämtliche internen Sicherheitsdaten ohne Weiteres vollständig herausgegeben werden. Dennoch muss die Bank die rechtlichen Anforderungen an den Nachweis eines bestrittenen Zahlungsvorgangs beachten.

Für die Bewertung einer möglichen Pflichtverletzung ist außerdem zu unterscheiden, ob die Bank eine Transaktion lediglich technisch verarbeitet oder ob konkrete Anhaltspunkte für ein besonderes Risiko vorlagen, auf das sie nach den anwendbaren Regeln reagieren musste. Nicht jede ungewöhnliche Zahlung begründet eine Pflicht, den Kunden anzurufen oder die Ausführung zu stoppen. Ebenso wenig kann ohne nähere Prüfung angenommen werden, dass eine Bank bei jeder verdächtigen Transaktion eine bestimmte Warnung hätte anzeigen müssen. Eine rechtliche Argumentation sollte deshalb nicht nur behaupten, der Betrag sei ungewöhnlich hoch oder der Empfänger unbekannt gewesen. Sie sollte herausarbeiten, welche konkreten Umstände vorlagen, welche Schutzmaßnahmen tatsächlich eingesetzt wurden und weshalb diese im Hinblick auf die einschlägigen Anforderungen möglicherweise nicht ausreichten.

Auch die verwendeten Geräte können für die Aufklärung wichtig sein. Wurde die Zahlung von einem bereits bekannten Mobiltelefon freigegeben, oder wurde kurz zuvor ein neues Gerät registriert? Hat der Kunde die App auf dem betreffenden Gerät selbst eingerichtet? Gab es Hinweise darauf, dass die Täter Zugangsdaten abgefangen oder den Kunden zur Freigabe einer Gerätebindung veranlasst hatten? Wurde möglicherweise eine Fernzugriffssoftware installiert, durch die Dritte den Bildschirm sehen oder Eingaben beeinflussen konnten? Diese Fragen können helfen, den tatsächlichen Zugriff auf das Konto nachzuvollziehen. Die Verwendung eines bekannten Geräts allein beweist nicht, dass der Kontoinhaber selbst die Zahlung veranlasst hat; ebenso wenig beweist eine neue Gerätebindung automatisch eine Pflichtverletzung der Bank.

Bei Fernzugriff und Bildschirmfreigabe ist der Ablauf besonders sorgfältig zu dokumentieren. Betrüger können behaupten, sie würden bei einer Sicherheitsprüfung helfen, und den Kunden auffordern, eine App zu installieren oder bestimmte Freigaben vorzunehmen. Dadurch kann es ihnen möglich werden, Informationen zu beobachten oder Handlungen des Kunden gezielt zu beeinflussen. Für die rechtliche Bewertung ist wichtig, ob der Kunde tatsächlich eine Überweisung bestätigt hat, ob der Täter den Zahlungsvorgang selbst ausgelöst hat und welche Hinweise auf eine unbefugte Nutzung vorliegen. Auch hier ist die pauschale Behauptung, die Zahlung sei mit dem Gerät des Kunden erfolgt, nicht mit einer vollständigen Aufklärung gleichzusetzen.

Betroffene sollten die Bank zudem zeitnah über den Verdacht informieren und die Kommunikation nachvollziehbar dokumentieren. Der Zeitpunkt der Meldung kann für die weitere Untersuchung und die Frage relevant sein, welche Maßnahmen anschließend noch möglich waren. Er ersetzt aber nicht die Prüfung, ob der ursprüngliche Zahlungsvorgang autorisiert war und welche Pflichten vor dessen Ausführung bestanden. Wenn nach der ersten Meldung weitere verdächtige Buchungen auftreten, sollte auch diese Entwicklung genau festgehalten werden. Die einzelnen Zeitpunkte können helfen, festzustellen, ob nach Bekanntwerden des Vorfalls zusätzliche Schutzmaßnahmen ergriffen wurden und ob sich daraus weitere rechtliche Fragen ergeben.

Ein wichtiger Fehler besteht darin, allein aus dem finanziellen Schaden auf eine unzureichende Sicherheit der Bank zu schließen. Ein erfolgreicher Angriff ist nicht automatisch der Beweis, dass das Kreditinstitut seine Pflichten verletzt hat. Umgekehrt darf die Bank eine Erstattung nicht allein mit dem Hinweis ablehnen, das eingesetzte Authentifizierungsverfahren sei technisch erfolgreich gewesen, wenn damit die maßgeblichen Fragen zur Autorisierung und zum Nachweis noch nicht beantwortet sind. Die rechtliche Prüfung muss beide Seiten berücksichtigen: die tatsächliche Funktionsweise des Sicherheitsverfahrens und die gesetzlichen Anforderungen an den konkreten Zahlungsvorgang.

Wenn ein Kreditinstitut die Erstattung ablehnt, sollten Betroffene die Begründung daher systematisch überprüfen. Stützt sich die Ablehnung auf die Behauptung, der Kunde habe die Zahlung selbst freigegeben? Wird lediglich auf eine erfolgreiche Anmeldung verwiesen? Behauptet die Bank, der Kunde habe Sicherheitsmerkmale grob fahrlässig weitergegeben? Oder erklärt sie, es seien keine auffälligen Vorgänge erkennbar gewesen? Diese Begründungen betreffen unterschiedliche rechtliche und tatsächliche Fragen. Sie sollten nicht miteinander vermischt werden. Eine erfolgreiche Anmeldung ist nicht dasselbe wie die Autorisierung einer konkreten Überweisung, und die Behauptung einer Pflichtverletzung des Kunden muss anhand der tatsächlichen Umstände beurteilt werden.

Bei der weiteren Prüfung können auch die allgemeinen Regeln zu Zahlungsdiensten und die konkreten Vertragsbedingungen eine Rolle spielen. Dabei sollte nicht nur eine einzelne Klausel isoliert betrachtet werden. Entscheidend ist, ob sie mit den zwingenden gesetzlichen Vorgaben vereinbar ist und welche Bedeutung sie für den streitigen Vorgang hat. Standardformulierungen in einer Bankantwort sind keine eigenständige rechtliche Entscheidung über sämtliche denkbaren Ansprüche. Gerade wenn der Sachverhalt komplex ist, mehrere Sicherheitsvorgänge zusammenkamen oder die Bank ihre Ablehnung nur knapp begründet hat, kann eine anwaltliche Prüfung sinnvoll sein. Sie sollte auf den konkreten Buchungen, den verfügbaren Nachweisen und der schriftlichen Kommunikation mit dem Kreditinstitut aufbauen.

Eine solche Prüfung sollte auch berücksichtigen, dass nicht alle möglichen Ansprüche zwingend auf derselben rechtlichen Grundlage beruhen. Ein Anspruch wegen einer nicht autorisierten Zahlung ist von der Frage zu unterscheiden, ob eine Pflichtverletzung der Bank vorliegt oder ob weitere Anspruchsgrundlagen in Betracht kommen. Welche Wege rechtlich tragfähig sind, hängt von den Umständen ab. Deshalb sollte eine rechtliche Bewertung weder ausschließlich auf die technische Sicherheit des Onlinebankings noch ausschließlich auf das Verhalten des Kunden gestützt werden. Beide Aspekte müssen in den Zusammenhang des konkreten Zahlungsvorgangs eingeordnet werden.

Für die praktische Vorbereitung empfiehlt es sich, die verfügbaren Informationen geordnet zusammenzustellen: Kontoauszüge und Buchungsdetails, die Kommunikation mit der Bank, Nachrichten der mutmaßlichen Täter, Screenshots von Warnhinweisen, Angaben zu verwendeten Geräten sowie eine zeitliche Übersicht der einzelnen Vorgänge. Fehlende Unterlagen sollten nicht durch Vermutungen ersetzt werden. Stattdessen sollte festgehalten werden, welche Informationen vorhanden sind und welche Fragen noch offenbleiben. Wenn die Bank technische Einzelheiten nennt, deren Bedeutung unklar ist, kann gezielt um Erläuterung gebeten werden. Das ist hilfreicher, als sich allein auf allgemeine Vorwürfe oder pauschale Versicherungen zu verlassen.

Am Ende muss die Frage, ob die Bank bei Phishing haftet, anhand des konkreten Falls beantwortet werden. Relevant sind insbesondere die Autorisierung der einzelnen Zahlung, die Einhaltung der maßgeblichen Sicherheitsanforderungen, die Aussagekraft der technischen Nachweise und das Verhalten aller Beteiligten. Auffällige Kontobewegungen können wichtige Hinweise liefern, begründen aber nicht automatisch eine Haftung. Ebenso schließen korrekte Zugangsdaten oder eine technisch registrierte Freigabe einen Anspruch nicht ohne Weiteres aus. Betroffene sollten deshalb auf eine nachvollziehbare Begründung der Bank bestehen und die vorliegenden Informationen so sichern, dass der tatsächliche Ablauf überprüfbar bleibt. Erst auf dieser Grundlage lässt sich beurteilen, ob ein Erstattungsanspruch besteht und ob neben der Autorisierungsfrage weitere Pflichtverletzungen rechtlich relevant sind.

Bank haftet bei Phishing – wann grobe Fahrlässigkeit zum Problem werden kann

Nach einem Phishing-Angriff lehnen Banken die Erstattung des Schadens mitunter unter Hinweis auf ein angebliches Fehlverhalten des Kunden ab. Dabei wird beispielsweise vorgetragen, der Kontoinhaber habe seine Zugangsdaten freiwillig eingegeben, einen Sicherheitscode weitergegeben oder eine Zahlung in der Banking-App bestätigt. Für Betroffene ist eine solche Begründung häufig schwer nachvollziehbar: Sie wollten ihr Konto schützen, glaubten mit einem Bankmitarbeiter zu sprechen oder gingen davon aus, eine harmlose Sicherheitsprüfung durchzuführen. Entscheidend ist jedoch nicht allein, ob der Kunde eine Handlung vorgenommen hat, die den Betrug ermöglicht hat. Rechtlich muss vielmehr geprüft werden, welche Zahlung tatsächlich autorisiert wurde, welche Sorgfaltspflichten bestanden und ob die Voraussetzungen für eine Haftung des Kunden erfüllt sind.

Die Frage, ob die Bank bei Phishing haftet, lässt sich deshalb nicht allein anhand der Feststellung beantworten, dass der Kunde auf eine Täuschung hereingefallen ist. Das Zahlungsdiensterecht unterscheidet zwischen nicht autorisierten Zahlungsvorgängen und Zahlungen, die der Kunde selbst autorisiert hat, obwohl er dabei getäuscht wurde. Diese Unterscheidung kann über den weiteren Verlauf der Auseinandersetzung entscheiden. Wird eine Überweisung ohne die erforderliche Autorisierung ausgeführt, kommen grundsätzlich die gesetzlichen Erstattungsansprüche nach § 675u BGB in Betracht. Wird eine Zahlung dagegen vom Kunden selbst freigegeben, muss genauer untersucht werden, ob die rechtlichen Voraussetzungen für eine Autorisierung erfüllt waren und welche weiteren Ansprüche sich aus dem Sachverhalt ergeben können.

Ein typisches Beispiel für eine nicht autorisierte Zahlung liegt vor, wenn Kriminelle Zugangsdaten abfangen und anschließend eigenständig eine Überweisung vom Konto des Betroffenen auslösen. Der Kunde hat dann möglicherweise weder den konkreten Empfänger ausgewählt noch den Betrag eingegeben oder die Zahlung bewusst bestätigt. Dass die Täter dabei ein gültiges Passwort, eine TAN oder ein registriertes Gerät verwenden konnten, beantwortet nicht automatisch die Frage, ob eine Autorisierung vorlag. Die Bank muss den Zahlungsvorgang nach den einschlägigen gesetzlichen Vorgaben beurteilen. Für den Kunden ist es daher wichtig, die konkrete Transaktion zu bestreiten und den Ablauf so genau wie möglich zu schildern.

Anders kann die Situation aussehen, wenn der Kunde selbst eine Überweisung bestätigt hat, weil ein vermeintlicher Bankmitarbeiter ihn telefonisch dazu aufforderte. Der Anrufer behauptet beispielsweise, es gebe eine verdächtige Buchung, die nur durch eine bestimmte Bestätigung verhindert werden könne. Tatsächlich wird mit der Freigabe eine Zahlung an ein von den Tätern kontrolliertes Konto ausgelöst. In solchen Fällen ist sorgfältig zu prüfen, welche Handlung der Kunde vorgenommen hat, welche Informationen ihm angezeigt wurden und worauf sich seine Bestätigung bezog. Die bloße Tatsache, dass der Kunde eine Taste betätigt oder einen Code eingegeben hat, beantwortet nicht jede rechtliche Frage. Zugleich lässt sich aber auch nicht pauschal behaupten, eine durch Täuschung veranlasste Zahlung sei stets nicht autorisiert.

Für die rechtliche Einordnung ist deshalb der konkrete Inhalt des Freigabevorgangs bedeutsam. Wurde dem Kunden eine Zahlung mit einem bestimmten Betrag und Empfänger angezeigt? Bestätigte er lediglich die Anmeldung oder die Registrierung eines neuen Geräts? Glaubte er, eine bestehende Zahlung zu stoppen, während er tatsächlich eine neue Überweisung freigab? Oder gab er eine Transaktion bewusst frei, ging aber aufgrund falscher Angaben davon aus, dass der Empfänger zu seiner Bank gehörte? Solche Unterschiede sollten nicht in einer allgemeinen Schilderung untergehen. Je genauer der tatsächliche Ablauf feststeht, desto besser lässt sich beurteilen, welche rechtlichen Ansprüche in Betracht kommen. Die Bedeutung der gesetzlichen Haftungsregeln Bei nicht autorisierten Zahlungsvorgängen ist § 675u BGB ein zentraler Ausgangspunkt. Die Vorschrift regelt grundsätzlich die Pflichten des Zahlungsdienstleisters, wenn eine Zahlung ohne Autorisierung erfolgt ist. Der Zahlungsdienstleister muss den Zahlungsbetrag im gesetzlichen Rahmen erstatten und das belastete Zahlungskonto grundsätzlich so stellen, wie es ohne die nicht autorisierte Zahlung gestanden hätte. Daraus ergibt sich allerdings kein uneingeschränkter Erstattungsanspruch für jeden Betrug, bei dem ein Bankkonto betroffen ist. Zunächst muss feststehen, dass der konkrete Zahlungsvorgang nicht autorisiert war und keine rechtlich relevanten Ausnahmen oder besonderen Umstände entgegenstehen.

Für Kunden ist es daher wichtig, nicht nur den Gesamtverlust zu beziffern, sondern die einzelnen beanstandeten Buchungen zu identifizieren. Wenn beispielsweise drei Überweisungen innerhalb weniger Minuten vorgenommen wurden, kann es notwendig sein, jede Zahlung gesondert zu betrachten. Vielleicht wurde die erste Überweisung ohne Wissen des Kunden ausgelöst, während er bei einer späteren Zahlung durch einen Telefonanruf zu einer Bestätigung bewegt wurde. Auch wenn alle Transaktionen zum selben Betrugsgeschehen gehören, müssen ihre rechtlichen Voraussetzungen nicht identisch sein. Eine pauschale Bewertung kann dazu führen, dass ein möglicher Anspruch für einzelne Buchungen nicht ausreichend geprüft wird.

§ 675w BGB ist ebenfalls von Bedeutung, weil die Vorschrift Anforderungen an den Nachweis der Authentifizierung und der ordnungsgemäßen Aufzeichnung und Verbuchung eines Zahlungsvorgangs enthält. Sie ist insbesondere dann relevant, wenn die Bank geltend macht, die Zahlung sei mit den richtigen Zugangsdaten oder über ein ordnungsgemäßes Sicherheitsverfahren ausgeführt worden. Ein Kunde sollte deshalb genau unterscheiden, welche Behauptung das Kreditinstitut tatsächlich aufstellt. Behauptet es, eine Anmeldung sei erfolgreich gewesen? Behauptet es, eine konkrete Überweisung sei freigegeben worden? Oder behauptet es, der Kunde habe seine Sicherheitsmerkmale grob fahrlässig behandelt? Diese Fragen sind rechtlich voneinander zu trennen.

Die erfolgreiche Verwendung eines Zahlungsinstruments ist nicht ohne Weiteres gleichbedeutend mit dem Nachweis, dass der Kunde den Vorgang autorisiert hat. Ebenso wenig ist die bloße Feststellung eines technischen Ablaufs bereits der vollständige Nachweis, dass der Kunde eine gesetzliche oder vertragliche Pflicht verletzt hat. Die gesetzlichen Regeln enthalten hierfür eigene Anforderungen. Betroffene sollten sich daher nicht vorschnell mit einer Standardantwort zufriedengeben, die lediglich auf eine TAN, eine App-Bestätigung oder die Verwendung eines bekannten Geräts verweist. Entscheidend ist, was diese Angaben im konkreten Fall tatsächlich belegen. Wann kann grobe Fahrlässigkeit eine Rolle spielen? Banken führen bei Phishing-Fällen häufig an, der Kunde habe grob fahrlässig gehandelt. Dieser Vorwurf kann erhebliche Bedeutung haben, weil das Zahlungsdiensterecht unter bestimmten Voraussetzungen eine Haftung des Zahlers für Schäden im Zusammenhang mit der missbräuchlichen Verwendung eines Zahlungsinstruments vorsieht. Die gesetzlichen Voraussetzungen müssen jedoch im Einzelfall erfüllt sein. Es reicht nicht aus, dass der Kunde getäuscht wurde oder dass ein Betrug bei sorgfältiger Betrachtung möglicherweise hätte auffallen können. Vielmehr kommt es darauf an, welche konkreten Pflichten bestanden, wie sich der Kunde verhalten hat und ob sein Verhalten nach den maßgeblichen rechtlichen Kriterien als grob fahrlässig einzuordnen ist.

Grobe Fahrlässigkeit ist nicht mit jedem Fehler und nicht mit jeder Unachtsamkeit gleichzusetzen. Wer eine überzeugend gestaltete Nachricht erhält, die scheinbar von seiner Bank stammt, und darin eine angebliche Sicherheitsmaßnahme erkennt, handelt nicht automatisch grob fahrlässig. Täter verwenden teilweise vertraute Logos, realistisch wirkende Internetseiten, bekannte Bankbezeichnungen oder Telefonnummern, die auf dem Display scheinbar dem echten Kreditinstitut zugeordnet sind. Hinzu kommen psychologische Druckmittel: Der Kunde soll sofort handeln, weil angeblich ein Zugriff auf sein Konto stattfindet oder ein hoher Geldbetrag verloren gehen könnte. Solche Umstände können erklären, warum Betroffene einer Aufforderung folgen, ohne dass damit bereits jede rechtliche Bewertung vorweggenommen wäre.

Andererseits können bestimmte Verhaltensweisen durchaus gegen den Kunden sprechen. Dazu kann beispielsweise gehören, dass er besonders sensible Sicherheitsmerkmale entgegen klaren und verständlichen Warnungen an Dritte weitergibt oder eine Zahlung freigibt, obwohl ihm die maßgeblichen Angaben eindeutig angezeigt werden und der Vorgang erkennbar nicht dem behaupteten Zweck entspricht. Ob ein solches Verhalten im konkreten Fall tatsächlich grob fahrlässig war, muss dennoch anhand aller Umstände geprüft werden. Eine abstrakte Regel, wonach die Weitergabe einer TAN immer automatisch zu einer vollständigen Haftung führt, würde den unterschiedlichen Abläufen von Phishing-Angriffen nicht gerecht.

Wichtig ist auch, ob der Kunde überhaupt erkennen konnte, welche Handlung er gerade vornahm. Wenn ein angeblicher Bankmitarbeiter behauptet, eine App-Freigabe diene ausschließlich der Sicherung des Kontos, während der tatsächliche Vorgang eine Überweisung betrifft, muss untersucht werden, welche Informationen die Bankoberfläche anzeigte und ob diese verständlich waren. War der Empfänger eindeutig erkennbar? Wurde der Betrag angezeigt? Bezog sich die Bestätigung auf eine Anmeldung oder eine Zahlung? Gab es eine Warnung, die den Kunden auf einen abweichenden Vorgang aufmerksam machte? Diese Tatsachen können für die Beurteilung des Verhaltens entscheidend sein.

Auch die Art der Täuschung kann eine Rolle spielen. Ein Phishing-Angriff, bei dem ein Kunde eine offensichtlich fremde Internetseite besucht und dort trotz deutlicher Warnhinweise seine vollständigen Zugangsdaten eingibt, unterscheidet sich möglicherweise von einem gezielten Angriff, bei dem die Täter zuvor persönliche Informationen gesammelt und den Kunden anschließend mit einem täuschend echten Anruf unter Druck gesetzt haben. Die äußeren Umstände können die Bewertung beeinflussen, ohne dass ein bestimmter Angriffstyp automatisch eine bestimmte rechtliche Folge auslöst. Es ist daher sinnvoll, nicht nur festzuhalten, dass Zugangsdaten eingegeben wurden, sondern auch zu dokumentieren, wie es dazu kam.

Betroffene sollten außerdem darauf achten, dass eine Bank den Vorwurf der groben Fahrlässigkeit nicht nur pauschal erhebt. Eine nachvollziehbare Begründung sollte erkennen lassen, welches konkrete Verhalten beanstandet wird und auf welche Umstände sich der Vorwurf stützt. Wurde eine TAN weitergegeben? Wurde eine unbekannte App installiert? Wurde eine Sicherheitswarnung ignoriert? Wurde ein neuer Empfänger bestätigt? Oder geht die Bank lediglich davon aus, dass die Nutzung korrekter Zugangsdaten eine Pflichtverletzung nahelege? Die rechtliche Prüfung muss sich mit dem tatsächlichen Vorwurf auseinandersetzen. Eine pauschale Bewertung des Kundenverhaltens reicht nicht aus, um die gesetzlichen Voraussetzungen einer Haftung abschließend zu klären. Was bedeutet eine mögliche Pflichtverletzung des Kunden für den Erstattungsanspruch? Selbst wenn ein Kunde bei einem Phishing-Angriff einen Fehler gemacht hat, folgt daraus nicht automatisch, dass er den gesamten Schaden tragen muss. Entscheidend ist zunächst, welche gesetzliche Regelung auf den Zahlungsvorgang anwendbar ist und welche Voraussetzungen für eine Haftung erfüllt sein müssen. Die Bewertung kann davon abhängen, ob eine nicht autorisierte Zahlung vorliegt, ob ein Verstoß gegen bestimmte Pflichten nachgewiesen werden kann und welche Haftungsgrenzen das Gesetz vorsieht. Eine Bank sollte daher nicht allein aus dem Umstand, dass der Kunde auf einen Betrug hereingefallen ist, eine vollständige Haftungsfreiheit ableiten.

Dabei ist zwischen der Frage, ob eine Zahlung autorisiert wurde, und der Frage nach einem möglichen Sorgfaltspflichtverstoß zu unterscheiden. Beide Aspekte können miteinander zusammenhängen, sind aber nicht identisch. Wenn der Kunde eine Überweisung nicht freigegeben hat, muss zunächst geprüft werden, ob der Zahlungsvorgang nicht autorisiert war. Anschließend stellt sich gegebenenfalls die Frage, welche Pflichten der Kunde im Zusammenhang mit dem Zahlungsinstrument verletzt haben könnte und welche rechtlichen Folgen daraus entstehen. Wird dagegen eine Zahlung als autorisiert eingeordnet, kann die Anspruchsprüfung eine andere Richtung nehmen. Deshalb ist es wichtig, nicht alle Argumente der Bank in einer einzigen Frage zusammenzufassen.

Bei mehreren Buchungen kann es zudem sein, dass das Verhalten des Kunden unterschiedlich zu bewerten ist. Vielleicht hat er zunächst einen Zugangscode auf einer gefälschten Seite eingegeben, ohne zu wissen, dass dadurch Täter Zugriff auf sein Konto erhalten. Später wurde er telefonisch kontaktiert und bestätigte eine weitere Sicherheitsabfrage. Bei einer dritten Transaktion erkannte er den Betrug und meldete den Vorfall. Diese Abfolge kann für die Beurteilung der einzelnen Zahlungen und des zeitlichen Zusammenhangs bedeutsam sein. Eine pauschale Aussage, der Kunde habe seine Daten weitergegeben und sei deshalb für alle Buchungen verantwortlich, wird einer solchen Konstellation nicht zwangsläufig gerecht.

Auch die Frage, wann der Kunde den Missbrauch bemerkte, kann eine Rolle spielen. Wer verdächtige Kontobewegungen erkennt, sollte die Bank unverzüglich informieren und die vereinbarten beziehungsweise gesetzlichen Anforderungen zur Meldung beachten. Eine zeitnahe Meldung kann dazu beitragen, weitere unberechtigte Verfügungen zu verhindern und den Sachverhalt zu dokumentieren. Sie bedeutet jedoch nicht, dass der Kunde automatisch für alle zuvor erfolgten Zahlungen verantwortlich ist. Umgekehrt kann eine verspätete Meldung rechtlich relevant werden, wenn dadurch bestehende Pflichten verletzt wurden. Welche Konsequenzen sich daraus ergeben, hängt von den Umständen und den gesetzlichen Regeln ab.

Die Bank sollte daher konkret darlegen, auf welchen Zeitraum und welche Handlungen sie ihre Einwände bezieht. Geht es um die Eingabe von Zugangsdaten vor der ersten Überweisung? Geht es um eine spätere Freigabe? Oder beanstandet sie, dass der Kunde erst nach mehreren Buchungen Kontakt aufgenommen hat? Ohne diese Differenzierung bleibt unklar, worauf sich die behauptete Pflichtverletzung bezieht. Für Betroffene ist es hilfreich, den Ablauf in einer zeitlichen Übersicht festzuhalten und zu jedem Schritt zu notieren, welche Informationen bekannt waren und welche Handlung vorgenommen wurde. Warum die Beweislage besonders wichtig ist Bei der Auseinandersetzung mit der Bank entscheidet häufig die Qualität der verfügbaren Informationen darüber, ob sich der Ablauf überzeugend rekonstruieren lässt. Betroffene sollten nicht davon ausgehen, dass ihre Erinnerung an ein Telefonat oder eine schnell durchgeführte Sicherheitsabfrage nach mehreren Wochen noch sämtliche Einzelheiten enthält. Deshalb empfiehlt es sich, frühzeitig alle vorhandenen Unterlagen zu sichern. Dazu gehören Kontoauszüge, Buchungsdetails, SMS, E-Mails, Screenshots, Chatverläufe, Telefonnummern, Angaben zu angeblichen Bankmitarbeitern und gegebenenfalls Informationen über installierte Programme oder registrierte Geräte.

Die Dokumentation sollte auch festhalten, welche Aussagen die Täter gemacht haben. Hat der Anrufer behauptet, von der Sicherheitsabteilung der Bank zu stammen? Wurde erklärt, eine bestimmte Bestätigung verhindere eine betrügerische Überweisung? Wurde der Kunde aufgefordert, eine neue App einzurichten oder einen Code mitzuteilen? Hat der Täter behauptet, die Bank könne das Konto nur durch einen bestimmten Schritt schützen? Solche Angaben können helfen, die Täuschung nachvollziehbar zu beschreiben. Sie sollten möglichst konkret und ohne nachträgliche Ausschmückungen festgehalten werden.

Besonders wichtig sind die Informationen zu den Freigaben. Wenn eine Banking-App verwendet wurde, sollte dokumentiert werden, welche Anzeige der Kunde noch nachvollziehen kann. Wurde ein Betrag genannt? War ein Empfänger sichtbar? Wurde die Handlung als Anmeldung, Sicherheitsprüfung oder Überweisung bezeichnet? Falls Screenshots vorhanden sind, sollten sie im Original gesichert werden. Wenn keine Bildschirmaufnahmen existieren, kann eine zeitnahe schriftliche Beschreibung helfen, den Ablauf später einzuordnen. Dabei sollte klar zwischen dem unterschieden werden, was der Kunde sicher erinnert, und dem, was er lediglich vermutet.

Auch die schriftliche Kommunikation mit der Bank ist relevant. Betroffene sollten ihre Beanstandung möglichst so formulieren, dass die streitigen Transaktionen eindeutig identifiziert werden. Eine pauschale Mitteilung, das Konto sei gehackt worden, kann für die erste Meldung ausreichen, beantwortet aber nicht alle Fragen zur späteren rechtlichen Prüfung. Sinnvoll ist es, die einzelnen Buchungen mit Datum, Betrag und Empfänger zu benennen und ausdrücklich zu erklären, welche Vorgänge nicht selbst vorgenommen oder nicht bewusst freigegeben wurden. Bei einer durch Täuschung veranlassten Freigabe sollte der Ablauf offen beschrieben werden, ohne vorschnell eine rechtliche Einordnung zu übernehmen, die sich erst nach Prüfung der Umstände treffen lässt.

Wenn die Bank die Erstattung verweigert, sollten Betroffene um eine konkrete Begründung bitten. Dabei kann gefragt werden, welche Authentifizierungsdaten zugrunde gelegt wurden, welche Handlung der Kunde nach Auffassung des Kreditinstituts autorisiert haben soll und worauf ein behaupteter Sorgfaltspflichtverstoß gestützt wird. Nicht alle internen Informationen müssen in jedem Fall vollständig offengelegt werden. Dennoch sollten die rechtlichen und tatsächlichen Gründe der Ablehnung nachvollziehbar sein. Eine standardisierte Antwort, die lediglich auf die Verwendung einer TAN oder die Freigabe über ein registriertes Gerät verweist, muss im Zusammenhang mit den gesetzlichen Anforderungen betrachtet werden. Wie Betroffene auf den Vorwurf grober Fahrlässigkeit reagieren sollten Werden Kunden mit dem Vorwurf grober Fahrlässigkeit konfrontiert, sollten sie die Situation nicht verharmlosen, aber auch nicht ungeprüft akzeptieren. Es ist sinnvoll, den Vorwurf zunächst genau zu bestimmen. Hat die Bank konkrete Hinweise auf ein bestimmtes Verhalten genannt, oder wird lediglich auf allgemeine Sicherheitsregeln verwiesen? Wurde behauptet, der Kunde habe Zugangsdaten weitergegeben, oder geht es um die Bestätigung einer bestimmten Überweisung? Welche Warnhinweise waren tatsächlich sichtbar? Und welche Angaben machte der vermeintliche Bankmitarbeiter? Die Antworten auf diese Fragen helfen dabei, die Einwände sachlich zu prüfen.

Es kann hilfreich sein, den Ablauf aus Sicht des Kunden möglichst präzise zu rekonstruieren. Dazu gehört nicht nur, welche Schritte vorgenommen wurden, sondern auch, welchen Zweck der Kunde dabei zu erkennen glaubte. Wer beispielsweise davon ausging, eine betrügerische Zahlung zu verhindern, kann diesen Umstand schildern und erklären, welche Aussagen ihn zu der Handlung veranlasst haben. Daraus folgt nicht automatisch, dass jede Handlung rechtlich unbedenklich war. Die Umstände können aber für die Beurteilung relevant sein, ob der Kunde die Bedeutung der Bestätigung erkennen konnte und ob der Vorwurf der groben Fahrlässigkeit trägt.

Dabei sollte der Kunde keine Angaben erfinden oder versuchen, einen unvorteilhaften Teil des Geschehens zu verschweigen. Widersprüche zwischen der eigenen Darstellung, den technischen Protokollen und den Unterlagen der Bank können die Aufklärung erschweren. Eine sachliche Darstellung, die zwischen sicheren Tatsachen und offenen Fragen unterscheidet, ist deshalb regelmäßig sinnvoller als eine pauschale Zurückweisung sämtlicher Vorwürfe. Wenn einzelne Vorgänge unklar sind, sollte dies offen benannt werden. Anschließend kann geprüft werden, welche Informationen die Bank zur weiteren Aufklärung bereitstellen kann.

Besondere Vorsicht ist geboten, wenn nach dem ersten Schaden weitere angebliche Helfer Kontakt aufnehmen. Diese können behaupten, sie könnten die Haftung der Bank verbindlich feststellen oder die Erstattung gegen eine Vorauszahlung sicherstellen. Eine solche Zusicherung ist kein Beleg für einen tatsächlichen Anspruch. Betroffene sollten weder weitere sensible Zugangsdaten preisgeben noch neue Zahlungen leisten, nur weil ein vermeintlicher Experte schnelle Hilfe verspricht. Die Prüfung des Erstattungsanspruchs sollte sich auf die ursprünglichen Transaktionen, die rechtlichen Grundlagen und nachvollziehbare Unterlagen stützen. Wann ist eine anwaltliche Prüfung sinnvoll? Eine anwaltliche Prüfung kann insbesondere dann sinnvoll sein, wenn die Bank eine Erstattung ausdrücklich ablehnt, den Vorwurf grober Fahrlässigkeit erhebt oder sich auf technische Angaben beruft, die der Kunde nicht nachvollziehen kann. Das gilt auch, wenn mehrere Überweisungen erfolgt sind, die Täter verschiedene Sicherheitsverfahren genutzt haben oder der Sachverhalt sowohl nicht autorisierte Zahlungen als auch selbst bestätigte Vorgänge umfasst. Eine rechtliche Prüfung sollte nicht allein die Höhe des Schadens betrachten. Sie sollte vor allem klären, welche Zahlungen rechtlich wie einzuordnen sind, welche gesetzlichen Ansprüche in Betracht kommen und welche Tatsachen noch aufgeklärt werden müssen.

Für die Vorbereitung eines solchen Gesprächs empfiehlt es sich, eine übersichtliche Zusammenstellung anzufertigen. Dazu gehören eine chronologische Darstellung des Phishing-Angriffs, eine Liste der beanstandeten Buchungen, die Kommunikation mit der Bank und die vorhandenen technischen oder schriftlichen Nachweise. Auch die genaue Begründung der Erstattungsablehnung sollte beigefügt werden. So lässt sich gezielt prüfen, ob die Bank die Autorisierung der Zahlung, die Beweislage oder das Verhalten des Kunden in den Mittelpunkt ihrer Argumentation stellt.

Die rechtliche Prüfung sollte außerdem berücksichtigen, dass ein möglicher Anspruch nicht allein deshalb ausgeschlossen ist, weil der Kunde selbst einen Teil des Ablaufs vorgenommen hat. Ebenso wenig ist eine Erstattung allein deshalb gesichert, weil die Täter eine Täuschung eingesetzt haben. Maßgeblich sind die gesetzlichen Voraussetzungen und der konkrete Sachverhalt. Eine seriöse Einschätzung benennt deshalb sowohl die Argumente, die für einen Anspruch sprechen können, als auch mögliche Einwände und Beweisprobleme. Ein bestimmter Erfolg lässt sich nicht garantieren.

Wer weitere Informationen zum Vorgehen nach einem Phishing-Angriff benötigt, kann sich zunächst mit den typischen Abläufen und den möglichen nächsten Schritten bei Phishing und betrügerischen Online-Aktivitäten befassen. Für die Frage, ob die Bank im konkreten Fall haften muss, ersetzt eine allgemeine Information jedoch nicht die Prüfung der tatsächlichen Zahlungsvorgänge. Entscheidend bleibt, welche Transaktionen beanstandet werden, welche Nachweise vorhanden sind und welche gesetzlichen Voraussetzungen erfüllt sind.

Zusammenfassend gilt: Ein Kunde muss nach einem Phishing-Angriff nicht allein deshalb für den gesamten Schaden aufkommen, weil er auf eine Täuschung hereingefallen ist oder ein Sicherheitsmerkmal verwendet wurde. Umgekehrt führt nicht jeder Betrug automatisch zu einer Erstattung durch die Bank. Ob eine Haftung des Kunden in Betracht kommt, hängt von der Autorisierung der konkreten Zahlung, den einschlägigen gesetzlichen Pflichten, dem nachweisbaren Verhalten und den weiteren Umständen ab. Wer eine Ablehnung erhält, sollte daher genau prüfen lassen, worauf sie gestützt wird, statt eine pauschale Aussage zur eigenen Verantwortlichkeit als abschließend hinzunehmen.

Bank haftet bei Phishing – was Betroffene nach einer unberechtigten Abbuchung tun sollten

Wenn nach einem Phishing-Angriff Geld vom Bankkonto verschwunden ist, sollten Betroffene ihre Ansprüche gegenüber dem Kreditinstitut strukturiert und nachvollziehbar geltend machen. Entscheidend ist, dass die beanstandeten Zahlungsvorgänge eindeutig bezeichnet werden, der Ablauf des Angriffs möglichst genau dokumentiert ist und die Bank mit den konkreten Umständen konfrontiert wird. Eine allgemeine Mitteilung, man sei Opfer eines Betrugs geworden, kann für eine erste Information ausreichen. Für die anschließende rechtliche Prüfung sollte jedoch deutlich werden, welche Buchungen betroffen sind, welche Handlungen der Kunde tatsächlich vorgenommen hat und weshalb die Erstattung verlangt wird. Je genauer diese Angaben sind, desto besser lassen sich Missverständnisse vermeiden und die Argumente des Kreditinstituts überprüfen.

Dabei sollten Betroffene nicht vorschnell davon ausgehen, dass die Bank nach einer ersten telefonischen Meldung alle erforderlichen Schritte veranlasst hat. Ein Telefonat kann zwar sinnvoll sein, um den Vorfall schnell bekannt zu machen. Für die spätere Beurteilung ist aber wichtig, dass der Inhalt der Mitteilung nachvollziehbar bleibt. Es empfiehlt sich deshalb, die wesentlichen Angaben zusätzlich schriftlich festzuhalten und eine Bestätigung der Bank aufzubewahren. Dazu gehören insbesondere das Datum der Kontaktaufnahme, die Uhrzeit, die betroffene Kontoverbindung, die beanstandeten Buchungen und die Angaben, die dem Kunden vom Kreditinstitut gemacht wurden. Wurde am Telefon eine bestimmte Vorgehensweise empfohlen oder eine Prüfung zugesagt, sollte auch dies möglichst zeitnah dokumentiert werden.

Der erste Schritt besteht darin, die betroffenen Zahlungsvorgänge zu identifizieren. Kontoauszüge und Umsatzdetails sollten daraufhin geprüft werden, welche Abbuchungen tatsächlich auf den Phishing-Angriff zurückzuführen sind. Bei jeder Transaktion sollten mindestens Buchungsdatum, Betrag, Empfänger und die verfügbaren Zahlungsinformationen festgehalten werden. Soweit ersichtlich, können auch die IBAN des Empfängers, der Verwendungszweck und eine Buchungsreferenz relevant sein. Wenn mehrere Zahlungen in kurzer Zeit ausgeführt wurden, sollten sie einzeln aufgelistet werden. Dadurch wird vermieden, dass die Bank eine pauschale Beanstandung nicht eindeutig bestimmten Buchungen zuordnen kann oder dass Unterschiede zwischen den einzelnen Vorgängen unberücksichtigt bleiben.

Die Beschreibung des Sachverhalts sollte möglichst präzise sein. Hat der Kunde die Überweisung überhaupt nicht selbst vorgenommen? Hat er Zugangsdaten auf einer gefälschten Internetseite eingegeben? Wurde er telefonisch dazu gebracht, eine angebliche Sicherheitsmaßnahme zu bestätigen? Hat er eine Zahlung freigegeben, ohne den tatsächlichen Empfänger oder den wirklichen Zweck zu erkennen? Diese Fragen sollten nach Möglichkeit anhand des tatsächlichen Ablaufs beantwortet werden. Dabei ist es wichtig, zwischen sicheren Tatsachen und bloßen Vermutungen zu unterscheiden. Wer nicht mehr genau weiß, welche Anzeige auf dem Bildschirm zu sehen war, sollte keine Einzelheiten erfinden. Es reicht zunächst, den Ablauf so genau wie möglich zu schildern und auf offene Fragen hinzuweisen.

Für den Erstattungsanspruch ist insbesondere relevant, ob eine Zahlung nicht autorisiert war. Bei einem solchen Zahlungsvorgang kommt grundsätzlich § 675u BGB als Anspruchsgrundlage in Betracht. Die Vorschrift regelt die Pflichten des Zahlungsdienstleisters, wenn eine Zahlung ohne Autorisierung ausgeführt wurde. Betroffene sollten deshalb klar benennen, wenn sie eine bestimmte Überweisung nicht selbst vorgenommen und nicht autorisiert haben. Wurde dagegen eine Zahlung durch eine Täuschung veranlasst und vom Kunden selbst bestätigt, muss der Sachverhalt genauer eingeordnet werden. Eine solche Konstellation sollte nicht ohne Prüfung als nicht autorisierte Zahlung bezeichnet werden. Die rechtliche Bewertung hängt davon ab, welche Handlung tatsächlich vorgenommen wurde und welche Bedeutung die Freigabe hatte.

Die schriftliche Forderung sollte den tatsächlichen Ablauf und die rechtliche Einordnung miteinander verbinden, ohne mehr zu behaupten, als sich aus den vorhandenen Informationen ergibt. Wenn der Kunde eine Überweisung nicht autorisiert hat, sollte er dies ausdrücklich erklären und die betreffende Buchung bezeichnen. Er kann um Prüfung und Erstattung nach den einschlägigen gesetzlichen Vorschriften bitten und eine nachvollziehbare Antwort verlangen. Wenn die Bank bereits eine Ablehnung ausgesprochen hat, sollte auf die konkrete Begründung eingegangen werden. Eine bloße Wiederholung der ursprünglichen Forderung hilft wenig, wenn das Kreditinstitut beispielsweise auf eine angebliche App-Freigabe, die Verwendung einer TAN oder eine behauptete grobe Fahrlässigkeit verweist. Diese Einwände müssen gezielt geprüft werden.

Eine sinnvolle schriftliche Mitteilung enthält zunächst eine knappe Beschreibung des Vorfalls. Anschließend werden die betroffenen Buchungen aufgelistet und die jeweilige Beanstandung erläutert. Danach sollte der Kunde darlegen, welche Unterlagen er beifügt und welche Informationen noch fehlen. Abschließend kann er die Bank um eine konkrete Stellungnahme zu den einzelnen Transaktionen und um Mitteilung der tatsächlichen und rechtlichen Gründe bitten, falls sie die Erstattung ablehnt. Ein solcher Aufbau erleichtert es, die wesentlichen Punkte voneinander zu trennen und später zu überprüfen, welche Fragen das Kreditinstitut beantwortet hat und welche noch offen sind.

Es ist nicht erforderlich, in einem ersten Schreiben jede denkbare Rechtsfrage abschließend zu behandeln. Häufig ist es wichtiger, die beanstandeten Buchungen eindeutig zu identifizieren, die eigene Darstellung nachvollziehbar zu machen und die Bank mit den konkreten Umständen zu befassen. Rechtliche Argumente sollten sachlich und präzise eingesetzt werden. Unbelegte Vorwürfe oder übertriebene Formulierungen können von den entscheidenden Fragen ablenken. Betroffene sollten daher nicht ohne ausreichende Grundlage behaupten, die Bank habe den Betrug bewusst ermöglicht oder sämtliche Sicherheitsanforderungen verletzt. Stattdessen sollten sie konkret darlegen, welche Vorgänge nicht nachvollziehbar sind und welche Informationen zur Prüfung benötigt werden.

Eine schriftliche Forderung kann beispielsweise sinngemäß folgende Punkte enthalten: Der Kunde bezeichnet die betreffende Transaktion mit Datum, Betrag und Empfänger. Er erklärt, ob er den Zahlungsvorgang selbst vorgenommen oder autorisiert hat. Er beschreibt, wann und wie er vom Phishing-Angriff erfahren hat, und verweist auf die vorhandenen Belege. Soweit eine nicht autorisierte Zahlung geltend gemacht wird, kann er auf die Erstattungspflicht nach § 675u BGB hinweisen. Darüber hinaus kann er um eine nachvollziehbare Erläuterung bitten, auf welche Tatsachen sich die Bank stützt, wenn sie die Autorisierung behauptet oder eine Pflichtverletzung des Kunden annimmt. Die konkrete Formulierung sollte an den tatsächlichen Sachverhalt angepasst werden.

Dabei ist Vorsicht geboten, wenn mehrere unterschiedliche Vorgänge betroffen sind. Ein Kunde sollte nicht ohne Prüfung erklären, sämtliche Zahlungen seien unautorisiert gewesen, wenn er einzelne Überweisungen tatsächlich selbst bestätigt hat. Umgekehrt sollte er eine Zahlung nicht allein deshalb als autorisiert behandeln, weil eine technische Bestätigung stattgefunden hat. Es kommt darauf an, was der Kunde tatsächlich bestätigt hat und welche Bedeutung dieser Handlung zukommt. Bei mehreren Buchungen kann eine getrennte Darstellung sinnvoll sein, damit die rechtliche Bewertung nicht durch eine pauschale Beschreibung erschwert wird.

Ebenso wichtig ist die Sicherung der Kommunikation. Alle Schreiben an die Bank, deren Antworten und ergänzende Nachfragen sollten vollständig aufbewahrt werden. Dazu gehören auch automatische Eingangsbestätigungen, Mitteilungen aus dem Onlinebanking und gegebenenfalls Nachrichten über das interne Postfach des Kreditinstituts. Wer telefonisch Kontakt aufnimmt, sollte unmittelbar danach notieren, mit welcher Abteilung gesprochen wurde, welche Auskünfte erteilt wurden und welche nächsten Schritte vereinbart worden sein sollen. Diese Aufzeichnungen können helfen, den Ablauf später nachzuvollziehen, ersetzen aber keine tatsächlich vorhandenen schriftlichen Bestätigungen. Welche Unterlagen sollten der Bank vorgelegt werden? Eine nachvollziehbare Beweissammlung ist bei der Geltendmachung eines Erstattungsanspruchs besonders wichtig. Betroffene sollten die vorhandenen Informationen systematisch zusammenstellen, statt einzelne Screenshots oder Nachrichten unverbunden weiterzuleiten. Die Unterlagen sollten erkennen lassen, wie der Angriff begann, welche Handlungen vorgenommen wurden und wann die beanstandeten Zahlungen erfolgten. Das bedeutet nicht, dass jede denkbare Information bereits im ersten Schreiben vollständig vorliegen muss. Es hilft aber, frühzeitig einen Überblick über die verfügbaren Belege zu erstellen und fehlende Angaben zu kennzeichnen.

Zu den wichtigsten Unterlagen gehören Kontoauszüge und Umsatzdetails. Sie zeigen, welche Beträge tatsächlich abgebucht wurden und welche Empfängerinformationen verfügbar sind. Bei Überweisungen können die Empfänger-IBAN, der BIC, der Buchungstext und die Transaktionsreferenz hilfreich sein. Bei Kartenzahlungen oder anderen Zahlungsarten können die vorhandenen Angaben abweichen. Die Dokumentation sollte deshalb an die konkrete Zahlungsart angepasst werden. Entscheidend ist, dass die beanstandete Buchung eindeutig identifiziert werden kann und nicht mit anderen Transaktionen verwechselt wird.

Daneben sollten alle Nachrichten gesichert werden, die mit dem Betrug in Zusammenhang stehen. Dazu gehören E-Mails, SMS, Messenger-Nachrichten und Nachrichten über angebliche Sicherheitsprobleme. Wenn eine gefälschte Internetseite verwendet wurde, können Screenshots der Seite, die aufgerufene Webadresse und vorhandene Browserinformationen hilfreich sein. Die Internetseite kann später nicht mehr erreichbar sein. Deshalb ist es sinnvoll, vorhandene Informationen zeitnah zu sichern. Allerdings sollte niemand allein zu Beweiszwecken erneut Zugangsdaten auf einer verdächtigen Seite eingeben oder auf gefährliche Links klicken.

Wurde der Kunde telefonisch kontaktiert, sollten die verfügbaren Angaben zum Anruf festgehalten werden. Dazu können die angezeigte Telefonnummer, der Zeitpunkt, die Dauer und die wesentlichen Aussagen des Anrufers gehören. Wenn der Anrufer sich als Mitarbeiter einer Bank ausgab, sollte notiert werden, welchen Namen, welche Abteilung oder welche Funktion er nannte. Auch Angaben dazu, welche Informationen der Anrufer bereits kannte, können relevant sein. Solche Details können helfen, die Täuschung zu rekonstruieren und den Zusammenhang mit den späteren Buchungen nachvollziehbar zu machen.

Wenn Sicherheitscodes eingegeben oder Freigaben bestätigt wurden, sollte der Kunde beschreiben, was er dabei zu tun glaubte. Wurde eine angebliche Sicherheitsprüfung angekündigt? Sollte eine verdächtige Überweisung verhindert werden? Wurde eine neue Gerätebindung eingerichtet? Oder wurde eine Zahlung bestätigt, deren tatsächlicher Zweck dem Kunden nicht klar war? Diese Angaben können für die Frage relevant sein, ob eine konkrete Transaktion autorisiert wurde und wie das Verhalten des Kunden rechtlich einzuordnen ist. Die Beschreibung sollte so präzise wie möglich sein, ohne im Nachhinein eine Gewissheit vorzutäuschen, die nicht besteht.

Betroffene sollten außerdem Unterlagen zu möglichen Änderungen der Zugangssicherheit aufbewahren. Dazu gehören Hinweise auf neue Geräte, Passwortänderungen, ungewöhnliche Anmeldungen oder Sicherheitsmeldungen der Bank. Falls eine Fernzugriffssoftware installiert wurde, sollte festgehalten werden, um welche Anwendung es sich handelte und wann sie installiert wurde. Wenn möglich, sollten vorhandene Informationen gesichert werden, bevor Programme entfernt oder Geräte zurückgesetzt werden. Die Sicherheit des Kontos hat allerdings Vorrang: Besteht der Verdacht, dass ein Gerät weiterhin kompromittiert ist, sollte der Zugriff über ein vertrauenswürdiges Gerät abgesichert und gegebenenfalls fachkundige technische Unterstützung eingeholt werden.

Es ist nicht sinnvoll, der Bank wahllos sämtliche persönlichen Daten oder vollständige Geräteinhalte zu übermitteln. Die Unterlagen sollten auf den konkreten Vorgang bezogen und auf das erforderliche Maß beschränkt werden. Besonders sensible Zugangsdaten, Passwörter, vollständige TAN-Codes oder andere Sicherheitsmerkmale sollten nicht unbedacht weitergegeben werden. Eine Bank benötigt keine Offenlegung des aktuellen Passworts, um eine beanstandete Zahlung zu prüfen. Wenn das Kreditinstitut zusätzliche Informationen verlangt, sollte nachvollzogen werden, warum diese benötigt werden und ob eine sichere Übermittlung vorgesehen ist. Wie sollten Betroffene auf eine Ablehnung der Bank reagieren? Eine Ablehnung der Erstattung ist nicht zwangsläufig das Ende der rechtlichen Prüfung. Betroffene sollten zunächst genau feststellen, auf welche Gründe sich die Bank beruft. In der Praxis können unterschiedliche Argumente eine Rolle spielen: Das Kreditinstitut behauptet möglicherweise, die Zahlung sei ordnungsgemäß autorisiert worden, die Authentifizierung sei erfolgreich gewesen oder der Kunde habe seine Sicherheitsmerkmale grob fahrlässig behandelt. Teilweise wird auch darauf verwiesen, dass die Zahlung technisch korrekt ausgeführt worden sei. Diese Begründungen betreffen unterschiedliche Fragen und sollten deshalb nicht pauschal miteinander gleichgesetzt werden.

Wenn die Bank die Autorisierung behauptet, sollte der Kunde prüfen, ob die Antwort tatsächlich den konkreten Zahlungsvorgang beschreibt. Ein Hinweis auf einen erfolgreichen Login sagt noch nicht zwingend aus, dass auch die streitige Überweisung autorisiert wurde. Ebenso ist zu unterscheiden, ob eine Sicherheitsbestätigung der Anmeldung, der Registrierung eines Geräts oder der Freigabe einer bestimmten Zahlung diente. Der Kunde kann die Bank um eine konkrete Erläuterung bitten, auf welche dokumentierten Vorgänge sie ihre Schlussfolgerung stützt. Welche Einzelinformationen herauszugeben sind, hängt von den einschlägigen rechtlichen Anforderungen ab; die Antwort sollte aber im Zusammenhang mit dem geltend gemachten Anspruch nachvollziehbar sein.

Beruft sich die Bank auf grobe Fahrlässigkeit, sollte sie den beanstandeten Vorgang möglichst konkret benennen. Es ist ein Unterschied, ob der Kunde eine TAN an einen unbekannten Anrufer weitergab, Zugangsdaten auf einer täuschend echten Internetseite eingab oder eine konkrete Überweisung in der App bestätigte. Auch die Frage, welche Warnhinweise angezeigt wurden und welche Informationen dem Kunden vorlagen, kann wichtig sein. Betroffene sollten den Vorwurf anhand des tatsächlichen Ablaufs beantworten und die vorhandenen Belege beifügen. Eine pauschale Erklärung, man habe alles richtig gemacht, ist ebenso wenig hilfreich wie die ungeprüfte Anerkennung einer vollständigen Haftung.

Wenn die Bank nur eine knappe Standardantwort übermittelt, kann ein gezieltes Nachfragen sinnvoll sein. Dabei sollte nicht lediglich die bereits erhobene Forderung wiederholt werden. Besser ist es, die offenen Punkte zu benennen: Welche Zahlung soll der Kunde nach Auffassung der Bank autorisiert haben? Welche technische Bestätigung wird angeführt? Auf welche konkreten Umstände stützt sich der Vorwurf einer Pflichtverletzung? Wie wird zwischen den einzelnen Buchungen unterschieden? Diese Fragen helfen, die Argumentation des Kreditinstituts zu präzisieren und eine spätere rechtliche Prüfung vorzubereiten.

Bei der weiteren Korrespondenz sollten Betroffene sachlich bleiben. Persönliche Vorwürfe oder Drohungen ersetzen keine rechtliche Argumentation. Es ist sinnvoller, die tatsächlichen Widersprüche herauszuarbeiten und die maßgeblichen gesetzlichen Fragen zu benennen. Wenn beispielsweise die Bank behauptet, der Kunde habe eine Zahlung bestätigt, dieser aber nur eine Geräteaktivierung wahrgenommen hat, sollte genau dieser Unterschied erläutert werden. Wenn mehrere Transaktionen zu unterschiedlichen Zeitpunkten erfolgten, sollten sie getrennt betrachtet werden. Je präziser die Beanstandung ist, desto geringer ist das Risiko, dass entscheidende Details in einer allgemeinen Darstellung untergehen. Welche Fristen und zeitlichen Aspekte müssen beachtet werden? Nach einem Phishing-Angriff sollten Betroffene nicht unnötig abwarten. Bei nicht autorisierten oder fehlerhaft ausgeführten Zahlungsvorgängen gelten gesetzliche Anzeige- und Ausschlussregeln, deren Voraussetzungen und zeitlicher Anwendungsbereich im Einzelfall zu prüfen sind. § 676b BGB enthält Regelungen zur Anzeige nicht autorisierter oder fehlerhaft ausgeführter Zahlungsvorgänge. Dabei kann es darauf ankommen, wann der Kunde den Vorgang bemerkt hat oder hätte bemerken müssen und wann er die Bank informiert hat. Die gesetzlichen Fristen und ihre Voraussetzungen sollten nicht mit einer pauschalen Aussage verwechselt werden, wonach jede verspätete Meldung automatisch zum Verlust sämtlicher Ansprüche führt.

Betroffene sollten den Zeitpunkt der Kenntnisnahme deshalb möglichst genau festhalten. Wann wurde die erste verdächtige Buchung entdeckt? Wann wurde die Bank kontaktiert? Wann wurde die Zahlung schriftlich beanstandet? Wann erhielt der Kunde die Ablehnung? Diese Daten können für die weitere Prüfung wichtig sein. Kontoauszüge, Benachrichtigungen und die Kommunikation mit dem Kreditinstitut sollten so aufbewahrt werden, dass sich die zeitliche Abfolge später nachvollziehen lässt. Wenn mehrere Buchungen zu unterschiedlichen Zeitpunkten entdeckt wurden, sollte auch dies gesondert dokumentiert werden.

Darüber hinaus können weitere Fristen eine Rolle spielen, etwa solche, die sich aus dem konkreten Vertragsverhältnis oder aus der Verfolgung möglicher Ansprüche ergeben. Welche Fristen einschlägig sind, lässt sich ohne Kenntnis des Einzelfalls nicht zuverlässig bestimmen. Betroffene sollten deshalb nicht davon ausgehen, dass eine einmalige Meldung bei der Bank sämtliche zeitlichen Anforderungen erfüllt. Wenn ein größerer Schaden entstanden ist oder das Kreditinstitut die Erstattung ablehnt, kann es sinnvoll sein, die Ansprüche und Fristen zeitnah rechtlich prüfen zu lassen. Was sollte vermieden werden, wenn die Bank die Erstattung prüft? Betroffene sollten während der Prüfung vorsichtig mit weiteren Mitteilungen und möglichen Hilfsangeboten umgehen. Es ist nicht ratsam, gegenüber der Bank unüberlegte oder widersprüchliche Erklärungen abzugeben. Das bedeutet nicht, dass Kunden den Ablauf beschönigen oder Informationen zurückhalten sollten. Vielmehr sollten sie zwischen dem unterscheiden, was sie sicher wissen, und dem, was noch unklar ist. Wenn der Kunde eine Zahlung tatsächlich bestätigt hat, sollte er diesen Umstand nicht verschweigen. Gleichzeitig sollte er nicht ohne Prüfung annehmen, dass eine technische Bestätigung automatisch bedeutet, dass er die konkrete Überweisung rechtlich autorisiert hat.

Auch nachträglich erstellte Zusammenfassungen sollten klar als solche erkennbar sein. Originalnachrichten, Screenshots und Kontoauszüge sollten möglichst unverändert aufbewahrt werden. Werden Dateien zugeschnitten oder Nachrichten in einer eigenen Übersicht zusammengefasst, sollte die ursprüngliche Fassung weiterhin vorhanden sein. Dadurch kann später überprüft werden, ob eine Darstellung den ursprünglichen Informationen entspricht. Bei digitalen Belegen kann es hilfreich sein, die Dateien geordnet zu speichern und die jeweiligen Zeitpunkte zu notieren.

Besondere Vorsicht gilt gegenüber Personen, die nach dem Phishing-Angriff versprechen, die Bank zur Zahlung zu zwingen oder das Geld gegen eine Gebühr sicher zurückzuholen. Solche Angebote können eine weitere Täuschung darstellen. Betroffene sollten keine weiteren Beträge überweisen, nur weil ein vermeintlicher Spezialist eine schnelle Erstattung zusichert. Auch angebliche technische Prüfungen, für die neue Fernzugriffssoftware installiert oder vertrauliche Bankdaten übermittelt werden sollen, sollten kritisch hinterfragt werden. Ein seriöser Prüfungsansatz muss auf nachvollziehbaren Unterlagen und einer realistischen Einschätzung der Rechtslage beruhen. Wann ist anwaltliche Unterstützung sinnvoll? Eine anwaltliche Prüfung kann besonders dann sinnvoll sein, wenn die Bank den Erstattungsanspruch ablehnt, die Begründung unklar bleibt oder der Vorwurf grober Fahrlässigkeit erhoben wird. Das gilt auch, wenn hohe Beträge betroffen sind, mehrere Zahlungen unterschiedlich zustande kamen oder technische Vorgänge eine zentrale Rolle spielen. Im Rahmen einer Prüfung kann untersucht werden, welche rechtlichen Ansprüche bestehen, welche Nachweise erforderlich sind und welche Einwände des Kreditinstituts rechtlich tragen könnten. Eine seriöse Beratung sollte dabei auch mögliche Unsicherheiten und Risiken offen benennen.

Für eine erste Einschätzung sollten Betroffene möglichst vollständige Unterlagen bereitstellen: die Kontoauszüge, die Liste der beanstandeten Transaktionen, den zeitlichen Ablauf des Angriffs, die Kommunikation mit der Bank und die Begründung einer etwaigen Ablehnung. Wenn vorhanden, sollten auch Nachrichten der Täter und Screenshots der verwendeten Internetseiten beigefügt werden. Es ist nicht notwendig, sämtliche Informationen bereits abschließend juristisch zu bewerten. Wichtig ist, dass die Tatsachen nachvollziehbar dargestellt werden und offene Fragen deutlich werden.

Die rechtliche Prüfung sollte insbesondere zwischen nicht autorisierten Zahlungen und durch Täuschung veranlassten Freigaben unterscheiden. Sie sollte außerdem untersuchen, welche Bedeutung die Authentifizierungsdaten haben und ob die Bank ihre Argumentation ausreichend auf die einzelnen Vorgänge bezieht. Ein Anspruch nach § 675u BGB kann bei nicht autorisierten Zahlungsvorgängen grundsätzlich relevant sein. Ob die Voraussetzungen im konkreten Fall erfüllt sind und welche weiteren rechtlichen Gesichtspunkte zu berücksichtigen sind, hängt jedoch vom tatsächlichen Sachverhalt ab.

Betroffene müssen nicht hinnehmen, dass eine Erstattungsforderung allein mit einem pauschalen Verweis auf die Nutzung von Zugangsdaten oder eine App-Freigabe abgelehnt wird. Sie sollten aber auch nicht davon ausgehen, dass jede Phishing-Täuschung automatisch zu einem Anspruch gegen die Bank führt. Entscheidend sind die tatsächlichen Abläufe, die Autorisierung der jeweiligen Zahlung, die anwendbaren gesetzlichen Regeln und die vorhandenen Nachweise. Eine sorgfältig vorbereitete schriftliche Forderung schafft dafür eine bessere Grundlage und erleichtert es, die offenen rechtlichen Fragen gezielt zu klären.

Kanzlei Wilms – Experten für Online-Anlagebetrug

Die Kanzlei Wilms unterstützt seit Jahren Mandanten, die Opfer von Online-Anlagebetrug, Kryptobetrug, Fake Brokern, Investmentbetrug, Bitcoin-Betrug oder Recovery Scams geworden sind.

Unsere Mandanten kommen aus ganz Deutschland sowie aus dem Ausland. Viele Verfahren weisen internationale Bezüge auf und betreffen grenzüberschreitende Zahlungsströme, Kryptowährungen oder komplexe Unternehmensstrukturen.

Wir analysieren unter anderem:

• Banküberweisungen
• SEPA- und SWIFT-Zahlungen
• Kreditkartenzahlungen
• Zahlungsdienstleister
• Kryptobörsen und Wallet-Transaktionen
• internationale Zahlungsstrukturen

Mehr Informationen finden Sie in unserem Blog.

Bank haftet bei Phishing – warum Banken die Erstattung verweigern und wie Betroffene reagieren können

Wenn eine Bank die Erstattung nach einem Phishing-Angriff ablehnt, sollten Betroffene die rechtliche Auseinandersetzung nicht allein auf die Frage reduzieren, ob das Kreditinstitut den Schaden freiwillig ausgleichen möchte. Entscheidend ist, ob ein gesetzlicher Anspruch besteht, welche Voraussetzungen dafür erfüllt sein müssen und wie sich diese Voraussetzungen anhand der konkreten Zahlungsvorgänge belegen lassen. Eine Ablehnung durch die Bank bedeutet nicht automatisch, dass keine weiteren Möglichkeiten bestehen. Sie bedeutet aber ebenso wenig, dass die Erstattung allein durch eine erneute Aufforderung oder die Einschaltung eines Rechtsanwalts sicher erreicht werden kann. Die Erfolgsaussichten hängen wesentlich davon ab, wie der Angriff ablief, welche Transaktionen betroffen sind und welche rechtlichen Einwände das Kreditinstitut erhebt.

Im Mittelpunkt steht bei nicht autorisierten Zahlungen häufig § 675u BGB. Die Vorschrift regelt die Pflichten des Zahlungsdienstleisters, wenn ein Zahlungsvorgang ohne Autorisierung ausgeführt wurde. Grundsätzlich muss der Zahlungsdienstleister den Betrag im gesetzlichen Rahmen erstatten und das Zahlungskonto wieder auf den Stand bringen, auf dem es sich ohne die nicht autorisierte Zahlung befunden hätte. Für Betroffene ist diese Regelung besonders wichtig, wenn Kriminelle ohne ihre bewusste Zustimmung Überweisungen ausgelöst oder andere Verfügungen über das Konto vorgenommen haben. Ob die Voraussetzungen tatsächlich vorliegen, muss jedoch anhand des konkreten Geschehens geprüft werden. Nicht jeder Schaden, der im Zusammenhang mit Phishing entsteht, ist automatisch ein Fall einer nicht autorisierten Zahlung.

Die rechtliche Prüfung beginnt deshalb mit der Frage, welche konkrete Transaktion beanstandet wird und ob sie vom Kunden autorisiert wurde. Hat der Kunde die Überweisung überhaupt nicht selbst vorgenommen und auch nicht bewusst freigegeben, spricht dies für die Prüfung eines nicht autorisierten Zahlungsvorgangs. Wurden dagegen Zugangsdaten abgefangen und anschließend von den Tätern verwendet, muss untersucht werden, welche Bedeutung die dabei eingesetzten Authentifizierungsverfahren haben. Eine technisch erfolgreiche Anmeldung beweist nicht ohne Weiteres, dass der Kunde die anschließende Zahlung autorisiert hat. Ebenso ist die Nutzung einer gültigen TAN nicht allein entscheidend, wenn streitig ist, welche Handlung mit dieser TAN bestätigt wurde.

Besonders sorgfältig muss geprüft werden, wenn der Kunde selbst eine Freigabe vorgenommen hat. Wurde ihm in der Banking-App eine konkrete Überweisung mit Empfänger und Betrag angezeigt, oder glaubte er, lediglich eine Sicherheitsmaßnahme durchzuführen? Hat er eine Geräteaktivierung bestätigt, während die Täter anschließend eine Zahlung auslösten? Wurde ihm am Telefon erklärt, er müsse einen Vorgang freigeben, um eine angeblich betrügerische Buchung zu verhindern? Die Antworten können für die rechtliche Einordnung entscheidend sein. Eine durch Täuschung veranlasste Handlung ist nicht automatisch mit einer nicht autorisierten Zahlung gleichzusetzen. Umgekehrt darf eine Bank nicht allein aus einer protokollierten Bestätigung ableiten, dass sämtliche rechtlichen Fragen geklärt sind.

Wenn eine Zahlung als nicht autorisiert einzuordnen ist, kann § 675u BGB einen eigenständigen Erstattungsanspruch begründen. Dieser Anspruch ist von der Frage zu unterscheiden, ob die Bank darüber hinaus gegen andere Pflichten verstoßen hat. Betroffene sollten deshalb zunächst klären, ob sich ihr Anspruch bereits aus den gesetzlichen Regelungen für nicht autorisierte Zahlungsvorgänge ergibt. Es ist nicht erforderlich, in jedem Fall zusätzlich eine allgemeine Sicherheitsverletzung der Bank nachzuweisen, wenn die Voraussetzungen des gesetzlichen Erstattungsanspruchs erfüllt sind. Welche Einwendungen das Kreditinstitut erheben kann und ob diese durchgreifen, hängt allerdings vom Sachverhalt und den anwendbaren gesetzlichen Regeln ab.

Ein häufiger Streitpunkt ist die Behauptung der Bank, der Kunde habe die Zahlung grob fahrlässig ermöglicht. In diesem Zusammenhang sind die einschlägigen gesetzlichen Vorschriften, insbesondere die Regelungen zu den Pflichten des Zahlers und zur Haftung bei missbräuchlicher Verwendung eines Zahlungsinstruments, zu berücksichtigen. Die rechtliche Bewertung hängt davon ab, welches Verhalten konkret vorgeworfen wird und ob die gesetzlichen Voraussetzungen einer Haftung erfüllt sind. Nicht jede Unachtsamkeit begründet automatisch eine vollständige Haftung. Ebenso wenig lässt sich pauschal ausschließen, dass das Verhalten eines Kunden bei der rechtlichen Beurteilung relevant wird.

Eine Ablehnung sollte deshalb daraufhin geprüft werden, ob die Bank den Vorwurf ausreichend konkretisiert hat. Beruft sie sich lediglich darauf, dass der Kunde Zugangsdaten eingegeben oder eine TAN verwendet hat, bleibt möglicherweise offen, welche konkrete Pflicht verletzt worden sein soll. Es macht einen Unterschied, ob ein Kunde seine Zugangsdaten auf einer überzeugend nachgebildeten Bankseite eingegeben hat, ob er einem angeblichen Sicherheitsmitarbeiter telefonisch vertraute oder ob er eine Zahlung mit eindeutig angezeigtem Empfänger bewusst bestätigte. Auch der Inhalt möglicher Warnhinweise und die Art der Täuschung können für die Bewertung eine Rolle spielen.

Betroffene sollten die Begründung der Bank daher nicht nur formal zurückweisen, sondern gezielt auf ihre tatsächlichen Schwachstellen eingehen. Wenn das Kreditinstitut behauptet, eine bestimmte Zahlung sei autorisiert worden, sollte geklärt werden, welche Handlung damit gemeint ist. Wenn es auf eine technische Authentifizierung verweist, sollte geprüft werden, ob daraus tatsächlich die behauptete Autorisierung folgt. Wenn es eine grobe Fahrlässigkeit annimmt, sollte es nachvollziehbar erläutern, welches konkrete Verhalten diese Bewertung tragen soll. Eine präzise Auseinandersetzung mit den Einwänden ist regelmäßig hilfreicher als eine pauschale Erklärung, die Bank müsse für jeden Phishing-Schaden einstehen. Die Bedeutung des Nachweises durch die Bank Für die rechtliche Auseinandersetzung ist § 675w BGB besonders relevant. Die Vorschrift regelt den Nachweis der Authentifizierung sowie der ordnungsgemäßen Aufzeichnung und Verbuchung eines Zahlungsvorgangs. Sie ist deshalb häufig ein zentraler Bezugspunkt, wenn die Bank eine Erstattung mit dem Hinweis ablehnt, die Zahlung sei technisch korrekt durchgeführt worden. Betroffene sollten zwischen dem Nachweis eines technischen Vorgangs und der rechtlichen Bewertung seiner Bedeutung unterscheiden. Dass ein bestimmtes Gerät verwendet oder eine Sicherheitsabfrage erfolgreich abgeschlossen wurde, kann für die Aufklärung wichtig sein. Es beantwortet aber nicht zwangsläufig jede Frage zur Autorisierung und zu den Voraussetzungen einer Kundenhaftung.

Wenn das Kreditinstitut beispielsweise erklärt, die Überweisung sei mit den korrekten Zugangsdaten und einer gültigen TAN bestätigt worden, sollte geprüft werden, was genau damit nachgewiesen werden soll. Bezieht sich die Dokumentation auf den Login, die Registrierung eines Geräts oder die konkrete Überweisung? Wurde die Zahlung mit Betrag und Empfänger angezeigt? Gibt es mehrere Freigaben, die zeitlich eng aufeinanderfolgten? Wurde eine Sicherheitsfunktion geändert, bevor die Überweisungen ausgeführt wurden? Solche Fragen können helfen, den tatsächlichen Ablauf zu rekonstruieren und festzustellen, ob die vorgelegten Angaben die rechtlichen Voraussetzungen ausreichend belegen.

Die Beweisfrage darf allerdings nicht zu der Annahme führen, dass die Bank in jedem Streit sämtliche internen technischen Informationen uneingeschränkt offenlegen muss. Welche Auskünfte verlangt werden können, richtet sich nach den gesetzlichen Vorgaben und den Umständen des Einzelfalls. Betroffene sollten deshalb möglichst konkret benennen, welche Informationen für die Prüfung der beanstandeten Zahlung erforderlich sind. Allgemeine Forderungen nach sämtlichen Sicherheitsdaten sind häufig weniger zielführend als gezielte Fragen zur konkreten Transaktion, zur Art der Authentifizierung und zur Zuordnung einer Freigabe.

Auch die eigene Darstellung des Kunden bleibt wichtig. Wer eine Zahlung bestreitet, sollte den Sachverhalt so genau wie möglich beschreiben und vorhandene Unterlagen beifügen. Dazu gehören Kontoauszüge, Umsatzdetails, Nachrichten, Screenshots, Angaben zu Telefonkontakten und die schriftliche Kommunikation mit der Bank. Wenn der Kunde bestimmte Schritte nicht mehr genau erinnern kann, sollte er dies kenntlich machen. Die eigene Darstellung sollte nicht auf Vermutungen aufgebaut sein, die später mit technischen Informationen kollidieren könnten. Eine nachvollziehbare und widerspruchsfreie Chronologie erleichtert die Prüfung der rechtlichen Fragen. Welche Rolle spielen weitere Anspruchsgrundlagen? Nicht jeder Streit mit der Bank lässt sich ausschließlich über § 675u BGB lösen. Je nach Sachverhalt können weitere rechtliche Gesichtspunkte relevant sein, etwa wenn eine Pflichtverletzung des Kreditinstituts behauptet wird oder der geltend gemachte Schaden nicht vollständig durch die Regeln über nicht autorisierte Zahlungsvorgänge erfasst wird. Welche zusätzlichen Anspruchsgrundlagen in Betracht kommen, muss im konkreten Fall geprüft werden. Dabei sollte nicht vorschnell angenommen werden, jede Sicherheitslücke oder jede ungewöhnliche Buchung begründe einen eigenständigen Schadensersatzanspruch.

Ein möglicher Ansatzpunkt kann die Frage sein, ob die Bank ihre vertraglichen oder gesetzlichen Pflichten im Zusammenhang mit dem Zahlungsdienst verletzt hat. Dafür genügt es nicht, lediglich auf den eingetretenen Schaden hinzuweisen. Vielmehr muss untersucht werden, welche konkrete Pflicht bestanden haben soll, worin die behauptete Verletzung liegt und ob diese Verletzung für den Schaden rechtlich relevant war. Außerdem können Fragen der Kausalität und möglicher Mitverantwortung eine Rolle spielen. Die Beurteilung setzt deshalb eine sorgfältige Prüfung des Sachverhalts voraus.

Wenn beispielsweise mehrere ungewöhnliche Transaktionen kurz nacheinander erfolgten, kann sich die Frage stellen, ob es konkrete Umstände gab, die nach den einschlägigen Anforderungen weitere Schutzmaßnahmen nahelegten. Allein der hohe Betrag oder ein unbekannter Empfänger beweist jedoch nicht, dass die Bank eine Zahlung hätte blockieren müssen. Auch die spätere Erkenntnis, dass es sich um Betrug handelte, begründet nicht automatisch eine Pflichtverletzung. Entscheidend ist, welche Umstände zum Zeitpunkt des Zahlungsvorgangs vorlagen, welche Pflichten galten und ob sich daraus im konkreten Fall eine rechtlich relevante Handlungspflicht ergab.

Ein weiterer Gesichtspunkt kann die Frage sein, ob die Bank nach einer Meldung des Kunden angemessen reagiert hat. Wenn der Kunde den Verdacht eines unbefugten Zugriffs mitteilt und anschließend weitere verdächtige Zahlungen auftreten, sollte die zeitliche Abfolge genau geprüft werden. Dabei ist zu unterscheiden, welche Maßnahmen das Kreditinstitut nach der Meldung tatsächlich ergreifen konnte und welche gesetzlichen oder vertraglichen Pflichten in dieser Situation bestanden. Aus dem bloßen Umstand, dass nach der Meldung weitere Buchungen erfolgt sind, lässt sich nicht automatisch eine Haftung ableiten. Die konkreten Umstände können aber für die rechtliche Prüfung relevant sein.

Die Ansprüche sollten daher nicht wahllos nebeneinandergestellt werden. Eine tragfähige rechtliche Argumentation unterscheidet zwischen dem Erstattungsanspruch wegen einer nicht autorisierten Zahlung, möglichen Ansprüchen wegen einer Pflichtverletzung und gegebenenfalls weiteren rechtlichen Folgen. Jede Grundlage hat eigene Voraussetzungen. Wenn die Voraussetzungen einer Regelung nicht erfüllt sind, folgt daraus nicht zwangsläufig, dass sämtliche anderen Ansprüche ausgeschlossen sind. Umgekehrt führt die bloße Nennung mehrerer Vorschriften nicht dazu, dass ein Anspruch begründet ist. Entscheidend bleibt, ob die jeweiligen Voraussetzungen durch den tatsächlichen Sachverhalt getragen werden. Wie wirkt sich eine Mitverantwortung des Kunden aus? Bei der Prüfung eines möglichen Anspruchs ist auch zu berücksichtigen, ob und in welchem Umfang das Verhalten des Kunden rechtlich relevant ist. Betroffene sollten dabei nicht jede eigene Handlung als Schuldeingeständnis behandeln. Die Eingabe von Zugangsdaten, eine Sicherheitsbestätigung oder das Vertrauen auf einen angeblichen Bankmitarbeiter kann Teil des tatsächlichen Ablaufs sein, ohne dass damit automatisch sämtliche Voraussetzungen einer Kundenhaftung erfüllt wären. Umgekehrt kann ein konkreter Verstoß gegen Sicherheitsanforderungen rechtlich relevant werden. Entscheidend ist, welche gesetzlichen Regelungen anwendbar sind und welche Tatsachen nachgewiesen werden können.

Wenn die Bank grobe Fahrlässigkeit geltend macht, sollte geprüft werden, auf welches Verhalten sie sich bezieht und ob ihre Einschätzung unter Berücksichtigung aller Umstände tragfähig ist. Ein Phishing-Angriff kann durch überzeugende Gestaltung, psychologischen Druck oder die gezielte Verwendung persönlicher Informationen erheblich erschwert erkennbar sein. Andererseits können eindeutige Warnungen oder eine bewusst bestätigte Zahlung mit klar erkennbaren Angaben für die Bewertung relevant sein. Eine rechtliche Prüfung muss deshalb den gesamten Ablauf berücksichtigen, statt einzelne Handlungen isoliert zu betrachten.

Auch bei mehreren Zahlungen kann eine differenzierte Betrachtung erforderlich sein. Vielleicht wurde eine erste Transaktion ohne Wissen des Kunden ausgelöst, während er später aufgrund einer Täuschung eine weitere Freigabe vornahm. Möglicherweise bemerkte er den Betrug zwischen zwei Buchungen und informierte die Bank erst danach. Solche Unterschiede können für die Bewertung einzelner Ansprüche bedeutsam sein. Es sollte deshalb vermieden werden, alle Vorgänge ohne weitere Prüfung als einheitlichen Sachverhalt mit identischer rechtlicher Bewertung zu behandeln.

Die Frage nach einer Mitverantwortung sollte außerdem nicht dazu führen, dass die Bank ihre eigenen gesetzlichen Pflichten aus dem Blick verliert. Auch wenn ein Kunde möglicherweise einen Fehler gemacht hat, muss geprüft werden, welche rechtlichen Folgen dieser Fehler tatsächlich hat. Eine pauschale Aussage, der Kunde habe seine Zugangsdaten verwendet und sei deshalb allein verantwortlich, ersetzt keine rechtliche Prüfung. Ebenso wenig reicht die Behauptung, die Bank hätte den Betrug verhindern müssen, um einen Anspruch sicher zu begründen. Beide Seiten und die jeweiligen gesetzlichen Voraussetzungen sind getrennt zu betrachten. Was ist bei mehreren betroffenen Konten oder Zahlungsarten zu beachten? Phishing-Angriffe können unterschiedliche Zahlungswege betreffen. Neben klassischen Überweisungen kommen je nach Sachverhalt auch Kartenumsätze, Zahlungen über digitale Zahlungsdienste oder andere Verfügungen in Betracht. Die jeweiligen rechtlichen Regeln können voneinander abweichen. Deshalb sollte zuerst festgestellt werden, über welchen Zahlungsdienst die beanstandete Transaktion abgewickelt wurde und welche Vertragsbeziehung zugrunde liegt. Es wäre nicht sachgerecht, sämtliche Vorgänge ungeprüft nach denselben Voraussetzungen zu beurteilen.

Bei einer Überweisung sind insbesondere die Buchungsdaten und die Angaben zum Empfänger relevant. Bei einer Kartenzahlung können andere Informationen für die Rekonstruktion erforderlich sein, etwa die Art der Kartennutzung oder die vorhandenen Angaben zur Authentifizierung. Bei Zahlungen über einen externen Zahlungsdienstleister muss zusätzlich geklärt werden, welche Stelle den jeweiligen Zahlungsdienst erbracht hat und gegen wen ein möglicher Anspruch zu richten ist. Die bloße Tatsache, dass das Geld letztlich vom Bankkonto abgebucht wurde, beantwortet nicht in jedem Fall, welche rechtliche Beziehung für die konkrete Transaktion maßgeblich ist.

Wenn mehrere Konten betroffen sind, sollten die Vorgänge ebenfalls getrennt erfasst werden. Ein Täter kann zunächst Zugangsdaten für ein Konto erlangen und anschließend versuchen, weitere Konten oder Zahlungsdienste zu nutzen. Für jeden Vorgang sollten die betroffene Bank, das betreffende Konto, der Zahlungsweg und die jeweiligen Buchungen festgehalten werden. Die rechtliche Prüfung kann dann bestimmen, welche Ansprüche gegenüber welchem Beteiligten geltend gemacht werden können. Eine unübersichtliche Zusammenstellung sämtlicher Verluste erschwert dagegen die Zuordnung der jeweiligen Sachverhalte.

Bei grenzüberschreitenden Zahlungen können zusätzliche Fragen entstehen, etwa zur Rolle verschiedener Zahlungsdienstleister oder zu den Informationen über den Empfänger. Daraus folgt nicht automatisch, dass ein Anspruch ausgeschlossen oder die Erstattung unmöglich wäre. Es kann jedoch erforderlich sein, die beteiligten Stellen und den Zahlungsweg genauer zu identifizieren. Auch hier ist eine präzise Dokumentation der Transaktionen eine wichtige Grundlage. Wie sollten Betroffene die weitere Durchsetzung vorbereiten? Wenn die Bank an ihrer Ablehnung festhält, sollten Betroffene die vorhandenen Informationen in eine klare Fallübersicht überführen. Diese sollte den zeitlichen Ablauf des Phishing-Angriffs, die beanstandeten Transaktionen, die Kommunikation mit dem Kreditinstitut und die bisherige Begründung der Ablehnung enthalten. Sinnvoll ist außerdem eine kurze Übersicht darüber, welche Fragen noch offen sind. Dazu kann beispielsweise gehören, ob die Bank eine konkrete Zahlung als autorisiert betrachtet, welche technischen Nachweise sie anführt oder auf welche Handlung sie den Vorwurf grober Fahrlässigkeit stützt.

Anschließend kann geprüft werden, ob eine erneute begründete Aufforderung an die Bank sinnvoll ist oder ob andere Schritte zur Klärung der Auseinandersetzung in Betracht kommen. Welche Vorgehensweise angemessen ist, hängt vom Streitwert, der Beweislage, der bisherigen Kommunikation und den rechtlichen Erfolgsaussichten ab. Bei einer anwaltlichen Prüfung sollte nicht allein die Forderungshöhe im Mittelpunkt stehen. Ebenso wichtig sind die rechtliche Einordnung der Zahlungen, mögliche Einwendungen und die Frage, welche Nachweise zur weiteren Begründung benötigt werden.

Betroffene sollten außerdem die zeitlichen Anforderungen im Blick behalten. Für nicht autorisierte oder fehlerhaft ausgeführte Zahlungsvorgänge enthält § 676b BGB besondere Regelungen zur Anzeige. Daneben können weitere Fristen relevant sein, deren Anwendbarkeit im konkreten Fall geprüft werden muss. Eine bereits erfolgte Meldung bei der Bank sollte deshalb dokumentiert werden. Wer eine ausdrückliche Ablehnung erhalten hat, sollte nicht ohne Prüfung davon ausgehen, dass unbegrenzt Zeit für die weitere Durchsetzung besteht.

Eine anwaltliche Prüfung kann helfen, die Erfolgsaussichten realistisch einzuschätzen und zwischen rechtlich tragfähigen Argumenten und bloßen Vermutungen zu unterscheiden. Dabei sollten mögliche Risiken offen angesprochen werden. Nicht jede Ablehnung ist rechtswidrig, und nicht jeder Phishing-Schaden führt zu einer Erstattung durch die Bank. Umgekehrt sollte eine pauschale Ablehnung nicht als abschließende rechtliche Beurteilung behandelt werden, wenn wesentliche Fragen zur Autorisierung, zur Beweislage oder zur behaupteten Kundenhaftung ungeklärt sind.

Zusammenfassend kommt es bei der Durchsetzung eines Anspruchs nach Phishing darauf an, die richtige rechtliche Grundlage zu bestimmen und sie mit den konkreten Tatsachen zu verbinden. § 675u BGB kann bei nicht autorisierten Zahlungsvorgängen einen Erstattungsanspruch begründen. § 675w BGB ist für die Frage des Nachweises relevant. Weitere Ansprüche können abhängig vom Sachverhalt in Betracht kommen, setzen aber jeweils eine eigenständige Prüfung voraus. Wer eine Erstattung verlangt, sollte deshalb die einzelnen Buchungen genau benennen, die Kommunikation mit der Bank sichern und die Ablehnung anhand ihrer konkreten Begründung prüfen lassen. Eine sorgfältige Vorbereitung verbessert die Grundlage für eine sachgerechte rechtliche Bewertung, kann einen bestimmten Ausgang der Auseinandersetzung jedoch nicht garantieren.

Bank haftet bei Phishing – welche Beweise bei einem Streit mit der Bank wichtig sind

Lehnt eine Bank die Erstattung nach einem Phishing-Angriff ab, bedeutet das nicht automatisch, dass der Kunde den entstandenen finanziellen Schaden selbst tragen muss. Entscheidend ist, ob die Begründung des Instituts einer rechtlichen und tatsächlichen Prüfung standhält. Banken verweisen bei verdächtigen Überweisungen oder Kartenumsätzen häufig darauf, dass die Transaktion mit den richtigen Zugangsdaten, einer TAN oder einer Freigabe in der Banking-App ausgeführt worden sei. Daraus folgt jedoch nicht ohne Weiteres, dass der Kontoinhaber die Zahlung tatsächlich autorisiert hat oder wegen eines schwerwiegenden Fehlverhaltens für den Verlust verantwortlich ist. Betroffene sollten deshalb nicht allein auf die erste Antwort der Bank vertrauen, sondern prüfen lassen, welche Vorgänge tatsächlich stattgefunden haben und auf welche Nachweise das Institut seine Entscheidung stützt.

Ein wichtiger Ausgangspunkt ist die Unterscheidung zwischen einer nicht autorisierten Zahlung und einer Zahlung, die der Kunde aufgrund einer Täuschung selbst freigegeben hat. Bei einem klassischen Phishing-Angriff können Kriminelle Zugangsdaten abfangen, eine Sitzung übernehmen oder eine Zahlung auslösen, ohne dass der Kontoinhaber den konkreten Auftrag erteilen wollte. In anderen Fällen wird das Opfer durch eine gefälschte Nachricht, einen manipulierten Link oder einen vermeintlichen Anruf des Bankmitarbeiters dazu gebracht, eine Transaktion in der App zu bestätigen. Die rechtliche Bewertung kann in beiden Konstellationen unterschiedlich ausfallen. Entscheidend sind die konkreten Umstände und nicht allein der Umstand, dass ein technisches Authentifizierungsverfahren eingesetzt wurde.

Betroffene sollten daher zunächst feststellen, welchen Vorgang die Bank überhaupt als autorisiert behandelt. Geht es um eine Überweisung, eine Kartenzahlung, eine Belastung über einen Zahlungsdienstleister oder mehrere aufeinanderfolgende Transaktionen? Wurde die Zahlung vom eigenen Gerät ausgelöst, oder gibt es Hinweise auf einen Zugriff durch Dritte? Hat der Kunde lediglich eine Anmeldung bestätigt, eine vermeintliche Sicherheitsprüfung durchgeführt oder tatsächlich eine konkrete Zahlung freigegeben? Auch die Frage, welcher Betrag und welcher Empfänger in der Bestätigungsmaske angezeigt wurden, kann von Bedeutung sein. Eine pauschale Aussage, die Zahlung sei technisch ordnungsgemäß freigegeben worden, beantwortet diese Fragen nicht zwingend.

Die Bank sollte deshalb schriftlich aufgefordert werden, ihre Ablehnung nachvollziehbar zu erläutern. Dabei sollte der Kunde den konkreten Zahlungsvorgang bezeichnen und darlegen, weshalb er die Belastung bestreitet oder weshalb er die von der Bank angenommene Autorisierung nicht für zutreffend hält. Sinnvoll ist eine sachliche Darstellung des Ablaufs: Wann ging die verdächtige Nachricht ein? Über welchen Link wurde die vermeintliche Bankseite aufgerufen? Welche Angaben wurden gemacht? Wurde eine App installiert oder eine Fernwartungssoftware eingesetzt? Wann fiel die ungewöhnliche Kontobewegung auf? Welche Schritte wurden anschließend unternommen? Eine klare Chronologie erleichtert die Prüfung und verhindert, dass wesentliche Umstände in einer allgemeinen Schilderung untergehen.

Dabei sollten Betroffene keine Tatsachen behaupten, die sie nicht sicher wissen. Wer beispielsweise nicht feststellen kann, ob ein Dritter Zugang zum Onlinebanking hatte, sollte dies als ungeklärt bezeichnen und nicht ohne technische Grundlage eine bestimmte Angriffsmethode unterstellen. Ebenso sollte eine möglicherweise irrtümlich erteilte Freigabe nicht verschwiegen werden. Für die rechtliche Bewertung ist wichtig, was tatsächlich passiert ist. Unvollständige oder widersprüchliche Angaben können die spätere Prüfung erschweren, während eine präzise Darstellung der bekannten Tatsachen die Position des Kunden nachvollziehbarer macht.

Besondere Bedeutung kommt den Unterlagen zu, auf die sich die Bank bei ihrer Ablehnung stützt. Betroffene können konkret nachfragen, welche Tatsachen für die angenommene Autorisierung maßgeblich sein sollen, ob die Bank eine starke Kundenauthentifizierung dokumentiert hat und wie sie den behaupteten Ablauf technisch einordnet. Bei verdächtigen Transaktionen können unter anderem Zeitpunkte, Authentifizierungsdaten, Angaben zum verwendeten Gerät, Informationen über die Registrierung eines neuen Geräts oder Änderungen von Sicherheitsmerkmalen relevant sein. Welche Informationen im Einzelfall vorliegen und in welcher Form sie herausgegeben werden können, hängt vom Sachverhalt und den rechtlichen Rahmenbedingungen ab. Nicht jeder technische Datensatz ist für den Kunden unmittelbar zugänglich. Die Bank sollte ihre Entscheidung aber so begründen, dass die tatsächlichen und rechtlichen Erwägungen überprüfbar sind.

Eine wichtige Rolle spielt dabei § 675w BGB. Die Vorschrift betrifft den Nachweis der Authentifizierung und der ordnungsgemäßen Aufzeichnung und Verbuchung eines Zahlungsvorgangs sowie die Frage, ob technische Störungen oder andere Mängel vorlagen. Die bloße Verwendung eines Zahlungsinstruments oder die technische Erfassung eines Authentifizierungsvorgangs genügt nicht in jeder Hinsicht, um sämtliche Fragen zur Autorisierung und zur Verantwortlichkeit des Kunden zu beantworten. Welche Nachweise erforderlich sind, richtet sich nach den konkreten Umständen. Deshalb ist es sinnvoll, die Bank nicht nur um eine erneute Entscheidung zu bitten, sondern die konkrete Grundlage ihrer Bewertung zu hinterfragen.

Auch die Begründung einer behaupteten groben Fahrlässigkeit sollte nicht ungeprüft übernommen werden. Banken können einwenden, der Kunde habe eine TAN weitergegeben, einen Link geöffnet, Zugangsdaten eingegeben oder eine Sicherheitswarnung missachtet. Für die rechtliche Bewertung ist jedoch nicht allein entscheidend, ob ein Fehler passiert ist. Es kommt darauf an, welches Verhalten konkret vorgeworfen wird, welche Umstände dabei bestanden und ob die rechtlichen Voraussetzungen einer Haftung des Kunden tatsächlich erfüllt sind. Eine täuschend echt gestaltete Nachricht, eine gezielte Manipulation durch angebliche Bankmitarbeiter oder eine unübersichtliche Freigabesituation können für die Einordnung relevant sein. Sie führen allerdings nicht automatisch dazu, dass jede Zahlung erstattet werden muss. Erforderlich bleibt eine Prüfung des Einzelfalls.

Betroffene sollten außerdem unterscheiden, ob die Bank die Erstattung wegen einer angeblichen Autorisierung, wegen grober Fahrlässigkeit oder aus einem anderen Grund verweigert. Diese Einwände sind nicht identisch. Behauptet das Institut, der Kunde habe die Zahlung selbst freigegeben, steht zunächst die Frage im Raum, ob die konkrete Transaktion tatsächlich autorisiert wurde. Beruft sich die Bank dagegen auf ein Fehlverhalten des Kunden, muss geklärt werden, welche Pflichten verletzt worden sein sollen und welche rechtlichen Folgen daraus entstehen. Eine Ablehnung, die diese unterschiedlichen Gesichtspunkte vermischt, lässt sich häufig erst dann sinnvoll beurteilen, wenn die zugrunde liegenden Tatsachen und Argumente getrennt betrachtet werden.

Wenn die Bank nach einer erneuten Prüfung an ihrer Entscheidung festhält, kann eine unabhängige rechtliche Bewertung helfen. Ein auf Bank- und Zahlungsdiensterecht spezialisierter Rechtsanwalt kann untersuchen, ob die einschlägigen Vorschriften des Bürgerlichen Gesetzbuchs richtig angewendet wurden, ob die Begründung der Bank ausreicht und welche weiteren Ansprüche in Betracht kommen. Dabei sollte nicht nur die allgemeine Frage gestellt werden, ob eine Bank bei Phishing haftet. Entscheidend ist, welche konkrete Zahlung angegriffen wurde, wie sie technisch zustande kam, welche Kommunikation zwischen Kunde und Bank stattfand und welche Beweise verfügbar sind.

Für die Prüfung ist es hilfreich, den gesamten Vorgang geordnet zusammenzustellen. Dazu gehören Kontoauszüge, die Buchungsdetails der beanstandeten Zahlungen, die schriftliche Ablehnung der Bank, E-Mails und SMS, Screenshots der Phishing-Seite, Chatverläufe sowie Notizen zu Telefonaten. Falls der Kunde eine Freigabe in einer App vorgenommen hat, sollte möglichst genau dokumentiert werden, welche Informationen dabei angezeigt wurden und was ihm zuvor von den Tätern mitgeteilt worden war. Auch die zeitliche Abfolge nach dem Bekanntwerden des Vorfalls kann wichtig sein: Wann wurde die Bank informiert? Wann wurde der Zugang gesperrt? Wann wurden weitere unberechtigte Belastungen bemerkt? Eine vollständige Dokumentation kann verhindern, dass die Prüfung an vermeidbaren Informationslücken scheitert.

Wurden mehrere Zahlungen ausgeführt, sollte jede Transaktion einzeln betrachtet werden. Es kann sein, dass einzelne Belastungen auf unterschiedliche Weise zustande gekommen sind. Eine Zahlung wurde möglicherweise ohne Wissen des Kunden ausgelöst, während eine andere aufgrund einer Täuschung bestätigt wurde. Auch können sich die Beträge, Empfänger, Zeitpunkte und Authentifizierungsabläufe unterscheiden. Eine einheitliche Ablehnung für sämtliche Transaktionen muss deshalb nicht bedeuten, dass die rechtliche Beurteilung für jede Belastung gleich ausfallen muss. Eine tabellarische Übersicht mit Datum, Betrag, Empfänger, Zahlungsart und den bekannten Umständen kann dabei helfen, die einzelnen Vorgänge sauber voneinander zu trennen.

Neben der rechtlichen Prüfung sollten Betroffene die Sicherung des Kontos nicht aus den Augen verlieren. Besteht der Verdacht, dass Zugangsdaten kompromittiert wurden, müssen betroffene Zugangsdaten geändert und gegebenenfalls weitere Sicherheitsmaßnahmen mit der Bank abgestimmt werden. Verdächtige Geräte, neu eingerichtete Freigabeverfahren oder unbekannte Anwendungen sollten geprüft werden. Wurde Fernzugriff auf den Computer oder das Smartphone ermöglicht, kann es erforderlich sein, das betroffene Gerät technisch untersuchen zu lassen. Ziel ist, weitere Belastungen zu verhindern und die ursprüngliche Angriffssituation so gut wie möglich zu dokumentieren. Sicherheitsmaßnahmen und Erstattungsansprüche sind dabei getrennte Aufgaben: Die Sicherung des Kontos ersetzt nicht die rechtliche Klärung des bereits entstandenen Schadens.

Auch Fristen verdienen Aufmerksamkeit. Nach § 676b BGB müssen bestimmte nicht autorisierte oder fehlerhaft ausgeführte Zahlungsvorgänge grundsätzlich unverzüglich nach ihrer Feststellung angezeigt werden; daneben gelten gesetzliche zeitliche Grenzen. Welche Frist im konkreten Fall maßgeblich ist, hängt unter anderem von der Art des Zahlungsvorgangs und den Umständen der Kenntnisnahme ab. Wer die Bank bereits informiert hat, sollte den Zeitpunkt dieser Mitteilung und deren Inhalt nachweisen können. Eine spätere Ablehnung des Instituts bedeutet nicht automatisch, dass sämtliche rechtlichen Möglichkeiten ausgeschöpft sind. Umgekehrt sollte aber auch nicht angenommen werden, dass eine rechtliche Prüfung unabhängig vom Zeitablauf stets uneingeschränkt möglich bleibt.

Wenn eine außergerichtliche Klärung nicht gelingt, kann im nächsten Schritt geprüft werden, ob ein geeignetes Beschwerde- oder Streitbeilegungsverfahren zur Verfügung steht oder ob eine gerichtliche Durchsetzung des Anspruchs in Betracht kommt. Welche Möglichkeit sinnvoll ist, hängt von der Bank, dem konkreten Streitgegenstand, der Höhe des Schadens und der vorhandenen Beweislage ab. Ein außergerichtliches Verfahren kann unter Umständen eine zusätzliche Prüfung ermöglichen, führt aber nicht zwingend zu einer verbindlichen oder für den Kunden günstigen Entscheidung. Auch eine Klage ist keine Garantie für eine Erstattung. Vor einer solchen Entscheidung sollten die Erfolgsaussichten, die Kosten, mögliche Beweisprobleme und das wirtschaftliche Risiko gegeneinander abgewogen werden.

Eine rechtliche Auseinandersetzung sollte insbesondere nicht allein auf die Hoffnung gestützt werden, dass die Bank schon wegen des Phishing-Angriffs zahlen müsse. Es braucht eine konkrete Anspruchsgrundlage und eine nachvollziehbare Begründung dafür, weshalb die Bank die Belastung nicht endgültig dem Kunden zurechnen darf. Je präziser der tatsächliche Ablauf dokumentiert ist, desto besser lassen sich die Argumente beider Seiten prüfen. Umgekehrt kann eine fehlende Dokumentation dazu führen, dass entscheidende Fragen – etwa der genaue Inhalt einer Freigabe oder der Zeitpunkt eines unberechtigten Zugriffs – offenbleiben.

Wer nach einem Phishing-Angriff eine Ablehnung erhält, sollte deshalb weder vorschnell aufgeben noch ungeprüft weitere Kosten verursachen. Insbesondere sollten Betroffene vorsichtig sein, wenn Dritte versprechen, das verlorene Geld gegen eine Vorauszahlung sicher zurückzuholen. Eine solche Zusage ist kein Nachweis tatsächlicher Rückzahlungsmöglichkeiten. Zunächst sollte geklärt werden, welche Ansprüche gegenüber der Bank bestehen, welche Belege dafür vorliegen und ob weitere rechtlich relevante Beteiligte in Betracht kommen. Hinweise zum Vorgehen bei digitalen Täuschungen bietet auch die Übersicht zu Phishing und möglichen rechtlichen Schritten.

Die zentrale Frage lautet somit nicht nur, ob die Bank eine Erstattung abgelehnt hat, sondern ob sie diese Ablehnung rechtlich und anhand der tatsächlichen Umstände begründen kann. Betroffene sollten die konkrete Zahlungsart, den behaupteten Authentifizierungsvorgang, den Vorwurf eines eigenen Fehlverhaltens und die vorhandenen technischen Nachweise getrennt prüfen lassen. Erst daraus ergibt sich, ob ein weiterer Anspruch verfolgt werden kann und welcher Weg angesichts der Beweislage und des möglichen Kostenrisikos sinnvoll erscheint.

Bank haftet bei Phishing – welche Ansprüche gegen die Bank rechtlich geprüft werden können

Ob eine Bank nach einem Phishing-Angriff für den entstandenen Schaden einstehen muss, hängt von der Art des Zahlungsvorgangs, der Autorisierung und den konkreten Umständen des Angriffs ab. Betroffene sollten deshalb nicht nur allgemein prüfen lassen, ob die Bank für den Verlust verantwortlich sein könnte. Entscheidend ist vielmehr, welcher Anspruch auf welcher rechtlichen Grundlage geltend gemacht werden kann und welche Tatsachen diesen Anspruch stützen. Neben dem gesetzlichen Erstattungsanspruch bei nicht autorisierten Zahlungsvorgängen können je nach Sachverhalt weitere Ansprüche in Betracht kommen. Diese ergeben sich allerdings nicht automatisch daraus, dass Kriminelle das Konto angegriffen oder Sicherheitsmechanismen umgangen haben.

Eine zentrale Vorschrift ist § 675u BGB. Sie regelt die Folgen nicht autorisierter Zahlungsvorgänge und verpflichtet den Zahlungsdienstleister grundsätzlich dazu, den entsprechenden Zahlungsbetrag zu erstatten und das Zahlungskonto wieder auf den Stand zu bringen, auf dem es sich ohne die Belastung befunden hätte. Ob diese Voraussetzungen erfüllt sind, muss anhand des konkreten Vorgangs geprüft werden. Wurde eine Überweisung ohne Wissen und Zustimmung des Kontoinhabers ausgelöst, kann ein Erstattungsanspruch bestehen. Anders kann die rechtliche Bewertung ausfallen, wenn der Kunde die konkrete Zahlung selbst freigegeben hat, weil er aufgrund einer Täuschung davon ausging, eine andere Handlung vorzunehmen. Eine irrtümliche Freigabe und eine vollständig ohne Mitwirkung des Kunden ausgelöste Zahlung sind rechtlich nicht ohne Weiteres gleichzusetzen.

Für die Anspruchsprüfung kommt es daher auf den tatsächlichen Inhalt der Autorisierung an. Wer beispielsweise glaubt, lediglich eine Anmeldung im Onlinebanking zu bestätigen, während im Hintergrund eine Überweisung vorbereitet wird, hat möglicherweise nicht denjenigen Zahlungsvorgang autorisiert, den die Bank später als freigegeben behandelt. Ob in einer solchen Konstellation tatsächlich eine wirksame Autorisierung vorliegt, hängt von den konkreten Umständen ab. Zu berücksichtigen sind insbesondere die angezeigten Informationen, die Kommunikation mit den Tätern, der technische Ablauf und die Frage, welche Erklärung der Kunde durch seine Handlung abgegeben hat. Die bloße Tatsache, dass eine TAN eingegeben oder eine Freigabe in einer Banking-App vorgenommen wurde, beantwortet diese rechtliche Frage nicht in jedem Fall abschließend.

Wurde dagegen eine Zahlung tatsächlich vom Kunden autorisiert, obwohl er durch eine gefälschte Nachricht, einen vermeintlichen Bankmitarbeiter oder eine manipulierte Internetseite dazu verleitet wurde, lässt sich der Erstattungsanspruch nicht ohne Weiteres allein auf die fehlende Autorisierung stützen. Hier muss genauer untersucht werden, welche Zahlung der Kunde bestätigen wollte, welche Informationen ihm vorlagen und ob weitere Anspruchsgrundlagen in Betracht kommen. Die Täuschung durch einen Dritten ist für die Bewertung wichtig, führt aber nicht automatisch dazu, dass die Bank den gesamten Betrag erstatten muss. Auch in dieser Situation ist eine individuelle Prüfung erforderlich.

Eine weitere wichtige Vorschrift ist § 675w BGB. Sie betrifft den Nachweis der Authentifizierung und der ordnungsgemäßen Aufzeichnung und Verbuchung des Zahlungsvorgangs sowie die Frage, ob eine technische Störung oder ein anderer Mangel vorlag. Im Streitfall kann deshalb von Bedeutung sein, welche technischen Informationen die Bank zur konkreten Zahlung dokumentiert hat und welche Schlüsse sich daraus ziehen lassen. Dabei ist zwischen dem technischen Nachweis eines Authentifizierungsvorgangs und dem Nachweis zu unterscheiden, dass der Kontoinhaber die Zahlung tatsächlich autorisiert hat. Auch die Frage, ob der Kunde vorsätzlich oder grob fahrlässig gehandelt hat, ist gesondert zu betrachten. Die rechtlichen Anforderungen dürfen nicht allein dadurch ersetzt werden, dass die Bank auf eine erfolgreiche Anmeldung, eine korrekte TAN oder eine Bestätigung über die App verweist.

Betroffene sollten bei der Anspruchsprüfung außerdem berücksichtigen, dass die gesetzliche Erstattungspflicht nicht unabhängig von sämtlichen weiteren Umständen beurteilt werden kann. Das Zahlungsdiensterecht enthält Regelungen zu den Pflichten des Kunden, zur Autorisierung und zu den Voraussetzungen, unter denen eine Belastung dem Kunden zugerechnet werden kann. Insbesondere kann ein behaupteter Verstoß gegen die Pflichten zum sorgfältigen Umgang mit personalisierten Sicherheitsmerkmalen eine Rolle spielen. Daraus folgt jedoch nicht, dass jeder Fehler des Kunden automatisch eine vollständige Haftung begründet. Es muss geprüft werden, welches Verhalten konkret vorliegt und welche rechtlichen Voraussetzungen erfüllt sein müssen.

Die Bank kann sich insbesondere auf ein vorsätzliches oder grob fahrlässiges Verhalten des Kunden berufen. Eine solche Einwendung sollte anhand der konkreten Vorwürfe bewertet werden. Hat der Kunde Zugangsdaten auf einer täuschend echt gestalteten Internetseite eingegeben? Hat er eine TAN an einen vermeintlichen Mitarbeiter weitergegeben? Hat er eine Freigabe bestätigt, obwohl der angezeigte Betrag oder Empfänger deutlich von dem abwich, was er nach eigener Darstellung ausführen wollte? Wurde eine Sicherheitswarnung angezeigt und gegebenenfalls ignoriert? Diese Fragen können relevant sein, müssen aber im Zusammenhang mit dem gesamten Ablauf beantwortet werden. Eine pauschale Behauptung grober Fahrlässigkeit genügt nicht als Ersatz für die Prüfung des konkreten Sachverhalts.

Neben dem Erstattungsanspruch können unter bestimmten Voraussetzungen Schadensersatzansprüche zu prüfen sein. Hierfür muss jedoch eine eigenständige rechtliche Grundlage bestehen. Es reicht nicht aus, dass ein finanzieller Schaden eingetreten ist oder dass der Kunde das Sicherheitsniveau seiner Bank für unzureichend hält. Erforderlich ist vielmehr eine Prüfung, ob eine rechtlich relevante Pflichtverletzung vorliegt, ob diese der Bank zugerechnet werden kann und ob zwischen dem beanstandeten Verhalten und dem Schaden ein rechtlich erheblicher Zusammenhang besteht. Je nach Sachverhalt können vertragliche Pflichten aus dem Zahlungsdiensteverhältnis oder andere Anspruchsgrundlagen Bedeutung gewinnen. Welche Vorschriften einschlägig sind, lässt sich nicht losgelöst von der Art des Angriffs und dem konkreten Verhalten der Beteiligten beurteilen.

Ein möglicher Ansatzpunkt kann sein, ob die Bank ihre vertraglichen und gesetzlichen Pflichten bei der Durchführung des Zahlungsvorgangs eingehalten hat. Dabei ist zu beachten, dass Banken nicht verpflichtet sind, jeden denkbaren Betrugsversuch zuverlässig zu erkennen oder sämtliche technisch möglichen Angriffe auszuschließen. Auch führt eine ungewöhnliche Transaktion nicht automatisch zu einer Pflichtverletzung. Entscheidend ist, welche Pflichten im konkreten Vertrags- und Zahlungskontext bestanden, welche Informationen der Bank vorlagen und ob ein bestimmtes Verhalten von ihr rechtlich verlangt werden konnte. Eine ungewöhnliche Höhe, ein atypisches Transaktionsmuster oder eine auffällige Abfolge von Zahlungen können bei der Sachverhaltsprüfung eine Rolle spielen. Sie begründen für sich genommen jedoch noch keinen sicheren Nachweis dafür, dass die Bank rechtswidrig gehandelt hat.

Besondere Aufmerksamkeit verdient die Frage, ob die Bank bei einer Zahlung konkrete Auffälligkeiten erkennen konnte und welche Reaktion ihr unter den gegebenen Umständen rechtlich zumutbar war. Betroffene berichten mitunter, dass innerhalb kurzer Zeit hohe Beträge überwiesen wurden, zuvor unbekannte Empfänger auftauchten oder mehrere ungewöhnliche Buchungen unmittelbar aufeinanderfolgten. Solche Umstände können Anlass sein, den Ablauf genauer zu untersuchen. Für einen tragfähigen Anspruch muss aber geklärt werden, ob die Auffälligkeiten für das Institut erkennbar waren, welche internen oder vertraglichen Anforderungen galten und ob sich daraus im konkreten Fall eine Pflicht zur weiteren Prüfung oder eine andere Handlungspflicht ergab. Eine allgemeine Behauptung, die Bank hätte den Betrug verhindern müssen, reicht dafür regelmäßig nicht aus.

Auch die Kontovereinbarungen können bei der rechtlichen Bewertung eine Rolle spielen. Maßgeblich sind die für den Kunden geltenden Vertragsbedingungen, die vereinbarten Authentifizierungsverfahren und die Regelungen zum Umgang mit Sicherheitsmerkmalen. Allerdings können vertragliche Bedingungen zwingende gesetzliche Vorgaben nicht beliebig außer Kraft setzen. Deshalb sollte geprüft werden, ob die Bank ihre Entscheidung auf eine wirksame Vertragsbestimmung stützt und ob diese Bestimmung im konkreten Zusammenhang tatsächlich einschlägig ist. Ein pauschaler Verweis auf die Allgemeinen Geschäftsbedingungen beantwortet nicht zwangsläufig sämtliche Fragen zur Autorisierung, zur Erstattung oder zu einer möglichen Haftung.

Bei einem Phishing-Angriff über eine gefälschte Banking-Seite muss darüber hinaus zwischen der Täuschung durch die Täter und einem möglichen Fehlverhalten der Bank unterschieden werden. Die unmittelbare Ursache des Schadens kann in der Manipulation durch Kriminelle liegen, ohne dass daraus automatisch eine Pflichtverletzung des Zahlungsdienstleisters folgt. Umgekehrt schließt das Verhalten der Täter nicht grundsätzlich aus, dass auch die Bank rechtlich relevante Pflichten verletzt haben könnte. Es kommt auf den konkreten Zusammenhang an. Wurde eine Zahlung ohne Autorisierung ausgeführt, ist zunächst der dafür vorgesehene gesetzliche Erstattungsanspruch zu prüfen. Bestehen darüber hinaus Anhaltspunkte für eine eigenständige Pflichtverletzung, kann zusätzlich untersucht werden, ob ein Schadensersatzanspruch begründet werden kann.

Bei mehreren Belastungen kann die rechtliche Bewertung für einzelne Zahlungen unterschiedlich ausfallen. Denkbar ist etwa, dass eine Transaktion ohne Mitwirkung des Kontoinhabers ausgelöst wurde, während eine spätere Zahlung durch eine täuschungsbedingte Bestätigung zustande kam. Ebenso können unterschiedliche Empfänger, Beträge und Authentifizierungsabläufe vorliegen. Die Anspruchsprüfung sollte deshalb nicht zwangsläufig den gesamten Schaden als einheitlichen Vorgang behandeln. Für jede Zahlung sind die Autorisierung, die verfügbaren Nachweise, die zeitliche Abfolge und mögliche Einwendungen der Bank zu untersuchen. Das kann insbesondere dann wichtig sein, wenn das Institut mehrere Transaktionen mit einer einzigen pauschalen Begründung ablehnt.

Neben den Ansprüchen gegen die Bank kann sich die Frage stellen, ob weitere Personen oder Unternehmen rechtlich verantwortlich sind. Je nach Sachverhalt können beispielsweise Zahlungsempfänger, beteiligte Unternehmen oder andere Personen, die an der Täuschung mitgewirkt haben, als mögliche Anspruchsgegner in Betracht kommen. Hierfür müssen ihre Beteiligung, die einschlägige Anspruchsgrundlage und die tatsächlichen Voraussetzungen gesondert festgestellt werden. Nicht jede Person, auf deren Konto ein Geldbetrag eingegangen ist, ist zwangsläufig selbst Täter oder haftet in gleicher Weise. Ebenso lässt sich aus der bloßen Beteiligung eines Zahlungsdienstleisters an der technischen Abwicklung nicht automatisch eine Ersatzpflicht ableiten.

Bei grenzüberschreitenden Zahlungen können zusätzliche Fragen auftreten. Der Empfänger kann sich im Ausland befinden, das Konto kann bei einem ausländischen Institut geführt werden oder an der Abwicklung können verschiedene Zahlungsdienstleister beteiligt sein. In solchen Fällen muss untersucht werden, welche Rechtsordnung anwendbar ist, welche Stelle für welchen Vorgang verantwortlich war und ob Ansprüche tatsächlich durchgesetzt werden können. Auch die Ermittlung des Zahlungsempfängers und die Verfügbarkeit aussagekräftiger Unterlagen können schwieriger sein. Eine grenzüberschreitende Konstellation schließt Ansprüche nicht grundsätzlich aus, kann die Prüfung und Durchsetzung aber erheblich beeinflussen.

Eine eigene Bewertung erfordert auch die Frage, welche weiteren Schäden geltend gemacht werden können. Neben dem unmittelbar vom Konto abgebuchten Betrag können Betroffene beispielsweise mit zusätzlichen Kosten konfrontiert sein. Ob solche Positionen ersetzt verlangt werden können, hängt von ihrer rechtlichen Einordnung, dem ursächlichen Zusammenhang und den jeweiligen Anspruchsvoraussetzungen ab. Nicht jede finanzielle Folge eines Phishing-Angriffs ist automatisch von einem Erstattungsanspruch nach § 675u BGB umfasst. Deshalb sollten mögliche Schadenspositionen getrennt erfasst und rechtlich eingeordnet werden, statt sämtliche Verluste ohne Differenzierung in eine einzige Forderung aufzunehmen.

Für die Anspruchsprüfung sind Nachweise von erheblicher Bedeutung. Kontoauszüge und Buchungsdetails belegen die Belastungen, während Nachrichten, E-Mails, Screenshots und Gesprächsnotizen den Ablauf der Täuschung dokumentieren können. Auch die Korrespondenz mit der Bank ist wichtig, insbesondere wenn das Institut bestimmte Tatsachen behauptet oder seine Ablehnung auf konkrete technische Vorgänge stützt. Betroffene sollten diese Unterlagen unverändert aufbewahren und nachvollziehbar ordnen. Ergänzend kann eine Chronologie helfen, die einzelnen Ereignisse zeitlich einzuordnen. Welche Belege im jeweiligen Fall besonders wichtig sind, richtet sich danach, ob die Autorisierung bestritten, ein Fehlverhalten der Bank geltend gemacht oder ein bestimmter Kundenvorwurf entkräftet werden soll.

Ebenso wichtig ist es, Fristen nicht aus dem Blick zu verlieren. Für die Anzeige nicht autorisierter oder fehlerhaft ausgeführter Zahlungsvorgänge sieht § 676b BGB gesetzliche zeitliche Anforderungen vor. Daneben können für andere Ansprüche eigenständige Fristen gelten. Welche Frist maßgeblich ist und wann sie beginnt, muss anhand der konkreten Umstände geprüft werden. Betroffene sollten deshalb dokumentieren, wann sie die Belastung bemerkt und wann sie die Bank informiert haben. Eine rechtliche Prüfung sollte nicht unnötig aufgeschoben werden, insbesondere wenn die Bank ihre Erstattung bereits abgelehnt hat oder der Sachverhalt mehrere Zahlungsvorgänge umfasst.

Die Erfolgsaussichten eines Anspruchs lassen sich nicht allein anhand des Schadensbetrags oder der Tatsache beurteilen, dass Phishing stattgefunden hat. Entscheidend sind die rechtliche Einordnung der Zahlungen, die Beweislage und die Frage, ob die Voraussetzungen der jeweils in Betracht kommenden Anspruchsgrundlage erfüllt sind. Ein gesetzlicher Erstattungsanspruch kann anders zu beurteilen sein als ein zusätzlicher Schadensersatzanspruch wegen einer behaupteten Pflichtverletzung. Ebenso sind mögliche Einwendungen der Bank und die wirtschaftliche Durchsetzbarkeit zu berücksichtigen. Eine seriöse rechtliche Einschätzung muss deshalb auch offene Fragen und Risiken benennen, statt eine Rückzahlung als sicher darzustellen.

Für Betroffene ist es daher sinnvoll, die möglichen Ansprüche systematisch prüfen zu lassen. Im Mittelpunkt stehen zunächst die Autorisierung der einzelnen Zahlungen und die gesetzlichen Erstattungsregeln. Anschließend kann untersucht werden, ob die Bank konkrete Einwendungen nachvollziehbar begründet und ob darüber hinaus Anhaltspunkte für eine eigenständige Pflichtverletzung bestehen. Weitere Anspruchsgegner und zusätzliche Schadenspositionen sollten nur dann einbezogen werden, wenn dafür tatsächliche Anhaltspunkte vorliegen. Auf diese Weise lässt sich besser unterscheiden, welche Forderungen rechtlich tragfähig erscheinen, welche Nachweise noch fehlen und welche weiteren Schritte angesichts des Kostenrisikos und der Erfolgsaussichten vertretbar sind.

Bank haftet bei Phishing – wie ein Anwalt die Erstattung des Schadens prüfen und durchsetzen kann

Wer nach einem Phishing-Angriff Geld verloren hat und von seiner Bank keine Erstattung erhält, sollte die weitere Vorgehensweise an den konkreten Umständen ausrichten. Entscheidend ist nicht allein, dass eine betrügerische Handlung stattgefunden hat, sondern ob sich daraus ein Anspruch gegen das kontoführende Institut ergibt und wie dieser Anspruch nachgewiesen werden kann. Eine sorgfältige Aufarbeitung des Geschehens hilft dabei, die rechtlich relevanten Fragen von bloßen Vermutungen zu trennen, Widersprüche zu vermeiden und die eigene Position gegenüber der Bank nachvollziehbar darzustellen. Sie kann außerdem verhindern, dass wichtige Informationen verloren gehen, bevor die rechtliche Bewertung abgeschlossen ist.

Am Anfang steht eine möglichst genaue Rekonstruktion des Zahlungsvorgangs. Betroffene sollten festhalten, wann die erste verdächtige Nachricht einging, über welchen Kommunikationsweg der Kontakt zustande kam und welche Handlungen anschließend vorgenommen wurden. Dabei kann es sich um das Öffnen eines Links, die Eingabe von Zugangsdaten, die Installation einer Anwendung oder die Bestätigung einer Transaktion handeln. Ebenso wichtig ist der Zeitpunkt, zu dem die erste unberechtigte Kontobewegung bemerkt wurde. Eine zeitliche Übersicht sollte die einzelnen Ereignisse in der tatsächlichen Reihenfolge aufführen und deutlich machen, welche Angaben sicher bekannt sind und welche Abläufe noch ungeklärt bleiben.

Diese Rekonstruktion ist besonders wichtig, wenn mehrere Zahlungen betroffen sind. Bei einem Angriff können innerhalb kurzer Zeit mehrere Überweisungen ausgelöst oder unterschiedliche Zahlungswege genutzt werden. Es ist deshalb sinnvoll, jede Belastung einzeln zu erfassen und den jeweils bekannten Umständen zuzuordnen. Dazu gehören das Buchungsdatum, der Betrag, der Empfänger, die Zahlungsart und die Frage, ob der Kontoinhaber eine Handlung zur Freigabe vorgenommen hat. Falls mehrere Zahlungen mit unterschiedlichen TANs oder App-Bestätigungen verbunden waren, sollten auch diese Vorgänge getrennt dokumentiert werden. Auf diese Weise lässt sich vermeiden, dass die Bank einen komplexen Sachverhalt pauschal beurteilt, obwohl einzelne Transaktionen rechtlich unterschiedlich einzuordnen sein könnten.

Besonders hilfreich sind vollständige Kontoauszüge und detaillierte Buchungsinformationen. Eine Übersicht im Onlinebanking kann zwar den abgebuchten Betrag und den Empfänger zeigen, enthält aber möglicherweise nicht sämtliche Angaben, die für eine spätere Prüfung relevant sind. Betroffene sollten daher die verfügbaren Buchungsdetails sichern und bei Unklarheiten nachfragen, welche weiteren Informationen zum Zahlungsvorgang vorliegen. Wichtig ist auch, den ursprünglichen Zustand der Unterlagen zu erhalten. Dokumente sollten nicht nachträglich verändert oder so zugeschnitten werden, dass der Zusammenhang verloren geht. Wenn Screenshots angefertigt werden, ist es sinnvoll, neben einzelnen Ausschnitten möglichst auch den Kontext zu sichern, aus dem die Nachricht oder die angezeigte Information hervorgeht.

Bei Phishing-Nachrichten sollten E-Mails, SMS und Chatverläufe möglichst vollständig erhalten bleiben. Dazu gehören Absenderangaben, Zeitstempel, Telefonnummern, E-Mail-Adressen, Links und die gesamte Kommunikation mit den vermeintlichen Bankmitarbeitern. Eine einzelne Nachricht kann wichtige Informationen enthalten, doch häufig ergibt sich der tatsächliche Ablauf erst aus mehreren aufeinanderfolgenden Mitteilungen. Betroffene sollten daher nicht nur den Link oder den Text sichern, sondern auch dokumentieren, welche Anweisungen sie erhalten haben und wie die Täter den Vorgang dargestellt haben. Falls der Kontakt telefonisch erfolgte, kann eine zeitnahe Gedächtnisnotiz mit Datum, Uhrzeit, angezeigter Rufnummer und Inhalt des Gesprächs hilfreich sein.

Die Sicherung digitaler Belege sollte möglichst zeitnah erfolgen, weil Webseiten verschwinden, Nachrichten gelöscht werden oder Zugänge nicht mehr verfügbar sein können. Wurde eine gefälschte Internetseite aufgerufen, kann ein Screenshot der sichtbaren Inhalte hilfreich sein. Auch die Domain, die verwendete Internetadresse und der Zeitpunkt des Aufrufs können relevant sein. Betroffene sollten allerdings keine unsicheren Seiten erneut öffnen, nur um weitere Beweise zu sammeln. Es geht darum, vorhandene Informationen zuverlässig zu sichern, nicht darum, sich erneut einer möglichen Manipulation auszusetzen. Bei Verdacht auf eine technische Kompromittierung kann es sinnvoll sein, fachkundige Unterstützung zur Sicherung und Auswertung digitaler Spuren einzubeziehen.

Von besonderer Bedeutung ist die Kommunikation mit der Bank. Sämtliche Mitteilungen zur beanstandeten Zahlung sollten geordnet aufbewahrt werden. Dazu gehören die erste Meldung des Vorfalls, spätere Ergänzungen, Eingangsbestätigungen und die Entscheidung über die Erstattung. Hat die Bank telefonisch Auskunft gegeben, sollten Betroffene möglichst zeitnah notieren, mit welcher Stelle sie gesprochen haben, welche Informationen mitgeteilt wurden und welche weiteren Schritte angekündigt worden sind. Mündliche Aussagen können später schwer nachzuvollziehen sein, wenn keine Aufzeichnungen oder Bestätigungen vorliegen. Bei wichtigen Punkten ist deshalb eine schriftliche Kommunikation regelmäßig hilfreich.

Die erste Meldung an die Bank sollte den Sachverhalt möglichst klar beschreiben. Betroffene sollten die betroffenen Buchungen benennen und erklären, ob sie die Zahlung als nicht autorisiert bestreiten oder ob die Freigabe unter anderen Umständen zustande gekommen ist. Diese Unterscheidung ist wichtig, weil die rechtliche Beurteilung davon abhängt, ob die konkrete Transaktion tatsächlich autorisiert wurde. Wer lediglich erklärt, Opfer eines Phishing-Angriffs geworden zu sein, lässt unter Umständen offen, welche Zahlung genau beanstandet wird und worin der rechtliche Einwand besteht. Eine präzise Darstellung schafft eine bessere Grundlage für die weitere Prüfung.

Wenn die Bank eine Erstattung ablehnt, sollten Betroffene die Begründung nicht nur auf ihre Schlussfolgerung hin überprüfen, sondern auch auf die zugrunde liegenden Tatsachen. Behauptet das Institut, eine Transaktion sei durch eine korrekte Authentifizierung bestätigt worden, ist zu klären, welche Bedeutung dieser technische Vorgang für die Autorisierung der konkreten Zahlung hat. Beruft sich die Bank auf grobe Fahrlässigkeit, sollte nachvollziehbar sein, welches Verhalten sie dem Kunden vorwirft und weshalb sie dieses als rechtlich erheblich einstuft. Wird eine angeblich ordnungsgemäße Durchführung angeführt, kann geprüft werden, ob die vorhandenen Informationen tatsächlich alle relevanten Fragen beantworten. Eine sachliche Auseinandersetzung mit den einzelnen Argumenten ist regelmäßig aussagekräftiger als ein allgemeiner Widerspruch gegen die Entscheidung.

Für die rechtliche Bewertung ist insbesondere die Unterscheidung zwischen der technischen Authentifizierung und der Autorisierung wichtig. Eine Authentifizierung kann zeigen, dass ein bestimmtes Verfahren erfolgreich durchlaufen wurde. Sie beweist jedoch nicht in jeder Konstellation abschließend, dass der Kontoinhaber die konkrete Zahlung wollte und wirksam freigegeben hat. Maßgeblich ist, was tatsächlich bestätigt wurde und welche Umstände dem Vorgang vorausgingen. Wurde beispielsweise eine vermeintliche Sicherheitsprüfung dargestellt, während tatsächlich eine Überweisung freigegeben wurde, muss der Ablauf genauer untersucht werden. Betroffene sollten deshalb beschreiben, welche Informationen sie auf dem Bildschirm wahrgenommen haben und welche Handlung sie nach ihrer Vorstellung vorgenommen haben.

Gleichzeitig sollten Betroffene realistisch mit der eigenen Rolle umgehen. Wurden Zugangsdaten eingegeben oder eine Freigabe bestätigt, sollte dieser Umstand nicht verschwiegen werden. Entscheidend ist, den Vorgang im richtigen Zusammenhang zu schildern. Eine Eingabe kann durch eine Täuschung veranlasst worden sein, ohne dass daraus automatisch sämtliche rechtlichen Folgen feststehen. Ebenso bedeutet die Beteiligung des Kunden nicht zwangsläufig, dass die Bank von jeder Erstattungspflicht befreit ist. Die rechtliche Einordnung hängt von den konkreten Handlungen, den angezeigten Informationen, den Pflichten der Beteiligten und den gesetzlichen Regelungen ab.

Ein häufiger Fehler besteht darin, sich ausschließlich auf die Behauptung zu konzentrieren, die Bank hätte den Betrug erkennen müssen. Auffällige Buchungen können für die Prüfung relevant sein, doch eine Pflichtverletzung ergibt sich nicht allein daraus, dass ein ungewöhnlicher Betrag überwiesen wurde oder ein Empfänger bislang unbekannt war. Betroffene sollten möglichst konkret benennen, welche Besonderheiten im Zahlungsvorgang bestanden und welche Informationen für die Bank erkennbar gewesen sein könnten. Dazu können mehrere aufeinanderfolgende Transaktionen, erhebliche Abweichungen vom üblichen Zahlungsverhalten oder ungewöhnliche Änderungen bei den Sicherheitsverfahren gehören. Ob diese Umstände rechtlich eine bestimmte Handlungspflicht begründeten, muss anschließend gesondert geprüft werden.

Für eine fundierte Bewertung können auch Informationen zum technischen Ablauf von Bedeutung sein. Dazu zählen beispielsweise der Zeitpunkt der Anmeldung, die verwendete Authentifizierungsmethode, Änderungen bei registrierten Geräten oder die Abfolge mehrerer Freigaben. Welche Daten vorhanden sind und in welchem Umfang sie angefordert oder rechtlich verwendet werden können, hängt vom Einzelfall ab. Betroffene sollten deshalb nicht davon ausgehen, dass sie sämtliche technischen Informationen selbst beschaffen müssen. Sie können aber gezielt auf die offenen Fragen hinweisen und verlangen, dass die Bank ihre Entscheidung nachvollziehbar begründet. Eine anwaltliche Prüfung kann dabei helfen, zwischen tatsächlich relevanten Nachweisen und technischen Angaben zu unterscheiden, deren Aussagekraft begrenzt ist.

Auch die gesetzliche Erstattungspflicht sollte nicht mit möglichen zusätzlichen Schadensersatzansprüchen vermischt werden. Bei einer nicht autorisierten Zahlung ist zunächst zu prüfen, ob die Voraussetzungen des § 675u BGB erfüllt sind. Die Beweisfragen richten sich unter anderem nach § 675w BGB. Daneben können weitere Ansprüche in Betracht kommen, wenn eine eigenständige Pflichtverletzung festgestellt werden kann. Diese Ansprüche haben jedoch jeweils eigene Voraussetzungen. Es ist deshalb sinnvoll, den Sachverhalt zunächst so aufzubereiten, dass er erkennen lässt, welche Zahlung beanstandet wird, welche Autorisierung behauptet oder bestritten wird und welche konkreten Pflichtverletzungen gegebenenfalls zusätzlich geprüft werden sollen.

Die Fristenlage sollte frühzeitig kontrolliert werden. § 676b BGB enthält Vorgaben für die Anzeige nicht autorisierter oder fehlerhaft ausgeführter Zahlungsvorgänge. Daneben können für weitere Ansprüche andere Fristen gelten. Betroffene sollten deshalb das Datum der Kenntnisnahme, den Zeitpunkt der ersten Mitteilung an die Bank und den Inhalt dieser Mitteilung dokumentieren. Wenn der Vorfall bereits längere Zeit zurückliegt, sollte geprüft werden, welche Fristen im konkreten Fall gelten und ob noch rechtliche Schritte möglich sind. Es wäre riskant, allein aus dem Umstand, dass die Bank bereits eine Entscheidung getroffen hat, auf das Ende sämtlicher Ansprüche zu schließen. Ebenso sollte aber nicht angenommen werden, dass die Ansprüche zeitlich unbegrenzt verfolgt werden können.

Bei der Vorbereitung einer anwaltlichen Prüfung hilft eine geordnete Zusammenstellung der Unterlagen. Dazu gehören eine kurze Chronologie, eine Liste der betroffenen Zahlungen, die vollständige Korrespondenz mit der Bank, die verfügbaren digitalen Belege und eine Zusammenfassung der bisher vorgebrachten Einwände. Betroffene sollten außerdem angeben, welche Fragen noch offen sind. Ist beispielsweise unklar, ob die konkrete Zahlung durch einen Dritten ausgelöst wurde, sollte dies ausdrücklich benannt werden. Wird die Freigabe bestritten, obwohl eine Authentifizierung stattgefunden hat, sollte die Abweichung zwischen dem technischen Ablauf und der eigenen Wahrnehmung erläutert werden. Eine solche Vorbereitung erleichtert es, die entscheidenden Fragen frühzeitig zu identifizieren.

Eine anwaltliche Bewertung sollte nicht bei einer allgemeinen Einschätzung stehen bleiben, sondern die Erfolgsaussichten anhand der konkreten Belege untersuchen. Dazu gehört die Frage, welche Anspruchsgrundlage am besten zum Sachverhalt passt, welche Einwendungen die Bank voraussichtlich erheben wird und welche Tatsachen noch geklärt werden müssen. Ebenso wichtig ist eine realistische Einschätzung der möglichen Kosten und Risiken. Selbst wenn rechtliche Argumente für einen Anspruch sprechen, kann die Durchsetzung durch eine unklare Beweislage, zusätzliche Verfahrenskosten oder Schwierigkeiten bei der Aufklärung des technischen Ablaufs erschwert werden. Eine seriöse Einschätzung benennt daher nicht nur mögliche Chancen, sondern auch bestehende Unsicherheiten.

Betroffene sollten außerdem vorsichtig sein, wenn ihnen nach einem Phishing-Angriff eine sichere Rückzahlung versprochen wird. Besonders problematisch sind Angebote, bei denen zunächst weitere Gebühren, vermeintliche Freischaltungskosten oder Zahlungen für angebliche Prüfverfahren verlangt werden. Eine solche Forderung ist kein Beleg dafür, dass tatsächlich Geld zurückgeführt werden kann. Wer bereits durch eine digitale Täuschung geschädigt wurde, sollte weitere Zahlungen nicht allein auf Grundlage eines Rückzahlungsversprechens leisten. Vor einer Beauftragung ist zu prüfen, wer hinter dem Angebot steht, welche konkreten Leistungen vereinbart werden und ob die behaupteten Möglichkeiten nachvollziehbar belegt sind.

Auch eine mögliche Einigung mit der Bank sollte sorgfältig geprüft werden. Wird ein Teilbetrag angeboten oder eine abschließende Vereinbarung vorgeschlagen, sollten Betroffene verstehen, welche Ansprüche damit abgegolten werden sollen und ob weitere Forderungen ausgeschlossen werden. Ein Vergleich kann im Einzelfall sinnvoll sein, sollte aber nicht allein deshalb angenommen werden, weil die Bank eine Zahlung anbietet. Umgekehrt ist es nicht immer wirtschaftlich sinnvoll, jede Differenz unabhängig von den Kosten weiterzuverfolgen. Maßgeblich sind die rechtliche Ausgangslage, die Beweislage, die Höhe des verbleibenden Schadens und die Bedingungen einer möglichen Einigung.

Wenn eine außergerichtliche Klärung nicht gelingt, kann geprüft werden, welche weiteren Wege zur Verfügung stehen. Je nach Institut und Sachverhalt kommen geeignete Beschwerde- oder Streitbeilegungsverfahren sowie gegebenenfalls eine gerichtliche Durchsetzung in Betracht. Diese Möglichkeiten unterscheiden sich hinsichtlich Ablauf, Kosten und rechtlicher Wirkung. Ein Beschwerdeverfahren führt nicht automatisch zur Erstattung, und auch ein gerichtliches Vorgehen ist mit Risiken verbunden. Vor einer Entscheidung sollten deshalb die konkreten Erfolgsaussichten, mögliche Kosten und die Frage berücksichtigt werden, welche Nachweise voraussichtlich erforderlich sind.

Für die Beurteilung, ob eine Bank bei Phishing haftet, ist letztlich eine sorgfältige Trennung der verschiedenen Fragen entscheidend. Zunächst muss festgestellt werden, ob die konkrete Zahlung autorisiert war. Anschließend ist zu prüfen, welche gesetzlichen Erstattungsregeln gelten, ob die Bank ihre Einwendungen hinreichend belegen kann und ob ein eigenes Fehlverhalten des Kunden rechtlich relevant ist. Erst danach lässt sich beurteilen, ob zusätzliche Ansprüche wegen einer möglichen Pflichtverletzung in Betracht kommen. Eine vollständige Dokumentation und eine sachliche Auseinandersetzung mit den Argumenten der Bank können diese Prüfung erheblich erleichtern, ersetzen aber nicht die notwendige rechtliche Einzelfallbewertung.

Wer nach einem Phishing-Angriff eine Erstattung verlangt, sollte daher vor allem auf Nachvollziehbarkeit und Vollständigkeit achten. Die einzelnen Zahlungen müssen identifizierbar sein, der Ablauf sollte möglichst genau dokumentiert werden und die Ablehnung der Bank sollte anhand ihrer konkreten Begründung überprüft werden. Pauschale Behauptungen helfen weniger als belegbare Tatsachen. Ebenso wenig lässt sich eine Erstattung allein aus dem Umstand ableiten, dass ein Betrug stattgefunden hat. Ob die Bank zur Zahlung verpflichtet ist, ergibt sich erst aus der rechtlichen Bewertung des konkreten Vorgangs.

Kanzlei Wilms – Experten bei Online-Anlagebetrug

Die Kanzlei Wilms unterstützt seit Jahren Mandanten, die Opfer von Online-Anlagebetrug, Kryptobetrug, Fake Brokern, Investmentbetrug, Bitcoin-Betrug oder Recovery Scams geworden sind.

Unsere Mandanten kommen aus ganz Deutschland sowie aus dem Ausland. Viele Verfahren weisen internationale Bezüge auf und betreffen grenzüberschreitende Zahlungsströme, Kryptowährungen oder komplexe Unternehmensstrukturen.

Wir analysieren unter anderem:

• Banküberweisungen
• SEPA- und SWIFT-Zahlungen
• Kreditkartenzahlungen
• Zahlungsdienstleister
• Kryptobörsen und Wallet-Transaktionen
• internationale Zahlungsstrukturen

Mehr Informationen finden Sie in unserem Blog.