Phishing Bank zahlt nicht – welche Rechte haben Betroffene nach einem Betrug?

Wenn die Bank nach einem Phishing-Angriff nicht zahlt, stehen Betroffene häufig vor einer schwierigen Situation: Das Konto wurde belastet, der finanzielle Schaden ist bereits eingetreten und das Kreditinstitut lehnt eine Erstattung ab. Als Begründung wird beispielsweise angeführt, die Überweisung sei mit einer korrekten TAN bestätigt worden, die Anmeldung sei ordnungsgemäß erfolgt oder der Kunde habe seine Sicherheitsdaten selbst verwendet. Eine solche Ablehnung sollte nicht ungeprüft hingenommen werden. Ob ein Anspruch auf Erstattung besteht, hängt von den konkreten Umständen des Zahlungsvorgangs und den gesetzlichen Voraussetzungen ab.

Für Betroffene ist zunächst entscheidend, zwischen einem nicht autorisierten Zahlungsvorgang und einer selbst veranlassten Überweisung zu unterscheiden. Bei einem nicht autorisierten Zahlungsvorgang wurde die konkrete Zahlung nicht vom Kontoinhaber genehmigt. Das kann beispielsweise der Fall sein, wenn Kriminelle Zugangsdaten abgefangen und anschließend eigenständig Geld vom Konto transferiert haben. Anders kann die rechtliche Ausgangslage sein, wenn der Kunde selbst eine Überweisung ausführt, dabei aber durch eine täuschend echte Nachricht oder einen vermeintlichen Bankmitarbeiter manipuliert wurde. Auch in solchen Fällen ist eine genaue rechtliche Prüfung erforderlich; die Täuschung allein beantwortet noch nicht sämtliche Fragen zur Erstattung.

Die maßgeblichen Vorschriften finden sich insbesondere im Bürgerlichen Gesetzbuch. Nach § 675u BGB muss der Zahlungsdienstleister bei einem nicht autorisierten Zahlungsvorgang grundsätzlich den entsprechenden Betrag erstatten und das belastete Zahlungskonto wieder auf den Stand bringen, auf dem es sich ohne die Belastung befunden hätte. Ob diese Verpflichtung im konkreten Fall greift, hängt davon ab, ob tatsächlich ein nicht autorisierter Zahlungsvorgang vorliegt und welche weiteren rechtlichen Umstände zu berücksichtigen sind.

Wichtig ist, dass die technische Durchführung einer Transaktion nicht automatisch alle Fragen zur rechtlichen Autorisierung beantwortet. Eine Zahlung kann beispielsweise über das reguläre Onlinebanking und mit einem vorgesehenen Authentifizierungsverfahren ausgeführt worden sein. Daraus folgt jedoch nicht in jeder Konstellation, dass der Kunde die konkrete Überweisung rechtlich genehmigt hat. Deshalb sollte die Bank ihre Ablehnung nicht lediglich auf den Hinweis stützen, dass eine Anmeldung oder Authentifizierung erfolgreich war, ohne den konkreten Sachverhalt angemessen zu berücksichtigen.

Auch § 675w BGB ist für die Bewertung von Bedeutung. Die Vorschrift regelt Anforderungen an den Nachweis der Authentifizierung und Ausführung eines Zahlungsvorgangs sowie an die Frage, ob der Kunde den Vorgang autorisiert hat oder sich in rechtlich relevanter Weise vorwerfbar verhalten hat. Welche Nachweise im Einzelfall erforderlich sind, lässt sich nicht pauschal beurteilen. Es kommt unter anderem darauf an, welche Zahlung beanstandet wird, wie sie ausgelöst wurde und welche Informationen über den Ablauf vorliegen.

Eine wichtige Rolle spielt außerdem § 675v BGB. Die Vorschrift betrifft unter bestimmten Voraussetzungen die Haftung des Zahlungsdienstnutzers, wenn ein Zahlungsinstrument missbräuchlich verwendet wurde. Ob eine solche Haftung in Betracht kommt, hängt von den gesetzlichen Voraussetzungen und den tatsächlichen Umständen ab. Der bloße Umstand, dass ein Kunde auf eine betrügerische Nachricht reagiert, eine TAN eingegeben oder eine PushTAN-Mitteilung bestätigt hat, erlaubt für sich genommen noch keine abschließende Bewertung.

Banken begründen Ablehnungen teilweise mit einem angeblich fahrlässigen Verhalten des Kunden. Dabei muss jedoch genauer geprüft werden, was der Betroffene tatsächlich getan hat und welche Informationen ihm zu diesem Zeitpunkt angezeigt wurden. Hat er eine Überweisung bewusst an einen bestimmten Empfänger freigegeben? Glaubte er, eine Sicherheitsprüfung durchzuführen? Wurde er durch eine gefälschte Bankseite zur Eingabe seiner Zugangsdaten verleitet? Oder haben Dritte die Daten ohne sein Wissen verwendet? Diese Unterschiede können für die rechtliche Beurteilung erheblich sein.

Betroffene sollten daher nicht vorschnell davon ausgehen, dass sie keinerlei Rechte mehr haben, nur weil sie eine TAN eingegeben oder eine Authentifizierungsanfrage bestätigt haben. Ebenso wenig lässt sich versprechen, dass jede Phishing-bedingte Belastung zwingend von der Bank erstattet werden muss. Maßgeblich ist eine sorgfältige Prüfung des tatsächlichen Ablaufs und der gesetzlichen Voraussetzungen.

Wenn die Bank die Erstattung verweigert, sollten Betroffene deshalb zunächst eine schriftliche und nachvollziehbare Begründung verlangen. Dabei sollte konkret benannt werden, welche Transaktionen beanstandet werden und auf welche Tatsachen das Kreditinstitut seine Entscheidung stützt. Eine pauschale Aussage, der Kunde habe seine Zugangsdaten selbst verwendet, reicht möglicherweise nicht aus, um sämtliche Fragen zur Autorisierung und zu einer etwaigen Haftung abschließend zu beantworten. Gerade bei komplexen Phishing-Angriffen kann es notwendig sein, den Ablauf jeder einzelnen Zahlung gesondert zu untersuchen.

Dabei kommt es auch darauf an, ob der Kunde selbst eine Zahlung ausgelöst hat oder ob Dritte ohne seine Zustimmung Zugriff auf das Konto erlangten. Bei einem sogenannten Social-Engineering-Angriff werden Betroffene häufig durch gezielte Täuschung dazu gebracht, Handlungen vorzunehmen, die sie für ungefährlich oder notwendig halten. Ein vermeintlicher Bankmitarbeiter behauptet etwa, eine verdächtige Buchung müsse überprüft werden, das Konto sei gefährdet oder eine Sicherheitsfunktion müsse aktiviert werden. Tatsächlich kann die Handlung dazu führen, dass Kriminelle Zugang erhalten oder eine Überweisung vorbereitet und ausgeführt wird.

Für die rechtliche Beurteilung ist deshalb wichtig, welche konkrete Erklärung der Kunde abgegeben hat. Hat er bewusst zugestimmt, einen bestimmten Geldbetrag an einen bestimmten Empfänger zu überweisen? Oder hat er lediglich eine vermeintliche Sicherheitsmaßnahme bestätigt, ohne den tatsächlichen Zweck der Handlung zu erkennen? Auch wenn eine Zahlung technisch mit einer TAN oder über eine Banking-App freigegeben wurde, kann es auf den Inhalt und die Umstände der Freigabe ankommen. Eine pauschale Gleichsetzung von technischer Authentifizierung und rechtlicher Zustimmung wird den unterschiedlichen Betrugsvarianten nicht immer gerecht. Die gesetzlichen Nachweisanforderungen ergeben sich insbesondere aus § 675w BGB.

Einzelnorm

Besondere Bedeutung hat die Frage, welche Nachweise die Bank für ihre Entscheidung vorlegen kann. Nach § 675w BGB muss das Kreditinstitut bei einem Streit über die Autorisierung zunächst nachweisen, dass eine Authentifizierung stattgefunden hat und der Zahlungsvorgang ordnungsgemäß aufgezeichnet und verbucht wurde sowie nicht durch eine Störung beeinträchtigt war. Die bloße Aufzeichnung der Nutzung eines Zahlungsinstruments und der Authentifizierung reicht nach dem Gesetz nicht notwendigerweise aus, um nachzuweisen, dass der Kunde die Zahlung autorisiert oder vorsätzlich beziehungsweise grob fahrlässig gegen seine Pflichten verstoßen hat. Für den Nachweis eines solchen Fehlverhaltens sind unterstützende Beweismittel erforderlich.

Einzelnorm

Das bedeutet nicht, dass die Bank in jedem Fall die Erstattung leisten muss, sobald der Kunde den Vorgang bestreitet. Es bedeutet aber, dass die tatsächlichen Voraussetzungen anhand der gesetzlichen Regeln beurteilt werden müssen. Betroffene sollten sich daher nicht allein durch den Hinweis entmutigen lassen, dass die Transaktion im System als erfolgreich bestätigt angezeigt wird. Wenn das Kreditinstitut behauptet, der Kunde habe den Zahlungsvorgang autorisiert oder grob fahrlässig gehandelt, sollte geprüft werden, worauf sich diese Einschätzung konkret stützt.

Auch der Einwand grober Fahrlässigkeit muss im Zusammenhang mit dem tatsächlichen Ablauf betrachtet werden. Nach § 675v BGB kann ein Kunde unter den gesetzlichen Voraussetzungen für den gesamten Schaden aus einem nicht autorisierten Zahlungsvorgang haften, wenn er den Schaden durch vorsätzliche oder grob fahrlässige Verletzung bestimmter Pflichten oder vereinbarter Nutzungsbedingungen herbeigeführt hat. Die Vorschrift enthält zugleich weitere Voraussetzungen und Ausnahmen. Ob eine vollständige Haftung gegeben ist, lässt sich deshalb nicht allein daraus ableiten, dass der Betroffene auf eine gefälschte Nachricht hereingefallen ist oder eine Sicherheitsabfrage bestätigt hat.

Einzelnorm

Für die Prüfung ist beispielsweise relevant, ob die Nachricht typische Warnsignale enthielt, ob die Internetadresse auffällig war, welche Hinweise die Bank tatsächlich angezeigt hatte und ob der Kunde unter erheblichem Täuschungsdruck stand. Ebenso kann es eine Rolle spielen, ob der Betrüger über persönliche Informationen verfügte, eine bekannte Telefonnummer imitierte oder eine professionelle Kopie der Bankseite verwendete. Solche Umstände entscheiden nicht automatisch über die Haftung, können aber für die Einordnung des Verhaltens und die Glaubwürdigkeit der jeweiligen Darstellung wichtig sein.

Betroffene sollten den Sachverhalt deshalb möglichst präzise und ohne nachträgliche Übertreibungen schildern. Es ist sinnvoll, klar zwischen den eigenen Handlungen, den Aussagen des vermeintlichen Bankmitarbeiters und den später erkannten Folgen zu unterscheiden. Wer beispielsweise eine PushTAN-Mitteilung bestätigt hat, sollte erläutern, was in der Mitteilung stand und welchen Zweck er der Bestätigung im betreffenden Moment zugeschrieben hat. Wenn die genaue Anzeige nicht mehr verfügbar ist, sollte dies offen angegeben werden. Die tatsächliche Darstellung ist wichtiger als eine nachträglich konstruierte Erklärung, die sich nicht belegen lässt.

Ein weiterer Gesichtspunkt ist die Frage, ob die Bank ihre eigenen Pflichten erfüllt hat. Zahlungsdienstleister müssen die gesetzlichen Anforderungen an die Authentifizierung und den Zahlungsverkehr beachten. Wenn Zweifel daran bestehen, ob ein Verfahren ordnungsgemäß eingesetzt wurde oder ob eine Transaktion technisch korrekt verarbeitet worden ist, kann dies bei der Prüfung eine Rolle spielen. Allerdings beweist ein erfolgreicher Betrugsversuch für sich genommen noch keinen Sicherheitsmangel der Bank. Erforderlich ist eine konkrete Betrachtung des Zahlungsvorgangs und der jeweils einschlägigen Anforderungen.

Dazu können etwa die verwendete Authentifizierungsmethode, die angezeigten Transaktionsinformationen und der dokumentierte Ablauf der Anmeldung gehören. Auch die Frage, ob eine Zahlung nach einer bereits erfolgten Mitteilung über einen Missbrauch ausgeführt wurde, kann relevant sein. Betroffene sollten daher alle Zeitpunkte festhalten: Wann ging die verdächtige Nachricht ein? Wann wurden Zugangsdaten eingegeben? Wann erfolgten die Abbuchungen? Wann wurde der Vorfall der Bank gemeldet? Wann wurden Kontozugänge gesperrt oder geändert? Eine solche Chronologie kann helfen, die Ereignisse nachvollziehbar zu ordnen.

Wenn mehrere Zahlungen betroffen sind, sollten diese nicht ungeprüft als ein einheitlicher Vorgang behandelt werden. Es kann sein, dass die erste Transaktion unter anderen Umständen erfolgte als die folgenden. Möglicherweise erkannte der Kunde den Betrug erst nach der ersten Buchung. Ebenso kann es mehrere unterschiedliche Zahlungsarten geben, etwa Überweisungen, Kartenzahlungen oder Lastschriften. Welche rechtlichen Fragen sich daraus ergeben, hängt von der jeweiligen Zahlungsart und dem konkreten Ablauf ab. Eine getrennte Aufstellung hilft, Unterschiede sichtbar zu machen.

Wichtig ist außerdem, die gesetzlichen Fristen im Blick zu behalten. § 676b BGB enthält Vorgaben zur Anzeige nicht autorisierter oder fehlerhaft ausgeführter Zahlungsvorgänge und zu den hierfür maßgeblichen Fristen. Betroffene sollten den Missbrauch deshalb unverzüglich gegenüber dem Kreditinstitut melden, sobald sie ihn feststellen, und den Zeitpunkt der Mitteilung dokumentieren. Wer erst längere Zeit später reagiert, riskiert zusätzliche rechtliche Schwierigkeiten. Welche Folgen sich aus einer verspäteten Meldung ergeben, muss anhand der konkreten Umstände beurteilt werden.

Die Meldung sollte möglichst so erfolgen, dass der Zugang nachvollziehbar ist. Eine telefonische Kontaktaufnahme kann bei einem akuten Sicherheitsproblem wichtig sein, sollte aber nach Möglichkeit durch eine schriftliche Mitteilung ergänzt werden. Darin können die betroffenen Buchungen, der vermutete Missbrauch und die bereits ergriffenen Sicherheitsmaßnahmen aufgeführt werden. Die schriftliche Dokumentation erleichtert es später, nachzuweisen, wann die Bank informiert wurde und welche Informationen ihr zu diesem Zeitpunkt vorlagen.

Wenn die Bank eine Erstattung ablehnt, sollten Betroffene außerdem prüfen, ob die Begründung sämtliche beanstandeten Buchungen umfasst. Eine Antwort, die sich nur auf eine Transaktion bezieht, klärt nicht automatisch die rechtliche Situation bei weiteren Belastungen. Auch eine standardisierte Ablehnung sollte daraufhin überprüft werden, ob sie die Besonderheiten des eigenen Falls berücksichtigt. Wurden bestimmte Angaben nicht beachtet oder bleiben entscheidende Fragen offen, können diese Punkte in einer schriftlichen Einwendung konkret benannt werden.

In einer solchen Einwendung sollten Betroffene den Sachverhalt sachlich darstellen und deutlich machen, welche rechtliche Einordnung sie bestreiten. Dabei kann auf die fehlende Zustimmung zu einem Zahlungsvorgang, auf ungeklärte Fragen zum Authentifizierungsablauf oder auf die unzureichende Begründung eines Fahrlässigkeitsvorwurfs hingewiesen werden, sofern diese Einwände zum tatsächlichen Geschehen passen. Es empfiehlt sich, nicht nur allgemeine Formulierungen zu verwenden, sondern auf konkrete Buchungen und konkrete Aussagen des Kreditinstituts einzugehen.

Die rechtliche Bewertung kann komplizierter werden, wenn der Kunde eine Überweisung selbst ausgelöst hat, weil er durch einen Betrüger dazu gebracht wurde. In solchen Fällen ist zu prüfen, ob die Zahlung rechtlich als autorisiert anzusehen ist und welche Ansprüche unabhängig davon in Betracht kommen können. Die Vorschriften über die Erstattung nicht autorisierter Zahlungsvorgänge lassen sich nicht ohne Weiteres auf jede betrugsbedingt veranlasste Überweisung übertragen. Deshalb sollte nicht allein aus der Tatsache, dass der Kunde getäuscht wurde, auf einen bestimmten Erstattungsanspruch geschlossen werden.

Umgekehrt sollte ein Betroffener nicht automatisch davon ausgehen, dass die Bank nicht zahlen muss, weil er selbst auf „Überweisen“ geklickt hat. Auch in dieser Konstellation kommt es auf die konkreten Umstände, den Inhalt der erteilten Zustimmung und die rechtlichen Grundlagen möglicher Ansprüche an. Die Frage, ob ein Vorgang autorisiert wurde, ist von der Frage zu unterscheiden, ob der Kunde durch Täuschung zu seiner Handlung veranlasst wurde. Diese Unterscheidung kann entscheidend dafür sein, welche rechtlichen Wege überhaupt geprüft werden können.

Für die praktische Durchsetzung eines Anspruchs empfiehlt es sich, alle Unterlagen geordnet zusammenzustellen. Dazu gehören Kontoauszüge, Zahlungsbelege, Nachrichtenverläufe, Screenshots, Authentifizierungsmitteilungen, die Kommunikation mit der Bank und eine chronologische Darstellung der Ereignisse. Je genauer die Unterlagen den Ablauf wiedergeben, desto besser lässt sich beurteilen, welche Tatsachen bereits belegt sind und wo noch Informationen fehlen. Eine vollständige Dokumentation kann außerdem dabei helfen, widersprüchliche Angaben oder zeitliche Unklarheiten zu erkennen.

Wenn der finanzielle Schaden erheblich ist oder die Bank ihren Standpunkt trotz einer nachvollziehbaren Einwendung nicht ändert, kann eine anwaltliche Prüfung sinnvoll sein. Dabei sollten insbesondere die Autorisierung der einzelnen Zahlungen, die Nachweise des Kreditinstituts, ein möglicher Vorwurf grober Fahrlässigkeit und die Einhaltung der maßgeblichen Fristen untersucht werden. Je nach Sachverhalt können auch weitere rechtliche Fragen eine Rolle spielen. Ob sich ein Anspruch durchsetzen lässt, kann jedoch erst nach Prüfung der verfügbaren Informationen eingeschätzt werden.

Betroffene sollten vorsichtig sein, wenn ihnen nach dem Phishing-Vorfall Personen oder Unternehmen anbieten, das verlorene Geld gegen eine Vorauszahlung zurückzuholen. Eine angebliche Rückerstattung, die von zusätzlichen Gebühren, einer vermeintlichen Freischaltung oder einer weiteren Zahlung abhängig gemacht wird, sollte kritisch geprüft werden. Der ursprüngliche Schaden kann Betroffene besonders anfällig für weitere Versprechen machen. Bevor Geld überwiesen oder sensible Daten weitergegeben werden, sollte die Identität des Anbieters unabhängig überprüft werden.

Letztlich sollte die Frage „Phishing – Bank zahlt nicht“ nicht allein anhand der ersten Ablehnung beantwortet werden. Entscheidend sind der genaue Ablauf, die Art des Zahlungsvorgangs, die vorhandenen Nachweise und die einschlägigen gesetzlichen Bestimmungen. Bei nicht autorisierten Zahlungen kommt § 675u BGB als zentrale Grundlage für einen Erstattungsanspruch in Betracht; zugleich müssen die möglichen Haftungsregeln des § 675v BGB und die Nachweisanforderungen des § 675w BGB berücksichtigt werden.

norm.gekko.de +2

Eine Erstattung kann nicht pauschal zugesagt werden. Dennoch sollte eine Ablehnung nicht ungeprüft als endgültig betrachtet werden, wenn der Sachverhalt nicht ausreichend aufgeklärt wurde oder die Bank ihre Entscheidung nur allgemein begründet. Wer die Transaktionen zeitnah meldet, Beweise sichert und die Argumentation des Kreditinstituts konkret überprüfen lässt, schafft eine bessere Grundlage, um mögliche Ansprüche sachlich beurteilen und gegebenenfalls weiterverfolgen zu können.

Phishing Bank zahlt nicht – warum lehnt das Kreditinstitut die Erstattung ab?

Wenn die Bank nach einem Phishing-Angriff nicht zahlt, begründet sie ihre Entscheidung häufig damit, dass die Zahlung ordnungsgemäß authentifiziert worden sei oder der Kunde seine Sicherheitsdaten selbst verwendet habe. Für Betroffene ist eine solche Antwort oft schwer nachvollziehbar. Sie haben möglicherweise erst nach der Abbuchung bemerkt, dass sie auf eine gefälschte Nachricht hereingefallen sind, und erwarten, dass die Bank den entstandenen Schaden ersetzt. Das Kreditinstitut sieht den Vorgang dagegen möglicherweise als ordnungsgemäß freigegebene Zahlung an oder geht davon aus, dass der Kunde für den Missbrauch seiner Zugangsdaten verantwortlich ist.

Die Gründe für eine Ablehnung können unterschiedlich sein. Deshalb ist es wichtig, genau zu prüfen, auf welche Tatsachen und rechtlichen Überlegungen sich die Bank stützt. Eine allgemeine Mitteilung, wonach die Zahlung mit einer TAN bestätigt wurde, muss nicht alle Fragen beantworten, die sich bei einem Phishing-Angriff stellen. Ebenso bedeutet eine Ablehnung nicht automatisch, dass kein Anspruch besteht. Entscheidend ist, wie der konkrete Zahlungsvorgang abgelaufen ist und welche gesetzlichen Voraussetzungen erfüllt sind.

Ein häufiger Ablehnungsgrund ist der Hinweis auf eine erfolgreiche Authentifizierung. Dabei beruft sich die Bank beispielsweise darauf, dass der Zugriff über das reguläre Onlinebanking erfolgte, eine gültige TAN verwendet oder eine Freigabe über die Banking-App erteilt wurde. Aus technischer Sicht kann damit dokumentiert sein, dass ein bestimmtes Sicherheitsverfahren durchlaufen wurde. Die rechtliche Frage, ob der Kontoinhaber die konkrete Zahlung autorisiert hat, ist davon jedoch zu unterscheiden.

Diese Unterscheidung ist besonders wichtig, wenn Kriminelle Zugangsdaten durch gefälschte Bankseiten oder betrügerische Nachrichten erlangt haben. Der Kunde kann seine Zugangsdaten tatsächlich selbst eingegeben haben, ohne zu wissen, dass er sich auf einer nachgebildeten Internetseite befindet. Die Täter verwenden die Daten anschließend möglicherweise, um sich beim echten Kreditinstitut anzumelden und Geld zu transferieren. In einer solchen Konstellation muss geprüft werden, ob der Kunde die konkrete Transaktion genehmigt hat oder ob Dritte sie ohne seine Zustimmung veranlasst haben.

Eine weitere mögliche Begründung lautet, der Kunde habe die Zahlung selbst freigegeben. Banken verweisen dabei mitunter darauf, dass der Kontoinhaber eine TAN eingegeben, eine PushTAN-Mitteilung bestätigt oder eine Transaktion in der Banking-App autorisiert habe. Ob dieser Einwand trägt, hängt jedoch vom tatsächlichen Ablauf ab. Es muss beispielsweise geklärt werden, welche Informationen auf dem Bildschirm angezeigt wurden, ob Betrag und Empfänger erkennbar waren und welche Handlung der Kunde nach seinem Verständnis vorgenommen hat.

Bei Phishing-Angriffen setzen Täter häufig auf gezielte Täuschung. Sie geben sich als Bankmitarbeiter aus, behaupten, das Konto sei gefährdet, oder erklären, eine verdächtige Zahlung müsse überprüft werden. Betroffene werden dadurch unter Umständen dazu gebracht, eine Handlung auszuführen, deren tatsächliche Bedeutung sie nicht erkennen. Die rechtliche Bewertung kann deshalb nicht allein auf die Tatsache gestützt werden, dass eine Authentifizierungsanfrage bestätigt wurde. Entscheidend bleibt, ob und in welchem Umfang der Kunde dem konkreten Zahlungsvorgang zugestimmt hat.

Ein weiterer Ablehnungsgrund ist der Vorwurf, der Kunde habe seine Zugangsdaten nicht ausreichend geschützt. Die Bank kann etwa behaupten, der Betroffene habe seine PIN, sein Passwort oder eine TAN an einen Dritten weitergegeben und dadurch den Missbrauch ermöglicht. In anderen Fällen wird argumentiert, die betrügerische Nachricht sei erkennbar gewesen oder der Kunde hätte eine Warnung beachten müssen. Solche Vorwürfe müssen anhand der tatsächlichen Umstände geprüft werden. Nicht jede unvorsichtige Handlung erfüllt bereits die gesetzlichen Voraussetzungen einer Haftung.

Dabei kommt es unter anderem darauf an, wie überzeugend die Täuschung gestaltet war, welche Warnhinweise tatsächlich vorlagen und ob der Kunde eine konkrete Zahlung bewusst bestätigte oder eine vermeintliche Sicherheitsmaßnahme ausführte. Auch die Frage, ob ein Betrüger persönliche Informationen verwendet oder einen bekannten Kommunikationsweg imitiert hat, kann für die Bewertung relevant sein. Eine pauschale Behauptung, der Kunde hätte den Betrug erkennen müssen, ersetzt nicht die Prüfung des konkreten Geschehens.

Die rechtlichen Grundlagen ergeben sich insbesondere aus den §§ 675u, 675v und 675w BGB. § 675u BGB regelt grundsätzlich die Erstattung nicht autorisierter Zahlungsvorgänge. § 675v BGB betrifft unter bestimmten Voraussetzungen die Haftung des Zahlungsdienstnutzers bei missbräuchlicher Verwendung eines Zahlungsinstruments. § 675w BGB enthält Regelungen zu den Nachweisen, die bei Streitigkeiten über die Authentifizierung, die Ausführung und die Autorisierung einer Zahlung relevant sind. Welche Vorschrift im Einzelfall ausschlaggebend ist, hängt von den konkreten Tatsachen ab.

Banken können außerdem auf ihre allgemeinen Geschäftsbedingungen oder die vereinbarten Sicherheitsregeln verweisen. Solche Regelungen können für die Beurteilung des Verhaltens des Kunden von Bedeutung sein. Sie dürfen jedoch nicht losgelöst von den gesetzlichen Vorgaben betrachtet werden. Wenn das Kreditinstitut aus einer behaupteten Pflichtverletzung eine Haftung ableitet, muss geprüft werden, ob die gesetzlichen Voraussetzungen dafür erfüllt sind und welche Rechtsfolgen sich daraus ergeben.

Manchmal lehnt die Bank eine Erstattung ab, weil sie davon ausgeht, dass der Kunde den Zahlungsvorgang selbst ausgelöst hat. Das kann insbesondere bei sogenannten betrugsbedingt veranlassten Überweisungen vorkommen. Ein Betroffener wird beispielsweise durch einen vermeintlichen Anlageberater, einen angeblichen Bankmitarbeiter oder eine gefälschte Handelsplattform dazu gebracht, selbst Geld an einen bestimmten Empfänger zu überweisen. Obwohl die Zahlung durch eine Täuschung veranlasst wurde, ist die rechtliche Ausgangslage nicht ohne Weiteres mit einer Überweisung vergleichbar, die ein Dritter ohne Zustimmung des Kontoinhabers ausführt.

In solchen Fällen muss genauer geprüft werden, welche Zahlung der Kunde veranlasst hat, welchem Empfänger das Geld überwiesen werden sollte und welche rechtlichen Ansprüche auf Grundlage des tatsächlichen Ablaufs bestehen können. Die Erstattungsregelung für nicht autorisierte Zahlungen lässt sich nicht automatisch auf jede Überweisung übertragen, die der Kunde aufgrund einer Täuschung selbst vorgenommen hat. Deshalb sollte zunächst geklärt werden, welcher Sachverhalt tatsächlich vorliegt.

Auch technische Unregelmäßigkeiten können eine Rolle spielen. Wenn beispielsweise mehrere ungewöhnliche Transaktionen in kurzer Folge erfolgen, ein bislang unbekanntes Gerät verwendet wird oder nach einer verdächtigen Anmeldung hohe Beträge abfließen, kann sich die Frage stellen, welche Informationen zum Zahlungsablauf vorliegen und ob die maßgeblichen Sicherheitsanforderungen eingehalten wurden. Solche Auffälligkeiten beweisen nicht automatisch einen Fehler der Bank. Sie können jedoch Anlass geben, die technischen Abläufe genauer untersuchen zu lassen.

Betroffene sollten deshalb nicht nur die abschließende Ablehnung aufbewahren, sondern auch alle Informationen sammeln, die den Zahlungsvorgang betreffen. Dazu gehören Kontoauszüge, Überweisungsbelege, TAN-Mitteilungen, PushTAN-Anzeigen, E-Mails, SMS, Screenshots und die Kommunikation mit dem Kreditinstitut. Besonders hilfreich ist eine chronologische Übersicht, aus der hervorgeht, wann die betrügerische Nachricht einging, wann Zugangsdaten verwendet wurden, wann die einzelnen Zahlungen erfolgten und wann der Vorfall der Bank gemeldet wurde.

Wenn die Bank eine Erstattung verweigert, sollte der Betroffene eine nachvollziehbare Begründung für jede beanstandete Transaktion verlangen. Es ist sinnvoll, konkret nachzufragen, ob die Bank von einer Autorisierung durch den Kunden ausgeht, ob sie eine Haftung nach § 675v BGB annimmt oder ob sie sich auf andere Umstände stützt. Dabei sollte auch geklärt werden, welche Tatsachen die Entscheidung tragen. Eine solche Nachfrage kann helfen, die Argumentation des Kreditinstituts besser einzuordnen und mögliche Widersprüche zu erkennen.

Wichtig ist außerdem, dass der Missbrauch rechtzeitig gemeldet wird. § 676b BGB enthält Regelungen zu den Anzeige- und Ausschlussfristen bei nicht autorisierten oder fehlerhaft ausgeführten Zahlungsvorgängen. Wer den Verdacht bemerkt, sollte deshalb nicht abwarten, bis sämtliche Hintergründe geklärt sind. Der Zeitpunkt der Mitteilung sollte dokumentiert und die Kommunikation mit der Bank aufbewahrt werden. Welche rechtlichen Folgen sich aus dem zeitlichen Ablauf ergeben, muss anhand der gesetzlichen Voraussetzungen und des konkreten Falls beurteilt werden.

Eine Ablehnung kann auch darauf beruhen, dass die Bank den Sachverhalt nicht vollständig verstanden hat oder wichtige Informationen fehlen. Das ist insbesondere dann denkbar, wenn mehrere Zahlungsvorgänge betroffen sind, der Betrug über verschiedene Kommunikationswege ablief oder der Kunde zunächst nicht erkennen konnte, wie die Abbuchungen zustande kamen. Eine sachliche, chronologisch aufgebaute Darstellung kann dabei helfen, die offenen Fragen zu klären. Sie sollte klar zwischen gesicherten Tatsachen und Vermutungen unterscheiden.

Wenn das Kreditinstitut trotz einer begründeten Einwendung an seiner Entscheidung festhält, kann eine anwaltliche Prüfung sinnvoll sein. Dabei sollte untersucht werden, ob die Zahlung tatsächlich autorisiert war, ob die gesetzlichen Voraussetzungen einer Kundenhaftung vorliegen und ob die Bank die maßgeblichen Nachweise berücksichtigt hat. Je nach Fall können außerdem Fragen zur Ausführung der Zahlung, zur Einhaltung von Sicherheitsanforderungen oder zu möglichen Ansprüchen gegen weitere Beteiligte relevant werden. Ob sich ein Anspruch durchsetzen lässt, kann erst nach Prüfung der Unterlagen beurteilt werden.

Betroffene sollten sich auch vor weiteren finanziellen Verlusten schützen. Nach dem ursprünglichen Phishing-Angriff können sich vermeintliche Rückholunternehmen oder angebliche Fachleute melden und gegen Vorauszahlung die Rückerstattung versprechen. Solche Angebote sollten kritisch geprüft werden. Wer bereits Geld verloren hat, ist besonders gefährdet, erneut auf Versprechen hereinzufallen. Eine weitere Zahlung sollte nicht allein deshalb geleistet werden, weil ein Anbieter angeblich Zugang zu besonderen Kontakten, Rückholverfahren oder technischen Möglichkeiten besitzt.

Wenn die Bank nicht zahlt, ist die erste Ablehnung daher nicht in jedem Fall das Ende der rechtlichen Prüfung. Sie sollte vielmehr der Ausgangspunkt sein, um die tatsächliche Autorisierung, die Begründung der Bank und die gesetzlichen Voraussetzungen systematisch zu untersuchen. Entscheidend sind nicht allein die verwendete TAN oder die technische Ausführung der Überweisung, sondern die Gesamtheit der Umstände. Eine sorgfältige Prüfung kann zeigen, ob ein Erstattungsanspruch in Betracht kommt, ob die Ablehnung rechtlich tragfähig ist und welche weiteren Schritte sinnvoll sein können. Eine Garantie für die Rückzahlung besteht allerdings nicht.

Phishing Bank zahlt nicht – welche Bedeutung hat die Autorisierung der Zahlung?

Wenn die Bank nach einem Phishing-Angriff nicht zahlt, hängt die rechtliche Beurteilung häufig von einer zentralen Frage ab: Hat der Kontoinhaber die konkrete Zahlung tatsächlich autorisiert oder wurde sie ohne seine Zustimmung ausgeführt? Diese Unterscheidung ist entscheidend, weil die gesetzlichen Erstattungsregeln für nicht autorisierte Zahlungsvorgänge nicht ohne Weiteres auf jede Überweisung anwendbar sind, die durch eine Täuschung ausgelöst wurde. Betroffene sollten deshalb genau prüfen lassen, was bei der strittigen Transaktion geschehen ist und worauf die Bank ihre Ablehnung stützt.

Im Alltag wird der Begriff „Autorisierung“ häufig mit einer technischen Freigabe gleichgesetzt. Wer eine TAN eingibt, eine PushTAN-Mitteilung bestätigt oder eine Überweisung in der Banking-App abschließt, hat aus technischer Sicht möglicherweise einen Authentifizierungsschritt durchlaufen. Rechtlich ist jedoch zu prüfen, ob der Kunde dem konkreten Zahlungsvorgang zugestimmt hat. Die Frage, ob ein Sicherheitsverfahren erfolgreich verwendet wurde, ist nicht in jeder Hinsicht identisch mit der Frage, ob eine Zahlung vom Kontoinhaber autorisiert wurde.

Nach § 675j BGB ist ein Zahlungsvorgang gegenüber dem Zahler grundsätzlich nur wirksam, wenn dieser ihm zugestimmt hat. Die Zustimmung richtet sich nach der vereinbarten Form und dem tatsächlichen Ablauf. Sie kann vor oder nach der Ausführung des Zahlungsvorgangs erteilt werden, sofern dies den maßgeblichen Vereinbarungen und gesetzlichen Anforderungen entspricht. Für die Beurteilung eines Phishing-Falls muss daher untersucht werden, welche Erklärung der Kunde abgegeben hat und worauf sich diese Erklärung bezog.

Dabei ist zwischen verschiedenen Betrugssituationen zu unterscheiden. In einem Fall verschaffen sich Kriminelle Zugangsdaten und führen anschließend eigenständig eine Überweisung aus. In einem anderen Fall wird der Kunde dazu gebracht, eine Zahlung selbst zu bestätigen, weil er glaubt, eine Sicherheitsprüfung vorzunehmen. Wieder andere Betroffene überweisen Geld bewusst an einen bestimmten Empfänger, werden dabei aber über dessen Identität oder den Zweck der Zahlung getäuscht. Diese Konstellationen können rechtlich unterschiedlich zu bewerten sein.

Nicht jede betrugsbedingt ausgelöste Zahlung ist automatisch ein nicht autorisierter Zahlungsvorgang. Wenn der Kontoinhaber eine Überweisung selbst anweist und die Zahlung an den von ihm ausgewählten Empfänger ausführen lässt, kann die rechtliche Einordnung anders ausfallen als bei einer Überweisung, die ein Dritter ohne seine Zustimmung veranlasst. Dass der Kunde durch falsche Angaben, eine gefälschte Handelsplattform oder einen angeblichen Bankmitarbeiter getäuscht wurde, ist für die Gesamtbewertung wichtig, ersetzt aber nicht die Prüfung der konkreten Autorisierung.

Umgekehrt bedeutet eine technisch erfolgreiche Freigabe nicht automatisch, dass sämtliche Voraussetzungen einer wirksamen Autorisierung erfüllt sind. Ein Kunde kann beispielsweise eine Authentifizierungsanfrage bestätigen, weil ein Anrufer behauptet, eine verdächtige Buchung müsse verhindert werden. Wenn die tatsächliche Handlung jedoch dazu führt, dass eine von Kriminellen vorbereitete Überweisung ausgeführt wird, muss geprüft werden, welche Informationen der Kunde erhielt und welche Zustimmung er tatsächlich erteilte. Der genaue Inhalt der Anzeige und der Ablauf der Kommunikation können deshalb entscheidend sein.

Besondere Bedeutung haben die Angaben, die bei einer TAN-Freigabe oder einer Bestätigung über eine Banking-App angezeigt werden. Wurden der Betrag und der Empfänger genannt? War für den Kunden erkennbar, dass eine Überweisung an einen bestimmten Zahlungsempfänger ausgelöst werden sollte? Oder wurde die Handlung als Bestätigung einer vermeintlichen Sicherheitsmaßnahme dargestellt? Solche Fragen sollten möglichst anhand der gespeicherten Mitteilungen, Screenshots und sonstigen verfügbaren Unterlagen geklärt werden.

Auch die verwendete Technik kann für die Sachverhaltsaufklärung relevant sein. Bei manchen Phishing-Angriffen geben Betroffene ihre Zugangsdaten auf einer nachgebildeten Bankseite ein. Bei anderen Angriffen erhalten sie eine Nachricht, die sie zur Bestätigung einer angeblichen Kontosicherung auffordert. In weiteren Fällen werden sie telefonisch durch einen vermeintlichen Bankmitarbeiter angeleitet. Die technische Umsetzung kann unterschiedlich sein, weshalb aus der bloßen Nutzung einer TAN oder einer Banking-App keine pauschale rechtliche Schlussfolgerung gezogen werden sollte.

Für die Erstattung nicht autorisierter Zahlungsvorgänge ist insbesondere § 675u BGB von Bedeutung. Liegt ein solcher Vorgang vor, muss der Zahlungsdienstleister grundsätzlich den Betrag erstatten und das Zahlungskonto wieder auf den Stand bringen, auf dem es sich ohne die Belastung befunden hätte. Ob dieser Anspruch greift, hängt jedoch davon ab, ob die konkrete Zahlung tatsächlich nicht autorisiert war und ob weitere gesetzliche Voraussetzungen zu berücksichtigen sind.

Im Streitfall spielt außerdem § 675w BGB eine wichtige Rolle. Die Vorschrift betrifft die Nachweise zur Authentifizierung, zur ordnungsgemäßen Aufzeichnung und Verbuchung des Zahlungsvorgangs sowie zur Frage, ob der Kunde die Zahlung autorisiert hat oder sich in rechtlich relevanter Weise vorwerfbar verhalten hat. Die technische Aufzeichnung einer Transaktion kann wichtige Informationen liefern. Sie beantwortet jedoch nicht zwingend sämtliche Fragen, die sich aus einer bestrittenen Autorisierung ergeben.

Wenn die Bank erklärt, der Kunde habe die Zahlung freigegeben, sollten Betroffene deshalb nachfragen, worauf diese Einschätzung beruht. Relevant können etwa die protokollierte Anmeldung, die verwendete Authentifizierungsmethode, die bei der Freigabe angezeigten Informationen und die zeitliche Abfolge der Vorgänge sein. Eine pauschale Ablehnung, die lediglich auf eine erfolgreiche TAN-Eingabe verweist, lässt möglicherweise offen, ob der konkrete Zahlungsvorgang rechtlich zutreffend eingeordnet wurde.

Auch die Frage eines möglichen Fehlverhaltens des Kunden muss von der Autorisierung unterschieden werden. Selbst wenn ein Zahlungsvorgang als nicht autorisiert einzustufen ist, kann unter bestimmten gesetzlichen Voraussetzungen eine Haftung des Kunden in Betracht kommen. Dafür ist insbesondere § 675v BGB relevant. Ob die gesetzlichen Voraussetzungen vorliegen, muss gesondert geprüft werden. Die bloße Feststellung, dass Zugangsdaten verwendet oder eine Authentifizierungsanfrage bestätigt wurden, reicht nicht aus, um jede weitere rechtliche Frage abschließend zu beantworten.

Für Betroffene ist es deshalb sinnvoll, den gesamten Ablauf chronologisch zu dokumentieren. Dazu gehören der Eingang der betrügerischen Nachricht, der Besuch einer Internetseite, ein möglicher Telefonkontakt, die Eingabe von Zugangsdaten, die angezeigten Freigabeinformationen, die Ausführung der Zahlung und die anschließende Meldung an die Bank. Je genauer die Abfolge nachvollziehbar ist, desto besser lässt sich beurteilen, ob die strittige Zahlung vom Kunden selbst autorisiert wurde oder ob Dritte ohne seine Zustimmung gehandelt haben.

Die Unterlagen sollten möglichst unverändert aufbewahrt werden. Dazu zählen E-Mails, SMS, Messenger-Nachrichten, Screenshots, PushTAN-Mitteilungen, Kontoauszüge und die schriftliche Korrespondenz mit dem Kreditinstitut. Wenn bestimmte Informationen nicht mehr verfügbar sind, sollte dies offen angegeben werden. Eine ergänzende Gedächtnisnotiz kann helfen, den Ablauf zu rekonstruieren, sollte aber klar von Originalunterlagen unterschieden werden.

Bei mehreren strittigen Überweisungen ist es wichtig, jeden Zahlungsvorgang gesondert zu betrachten. Es kann sein, dass eine Transaktion ohne Wissen des Kunden erfolgte, während eine weitere aufgrund einer Täuschung selbst ausgelöst wurde. Auch der zeitliche Abstand zwischen den Zahlungen und der Zeitpunkt, zu dem der Kunde den Betrug bemerkte, können relevant sein. Die rechtliche Bewertung sollte deshalb nicht pauschal für sämtliche Belastungen erfolgen, wenn sich die Umstände unterscheiden.

Wenn die Bank die Erstattung verweigert, sollten Betroffene konkret benennen, weshalb sie die Autorisierung bestreiten. Dabei ist es hilfreich, die betroffenen Buchungen eindeutig zu identifizieren und den Ablauf der jeweiligen Zahlung zu erläutern. Es sollte deutlich werden, ob die Überweisung ohne Wissen des Kunden erfolgte, ob er eine andere Handlung beabsichtigte oder ob die Bedeutung der Freigabe durch eine Täuschung verschleiert wurde. Je konkreter der Sachverhalt dargestellt wird, desto gezielter kann die Bank zu den offenen Fragen Stellung nehmen.

Wichtig ist auch die rechtzeitige Meldung des Vorfalls. § 676b BGB enthält Regelungen zu Anzeige- und Ausschlussfristen bei nicht autorisierten oder fehlerhaft ausgeführten Zahlungsvorgängen. Betroffene sollten den Missbrauch deshalb unverzüglich nach seiner Entdeckung gegenüber dem Kreditinstitut melden und den Zeitpunkt der Mitteilung dokumentieren. Die Einhaltung der einschlägigen Fristen sollte unabhängig davon geprüft werden, ob die Bank bereits eine endgültige Entscheidung getroffen hat.

Wenn die Bank an ihrer Ablehnung festhält, kann eine rechtliche Prüfung helfen, die verschiedenen Fragen voneinander zu trennen. Dabei geht es zunächst um die Autorisierung der konkreten Zahlung. Anschließend ist zu untersuchen, welche Nachweise vorliegen, ob eine Kundenhaftung in Betracht kommt und welche weiteren Ansprüche gegebenenfalls geprüft werden können. Bei selbst veranlassten, aber betrugsbedingt ausgelösten Überweisungen kann eine andere rechtliche Prüfung erforderlich sein als bei Zahlungen, die ein Dritter ohne Zustimmung des Kontoinhabers ausgeführt hat.

Betroffene sollten daher weder allein auf eine technische Freigabe noch allein auf den Umstand vertrauen, dass sie getäuscht wurden. Entscheidend sind der genaue Inhalt der Zustimmung, die tatsächlichen Abläufe und die gesetzlichen Anforderungen. Eine sorgfältige Prüfung kann helfen, die Ablehnung der Bank sachlich einzuordnen und festzustellen, ob ein Anspruch auf Erstattung besteht oder ob andere rechtliche Wege in Betracht kommen. Eine Rückzahlung lässt sich jedoch nicht pauschal garantieren.

Phishing Bank zahlt nicht – wie können Betroffene die Begründung der Bank überprüfen?

Wenn die Bank nach einem Phishing-Angriff die Erstattung verweigert, sollten Betroffene die Entscheidung nicht allein anhand der abschließenden Mitteilung beurteilen. Entscheidend ist, welche Gründe das Kreditinstitut nennt, auf welche Tatsachen es sich stützt und ob die rechtliche Bewertung zum tatsächlichen Ablauf passt. Eine Ablehnung kann beispielsweise auf eine angeblich wirksame Freigabe, eine vermutete grobe Fahrlässigkeit oder die Einschätzung gestützt werden, dass der Kunde die Überweisung selbst veranlasst habe. Diese Begründungen betreffen unterschiedliche rechtliche Fragen und müssen deshalb getrennt geprüft werden.

Der erste Schritt besteht darin, die Ablehnung genau zu lesen. Betroffene sollten feststellen, ob die Bank eine konkrete Transaktion behandelt oder lediglich allgemein auf die Sicherheitsverfahren des Onlinebankings verweist. Ebenso ist wichtig, ob das Kreditinstitut den tatsächlichen Ablauf des Phishing-Angriffs berücksichtigt hat. Eine standardisierte Mitteilung, nach der die Zahlung mit einer gültigen TAN bestätigt worden sei, lässt möglicherweise offen, ob der Kunde dem konkreten Zahlungsvorgang tatsächlich zugestimmt hat und welche weiteren Umstände die Entscheidung beeinflusst haben.

Sinnvoll ist es, die Begründung der Bank mit den eigenen Unterlagen abzugleichen. Dazu gehören Kontoauszüge, Überweisungsbelege, E-Mails, SMS, Messenger-Nachrichten, Screenshots und Mitteilungen aus der Banking-App. Auch die zeitliche Abfolge sollte nachvollziehbar sein: Wann erhielt der Betroffene die betrügerische Nachricht? Wann wurden Zugangsdaten eingegeben oder Freigaben bestätigt? Wann erfolgten die Belastungen? Wann wurde der Vorfall entdeckt und dem Kreditinstitut gemeldet? Je genauer diese Angaben dokumentiert sind, desto besser lassen sich mögliche Widersprüche erkennen.

Besonders wichtig ist die Frage, ob die Bank die Zahlung als autorisiert einordnet oder eine Erstattung aus anderen Gründen ablehnt. Diese Unterscheidung sollte ausdrücklich geklärt werden. Wenn das Kreditinstitut davon ausgeht, dass der Kunde die Überweisung selbst freigegeben hat, muss geprüft werden, welche Handlung der Kunde tatsächlich vorgenommen hat und worauf sich die behauptete Zustimmung bezog. Wenn die Bank dagegen einen nicht autorisierten Zahlungsvorgang annimmt, aber eine Haftung des Kunden geltend macht, stehen andere Fragen im Vordergrund.

Die rechtlichen Grundlagen ergeben sich insbesondere aus §§ 675u, 675v und 675w BGB. § 675u BGB regelt grundsätzlich die Erstattung nicht autorisierter Zahlungsvorgänge. § 675v BGB betrifft die mögliche Haftung des Zahlungsdienstnutzers bei missbräuchlicher Verwendung eines Zahlungsinstruments. § 675w BGB enthält Anforderungen an den Nachweis der Authentifizierung und der Ausführung des Zahlungsvorgangs sowie an die Bewertung der Autorisierung. Welche dieser Regelungen im konkreten Fall entscheidend ist, hängt von den tatsächlichen Umständen ab.

Betroffene sollten insbesondere prüfen, ob die Bank die technische Authentifizierung mit der rechtlichen Autorisierung gleichsetzt. Ein korrekt durchlaufenes Sicherheitsverfahren kann belegen, dass bestimmte technische Schritte erfolgt sind. Es beantwortet jedoch nicht zwingend alle Fragen dazu, ob der Kunde die konkrete Zahlung genehmigt hat. Wenn eine gefälschte Nachricht oder ein vermeintlicher Bankmitarbeiter den Kunden zu einer Handlung veranlasst hat, muss der Inhalt der Kommunikation ebenso berücksichtigt werden wie die tatsächlich angezeigten Informationen.

Dazu gehört die Frage, was bei der Freigabe auf dem Bildschirm zu sehen war. Wurden Betrag und Empfänger genannt? War klar erkennbar, dass eine Überweisung ausgelöst werden sollte? Oder ging der Kunde davon aus, eine Sicherheitsprüfung durchzuführen oder einen unberechtigten Zugriff zu verhindern? Wenn diese Angaben noch verfügbar sind, sollten entsprechende Screenshots und Nachrichten gesichert werden. Fehlen die Originaldaten, sollte der Betroffene den Ablauf so genau wie möglich aus der Erinnerung schildern und deutlich machen, welche Angaben gesichert und welche nur rekonstruiert sind.

Wenn die Bank eine grobe Fahrlässigkeit behauptet, sollte sie ebenfalls konkret benennen, welches Verhalten sie beanstandet. Die bloße Feststellung, dass der Kunde auf eine betrügerische Nachricht hereingefallen ist oder eine TAN eingegeben hat, reicht nicht aus, um die rechtliche Bewertung abschließend vorzunehmen. Zu prüfen ist, welche Warnsignale vorhanden waren, welche Informationen dem Kunden tatsächlich zur Verfügung standen und ob die gesetzlichen Voraussetzungen einer Kundenhaftung erfüllt sind. Dabei muss der gesamte Ablauf berücksichtigt werden, nicht nur die letzte Handlung vor der Überweisung.

Auch mögliche Sicherheitsfragen sollten nicht außer Acht gelassen werden. Wenn mehrere ungewöhnliche Transaktionen innerhalb kurzer Zeit erfolgten oder der Ablauf technische Auffälligkeiten aufweist, kann es sinnvoll sein, die zugrunde liegenden Informationen genauer zu untersuchen. Aus einer ungewöhnlichen Buchung folgt allerdings nicht automatisch, dass die Bank eine Pflicht verletzt hat. Entscheidend ist, ob sich anhand des konkreten Sachverhalts ein rechtlich relevanter Verstoß feststellen lässt.

Um die offenen Fragen zu klären, können Betroffene die Bank schriftlich um eine nähere Erläuterung bitten. Die Anfrage sollte sich auf die konkreten Buchungen beziehen und möglichst genau benennen, welche Punkte unklar sind. Beispielsweise kann gefragt werden, ob das Kreditinstitut von einer Autorisierung durch den Kontoinhaber ausgeht, welche Tatsachen diese Annahme tragen und ob es seine Ablehnung auf eine behauptete Pflichtverletzung des Kunden stützt. Eine solche Anfrage sollte sachlich formuliert sein und keine Tatsachen behaupten, die sich nicht belegen lassen.

Wenn mehrere Zahlungen betroffen sind, sollte jede Transaktion einzeln aufgeführt werden. Eine Ablehnung, die sich auf eine Buchung bezieht, beantwortet nicht zwangsläufig die Fragen zu weiteren Belastungen. Es kann sein, dass die Zahlungen zu unterschiedlichen Zeitpunkten erfolgten oder unter verschiedenen Umständen ausgelöst wurden. Eine gesonderte Betrachtung hilft dabei, zu erkennen, ob die Bank sämtliche beanstandeten Vorgänge berücksichtigt hat.

Ein weiterer Prüfpunkt ist der Zeitpunkt der Meldung. Nach § 676b BGB gelten gesetzliche Regelungen zur Anzeige nicht autorisierter oder fehlerhaft ausgeführter Zahlungsvorgänge. Betroffene sollten daher dokumentieren, wann sie den Missbrauch entdeckt und wann sie das Kreditinstitut informiert haben. Wenn die Bank eine verspätete Meldung als Argument verwendet, sollte geprüft werden, auf welche konkreten Umstände sie sich beruft und welche gesetzlichen Fristen im Einzelfall gelten.

Die Prüfung der Ablehnung sollte außerdem nicht allein auf telefonischen Aussagen beruhen. Telefonate können hilfreich sein, um einen Sachverhalt schnell zu klären; ihre Inhalte sind später aber nicht immer vollständig nachvollziehbar. Deshalb empfiehlt es sich, wesentliche Auskünfte schriftlich bestätigen zu lassen und eigene Notizen mit Datum, Uhrzeit und Gesprächspartner anzufertigen. Bereits vorhandene Korrespondenz sollte vollständig aufbewahrt werden, einschließlich möglicher Eingangsbestätigungen und ergänzender Erklärungen der Bank.

Wenn das Kreditinstitut trotz einer begründeten Nachfrage an seiner Ablehnung festhält, kann eine rechtliche Prüfung sinnvoll sein. Dabei lässt sich untersuchen, ob die Begründung mit dem tatsächlichen Ablauf übereinstimmt, ob die einschlägigen Vorschriften korrekt berücksichtigt wurden und ob weitere Informationen erforderlich sind. Je nach Fall kann auch geprüft werden, ob ein geeignetes Beschwerde- oder Schlichtungsverfahren infrage kommt. Welcher Weg sinnvoll ist, hängt vom Kreditinstitut, der Art des Zahlungsvorgangs und den vorhandenen Unterlagen ab.

Betroffene sollten dabei vorsichtig sein, wenn ihnen nach dem ursprünglichen Betrug vermeintliche Rückholunternehmen oder angebliche Fachleute eine sichere Rückzahlung versprechen. Insbesondere Forderungen nach Vorauszahlungen, zusätzlichen Gebühren oder angeblichen Freischaltungskosten sollten kritisch geprüft werden. Eine professionelle Darstellung oder die Kenntnis einzelner Details zum Schaden beweist nicht, dass ein Anbieter seriös ist.

Letztlich sollte die Begründung der Bank anhand konkreter Tatsachen und der einschlägigen gesetzlichen Vorschriften überprüft werden. Entscheidend sind die Frage der Autorisierung, die Nachweise zum Zahlungsvorgang, eine mögliche Haftung des Kunden und gegebenenfalls Hinweise auf Sicherheitsprobleme. Eine Erstattung kann nicht garantiert werden. Eine sorgfältige Prüfung kann jedoch dabei helfen, unbegründete oder unvollständige Argumente zu erkennen und die weiteren Schritte auf einer sachlichen Grundlage zu planen.

Kanzlei Wilms – Experten für Online-Anlagebetrug

Die Kanzlei Wilms unterstützt seit Jahren Mandanten, die Opfer von Online-Anlagebetrug, Kryptobetrug, Fake Brokern, Investmentbetrug, Bitcoin-Betrug oder Recovery Scams geworden sind.

Unsere Mandanten kommen aus ganz Deutschland sowie aus dem Ausland. Viele Verfahren weisen internationale Bezüge auf und betreffen grenzüberschreitende Zahlungsströme, Kryptowährungen oder komplexe Unternehmensstrukturen.

Wir analysieren unter anderem:

• Banküberweisungen
• SEPA- und SWIFT-Zahlungen
• Kreditkartenzahlungen
• Zahlungsdienstleister
• Kryptobörsen und Wallet-Transaktionen
• internationale Zahlungsstrukturen

Mehr Informationen finden Sie in unserem Blog.

Phishing Bank zahlt nicht – wann haftet der Kunde für nicht autorisierte Zahlungen?

Wenn die Bank nach einem Phishing-Angriff die Erstattung verweigert, stellt sich häufig die Frage, ob der Kontoinhaber für den entstandenen Schaden selbst einstehen muss. Kreditinstitute verweisen in solchen Fällen mitunter darauf, dass Sicherheitsdaten verwendet, eine TAN eingegeben oder eine Freigabe in der Banking-App bestätigt wurde. Daraus folgt jedoch nicht automatisch, dass der Kunde für jede dadurch ausgelöste Zahlung haftet. Entscheidend sind die konkreten Umstände des Vorgangs, die rechtliche Einordnung der Zahlung und die Frage, ob dem Kontoinhaber ein gesetzlich relevanter Pflichtverstoß vorgeworfen werden kann.

Das Zahlungsdiensterecht unterscheidet zwischen der Frage, ob eine Zahlung autorisiert wurde, und der Frage, ob der Kunde für eine nicht autorisierte Zahlung haftet. Diese Unterscheidung ist für Betroffene besonders wichtig. Wer eine Zahlung nicht selbst veranlasst und ihr auch nicht zugestimmt hat, befindet sich rechtlich in einer anderen Ausgangslage als jemand, der eine Überweisung eigenständig ausführt, dabei aber von einem vermeintlichen Bankmitarbeiter, einem falschen Supportmitarbeiter oder einem angeblichen Sicherheitsdienst getäuscht wird. In beiden Fällen kann ein Phishing-Zusammenhang bestehen. Die rechtlichen Voraussetzungen für eine Erstattung können sich dennoch erheblich unterscheiden.

Nach § 675u BGB hat der Zahlungsdienstleister bei einer nicht autorisierten Zahlung grundsätzlich keinen Anspruch auf Erstattung seiner Aufwendungen gegen den Zahler. Außerdem muss er den Zahlungsbetrag grundsätzlich erstatten und das Zahlungskonto wieder auf den Stand bringen, auf dem es sich ohne die nicht autorisierte Zahlung befunden hätte. Für Betroffene bedeutet dies, dass eine Bank nicht allein mit dem Hinweis ablehnen kann, die Transaktion sei technisch über das Onlinebanking oder eine Banking-App ausgeführt worden. Zunächst muss geklärt werden, ob eine wirksame Autorisierung vorlag und welche rechtlichen Folgen sich daraus ergeben.

Davon zu unterscheiden ist die mögliche Haftung des Kontoinhabers nach § 675v BGB. Diese Vorschrift regelt unter bestimmten Voraussetzungen, in welchem Umfang ein Zahler für Schäden aus der Nutzung eines verlorenen, gestohlenen oder sonst missbräuchlich verwendeten Zahlungsinstruments einstehen muss. Hierzu können beispielsweise der Zugang zum Onlinebanking, eine Zahlungskarte oder sicherheitsbezogene personalisierte Daten gehören. Die Haftung hängt jedoch von den konkreten Umständen ab. Insbesondere ist zu prüfen, ob der Kunde eine einschlägige Sorgfaltspflicht verletzt hat, ob diese Verletzung vorwerfbar war und ob eine gesetzliche Haftungsbegrenzung oder ein Ausschluss greift.

Für die rechtliche Bewertung reicht deshalb weder die pauschale Aussage der Bank, der Kunde habe seine Zugangsdaten preisgegeben, noch die bloße Behauptung des Betroffenen, er habe nichts falsch gemacht. Es kommt darauf an, was genau passiert ist. Hat ein unbekannter Täter unbemerkt Zugang zum Konto erlangt? Hat sich jemand am Telefon als Mitarbeiter der Bank ausgegeben? Wurde der Kunde auf eine gefälschte Internetseite geleitet? Hat er eine TAN eingegeben, weil ihm eine andere Transaktion vorgetäuscht wurde? Oder hat er eine Zahlung selbst ausgeführt, weil er von einem vermeintlichen Anlageberater oder einem angeblichen Sicherheitsmitarbeiter dazu aufgefordert wurde? Diese Unterschiede können für die Frage der Haftung ausschlaggebend sein.

Besonders häufig entstehen Streitigkeiten, wenn der Kunde zwar selbst eine Sicherheitsfunktion bedient hat, dabei aber über den tatsächlichen Zweck des Vorgangs getäuscht wurde. Täter können beispielsweise behaupten, eine TAN diene der Stornierung einer verdächtigen Buchung, der Sperrung des Kontos oder der Überprüfung einer angeblich gefährdeten Zahlung. Tatsächlich wird mit dieser Handlung möglicherweise eine andere Transaktion freigegeben oder ein Zugriff ermöglicht. Die Bank kann in einer solchen Situation auf die technische Bestätigung verweisen. Rechtlich muss aber geprüft werden, welche Zahlung der Kunde tatsächlich autorisieren wollte und welchen Erklärungsgehalt die verwendete Freigabe hatte.

Eine eingegebene TAN ist daher nicht in jedem Fall mit einer bewussten Zustimmung zu der später ausgeführten Zahlung gleichzusetzen. Umgekehrt führt die Tatsache, dass der Kunde die Zahlung nicht gewollt hat, nicht automatisch dazu, dass sie rechtlich als nicht autorisiert einzustufen ist. Entscheidend sind unter anderem der konkrete Ablauf, die Darstellung des Freigabevorgangs, die angezeigten Empfängerdaten, der Betrag, der Verwendungszweck und die Erklärungen, die dem Kunden vor der Bestätigung gegeben wurden. Auch die Frage, ob der Betroffene lediglich Zugangsdaten weitergegeben oder eine konkrete Zahlung aktiv freigegeben hat, muss sorgfältig aufgearbeitet werden.

Eine weitere wichtige Frage betrifft den Vorwurf grober Fahrlässigkeit. Banken begründen eine Ablehnung mitunter damit, dass der Kunde eine gefälschte Internetseite genutzt, einen Bestätigungscode weitergegeben, eine Warnmeldung ignoriert oder einer fremden Person Zugriff auf das Gerät gewährt habe. Daraus kann sich ein rechtlich relevanter Pflichtverstoß ergeben. Allerdings ist grobe Fahrlässigkeit nicht schon bei jedem Fehler oder bei jeder erfolgreichen Täuschung anzunehmen. Maßgeblich ist, ob der Kunde die im konkreten Fall erforderliche Sorgfalt in besonders schwerem Maße verletzt hat. Dabei müssen die tatsächlichen Umstände des Phishing-Angriffs berücksichtigt werden.

Phishing-Nachrichten und betrügerische Anrufe sind häufig darauf ausgelegt, einen künstlichen Zeitdruck zu erzeugen. Täter behaupten beispielsweise, das Konto werde gerade angegriffen, eine verdächtige Überweisung müsse sofort gestoppt oder der Zugang müsse unverzüglich gesichert werden. Sie können echte Bankdaten, persönliche Informationen oder professionell gestaltete Internetseiten verwenden, um Vertrauen zu schaffen. In anderen Fällen werden Betroffene über längere Zeit kontaktiert und gezielt dazu gebracht, vermeintliche Sicherheitsmaßnahmen auszuführen. Solche Umstände machen einen Pflichtverstoß nicht automatisch unmöglich. Sie dürfen bei der rechtlichen Bewertung jedoch auch nicht einfach ausgeblendet werden.

Für die Prüfung ist deshalb wichtig, welche Informationen der Kunde tatsächlich erhalten hat und was er im Zeitpunkt der jeweiligen Handlung erkennen konnte. Eine allgemeine Warnung, niemals TANs weiterzugeben, kann relevant sein. Sie beantwortet aber nicht ohne Weiteres sämtliche Fragen des konkreten Falls. Es ist beispielsweise zu unterscheiden, ob ein Kunde einer fremden Person einen Code zur angeblichen Kontosicherung mitteilt oder ob er selbst in einer Banking-App eine Freigabe bestätigt, deren tatsächlicher Zweck durch eine täuschend echte Darstellung verschleiert wurde. Ebenso kann es darauf ankommen, ob die angezeigten Angaben verständlich waren, ob eine Warnung erschien und ob der Kunde überhaupt erkennen konnte, dass er eine Zahlung an einen unbekannten Empfänger freigab.

Die gesetzlichen Regelungen sehen außerdem Grenzen für die Haftung des Zahlers vor. Nach § 675v BGB können bei bestimmten Fällen der missbräuchlichen Verwendung eines Zahlungsinstruments Haftungsbeschränkungen gelten. Die konkreten Voraussetzungen hängen unter anderem davon ab, wie das Zahlungsinstrument verwendet wurde und ob eine Pflichtverletzung vorliegt. Bei betrügerischen Handlungen können weitere gesetzliche Voraussetzungen und Ausnahmen relevant sein. Deshalb sollte die Bank nicht lediglich ein allgemeines Fehlverhalten behaupten, sondern darlegen, auf welchen Sachverhalt sie ihre Haftungseinschätzung stützt.

Besonders wichtig ist die Abgrenzung zwischen einem fahrlässigen Verhalten und einer vorsätzlichen oder grob fahrlässigen Pflichtverletzung. Dass Zugangsdaten bei einem Betrug abgegriffen wurden, beweist für sich genommen noch nicht, wie der Zugriff zustande kam und welches Verhalten dem Kontoinhaber vorzuwerfen ist. Ebenso ist eine erfolgreiche Authentifizierung nicht automatisch der Beweis dafür, dass der Kunde die Zahlung autorisiert hat oder dass ihm ein bestimmtes Verschulden anzulasten ist. Die einzelnen Fragen müssen getrennt geprüft werden. Eine Bank darf die technische Protokollierung nicht ohne Weiteres mit der abschließenden rechtlichen Bewertung gleichsetzen.

Auch die Beweisregeln sind für Betroffene von Bedeutung. § 675w BGB regelt den Nachweis der Authentifizierung und der ordnungsgemäßen Aufzeichnung sowie der Verbuchung von Zahlungsvorgängen. Wenn ein Zahlungsdienstleister behauptet, eine Zahlung sei authentifiziert worden, reicht der bloße Nachweis der Nutzung eines Zahlungsinstruments nicht in jedem Fall aus, um eine Autorisierung durch den Kunden oder eine vorsätzliche beziehungsweise grob fahrlässige Pflichtverletzung zu belegen. Welche Nachweise erforderlich sind, hängt vom konkreten Streitpunkt und den gesetzlichen Voraussetzungen ab. Der Kunde sollte daher nicht davon ausgehen, dass die technische Protokollierung der Bank jede weitere Prüfung entbehrlich macht.

In der Praxis empfiehlt es sich, die Ablehnung der Bank anhand der einzelnen behaupteten Pflichtverletzungen zu prüfen. Hat das Kreditinstitut lediglich mitgeteilt, dass die Zahlung mit einer korrekten TAN bestätigt worden sei? Behauptet es zusätzlich, der Kunde habe die Zugangsdaten weitergegeben? Oder wirft es ihm ausdrücklich vor, eine Sicherheitswarnung missachtet zu haben? Diese Begründungen sind rechtlich nicht gleichwertig. Aus ihnen muss hervorgehen, auf welche Tatsachen die Bank ihre Einschätzung stützt und weshalb sie daraus eine Haftung des Kontoinhabers ableitet.

Betroffene sollten außerdem dokumentieren, welche Handlungen sie selbst vorgenommen haben und welche Aktivitäten ohne ihr Wissen erfolgten. Dazu gehören der Zeitpunkt des ersten verdächtigen Kontakts, die verwendete Internetseite, der Inhalt einer Nachricht, die Angaben auf dem Smartphone-Bildschirm und die einzelnen Schritte im Onlinebanking. Wenn der Täter telefonisch Anweisungen erteilt hat, ist auch festzuhalten, welche Behauptungen er aufgestellt und welche Handlungen er verlangt hat. Eine möglichst genaue Chronologie kann helfen, zwischen einer selbst veranlassten Zahlung, einer irrtümlichen Freigabe und einem unbefugten Zugriff zu unterscheiden.

Auch die Reaktion nach Entdeckung des Betrugs kann relevant sein. Wurde der Zugang unverzüglich gesperrt? Hat der Kunde die Bank über den Vorfall informiert? Wurden weitere verdächtige Transaktionen festgestellt? Hat das Kreditinstitut auf die Mitteilung reagiert und welche Schritte wurden anschließend durchgeführt? Diese Informationen beantworten zwar nicht allein die Frage, ob der Kunde für die ursprüngliche Zahlung haftet. Sie können aber dazu beitragen, den Ablauf vollständig zu rekonstruieren und weitere Streitpunkte einzuordnen.

Eine besondere Schwierigkeit besteht darin, dass sich die rechtliche Bewertung verändern kann, wenn mehrere Zahlungsvorgänge betroffen sind. Ein Täter kann zunächst Zugangsdaten erlangen, anschließend selbst Überweisungen ausführen und den Kunden später telefonisch dazu bewegen, weitere Transaktionen zu bestätigen. Es wäre nicht sachgerecht, alle Vorgänge ohne weitere Prüfung gleich zu behandeln. Für jede Zahlung kann gesondert zu untersuchen sein, ob sie autorisiert war, wie die Authentifizierung erfolgte, ob der Kunde eine einschlägige Pflicht verletzt hat und ob die gesetzlichen Haftungsregelungen eingreifen.

Anders liegt der Fall, wenn der Betroffene selbst eine Überweisung an einen bestimmten Empfänger veranlasst, weil er von einem Betrüger über den Zweck der Zahlung getäuscht wurde. Eine solche Transaktion ist nicht ohne Weiteres mit einer Zahlung gleichzusetzen, die ein Täter ohne Zustimmung des Kontoinhabers ausführt. Dass der Kunde das Geld aufgrund einer Täuschung überwiesen hat, macht den Vorgang nicht automatisch zu einer nicht autorisierten Zahlung im Sinne des Zahlungsdiensterechts. In diesen Fällen muss genauer geprüft werden, ob und auf welcher Grundlage Ansprüche gegen die Bank bestehen und welche anderen rechtlichen Möglichkeiten in Betracht kommen.

Gerade bei angeblichen Bankmitarbeitern ist die Abgrenzung häufig schwierig. Der Täter kann behaupten, der Kunde müsse Geld auf ein vermeintlich sicheres Konto übertragen, eine Testüberweisung durchführen oder eine Buchung bestätigen, um einen Angriff zu verhindern. Wenn der Kunde die Überweisung selbst eingibt und freigibt, kann die rechtliche Einordnung von derjenigen eines unbefugten Zugriffs abweichen. Entscheidend bleibt, was der Kunde tatsächlich veranlasst hat und ob die konkreten Voraussetzungen für einen Erstattungsanspruch erfüllt sind. Die bloße Bezeichnung als Phishing-Fall beantwortet diese Fragen nicht.

Eine pauschale Ablehnung mit dem Hinweis auf ein angebliches Eigenverschulden sollte deshalb nicht ungeprüft akzeptiert werden. Ebenso wenig lässt sich aus jedem Phishing-Angriff automatisch ein Erstattungsanspruch ableiten. Maßgeblich sind die konkreten Tatsachen, die gesetzlichen Voraussetzungen und die Nachweise, die für die jeweilige Zahlung vorliegen. Die Prüfung sollte sowohl die Argumentation des Kreditinstituts als auch die Darstellung des Betroffenen einbeziehen.

Wer sich gegen eine Haftungszuweisung wehren möchte, sollte insbesondere die schriftliche Begründung der Bank, die Transaktionsdaten und die vorhandenen Sicherheitsinformationen sichern. Dazu gehören Kontoauszüge, Buchungsdetails, Nachrichten, E-Mails, Screenshots, Gesprächsnotizen und gegebenenfalls die Dokumentation der angezeigten Freigabedaten. Auch die Frage, wann der Kunde den Vorfall bemerkt und wann er das Kreditinstitut informiert hat, sollte anhand vorhandener Unterlagen nachvollziehbar sein. Je präziser der Ablauf dokumentiert ist, desto gezielter lässt sich prüfen, ob die Bank die gesetzlichen Anforderungen an eine Haftung des Kunden erfüllt.

Wenn die Bank eine Erstattung unter Berufung auf grobe Fahrlässigkeit ablehnt, sollte diese Behauptung anhand des konkreten Geschehens überprüft werden. Es ist zu klären, welches Verhalten dem Kunden vorgeworfen wird, welche Warnhinweise tatsächlich vorlagen, welche Informationen der Kunde bei der Freigabe sehen konnte und ob die rechtlichen Voraussetzungen für eine Haftung gegeben sind. Eine anwaltliche Prüfung kann dabei helfen, die Argumentation des Kreditinstituts rechtlich einzuordnen, Beweislücken zu erkennen und die geltend gemachten Ansprüche sachgerecht zu begründen. Eine bestimmte Erstattung lässt sich daraus nicht garantieren; die Erfolgsaussichten hängen vom Einzelfall ab.

Phishing Bank zahlt nicht – welche Rolle spielen TAN, PushTAN und Sicherheitsverfahren?

Wenn die Bank nach einem Phishing-Angriff die Erstattung verweigert, spielen TAN, PushTAN, SMS-Codes und andere Sicherheitsverfahren häufig eine zentrale Rolle. Das Kreditinstitut verweist möglicherweise darauf, dass eine Überweisung mit den korrekten Zugangsdaten ausgeführt oder eine Zahlung in der Banking-App bestätigt wurde. Für Betroffene entsteht dadurch der Eindruck, die technische Freigabe sei bereits der Beweis dafür, dass sie selbst für den Verlust verantwortlich sind. Diese Schlussfolgerung ist jedoch nicht ohne Weiteres gerechtfertigt. Entscheidend ist, was technisch geschehen ist, welche Erklärung der Kunde mit seiner Handlung abgegeben hat und ob die gesetzlichen Voraussetzungen für eine Haftung erfüllt sind.

Moderne Onlinebanking-Systeme verwenden unterschiedliche Sicherheitsverfahren, um den Zugriff auf ein Konto und die Ausführung von Zahlungen zu schützen. Dazu gehören Passwörter, Einmalcodes per SMS, chipTAN-Verfahren, PushTAN-Verfahren, Freigaben über Banking-Apps und biometrische Merkmale. Je nach Bank und konkreter Transaktion können mehrere dieser Faktoren zusammenwirken. Werden solche Sicherheitsmechanismen durch Phishing oder Social Engineering ausgenutzt, muss geprüft werden, welche Daten der Täter erlangt hat, welche Schritte er selbst vorgenommen hat und welche Handlungen der Kontoinhaber tatsächlich ausgeführt hat.

Eine TAN bestätigt zunächst einen bestimmten technischen Vorgang innerhalb des jeweiligen Sicherheitsverfahrens. Welche Bedeutung ihr im Einzelfall zukommt, hängt davon ab, wofür sie angefordert wurde und welche Informationen dem Kunden bei der Verwendung angezeigt wurden. Wird eine TAN beispielsweise zur Bestätigung einer konkreten Überweisung verwendet, können der angezeigte Betrag und der Empfänger für die rechtliche Bewertung bedeutsam sein. Wird dem Kunden dagegen vorgespiegelt, der Code diene der Sperrung des Kontos oder der Abwehr eines Angriffs, muss der tatsächliche Ablauf genauer untersucht werden.

Das gilt auch für PushTAN-Verfahren. Eine Freigabe in der Banking-App kann den Anschein erwecken, dass der Kunde eine Transaktion bewusst bestätigt hat. Tatsächlich kann ein Betrüger den Betroffenen zuvor telefonisch unter Druck gesetzt oder durch eine gefälschte Nachricht zu einer vermeintlichen Sicherheitsmaßnahme verleitet haben. Ob eine wirksame Autorisierung vorliegt, lässt sich deshalb nicht allein aus der Tatsache ableiten, dass auf dem Smartphone eine Freigabe vorgenommen wurde. Es kommt auf die konkreten Umstände und den Inhalt des jeweiligen Vorgangs an.

Die technische Bestätigung und die rechtliche Autorisierung sind getrennt zu prüfen. Eine Bank kann nachweisen, dass ein Sicherheitsverfahren eingesetzt wurde. Daraus folgt aber nicht automatisch, dass der Kunde die konkrete Zahlung rechtlich autorisiert hat oder ihm eine vorsätzliche beziehungsweise grob fahrlässige Pflichtverletzung vorzuwerfen ist. Für die Bewertung sind die einschlägigen gesetzlichen Regelungen, insbesondere §§ 675u, 675v und 675w BGB, sowie die tatsächlichen Umstände des Zahlungsvorgangs maßgeblich.

Wenn die Bank erklärt, die Zahlung sei ordnungsgemäß mit einer TAN bestätigt worden, sollte der Betroffene daher nachfragen, welche Transaktion genau bestätigt wurde. Wichtig sind insbesondere der Zeitpunkt der Freigabe, der angezeigte Empfänger, der Betrag, die Art des Sicherheitsverfahrens und die Frage, ob die Freigabe mit einer zuvor erfassten Überweisung zusammenhing. Auch die Unterscheidung zwischen einer Anmeldung im Onlinebanking, der Registrierung eines neuen Geräts und der Bestätigung einer konkreten Zahlung kann relevant sein. Diese Vorgänge erfüllen unterschiedliche Funktionen und dürfen nicht ohne Weiteres gleichgesetzt werden.

Bei einem Phishing-Angriff kann es beispielsweise vorkommen, dass der Täter zunächst Zugangsdaten abgreift und sich anschließend selbst im Onlinebanking anmeldet. In einem anderen Fall erhält er die Daten während eines Telefonats, in dem er sich als Bankmitarbeiter ausgibt. Es gibt auch Konstellationen, in denen der Kunde eine vermeintliche Sicherheits-App installiert oder auf einer gefälschten Internetseite Informationen eingibt. Die technischen Folgen können unterschiedlich sein: Ein Täter kann eine Zahlung selbst veranlassen, ein bereits vorhandenes Sicherheitsverfahren missbrauchen oder versuchen, ein zusätzliches Gerät für den Kontozugriff einzurichten.

Für die rechtliche Beurteilung ist deshalb wichtig, ob der Kunde die fragliche Zahlung selbst ausgelöst hat oder ob ein Dritter ohne seine Zustimmung gehandelt hat. Hat der Täter eigenständig eine Überweisung eingerichtet und ausgeführt, kann eine nicht autorisierte Zahlung vorliegen. Hat der Kunde dagegen selbst eine Überweisung an einen bestimmten Empfänger eingegeben und freigegeben, weil er über den Zweck der Zahlung getäuscht wurde, ist die rechtliche Einordnung schwieriger. Die Tatsache, dass beide Vorgänge durch einen Betrug ausgelöst wurden, führt nicht dazu, dass sie nach den Regeln des Zahlungsdiensterechts identisch zu behandeln sind.

Besondere Bedeutung haben die Informationen, die vor einer Freigabe angezeigt wurden. Bei vielen Sicherheitsverfahren werden der Betrag, der Zahlungsempfänger oder andere Transaktionsdaten dargestellt. Diese Angaben können bei der Frage helfen, ob der Kunde eine bestimmte Zahlung bestätigen wollte und ob er erkennen konnte, welche Folgen seine Handlung haben würde. Allerdings muss der konkrete Ablauf betrachtet werden. Es ist beispielsweise zu prüfen, ob die Daten vollständig und verständlich angezeigt wurden, ob die Darstellung zur tatsächlich ausgeführten Transaktion passte und ob eine Täuschung durch den Täter vorlag.

Wenn die Bank eine Freigabe dokumentiert, sollte sie deshalb nicht nur auf das Vorhandensein eines Bestätigungsvorgangs verweisen. Für die rechtliche Prüfung können auch die gespeicherten Transaktionsdaten, die Art der Authentifizierung und die Protokolle der Sicherheitsverfahren von Bedeutung sein. Betroffene sollten die Bank auffordern, die Ablehnung nachvollziehbar zu begründen und die für den konkreten Zahlungsvorgang maßgeblichen Angaben zu erläutern. Soweit bestimmte technische Informationen nicht unmittelbar zugänglich sind, sollte zumindest dokumentiert werden, welche Auskünfte erteilt und welche Nachweise nicht zur Verfügung gestellt wurden.

Auch SMS-TANs verdienen eine differenzierte Betrachtung. Wer einen Code an eine fremde Person weitergibt, kann damit ein Sicherheitsrisiko schaffen. Ob daraus im konkreten Fall eine Haftung folgt, hängt jedoch von den gesetzlichen Voraussetzungen und den tatsächlichen Umständen ab. Es macht beispielsweise einen Unterschied, ob der Kunde einen Code bewusst zur Bestätigung einer Zahlung übermittelt oder ob ihm durch eine täuschend echte Nachricht vorgespiegelt wird, die Eingabe sei für einen anderen Vorgang erforderlich. Ebenso kann relevant sein, welche Hinweise die Bank zum Zweck des Codes gegeben hat und ob diese Hinweise im konkreten Ablauf verständlich waren.

Phishing-Nachrichten verwenden häufig Formulierungen, die eine unmittelbare Gefahr suggerieren. Betroffene werden aufgefordert, ihr Konto angeblich zu verifizieren, eine verdächtige Anmeldung zu bestätigen oder eine Sperre durch Eingabe eines Codes zu verhindern. Manchmal werden echte Banklogos, bekannte Telefonnummern oder persönliche Informationen verwendet. In solchen Situationen kann ein Betroffener glauben, eine Schutzmaßnahme durchzuführen, obwohl er tatsächlich einen Zugriff ermöglicht oder eine Zahlung bestätigt. Diese Umstände sollten bei der Bewertung eines behaupteten Pflichtverstoßes berücksichtigt werden. Sie bedeuten allerdings nicht automatisch, dass jede Handlung des Kunden rechtlich folgenlos bleibt.

Bei biometrischen Freigaben, etwa per Fingerabdruck oder Gesichtserkennung, gelten vergleichbare Grundsätze. Die biometrische Funktion kann belegen, dass ein bestimmtes Gerät oder eine bestimmte Anwendung erfolgreich bedient wurde. Sie beantwortet aber nicht zwangsläufig sämtliche Fragen zur Autorisierung einer konkreten Zahlung. Denkbar ist beispielsweise, dass ein Betroffener eine Anwendung öffnet, weil er einer vermeintlichen Sicherheitsanweisung folgt, ohne zu erkennen, dass damit eine Zahlung bestätigt werden soll. Ob und welche rechtlichen Konsequenzen sich daraus ergeben, muss anhand des konkreten Freigabevorgangs beurteilt werden.

Bei der Prüfung von Sicherheitsverfahren sollte außerdem zwischen dem Verlust von Zugangsdaten und der missbräuchlichen Verwendung eines Zahlungsinstruments unterschieden werden. Ein gestohlenes Passwort allein erklärt noch nicht, wie eine konkrete Zahlung zustande kam. Ebenso ist eine erfolgreiche Anmeldung kein hinreichender Ersatz für die Prüfung einer späteren Überweisung. Für jeden relevanten Vorgang sollte nachvollziehbar sein, welche Zugangsdaten oder Sicherheitsmerkmale verwendet wurden, welche Handlungen der Kunde vorgenommen hat und ob der Täter selbst aktiv geworden ist.

Betroffene sollten sich deshalb nicht allein auf die pauschale Aussage verlassen, eine Zahlung sei „mit korrekter TAN“ durchgeführt worden. Sie sollten den zeitlichen Ablauf festhalten und die verfügbaren Unterlagen sichern. Dazu gehören Nachrichten der Bank, SMS-Codes, PushTAN-Mitteilungen, Screenshots der Banking-App, E-Mails, gefälschte Internetseiten und Gesprächsnotizen. Wenn der Betroffene noch weiß, welche Angaben bei einer Freigabe auf dem Bildschirm zu sehen waren, sollte er diese Erinnerung möglichst zeitnah schriftlich dokumentieren. Dabei sollte klar zwischen dem unterschieden werden, was tatsächlich angezeigt wurde, und dem, was der vermeintliche Bankmitarbeiter telefonisch behauptet hat.

Die Sicherung solcher Informationen ist besonders wichtig, wenn mehrere Freigaben erfolgt sind. Ein Täter kann zunächst eine Anmeldung auslösen, später eine neue Geräteverknüpfung veranlassen und anschließend eine oder mehrere Überweisungen durchführen. Es wäre ungenau, alle Schritte pauschal als einen einzigen Vorgang zu behandeln. Für jede Handlung kann gesondert zu untersuchen sein, ob sie vom Kunden ausging, welchem Zweck sie diente und ob sie für die spätere Zahlung maßgeblich war. Die Bank sollte die einzelnen Transaktionen und Sicherheitsereignisse deshalb möglichst konkret benennen.

Wenn die Bank auf eine grob fahrlässige Missachtung von Sicherheitsregeln abstellt, sollte sie erläutern, welches Verhalten sie konkret meint. Die bloße Tatsache, dass ein Täter erfolgreich war, beweist noch nicht, dass der Kunde die erforderliche Sorgfalt in besonders schwerem Maße verletzt hat. Ebenso lässt sich aus der Verwendung eines korrekten Sicherheitsmerkmals nicht automatisch ableiten, dass der Kunde die Transaktion autorisiert oder grob fahrlässig ermöglicht hat. Die gesetzlichen Anforderungen müssen anhand des Einzelfalls geprüft werden.

§ 675w BGB ist in diesem Zusammenhang besonders relevant, weil die Vorschrift den Nachweis der Authentifizierung und bestimmter weiterer Umstände eines Zahlungsvorgangs betrifft. Der Nachweis, dass ein Zahlungsinstrument verwendet oder ein Sicherheitsverfahren technisch erfolgreich durchlaufen wurde, beantwortet nicht zwangsläufig die Frage, ob der Kunde die Zahlung autorisiert hat oder ihm eine vorsätzliche beziehungsweise grob fahrlässige Pflichtverletzung vorzuwerfen ist. Welche Nachweise im konkreten Streit erforderlich sind, richtet sich nach dem Sachverhalt und den gesetzlichen Vorgaben. Eine Bankablehnung sollte deshalb nicht ungeprüft als abschließende rechtliche Bewertung verstanden werden.

Auch die Sicherheitsgestaltung des jeweiligen Verfahrens kann für die Aufarbeitung des Sachverhalts von Bedeutung sein. Zu prüfen ist beispielsweise, ob die verwendete App eine konkrete Zahlung anzeigte, ob Betrag und Empfänger eindeutig erkennbar waren und ob die angezeigten Daten mit der später verbuchten Transaktion übereinstimmten. Wenn der Kunde eine Freigabe für einen anderen Zweck hielt, sollte dokumentiert werden, wie es zu dieser Einschätzung kam. Dabei ist nicht allein die subjektive Vorstellung des Kunden entscheidend; sie muss mit dem tatsächlichen Ablauf und den rechtlichen Anforderungen abgeglichen werden.

Bei der Kommunikation mit der Bank empfiehlt es sich, nicht nur die Erstattung zu verlangen, sondern auch eine konkrete Auseinandersetzung mit den maßgeblichen Tatsachen zu fordern. Betroffene können um Auskunft bitten, welche Transaktion authentifiziert wurde, welche Freigabedaten dokumentiert sind und worauf sich der Vorwurf einer Pflichtverletzung stützt. Sie sollten außerdem darlegen, ob sie die Zahlung selbst eingegeben haben oder ob der Vorgang ohne ihr Wissen zustande kam. Eine genaue, widerspruchsfreie Darstellung erleichtert es, die technische und rechtliche Einordnung voneinander zu trennen.

Wenn die Bank weiterhin ablehnt, kann eine anwaltliche Prüfung sinnvoll sein. Dabei lässt sich untersuchen, ob es sich um eine nicht autorisierte Zahlung handelt, welche Bedeutung das verwendete Sicherheitsverfahren hat und ob die Bank die Voraussetzungen einer möglichen Kundenhaftung ausreichend begründet. Ebenso kann geprüft werden, ob die dokumentierten Vorgänge die Schlussfolgerungen des Kreditinstituts tatsächlich tragen oder ob wichtige Informationen fehlen. Eine erfolgreiche Durchsetzung von Ansprüchen kann nicht garantiert werden. Sie hängt von den konkreten Umständen, der verfügbaren Beweislage und der rechtlichen Einordnung der einzelnen Transaktionen ab.

Für Betroffene bleibt entscheidend, die technische Freigabe nicht vorschnell mit einer endgültigen Haftung gleichzusetzen. TAN, PushTAN und biometrische Verfahren sind wichtige Bestandteile des Zahlungsverkehrs, ersetzen aber nicht die rechtliche Prüfung des konkreten Zahlungsvorgangs. Wer nachvollziehbar darlegen kann, wie der Phishing-Angriff ablief, welche Handlungen tatsächlich vorgenommen wurden und welche Informationen dabei vorlagen, schafft eine bessere Grundlage, um die Ablehnung der Bank gezielt zu überprüfen.

Phishing Bank zahlt nicht – wie können Betroffene gegen eine Erstattungsablehnung vorgehen?

Wenn die Bank nach einem Phishing-Angriff die Erstattung verweigert, sollten Betroffene die Entscheidung nicht ungeprüft hinnehmen. Eine Ablehnung bedeutet nicht automatisch, dass kein Anspruch besteht. Gleichzeitig führt nicht jeder Phishing-Vorfall zu einem Erstattungsanspruch gegen das Kreditinstitut. Entscheidend ist, wie die Zahlung zustande gekommen ist, ob sie vom Kontoinhaber autorisiert wurde und auf welche Tatsachen die Bank ihre Entscheidung stützt. Wer gegen die Ablehnung vorgehen möchte, sollte deshalb strukturiert vorgehen und die rechtlichen sowie tatsächlichen Streitpunkte möglichst genau herausarbeiten.

Der erste Schritt besteht darin, die Begründung der Bank vollständig zu prüfen. Viele Ablehnungsschreiben enthalten lediglich allgemeine Aussagen, wonach die Zahlung ordnungsgemäß authentifiziert worden sei oder der Kunde seine Sicherheitsdaten nicht ausreichend geschützt habe. Solche Angaben können für die rechtliche Bewertung relevant sein, reichen aber nicht zwangsläufig aus, um sämtliche Voraussetzungen einer Kundenhaftung zu belegen. Betroffene sollten daher prüfen, ob die Bank den konkreten Zahlungsvorgang beschreibt, die behauptete Pflichtverletzung nachvollziehbar erläutert und erkennen lässt, auf welche Unterlagen oder technischen Informationen sie ihre Entscheidung stützt.

Dabei ist zunächst zu unterscheiden, ob die Bank die Zahlung als autorisiert oder als nicht autorisiert einordnet. Diese Frage bildet häufig den Ausgangspunkt der weiteren Prüfung. Bei einer nicht autorisierten Zahlung kommt insbesondere ein Anspruch nach § 675u BGB in Betracht. Hat der Kunde eine Überweisung dagegen selbst eingegeben und freigegeben, weil er von einem Betrüger über deren Zweck getäuscht wurde, kann die rechtliche Beurteilung anders ausfallen. Die Bank sollte deshalb nicht lediglich auf den allgemeinen Umstand verweisen, dass ein Phishing-Angriff stattgefunden hat. Es muss geklärt werden, welche konkrete Zahlung betroffen ist und wie sie tatsächlich ausgelöst wurde.

Wenn die Bank erklärt, der Kunde habe die Zahlung selbst autorisiert, sollte geprüft werden, worauf sie diese Einschätzung stützt. Wurde eine Überweisung im Onlinebanking angelegt? Wurden die Empfängerdaten und der Betrag vor der Freigabe angezeigt? Hat der Kunde eine TAN eingegeben oder eine PushTAN-Benachrichtigung bestätigt? Oder wurde der Zahlungsvorgang vollständig durch einen Dritten ausgeführt? Diese Fragen sollten nicht pauschal beantwortet werden. Bei mehreren betroffenen Buchungen kann es erforderlich sein, jede Transaktion gesondert zu betrachten.

Anschließend sollte der Betroffene die Argumentation zur angeblichen Pflichtverletzung untersuchen. Behauptet die Bank, Zugangsdaten seien an einen Dritten weitergegeben worden? Wirft sie dem Kunden vor, eine Warnmeldung ignoriert oder eine gefälschte Internetseite genutzt zu haben? Oder begründet sie ihre Entscheidung ausschließlich mit der technischen Authentifizierung? Diese Varianten sind rechtlich unterschiedlich zu bewerten. Insbesondere darf die erfolgreiche Nutzung eines Sicherheitsverfahrens nicht ohne weitere Prüfung mit einer vorsätzlichen oder grob fahrlässigen Pflichtverletzung gleichgesetzt werden.

Eine sachgerechte Reaktion sollte deshalb nicht nur aus der wiederholten Forderung nach einer Erstattung bestehen. Sinnvoller ist eine konkrete Stellungnahme zu den Gründen der Ablehnung. Darin sollte der Betroffene erläutern, welche Handlungen er selbst vorgenommen hat, welche Vorgänge ohne sein Wissen erfolgten und auf welche Weise er getäuscht wurde. Soweit die Bank einzelne Tatsachen anders darstellt, sollte dies ausdrücklich angesprochen werden. Dabei empfiehlt es sich, zwischen gesicherten Informationen und Erinnerungen zu unterscheiden, die sich nicht mehr anhand von Unterlagen überprüfen lassen.

Besonders wichtig ist eine chronologische Darstellung des Phishing-Vorfalls. Sie sollte möglichst genau wiedergeben, wann der erste Kontakt mit den Tätern stattfand, welche Nachricht oder Internetseite verwendet wurde, welche Anweisungen der Betroffene erhielt und welche Schritte anschließend erfolgten. Ebenso sollte dokumentiert werden, wann die verdächtigen Kontobewegungen bemerkt wurden und wann die Bank darüber informiert wurde. Eine solche Darstellung kann helfen, die einzelnen Vorgänge voneinander abzugrenzen und Widersprüche zwischen der Schilderung des Kunden, den Buchungsdaten und der Begründung des Kreditinstituts zu erkennen.

Zur Unterstützung der eigenen Darstellung sollten alle verfügbaren Belege gesichert werden. Dazu gehören Kontoauszüge, Buchungsdetails, Überweisungsbestätigungen, SMS-Nachrichten, E-Mails, Screenshots, Chatverläufe und Angaben zu den verwendeten Telefonnummern oder Internetadressen. Wenn die Bank eine PushTAN-Freigabe oder einen anderen Sicherheitsvorgang als Beleg anführt, sollten die hierzu verfügbaren Informationen ebenfalls aufbewahrt werden. Betroffene sollten außerdem festhalten, welche Auskünfte sie bereits von der Bank erhalten haben und welche Fragen bislang unbeantwortet geblieben sind.

Bei der Auseinandersetzung mit der Bank können die §§ 675u, 675v und 675w BGB eine zentrale Rolle spielen. § 675u BGB betrifft die Folgen nicht autorisierter Zahlungsvorgänge. § 675v BGB regelt unter bestimmten Voraussetzungen die Haftung des Zahlers bei missbräuchlicher Verwendung eines Zahlungsinstruments. § 675w BGB betrifft den Nachweis der Authentifizierung und weiterer Umstände des Zahlungsvorgangs. Welche Vorschriften im konkreten Fall maßgeblich sind, hängt davon ab, wie die Zahlung zustande kam und welche Einwände die Bank erhebt.

Betroffene sollten insbesondere darauf achten, dass die technische Authentifizierung und die rechtliche Autorisierung nicht miteinander verwechselt werden. Der Nachweis, dass eine TAN verwendet oder eine Freigabe in der Banking-App bestätigt wurde, beantwortet nicht zwangsläufig die Frage, ob der Kunde die konkrete Zahlung autorisiert hat. Ebenso folgt daraus nicht automatisch, dass ihm eine vorsätzliche oder grob fahrlässige Pflichtverletzung vorzuwerfen ist. Wird die Ablehnung ausschließlich mit einer erfolgreichen Authentifizierung begründet, sollte geprüft werden, ob die Bank damit auch die weiteren entscheidenden Fragen nachvollziehbar beantwortet hat.

Wenn die Bank behauptet, der Kunde habe grob fahrlässig gehandelt, sollte sie den konkreten Vorwurf erläutern. Es macht einen Unterschied, ob jemand einen Code bewusst an eine unbekannte Person weitergibt, ob er aufgrund einer täuschend echten Nachricht eine vermeintliche Sicherheitsmaßnahme durchführt oder ob ein Täter ohne sein Wissen auf das Konto zugreift. Auch die Darstellung des angeblichen Bankmitarbeiters, die angezeigten Informationen und die konkreten Warnhinweise können für die Beurteilung relevant sein. Ein allgemeiner Verweis auf Sicherheitsregeln ersetzt nicht die Prüfung des tatsächlichen Ablaufs.

In der schriftlichen Auseinandersetzung kann es deshalb sinnvoll sein, die Bank um eine nachvollziehbare Erläuterung ihrer Entscheidung zu bitten. Dabei können insbesondere folgende Punkte angesprochen werden: Welche konkrete Transaktion wird als autorisiert angesehen? Welche Authentifizierungsdaten liegen vor? Welche Handlungen sollen vom Kunden ausgegangen sein? Auf welche Tatsachen stützt die Bank den Vorwurf einer Pflichtverletzung? Und weshalb soll diese Pflichtverletzung nach ihrer Auffassung eine Haftung begründen? Die Fragen sollten auf den konkreten Sachverhalt zugeschnitten sein, statt lediglich allgemeine Auskünfte über das Sicherheitsverfahren zu verlangen.

Eine Erstattungsablehnung sollte außerdem daraufhin überprüft werden, ob alle betroffenen Zahlungen berücksichtigt wurden. Hat der Täter mehrere Überweisungen ausgeführt, kann die Bank unterschiedliche Vorgänge in einer gemeinsamen Stellungnahme behandeln. Daraus darf jedoch nicht folgen, dass die Umstände jeder einzelnen Transaktion ungeprüft bleiben. Es kann beispielsweise sein, dass eine Zahlung ohne Wissen des Kunden ausgelöst wurde, während eine andere durch eine irreführende telefonische Anweisung zustande kam. Solche Unterschiede können die rechtliche Bewertung beeinflussen.

Auch die zeitliche Abfolge ist wichtig. Betroffene sollten festhalten, wann sie den Vorfall bemerkten, wann sie ihre Bank informierten und welche Maßnahmen anschließend ergriffen wurden. Bei nicht autorisierten Zahlungsvorgängen ist insbesondere die Mitteilung an den Zahlungsdienstleister von Bedeutung. Nach § 676b BGB gelten für die Anzeige nicht autorisierter oder fehlerhaft ausgeführter Zahlungsvorgänge gesetzliche Fristen. Unter bestimmten Voraussetzungen können Ansprüche ausgeschlossen sein, wenn die erforderliche Mitteilung nicht rechtzeitig erfolgt. Die Einzelheiten hängen vom jeweiligen Fall ab; deshalb sollte die zeitliche Situation frühzeitig geprüft werden.

Wer den Vorfall bereits vor längerer Zeit gemeldet hat, sollte die damalige Kommunikation sichern. E-Mails, Nachrichten im elektronischen Postfach, Gesprächsnotizen und Bestätigungen der Bank können belegen, wann das Kreditinstitut informiert wurde und welche Angaben übermittelt wurden. Wurde die Meldung telefonisch vorgenommen, sollte der Betroffene festhalten, wann das Gespräch stattfand und welchen Inhalt es hatte. Eine fehlende schriftliche Bestätigung bedeutet nicht automatisch, dass die Mitteilung nicht erfolgt ist. Sie kann die spätere Rekonstruktion allerdings erschweren.

Wenn die Bank nach einer erneuten Prüfung an ihrer Ablehnung festhält, kommen je nach Fall weitere Möglichkeiten in Betracht. Dazu kann eine anwaltliche Aufforderung zur Erstattung gehören. Bei geeigneten Sachverhalten kann außerdem geprüft werden, ob ein zuständiges Schlichtungsverfahren oder eine andere außergerichtliche Klärung infrage kommt. Welche Möglichkeit sinnvoll ist, hängt unter anderem vom Kreditinstitut, der Art des Streitfalls, den vorhandenen Nachweisen und den geltenden Verfahrensvoraussetzungen ab. Ein außergerichtlicher Schritt sollte nicht dazu führen, dass mögliche gesetzliche oder vertragliche Fristen übersehen werden.

Ein anwaltliches Schreiben kann insbesondere dann sinnvoll sein, wenn die Bank ihre Ablehnung nur pauschal begründet, eine grobe Fahrlässigkeit behauptet oder die technische Authentifizierung als allein entscheidendes Argument verwendet. Eine rechtliche Prüfung kann helfen, die einschlägigen Vorschriften auf den konkreten Ablauf anzuwenden und die Bank mit den tatsächlichen sowie rechtlichen Einwänden auseinanderzusetzen. Dabei sollte auch geprüft werden, ob die bisherige Korrespondenz bereits alle relevanten Informationen enthält oder ob bestimmte technische Angaben noch angefordert werden müssen.

Betroffene sollten allerdings keine ungesicherten Angaben machen, nur um eine möglichst überzeugende Darstellung zu erreichen. Es ist besser, offen zu benennen, welche Schritte sie tatsächlich ausgeführt haben und an welche Einzelheiten sie sich nicht mehr sicher erinnern. Widersprüchliche Schilderungen können die Klärung erschweren. Wenn sich eine Erinnerung erst durch den Vergleich mit Kontoauszügen oder Nachrichten konkretisieren lässt, sollte dieser Zusammenhang deutlich gemacht werden. Die Darstellung muss den tatsächlichen Ablauf wiedergeben und sollte nicht nachträglich an eine vermeintlich günstigere rechtliche Position angepasst werden.

Auch die Kommunikation mit der Bank sollte sachlich und präzise bleiben. Allgemeine Vorwürfe oder wiederholte pauschale Forderungen bringen die Prüfung häufig nicht weiter. Hilfreicher ist es, die konkrete Buchung zu benennen, den bestrittenen Sachverhalt darzustellen und zu erklären, welche rechtliche Frage aus Sicht des Betroffenen ungeklärt bleibt. Werden mehrere Vorgänge beanstandet, sollte jeder einzeln aufgeführt werden. So lässt sich vermeiden, dass die Bank lediglich auf eine frühere allgemeine Stellungnahme verweist, ohne auf neue oder bislang unbeantwortete Punkte einzugehen.

Eine Erstattung kann nicht garantiert werden. Ob die Bank zur Rückzahlung verpflichtet ist, hängt insbesondere davon ab, ob die Zahlung rechtlich als nicht autorisiert einzuordnen ist, welche Nachweise vorliegen und ob eine gesetzlich relevante Kundenhaftung greift. Bei einer vom Kunden selbst ausgeführten Überweisung kann zudem eine andere rechtliche Prüfung erforderlich sein als bei einer ohne seine Zustimmung veranlassten Transaktion. Eine sorgfältige Aufarbeitung sollte diese Unterschiede ausdrücklich berücksichtigen.

Wer gegen die Ablehnung vorgehen möchte, sollte daher nicht nur die Höhe des Schadens und den Umstand des Phishing-Angriffs schildern. Entscheidend ist eine nachvollziehbare Verbindung zwischen dem konkreten Zahlungsvorgang, den vorhandenen Beweisen und den gesetzlichen Voraussetzungen des geltend gemachten Anspruchs. Eine strukturierte Prüfung der Ablehnungsgründe kann sichtbar machen, ob die Bank tatsächlich auf alle entscheidenden Fragen eingegangen ist oder ob ihre Argumentation überprüft werden sollte.

Phishing Bank zahlt nicht – welche Beweise sind für die Durchsetzung von Ansprüchen wichtig?

Wenn die Bank nach einem Phishing-Angriff die Erstattung verweigert, kommt es häufig darauf an, wie genau sich der Zahlungsvorgang rekonstruieren lässt. Betroffene wissen möglicherweise, dass Geld vom Konto verschwunden ist, können aber nicht ohne Weiteres erklären, wie der Täter Zugang zum Onlinebanking erlangt oder die Überweisung ausgelöst hat. Andere haben eine TAN eingegeben oder eine Freigabe in der Banking-App bestätigt, weil ihnen ein vermeintlicher Bankmitarbeiter eine angebliche Sicherheitsmaßnahme erklärt hat. Gerade in solchen Situationen ist es wichtig, die vorhandenen Beweise systematisch zu sichern und den Ablauf nachvollziehbar darzustellen.

Eine erfolgreiche Durchsetzung von Ansprüchen hängt nicht allein davon ab, dass ein Phishing-Angriff stattgefunden hat. Entscheidend ist, welche Zahlungen betroffen sind, ob diese autorisiert wurden, welche Umstände die Bank für ihre Ablehnung anführt und welche rechtlichen Voraussetzungen erfüllt sein müssen. Belege sollten deshalb nicht nur den finanziellen Schaden dokumentieren, sondern möglichst auch erklären, wie es zu den einzelnen Transaktionen gekommen ist. Je genauer die Unterlagen den Ablauf abbilden, desto besser lässt sich prüfen, ob die Begründung des Kreditinstituts zutrifft.

Zu den wichtigsten Unterlagen gehören zunächst die vollständigen Kontoauszüge für den Zeitraum vor, während und nach dem Vorfall. Sie sollten erkennen lassen, wann die fraglichen Buchungen erfolgten, welche Beträge betroffen waren und welche Empfängerangaben vorliegen. Bei mehreren Transaktionen ist es sinnvoll, jede Buchung gesondert zu erfassen. Dadurch lässt sich beispielsweise feststellen, ob mehrere Überweisungen in kurzer Folge ausgeführt wurden, ob zuvor eine ungewöhnliche Kontobewegung stattfand oder ob nach der ersten verdächtigen Zahlung weitere Beträge abflossen.

Zusätzlich sollten Betroffene die Einzelheiten jeder Buchung sichern, soweit diese im Onlinebanking verfügbar sind. Dazu können der Buchungstext, der Zahlungsempfänger, die IBAN, der Verwendungszweck, die Transaktionsreferenz und der jeweilige Ausführungszeitpunkt gehören. Bei Kartenzahlungen oder anderen Zahlungsarten können abweichende Angaben relevant sein. Es empfiehlt sich, die Informationen nicht nur als Bildschirmfoto zu speichern, sondern nach Möglichkeit auch Kontoauszüge oder herunterladbare Transaktionsbelege aufzubewahren. Diese Unterlagen können später dabei helfen, die einzelnen Zahlungsvorgänge eindeutig zuzuordnen.

Ebenso wichtig ist die gesamte Kommunikation mit der Bank. Dazu zählen Nachrichten über das elektronische Postfach, E-Mails, Schreiben zur Ablehnung der Erstattung, Bestätigungen über die Sperrung des Kontos und Mitteilungen über die Untersuchung des Vorfalls. Auch die Antworten auf Rückfragen sollten vollständig gespeichert werden. Wenn das Kreditinstitut seine Entscheidung mehrfach erläutert hat, sollten die einzelnen Schreiben in zeitlicher Reihenfolge abgelegt werden. Auf diese Weise lässt sich nachvollziehen, ob die Begründung im Laufe der Prüfung verändert wurde und welche konkreten Einwände bislang unbeantwortet geblieben sind.

Die Ablehnung der Bank sollte besonders sorgfältig dokumentiert werden. Wenn das Kreditinstitut erklärt, eine Zahlung sei ordnungsgemäß authentifiziert worden, sollte das entsprechende Schreiben aufbewahrt werden. Gleiches gilt für Behauptungen, der Kunde habe Zugangsdaten weitergegeben, eine Warnmeldung ignoriert oder grob fahrlässig gehandelt. Diese Aussagen können für die rechtliche Auseinandersetzung entscheidend sein. Betroffene sollten deshalb nicht nur den abschließenden Ablehnungsbescheid sichern, sondern auch sämtliche vorausgegangenen Mitteilungen, aus denen sich die Argumentation der Bank ergibt.

Ein weiterer zentraler Beweisbereich betrifft die Kommunikation mit den mutmaßlichen Tätern. Phishing-Angriffe beginnen häufig mit einer SMS, einer E-Mail, einer Nachricht über einen Messenger oder einem Telefonanruf. Solche Kontakte können erklären, weshalb der Betroffene eine bestimmte Handlung vorgenommen hat. Nachrichten sollten deshalb möglichst vollständig aufbewahrt werden. Dazu gehören der ursprüngliche Nachrichtentext, der Absender, die Telefonnummer oder E-Mail-Adresse, der Zeitpunkt des Eingangs und gegebenenfalls enthaltene Links. Auch der Gesprächsverlauf kann bedeutsam sein, wenn die Täter behaupteten, im Auftrag der Bank zu handeln oder ein Sicherheitsproblem lösen zu müssen.

Screenshots können helfen, den Inhalt gefälschter Nachrichten und Internetseiten festzuhalten. Wenn eine vermeintliche Bankseite inzwischen nicht mehr erreichbar ist, kann eine vorhandene Bildschirmaufnahme besonders wertvoll sein. Sie sollte möglichst die sichtbare Internetadresse und den dargestellten Inhalt erkennen lassen. Betroffene sollten außerdem notieren, über welchen Weg sie die Seite aufgerufen haben und welche Handlungen sie dort vorgenommen haben. Es ist hilfreich, die Originalnachrichten und Dateien zusätzlich aufzubewahren, anstatt sich ausschließlich auf einzelne Screenshots zu verlassen.

Wenn der Betrug telefonisch angebahnt wurde, sollten Betroffene den Gesprächsverlauf möglichst zeitnah aus dem Gedächtnis festhalten. Wichtig sind das Datum, die ungefähre Uhrzeit, die Dauer des Gesprächs, die angezeigte Telefonnummer und die Aussagen des Anrufers. Besonders relevant ist, welche Begründung für die verlangten Handlungen gegeben wurde. Hat der Anrufer behauptet, es gebe eine verdächtige Überweisung? Wurde eine Kontosperrung angekündigt? Sollte der Kunde eine TAN eingeben oder eine Freigabe bestätigen, um angeblich Geld zu schützen? Solche Angaben können dazu beitragen, den tatsächlichen Zweck der Handlung von der Darstellung des Täters zu unterscheiden.

Wenn der Betroffene eine TAN verwendet oder eine PushTAN-Freigabe bestätigt hat, sollten auch die dazugehörigen Informationen gesichert werden. Je nach Verfahren können SMS-Mitteilungen, App-Benachrichtigungen, Bestätigungstexte oder andere technische Angaben vorhanden sein. Diese Informationen können Aufschluss darüber geben, welche Transaktion dem Kunden angezeigt wurde und welchen Vorgang er nach seiner Erinnerung bestätigen wollte. Es sollte dokumentiert werden, ob Betrag und Empfänger sichtbar waren, ob die angezeigten Angaben mit der später verbuchten Zahlung übereinstimmten und ob der Kunde die Freigabe aufgrund einer irreführenden Anweisung vorgenommen hat.

Dabei ist wichtig, zwischen tatsächlichen Belegen und späteren Erinnerungen zu unterscheiden. Nicht jeder Bildschirm wird dauerhaft gespeichert, und nicht alle Sicherheitsverfahren ermöglichen es dem Kunden, sämtliche technischen Einzelheiten selbst einzusehen. Wenn eine Information nicht mehr verfügbar ist, sollte dies offen festgehalten werden. Eine Erinnerung kann für die Sachverhaltsdarstellung wichtig sein, ersetzt aber nicht automatisch einen technischen Nachweis. Umgekehrt bedeutet das Fehlen eines Screenshots nicht, dass der geschilderte Ablauf grundsätzlich nicht berücksichtigt werden kann.

Betroffene sollten außerdem dokumentieren, welche Schritte sie unmittelbar nach Entdeckung des Phishing-Angriffs unternommen haben. Dazu gehören die Mitteilung an die Bank, die Sperrung von Zugangsdaten oder Zahlungskarten, die Änderung von Passwörtern und die Überprüfung weiterer Kontobewegungen. Soweit vorhanden, sollten Bestätigungen und Zeitangaben aufbewahrt werden. Wenn mehrere Kontakte mit dem Kreditinstitut stattgefunden haben, empfiehlt sich eine chronologische Liste mit Datum, Kontaktweg, Ansprechpartner und Gesprächsinhalt. Das erleichtert die spätere Prüfung, wann die Bank Kenntnis vom Vorfall erlangt hat und wie sie darauf reagierte.

Für die rechtliche Bewertung kann auch relevant sein, ob der Täter Zugriff auf das Gerät des Betroffenen hatte. Wurde eine Fernwartungssoftware installiert, eine App heruntergeladen oder eine Bildschirmfreigabe aktiviert, sollten die vorhandenen Informationen dazu gesichert werden. Dazu können der Name des Programms, der Zeitpunkt der Installation, Nachrichten mit Installationsanweisungen und Hinweise auf ungewöhnliche Geräteaktivitäten gehören. Wenn der Betroffene nicht sicher ist, welche Software installiert wurde, sollte er keine Vermutungen als gesicherte Tatsachen darstellen. Entscheidend ist eine möglichst genaue Beschreibung der tatsächlich beobachteten Vorgänge.

Auch E-Mails über angebliche Sicherheitswarnungen oder neue Geräteanmeldungen können wichtig sein. Sie sollten vollständig gespeichert werden, einschließlich Absenderangaben, Zeitstempel und enthaltenen Links. Die sichtbare Absenderadresse allein beweist nicht zwingend, von wem eine Nachricht tatsächlich stammt. Sie kann jedoch ein Teil der Rekonstruktion sein. Wenn mehrere Nachrichten mit ähnlichem Inhalt eingegangen sind, sollten auch diese aufbewahrt werden, weil sie den Ablauf der Täuschung nachvollziehbar machen können.

Bei der Beweissicherung sollten Betroffene darauf achten, die Originaldateien möglichst unverändert zu erhalten. Nachrichten sollten nicht nur kopiert und anschließend gelöscht werden. E-Mails können beispielsweise als Dateien gespeichert werden, damit neben dem Nachrichtentext auch technische Kopfzeilen verfügbar bleiben. Messenger-Nachrichten sollten, soweit die Anwendung dies ermöglicht, vollständig exportiert werden. Screenshots sollten nicht nachträglich so bearbeitet werden, dass wichtige Informationen verloren gehen. Wenn Erläuterungen erforderlich sind, können diese getrennt von den Originaldateien notiert werden.

Eine übersichtliche Dokumentation kann aus einer Tabelle bestehen, in der jede relevante Transaktion mit Datum, Betrag, Empfänger und dem mutmaßlichen Ablauf erfasst wird. Daneben kann vermerkt werden, welche Belege vorhanden sind und welche Informationen noch fehlen. Bei umfangreicheren Fällen empfiehlt es sich, den Sachverhalt in einzelne Phasen zu gliedern: erster Kontakt, angebliche Sicherheitsanweisung, Zugriff auf das Konto, Ausführung der Zahlung, Entdeckung des Vorfalls und Kommunikation mit der Bank. Diese Struktur erleichtert es, einzelne Behauptungen zu überprüfen und die Belege dem jeweils relevanten Vorgang zuzuordnen.

Die rechtlichen Fragen sollten dabei ebenfalls sauber getrennt werden. Wenn der Kunde bestreitet, eine Zahlung autorisiert zu haben, sind die Umstände der Transaktion und die Nachweise zur Authentifizierung besonders wichtig. Wenn die Bank zusätzlich eine grob fahrlässige Pflichtverletzung behauptet, muss untersucht werden, auf welches konkrete Verhalten sie diesen Vorwurf stützt. Die §§ 675u, 675v und 675w BGB können hierfür maßgeblich sein. Die vorhandenen Belege sollten deshalb erkennen lassen, was der Kunde tatsächlich getan hat, welche Informationen ihm vorlagen und welche Vorgänge ohne sein Wissen erfolgt sein sollen.

Ein häufiges Problem besteht darin, dass Betroffene zwar den Geldabfluss nachweisen können, aber die technische Durchführung nicht vollständig nachvollziehen können. Das ist nicht ungewöhnlich. Kunden haben regelmäßig keinen unmittelbaren Zugriff auf sämtliche internen Protokolle des Kreditinstituts. Sie sollten daher die ihnen zugänglichen Unterlagen sichern und konkret benennen, welche Informationen für eine vollständige Prüfung fehlen. Die Bank kann um eine nachvollziehbare Erläuterung der betroffenen Transaktionen und der zur Begründung ihrer Entscheidung herangezogenen Daten gebeten werden. Welche Auskünfte und Nachweise im Einzelnen verlangt werden können, ist anhand des konkreten Sachverhalts zu prüfen.

Auch die Höhe des Schadens sollte nachvollziehbar dokumentiert werden. Neben den unmittelbar abgebuchten Beträgen können weitere Belastungen aufgetreten sein, etwa Gebühren oder zusätzliche Zahlungen, die im Zusammenhang mit dem Vorfall stehen. Solche Positionen sollten getrennt aufgeführt und durch Belege nachgewiesen werden. Nicht jeder Folgeschaden ist automatisch von der Bank zu ersetzen. Eine getrennte Darstellung verhindert jedoch, dass unterschiedliche Forderungen miteinander vermischt werden und die Grundlage einzelner Beträge unklar bleibt.

Wenn die Bank die Erstattung verweigert, sollten Betroffene die Unterlagen nicht wahllos übermitteln. Zweckmäßiger ist es, zunächst ein vollständiges Beweisarchiv anzulegen und anschließend gezielt diejenigen Dokumente auszuwählen, die den konkreten Streitpunkt betreffen. In einer schriftlichen Stellungnahme kann dann auf einzelne Belege verwiesen werden. So lässt sich beispielsweise zeigen, dass der Betroffene vor einer Freigabe telefonisch zu einer vermeintlichen Sicherheitsmaßnahme aufgefordert wurde oder dass eine Zahlung zu einem Zeitpunkt erfolgte, zu dem er nach eigener Darstellung nicht im Onlinebanking aktiv war. Entscheidend ist, dass die Schlussfolgerung durch die vorhandenen Informationen tatsächlich gestützt wird.

Widersprüche in der Dokumentation sollten ebenfalls überprüft werden. Wenn ein Kontoauszug einen anderen Zeitpunkt ausweist als eine gespeicherte Nachricht, muss geklärt werden, ob unterschiedliche Zeitzonen, verzögerte Buchungen oder verschiedene technische Ereignisse dafür verantwortlich sein könnten. Solche Abweichungen sollten nicht ohne Prüfung erklärt oder ignoriert werden. Eine genaue Gegenüberstellung der Zeitangaben kann helfen, den Ablauf zu rekonstruieren. Wenn eine Abweichung nicht aufgelöst werden kann, sollte sie als offene Frage kenntlich gemacht werden.

Besondere Vorsicht ist geboten, wenn sich nach dem ursprünglichen Phishing-Angriff vermeintliche Helfer melden und gegen eine Vorauszahlung die Rückholung des Geldes versprechen. Auch solche Kontakte können Teil eines weiteren Betrugsversuchs sein. Betroffene sollten deshalb keine zusätzlichen Zahlungen leisten, nur weil jemand angeblich Zugriff auf die Täterkonten, besondere Kontakte zu Banken oder eine sichere Rückzahlungsmethode verspricht. Entsprechende Nachrichten und Zahlungsforderungen sollten ebenfalls gesichert werden, insbesondere wenn sie sich auf den ursprünglichen Schaden beziehen.

Eine anwaltliche Prüfung kann helfen, die gesammelten Unterlagen zu ordnen und festzustellen, welche rechtlichen Fragen noch offen sind. Dabei kann untersucht werden, ob die Zahlung als nicht autorisiert einzuordnen ist, welche Bedeutung die Authentifizierung hat und ob die Bank eine mögliche Haftung des Kunden ausreichend begründet hat. Ebenso lässt sich prüfen, welche Belege für eine erneute Forderung nach Erstattung benötigt werden und ob weitere rechtliche Schritte sinnvoll erscheinen. Die Erfolgsaussichten hängen vom konkreten Sachverhalt ab; eine bestimmte Rückzahlung kann nicht zugesichert werden.

Für Betroffene ist es deshalb sinnvoll, frühzeitig eine vollständige und nachvollziehbare Dokumentation aufzubauen. Kontoauszüge belegen den Geldabfluss, Nachrichten und Screenshots können die Täuschung erklären, und die Korrespondenz mit der Bank zeigt, auf welche Argumente das Kreditinstitut seine Ablehnung stützt. Erst das Zusammenspiel dieser Unterlagen ermöglicht häufig eine fundierte Prüfung. Wer die Beweise strukturiert sichert, kann die eigene Darstellung präziser begründen und besser beurteilen lassen, ob die Ablehnung der Bank rechtlich Bestand hat.

Kanzlei Wilms – Experten bei Online-Anlagebetrug

Die Kanzlei Wilms unterstützt seit Jahren Mandanten, die Opfer von Online-Anlagebetrug, Kryptobetrug, Fake Brokern, Investmentbetrug, Bitcoin-Betrug oder Recovery Scams geworden sind.

Unsere Mandanten kommen aus ganz Deutschland sowie aus dem Ausland. Viele Verfahren weisen internationale Bezüge auf und betreffen grenzüberschreitende Zahlungsströme, Kryptowährungen oder komplexe Unternehmensstrukturen.

Wir analysieren unter anderem:

• Banküberweisungen
• SEPA- und SWIFT-Zahlungen
• Kreditkartenzahlungen
• Zahlungsdienstleister
• Kryptobörsen und Wallet-Transaktionen
• internationale Zahlungsstrukturen

Mehr Informationen finden Sie in unserem Blog.