Phishing-Betrug – wie funktioniert der Betrug und woran erkennen Betroffene die Masche?

Phishing-Betrug gehört zu den häufigsten Methoden, mit denen Kriminelle versuchen, an persönliche Daten, Zugangsdaten und finanzielle Vermögenswerte zu gelangen. Betroffen sind insbesondere Bankkunden, Nutzer von Zahlungsdiensten, Kreditkarteninhaber und Menschen, die digitale Konten oder Onlineplattformen verwenden. Die Täter geben sich dabei häufig als vertrauenswürdige Unternehmen, Banken, Behörden oder bekannte Dienstleister aus. Ihr Ziel besteht darin, die Betroffenen zur Preisgabe vertraulicher Informationen oder zur Durchführung bestimmter Zahlungsvorgänge zu bewegen. Nicht selten bemerken die Opfer erst dann, dass sie auf einen Betrugsversuch hereingefallen sind, wenn bereits Geld vom Konto verschwunden ist oder sie keinen Zugriff mehr auf ihr Onlinebanking haben.

Der Begriff Phishing beschreibt eine Form des digitalen Datendiebstahls. Die Täter versuchen, durch täuschend echt gestaltete Nachrichten, Webseiten oder Telefonanrufe an Informationen zu gelangen, die ihnen normalerweise nicht zugänglich wären. Dazu gehören insbesondere Zugangsdaten zum Onlinebanking, Passwörter, PINs, TANs, Kreditkartendaten und Sicherheitscodes. Mit diesen Informationen können die Täter unter Umständen unberechtigte Überweisungen veranlassen, Zahlungskarten missbrauchen oder weitere Konten übernehmen. Phishing ist deshalb nicht lediglich ein technisches Problem, sondern kann erhebliche finanzielle Folgen haben.

Für Betroffene ist besonders belastend, dass die Täuschung häufig sehr professionell gestaltet ist. Eine Nachricht kann äußerlich kaum von einer echten Mitteilung der Hausbank zu unterscheiden sein. Logos, Farben, Schriftarten und Formulierungen werden nachgeahmt. Auch die verwendeten Internetadressen können auf den ersten Blick seriös erscheinen. Teilweise werden die Opfer mit ihrem Namen angesprochen oder erhalten Nachrichten, die angeblich auf einen konkreten Vorgang bei ihrer Bank Bezug nehmen. Die Täter nutzen dabei gezielt das Vertrauen aus, das Kunden gegenüber bekannten Finanzinstituten und Zahlungsdienstleistern haben.

Eine typische Phishing-Nachricht enthält eine Aufforderung zum sofortigen Handeln. Häufig wird behauptet, das Konto müsse aus Sicherheitsgründen überprüft werden, eine angeblich notwendige Aktualisierung stehe noch aus oder eine ungewöhnliche Transaktion müsse bestätigt werden. Teilweise wird mit einer drohenden Kontosperrung, einer eingeschränkten Nutzung der Banking-App oder dem Verlust bestimmter Funktionen gedroht. Der Empfänger soll dadurch verunsichert und zu einer schnellen Reaktion bewegt werden. Gerade dieser künstlich erzeugte Zeitdruck ist ein wesentliches Merkmal vieler Phishing-Angriffe.

Die Nachricht enthält regelmäßig einen Link, über den der Empfänger eine vermeintliche Anmeldeseite aufrufen soll. Diese Seite kann der tatsächlichen Internetpräsenz der Bank täuschend ähnlich sehen. Gibt der Betroffene dort seine Zugangsdaten ein, werden diese möglicherweise unmittelbar an die Täter übermittelt. Je nach Gestaltung des Angriffs werden anschließend weitere Sicherheitsinformationen abgefragt. Dazu können eine PIN, eine TAN, ein Freigabecode oder Angaben zur Bestätigung eines angeblichen Sicherheitsverfahrens gehören. Die Täter können die erlangten Informationen anschließend für eigene Transaktionen nutzen.

Besonders problematisch sind Phishing-Angriffe, bei denen die Täter nicht nur Zugangsdaten abgreifen, sondern den gesamten Anmelde- und Freigabeprozess gezielt beeinflussen. In solchen Fällen kann es vorkommen, dass Betroffene eine TAN oder eine PushTAN-Freigabe bestätigen, ohne zu erkennen, dass damit tatsächlich eine Überweisung oder eine andere Zahlung autorisiert wird. Die angezeigte Beschreibung des Vorgangs wird möglicherweise nicht sorgfältig geprüft oder durch eine irreführende Erklärung der Täter falsch eingeordnet. Betroffene glauben dann beispielsweise, sie würden lediglich eine Sicherheitsprüfung durchführen, ein neues Gerät registrieren oder einen angeblich verdächtigen Zugriff blockieren.

Für die rechtliche Bewertung kommt es deshalb nicht allein darauf an, ob Zugangsdaten eingegeben oder eine TAN verwendet wurde. Entscheidend ist vielmehr, welcher Vorgang tatsächlich freigegeben wurde, welche Informationen dem Kunden dabei angezeigt wurden und ob er die konkrete Zahlung erkennen und überblicken konnte. Auch die Frage, ob eine wirksame Zustimmung zu einer Zahlung vorlag oder ob eine unautorisierte Zahlung ausgeführt wurde, kann für mögliche Erstattungsansprüche gegenüber der Bank von erheblicher Bedeutung sein.

Phishing beschränkt sich außerdem nicht auf E-Mails. Täter verwenden zunehmend SMS, Messenger-Nachrichten, Telefonanrufe und gefälschte Internetseiten. Beim sogenannten Smishing erfolgt der Angriff über eine SMS. Betroffene erhalten beispielsweise eine Nachricht, die angeblich von ihrer Bank, einem Paketdienst oder einem Zahlungsanbieter stammt. Sie werden aufgefordert, einen Link aufzurufen und persönliche Daten einzugeben. Beim Vishing versuchen die Täter dagegen, durch einen Telefonanruf an vertrauliche Informationen zu gelangen. Sie geben sich etwa als Mitarbeiter der Bank, Sicherheitsmitarbeiter oder technische Ansprechpartner aus und behaupten, das Konto sei von einem Angriff betroffen.

Eine weitere Variante besteht darin, dass Täter ihre Opfer über mehrere Kommunikationswege gleichzeitig kontaktieren. Zunächst geht eine SMS mit einem angeblichen Sicherheitsproblem ein. Kurz darauf folgt ein Telefonanruf, bei dem ein vermeintlicher Bankmitarbeiter die Nachricht aufgreift und weitere Schritte erklärt. Durch diese Kombination entsteht der Eindruck, dass tatsächlich ein Sicherheitsvorfall vorliegt und die Bank bereits Maßnahmen eingeleitet hat. In Wirklichkeit können sämtliche Kontakte Teil eines einheitlichen Betrugsversuchs sein.

Auch gefälschte Zahlungsaufforderungen und Rechnungen können mit Phishing verbunden sein. Betroffene erhalten beispielsweise eine Nachricht, in der sie aufgefordert werden, eine Rechnung zu begleichen, eine Rückerstattung zu bestätigen oder eine angeblich offene Zahlung zu korrigieren. Der Link führt dann zu einer gefälschten Zahlungsseite, auf der Kreditkartendaten oder Zugangsinformationen abgefragt werden. Teilweise werden auch Bankverbindungen manipuliert, sodass eine Zahlung auf ein von den Tätern kontrolliertes Konto erfolgt. In solchen Fällen können sich Phishing und andere Formen des Zahlungsbetrugs überschneiden.

Eine besonders gefährliche Entwicklung ist das sogenannte Echtzeit-Phishing. Dabei versuchen die Täter, die eingegebenen Zugangsdaten unmittelbar zu verwenden. Während der Betroffene auf einer gefälschten Internetseite seine Daten eingibt, können die Kriminellen parallel versuchen, sich beim tatsächlichen Onlinebanking anzumelden. Wird zusätzlich eine TAN oder eine PushTAN-Freigabe abgefragt, kann diese unter Umständen direkt für eine betrügerische Transaktion eingesetzt werden. Die Betroffenen haben dann häufig nur wenige Möglichkeiten, den Vorgang rechtzeitig zu erkennen.

Nicht jeder Phishing-Angriff führt unmittelbar zu einem finanziellen Schaden. Manchmal werden zunächst nur persönliche Daten gesammelt, um später weitere Betrugsversuche vorzubereiten. Wer beispielsweise seine E-Mail-Adresse, Telefonnummer und Bankverbindung preisgibt, kann anschließend gezielt mit weiteren Nachrichten oder Anrufen konfrontiert werden. Werden zusätzlich Passwörter bekannt, besteht die Gefahr, dass Täter auch andere Benutzerkonten angreifen. Besonders kritisch ist es, wenn dasselbe Passwort bei mehreren Diensten verwendet wird. Ein zunächst auf das Onlinebanking gerichteter Angriff kann dadurch weitere digitale Konten betreffen.

Typische Warnzeichen eines Phishing-Betrugs

Betroffene sollten insbesondere dann aufmerksam werden, wenn eine Nachricht oder ein Anruf ungewöhnliche Aufforderungen enthält. Typische Warnzeichen sind eine angeblich unmittelbar drohende Kontosperrung, die Aufforderung zur Eingabe von PIN oder TAN über einen zugesandten Link, die Bitte um die Installation einer unbekannten Anwendung oder die Aufforderung, eine Sicherheitsfreigabe vorzunehmen, ohne den konkreten Vorgang nachvollziehen zu können.

Auch sprachliche Auffälligkeiten können Hinweise liefern. Dazu gehören ungewöhnliche Formulierungen, Rechtschreibfehler, unpersönliche Anreden oder eine auffällige Absenderadresse. Allerdings sind solche Merkmale nicht zwingend vorhanden. Professionell gestaltete Phishing-Nachrichten können sprachlich einwandfrei sein und bekannte Unternehmensauftritte nahezu perfekt nachbilden. Deshalb sollte sich niemand allein darauf verlassen, dass eine Nachricht seriös wirkt oder das richtige Logo enthält.

Ein weiteres Warnsignal sind Internetadressen, die nur geringfügig von der tatsächlichen Adresse eines Unternehmens abweichen. Die Täter verwenden teilweise zusätzliche Wörter, andere Domainendungen oder ähnlich aussehende Schreibweisen. Auch eine verschlüsselte Verbindung mit einem Schloss-Symbol im Browser bedeutet nicht, dass es sich um die echte Webseite der Bank handelt. Sie zeigt lediglich an, dass die Verbindung verschlüsselt ist. Ob die aufgerufene Seite tatsächlich zum Finanzinstitut gehört, muss gesondert geprüft werden.

Besondere Vorsicht ist geboten, wenn ein angeblicher Bankmitarbeiter am Telefon zur Weitergabe von Sicherheitsinformationen auffordert. Auch wenn die Telefonnummer auf dem Display vertraut erscheint, ist dies kein sicherer Nachweis für die Echtheit des Anrufs. Telefonnummern können manipuliert werden. Betroffene sollten daher keine PINs, TANs oder Passwörter am Telefon mitteilen und keine Freigaben durchführen, deren Zweck sie nicht eindeutig verstehen.

Wie Betroffene einen bereits erfolgten Phishing-Angriff erkennen

Ein Phishing-Angriff wird häufig erst durch ungewöhnliche Kontobewegungen sichtbar. Betroffene stellen möglicherweise fest, dass eine Überweisung ausgeführt wurde, die sie selbst nicht veranlasst haben. In anderen Fällen erscheinen neue Zahlungsempfänger, unbekannte Geräte oder ungewöhnliche Anmeldeaktivitäten im Onlinebanking. Auch Änderungen an hinterlegten Kontaktdaten, neue Gerätefreigaben oder unerwartete Sicherheitsmeldungen können darauf hindeuten, dass ein fremder Zugriff stattgefunden hat.

Manchmal bemerken Kunden zunächst nur, dass sie sich nicht mehr in ihr Onlinebanking einloggen können. Das Passwort funktioniert nicht mehr, die Banking-App verlangt eine neue Registrierung oder das Sicherheitsverfahren wurde verändert. Solche Auffälligkeiten können unterschiedliche Ursachen haben. Wenn sie zeitlich mit einer verdächtigen Nachricht, einem Telefonanruf oder der Eingabe persönlicher Daten auf einer unbekannten Internetseite zusammenfallen, sollte ein Phishing-Angriff ernsthaft in Betracht gezogen werden.

Auch kleine Abbuchungen oder zunächst unauffällige Kontobewegungen sollten nicht ohne Prüfung bleiben. Täter können versuchen, die Funktionsfähigkeit erlangter Zahlungsdaten zu testen oder weitere Transaktionen vorzubereiten. Entscheidend ist deshalb eine zeitnahe Kontrolle der Kontoumsätze und der verfügbaren Sicherheitsinformationen. Betroffene sollten ungewöhnliche Vorgänge dokumentieren und die Bank über einen unabhängig überprüften Kontaktweg informieren.

Warum die rechtliche Einordnung bei Phishing-Betrug entscheidend ist

Wer durch Phishing Geld verloren hat, sollte nicht vorschnell davon ausgehen, dass der Schaden endgültig selbst getragen werden muss. Ebenso wenig lässt sich pauschal sagen, dass die Bank in jedem Fall zur Erstattung verpflichtet ist. Die rechtliche Beurteilung hängt von den konkreten Umständen des Einzelfalls ab. Besonders wichtig ist, ob eine Zahlung vom Kunden tatsächlich autorisiert wurde oder ob sie ohne seine Zustimmung ausgeführt worden ist.

Bei einem unautorisierten Zahlungsvorgang können gesetzliche Erstattungsansprüche gegen den Zahlungsdienstleister in Betracht kommen. Maßgeblich sind dabei insbesondere die Vorschriften des Zahlungsdiensterechts im Bürgerlichen Gesetzbuch. Daneben kann die Frage eine Rolle spielen, ob dem Kunden eine grob fahrlässige Verletzung seiner Pflichten vorgeworfen werden kann. Hierfür genügt nicht jede Unachtsamkeit. Es muss vielmehr anhand des konkreten Ablaufs geprüft werden, welche Informationen dem Betroffenen vorlagen, wie die Täuschung gestaltet war und welches Verhalten ihm tatsächlich vorgeworfen werden kann.

Die Bank kann sich nicht allein darauf beschränken, dass eine Überweisung technisch mit den richtigen Zugangsdaten oder einem verwendeten Sicherheitsverfahren durchgeführt wurde. Die technische Authentifizierung und die rechtliche Autorisierung einer Zahlung sind unterschiedliche Fragen. Ob eine Zahlung tatsächlich vom Kunden freigegeben wurde, muss anhand der gesetzlichen Anforderungen und der konkreten Umstände beurteilt werden. Auch die Nachweise der Bank können für die rechtliche Bewertung entscheidend sein.

Für Betroffene ist deshalb wichtig, den gesamten Ablauf möglichst genau festzuhalten. Dazu gehören die ursprüngliche Phishing-Nachricht, die verwendete Internetadresse, Screenshots der gefälschten Webseite, Gesprächsverläufe, Telefonnummern, Zeitpunkte der Eingaben und Freigaben sowie die konkreten Kontobewegungen. Auch die Kommunikation mit der Bank sollte vollständig aufbewahrt werden. Wenn die Bank eine Erstattung ablehnt, kommt es darauf an, welche Gründe sie hierfür nennt und auf welche technischen oder tatsächlichen Umstände sie ihre Entscheidung stützt.

Ein Phishing-Betrug kann somit verschiedene rechtliche Fragen aufwerfen, die nicht allein anhand der Tatsache beantwortet werden können, dass der Kunde auf eine täuschend echte Nachricht hereingefallen ist. Entscheidend ist eine differenzierte Prüfung des Zahlungsvorgangs, der Sicherheitsmaßnahmen und der Verantwortlichkeit der Beteiligten. Gerade wenn hohe Beträge vom Konto abgebucht wurden oder die Bank eine Erstattung verweigert, sollte der Sachverhalt rechtlich geprüft werden. Nur so lässt sich beurteilen, welche Ansprüche bestehen und welche Möglichkeiten Betroffene haben, den entstandenen finanziellen Schaden geltend zu machen.

Phishing-Betrug – welche Methoden nutzen Täter, um Bankdaten und Zugangsdaten zu stehlen?

Phishing-Betrug hat sich in den vergangenen Jahren zu einer vielschichtigen Betrugsmethode entwickelt. Täter beschränken sich längst nicht mehr auf einfache E-Mails mit fehlerhaften Formulierungen oder offensichtlich gefälschten Internetseiten. Vielmehr setzen sie unterschiedliche technische und psychologische Methoden ein, um das Vertrauen ihrer Opfer zu gewinnen und an vertrauliche Informationen zu gelangen. Besonders häufig geht es um Zugangsdaten zum Onlinebanking, persönliche Identifikationsnummern, TANs, Kreditkartendaten und Freigaben innerhalb von Banking-Apps. Die erlangten Informationen können anschließend dazu verwendet werden, unberechtigte Zahlungen auszulösen oder die Kontrolle über das Konto zu übernehmen.

Für Betroffene ist häufig schwer zu erkennen, an welcher Stelle der Angriff begonnen hat. Manchmal reicht bereits ein einziger Klick auf einen gefälschten Link. In anderen Fällen werden mehrere Kommunikationswege kombiniert und die Opfer über einen längeren Zeitraum gezielt beeinflusst. Die Täter passen ihre Vorgehensweise an das Verhalten der Betroffenen an. Deshalb ist es wichtig, die unterschiedlichen Phishing-Methoden zu kennen und zu verstehen, wie aus einer scheinbar harmlosen Nachricht ein erheblicher finanzieller Schaden entstehen kann.

Gefälschte E-Mails im Namen der Bank

Eine besonders verbreitete Methode ist der Versand gefälschter E-Mails, die angeblich von der eigenen Bank stammen. Die Nachrichten enthalten häufig das Logo und die Gestaltung des tatsächlichen Finanzinstituts. Teilweise werden auch bekannte Formulierungen aus echten Kundenmitteilungen übernommen. Dadurch entsteht der Eindruck, dass die Nachricht tatsächlich von der Bank versendet wurde.

Inhaltlich behaupten die Täter beispielsweise, dass eine Sicherheitsüberprüfung erforderlich sei, das Onlinebanking aktualisiert werden müsse oder eine ungewöhnliche Anmeldung festgestellt worden sei. Manchmal wird mit einer bevorstehenden Kontosperrung gedroht. Der Empfänger soll möglichst schnell reagieren und einen beigefügten Link aufrufen. Auf der verlinkten Internetseite wird er anschließend aufgefordert, seine Zugangsdaten einzugeben.

Die gefälschte Webseite kann der echten Anmeldeseite der Bank sehr ähnlich sehen. Gibt der Betroffene seine Daten ein, werden diese an die Täter weitergeleitet. Je nach Angriffsmethode werden anschließend zusätzliche Informationen abgefragt. Dazu können PINs, TANs, Kartendaten oder weitere Sicherheitsmerkmale gehören. Die Täter können die erlangten Daten unmittelbar verwenden oder für spätere Angriffe speichern.

Besonders gefährlich sind E-Mails, die auf einen konkreten Vorgang Bezug nehmen. Wenn beispielsweise eine angebliche Überweisung, eine Kartenbestellung oder eine Sicherheitsmeldung erwähnt wird, kann die Nachricht besonders glaubwürdig wirken. Betroffene sollten deshalb nicht allein anhand des Inhalts oder des Erscheinungsbildes beurteilen, ob eine Nachricht echt ist. Entscheidend ist, ob die Mitteilung tatsächlich über einen unabhängigen und verlässlichen Kommunikationsweg bestätigt werden kann.

Smishing: Phishing über SMS und Kurznachrichten

Beim sogenannten Smishing nutzen Täter SMS oder andere Kurznachrichten, um ihre Opfer auf gefälschte Internetseiten zu führen. Häufig wird behauptet, dass eine Zahlung nicht ausgeführt werden könne, eine Bankkarte gesperrt werde oder eine Sicherheitsfunktion erneuert werden müsse. Auch Nachrichten über angeblich ausstehende Paketzustellungen oder offene Gebühren werden eingesetzt, um Empfänger zum Anklicken eines Links zu bewegen.

Die SMS enthält meist eine kurze Aufforderung und einen Internetlink. Dieser führt zu einer gefälschten Webseite, auf der persönliche Daten, Kreditkarteninformationen oder Bankzugangsdaten abgefragt werden. Teilweise werden Betroffene aufgefordert, eine vermeintliche App zu installieren oder eine Sicherheitsfreigabe vorzunehmen. Dadurch können die Täter weitere Zugriffsmöglichkeiten erhalten.

Ein besonderes Risiko besteht darin, dass SMS-Nachrichten häufig unmittelbar auf dem Smartphone gelesen werden. Der angezeigte Link wird möglicherweise direkt geöffnet, ohne die vollständige Internetadresse zu überprüfen. Zudem können gefälschte Nachrichten in einer bestehenden Nachrichtenkonversation erscheinen, wenn technische Verfahren zur Manipulation oder missbräuchlichen Nutzung von Absenderinformationen eingesetzt werden. Auch die Einordnung in einen bekannten Nachrichtenverlauf beweist daher nicht automatisch die Echtheit einer Mitteilung.

Vishing: Betrug durch angebliche Bankmitarbeiter am Telefon

Beim Vishing versuchen die Täter, ihre Opfer telefonisch zur Herausgabe vertraulicher Informationen oder zur Durchführung bestimmter Handlungen zu bewegen. Sie geben sich beispielsweise als Mitarbeiter der Hausbank, als Sicherheitsabteilung oder als technische Ansprechpartner aus. Häufig behaupten sie, dass ein verdächtiger Zugriff auf das Konto festgestellt worden sei und sofort gehandelt werden müsse.

Die Täter bauen gezielt eine bedrohliche Situation auf. Sie erklären, dass angeblich eine Überweisung vorbereitet werde oder ein unbekannter Dritter bereits Zugriff auf das Konto habe. Um den Schaden zu verhindern, müsse der Kunde bestimmte Sicherheitsmaßnahmen durchführen. Anschließend werden PINs, TANs oder Freigaben verlangt. Teilweise sollen Betroffene eine Überweisung auf ein angeblich sicheres Konto vornehmen. Tatsächlich kann es sich dabei um ein Konto handeln, das von den Tätern kontrolliert wird.

Die Gesprächsführung ist häufig darauf ausgerichtet, Zweifel zu unterdrücken. Der vermeintliche Bankmitarbeiter spricht ruhig und professionell, verwendet Fachbegriffe und erklärt technische Vorgänge. Betroffene werden möglicherweise aufgefordert, das Gespräch nicht zu beenden, weil andernfalls der angebliche Sicherheitsprozess unterbrochen werde. Dadurch entsteht ein Abhängigkeitsgefühl, das die kritische Prüfung erschwert.

Besonders wichtig ist: Eine Bank benötigt grundsätzlich nicht die Herausgabe persönlicher PINs oder TANs durch den Kunden am Telefon, um ein Sicherheitsproblem zu bearbeiten. Auch die Aufforderung, eine Zahlung freizugeben, um angeblich eine andere Zahlung zu verhindern, sollte als erhebliches Warnsignal verstanden werden. Wer einen solchen Anruf erhält, sollte das Gespräch beenden und die Bank über eine selbst recherchierte oder bereits bekannte Telefonnummer kontaktieren.

Manipulierte Rufnummern und falsche Identitäten

Einige Täter verwenden technische Verfahren, mit denen auf dem Display eine Telefonnummer angezeigt werden kann, die scheinbar zu einer Bank oder einem anderen bekannten Unternehmen gehört. Dieses Vorgehen wird häufig als Call-ID-Spoofing bezeichnet. Der Anruf kann dadurch besonders glaubwürdig wirken, weil die angezeigte Nummer mit einer tatsächlichen Telefonnummer des Finanzinstituts übereinstimmt.

Die angezeigte Rufnummer ist jedoch kein sicherer Nachweis für die Identität des Anrufers. Kriminelle können solche Angaben missbrauchen, um Vertrauen zu erzeugen. Auch die Kenntnis persönlicher Daten, des Namens des Kunden oder bestimmter Kontoinformationen beweist nicht, dass der Anrufer tatsächlich für die Bank tätig ist. Solche Informationen können aus früheren Datenlecks, anderen Betrugsversuchen oder öffentlich zugänglichen Quellen stammen.

Für die rechtliche Bewertung kann später von Bedeutung sein, wie professionell die Täuschung gestaltet war und welche Informationen den Betroffenen vorlagen. Eine manipulierte Telefonnummer kann ein Indiz dafür sein, dass die Täter gezielt eine vertrauenswürdige Identität vortäuschen wollten. Deshalb sollten Betroffene den Zeitpunkt des Anrufs, die angezeigte Nummer, den Gesprächsinhalt und die konkreten Aufforderungen möglichst genau dokumentieren.

Gefälschte Banking-Webseiten und täuschend echte Anmeldemasken

Eine weitere Methode besteht darin, Internetseiten nachzubilden, die der tatsächlichen Webseite einer Bank oder eines Zahlungsdienstleisters entsprechen. Die Täter verwenden ähnliche Domainnamen, kopieren Logos und übernehmen die Gestaltung der echten Anmeldemaske. Für den Nutzer kann es dadurch schwierig sein, den Unterschied zu erkennen.

Auf solchen Seiten werden die Opfer aufgefordert, ihre Zugangsdaten einzugeben. Teilweise werden mehrere Schritte nacheinander abgefragt. Zunächst erscheint eine gewöhnliche Anmeldemaske. Anschließend wird eine PIN verlangt, danach eine TAN oder eine Bestätigung über die Banking-App. Die Täter können die eingegebenen Informationen unmittelbar an die echte Bank weiterleiten und parallel versuchen, eine eigene Anmeldung vorzunehmen.

Manche gefälschten Seiten zeigen nach der Eingabe eine angebliche Fehlermeldung an. Der Betroffene glaubt dann möglicherweise, dass die Anmeldung nicht funktioniert habe. Tatsächlich können die Täter die eingegebenen Daten bereits erhalten haben. In anderen Fällen wird behauptet, dass eine zusätzliche Sicherheitsprüfung erforderlich sei. Dadurch werden die Opfer dazu gebracht, weitere Informationen preiszugeben oder zusätzliche Freigaben vorzunehmen.

Ein Schloss-Symbol in der Browserzeile schützt nicht vor dieser Art von Betrug. Auch eine verschlüsselte Verbindung kann zu einer gefälschten Webseite führen. Entscheidend ist deshalb die tatsächliche Domain und die Frage, ob die Seite über einen bekannten, unabhängig aufgerufenen Zugang erreicht wurde.

Phishing in Echtzeit und die missbräuchliche Verwendung von TANs

Besonders gefährlich sind Angriffe, bei denen die Täter die eingegebenen Daten unmittelbar für eine Anmeldung oder Zahlung verwenden. Bei solchen Echtzeitangriffen wird die gefälschte Webseite teilweise so eingesetzt, dass die Angaben des Opfers nahezu zeitgleich an das echte Onlinebanking weitergeleitet werden. Die Täter versuchen dadurch, eine Anmeldung vorzunehmen, während der Kunde noch glaubt, lediglich eine Sicherheitsprüfung durchzuführen.

Wird im Anschluss eine TAN oder eine PushTAN-Freigabe verlangt, kann diese bereits für eine konkrete Zahlung oder eine andere sicherheitsrelevante Handlung vorgesehen sein. Der Betroffene erkennt möglicherweise nicht, dass er gerade eine Transaktion bestätigt. Das ist besonders problematisch, wenn die angezeigten Informationen nicht aufmerksam gelesen werden oder die Täter den Vorgang am Telefon falsch erklären.

Bei einer rechtlichen Prüfung muss deshalb genau untersucht werden, welche Angaben bei der Freigabe angezeigt wurden. War der Zahlungsempfänger erkennbar? Wurde ein konkreter Betrag genannt? War die Transaktion als Überweisung oder als andere Handlung gekennzeichnet? Welche Informationen wurden dem Kunden im Freigabeverfahren tatsächlich mitgeteilt? Diese Fragen können entscheidend sein, wenn die Bank später behauptet, der Kunde habe die Zahlung selbst autorisiert.

Die bloße Tatsache, dass eine TAN technisch korrekt verwendet wurde, beantwortet nicht automatisch die Frage, ob eine wirksame Zustimmung zu der konkreten Zahlung vorlag. Ebenso wenig lässt sich allein aus einer PushTAN-Bestätigung ableiten, dass der Kunde den wirtschaftlichen Zweck der Transaktion kannte. Die konkreten Umstände müssen im Einzelfall geprüft werden.

Phishing über Messenger und soziale Netzwerke

Täter nutzen zunehmend auch Messenger-Dienste und soziale Netzwerke, um ihre Opfer zu kontaktieren. Eine Nachricht kann beispielsweise angeblich von einem Mitarbeiter einer Bank, einem Finanzberater oder einer bekannten Person stammen. Teilweise werden gefälschte Unternehmensprofile eingesetzt, die den offiziellen Auftritten ähneln. Auch kompromittierte Benutzerkonten können missbraucht werden, um Nachrichten an Kontakte zu versenden.

Die Kommunikation wirkt häufig persönlicher als eine gewöhnliche Massen-E-Mail. Der Täter kann auf Fragen reagieren, Einwände entkräften und die Geschichte an die Situation des Betroffenen anpassen. Wird beispielsweise behauptet, dass ein Konto überprüft werden müsse, kann der angebliche Ansprechpartner zusätzliche Erklärungen liefern und den Empfänger Schritt für Schritt durch den vermeintlichen Sicherheitsprozess führen.

Besonders riskant sind Nachrichten, in denen Betroffene aufgefordert werden, Dokumente, Zugangsdaten oder Sicherheitscodes zu übermitteln. Auch Links zu angeblichen Supportseiten oder Anwendungen können Teil des Angriffs sein. Wer über einen Messenger kontaktiert wird, sollte daher besonders kritisch prüfen, ob der Absender tatsächlich die behauptete Identität besitzt.

Quishing: Phishing über QR-Codes

Eine weitere Variante ist das sogenannte Quishing. Dabei werden QR-Codes verwendet, um Betroffene auf gefälschte Internetseiten zu führen. Die Codes können beispielsweise in E-Mails, Briefen, auf Plakaten oder in angeblichen Bankmitteilungen erscheinen. Beim Scannen öffnet sich eine Webseite, die zur Eingabe persönlicher Daten oder zur Durchführung einer Zahlung auffordert.

Das Problem besteht darin, dass die tatsächliche Zieladresse vor dem Öffnen häufig nicht vollständig erkennbar ist. Nutzer scannen den Code mit ihrem Smartphone und gelangen unmittelbar auf die verlinkte Seite. Dort können die Täter eine gefälschte Anmeldemaske oder ein angebliches Sicherheitsformular bereitstellen.

Auch QR-Codes können in gefälschten Zahlungsaufforderungen verwendet werden. Betroffene glauben möglicherweise, sie würden eine gewöhnliche Rechnung bezahlen, und bestätigen eine Zahlung an einen unbekannten Empfänger. Deshalb sollte vor jeder Zahlungsfreigabe kontrolliert werden, welcher Zahlungsempfänger und welcher Betrag tatsächlich angezeigt werden.

Schadsoftware und gefälschte Banking-Anwendungen

Nicht jeder Phishing-Angriff beschränkt sich auf das Abfangen von Zugangsdaten. In einigen Fällen versuchen Täter, Betroffene zur Installation einer Anwendung zu bewegen, die zusätzliche Zugriffsmöglichkeiten auf das Smartphone oder den Computer eröffnet. Die Anwendung wird beispielsweise als Sicherheitssoftware, Banking-Update oder notwendige Schutzfunktion dargestellt.

Nach der Installation kann eine solche Anwendung unter Umständen sensible Informationen erfassen, Eingaben überwachen oder die Bedienung des Geräts beeinflussen. Besonders kritisch sind Anwendungen, die weitreichende Berechtigungen verlangen oder eine Fernsteuerung des Geräts ermöglichen. Über entsprechende Fernzugriffssoftware können Täter versuchen, das Onlinebanking gemeinsam mit dem Opfer zu bedienen oder Sicherheitsmaßnahmen zu umgehen.

Eine weitere Gefahr besteht darin, dass Betroffene auf Anweisung eines angeblichen Bankmitarbeiters eine Fernwartungsanwendung installieren. Der Täter erklärt dann, er müsse das Gerät überprüfen oder einen Angriff abwehren. Tatsächlich kann der Zugriff dazu verwendet werden, Kontoinformationen einzusehen oder Zahlungsvorgänge vorzubereiten.

Wenn eine solche Anwendung installiert wurde, sollte der Vorgang nicht als bloßes technisches Problem behandelt werden. Es muss geprüft werden, welche Berechtigungen erteilt wurden, ob ein Fernzugriff möglich war und ob währenddessen Transaktionen ausgeführt oder Sicherheitsfreigaben erteilt wurden. Auch diese Umstände können für die spätere rechtliche Beurteilung wichtig sein.

Warum Täter mehrere Methoden miteinander kombinieren

Viele Phishing-Angriffe bestehen nicht aus einer einzelnen Nachricht, sondern aus einer abgestimmten Abfolge mehrerer Schritte. Zunächst wird eine SMS oder E-Mail versendet. Nach dem Aufruf des Links erscheint eine gefälschte Webseite. Kurz darauf meldet sich ein angeblicher Bankmitarbeiter telefonisch und erklärt, dass die Eingabe der Daten erforderlich gewesen sei. Anschließend wird der Betroffene aufgefordert, eine TAN einzugeben oder eine PushTAN-Freigabe zu bestätigen.

Durch diese Kombination entsteht ein geschlossen wirkendes Täuschungsszenario. Die einzelnen Schritte scheinen sich gegenseitig zu bestätigen. Die Nachricht erklärt den angeblichen Sicherheitsvorfall, die Webseite vermittelt den Eindruck eines offiziellen Verfahrens und der Telefonanruf liefert zusätzliche Erklärungen. Für Betroffene kann es dadurch besonders schwierig sein, den Betrug rechtzeitig zu erkennen.

Die Täter nutzen dabei gezielt menschliche Verhaltensmuster aus. Angst vor einem finanziellen Verlust, Zeitdruck und das Vertrauen in vermeintliche Autoritätspersonen können dazu führen, dass Warnsignale übersehen werden. Gerade bei Bankgeschäften ist die Situation häufig besonders angespannt, weil Betroffene befürchten, dass ihr gesamtes Guthaben gefährdet sein könnte.

Für die spätere rechtliche Prüfung ist deshalb nicht nur der letzte Schritt vor der Abbuchung relevant. Vielmehr muss der gesamte Kommunikations- und Handlungsablauf rekonstruiert werden. Dazu gehören sämtliche Nachrichten, Telefonate, Internetseiten, Eingaben, Freigaben und Kontobewegungen. Erst anhand dieser Gesamtschau lässt sich beurteilen, wie die Täter vorgegangen sind, welche Informationen dem Kunden tatsächlich vorlagen und welche rechtlichen Konsequenzen sich daraus ergeben können.

Welche Bedeutung haben die Phishing-Methoden für einen möglichen Erstattungsanspruch?

Die konkrete Vorgehensweise der Täter kann für die Frage entscheidend sein, ob Betroffene einen Anspruch auf Erstattung des verlorenen Geldes gegenüber ihrer Bank haben. Dabei ist zwischen der technischen Ausführung eines Zahlungsvorgangs und seiner rechtlichen Autorisierung zu unterscheiden. Eine Transaktion kann technisch mit korrekten Zugangsdaten, einer TAN oder einer App-Freigabe durchgeführt worden sein, obwohl der Kunde den tatsächlichen Zahlungsvorgang möglicherweise nicht erkannt oder ihm nicht zugestimmt hat.

Besonders wichtig ist daher die Frage, was der Kunde tatsächlich bestätigen sollte und was ihm bei der Freigabe angezeigt wurde. Wenn ein Täter eine Zahlung als angebliche Sicherheitsmaßnahme darstellt, kann dies für die Bewertung des Sachverhalts eine Rolle spielen. Gleiches gilt, wenn der Kunde durch eine gefälschte Webseite oder einen manipulierten Telefonanruf zu einer Handlung veranlasst wurde, deren tatsächliche Bedeutung er nicht erkennen konnte.

Die Bank kann im Streitfall technische Protokolle, Authentifizierungsdaten und Informationen über die verwendeten Sicherheitsverfahren heranziehen. Betroffene sollten diese Angaben nicht ungeprüft als abschließenden Nachweis dafür ansehen, dass sie selbst eine Zahlung autorisiert haben. Die technische Dokumentation muss vielmehr im Zusammenhang mit dem tatsächlichen Ablauf und den gesetzlichen Anforderungen bewertet werden.

Auch die Frage einer möglichen groben Fahrlässigkeit lässt sich nicht pauschal beantworten. Ob ein Verhalten als besonders schwerwiegende Pflichtverletzung einzustufen ist, hängt von den konkreten Umständen ab. Dabei können die Professionalität der Täuschung, die Art der Kommunikation, die angezeigten Informationen und die Erklärungen der Täter eine Rolle spielen. Eine pauschale Ablehnung von Erstattungsansprüchen allein mit dem Hinweis, dass Zugangsdaten oder TANs verwendet wurden, wird dem Einzelfall nicht zwangsläufig gerecht.

Wer Opfer eines Phishing-Angriffs geworden ist, sollte deshalb sämtliche verfügbaren Unterlagen sichern. Dazu gehören E-Mails, SMS, Messenger-Nachrichten, Screenshots, Internetadressen, Telefonnummern, Gesprächsnotizen, Kontoauszüge und Angaben zu den einzelnen Freigaben. Auch die genaue zeitliche Abfolge sollte festgehalten werden. Diese Informationen können später entscheidend sein, um gegenüber der Bank nachvollziehbar darzustellen, wie der Betrug abgelaufen ist und weshalb die ausgeführte Zahlung möglicherweise nicht autorisiert war.

Phishing-Betrug ist somit keine einheitliche Betrugsform, sondern umfasst zahlreiche technische und psychologische Angriffsmethoden. Ob die Täter über E-Mail, SMS, Telefon, Messenger, QR-Code oder Schadsoftware vorgehen, ändert nichts daran, dass Betroffene häufig durch eine gezielte Täuschung zur Preisgabe vertraulicher Informationen oder zur Freigabe von Zahlungsvorgängen gebracht werden. Für die rechtliche Bewertung kommt es daher stets auf den konkreten Ablauf und die Frage an, ob die ausgeführte Zahlung tatsächlich vom Kunden autorisiert wurde.

Phishing-Betrug – was sollten Betroffene unmittelbar nach einem Geldverlust tun?

Wer durch Phishing-Betrug Geld verloren hat, sollte möglichst schnell handeln. Häufig bemerken Betroffene erst durch eine Kontobewegung, eine Benachrichtigung der Bank oder eine ungewöhnliche Meldung in der Banking-App, dass Dritte Zugriff auf ihre Zahlungsdaten erlangt haben. In dieser Situation kommt es darauf an, weitere finanzielle Schäden zu verhindern, die vorhandenen Beweise zu sichern und die eigenen Rechte gegenüber der Bank zu wahren.

Viele Geschädigte sind zunächst verunsichert. Sie wissen nicht, ob lediglich Zugangsdaten ausgespäht wurden, ob bereits eine unberechtigte Überweisung erfolgt ist oder ob die Täter weiterhin Zugriff auf das Konto haben. Hinzu kommt häufig die Sorge, dass das gesamte Guthaben verloren sein könnte. Gerade deshalb sollte nicht unüberlegt gehandelt werden. Ein strukturiertes Vorgehen hilft dabei, den Schaden einzugrenzen und die spätere rechtliche Aufarbeitung vorzubereiten.

1. Unverzüglich die Bank informieren

Der erste wichtige Schritt besteht darin, die eigene Bank über den Phishing-Vorfall zu informieren. Dabei sollte ein Kontaktweg verwendet werden, dessen Echtheit unabhängig überprüft wurde. Betroffene sollten keinesfalls die Telefonnummer aus einer verdächtigen SMS oder E-Mail verwenden oder auf einen darin enthaltenen Link zurückgreifen. Sicherer ist es, die bekannte Telefonnummer der Bank zu wählen, die Angaben auf der offiziellen Internetseite selbst aufzurufen oder eine bereits vorhandene Bankkarte beziehungsweise Vertragsunterlage zu verwenden.

Im Gespräch sollte der Sachverhalt möglichst konkret geschildert werden. Betroffene sollten erklären, dass sie einen Phishing-Angriff vermuten und möglicherweise unberechtigte Zahlungsvorgänge festgestellt haben. Dabei ist es sinnvoll, die betroffenen Konten, die verdächtigen Transaktionen und den ungefähren Zeitpunkt des Vorfalls zu nennen. Wenn noch unklar ist, ob bereits Geld abgebucht wurde, sollte auch der mögliche Zugriff durch unbekannte Dritte mitgeteilt werden.

Die Bank sollte ausdrücklich darüber informiert werden, dass weitere unberechtigte Verfügungen verhindert werden müssen. Je nach Situation kann es erforderlich sein, den Onlinebanking-Zugang zu sperren, betroffene Karten zu blockieren, Zugangsdaten zurückzusetzen oder das verwendete Sicherheitsverfahren zu deaktivieren. Welche Maßnahmen erforderlich sind, hängt davon ab, auf welche Weise die Täter Zugriff erlangt haben.

Wichtig ist, dass Betroffene nicht nur telefonisch Kontakt aufnehmen, sondern die Mitteilung nach Möglichkeit zusätzlich schriftlich dokumentieren. Dadurch lässt sich später nachvollziehen, wann die Bank informiert wurde und welche Informationen ihr zu diesem Zeitpunkt vorlagen. Auch Gesprächsnotizen mit Datum, Uhrzeit, Ansprechpartner und Gesprächsinhalt sollten aufbewahrt werden.

2. Onlinebanking und betroffene Zahlungsinstrumente absichern

Wenn Täter Zugangsdaten erlangt haben, besteht die Gefahr, dass sie weitere Transaktionen durchführen oder zusätzliche Änderungen am Konto vornehmen. Deshalb sollte der betroffene Zugang möglichst schnell abgesichert werden. Die Bank kann dabei unterstützen, das Onlinebanking zu sperren oder neu einzurichten. Auch Kredit- und Debitkarten können betroffen sein und müssen gegebenenfalls blockiert werden.

Wurde eine TAN-App oder ein anderes mobiles Sicherheitsverfahren missbraucht, sollte dies ausdrücklich angesprochen werden. Es genügt nicht immer, lediglich das Passwort zu ändern. Unter Umständen haben die Täter bereits ein fremdes Gerät registriert, eine neue Freigabemethode eingerichtet oder Zugriff auf ein bestehendes Sicherheitsverfahren erlangt. Die Bank sollte deshalb prüfen, ob unbekannte Geräte oder zusätzliche Freigabemöglichkeiten hinterlegt wurden.

Betroffene sollten außerdem kontrollieren, ob persönliche Daten verändert worden sind. Dazu gehören insbesondere die hinterlegte Mobilfunknummer, die E-Mail-Adresse, die Postanschrift und Angaben zu registrierten Geräten. Wenn Täter solche Informationen ändern, können sie möglicherweise weitere Sicherheitsmeldungen abfangen oder die Wiederherstellung des Kontozugangs erschweren.

Wurde auf dem Smartphone oder Computer eine unbekannte Anwendung installiert, sollte dies ebenfalls berücksichtigt werden. Insbesondere bei einer installierten Fernzugriffssoftware besteht die Gefahr, dass die Täter weiterhin auf das Gerät zugreifen können. In einem solchen Fall sollte das betroffene Gerät nicht unüberlegt für weitere Bankgeschäfte verwendet werden. Die Absicherung sollte über ein vertrauenswürdiges, nicht kompromittiertes Gerät erfolgen. Gegebenenfalls ist fachkundige technische Unterstützung erforderlich.

3. Unberechtigte Überweisungen und Abbuchungen genau feststellen

Nach einem Phishing-Angriff sollten Betroffene ihre Kontobewegungen sorgfältig überprüfen. Dabei geht es nicht nur um die bereits auffällige Überweisung. Auch weitere Abbuchungen, Kartenzahlungen, Lastschriften oder Änderungen an Zahlungsaufträgen können auf einen unbefugten Zugriff hindeuten.

Besonders wichtig ist die genaue Erfassung jeder verdächtigen Transaktion. Betroffene sollten den Buchungstag, den Betrag, den Zahlungsempfänger und die vorhandenen Empfängerdaten festhalten. Bei Überweisungen können insbesondere die IBAN, der Name des Empfängers und die Angaben zur Empfängerbank von Bedeutung sein. Bei Kartenzahlungen sollten die Buchungsinformationen und die Bezeichnung des Zahlungsempfängers dokumentiert werden.

Es empfiehlt sich, Kontoauszüge herunterzuladen oder auszudrucken. Zusätzlich sollten Screenshots der auffälligen Buchungen und der entsprechenden Informationen in der Banking-App angefertigt werden. Dabei ist darauf zu achten, dass die Angaben vollständig und lesbar bleiben. Wenn die Bank später einzelne Buchungen anders darstellt oder Informationen nicht mehr unmittelbar abrufbar sind, können die gesicherten Unterlagen bei der Rekonstruktion des Geschehens helfen.

Auch vorgemerkte oder noch nicht endgültig gebuchte Transaktionen sollten beachtet werden. Nicht jede verdächtige Zahlung ist bereits endgültig ausgeführt. Gerade deshalb sollte die Bank unverzüglich informiert werden, sobald ein verdächtiger Vorgang erkennbar ist.

4. Unautorisierte Zahlungen ausdrücklich beanstanden

Wenn Betroffene feststellen, dass eine Überweisung oder andere Zahlung ohne ihre Zustimmung ausgeführt wurde, sollten sie den Zahlungsvorgang gegenüber der Bank ausdrücklich beanstanden. Dabei sollte klar formuliert werden, dass die betreffende Zahlung nicht autorisiert wurde, sofern dies dem tatsächlichen Geschehen entspricht.

Die bloße Mitteilung, dass man Opfer eines Phishing-Angriffs geworden sei, ersetzt nicht zwangsläufig eine konkrete Beanstandung der einzelnen Zahlungsvorgänge. Deshalb sollten Betroffene die betroffenen Buchungen möglichst genau bezeichnen und die Bank auffordern, den Vorgang zu prüfen und die gesetzlichen Erstattungsansprüche zu berücksichtigen.

Nach § 675u BGB ist ein Zahlungsdienstleister grundsätzlich verpflichtet, dem Zahler im Fall eines nicht autorisierten Zahlungsvorgangs den Zahlungsbetrag unverzüglich zu erstatten und das Zahlungskonto wieder auf den Stand zu bringen, auf dem es sich ohne die Belastung befunden hätte. Ob diese Voraussetzungen im konkreten Fall erfüllt sind, muss allerdings anhand des tatsächlichen Ablaufs geprüft werden.

Entscheidend ist insbesondere, ob eine wirksame Autorisierung vorlag. Eine technisch erfolgreiche Anmeldung oder die Verwendung einer TAN beantwortet diese Frage nicht automatisch. Ebenso wenig bedeutet die Tatsache, dass der Kunde selbst eine Handlung auf seinem Smartphone vorgenommen hat, zwangsläufig, dass er der konkreten Überweisung zugestimmt hat.

Betroffene sollten daher vermeiden, gegenüber der Bank vorschnell Erklärungen abzugeben, die den tatsächlichen Ablauf unzutreffend wiedergeben. Wenn sie beispielsweise eine TAN eingegeben haben, weil ein angeblicher Bankmitarbeiter eine Sicherheitsprüfung angekündigt hatte, sollte genau dieser Zusammenhang geschildert werden. Es ist wichtig, zwischen der tatsächlich vorgenommenen Handlung und dem Verständnis des Betroffenen über deren Bedeutung zu unterscheiden.

5. Beweise und Kommunikationsverläufe sichern

Die Beweissicherung gehört zu den wichtigsten Maßnahmen nach einem Phishing-Angriff. Viele Informationen können später nicht mehr ohne Weiteres abgerufen werden. Nachrichten werden gelöscht, Internetseiten verändert oder abgeschaltet und Gesprächsinhalte geraten mit zunehmendem zeitlichem Abstand in Vergessenheit. Deshalb sollten Betroffene möglichst frühzeitig sämtliche verfügbaren Unterlagen sichern.

Dazu gehören insbesondere:

• Phishing-E-Mails einschließlich Absenderadresse und vollständigem Nachrichteninhalt.
• SMS und Messenger-Nachrichten mit den angezeigten Absenderinformationen.
• Screenshots der gefälschten Internetseiten und der verwendeten Internetadressen.
• Telefonnummern, Anruflisten und Gesprächsnotizen.
• Kontoauszüge und Zahlungsbelege mit den konkreten Transaktionsdaten.
• Angaben zu IBAN, BIC, Empfängerbank und Zahlungsempfänger.
• Informationen zu verwendeten TANs, PushTAN-Freigaben und registrierten Geräten.
• Schriftwechsel mit der Bank und deren Stellungnahmen.
• Unterlagen über installierte Anwendungen oder gewährte Fernzugriffe.

Bei E-Mails kann es sinnvoll sein, nicht nur einen Screenshot oder einen Ausdruck zu speichern, sondern die ursprüngliche Nachricht einschließlich ihrer technischen Kopfzeilen aufzubewahren. Diese Informationen können Hinweise auf den tatsächlichen Versandweg und die verwendeten Absenderdaten enthalten.

Auch die gefälschte Internetadresse sollte dokumentiert werden. Betroffene sollten jedoch nicht erneut auf die verdächtige Seite zugreifen, nur um weitere Screenshots anzufertigen. Wenn die Seite bereits geöffnet wurde, können vorhandene Screenshots oder gespeicherte Informationen verwendet werden. Eine erneute Eingabe von Zugangsdaten ist unbedingt zu vermeiden.

Besonders hilfreich ist eine chronologische Aufstellung des Vorfalls. Darin sollte festgehalten werden, wann die erste Nachricht eingegangen ist, wann ein Link geöffnet wurde, welche Daten eingegeben wurden, ob ein Telefonat stattgefunden hat und wann die verdächtige Zahlung festgestellt wurde. Auch die Kontaktaufnahme mit der Bank sollte mit Datum und Uhrzeit aufgenommen werden. Eine solche Übersicht erleichtert die spätere rechtliche Prüfung erheblich.

6. Keine weiteren Sicherheitsfreigaben durchführen

Nach einem Phishing-Vorfall sollten Betroffene besonders vorsichtig mit weiteren Aufforderungen zur Eingabe von Daten oder zur Bestätigung von Vorgängen umgehen. Es kommt vor, dass Täter ihre Opfer erneut kontaktieren und behaupten, der erste Angriff müsse noch vollständig bereinigt werden. Sie erklären beispielsweise, dass eine weitere TAN erforderlich sei oder eine zusätzliche Überweisung vorgenommen werden müsse, um das Geld zu sichern.

Solche Aufforderungen können Teil eines fortgesetzten Betrugs sein. Betroffene sollten deshalb keine weiteren Freigaben erteilen, wenn sie den konkreten Zweck nicht eindeutig nachvollziehen können. Auch angebliche Mitarbeiter, die sich nach dem ersten Vorfall telefonisch melden und eine sofortige Lösung versprechen, sollten kritisch geprüft werden.

Besonders gefährlich sind Versprechen, mit denen angeblich bereits verlorenes Geld zurückgeholt werden kann. Täter können sich als spezialisierte Rückholunternehmen, Rechtsberater oder technische Dienstleister ausgeben. Sie behaupten dann, sie könnten die verlorenen Beträge gegen eine Vorauszahlung oder durch eine zusätzliche Sicherheitsüberweisung zurückführen. Ein solcher Kontakt kann einen weiteren Betrugsversuch darstellen.

Betroffene sollten daher keine zusätzlichen Zahlungen leisten, ohne die Identität und die rechtliche Grundlage des angeblichen Dienstleisters unabhängig überprüft zu haben. Auch die Herausgabe weiterer Zugangsdaten oder die Installation unbekannter Software sollte unterbleiben.

7. Passwörter und weitere betroffene Konten überprüfen

Wenn Zugangsdaten durch Phishing bekannt geworden sind, sollten nicht nur die Bankdaten berücksichtigt werden. Wurde dasselbe Passwort auch bei anderen Diensten verwendet, können weitere Konten gefährdet sein. Dazu gehören insbesondere E-Mail-Konten, Zahlungsdienste, Onlinehändler und soziale Netzwerke.

Das E-Mail-Konto verdient besondere Aufmerksamkeit. Wer Zugriff auf das E-Mail-Postfach erhält, kann unter Umständen Passwortzurücksetzungen durchführen oder Sicherheitsbenachrichtigungen abfangen. Betroffene sollten deshalb auch dort das Passwort ändern und prüfen, ob unbekannte Weiterleitungsregeln, zusätzliche Postfachzugriffe oder fremde Geräte eingerichtet wurden.

Neue Passwörter sollten ausschließlich über die offiziellen Internetseiten oder Anwendungen der jeweiligen Anbieter vergeben werden. Sie sollten ausreichend sicher sein und nicht mit anderen Diensten geteilt werden. Soweit verfügbar, kann eine zusätzliche Mehr-Faktor-Authentifizierung sinnvoll sein. Allerdings sollte auch diese nur über die offiziellen Sicherheitsfunktionen eingerichtet werden.

Wurde ein Smartphone kompromittiert oder eine Fernzugriffsanwendung installiert, kann eine einfache Passwortänderung über dasselbe Gerät unzureichend sein. In diesem Fall sollte zunächst geklärt werden, ob das Gerät weiterhin unter der Kontrolle Dritter stehen könnte. Erst danach sollten sensible Zugänge neu eingerichtet werden.

8. Die Bank zur Stellungnahme und Prüfung auffordern

Nachdem der unmittelbare Schaden begrenzt und die Beweise gesichert wurden, sollte die weitere Kommunikation mit der Bank strukturiert erfolgen. Betroffene sollten eine schriftliche Beanstandung der unautorisierten Zahlungen einreichen und eine nachvollziehbare Prüfung verlangen.

Dabei kann es sinnvoll sein, die Bank um konkrete Informationen zu den beanstandeten Zahlungsvorgängen zu bitten. Dazu gehören insbesondere Angaben zum verwendeten Authentifizierungsverfahren, zu den Zeitpunkten der Transaktionen und zu den tatsächlich erfassten Freigaben. Auch die Frage, welche Informationen dem Kunden während des Freigabeprozesses angezeigt wurden, kann relevant sein.

Wenn die Bank eine Erstattung ablehnt, sollte sie ihre Entscheidung nachvollziehbar begründen. Eine pauschale Erklärung, die Zahlung sei mit den richtigen Zugangsdaten oder einer gültigen TAN durchgeführt worden, beantwortet nicht zwangsläufig alle rechtlichen Fragen. Es muss vielmehr geprüft werden, ob die Zahlung tatsächlich autorisiert war und ob die gesetzlichen Voraussetzungen für eine Haftung des Kunden vorliegen.

Betroffene sollten sämtliche Schreiben der Bank aufbewahren. Dazu gehören Eingangsbestätigungen, Ablehnungsschreiben, technische Erläuterungen und gegebenenfalls angebotene Vergleichs- oder Kulanzregelungen. Auch mündliche Aussagen sollten mit Datum, Uhrzeit und Ansprechpartner dokumentiert werden.

9. Fristen und rechtliche Besonderheiten beachten

Bei einem Phishing-Betrug sollte nicht unnötig lange gewartet werden. § 676b BGB enthält besondere Regelungen zur Anzeige nicht autorisierter oder fehlerhaft ausgeführter Zahlungsvorgänge. Grundsätzlich muss der Zahlungsdienstleister über einen nicht autorisierten Zahlungsvorgang unverzüglich nach dessen Feststellung unterrichtet werden. Zudem sieht die Vorschrift eine zeitliche Höchstgrenze für die Anzeige vor, wobei gesetzliche Ausnahmen zu berücksichtigen sind.

Für Betroffene bedeutet das: Sie sollten die Beanstandung nicht aufschieben, bis sämtliche technischen Einzelheiten geklärt sind. Es ist sinnvoll, die Bank zunächst unverzüglich über den verdächtigen Vorgang zu informieren und die erforderlichen Informationen anschließend zu ergänzen.

Auch die Beweislast spielt eine wichtige Rolle. Nach den zahlungsdiensterechtlichen Vorschriften muss der Zahlungsdienstleister im Streitfall unter anderem darlegen und nachweisen, dass der Zahlungsvorgang ordnungsgemäß authentifiziert und aufgezeichnet wurde. Die bloße Nutzung eines Zahlungsinstruments reicht nach § 675w BGB nicht ohne Weiteres aus, um die Autorisierung oder eine grob fahrlässige Pflichtverletzung des Kunden zu beweisen.

Die rechtlichen Anforderungen sind deshalb differenziert zu betrachten. Eine Bank kann nicht automatisch jede Erstattung mit dem Hinweis ablehnen, der Kunde habe seine Zugangsdaten selbst eingegeben oder eine TAN verwendet. Andererseits führt auch nicht jeder Phishing-Angriff zwingend zu einem Erstattungsanspruch. Maßgeblich sind die tatsächlichen Umstände und die gesetzlichen Voraussetzungen.

10. Wann sollten Betroffene einen Anwalt einschalten?

Eine anwaltliche Prüfung kann insbesondere dann sinnvoll sein, wenn hohe Geldbeträge verloren gegangen sind, mehrere Zahlungsvorgänge betroffen sind oder die Bank eine Erstattung verweigert. Gleiches gilt, wenn die Bank dem Kunden grobe Fahrlässigkeit vorwirft oder behauptet, die Überweisung sei ordnungsgemäß autorisiert worden.

Ein auf Bank- und Kapitalmarktrecht beziehungsweise Zahlungsdiensterecht spezialisierter Rechtsanwalt kann den Ablauf des Phishing-Angriffs rechtlich einordnen und prüfen, welche Ansprüche gegenüber der Bank bestehen. Dabei werden insbesondere die Kommunikation mit den Tätern, die verwendeten Sicherheitsverfahren, die Kontobewegungen und die Reaktion des Finanzinstituts berücksichtigt.

Wichtig ist eine genaue Prüfung der tatsächlichen Vorgänge. Wurde eine Überweisung ohne Zustimmung ausgeführt? Hat der Kunde lediglich Zugangsdaten eingegeben oder auch eine konkrete Zahlung freigegeben? Welche Angaben waren bei der TAN-Eingabe sichtbar? Hat die Bank die Beanstandung ordnungsgemäß bearbeitet? Und kann sie die Voraussetzungen einer möglichen Haftung des Kunden tatsächlich nachweisen?

Auch die Höhe des Schadens und die Möglichkeit weiterer Ansprüche können eine Rolle spielen. Je nach Sachverhalt kommen neben dem Erstattungsanspruch gegen die Bank weitere rechtliche Schritte in Betracht. Ob diese erfolgversprechend sind, hängt unter anderem davon ab, welche Personen oder Unternehmen an dem Zahlungsvorgang beteiligt waren und welche Informationen über die Empfängerkonten vorliegen.

Betroffene sollten insbesondere bei einer schriftlichen Ablehnung der Bank nicht vorschnell auf ihre Ansprüche verzichten. Eine solche Entscheidung bedeutet nicht automatisch, dass die rechtliche Prüfung abgeschlossen ist. Vielmehr sollte untersucht werden, ob die Begründung der Bank den tatsächlichen Vorgang und die gesetzlichen Anforderungen zutreffend berücksichtigt.

Fazit: Nach Phishing-Betrug schnell handeln und Ansprüche sichern

Nach einem Phishing-Angriff kommt es auf ein geordnetes und zügiges Vorgehen an. Betroffene sollten die Bank unverzüglich informieren, den Zugang zum Onlinebanking und betroffene Zahlungsinstrumente absichern, verdächtige Transaktionen dokumentieren und sämtliche Nachrichten sowie technischen Informationen sichern. Unbekannte Sicherheitsfreigaben und weitere Zahlungsaufforderungen sollten nicht bestätigt werden.

Besonders wichtig ist die ausdrückliche Beanstandung unautorisierter Zahlungsvorgänge. Wer Geld durch Phishing verloren hat, sollte prüfen lassen, ob nach § 675u BGB ein Anspruch auf Erstattung besteht. Dabei darf nicht allein darauf abgestellt werden, dass Zugangsdaten oder TANs technisch verwendet wurden. Entscheidend ist, ob eine wirksame Autorisierung vorlag und ob die gesetzlichen Voraussetzungen für eine mögliche Haftung des Kunden erfüllt sind.

Je vollständiger der Sachverhalt dokumentiert wird, desto besser lässt sich die rechtliche Situation beurteilen. Gerade wenn die Bank eine Erstattung ablehnt oder grobe Fahrlässigkeit behauptet, kann eine anwaltliche Prüfung helfen, berechtigte Ansprüche durchzusetzen.

Phishing-Betrug – wann muss die Bank den entstandenen Schaden erstatten?

Wer durch Phishing-Betrug Geld verloren hat, stellt sich häufig eine entscheidende Frage: Muss die Bank für den finanziellen Schaden aufkommen, wenn Kriminelle das Onlinebanking missbraucht und unberechtigte Überweisungen vorgenommen haben? Die Antwort hängt von den konkreten Umständen des Einzelfalls ab. Allerdings bestehen gesetzliche Schutzvorschriften, die Bankkunden bei nicht autorisierten Zahlungsvorgängen zugutekommen können. Betroffene sollten deshalb nicht vorschnell davon ausgehen, dass sie den entstandenen Schaden selbst tragen müssen.

Besonders wichtig ist die Unterscheidung zwischen einer tatsächlich vom Kunden autorisierten Zahlung und einer Transaktion, die ohne seine Zustimmung ausgeführt wurde. Bei Phishing-Angriffen ist diese Abgrenzung häufig schwieriger, als es zunächst erscheint. Die Täter können Zugangsdaten stehlen, Sicherheitsverfahren missbrauchen oder ihre Opfer durch gezielte Täuschung dazu bringen, bestimmte Freigaben vorzunehmen. Die Bank beruft sich anschließend möglicherweise darauf, dass die Überweisung technisch ordnungsgemäß authentifiziert worden sei. Daraus folgt jedoch nicht automatisch, dass der Kunde die Zahlung auch rechtlich autorisiert hat.

Für die Beurteilung eines Erstattungsanspruchs sind insbesondere die §§ 675u und 675w BGB von Bedeutung. Diese Vorschriften regeln die Folgen nicht autorisierter Zahlungsvorgänge und die Anforderungen an den Nachweis der ordnungsgemäßen Authentifizierung. Daneben kann § 675v BGB eine Rolle spielen, wenn es um eine mögliche Haftung des Kunden wegen einer Pflichtverletzung geht.

Der gesetzliche Erstattungsanspruch nach § 675u BGB

Nach § 675u BGB muss der Zahlungsdienstleister dem Zahler im Fall eines nicht autorisierten Zahlungsvorgangs den Zahlungsbetrag grundsätzlich unverzüglich erstatten. Außerdem muss das Zahlungskonto wieder auf den Stand gebracht werden, auf dem es sich ohne die Belastung durch den nicht autorisierten Zahlungsvorgang befunden hätte.

Diese Regelung ist für Opfer von Phishing-Betrug besonders wichtig. Wenn ein Täter ohne Zustimmung des Kontoinhabers eine Überweisung ausführt, kann grundsätzlich ein Erstattungsanspruch gegen die Bank bestehen. Dabei kommt es zunächst darauf an, ob die betreffende Zahlung tatsächlich nicht autorisiert war.

Eine Autorisierung setzt grundsätzlich die Zustimmung des Zahlers zu dem konkreten Zahlungsvorgang voraus. Diese Zustimmung muss nach dem vereinbarten Verfahren erteilt werden. Entscheidend ist deshalb nicht allein, ob sich jemand erfolgreich beim Onlinebanking angemeldet hat oder eine technische Sicherheitsprüfung bestanden wurde. Vielmehr muss geprüft werden, ob der Kunde dem konkreten Zahlungsvorgang zugestimmt hat.

Das kann bei Phishing-Angriffen erhebliche Bedeutung haben. Ein Betroffener kann beispielsweise seine Zugangsdaten auf einer gefälschten Bankseite eingegeben haben, ohne zu wissen, dass die Täter diese Informationen unmittelbar für eine Überweisung verwenden. In einem solchen Fall ist die Eingabe der Zugangsdaten nicht ohne Weiteres mit einer Zustimmung zur späteren Zahlung gleichzusetzen.

Ähnliches gilt, wenn ein angeblicher Bankmitarbeiter den Kunden telefonisch dazu auffordert, eine TAN einzugeben oder eine PushTAN-Freigabe vorzunehmen. Wird dem Betroffenen dabei erklärt, er müsse einen angeblichen Sicherheitsvorgang bestätigen, kann die tatsächliche Bedeutung der Freigabe von seiner Vorstellung abweichen. Ob eine wirksame Autorisierung vorliegt, muss deshalb anhand des konkreten Sachverhalts geprüft werden.

Technische Authentifizierung ist nicht gleich rechtliche Autorisierung

Ein häufiger Streitpunkt zwischen Banken und Phishing-Opfern besteht darin, dass die Bank auf die technische Durchführung der Zahlung verweist. Sie erklärt beispielsweise, dass die Überweisung mit den richtigen Zugangsdaten, einer gültigen TAN oder einem registrierten Smartphone bestätigt worden sei. Daraus wird mitunter abgeleitet, dass der Kunde die Zahlung selbst veranlasst habe.

Diese Schlussfolgerung ist rechtlich nicht zwingend. Die technische Authentifizierung und die Autorisierung eines Zahlungsvorgangs sind unterschiedliche Fragen. Die Authentifizierung betrifft insbesondere die Überprüfung der Identität des Nutzers oder die ordnungsgemäße Verwendung des Zahlungsinstruments. Die Autorisierung setzt dagegen die Zustimmung des Zahlers zu dem konkreten Zahlungsvorgang voraus.

Ein Phishing-Opfer kann daher eine technische Handlung vorgenommen haben, ohne der tatsächlich ausgeführten Überweisung zugestimmt zu haben. Beispielsweise kann es seine PIN eingegeben haben, weil es glaubte, eine Sicherheitsüberprüfung durchzuführen. Ebenso kann es eine TAN bestätigt haben, ohne zu erkennen, dass damit eine Zahlung an einen unbekannten Empfänger freigegeben wird.

Für die rechtliche Bewertung kommt es deshalb auf die Einzelheiten an. Welche Informationen wurden bei der Freigabe angezeigt? War der Zahlungsempfänger erkennbar? Wurde der konkrete Betrag genannt? Wurde die Handlung als Überweisung oder als Sicherheitsmaßnahme dargestellt? Welche Erklärungen hatte der Betroffene zuvor von den Tätern erhalten?

Diese Fragen können entscheidend sein. Eine Bank darf die rechtliche Prüfung nicht ohne Weiteres auf den technischen Umstand reduzieren, dass eine TAN erfolgreich verwendet wurde. Vielmehr muss der tatsächliche Ablauf berücksichtigt werden.

Welche Beweislast trägt die Bank nach § 675w BGB?

Eine weitere zentrale Vorschrift ist § 675w BGB. Sie regelt, welche Nachweise der Zahlungsdienstleister bei einem bestrittenen Zahlungsvorgang erbringen muss. Bestreitet der Kunde, eine Zahlung autorisiert zu haben, muss die Bank grundsätzlich nachweisen, dass der Zahlungsvorgang authentifiziert und ordnungsgemäß aufgezeichnet wurde und nicht durch eine technische Störung oder einen anderen Mangel beeinträchtigt war.

Besonders bedeutsam ist, dass die Aufzeichnung der Nutzung eines Zahlungsinstruments allein nicht zwangsläufig ausreicht, um nachzuweisen, dass der Kunde den Zahlungsvorgang autorisiert hat. Ebenso lässt sich daraus nicht automatisch ableiten, dass der Kunde betrügerisch gehandelt oder seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat.

Das ist für Betroffene von erheblicher Bedeutung. Wenn die Bank erklärt, dass eine Überweisung mit den persönlichen Zugangsdaten des Kunden durchgeführt worden sei, beantwortet dies noch nicht alle rechtlichen Fragen. Es muss zusätzlich geprüft werden, ob die Zahlung tatsächlich vom Kunden autorisiert wurde und ob gegebenenfalls eine gesetzlich vorgesehene Haftung des Kunden greift.

Die Bank muss sich deshalb mit dem konkreten Sachverhalt auseinandersetzen. Dazu können technische Protokolle, Informationen über das verwendete Sicherheitsverfahren, Daten zu registrierten Geräten und Angaben zum Zeitpunkt der Freigabe gehören. Auch die Frage, ob ungewöhnliche Anmelde- oder Transaktionsmuster erkennbar waren, kann im Einzelfall relevant sein.

Betroffene sollten sich daher nicht mit einer pauschalen Ablehnung zufriedengeben, wenn diese lediglich auf die Verwendung der richtigen Zugangsdaten oder einer TAN gestützt wird. Es kann sinnvoll sein, eine nachvollziehbare Erläuterung der technischen und tatsächlichen Grundlagen der Entscheidung anzufordern.

Wann kann die Bank die Erstattung verweigern?

Ein Erstattungsanspruch nach § 675u BGB bedeutet nicht, dass die Bank bei jedem Phishing-Schaden uneingeschränkt zahlen muss. Das Gesetz sieht unter bestimmten Voraussetzungen eine Haftung des Kunden vor. Insbesondere § 675v BGB enthält Regelungen zur Verantwortlichkeit des Zahlers bei missbräuchlicher Verwendung eines Zahlungsinstruments.

Dabei kann es darauf ankommen, ob der Kunde seine Pflichten im Zusammenhang mit dem Zahlungsinstrument vorsätzlich oder grob fahrlässig verletzt hat. Eine solche Pflichtverletzung kann beispielsweise vorliegen, wenn Sicherheitsmerkmale in einer Weise weitergegeben werden, die nach den konkreten Umständen als besonders schwerwiegend einzustufen ist.

Allerdings darf grobe Fahrlässigkeit nicht pauschal unterstellt werden. Nicht jede unvorsichtige Handlung erfüllt diese rechtliche Voraussetzung. Auch die Tatsache, dass ein Kunde auf eine täuschend echte Nachricht hereingefallen ist, reicht nicht automatisch aus, um eine grob fahrlässige Pflichtverletzung anzunehmen.

Entscheidend ist vielmehr eine Gesamtbetrachtung. Dabei muss berücksichtigt werden, wie der Phishing-Angriff gestaltet war, welche Warnhinweise erkennbar waren, welche Informationen dem Kunden angezeigt wurden und wie die Täter vorgegangen sind. Auch die Professionalität der Täuschung und ein möglicherweise manipulierter Telefonkontakt können für die Bewertung relevant sein.

Eine Bank muss daher konkret begründen, weshalb sie dem Kunden eine bestimmte Pflichtverletzung vorwirft. Der pauschale Hinweis, der Betroffene hätte den Betrug erkennen müssen, genügt nicht zwangsläufig. Es kommt darauf an, welche konkreten Umstände für den Kunden erkennbar waren und welche Sorgfaltspflichten er tatsächlich verletzt haben soll.

Grobe Fahrlässigkeit bei Phishing: Wann ist das Verhalten des Kunden problematisch?

Die Frage der groben Fahrlässigkeit gehört zu den häufigsten Streitpunkten bei Phishing-Schäden. Banken führen beispielsweise an, dass der Kunde seine PIN oder TAN an Dritte weitergegeben, einen unbekannten Link geöffnet oder eine PushTAN-Freigabe bestätigt habe. Daraus wird mitunter geschlossen, dass der Betroffene seine Sicherheitsobliegenheiten in besonders schwerwiegender Weise verletzt habe.

Eine solche Bewertung muss jedoch differenziert erfolgen. Grobe Fahrlässigkeit setzt grundsätzlich voraus, dass die erforderliche Sorgfalt in besonders schwerem Maße verletzt wurde. Es muss also ein Verhalten vorliegen, bei dem naheliegende Überlegungen nicht angestellt oder offensichtlich gebotene Vorsichtsmaßnahmen außer Acht gelassen wurden.

Ob diese Voraussetzungen erfüllt sind, hängt vom konkreten Ablauf ab. Eine täuschend echte Nachricht, die scheinbar von der Hausbank stammt, ist anders zu beurteilen als eine offensichtlich unseriöse Aufforderung zur Herausgabe von Zugangsdaten. Auch ein professionell geführtes Telefonat, bei dem sich Täter als Bankmitarbeiter ausgeben und einen angeblichen Sicherheitsvorfall schildern, kann die Situation des Betroffenen beeinflussen.

Besonders wichtig ist die Frage, ob der Kunde die tatsächliche Bedeutung seiner Handlung erkennen konnte. Wenn die Täter eine TAN-Freigabe als angebliche Sicherheitsmaßnahme darstellen, muss geprüft werden, welche Informationen tatsächlich auf dem Bildschirm erschienen sind. Wurde dort eine konkrete Überweisung mit Betrag und Empfänger angezeigt, kann dies für die Bewertung relevant sein. Wurde dagegen ein anderer Vorgang vorgetäuscht oder waren die Informationen unklar, kann sich eine andere rechtliche Beurteilung ergeben.

Auch die Frage, ob der Kunde eine Sicherheitswarnung bewusst ignoriert hat, kann eine Rolle spielen. Dabei ist allerdings genau zu prüfen, welche Warnung tatsächlich angezeigt wurde und ob sie für den konkreten Zahlungsvorgang verständlich und eindeutig war. Allgemeine Hinweise auf die Gefahren des Phishing reichen nicht ohne Weiteres aus, um in jedem Einzelfall eine grob fahrlässige Pflichtverletzung zu begründen.

Besondere Bedeutung der PushTAN- und Banking-App-Freigabe

Viele Phishing-Fälle betreffen moderne Sicherheitsverfahren. Dazu gehören insbesondere PushTAN-Verfahren, Banking-Apps und die Freigabe von Transaktionen über ein registriertes Smartphone. Banken können argumentieren, dass eine Zahlung ordnungsgemäß bestätigt wurde, weil der Kunde eine entsprechende Freigabe vorgenommen hat.

Für die rechtliche Prüfung ist jedoch entscheidend, was genau freigegeben wurde. Eine Bestätigung in der Banking-App ist nicht automatisch eine Zustimmung zu jeder Handlung, die technisch im Hintergrund ausgeführt wird. Es muss geprüft werden, ob der Kunde den konkreten Zahlungsvorgang erkennen konnte und ob seine Handlung tatsächlich als Zustimmung zu dieser Zahlung zu verstehen ist.

Wenn ein Täter den Betroffenen telefonisch anleitet und behauptet, eine PushTAN-Freigabe sei erforderlich, um einen fremden Zugriff zu verhindern, kann eine gezielte Täuschung vorliegen. Der Kunde glaubt möglicherweise, eine Sicherheitsmaßnahme durchzuführen, während tatsächlich eine Überweisung bestätigt wird.

In solchen Fällen sind die konkreten Informationen auf dem Display besonders wichtig. Betroffene sollten deshalb nach Möglichkeit dokumentieren, welche Angaben ihnen bei der Freigabe angezeigt wurden. Dazu können der Betrag, der Zahlungsempfänger, die Art der Transaktion und die Beschreibung des Vorgangs gehören.

Auch die technischen Protokolle der Bank können eine wichtige Rolle spielen. Sie können Aufschluss darüber geben, wann eine Freigabe erfolgt ist, welches Gerät verwendet wurde und welche Sicherheitsinformationen verarbeitet wurden. Diese Daten sollten im Zusammenhang mit der Schilderung des Betroffenen geprüft werden.

Was gilt, wenn der Kunde selbst eine Überweisung vorgenommen hat?

Nicht jeder Phishing-Fall betrifft eine Überweisung, die ohne jede Mitwirkung des Kunden ausgeführt wurde. Teilweise werden Betroffene durch eine gezielte Täuschung dazu gebracht, selbst eine Überweisung vorzunehmen. Sie glauben beispielsweise, dass sie ihr Geld auf ein sicheres Konto übertragen oder eine angebliche betrügerische Zahlung rückgängig machen müssen.

In diesen Fällen ist die rechtliche Bewertung schwieriger. Wenn der Kunde selbst eine Überweisung veranlasst und den Zahlungsempfänger sowie den Betrag bewusst bestätigt, kann ein autorisierter Zahlungsvorgang vorliegen, auch wenn er durch die Täter über den tatsächlichen Zweck der Zahlung getäuscht wurde.

Das bedeutet allerdings nicht, dass jede rechtliche Möglichkeit ausgeschlossen ist. Es muss geprüft werden, welche Umstände vorlagen und ob neben einem Anspruch gegen die Bank weitere Ansprüche gegen andere Beteiligte in Betracht kommen. Je nach Sachverhalt können auch Schadensersatzansprüche oder andere zivilrechtliche Anspruchsgrundlagen relevant sein.

Eine sorgfältige Abgrenzung ist deshalb unverzichtbar. Wurde eine Überweisung durch die Täter ohne Zustimmung ausgeführt, steht die Prüfung des Erstattungsanspruchs nach § 675u BGB im Vordergrund. Hat der Kunde selbst eine Zahlung veranlasst, weil er über den tatsächlichen Empfänger oder Zweck getäuscht wurde, müssen die rechtlichen Möglichkeiten gesondert untersucht werden.

Welche Bedeutung hat die schnelle Meldung des Phishing-Schadens?

Betroffene sollten einen nicht autorisierten Zahlungsvorgang unverzüglich melden, sobald sie ihn feststellen. § 676b BGB enthält hierfür besondere Regelungen. Grundsätzlich muss der Kunde den Zahlungsdienstleister unverzüglich nach Kenntnis des nicht autorisierten oder fehlerhaft ausgeführten Zahlungsvorgangs unterrichten. Daneben sieht das Gesetz eine zeitliche Höchstgrenze vor, wobei die gesetzlichen Voraussetzungen und Ausnahmen im Einzelfall zu berücksichtigen sind.

Eine schnelle Meldung ist auch deshalb wichtig, weil die Bank möglicherweise noch Maßnahmen ergreifen kann, um weitere Transaktionen zu verhindern oder Informationen zum Zahlungsvorgang zu sichern. Betroffene sollten deshalb nicht warten, bis sie sämtliche Einzelheiten des Angriffs vollständig aufgeklärt haben. Die Beanstandung kann zunächst auf Grundlage der bekannten Informationen erfolgen und anschließend ergänzt werden.

Wer bereits mit der Bank telefoniert hat, sollte zusätzlich eine schriftliche Mitteilung übermitteln. Darin sollten die betroffenen Transaktionen konkret bezeichnet und ausdrücklich beanstandet werden. Außerdem sollte festgehalten werden, dass die Zahlung nach Auffassung des Kunden nicht autorisiert wurde, sofern dies dem tatsächlichen Geschehen entspricht.

Eine verspätete Meldung kann rechtliche Nachteile mit sich bringen. Deshalb sollte die Kommunikation mit der Bank möglichst frühzeitig erfolgen. Auch die schriftliche Bestätigung des Eingangs sollte aufbewahrt werden.

Welche Unterlagen benötigt die Bank für die Prüfung?

Damit ein Erstattungsanspruch geprüft werden kann, sollten Betroffene den Phishing-Angriff möglichst vollständig dokumentieren. Die Bank benötigt insbesondere Informationen über die betroffenen Transaktionen und den Ablauf der Täuschung. Eine pauschale Mitteilung, dass das Konto gehackt worden sei, kann für eine umfassende Prüfung zu ungenau sein.

Wichtige Unterlagen sind insbesondere Kontoauszüge, Zahlungsbelege, Angaben zum Zahlungsempfänger, die IBAN, gegebenenfalls der BIC und Informationen zur Empfängerbank. Hinzu kommen die ursprüngliche Phishing-Nachricht, Screenshots der gefälschten Webseite, Telefonnummern, Gesprächsnotizen und Angaben zu den verwendeten Sicherheitsverfahren.

Wenn eine TAN eingegeben oder eine PushTAN-Freigabe vorgenommen wurde, sollte der Betroffene möglichst genau schildern, unter welchen Umständen dies geschehen ist. Wurde eine angebliche Sicherheitsprüfung angekündigt? Hat ein vermeintlicher Bankmitarbeiter telefonisch Anweisungen gegeben? Welche Informationen wurden auf dem Bildschirm angezeigt? Wurde der tatsächliche Zahlungsempfänger erkannt?

Auch die zeitliche Abfolge ist wichtig. Sie hilft dabei, den Zusammenhang zwischen der Täuschung und der späteren Kontobelastung nachzuvollziehen. Je genauer der Ablauf dokumentiert ist, desto besser kann beurteilt werden, ob die Bank ihre Ablehnung rechtlich zutreffend begründet.

Was können Betroffene tun, wenn die Bank die Erstattung verweigert?

Lehnt die Bank die Erstattung ab, sollten Betroffene zunächst die schriftliche Begründung genau prüfen. Häufig stützen sich Ablehnungen auf die Behauptung, dass die Transaktion ordnungsgemäß authentifiziert worden sei oder der Kunde grob fahrlässig gehandelt habe.

Beide Argumente müssen rechtlich eingeordnet werden. Eine erfolgreiche Authentifizierung beweist nicht automatisch die Zustimmung des Kunden zur konkreten Zahlung. Ebenso setzt eine Haftung wegen grober Fahrlässigkeit eine entsprechende Pflichtverletzung voraus. Die Bank muss sich daher mit den tatsächlichen Umständen des Phishing-Angriffs auseinandersetzen.

Betroffene können eine erneute Prüfung verlangen und die aus ihrer Sicht unzutreffenden Annahmen der Bank konkret benennen. Dabei sollte insbesondere erläutert werden, wie die Täter vorgegangen sind, weshalb der Kunde die tatsächliche Bedeutung seiner Handlung möglicherweise nicht erkennen konnte und welche Informationen bei der Freigabe angezeigt wurden.

Wenn die Bank weiterhin an ihrer Ablehnung festhält, kann eine anwaltliche Prüfung sinnvoll sein. Ein Rechtsanwalt kann untersuchen, ob die Voraussetzungen des § 675u BGB erfüllt sind, ob die Bank ihrer Darlegungs- und Beweislast nach § 675w BGB genügt und ob eine Haftung des Kunden nach § 675v BGB tatsächlich in Betracht kommt.

Dabei sollten auch die technischen Informationen berücksichtigt werden. Eine rechtliche Bewertung allein anhand des Ablehnungsschreibens kann unvollständig sein, wenn die tatsächlichen Authentifizierungs- und Freigabevorgänge nicht ausreichend aufgeklärt wurden.

Welche Rolle spielen weitere Anspruchsgrundlagen?

Neben dem gesetzlichen Erstattungsanspruch gegen die Bank können je nach Sachverhalt weitere rechtliche Ansprüche in Betracht kommen. Das betrifft insbesondere Fälle, in denen nicht nur ein unautorisierter Zahlungsvorgang vorliegt, sondern weitere Beteiligte oder Pflichtverletzungen eine Rolle spielen.

Denkbar sind beispielsweise Schadensersatzansprüche, wenn ein Dritter durch eine rechtswidrige Handlung einen finanziellen Schaden verursacht hat. Auch Ansprüche gegen Zahlungsempfänger oder andere an der Zahlungsabwicklung beteiligte Personen können unter bestimmten Voraussetzungen geprüft werden. Ob solche Ansprüche tatsächlich bestehen, hängt allerdings von den konkreten Umständen und den verfügbaren Informationen ab.

Besonders wichtig sind in diesem Zusammenhang die Daten des Empfängerkontos. Die IBAN, Angaben zur Empfängerbank und vorhandene Zahlungsinformationen können helfen, den Zahlungsweg nachzuvollziehen. In geeigneten Fällen kann außerdem geprüft werden, ob weitere Informationen über beteiligte Zahlungsdienstleister oder Kontoinhaber beschafft werden können.

Bei solchen Überlegungen dürfen jedoch keine falschen Erwartungen geweckt werden. Nicht jede Zahlung lässt sich zurückholen, und nicht jeder Empfänger kann rechtlich erfolgreich in Anspruch genommen werden. Entscheidend ist, ob ein konkreter Anspruch besteht und ob sich die erforderlichen Tatsachen nachweisen lassen.

Warum eine anwaltliche Prüfung bei verweigerter Erstattung sinnvoll sein kann

Wenn die Bank einen Phishing-Schaden nicht erstattet, sollten Betroffene die Entscheidung nicht ungeprüft akzeptieren. Gerade bei höheren Beträgen kann eine spezialisierte rechtliche Prüfung entscheidend sein. Dabei geht es nicht nur um die Frage, ob eine TAN verwendet wurde, sondern um die gesamte rechtliche Einordnung des Zahlungsvorgangs.

Ein Rechtsanwalt kann prüfen, ob die Zahlung tatsächlich autorisiert wurde, welche Nachweise die Bank vorgelegt hat und ob die Voraussetzungen einer möglichen Kundenhaftung erfüllt sind. Außerdem kann bewertet werden, ob die Bank die gesetzlichen Erstattungspflichten korrekt angewendet hat und welche weiteren Ansprüche bestehen könnten.

Für eine solche Prüfung sind vollständige Unterlagen besonders hilfreich. Dazu gehören die Kontoauszüge, die gesamte Kommunikation mit der Bank, die Phishing-Nachrichten, Screenshots, Gesprächsnotizen und technische Informationen zu den verwendeten Sicherheitsverfahren. Auch das Ablehnungsschreiben der Bank sollte vollständig vorgelegt werden.

Eine anwaltliche Bewertung kann dazu beitragen, die Erfolgsaussichten realistisch einzuschätzen und die nächsten Schritte festzulegen. Eine Erstattung kann nicht in jedem Fall garantiert werden. Allerdings sollte die rechtliche Möglichkeit, den Schaden gegenüber der Bank geltend zu machen, sorgfältig geprüft werden, bevor Betroffene ihre Ansprüche aufgeben.

Fazit: Bei Phishing-Betrug kann ein Anspruch auf Erstattung gegen die Bank bestehen

Wird das Bankkonto durch Phishing-Betrug belastet, kann nach § 675u BGB ein Anspruch auf Erstattung bestehen, wenn eine nicht autorisierte Zahlung vorliegt. Die Bank muss dabei grundsätzlich den Zahlungsbetrag zurückerstatten und das Konto wieder auf den Stand ohne die unberechtigte Belastung bringen.

Entscheidend ist die Unterscheidung zwischen technischer Authentifizierung und rechtlicher Autorisierung. Die Verwendung von Zugangsdaten, PIN, TAN oder PushTAN beweist nicht automatisch, dass der Kunde der konkreten Zahlung zugestimmt hat. Auch eine mögliche grobe Fahrlässigkeit muss anhand des tatsächlichen Geschehens geprüft werden.

Betroffene sollten den Vorfall unverzüglich melden, die betroffenen Zahlungsvorgänge ausdrücklich beanstanden und sämtliche Beweise sichern. Verweigert die Bank die Erstattung, kann eine anwaltliche Prüfung klären, ob die Ablehnung rechtlich haltbar ist und welche Ansprüche weiterhin durchgesetzt werden können.

Kanzlei Wilms – Experten für Online-Anlagebetrug

Die Kanzlei Wilms unterstützt seit Jahren Mandanten, die Opfer von Online-Anlagebetrug, Kryptobetrug, Fake Brokern, Investmentbetrug, Bitcoin-Betrug oder Recovery Scams geworden sind.

Unsere Mandanten kommen aus ganz Deutschland sowie aus dem Ausland. Viele Verfahren weisen internationale Bezüge auf und betreffen grenzüberschreitende Zahlungsströme, Kryptowährungen oder komplexe Unternehmensstrukturen.

Wir analysieren unter anderem:

• Banküberweisungen
• SEPA- und SWIFT-Zahlungen
• Kreditkartenzahlungen
• Zahlungsdienstleister
• Kryptobörsen und Wallet-Transaktionen
• internationale Zahlungsstrukturen

Mehr Informationen finden Sie in unserem Blog.

Phishing-Betrug – welche Bedeutung haben grobe Fahrlässigkeit und die Beweislast?

Wenn Betroffene durch Phishing-Betrug Geld verlieren und von ihrer Bank eine Erstattung verlangen, entsteht häufig Streit über die Verantwortlichkeit für den Schaden. Banken lehnen Erstattungsforderungen nicht selten mit der Begründung ab, der Kunde habe seine Zugangsdaten selbst eingegeben, eine TAN weitergegeben oder eine PushTAN-Freigabe bestätigt. Daraus wird mitunter der Vorwurf abgeleitet, der Betroffene habe grob fahrlässig gehandelt und müsse deshalb den finanziellen Verlust selbst tragen.

Für Phishing-Opfer ist diese Argumentation besonders belastend. Sie haben möglicherweise durch eine professionell gestaltete Täuschung erhebliche Geldbeträge verloren und sehen sich anschließend mit dem Vorwurf konfrontiert, selbst für den Schaden verantwortlich zu sein. Dabei ist die rechtliche Beurteilung deutlich differenzierter. Nicht jede Unachtsamkeit ist grob fahrlässig. Ebenso wenig kann eine Bank allein aus der technischen Verwendung eines Sicherheitsmerkmals ableiten, dass der Kunde die konkrete Zahlung autorisiert oder seine Pflichten in besonders schwerwiegender Weise verletzt hat.

Entscheidend sind die gesetzlichen Regelungen des Zahlungsdiensterechts. Insbesondere die §§ 675u, 675v und 675w BGB bestimmen, unter welchen Voraussetzungen ein Zahlungsdienstleister einen nicht autorisierten Zahlungsvorgang erstatten muss, wann eine Haftung des Kunden in Betracht kommt und welche Nachweise die Bank erbringen muss. Für Betroffene ist es deshalb wichtig, die rechtlichen Unterschiede zu kennen und eine pauschale Ablehnung der Erstattung nicht ungeprüft hinzunehmen.

Was bedeutet grobe Fahrlässigkeit bei einem Phishing-Angriff?

Grobe Fahrlässigkeit liegt grundsätzlich vor, wenn die erforderliche Sorgfalt in besonders schwerem Maße verletzt wird. Es geht also nicht um jede Unachtsamkeit oder einen gewöhnlichen Fehler. Vielmehr muss ein Verhalten vorliegen, bei dem naheliegende Überlegungen nicht angestellt oder offensichtlich gebotene Vorsichtsmaßnahmen außer Acht gelassen wurden.

Bei einem Phishing-Angriff ist deshalb immer der konkrete Ablauf entscheidend. Eine Person, die auf eine täuschend echte Nachricht ihrer vermeintlichen Hausbank reagiert, handelt nicht automatisch grob fahrlässig. Gleiches gilt für Betroffene, die durch einen professionell geführten Telefonanruf dazu gebracht werden, eine vermeintliche Sicherheitsmaßnahme durchzuführen.

Die Täter nutzen gezielt das Vertrauen in Banken und Zahlungsdienstleister aus. Sie ahmen deren Internetauftritte nach, verwenden bekannte Logos und setzen teilweise manipulierte Telefonnummern ein. Darüber hinaus erzeugen sie Zeitdruck und behaupten, das Konto sei bereits angegriffen worden. Solche Umstände können dazu führen, dass selbst vorsichtige Menschen die Täuschung zunächst nicht erkennen.

Für die rechtliche Bewertung muss daher untersucht werden, welche Warnsignale tatsächlich erkennbar waren und ob der Kunde diese unter den konkreten Umständen hätte wahrnehmen müssen. Dabei kommt es auch darauf an, welche Informationen ihm während des angeblichen Sicherheitsvorgangs angezeigt wurden. Eine pauschale Bewertung allein anhand der Tatsache, dass Zugangsdaten oder TANs verwendet wurden, greift zu kurz.

Welche Pflichten haben Bankkunden im Umgang mit PIN, TAN und Zugangsdaten?

Bankkunden müssen ihre personalisierten Sicherheitsmerkmale grundsätzlich vor dem Zugriff anderer Personen schützen. Dazu gehören insbesondere PINs, Passwörter, TANs und weitere Authentifizierungsmerkmale. Die konkreten Pflichten ergeben sich aus den gesetzlichen Vorgaben und den wirksam vereinbarten Bedingungen des Zahlungsdienstleisters.

Kunden sollten ihre Zugangsdaten nicht ungeschützt aufbewahren, nicht an unbekannte Personen weitergeben und keine Sicherheitsfreigaben durchführen, deren Zweck sie nicht verstehen. Auch die Nutzung unbekannter Internetseiten oder Anwendungen kann Risiken verursachen. Wer eine TAN oder eine App-Freigabe bestätigt, sollte grundsätzlich prüfen, welcher Vorgang damit tatsächlich autorisiert werden soll.

Allerdings bedeutet die Verletzung einer Sicherheitsobliegenheit nicht automatisch, dass der Kunde den gesamten Schaden tragen muss. Für eine Haftung kommt es auf die gesetzlichen Voraussetzungen an. Insbesondere muss geprüft werden, ob die Pflichtverletzung vorsätzlich oder grob fahrlässig erfolgte und ob die weiteren Voraussetzungen des § 675v BGB erfüllt sind.

Eine Bank darf deshalb nicht jede Weitergabe einer Information oder jede Eingabe auf einer gefälschten Webseite ohne weitere Prüfung als grob fahrlässig einstufen. Vielmehr muss berücksichtigt werden, wie die Täter die Situation gestaltet haben und ob die Täuschung für den Kunden erkennbar war.

Grobe Fahrlässigkeit bei gefälschten Banknachrichten

Eine häufige Phishing-Methode besteht darin, Kunden durch eine angebliche Sicherheitsmitteilung zur Eingabe ihrer Zugangsdaten zu bewegen. Die Nachricht sieht beispielsweise wie eine offizielle Mitteilung der Hausbank aus und enthält eine Aufforderung, das Konto zu überprüfen oder eine neue Sicherheitsfunktion zu aktivieren.

Die Bank kann später argumentieren, der Kunde hätte erkennen müssen, dass die Nachricht nicht echt war. Ob dieser Vorwurf berechtigt ist, hängt jedoch von den Einzelheiten ab. War die Absenderadresse offensichtlich falsch? Enthielt die Nachricht zahlreiche sprachliche Fehler? War der Link erkennbar einer fremden Webseite zugeordnet? Oder wurde eine professionell gestaltete Nachricht verwendet, die kaum von einer echten Bankmitteilung zu unterscheiden war?

Auch der Inhalt spielt eine Rolle. Eine Nachricht, die mit einer unmittelbaren Kontosperrung droht, kann erheblichen Druck erzeugen. Betroffene reagieren dann möglicherweise aus Angst, den Zugang zu ihrem Konto zu verlieren. Die Täter nutzen diesen psychologischen Effekt gezielt aus.

Die Frage der groben Fahrlässigkeit muss deshalb anhand der konkreten Nachricht und der tatsächlichen Situation beurteilt werden. Es reicht nicht aus, im Nachhinein festzustellen, dass ein Link nicht zur echten Bank gehörte. Entscheidend ist, ob die Abweichung für einen durchschnittlichen Kunden unter den damaligen Umständen ohne Weiteres erkennbar war und welche Sorgfaltsanforderungen tatsächlich galten.

Telefonischer Phishing-Betrug und angebliche Bankmitarbeiter

Besonders komplex sind Fälle, in denen Täter ihre Opfer telefonisch kontaktieren und sich als Mitarbeiter der Bank ausgeben. Sie behaupten beispielsweise, eine verdächtige Überweisung sei festgestellt worden oder ein fremder Zugriff müsse verhindert werden. Anschließend geben sie konkrete Anweisungen, wie der Kunde angeblich sein Konto schützen könne.

Teilweise werden die Betroffenen aufgefordert, eine TAN einzugeben, eine PushTAN-Freigabe vorzunehmen oder eine Überweisung auf ein vermeintliches Sicherheitskonto durchzuführen. Die Täter erklären dabei, dass die Handlung notwendig sei, um einen Schaden abzuwenden. Tatsächlich kann dadurch erst die betrügerische Zahlung ermöglicht werden.

Bei der rechtlichen Bewertung muss berücksichtigt werden, wie professionell der Anruf gestaltet war. Haben die Täter eine echte Banknummer angezeigt? Kannten sie persönliche Informationen des Kunden? Haben sie auf eine zuvor versendete SMS Bezug genommen? Wurde ein angeblicher Sicherheitsvorfall mit konkreten Angaben beschrieben? Haben sie den Kunden durchgehend unter Druck gesetzt?

Solche Umstände können dafür sprechen, dass eine gezielte und besonders überzeugende Täuschung vorlag. Sie schließen eine grobe Fahrlässigkeit zwar nicht automatisch aus, müssen aber in die Gesamtbewertung einbezogen werden.

Auch die Frage, welche Informationen bei einer Freigabe angezeigt wurden, ist entscheidend. Wenn der Kunde eine Überweisung bestätigt hat, obwohl ihm Betrag und Empfänger deutlich angezeigt wurden, kann dies anders zu beurteilen sein als eine Freigabe, die ihm als bloße Sicherheitsmaßnahme dargestellt wurde und deren tatsächlicher Zweck für ihn nicht erkennbar war.

PushTAN und Banking-App: Wann kann eine Freigabe grob fahrlässig sein?

Bei modernen Onlinebanking-Verfahren werden Transaktionen häufig über eine Banking-App oder ein separates TAN-Verfahren bestätigt. Banken führen deshalb bei Phishing-Schäden häufig an, dass der Kunde die Zahlung selbst freigegeben habe. Teilweise wird zusätzlich behauptet, er habe die angezeigten Informationen ignoriert und dadurch grob fahrlässig gehandelt.

Eine solche Bewertung setzt eine genaue Untersuchung des Freigabevorgangs voraus. Es muss geklärt werden, welche Angaben der Kunde tatsächlich gesehen hat und welche Handlung er nach seiner Vorstellung vorgenommen hat. Wurde eine konkrete Überweisung mit dem richtigen Empfänger und dem entsprechenden Betrag angezeigt? Oder wurde die Freigabe durch eine gefälschte Webseite beziehungsweise einen angeblichen Bankmitarbeiter als Sicherheitsprüfung dargestellt?

Auch die Gestaltung der Banking-App kann eine Rolle spielen. Die rechtliche Bewertung hängt unter anderem davon ab, ob die Informationen verständlich und eindeutig dargestellt wurden und ob der Kunde erkennen konnte, dass er eine Zahlung an einen bestimmten Empfänger freigibt.

Betroffene sollten deshalb genau schildern, wie es zur Bestätigung gekommen ist. Sie sollten nicht lediglich angeben, dass sie eine PushTAN bestätigt haben. Vielmehr muss erläutert werden, welche Erklärung die Täter gegeben haben, welche Anzeige auf dem Smartphone erschien und weshalb der Kunde davon ausging, eine andere Handlung vorzunehmen.

Die technische Protokollierung der Bank kann dabei wichtige Informationen liefern. Sie sollte jedoch nicht isoliert betrachtet werden. Entscheidend bleibt die rechtliche Frage, ob eine wirksame Zustimmung zur konkreten Zahlung vorlag und ob dem Kunden eine haftungsrelevante Pflichtverletzung vorgeworfen werden kann.

Die Beweislast der Bank nach § 675w BGB

Neben der Frage der groben Fahrlässigkeit ist die Beweislast von erheblicher Bedeutung. Nach § 675w BGB muss der Zahlungsdienstleister bei einem bestrittenen Zahlungsvorgang grundsätzlich nachweisen, dass dieser authentifiziert und ordnungsgemäß aufgezeichnet wurde und nicht durch eine technische Störung oder einen anderen Mangel beeinträchtigt war.

Besonders wichtig ist die gesetzliche Klarstellung, dass die bloße Aufzeichnung der Nutzung eines Zahlungsinstruments nicht zwangsläufig ausreicht, um nachzuweisen, dass der Zahler den Zahlungsvorgang autorisiert hat. Ebenso wenig beweist sie automatisch, dass der Kunde betrügerisch gehandelt oder seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat.

Für Phishing-Opfer bedeutet dies, dass die Bank ihre Ablehnung nicht allein auf technische Protokolle stützen kann, ohne die rechtliche Bedeutung dieser Informationen zu berücksichtigen. Wenn eine Überweisung mit den Zugangsdaten des Kunden ausgeführt wurde, kann das ein Hinweis auf eine erfolgreiche Authentifizierung sein. Es beantwortet jedoch nicht zwingend die Frage, ob der Kunde der konkreten Zahlung zugestimmt hat.

Auch der Vorwurf grober Fahrlässigkeit muss eigenständig geprüft werden. Die Bank muss die Umstände darlegen, aus denen sie eine entsprechende Pflichtverletzung ableitet. Dabei können die Art des Phishing-Angriffs, die Kommunikation mit den Tätern und die konkrete Freigabesituation eine Rolle spielen.

Welche technischen Informationen können für den Rechtsstreit wichtig sein?

Wenn die Bank behauptet, die Zahlung sei ordnungsgemäß authentifiziert worden, können technische Informationen für die rechtliche Aufarbeitung wichtig sein. Dazu gehören insbesondere Angaben zu den verwendeten Geräten, den Zeitpunkten der Anmeldung, den Authentifizierungsverfahren und den einzelnen Freigabeschritten.

Bei einer Überweisung über eine Banking-App kann beispielsweise relevant sein, wann die Transaktion angelegt und wann sie bestätigt wurde. Auch die Frage, ob ein neues Gerät registriert wurde oder ob eine ungewöhnliche Anmeldung stattgefunden hat, kann für die Bewertung des Geschehens von Bedeutung sein.

Darüber hinaus kann geprüft werden, welche Angaben bei der Freigabe angezeigt wurden. Dazu zählen insbesondere der Betrag, der Empfänger und die Art des Zahlungsvorgangs. Wenn die Bank eine konkrete Transaktionsbestätigung dokumentiert hat, sollte untersucht werden, ob diese Informationen dem Kunden tatsächlich in der behaupteten Form angezeigt wurden.

Auch technische Auffälligkeiten können eine Rolle spielen. Wurde eine Anmeldung von einem ungewöhnlichen Gerät oder über eine auffällige Verbindung vorgenommen? Gab es mehrere fehlgeschlagene Anmeldeversuche? Wurde das Sicherheitsverfahren unmittelbar vor der Überweisung verändert? Solche Fragen können helfen, den tatsächlichen Ablauf zu rekonstruieren.

Betroffene sollten die Bank deshalb um eine nachvollziehbare Erläuterung der technischen Vorgänge bitten. Dabei geht es nicht darum, sämtliche internen Sicherheitssysteme offenzulegen, sondern die für die rechtliche Bewertung relevanten Informationen zu erhalten.

Kann die Bank die Erstattung allein wegen der Eingabe einer TAN ablehnen?

Die Verwendung einer TAN ist bei Phishing-Fällen ein besonders häufiger Streitpunkt. Banken verweisen darauf, dass die Transaktion nur mit einer gültigen TAN durchgeführt werden konnte. Daraus wird teilweise geschlossen, dass der Kunde die Zahlung selbst bestätigt habe.

Eine solche Argumentation ist rechtlich nicht ausreichend, wenn sie lediglich auf die technische Verwendung der TAN abstellt. Es muss zusätzlich geprüft werden, ob die TAN tatsächlich für den Zahlungsvorgang eingesetzt wurde, dem der Kunde zustimmen wollte. Hat der Betroffene die TAN eingegeben, weil er glaubte, eine Sicherheitsprüfung durchzuführen, kann dies für die rechtliche Einordnung entscheidend sein.

Allerdings kommt es auf den konkreten Einzelfall an. Wenn dem Kunden bei der TAN-Eingabe eindeutig der tatsächliche Empfänger und der Betrag angezeigt wurden und er diese Informationen bewusst bestätigt hat, kann dies eine andere Bewertung rechtfertigen. Auch dann müssen jedoch sämtliche Umstände berücksichtigt werden.

Entscheidend ist, ob eine wirksame Zustimmung zur konkreten Zahlung vorlag. Die bloße technische Verwendung eines Sicherheitsmerkmals darf nicht mit der rechtlichen Autorisierung gleichgesetzt werden.

Was gilt bei einer vom Kunden selbst ausgelösten Überweisung?

Eine besondere Schwierigkeit besteht bei Fällen, in denen der Kunde selbst eine Überweisung ausführt, weil er durch die Täter über den tatsächlichen Zweck getäuscht wurde. Beispielsweise behauptet ein angeblicher Bankmitarbeiter, dass das Guthaben auf ein anderes Konto übertragen werden müsse, um es vor einem Hackerangriff zu schützen.

In einer solchen Situation kann der Kunde die Überweisung technisch und tatsächlich selbst veranlasst haben. Wenn er den konkreten Zahlungsempfänger und den Betrag bewusst bestätigt, kann eine autorisierte Zahlung vorliegen. Der Umstand, dass er über den wirtschaftlichen Hintergrund getäuscht wurde, führt nicht automatisch dazu, dass die Zahlung im Sinne des Zahlungsdiensterechts unautorisiert war.

Deshalb muss sorgfältig zwischen zwei Fallgruppen unterschieden werden: Einerseits gibt es Zahlungen, die Täter ohne Zustimmung des Kunden ausführen. Andererseits gibt es Überweisungen, die der Kunde selbst aufgrund einer Täuschung veranlasst. Diese Fälle können unterschiedliche rechtliche Konsequenzen haben.

Auch bei einer selbst ausgelösten Überweisung können weitere Ansprüche zu prüfen sein. Dazu können unter bestimmten Voraussetzungen Schadensersatzansprüche gegen die Täter oder andere Beteiligte gehören. Ob solche Ansprüche durchsetzbar sind, hängt von den konkreten Umständen und den verfügbaren Nachweisen ab.

Welche Bedeutung hat die rechtzeitige Beanstandung?

Die rechtzeitige Anzeige eines nicht autorisierten Zahlungsvorgangs ist für die Durchsetzung von Erstattungsansprüchen wichtig. Nach § 676b BGB muss der Kunde den Zahlungsdienstleister grundsätzlich unverzüglich nach Feststellung des nicht autorisierten oder fehlerhaft ausgeführten Zahlungsvorgangs unterrichten. Darüber hinaus enthält die Vorschrift eine zeitliche Höchstgrenze.

Betroffene sollten deshalb nicht abwarten, bis sie alle technischen Einzelheiten des Angriffs kennen. Sobald sie eine verdächtige Kontobewegung feststellen, sollten sie die Bank informieren und die betreffende Zahlung ausdrücklich beanstanden. Weitere Informationen können anschließend nachgereicht werden.

Die Meldung sollte möglichst schriftlich erfolgen oder zumindest durch eine schriftliche Bestätigung ergänzt werden. Darin sollten die betroffenen Buchungen, der Zeitpunkt der Kenntnisnahme und die Erklärung, dass die Zahlung nicht autorisiert wurde, enthalten sein, sofern dies dem tatsächlichen Sachverhalt entspricht.

Eine vollständige Dokumentation ist besonders wichtig, wenn die Bank später behauptet, der Kunde habe den Vorgang zu spät gemeldet oder seine Mitwirkungspflichten verletzt. Betroffene sollten deshalb sämtliche Kontaktaufnahmen und die Reaktionen der Bank festhalten.

Wie sollten Betroffene auf den Vorwurf grober Fahrlässigkeit reagieren?

Wenn die Bank eine Erstattung mit dem Hinweis auf grobe Fahrlässigkeit ablehnt, sollten Betroffene zunächst prüfen, welche konkreten Handlungen ihnen vorgeworfen werden. Eine pauschale Aussage, der Kunde habe seine Zugangsdaten weitergegeben oder eine TAN bestätigt, reicht für eine differenzierte rechtliche Bewertung nicht aus.

Es sollte genau untersucht werden, wie die Täuschung abgelaufen ist. Welche Nachricht wurde versendet? Wie sah die gefälschte Webseite aus? Welche Angaben machte der angebliche Bankmitarbeiter? Welche Sicherheitsinformationen wurden angezeigt? Und welche Vorstellungen hatte der Betroffene im Zeitpunkt der Freigabe?

Die Darstellung sollte möglichst sachlich und vollständig erfolgen. Betroffene sollten keine Tatsachen verschweigen, aber auch keine rechtlichen Bewertungen der Bank ungeprüft übernehmen. Wenn sie beispielsweise eine TAN eingegeben haben, sollte erläutert werden, weshalb sie dies getan haben und welche Erklärung ihnen dazu gegeben wurde.

Besonders wichtig sind zeitnahe Unterlagen. Screenshots, Nachrichten, Anruflisten, Gesprächsnotizen und Kontoauszüge können helfen, die Situation nachträglich zu rekonstruieren. Auch die Kommunikation mit der Bank sollte vollständig aufbewahrt werden.

Wann ist eine anwaltliche Prüfung besonders sinnvoll?

Eine anwaltliche Prüfung ist insbesondere dann sinnvoll, wenn die Bank eine Erstattung ablehnt und dem Kunden grobe Fahrlässigkeit vorwirft. Das gilt auch, wenn hohe Beträge betroffen sind, mehrere Überweisungen ausgeführt wurden oder die Bank ihre Entscheidung ausschließlich mit der technischen Authentifizierung begründet.

Ein Rechtsanwalt kann untersuchen, ob die Zahlung tatsächlich autorisiert war, ob die Bank ihrer Darlegungs- und Beweislast genügt und ob die Voraussetzungen einer Kundenhaftung nach § 675v BGB vorliegen. Dabei ist eine genaue Rekonstruktion des Phishing-Angriffs erforderlich.

Auch die technische Dokumentation sollte in die Prüfung einbezogen werden. Es kann entscheidend sein, welche Informationen bei einer TAN-Freigabe angezeigt wurden, ob ein fremdes Gerät registriert wurde oder ob die Täter den Kunden durch einen Telefonanruf gezielt zu einer bestimmten Handlung veranlasst haben.

Wenn die Bank die Erstattung verweigert, kann der Rechtsanwalt die Begründung rechtlich überprüfen und gegebenenfalls weitere Ansprüche geltend machen. Eine Erstattung lässt sich nicht in jedem Fall garantieren. Allerdings sollte die Möglichkeit einer rechtlichen Durchsetzung geprüft werden, bevor Betroffene den finanziellen Verlust endgültig akzeptieren.

Fazit: Grobe Fahrlässigkeit muss konkret geprüft und die Beweislast der Bank berücksichtigt werden

Bei Phishing-Betrug ist der Vorwurf grober Fahrlässigkeit häufig der entscheidende Streitpunkt zwischen Bank und Kunde. Eine unvorsichtige Handlung oder die Eingabe von Zugangsdaten auf einer gefälschten Webseite führt jedoch nicht automatisch zu einer Haftung des Betroffenen. Maßgeblich sind die konkreten Umstände des Angriffs und die gesetzlichen Voraussetzungen des Zahlungsdiensterechts.

Nach § 675w BGB muss die Bank bei einem bestrittenen Zahlungsvorgang die gesetzlich vorgesehenen Nachweise erbringen. Die bloße technische Verwendung von PIN, TAN oder Banking-App beweist nicht automatisch, dass der Kunde die konkrete Zahlung autorisiert oder grob fahrlässig gehandelt hat.

Betroffene sollten deshalb den Phishing-Angriff vollständig dokumentieren und eine Ablehnung der Bank genau prüfen lassen. Insbesondere wenn die Bank grobe Fahrlässigkeit behauptet, kann eine anwaltliche Bewertung helfen, die Beweis- und Rechtslage einzuordnen und berechtigte Erstattungsansprüche weiterzuverfolgen.

Phishing-Betrug – welche Beweise sind für die rechtliche Prüfung wichtig?

Wer durch Phishing-Betrug Geld verloren hat, sollte möglichst frühzeitig sämtliche Beweise sichern. Eine vollständige Dokumentation kann entscheidend sein, wenn die Bank die Erstattung verweigert oder behauptet, der Kunde habe die Zahlung selbst autorisiert beziehungsweise grob fahrlässig gehandelt. Gerade bei digitalen Betrugsfällen besteht häufig das Problem, dass wichtige Informationen nur vorübergehend verfügbar sind. Nachrichten werden gelöscht, gefälschte Internetseiten abgeschaltet und technische Daten sind für den Kunden nicht ohne Weiteres abrufbar.

Für die rechtliche Prüfung kommt es deshalb darauf an, den gesamten Ablauf möglichst genau nachvollziehen zu können. Es muss festgestellt werden, wie die Täter Kontakt aufgenommen haben, welche Täuschung eingesetzt wurde, welche Daten der Betroffene preisgegeben hat und wie es schließlich zu der unberechtigten Kontobelastung gekommen ist. Ebenso wichtig ist die Frage, welche Informationen bei einer TAN- oder PushTAN-Freigabe angezeigt wurden und ob der Kunde tatsächlich der konkreten Zahlung zugestimmt hat.

Eine gute Beweissicherung hilft nicht nur bei der Auseinandersetzung mit der Bank. Sie kann auch erforderlich sein, um weitere zivilrechtliche Ansprüche zu prüfen und den Zahlungsweg nachzuvollziehen. Betroffene sollten daher nicht nur den entstandenen Geldverlust dokumentieren, sondern sämtliche Informationen aufbewahren, die Rückschlüsse auf den Betrugsablauf ermöglichen.

Warum die vollständige Dokumentation des Phishing-Angriffs so wichtig ist

Bei einem Phishing-Angriff stehen häufig unterschiedliche Vorgänge miteinander in Verbindung. Zunächst erhält der Betroffene möglicherweise eine SMS oder E-Mail. Anschließend öffnet er einen Link, gibt persönliche Daten ein oder wird telefonisch kontaktiert. Danach erfolgt eine Anmeldung beim Onlinebanking oder eine Sicherheitsfreigabe. Erst später stellt der Kunde fest, dass Geld vom Konto abgebucht wurde.

Ohne eine genaue Dokumentation kann es schwierig sein, diese einzelnen Schritte miteinander zu verbinden. Die Bank kennt möglicherweise nur die technischen Informationen über die ausgeführte Überweisung. Der Kunde kennt dagegen den tatsächlichen Kommunikationsverlauf mit den Tätern. Beide Informationsbereiche müssen zusammengeführt werden, um den Sachverhalt rechtlich beurteilen zu können.

Besonders wichtig ist deshalb eine chronologische Darstellung. Betroffene sollten festhalten, wann sie die erste Nachricht erhalten haben, wann sie den Link geöffnet haben, welche Daten eingegeben wurden und wann die verdächtige Zahlung festgestellt wurde. Auch Telefonate, Rückrufe und spätere Nachrichten sollten mit Datum und Uhrzeit dokumentiert werden.

Eine solche Übersicht kann helfen, Widersprüche zu vermeiden und den Zusammenhang zwischen der Täuschung und dem finanziellen Schaden nachvollziehbar darzustellen. Sie erleichtert außerdem die anwaltliche Prüfung, weil der gesamte Vorgang nicht erst mühsam aus einzelnen Erinnerungen rekonstruiert werden muss.

Phishing-E-Mails im Original sichern

Wenn der Betrug über eine E-Mail begonnen hat, sollte die ursprüngliche Nachricht vollständig aufbewahrt werden. Ein einfacher Screenshot oder ein Ausdruck kann zwar den Inhalt dokumentieren, enthält aber häufig nicht sämtliche technischen Informationen. Deshalb sollte die E-Mail möglichst im Originalformat gespeichert werden.

Von besonderer Bedeutung sind die Absenderadresse, der Betreff, der vollständige Nachrichtentext und die enthaltenen Links. Bei technischen Untersuchungen können außerdem die sogenannten E-Mail-Header wichtig sein. Diese enthalten Informationen über den Versandweg und können Hinweise darauf geben, über welche Server die Nachricht versendet wurde.

Betroffene sollten die verdächtige E-Mail nicht vorschnell löschen. Auch eine Weiterleitung an andere Personen kann dazu führen, dass bestimmte technische Informationen verloren gehen oder verändert werden. Sinnvoll ist deshalb eine zusätzliche Sicherung der ursprünglichen Nachricht, beispielsweise als Datei oder über die Exportfunktion des verwendeten E-Mail-Programms.

Wenn die Nachricht einen Link enthält, sollte auch die angezeigte Internetadresse dokumentiert werden. Es ist nicht erforderlich, die gefälschte Webseite erneut aufzurufen. Vielmehr genügt es, die vorhandenen Informationen zu sichern und den Link nicht erneut zu öffnen.

SMS und Messenger-Nachrichten als Beweismittel

Viele Phishing-Angriffe beginnen mit einer SMS oder einer Nachricht über einen Messenger-Dienst. Auch diese Kommunikation sollte vollständig dokumentiert werden. Dazu gehören nicht nur der eigentliche Nachrichtentext, sondern auch die angezeigte Absendernummer, der Zeitpunkt des Eingangs und gegebenenfalls der Nachrichtenverlauf.

Wenn mehrere Nachrichten eingegangen sind, sollten sie möglichst vollständig und in ihrer ursprünglichen Reihenfolge gesichert werden. Einzelne Nachrichten können im Zusammenhang mit späteren Telefonaten oder Zahlungsaufforderungen eine wichtige Bedeutung haben. So lässt sich möglicherweise nachvollziehen, ob die Täter einen abgestimmten Ablauf verwendet haben.

Bei Messenger-Nachrichten sollten außerdem Informationen zum Absenderprofil, zum verwendeten Namen und zu den Kontaktdaten gesichert werden. Wenn die Täter ein angebliches Bankprofil oder ein Unternehmensprofil verwendet haben, können Screenshots der Profilinformationen hilfreich sein.

Betroffene sollten darauf achten, dass Datum und Uhrzeit erkennbar bleiben. Auch die Sicherung des gesamten Gesprächsverlaufs kann sinnvoll sein, sofern die jeweilige Anwendung dies ermöglicht. Nachrichten sollten nicht nachträglich bearbeitet oder aus dem Zusammenhang gerissen werden.

Screenshots und Internetadressen der gefälschten Webseiten

Eine gefälschte Bankseite kann für die spätere rechtliche Prüfung besonders wichtig sein. Sie zeigt möglicherweise, wie die Täter ihre Opfer getäuscht haben und welche Informationen abgefragt wurden. Betroffene sollten deshalb vorhandene Screenshots aufbewahren, auf denen die Gestaltung der Seite, die abgefragten Daten und die verwendete Internetadresse erkennbar sind.

Besonders relevant ist die Domain. Täter verwenden häufig Internetadressen, die der echten Bankadresse ähnlich sehen. Manchmal werden zusätzliche Begriffe eingefügt oder andere Domainendungen verwendet. Die genaue Adresse kann deshalb Hinweise auf die verwendete Betrugsinfrastruktur geben.

Auch die einzelnen Schritte innerhalb der gefälschten Webseite können wichtig sein. Wurde zunächst eine Anmeldung verlangt? Anschließend eine PIN? Wurde danach eine angebliche Sicherheitsprüfung durchgeführt? Oder wurde eine TAN abgefragt? Solche Informationen können helfen, den Ablauf des Phishing-Angriffs zu rekonstruieren.

Wenn die Webseite inzwischen nicht mehr erreichbar ist, bedeutet das nicht, dass eine rechtliche Prüfung unmöglich wird. Vorhandene Screenshots, Browser-Verläufe, gespeicherte Links oder Nachrichten können weiterhin wichtige Informationen enthalten. Betroffene sollten vorhandene Daten nicht eigenständig verändern oder löschen.

Telefonnummern und Gesprächsinhalte dokumentieren

Bei telefonischem Phishing sollten die angezeigte Rufnummer und der Inhalt des Gesprächs möglichst genau festgehalten werden. Das gilt insbesondere, wenn sich die Täter als Mitarbeiter der Hausbank oder als Sicherheitsabteilung ausgegeben haben.

Wichtige Informationen sind unter anderem:

• Datum und Uhrzeit des Anrufs.
• Angezeigte Telefonnummer.
• Name oder angebliche Funktion des Gesprächspartners.
• Behaupteter Grund des Anrufs.
• Erklärungen zum angeblichen Sicherheitsvorfall.
• Konkrete Anweisungen des Anrufers.
• Aufforderungen zur Eingabe von PIN oder TAN.
• Aufforderungen zur Bestätigung einer PushTAN-Freigabe.
• Hinweise auf angeblich sichere Konten oder notwendige Überweisungen.

Auch die Anrufliste des Smartphones sollte gesichert werden. Sie kann belegen, wann ein Gespräch stattgefunden hat und welche Nummer angezeigt wurde. Allerdings beweist eine angezeigte Rufnummer nicht zwingend, dass der Anruf tatsächlich von dem betreffenden Anschluss ausging. Telefonnummern können manipuliert werden.

Betroffene sollten außerdem möglichst zeitnah eine Gesprächsnotiz erstellen. Dabei geht es nicht darum, den Gesprächsverlauf wortwörtlich wiederzugeben, sondern die wesentlichen Aussagen und Anweisungen festzuhalten. Je größer der zeitliche Abstand zum Vorfall ist, desto schwieriger kann es werden, Einzelheiten zuverlässig zu erinnern.

Kontoauszüge und Zahlungsbelege vollständig sichern

Für die rechtliche Prüfung des finanziellen Schadens sind Kontoauszüge und Zahlungsbelege besonders wichtig. Sie dokumentieren, welche Beträge vom Konto abgebucht wurden und an welche Empfänger die Zahlungen erfolgt sind.

Betroffene sollten deshalb sämtliche verdächtigen Buchungen sichern. Dabei sind insbesondere folgende Angaben relevant:

• Buchungsdatum und gegebenenfalls Wertstellungsdatum.
• Betrag der jeweiligen Transaktion.
• Name des Zahlungsempfängers.
• IBAN des Empfängers.
• BIC und Angaben zur Empfängerbank, soweit vorhanden.
• Verwendungszweck.
• Transaktions- oder Referenznummer.
• Angaben zum verwendeten Zahlungsweg.

Bei mehreren Überweisungen sollte jede einzelne Transaktion gesondert erfasst werden. Auch kleinere Beträge können relevant sein, wenn sie im Zusammenhang mit dem Phishing-Angriff stehen.

Zusätzlich sollten Betroffene dokumentieren, wann sie die Zahlungen erstmals bemerkt und wann sie diese gegenüber der Bank beanstandet haben. Die zeitliche Abfolge kann später wichtig werden, wenn es um die rechtzeitige Anzeige nach § 676b BGB geht.

Wenn eine Zahlung noch nicht endgültig gebucht wurde, sollte auch dieser Umstand festgehalten werden. Vorgemerkte Transaktionen können für die Beurteilung des weiteren Vorgehens relevant sein.

IBAN, Empfängerbank und Zahlungsweg nachvollziehen

Bei einer betrügerischen Überweisung ist nicht nur der Betrag von Bedeutung. Auch die Angaben zum Empfängerkonto und zur beteiligten Bank können für die rechtliche Aufarbeitung wichtig sein. Die IBAN ermöglicht eine Zuordnung des Kontos zu einem bestimmten Kreditinstitut. Weitere Informationen können sich aus dem Zahlungsbeleg und den Angaben der Bank ergeben.

Betroffene sollten deshalb alle verfügbaren Informationen über den Zahlungsempfänger sichern. Das gilt auch dann, wenn der angezeigte Empfängername nicht mit dem tatsächlichen Kontoinhaber übereinstimmt oder der Name offensichtlich erfunden erscheint.

Bei der rechtlichen Prüfung kann außerdem relevant sein, ob die Überweisung über einen Zahlungsdienstleister, eine zwischengeschaltete Bank oder ein anderes Zahlungssystem abgewickelt wurde. Je genauer der Zahlungsweg dokumentiert ist, desto besser lässt sich beurteilen, welche Beteiligten möglicherweise in Betracht kommen.

Allerdings sollten Betroffene keine voreiligen Schlüsse aus dem Empfängernamen ziehen. Ein auf dem Kontoauszug angezeigter Name beweist nicht zwangsläufig die tatsächliche Identität des wirtschaftlich Berechtigten. Die verfügbaren Informationen müssen deshalb sorgfältig eingeordnet werden.

TAN- und PushTAN-Freigaben dokumentieren

Ein besonders wichtiger Bereich betrifft die Sicherheitsfreigaben im Onlinebanking. Wenn Betroffene eine TAN eingegeben oder eine PushTAN-Freigabe bestätigt haben, sollte möglichst genau dokumentiert werden, unter welchen Umständen dies geschehen ist.

Entscheidend ist, welche Informationen bei der Freigabe angezeigt wurden. Dazu gehören insbesondere der Zahlungsempfänger, der Betrag, die Art des Zahlungsvorgangs und gegebenenfalls weitere Sicherheitsinformationen. Betroffene sollten festhalten, ob sie diese Angaben tatsächlich gesehen haben und welche Erklärung die Täter zur Bedeutung der Freigabe gegeben haben.

Wenn noch Screenshots oder Benachrichtigungen vorhanden sind, sollten diese gesichert werden. Auch Informationen aus der Banking-App können relevant sein, soweit sie noch abrufbar sind.

Die rechtliche Bedeutung dieser Unterlagen ist erheblich. Bei einem Streit über die Autorisierung einer Zahlung kommt es darauf an, ob der Kunde dem konkreten Zahlungsvorgang zugestimmt hat. Die technische Verwendung einer TAN oder einer App-Freigabe allein beantwortet diese Frage nicht zwingend.

Eine genaue Dokumentation kann deshalb helfen, den Unterschied zwischen einer technischen Bestätigung und einer tatsächlich gewollten Zahlung herauszuarbeiten.

Technische Daten und Geräteinformationen aufbewahren

In manchen Fällen kann es sinnvoll sein, auch technische Informationen zum verwendeten Smartphone oder Computer zu sichern. Das gilt insbesondere dann, wenn die Täter eine Fernzugriffssoftware installiert haben oder ein unbekanntes Gerät im Onlinebanking registriert wurde.

Betroffene sollten festhalten, welche Anwendungen installiert wurden, welche Berechtigungen erteilt worden sind und ob während des Phishing-Angriffs ein Fernzugriff stattgefunden hat. Auch ungewöhnliche Sicherheitsmeldungen oder Hinweise auf neue Geräte können relevant sein.

Wenn eine unbekannte Anwendung installiert wurde, sollte sie nicht vorschnell gelöscht werden, bevor die erforderlichen Informationen gesichert wurden. Gleichzeitig darf die Beweissicherung nicht dazu führen, dass die Täter weiterhin Zugriff auf das Gerät oder das Bankkonto behalten. Die Sicherheit hat Vorrang. Bei einem möglichen aktiven Fremdzugriff sollte die Bank unverzüglich informiert und gegebenenfalls technische Unterstützung hinzugezogen werden.

Je nach Sachverhalt kann eine fachkundige Untersuchung des Geräts sinnvoll sein. Dabei kann beispielsweise geprüft werden, ob Schadsoftware vorhanden war oder ob eine Fernsteuerung eingerichtet wurde. Ob eine solche Untersuchung erforderlich ist, hängt von der Art des Angriffs und der Höhe des Schadens ab.

Schriftwechsel mit der Bank vollständig aufbewahren

Für die spätere Durchsetzung von Erstattungsansprüchen ist die Kommunikation mit der Bank besonders wichtig. Betroffene sollten sämtliche Schreiben, E-Mails und Nachrichten aufbewahren, die sie im Zusammenhang mit dem Phishing-Vorfall erhalten oder versendet haben.

Dazu gehören insbesondere die erste Schadensmeldung, die Beanstandung der unberechtigten Zahlung, Eingangsbestätigungen, Rückfragen der Bank und mögliche Ablehnungsschreiben. Auch die Begründung, mit der die Bank eine Erstattung verweigert, sollte vollständig gesichert werden.

Wenn die Bank behauptet, der Kunde habe die Zahlung autorisiert oder grob fahrlässig gehandelt, sollte diese Aussage genau dokumentiert werden. Sie kann später den Ausgangspunkt für eine rechtliche Auseinandersetzung bilden.

Betroffene sollten außerdem festhalten, welche Informationen sie der Bank bereits übermittelt haben. Dadurch lässt sich vermeiden, dass wichtige Angaben mehrfach oder widersprüchlich gemacht werden. Eine chronologische Übersicht über die Kommunikation ist deshalb empfehlenswert.

Welche Bedeutung haben die gesetzlichen Regelungen zur Beweislast?

Die Beweissicherung ist auch deshalb wichtig, weil das Zahlungsdiensterecht besondere Regelungen zur Beweislast enthält. Nach § 675w BGB muss der Zahlungsdienstleister bei einem bestrittenen Zahlungsvorgang grundsätzlich nachweisen, dass dieser ordnungsgemäß authentifiziert und aufgezeichnet wurde und nicht durch eine technische Störung oder einen anderen Mangel beeinträchtigt war.

Die bloße Aufzeichnung der Nutzung eines Zahlungsinstruments reicht jedoch nicht zwangsläufig aus, um nachzuweisen, dass der Kunde die Zahlung autorisiert hat. Ebenso wenig folgt daraus automatisch, dass er vorsätzlich oder grob fahrlässig gehandelt hat.

Für Betroffene bedeutet das: Sie müssen nicht allein deshalb auf einen Erstattungsanspruch verzichten, weil die Bank auf die Verwendung einer TAN oder eines registrierten Geräts verweist. Die rechtliche Bewertung muss vielmehr berücksichtigen, wie die Zahlung zustande gekommen ist und ob eine wirksame Zustimmung vorlag.

Gleichzeitig ist es wichtig, dass Betroffene den Sachverhalt möglichst nachvollziehbar schildern und vorhandene Beweismittel vorlegen. Die Unterlagen können helfen, die tatsächlichen Vorgänge aufzuklären und die Angaben der Bank zu überprüfen.

Wie sollte eine Beweismappe für die anwaltliche Prüfung aufgebaut sein?

Wer nach einem Phishing-Angriff rechtliche Unterstützung in Anspruch nehmen möchte, sollte die vorhandenen Unterlagen möglichst übersichtlich zusammenstellen. Eine geordnete Beweismappe erleichtert die Prüfung und spart Zeit bei der Rekonstruktion des Geschehens.

Sinnvoll ist eine Gliederung in mehrere Bereiche. Zunächst sollte eine kurze chronologische Darstellung des Vorfalls erstellt werden. Anschließend können die Phishing-Nachrichten, Screenshots und Gesprächsnotizen abgelegt werden. Ein weiterer Bereich sollte die Zahlungsbelege und Kontoauszüge enthalten. Hinzu kommen die gesamte Kommunikation mit der Bank sowie vorhandene technische Informationen.

Besonders hilfreich ist eine Tabelle mit den einzelnen verdächtigen Transaktionen. Für jede Zahlung sollten Datum, Betrag, Empfänger, IBAN und Zeitpunkt der Beanstandung festgehalten werden. Wenn mehrere Zahlungen betroffen sind, lässt sich dadurch schnell erkennen, welche Beträge insgesamt im Streit stehen.

Auch die Reaktion der Bank sollte gesondert dokumentiert werden. Wurde der Zugang gesperrt? Wann erfolgte die erste Schadensmeldung? Welche Erklärungen hat die Bank abgegeben? Wurde die Erstattung abgelehnt? Diese Angaben können für die rechtliche Beurteilung entscheidend sein.

Eine vollständige Beweismappe muss nicht technisch kompliziert sein. Wichtig ist vor allem, dass die Unterlagen vollständig, unverändert und nachvollziehbar geordnet sind.

Welche Fehler sollten Betroffene bei der Beweissicherung vermeiden?

Nach einem Phishing-Angriff werden aus Unsicherheit häufig wichtige Informationen gelöscht oder verändert. Betroffene sollten deshalb möglichst besonnen vorgehen. Insbesondere sollten verdächtige E-Mails, SMS und Messenger-Nachrichten nicht vorschnell entfernt werden. Auch Screenshots sollten nicht nachträglich bearbeitet werden, wenn sie später als Beweismittel dienen sollen.

Ein weiterer Fehler besteht darin, nur einzelne Ausschnitte der Kommunikation aufzubewahren. Wenn beispielsweise lediglich die letzte Nachricht des angeblichen Bankmitarbeiters gespeichert wird, kann der vorherige Gesprächsverlauf fehlen. Dadurch wird es schwieriger, die Täuschung als zusammenhängenden Vorgang darzustellen.

Auch widersprüchliche Angaben sollten vermieden werden. Betroffene sollten den Ablauf möglichst zeitnah schriftlich festhalten und spätere Ergänzungen deutlich kennzeichnen. Wenn sie sich an einen bestimmten Zeitpunkt nicht mehr genau erinnern, sollten sie dies offen angeben, statt eine vermeintlich exakte Angabe zu machen.

Schließlich sollten Betroffene keine Beweise dadurch gefährden, dass sie erneut auf verdächtige Links klicken oder mit den Tätern weiter kommunizieren. Die Sicherung vorhandener Informationen ist wichtig, darf aber keine zusätzlichen Risiken verursachen.

Wann kann eine anwaltliche Prüfung der Beweise sinnvoll sein?

Eine anwaltliche Prüfung ist insbesondere dann sinnvoll, wenn die Bank die Erstattung verweigert, eine grob fahrlässige Pflichtverletzung behauptet oder hohe Beträge betroffen sind. In solchen Fällen muss untersucht werden, welche Tatsachen für die rechtliche Bewertung entscheidend sind und welche Beweismittel dafür vorliegen.

Ein Rechtsanwalt kann prüfen, ob die vorhandenen Unterlagen ausreichen, um den Ablauf des Phishing-Angriffs nachvollziehbar darzustellen. Außerdem kann er beurteilen, welche Informationen bei der Bank angefordert werden sollten und ob die technische Begründung der Ablehnung rechtlich trägt.

Besondere Bedeutung haben dabei die Frage der Autorisierung, die Nachweispflichten nach § 675w BGB und eine mögliche Kundenhaftung nach § 675v BGB. Die Unterlagen müssen deshalb nicht nur gesammelt, sondern auch rechtlich eingeordnet werden.

Wenn die Beweislage unvollständig ist, kann geprüft werden, welche Informationen noch beschafft werden können. Dazu können ergänzende Kontoauszüge, Transaktionsdaten oder technische Angaben zum verwendeten Sicherheitsverfahren gehören.

Eine sorgfältige Beweissicherung verbessert die Grundlage für die rechtliche Durchsetzung möglicher Ansprüche. Sie garantiert zwar keine Erstattung, kann aber entscheidend dazu beitragen, den Sachverhalt aufzuklären und eine unberechtigte Ablehnung der Bank überprüfen zu lassen.

Fazit: Vollständige Beweise können bei Phishing-Betrug entscheidend sein

Wer durch Phishing-Betrug Geld verloren hat, sollte sämtliche verfügbaren Informationen sichern. Dazu gehören insbesondere E-Mails, SMS, Messenger-Nachrichten, Screenshots, Internetadressen, Telefonnummern, Gesprächsnotizen, Kontoauszüge und Zahlungsbelege. Auch Angaben zu IBAN, Empfängerbank, TAN-Freigaben und registrierten Geräten können für die rechtliche Prüfung wichtig sein.

Besonders entscheidend ist eine chronologische Darstellung des gesamten Ablaufs. Sie hilft dabei, die Täuschung, die einzelnen Handlungen des Betroffenen und die späteren Kontobelastungen miteinander in Verbindung zu bringen. Auch die Kommunikation mit der Bank und deren Begründung einer möglichen Erstattungsverweigerung sollte vollständig dokumentiert werden.

Die gesetzlichen Regelungen zur Beweislast nach § 675w BGB sind dabei besonders zu beachten. Die technische Verwendung von Zugangsdaten oder einer TAN beweist nicht automatisch, dass der Kunde die konkrete Zahlung autorisiert hat. Eine geordnete Beweismappe kann deshalb eine wichtige Grundlage sein, um Erstattungsansprüche nach § 675u BGB und mögliche weitere rechtliche Ansprüche prüfen und gegebenenfalls durchsetzen zu lassen.

Phishing-Betrug – welche Schadensersatz- und Rückzahlungsansprüche kommen infrage?

Wer durch Phishing-Betrug Geld verloren hat, muss den finanziellen Schaden nicht in jedem Fall selbst tragen. Unter bestimmten Voraussetzungen bestehen Ansprüche gegen die eigene Bank oder andere am Zahlungsvorgang beteiligte Unternehmen. Entscheidend ist dabei, wie es zu der Zahlung gekommen ist, ob der Kunde den konkreten Zahlungsvorgang autorisiert hat und ob der Zahlungsdienstleister seine gesetzlichen Pflichten erfüllt hat.

Besonders wichtig ist die Unterscheidung zwischen einer nicht autorisierten Zahlung und einer Überweisung, die der Betroffene selbst ausgelöst hat, weil er von den Tätern getäuscht wurde. Diese Abgrenzung kann erhebliche Auswirkungen auf die rechtliche Bewertung haben. Wurde eine Zahlung ohne Zustimmung des Kontoinhabers ausgeführt, kommt grundsätzlich ein Erstattungsanspruch nach § 675u BGB in Betracht. Hat der Betroffene die Überweisung dagegen selbst veranlasst, muss genauer geprüft werden, ob andere Anspruchsgrundlagen greifen.

Neben dem Zahlungsdiensterecht können auch Schadensersatzansprüche wegen einer Pflichtverletzung der Bank oder Ansprüche gegen weitere Beteiligte relevant sein. Allerdings lässt sich nicht pauschal sagen, dass jede durch Phishing verursachte Zahlung von der Bank erstattet werden muss. Die rechtlichen Voraussetzungen hängen stets vom konkreten Einzelfall ab.

Erstattungsanspruch nach § 675u BGB bei nicht autorisierten Zahlungen

Eine zentrale Anspruchsgrundlage ist § 675u BGB. Die Vorschrift regelt die Haftung des Zahlungsdienstleisters für nicht autorisierte Zahlungsvorgänge. Hat der Kunde einer konkreten Zahlung nicht zugestimmt und wurde sie dennoch ausgeführt, muss der Zahlungsdienstleister den Betrag grundsätzlich unverzüglich erstatten.

Der Erstattungsanspruch richtet sich auf die Wiederherstellung des Kontostands, auf dem sich das Konto ohne die nicht autorisierte Belastung befunden hätte. Die Bank muss den entsprechenden Betrag grundsätzlich wieder gutschreiben. Auch die Wertstellung muss so erfolgen, dass dem Kunden durch die unberechtigte Belastung kein zusätzlicher Zinsnachteil entsteht.

Für Betroffene ist dabei wichtig, dass eine technische Authentifizierung nicht automatisch mit einer wirksamen Autorisierung gleichzusetzen ist. Wenn die Täter Zugangsdaten erlangt und eine Zahlung ohne Zustimmung des Kunden ausgelöst haben, kann trotz Verwendung des richtigen Sicherheitsverfahrens eine nicht autorisierte Zahlung vorliegen.

Das gilt insbesondere bei bestimmten Phishing-Angriffen, bei denen Täter die Zugangsdaten des Kunden abfangen und anschließend selbstständig Überweisungen ausführen. Auch wenn die Bank eine erfolgreiche Anmeldung oder die Verwendung einer TAN dokumentiert, muss weiterhin geprüft werden, ob der Kunde tatsächlich dem konkreten Zahlungsvorgang zugestimmt hat.

Allerdings ist die Abgrenzung im Einzelfall nicht immer einfach. Wenn der Kunde eine PushTAN-Freigabe bestätigt oder eine TAN eingegeben hat, muss untersucht werden, welche Angaben ihm dabei angezeigt wurden und welchem Vorgang er nach seinem tatsächlichen Willen zustimmen wollte. Eine bewusste Bestätigung einer konkreten Überweisung kann rechtlich anders zu beurteilen sein als eine Freigabe, die der Kunde aufgrund einer Täuschung für eine angebliche Sicherheitsmaßnahme gehalten hat.

Wann liegt eine nicht autorisierte Zahlung vor?

Eine Zahlung ist grundsätzlich dann autorisiert, wenn der Zahler ihr zugestimmt hat. Die Zustimmung kann je nach Vereinbarung und Sicherheitsverfahren auf unterschiedliche Weise erfolgen. Entscheidend ist aber, dass sich die Zustimmung auf den konkreten Zahlungsvorgang bezieht.

Bei Phishing-Betrug kann genau diese Voraussetzung fehlen. Der Kunde gibt möglicherweise seine Zugangsdaten auf einer gefälschten Webseite ein, weil er glaubt, sich bei seiner Bank anzumelden. Die Täter verwenden diese Daten anschließend, um eigenständig eine Überweisung auszuführen. Der Kunde hat zwar Informationen preisgegeben, aber nicht zwangsläufig der späteren Zahlung zugestimmt.

Ähnliches kann gelten, wenn ein angeblicher Bankmitarbeiter telefonisch erklärt, eine Sicherheitsprüfung durchführen zu müssen. Der Betroffene bestätigt möglicherweise eine Freigabe, weil ihm vorgespiegelt wird, es gehe um die Sperrung einer verdächtigen Transaktion. Tatsächlich wird dadurch eine Überweisung an ein von den Tätern kontrolliertes Konto ermöglicht.

Die rechtliche Bewertung hängt in solchen Fällen wesentlich davon ab, welche Informationen der Kunde erhalten hat und welche Handlung er tatsächlich vornehmen wollte. Es ist deshalb nicht ausreichend, allein auf den technischen Vorgang abzustellen. Die Bank muss die gesetzlichen Anforderungen an den Nachweis der Autorisierung beachten.

Wenn eine Zahlung nicht autorisiert war, kann § 675u BGB einen unmittelbaren Erstattungsanspruch gegen den Zahlungsdienstleister begründen. Ob dieser Anspruch besteht, muss anhand der konkreten Umstände geprüft werden.

Kundenhaftung nach § 675v BGB und ihre Grenzen

Die Bank kann einer Erstattung entgegenhalten, dass der Kunde den Schaden durch eine Pflichtverletzung selbst verursacht habe. In diesem Zusammenhang ist § 675v BGB von besonderer Bedeutung. Die Vorschrift regelt unter bestimmten Voraussetzungen die Haftung des Zahlers für Schäden, die durch die Nutzung eines verlorenen, gestohlenen oder sonst missbräuchlich verwendeten Zahlungsinstruments entstehen.

Eine Haftung kann insbesondere dann in Betracht kommen, wenn der Kunde seine Pflichten zum Schutz personalisierter Sicherheitsmerkmale vorsätzlich oder grob fahrlässig verletzt hat. Dazu können beispielsweise PIN, TAN, Passwörter oder andere Zugangsdaten gehören.

Allerdings führt nicht jeder Fehler im Umgang mit einer Phishing-Nachricht automatisch zu einer Haftung. Es muss vielmehr geprüft werden, ob eine gesetzlich relevante Pflichtverletzung vorliegt und ob die Voraussetzungen der jeweiligen Haftungsregelung erfüllt sind.

Auch die Frage, ob der Kunde eine Zahlung selbst autorisiert hat, ist von der Frage seiner möglichen Haftung zu unterscheiden. Eine Zahlung kann nicht autorisiert sein, obwohl der Kunde zuvor auf eine gefälschte Nachricht reagiert oder Zugangsdaten preisgegeben hat. Umgekehrt kann eine Zahlung autorisiert sein, obwohl der Kunde durch die Täuschung der Täter zu seiner Zustimmung bewegt wurde. Diese Unterschiede müssen bei der rechtlichen Prüfung berücksichtigt werden.

Die Bank kann deshalb nicht allein mit dem Hinweis auf eine erfolgreiche TAN-Eingabe jede Erstattung ablehnen. Sie muss darlegen, auf welche Tatsachen sie ihre Einordnung stützt und welche gesetzlichen Voraussetzungen sie für erfüllt hält.

Schadensersatzansprüche wegen Pflichtverletzungen der Bank

Neben dem Erstattungsanspruch nach § 675u BGB können im Einzelfall auch Schadensersatzansprüche gegen die Bank bestehen. Dafür kommt insbesondere eine Verletzung vertraglicher Pflichten in Betracht. Grundlage kann § 280 Abs. 1 BGB sein.

Eine Bank ist verpflichtet, den Zahlungsverkehr entsprechend den gesetzlichen und vertraglichen Vorgaben abzuwickeln. Verletzt sie dabei eine Pflicht und entsteht dem Kunden dadurch ein Schaden, kann ein Schadensersatzanspruch entstehen. Voraussetzung ist allerdings, dass eine konkrete Pflichtverletzung vorliegt, diese für den Schaden ursächlich war und die weiteren gesetzlichen Voraussetzungen erfüllt sind.

Bei Phishing-Fällen kann beispielsweise geprüft werden, ob die Bank einen Zahlungsvorgang fehlerhaft verarbeitet oder gesetzlich vorgeschriebene Sicherheitsanforderungen nicht eingehalten hat. Auch die Frage, ob bei ungewöhnlichen Vorgängen weitere Schutzmechanismen hätten greifen müssen, kann im Rahmen einer Einzelfallprüfung relevant werden.

Dabei ist allerdings Vorsicht geboten: Nicht jede ungewöhnliche Überweisung begründet automatisch eine Pflicht der Bank, den Vorgang zu verhindern. Zahlungsdienstleister müssen nicht generell jede Zahlung auf einen möglichen Betrug hin überprüfen. Welche Pflichten bestehen, hängt unter anderem vom Zahlungsdiensterahmenvertrag, den gesetzlichen Vorgaben und den konkreten Umständen des Zahlungsvorgangs ab.

Ein Schadensersatzanspruch setzt deshalb mehr voraus als die bloße Tatsache, dass die Bank eine betrügerisch veranlasste Zahlung ausgeführt hat. Es muss eine rechtlich relevante Pflichtverletzung nachgewiesen werden.

Schadensersatz bei fehlerhafter Sicherheitsprüfung oder Zahlungsabwicklung

Besonders genau sollte geprüft werden, wenn die Bank bei der Durchführung des Zahlungsvorgangs gegen konkrete Sicherheits- oder Ausführungspflichten verstoßen haben könnte. Das kann beispielsweise der Fall sein, wenn eine Transaktion nicht entsprechend dem vereinbarten Verfahren verarbeitet wurde oder technische Fehler eine unberechtigte Kontobelastung ermöglicht haben.

Auch die Dokumentation der Authentifizierung kann eine Rolle spielen. Wenn die Bank behauptet, der Kunde habe eine Zahlung freigegeben, die technischen Unterlagen diesen Ablauf aber nicht nachvollziehbar belegen, kann dies für die rechtliche Auseinandersetzung bedeutsam sein.

Die Bank muss die gesetzlichen Anforderungen an die Authentifizierung und die Aufzeichnung des Zahlungsvorgangs erfüllen. Nach § 675w BGB kommt es dabei nicht allein darauf an, ob das vereinbarte Zahlungsinstrument technisch verwendet wurde. Die Vorschrift enthält weitere Anforderungen an den Nachweis und stellt klar, dass die bloße Aufzeichnung der Nutzung eines Zahlungsinstruments nicht in jedem Fall ausreicht, um eine Autorisierung oder eine vorsätzliche beziehungsweise grob fahrlässige Pflichtverletzung des Kunden zu belegen.

Wenn die Bank keine ausreichenden Informationen zur Verfügung stellt oder ihre Ablehnung lediglich pauschal mit der Verwendung einer TAN begründet, kann eine genauere rechtliche Prüfung sinnvoll sein.

Ansprüche bei selbst ausgelösten Überweisungen nach einer Täuschung

Eine besondere Schwierigkeit besteht bei Überweisungen, die der Betroffene selbst vorgenommen hat. Viele Phishing-Angriffe beschränken sich nicht darauf, Zugangsdaten zu stehlen. Die Täter bringen ihre Opfer vielmehr dazu, Geld selbst auf ein bestimmtes Konto zu überweisen.

So kann beispielsweise behauptet werden, das eigene Konto sei gefährdet und das Guthaben müsse vorübergehend auf ein angeblich sicheres Konto transferiert werden. In anderen Fällen wird eine Zahlung als notwendige Sicherheitsprüfung, technische Verifizierung oder Rückbuchung dargestellt.

Wenn der Kunde die Überweisung selbst in seinem Onlinebanking eingibt und freigibt, kann eine autorisierte Zahlung vorliegen. Der Umstand, dass er durch falsche Angaben getäuscht wurde, führt nicht automatisch dazu, dass die Zahlung gegenüber der Bank als nicht autorisiert gilt.

In solchen Fällen ist ein Erstattungsanspruch nach § 675u BGB nicht ohne Weiteres gegeben. Das bedeutet aber nicht, dass sämtliche rechtlichen Möglichkeiten ausgeschlossen sind. Es muss geprüft werden, ob die Bank eigene Pflichten verletzt hat oder ob Ansprüche gegen die Empfänger, die Hintermänner oder andere Beteiligte bestehen.

Auch die konkrete Gestaltung des Zahlungsauftrags ist relevant. Es kann beispielsweise einen Unterschied machen, ob der Kunde eine Überweisung bewusst an einen bestimmten Empfänger vorgenommen hat oder ob die Täter den Zahlungsvorgang technisch manipuliert haben. Bei sogenannten Manipulationsfällen muss deshalb genau untersucht werden, welche Angaben der Kunde eingegeben und welche Daten tatsächlich an die Bank übermittelt wurden.

Ansprüche gegen die Empfänger oder weitere Beteiligte

Neben der eigenen Bank können unter bestimmten Voraussetzungen auch Ansprüche gegen den Empfänger des überwiesenen Geldes bestehen. Das gilt insbesondere dann, wenn ein Kontoinhaber Geld erhalten hat, ohne dafür einen rechtlichen Grund zu haben.

Als Anspruchsgrundlage kommt in solchen Fällen § 812 BGB in Betracht. Die Vorschrift regelt die Herausgabe einer ungerechtfertigten Bereicherung. Wer durch die Leistung eines anderen etwas ohne rechtlichen Grund erlangt hat, kann grundsätzlich zur Herausgabe verpflichtet sein.

Bei Phishing-Betrug ist allerdings häufig unklar, wer tatsächlich hinter dem Empfängerkonto steht und ob der Kontoinhaber selbst an der Täuschung beteiligt war. Es kann sich um ein sogenanntes Finanzagentenkonto handeln, über das Gelder weitergeleitet werden. Der Kontoinhaber muss deshalb nicht zwangsläufig der eigentliche Täter sein.

Für die Durchsetzung eines Anspruchs ist entscheidend, wer das Geld tatsächlich erhalten hat, ob ein Rechtsgrund für den Vermögenszufluss bestand und ob die gesetzlichen Voraussetzungen einer Herausgabepflicht erfüllt sind. Auch die Frage, ob das Geld noch vorhanden ist oder bereits weitergeleitet wurde, kann eine Rolle spielen.

Wenn mehrere Konten oder Zahlungsdienstleister beteiligt waren, kann eine genaue Untersuchung des Zahlungswegs erforderlich sein. Die bloße Kenntnis einer IBAN reicht allerdings nicht aus, um die tatsächlichen Hintermänner oder den wirtschaftlich Berechtigten sicher zu identifizieren.

Deliktische Schadensersatzansprüche gegen die Täter

Wenn die Täter identifiziert werden können, kommen außerdem deliktische Schadensersatzansprüche in Betracht. Eine wichtige Grundlage ist § 823 Abs. 2 BGB in Verbindung mit einem Schutzgesetz. Auch § 826 BGB kann relevant sein, wenn eine vorsätzliche sittenwidrige Schädigung vorliegt.

Bei betrügerischen Handlungen kann insbesondere § 263 StGB als Schutzgesetz im Rahmen des § 823 Abs. 2 BGB Bedeutung erlangen. Wer durch eine vorsätzliche Täuschung einen Vermögensschaden verursacht, kann unter den gesetzlichen Voraussetzungen zum Ersatz des Schadens verpflichtet sein.

Ein Anspruch nach § 826 BGB setzt eine vorsätzliche sittenwidrige Schädigung voraus. Das kann bei planmäßigem und besonders verwerflichem Vorgehen in Betracht kommen. Ob diese Voraussetzungen erfüllt sind, muss anhand der konkreten Umstände geprüft werden.

In der Praxis besteht allerdings häufig das Problem, dass die Täter unter falschen Namen auftreten, aus dem Ausland agieren oder ihre Identität durch technische und organisatorische Maßnahmen verschleiern. Selbst wenn ein Anspruch rechtlich besteht, kann seine tatsächliche Durchsetzung schwierig sein.

Deshalb ist zwischen der Frage, ob ein Anspruch dem Grunde nach gegeben ist, und der Frage, ob der Anspruchsgegner tatsächlich ermittelt werden kann und über pfändbares Vermögen verfügt, zu unterscheiden.

Welche Rolle spielen Zahlungsdienstleister und zwischengeschaltete Banken?

Bei Phishing-Betrug fließt das Geld nicht immer unmittelbar auf ein Konto, das von den Tätern selbst genutzt wird. Häufig werden mehrere Konten, Zahlungsdienstleister oder andere Finanzunternehmen eingeschaltet. Dadurch kann der Zahlungsweg komplex werden.

Je nach Sachverhalt ist zu prüfen, welche Unternehmen an der Ausführung der Zahlung beteiligt waren und welche Pflichten sie jeweils hatten. Dabei kann auch relevant sein, ob eine Zahlung fehlerhaft ausgeführt wurde oder ob ein Zahlungsdienstleister gesetzliche beziehungsweise vertragliche Anforderungen nicht eingehalten hat.

Allerdings entsteht nicht automatisch ein Anspruch gegen jede Bank, die an der Weiterleitung des Geldes beteiligt war. Es muss jeweils eine konkrete Anspruchsgrundlage bestehen. Auch die Zuständigkeit für die Rückabwicklung kann davon abhängen, welcher Zahlungsdienstleister den Zahlungsvorgang ausgeführt hat und welche Vertragsbeziehungen bestehen.

Bei grenzüberschreitenden Zahlungen können zusätzliche Schwierigkeiten auftreten. Unterschiedliche Rechtsordnungen, ausländische Konten und weitere zwischengeschaltete Unternehmen können die Durchsetzung von Ansprüchen erschweren. Eine genaue Analyse der Zahlungsbelege und der verfügbaren Transaktionsdaten ist deshalb besonders wichtig.

Kann die Bank auch für Folgeschäden haften?

Neben dem unmittelbar vom Konto abgebuchten Betrag können weitere finanzielle Nachteile entstehen. Dazu gehören beispielsweise Überziehungszinsen, zusätzliche Kontokosten oder sonstige Vermögensschäden, die durch die unberechtigte Belastung verursacht wurden.

Ob solche Folgeschäden ersetzt werden müssen, hängt von der jeweiligen Anspruchsgrundlage ab. Bei einem Erstattungsanspruch nach § 675u BGB ist insbesondere die gesetzlich vorgesehene Wiederherstellung des Kontostands zu beachten. Weitergehende Schadensersatzansprüche können sich unter den Voraussetzungen des § 280 Abs. 1 BGB oder anderer Anspruchsgrundlagen ergeben.

Betroffene sollten deshalb nicht nur den ursprünglichen Überweisungsbetrag dokumentieren. Auch zusätzliche Kosten und finanzielle Nachteile sollten erfasst werden. Dazu können beispielsweise Sollzinsen, Rücklastschriftkosten oder Gebühren gehören, die im Zusammenhang mit dem Phishing-Vorfall entstanden sind.

Allerdings muss auch bei Folgeschäden ein ursächlicher Zusammenhang mit der Pflichtverletzung bestehen. Nicht jede finanzielle Belastung, die zeitlich nach dem Betrug auftritt, kann automatisch dem Zahlungsdienstleister zugerechnet werden.

Verjährung und Ausschlussfristen beachten

Wer nach einem Phishing-Angriff Ansprüche gegen die Bank oder andere Beteiligte geltend machen möchte, sollte die maßgeblichen Fristen beachten. Nach § 676b BGB muss der Zahlungsdienstnutzer einen nicht autorisierten oder fehlerhaft ausgeführten Zahlungsvorgang grundsätzlich unverzüglich anzeigen, sobald er davon Kenntnis erlangt hat. Die gesetzliche Höchstfrist beträgt regelmäßig 13 Monate nach dem Tag der Belastung.

Diese Frist sollte nicht mit der allgemeinen Verjährung verwechselt werden. Für unterschiedliche Ansprüche können unterschiedliche Verjährungsregelungen gelten. Der Erstattungsanspruch gegen die Bank, ein vertraglicher Schadensersatzanspruch und ein Anspruch gegen einen Empfänger können deshalb jeweils gesondert zu beurteilen sein.

Betroffene sollten sich nicht darauf verlassen, dass eine spätere rechtliche Auseinandersetzung sämtliche Fristen automatisch wahrt. Eine zeitnahe und nachweisbare Beanstandung gegenüber der Bank ist deshalb besonders wichtig.

Wenn die Bank bereits eine Erstattung abgelehnt hat, sollte geprüft werden, wann diese Entscheidung erfolgt ist und welche weiteren Schritte möglich sind. Auch eine längere Untätigkeit kann die Durchsetzung von Ansprüchen erschweren.

Wie werden mögliche Ansprüche rechtlich geprüft?

Eine rechtliche Prüfung beginnt mit der Rekonstruktion des Zahlungsablaufs. Dabei muss zunächst festgestellt werden, ob es sich um eine nicht autorisierte Zahlung, eine fehlerhafte Ausführung oder eine vom Kunden selbst veranlasste Überweisung handelt.

Anschließend ist zu prüfen, welche gesetzlichen und vertraglichen Pflichten für die Bank bestanden und ob diese eingehalten wurden. Bei einer nicht autorisierten Zahlung stehen insbesondere §§ 675u und 675w BGB im Mittelpunkt. Wenn die Bank eine Kundenhaftung geltend macht, ist außerdem § 675v BGB zu berücksichtigen.

Bei selbst ausgelösten Überweisungen muss dagegen genauer untersucht werden, ob eine andere Anspruchsgrundlage in Betracht kommt. Dazu können vertragliche Schadensersatzansprüche, Bereicherungsansprüche oder deliktische Ansprüche gegen weitere Beteiligte gehören.

Wichtig ist außerdem die Frage, welche Beweise zur Verfügung stehen. Kontoauszüge, Überweisungsdaten, Nachrichten, Gesprächsnotizen und die technische Dokumentation der Bank können entscheidend sein. Die rechtliche Bewertung darf sich nicht auf eine pauschale Aussage beschränken, dass der Kunde eine TAN verwendet oder eine App-Freigabe bestätigt habe.

Im Ergebnis muss für jeden möglichen Anspruch gesondert geprüft werden, gegen wen er sich richtet, welche Voraussetzungen erfüllt sein müssen und ob eine tatsächliche Durchsetzung realistisch erscheint.

Fazit: Nach Phishing-Betrug kommen unterschiedliche Rückzahlungs- und Schadensersatzansprüche infrage

Nach einem Phishing-Angriff können Betroffene unter bestimmten Voraussetzungen die Erstattung des verlorenen Geldes oder Schadensersatz verlangen. Bei nicht autorisierten Zahlungsvorgängen ist insbesondere § 675u BGB von Bedeutung. Die Bank muss grundsätzlich den Betrag einer nicht autorisierten Zahlung erstatten. Eine mögliche Kundenhaftung nach § 675v BGB setzt dagegen voraus, dass die gesetzlichen Voraussetzungen erfüllt sind.

Wurde die Überweisung vom Betroffenen selbst vorgenommen, ist die rechtliche Lage schwieriger. Dann können je nach Sachverhalt Ansprüche wegen einer Pflichtverletzung der Bank, Bereicherungsansprüche gegen Zahlungsempfänger oder deliktische Schadensersatzansprüche gegen die Täter in Betracht kommen.

Entscheidend ist stets eine sorgfältige Prüfung des konkreten Zahlungsablaufs. Die Verwendung einer TAN oder die technische Authentifizierung allein beantwortet nicht sämtliche rechtlichen Fragen. Betroffene sollten deshalb die Unterlagen sichern, den Vorfall rechtzeitig gegenüber der Bank beanstanden und prüfen lassen, welche Ansprüche tatsächlich bestehen und gegen wen sie durchgesetzt werden können.

Phishing-Betrug – wann ist ein Anwalt sinnvoll und wie läuft die rechtliche Prüfung ab?

Nach einem Phishing-Betrug stehen Betroffene häufig vor erheblichen finanziellen und rechtlichen Problemen. Das Konto wurde möglicherweise leergeräumt, mehrere Überweisungen wurden ohne Zustimmung ausgeführt oder die Betroffenen haben aufgrund einer gezielten Täuschung selbst Geld an unbekannte Empfänger überwiesen. Hinzu kommt, dass Banken eine Erstattung nicht selten zunächst ablehnen und dabei auf eine angebliche Pflichtverletzung des Kunden verweisen.

In dieser Situation kann es sinnvoll sein, einen auf Bank- und Kapitalmarktrecht beziehungsweise auf Betrugsfälle spezialisierten Rechtsanwalt einzuschalten. Das gilt insbesondere dann, wenn hohe Geldbeträge verloren gegangen sind, die Bank eine Rückzahlung verweigert oder unklar ist, ob eine Zahlung rechtlich als autorisiert einzustufen ist. Eine anwaltliche Prüfung kann helfen, die tatsächlichen Abläufe einzuordnen, mögliche Ansprüche zu identifizieren und die Erfolgsaussichten einer weiteren Auseinandersetzung realistisch einzuschätzen.

Dabei geht es nicht allein darum, der Bank einen Betrug mitzuteilen. Entscheidend ist vielmehr, die rechtlichen Voraussetzungen eines Erstattungs- oder Schadensersatzanspruchs zu prüfen. Dazu müssen der konkrete Zahlungsvorgang, die Kommunikation mit den Tätern, die Sicherheitsverfahren und die Reaktion der Bank berücksichtigt werden.

Wann sollten Betroffene nach einem Phishing-Betrug einen Anwalt einschalten?

Eine anwaltliche Beratung kann bereits dann sinnvoll sein, wenn ein erster finanzieller Schaden eingetreten ist. Betroffene müssen nicht abwarten, bis sämtliche Transaktionen abgeschlossen oder alle beteiligten Personen identifiziert sind. Gerade bei laufenden Betrugsfällen kann eine frühzeitige rechtliche Einordnung wichtig sein, um weitere Schäden zu begrenzen und die vorhandenen Ansprüche nicht durch vermeidbare Fehler zu gefährden.

Besonders dringlich ist eine rechtliche Prüfung, wenn die Bank eine Erstattung ablehnt oder dem Kunden vorwirft, grob fahrlässig gehandelt zu haben. In solchen Fällen kommt es darauf an, ob die Voraussetzungen der gesetzlichen Kundenhaftung tatsächlich erfüllt sind. Eine pauschale Behauptung, der Kunde habe eine TAN eingegeben oder eine PushTAN-Freigabe bestätigt, reicht für eine abschließende rechtliche Bewertung nicht zwangsläufig aus.

Auch wenn die Bank erklärt, die Zahlung sei ordnungsgemäß authentifiziert worden, sollte geprüft werden, ob damit tatsächlich eine Zustimmung zum konkreten Zahlungsvorgang nachgewiesen ist. Die technische Verwendung eines Sicherheitsmerkmals und die rechtliche Autorisierung einer Zahlung sind unterschiedliche Fragen.

Eine anwaltliche Prüfung bietet sich außerdem an, wenn mehrere Überweisungen betroffen sind, ungewöhnlich hohe Beträge abgebucht wurden oder die Täter über längere Zeit Zugang zum Onlinebanking hatten. Gleiches gilt, wenn der Betroffene durch einen angeblichen Bankmitarbeiter telefonisch zur Freigabe von Zahlungen bewegt wurde oder eine gefälschte Sicherheitsseite verwendet hat.

Auch bei selbst ausgelösten Überweisungen kann anwaltliche Unterstützung sinnvoll sein. Zwar ist die rechtliche Ausgangslage in diesen Fällen häufig schwieriger als bei einer eindeutig nicht autorisierten Zahlung. Dennoch können Ansprüche gegen weitere Beteiligte oder unter bestimmten Voraussetzungen auch gegen den Zahlungsdienstleister bestehen.

Die Ablehnung der Bank rechtlich überprüfen lassen

Viele Betroffene wenden sich zunächst selbst an ihre Bank und verlangen die Erstattung der abgebuchten Beträge. Die Bank untersucht den Vorgang und teilt anschließend mit, ob sie eine Rückzahlung veranlasst. Wird der Anspruch abgelehnt, folgt häufig eine Begründung, die sich auf die Verwendung der persönlichen Zugangsdaten oder die erfolgreiche Authentifizierung konzentriert.

Eine solche Ablehnung sollte nicht ungeprüft akzeptiert werden. Zunächst ist zu untersuchen, ob die Bank den Sachverhalt vollständig erfasst und die maßgeblichen gesetzlichen Vorschriften richtig angewendet hat.

Bei nicht autorisierten Zahlungen ist insbesondere § 675u BGB relevant. Die Vorschrift verpflichtet den Zahlungsdienstleister grundsätzlich zur Erstattung des belasteten Betrags. Wenn die Bank eine Kundenhaftung geltend macht, muss außerdem geprüft werden, ob die Voraussetzungen des § 675v BGB vorliegen.

Von Bedeutung ist auch § 675w BGB. Diese Vorschrift regelt die Anforderungen an den Nachweis der Authentifizierung und der ordnungsgemäßen Aufzeichnung und Verarbeitung eines Zahlungsvorgangs. Die bloße Dokumentation, dass eine TAN verwendet oder eine App-Freigabe vorgenommen wurde, beantwortet nicht automatisch die Frage, ob der Kunde der konkreten Zahlung zugestimmt hat.

Ein Rechtsanwalt kann deshalb untersuchen, ob die Bank ihre Ablehnung ausreichend begründet hat und ob die vorhandenen technischen Informationen tatsächlich die rechtlichen Voraussetzungen einer Kundenhaftung belegen. Dabei können insbesondere die verwendeten Sicherheitsverfahren, die angezeigten Freigabetexte und die zeitliche Abfolge der Transaktionen eine Rolle spielen.

Wie läuft die anwaltliche Prüfung eines Phishing-Falls ab?

Am Anfang steht regelmäßig die vollständige Erfassung des Sachverhalts. Dazu werden die Angaben des Betroffenen mit den vorhandenen Unterlagen abgeglichen. Wichtig ist eine möglichst genaue Rekonstruktion des Ablaufs: Wann erhielt der Betroffene die erste Nachricht? Über welchen Kommunikationsweg erfolgte der Kontakt? Welche Webseite wurde aufgerufen? Welche Zugangsdaten wurden eingegeben? Wurden TANs oder PushTAN-Freigaben bestätigt? Wann wurden die ersten unberechtigten Kontobewegungen festgestellt?

Anschließend wird geprüft, welche Zahlungen tatsächlich ausgeführt wurden und wie diese technisch und rechtlich einzuordnen sind. Dabei ist zwischen nicht autorisierten Transaktionen, fehlerhaft ausgeführten Zahlungen und selbst veranlassten Überweisungen zu unterscheiden.

Auf dieser Grundlage kann bewertet werden, welche Ansprüche in Betracht kommen. Bei nicht autorisierten Zahlungen steht regelmäßig der Erstattungsanspruch nach § 675u BGB im Vordergrund. Daneben können Fragen der Kundenhaftung nach § 675v BGB und der Beweisführung nach § 675w BGB relevant sein. Bei selbst ausgelösten Zahlungen müssen gegebenenfalls andere Anspruchsgrundlagen geprüft werden.

Im nächsten Schritt werden die Unterlagen der Bank ausgewertet. Dazu gehören insbesondere die Ablehnungsschreiben, die Kontoauszüge und die Informationen zum Authentifizierungsverfahren. Soweit erforderlich, kann der Rechtsanwalt weitere Informationen zum konkreten Zahlungsvorgang anfordern und die rechtliche Bewertung der Bank hinterfragen.

Das Ziel besteht darin, eine belastbare Anspruchsbegründung zu entwickeln. Eine solche Begründung sollte nicht nur den Betrugsablauf schildern, sondern nachvollziehbar erklären, weshalb eine Erstattung oder ein Schadensersatzanspruch rechtlich verlangt werden kann.

Welche Unterlagen benötigt ein Rechtsanwalt?

Je vollständiger die vorhandenen Informationen sind, desto besser lässt sich ein Phishing-Fall rechtlich beurteilen. Betroffene sollten deshalb möglichst frühzeitig sämtliche Unterlagen sichern, die mit dem Betrug und den anschließenden Kontobewegungen zusammenhängen.

Besonders wichtig sind Kontoauszüge, auf denen die unberechtigten Belastungen erkennbar sind. Bei Überweisungen sollten außerdem die verfügbaren Zahlungsdaten vorliegen. Dazu gehören insbesondere Betrag, Buchungsdatum, Empfängername, IBAN, BIC und gegebenenfalls Angaben zur Empfängerbank oder zum beteiligten Zahlungsdienstleister.

Auch die ursprünglichen Phishing-Nachrichten sollten aufbewahrt werden. Das können E-Mails, SMS, Messenger-Nachrichten oder andere Mitteilungen sein. Bei E-Mails ist es sinnvoll, möglichst die Originalnachricht einschließlich der technischen Kopfzeilen zu sichern. Screenshots allein können wichtige Informationen enthalten, ersetzen aber nicht immer die Originaldaten.

Wenn eine gefälschte Webseite verwendet wurde, sollten die Domain, die aufgerufene Internetadresse und vorhandene Screenshots dokumentiert werden. Auch Telefonnummern, Gesprächsnotizen und Namen, unter denen sich angebliche Bankmitarbeiter oder Sicherheitsberater vorgestellt haben, können relevant sein.

Bei telefonischen Kontakten ist eine möglichst genaue zeitliche Einordnung hilfreich. Betroffene sollten festhalten, wann das Gespräch stattgefunden hat, welche Behauptungen aufgestellt wurden und welche Handlungen anschließend vorgenommen wurden. Auch Informationen über installierte Fernwartungssoftware oder andere Programme können für die technische und rechtliche Bewertung wichtig sein.

Schließlich benötigt der Rechtsanwalt den bisherigen Schriftverkehr mit der Bank. Dazu gehören die erste Beanstandung, die Antwort des Zahlungsdienstleisters, eine mögliche Erstattungsablehnung und weitere Kommunikation. Wenn die Bank bereits eine grobe Fahrlässigkeit behauptet, sollte auch diese Begründung vollständig vorliegen.

Welche Ansprüche kann ein Anwalt gegenüber der Bank geltend machen?

Welche Forderungen gegenüber der Bank erhoben werden können, hängt von der Art des Zahlungsvorgangs ab. Bei einer nicht autorisierten Zahlung kann grundsätzlich die Erstattung nach § 675u BGB verlangt werden. Dabei ist zu prüfen, ob die Bank den belasteten Betrag vollständig und mit der gesetzlich vorgesehenen Wertstellung zurückführen muss.

Wenn die Bank eine Haftung des Kunden behauptet, muss die rechtliche Grundlage dieser Einordnung untersucht werden. Insbesondere ist zu prüfen, ob tatsächlich eine vorsätzliche oder grob fahrlässige Pflichtverletzung im Sinne der einschlägigen Vorschriften vorliegt.

Daneben kann ein Schadensersatzanspruch wegen einer vertraglichen Pflichtverletzung in Betracht kommen. § 280 Abs. 1 BGB kann relevant sein, wenn die Bank eine ihr obliegende Pflicht verletzt und dadurch ein ersatzfähiger Schaden entstanden ist. Ob eine solche Pflichtverletzung vorliegt, muss anhand des konkreten Sachverhalts festgestellt werden.

Ein Rechtsanwalt kann die Bank zur Stellungnahme auffordern, die rechtlichen Einwände gegen eine Ablehnung formulieren und eine nachvollziehbare Begründung des Erstattungsverlangens vorlegen. Dabei sollte die Argumentation auf den konkreten Zahlungsvorgang zugeschnitten sein. Allgemeine Hinweise auf Phishing oder auf die Verwendung einer TAN reichen für eine überzeugende rechtliche Auseinandersetzung häufig nicht aus.

Wichtig ist allerdings, dass ein anwaltliches Schreiben keine automatische Erstattung bewirkt. Die Bank kann an ihrer Rechtsauffassung festhalten. In diesem Fall muss geprüft werden, ob weitere außergerichtliche oder gerichtliche Schritte sinnvoll sind.

Was passiert, wenn die Bank weiterhin nicht zahlt?

Lehnt die Bank die Erstattung trotz anwaltlicher Aufforderung ab, ist zunächst zu prüfen, ob eine weitere außergerichtliche Klärung Aussicht auf Erfolg bietet. Je nach Fall kann es sinnvoll sein, die Bank mit zusätzlichen Tatsachen oder rechtlichen Argumenten zu konfrontieren.

Dabei kann auch ein Beschwerdeverfahren bei einer zuständigen Schlichtungsstelle oder Ombudsstelle in Betracht kommen. Ob ein solches Verfahren möglich und zweckmäßig ist, hängt unter anderem vom beteiligten Institut und den geltenden Verfahrensregeln ab.

Eine weitere Möglichkeit besteht in der gerichtlichen Durchsetzung des Anspruchs. Vor einem gerichtlichen Vorgehen müssen jedoch die Erfolgsaussichten, die vorhandene Beweislage und das wirtschaftliche Risiko geprüft werden. Dazu gehören auch mögliche Gerichts- und Anwaltskosten sowie das Risiko, im Fall einer Niederlage weitere Kosten tragen zu müssen.

In einem Gerichtsverfahren kann insbesondere streitig sein, ob der Kunde eine Zahlung autorisiert hat oder ob ihm eine relevante Pflichtverletzung vorzuwerfen ist. Auch die technischen Aufzeichnungen der Bank und die Frage, welche Informationen dem Kunden bei einer Freigabe angezeigt wurden, können eine wichtige Rolle spielen.

Ein Rechtsanwalt kann einschätzen, welche Tatsachen vorgetragen und welche Unterlagen gegebenenfalls angefordert werden müssen. Er kann außerdem prüfen, ob eine gerichtliche Klärung im Verhältnis zum möglichen Erstattungsbetrag und den damit verbundenen Kosten sinnvoll erscheint.

Kann ein Anwalt auch bei selbst veranlassten Überweisungen helfen?

Nicht jeder Phishing-Betrug führt zu einer Zahlung, die ohne jede Mitwirkung des Kunden ausgeführt wurde. In vielen Fällen überweisen die Betroffenen das Geld selbst, weil sie den Angaben der Täter vertrauen. Beispielsweise wird ihnen erklärt, sie müssten ihr Guthaben auf ein angeblich sicheres Konto transferieren oder eine bestimmte Zahlung vornehmen, um eine Sperrung zu verhindern.

Solche Sachverhalte müssen rechtlich besonders sorgfältig untersucht werden. Wenn der Betroffene den Überweisungsauftrag selbst erteilt und die Zahlung an den vorgesehenen Empfänger freigegeben hat, kann eine autorisierte Zahlung vorliegen. Ein Erstattungsanspruch nach § 675u BGB lässt sich dann nicht ohne Weiteres begründen.

Das bedeutet jedoch nicht, dass eine anwaltliche Prüfung zwecklos wäre. Vielmehr muss untersucht werden, ob die konkrete Zahlungsanweisung möglicherweise technisch manipuliert wurde, ob die Bank eigene Pflichten verletzt hat oder ob Ansprüche gegen den Empfänger bestehen.

Ein Bereicherungsanspruch nach § 812 BGB kann beispielsweise in Betracht kommen, wenn ein Empfänger das Geld ohne rechtlichen Grund erhalten hat. Gegen die eigentlichen Täter können unter den jeweiligen Voraussetzungen deliktische Schadensersatzansprüche bestehen. Dabei kann auch geprüft werden, ob ein Anspruch nach § 823 Abs. 2 BGB in Verbindung mit einem Schutzgesetz oder nach § 826 BGB gegeben ist.

Die praktische Durchsetzung solcher Ansprüche hängt allerdings davon ab, ob die verantwortlichen Personen ermittelt werden können und ob eine wirtschaftlich sinnvolle Vollstreckung möglich ist. Ein Rechtsanwalt sollte deshalb nicht nur die rechtliche Anspruchsgrundlage, sondern auch die tatsächlichen Durchsetzungsmöglichkeiten bewerten.

Wie lässt sich die Beweislage gegenüber der Bank verbessern?

Eine erfolgreiche Anspruchsdurchsetzung hängt häufig davon ab, dass der Ablauf des Phishing-Angriffs möglichst genau nachvollzogen werden kann. Gerade bei komplexen Angriffen mit gefälschten Webseiten, Telefonkontakten und mehreren Sicherheitsfreigaben ist eine chronologische Darstellung wichtig.

Betroffene sollten deshalb nicht nur einzelne Screenshots oder Kontoauszüge vorlegen, sondern den gesamten Vorgang dokumentieren. Dazu gehören die erste Kontaktaufnahme, die Täuschungshandlungen, die Eingabe von Zugangsdaten, mögliche Freigaben und die anschließenden Kontobewegungen.

Von besonderer Bedeutung sind die Informationen, die bei einer TAN- oder PushTAN-Freigabe angezeigt wurden. Wenn der Betroffene davon ausging, eine Sicherheitsmaßnahme zu bestätigen, tatsächlich aber eine Überweisung freigegeben wurde, kann diese Abweichung für die rechtliche Bewertung relevant sein.

Auch die technische Dokumentation der Bank sollte in die Prüfung einbezogen werden. Dazu können Informationen über Anmeldungen, Geräte, Authentifizierungsverfahren, Transaktionsdaten und die Verarbeitung der Zahlung gehören. Ob und in welchem Umfang solche Informationen verfügbar gemacht werden müssen, ist anhand der gesetzlichen Anforderungen und des konkreten Verfahrens zu beurteilen.

Ein Rechtsanwalt kann die vorhandenen Beweismittel ordnen, Widersprüche herausarbeiten und prüfen, welche weiteren Informationen für eine rechtliche Bewertung erforderlich sind. Dadurch lässt sich vermeiden, dass der Fall ausschließlich auf Grundlage einer verkürzten Darstellung des Zahlungsvorgangs beurteilt wird.

Welche Kosten entstehen durch einen Rechtsanwalt?

Die Kosten einer anwaltlichen Beratung und Vertretung richten sich nach dem jeweiligen Auftrag, dem Gegenstandswert und den anwendbaren Vergütungsregelungen. Bei einer außergerichtlichen Tätigkeit können sich die Gebühren insbesondere nach dem Rechtsanwaltsvergütungsgesetz richten. Daneben sind individuelle Vergütungsvereinbarungen möglich.

Vor der Beauftragung sollte geklärt werden, welche Tätigkeiten übernommen werden sollen. Eine erste rechtliche Einschätzung unterscheidet sich vom vollständigen Schriftverkehr mit der Bank oder einer gerichtlichen Vertretung. Auch der Umfang der erforderlichen Sachverhaltsaufklärung kann den Aufwand beeinflussen.

Betroffene sollten sich deshalb vorab über die voraussichtlichen Kosten informieren lassen. Dabei ist auch zu berücksichtigen, ob eine Rechtsschutzversicherung besteht und ob diese den konkreten Fall abdeckt. Ein Versicherungsschutz für allgemeine Rechtsstreitigkeiten bedeutet nicht automatisch, dass sämtliche Auseinandersetzungen im Zusammenhang mit Bankgeschäften oder Vermögensanlagen eingeschlossen sind.

Bei einem möglichen gerichtlichen Vorgehen sollte zusätzlich eine Einschätzung des Kostenrisikos erfolgen. Dazu gehören die eigenen Anwaltskosten, die Gerichtskosten und das Risiko, im Falle einer Niederlage auch gegnerische Kosten tragen zu müssen.

Eine seriöse anwaltliche Beratung sollte die Kosten und Risiken transparent darstellen. Ebenso wichtig ist eine realistische Einschätzung der Erfolgsaussichten. Eine Rückzahlung kann nicht garantiert werden, auch wenn die rechtliche Position des Betroffenen nachvollziehbare Argumente enthält.

Worauf sollten Betroffene bei der Auswahl eines Anwalts achten?

Bei Phishing-Betrug geht es häufig nicht nur um eine allgemeine strafrechtliche Einordnung des Geschehens. Im Mittelpunkt stehen vielmehr Zahlungsdiensterecht, Bankhaftung, Beweislastfragen und gegebenenfalls zivilrechtliche Ansprüche gegen weitere Beteiligte.

Deshalb sollte bei der Auswahl eines Rechtsanwalts darauf geachtet werden, dass Erfahrungen mit Streitigkeiten gegenüber Banken und Zahlungsdienstleistern vorhanden sind. Kenntnisse der §§ 675u, 675v und 675w BGB können für die Beurteilung nicht autorisierter Zahlungsvorgänge besonders wichtig sein.

Auch die Fähigkeit, technische Abläufe verständlich in rechtliche Argumente zu übersetzen, ist von Bedeutung. Bei modernen Phishing-Angriffen können verschiedene Kommunikationskanäle, manipulierte Webseiten, Fernwartungsprogramme und mehrstufige Authentifizierungsverfahren beteiligt sein. Eine rechtliche Bewertung muss diese Abläufe berücksichtigen, ohne technische Vorgänge vorschnell mit einer Zustimmung des Kunden gleichzusetzen.

Betroffene sollten außerdem darauf achten, dass keine unrealistischen Versprechen gemacht werden. Aussagen wie „Die Bank muss in jedem Fall zahlen“ oder eine garantierte Rückholung des gesamten Geldes sind bei einer seriösen Einzelfallprüfung nicht angebracht. Entscheidend ist, ob sich ein Anspruch auf Grundlage der konkreten Tatsachen und der geltenden Rechtslage begründen lässt.

Welche Fristen müssen vor und während der anwaltlichen Prüfung beachtet werden?

Auch wenn ein Rechtsanwalt eingeschaltet wird, sollten Betroffene nicht unnötig lange warten. Nach § 676b BGB muss ein nicht autorisierter oder fehlerhaft ausgeführter Zahlungsvorgang grundsätzlich unverzüglich nach Kenntnis gegenüber dem Zahlungsdienstleister angezeigt werden. Die gesetzliche Ausschlussfrist beträgt regelmäßig 13 Monate nach dem Tag der Belastung.

Diese Frist betrifft die Anzeige des Zahlungsvorgangs und ist von den allgemeinen Verjährungsfristen möglicher Ansprüche zu unterscheiden. Für Schadensersatzansprüche oder Forderungen gegen Zahlungsempfänger können andere Fristen gelten.

Wer bereits eine Erstattungsablehnung erhalten hat, sollte diese ebenfalls zeitnah rechtlich überprüfen lassen. Es ist wichtig, die Begründung der Bank und den bisherigen Schriftverkehr vollständig aufzubewahren. Auch bei einer länger zurückliegenden Phishing-Attacke kann eine Prüfung noch sinnvoll sein, solange die jeweiligen Ansprüche nicht verjährt oder ausgeschlossen sind.

Eine anwaltliche Beratung sollte daher möglichst früh erfolgen, ohne dass Betroffene zunächst sämtliche technischen oder rechtlichen Fragen selbst klären müssen.

Fazit: Ein Anwalt kann nach Phishing-Betrug die Erstattungs- und Schadensersatzansprüche prüfen

Nach einem Phishing-Betrug kann anwaltliche Unterstützung insbesondere dann sinnvoll sein, wenn die Bank eine Erstattung verweigert, eine grob fahrlässige Pflichtverletzung behauptet oder der Zahlungsablauf rechtlich unklar ist. Im Mittelpunkt steht die Prüfung, ob eine nicht autorisierte Zahlung vorliegt und ob sich daraus ein Anspruch nach § 675u BGB ergibt.

Darüber hinaus können Schadensersatzansprüche wegen einer Pflichtverletzung der Bank sowie Ansprüche gegen Empfänger oder weitere Beteiligte infrage kommen. Welche Möglichkeiten tatsächlich bestehen, hängt vom konkreten Sachverhalt und der vorhandenen Beweislage ab.

Betroffene sollten Kontoauszüge, Zahlungsdaten, Nachrichten, Screenshots und den Schriftverkehr mit der Bank sichern. Eine frühzeitige rechtliche Prüfung kann helfen, die maßgeblichen Ansprüche zu bestimmen, die Ablehnung der Bank zu bewerten und das weitere Vorgehen einschließlich möglicher Kosten und Risiken realistisch einzuschätzen.

Kanzlei Wilms – Experten bei Online-Anlagebetrug

Die Kanzlei Wilms unterstützt seit Jahren Mandanten, die Opfer von Online-Anlagebetrug, Kryptobetrug, Fake Brokern, Investmentbetrug, Bitcoin-Betrug oder Recovery Scams geworden sind.

Unsere Mandanten kommen aus ganz Deutschland sowie aus dem Ausland. Viele Verfahren weisen internationale Bezüge auf und betreffen grenzüberschreitende Zahlungsströme, Kryptowährungen oder komplexe Unternehmensstrukturen.

Wir analysieren unter anderem:

• Banküberweisungen
• SEPA- und SWIFT-Zahlungen
• Kreditkartenzahlungen
• Zahlungsdienstleister
• Kryptobörsen und Wallet-Transaktionen
• internationale Zahlungsstrukturen

Mehr Informationen finden Sie in unserem Blog.