Phishing Geld verloren – was tun, wenn plötzlich Geld vom Konto verschwunden ist?

Wer durch Phishing Geld verloren hat, steht häufig zunächst unter erheblichem Schock. Betroffene entdecken eine unbekannte Überweisung, mehrere Abbuchungen oder einen vollständigen Zugriff auf ihr Bankkonto durch bislang unbekannte Dritte. In anderen Fällen bemerken sie erst später, dass Kriminelle mit gestohlenen Zugangsdaten Zahlungen ausgelöst oder das Onlinebanking verändert haben. Die entscheidende Frage lautet dann: Wie lässt sich der finanzielle Schaden begrenzen und besteht ein Anspruch darauf, dass die Bank das verlorene Geld erstattet?

Phishing ist eine Betrugsmethode, bei der Täter versuchen, vertrauliche Informationen wie Zugangsdaten, PIN, TAN, Kreditkartendaten oder persönliche Identifikationsmerkmale zu erlangen. Dafür verwenden sie beispielsweise gefälschte Banknachrichten, täuschend echte Internetseiten, manipulierte E-Mails, SMS oder Telefonanrufe. Die Nachrichten erwecken häufig den Eindruck, eine Bank, ein Zahlungsdienstleister oder ein anderer vertrauenswürdiger Anbieter müsse dringend eine Sicherheitsprüfung durchführen. Tatsächlich sollen die Betroffenen dazu gebracht werden, sensible Daten preiszugeben oder eine vermeintlich notwendige Handlung vorzunehmen.

1.1 Warum Phishing-Opfer häufig erst spät erkennen, dass Geld verloren gegangen ist

Viele Phishing-Angriffe sind darauf ausgelegt, möglichst unauffällig abzulaufen. Die Täter verwenden bekannte Logos, die Gestaltung echter Bankseiten und eine Sprache, die den Eindruck einer offiziellen Mitteilung vermittelt. Teilweise werden die Opfer mit angeblichen Sicherheitsproblemen, verdächtigen Kontobewegungen oder einer bevorstehenden Kontosperrung unter Druck gesetzt. Andere Betrugsversuche bauen auf vermeintlichen Rückfragen eines Bankmitarbeiters oder auf angeblichen technischen Problemen auf.

Besonders gefährlich ist, dass die Täter nicht immer unmittelbar nach dem Diebstahl der Zugangsdaten Geld abbuchen. Sie können die erlangten Informationen zunächst sammeln, Zugänge vorbereiten oder weitere Sicherheitsabfragen durchführen. Betroffene bemerken den Angriff deshalb unter Umständen erst, wenn bereits mehrere Zahlungen ausgeführt wurden.

Auch die Art der finanziellen Schädigung kann unterschiedlich sein. Denkbar sind beispielsweise einzelne Überweisungen auf fremde Konten, mehrere aufeinanderfolgende Zahlungen, Abbuchungen über einen Zahlungsdienstleister oder unberechtigte Kreditkartentransaktionen. In manchen Fällen verändern die Täter Kontaktdaten, hinterlegen neue Geräte oder versuchen, die Sicherheitsmechanismen des Onlinebankings zu umgehen.

Wichtig ist deshalb, nicht nur den aktuell sichtbaren Kontostand zu prüfen. Betroffene sollten auch die Umsätze der vergangenen Tage und Wochen kontrollieren. Auffälligkeiten können sich in zunächst gering erscheinenden Beträgen, unbekannten Zahlungsempfängern oder ungewöhnlichen Buchungstexten zeigen. Ebenso sollten gespeicherte Empfänger, Daueraufträge und eingerichtete Zahlungsvorgänge überprüft werden.

1.2 Sofort handeln, sobald ein Phishing-Schaden erkannt wird

Wenn durch Phishing Geld verloren gegangen ist, zählt zunächst jede Stunde. Betroffene sollten unverzüglich ihre Bank über einen sicheren Kommunikationsweg kontaktieren. Dabei sollte ausdrücklich mitgeteilt werden, dass der Verdacht auf einen Phishing-Angriff besteht und möglicherweise nicht autorisierte Zahlungsvorgänge ausgeführt wurden.

Die Bank sollte aufgefordert werden, den Zugang zum Onlinebanking und gegebenenfalls betroffene Karten oder andere Zahlungsinstrumente zu sperren. Außerdem sollte sie prüfen, ob noch laufende oder vorgemerkte Zahlungen gestoppt werden können. Bei bereits ausgeführten Überweisungen kann eine Kontaktaufnahme mit der Empfängerbank erforderlich sein. Ob das Geld noch gesichert werden kann, hängt unter anderem davon ab, ob es bereits weitergeleitet oder abgehoben wurde. Eine Rückzahlung lässt sich deshalb nicht garantieren.

Betroffene sollten sich nicht darauf verlassen, dass eine Sperrung des Onlinebankings automatisch sämtliche Zugänge und Zahlungswege erfasst. Wurden beispielsweise auch Kreditkartendaten, Zugangsdaten zu einem Zahlungsdienstleister oder E-Mail-Konten offengelegt, müssen diese Bereiche gesondert abgesichert werden. Ein kompromittiertes E-Mail-Konto ist besonders problematisch, weil Täter darüber möglicherweise Passwortänderungen oder Sicherheitsbestätigungen abfangen können.

Die Kontaktaufnahme mit der Bank sollte dokumentiert werden. Sinnvoll sind insbesondere das Datum und die Uhrzeit des Gesprächs, die verwendete Kontaktmöglichkeit, der Name des Ansprechpartners, eine Vorgangsnummer sowie der Inhalt der Mitteilung. Wird eine schriftliche Bestätigung verlangt oder erteilt, sollte diese aufbewahrt werden.

1.3 Unbekannte Abbuchungen und Überweisungen richtig einordnen

Für die spätere rechtliche Bewertung ist entscheidend, wie der jeweilige Zahlungsvorgang zustande gekommen ist. Nicht jede Zahlung, die im Zusammenhang mit einem Phishing-Angriff steht, ist rechtlich automatisch eine nicht autorisierte Zahlung.

Ein wichtiger Unterschied besteht zwischen einer Zahlung, die der Täter ohne Zustimmung des Kontoinhabers selbst ausführt, und einer Überweisung, die der Betroffene aufgrund einer Täuschung eigenständig veranlasst. Im ersten Fall kann beispielsweise ein Täter gestohlene Zugangsdaten verwenden, um eine Überweisung auszulösen. Im zweiten Fall gibt das Opfer die Zahlung möglicherweise selbst frei, weil es glaubt, eine Sicherheitsmaßnahme durchzuführen oder Geld auf ein angeblich sicheres Konto zu übertragen.

Diese Unterscheidung kann erhebliche Auswirkungen auf die rechtliche Beurteilung haben. Bei einer nicht autorisierten Zahlung kommt insbesondere ein Erstattungsanspruch nach § 675u BGB in Betracht. Hat der Kontoinhaber die Überweisung dagegen selbst ausgelöst und freigegeben, muss genauer geprüft werden, welche rechtlichen Ansprüche trotz der Täuschung bestehen und ob die Bank für den entstandenen Schaden verantwortlich sein kann.

Die bloße Tatsache, dass eine PIN oder TAN verwendet wurde, beantwortet diese Frage nicht abschließend. Eine technische Authentifizierung ist nicht ohne Weiteres mit einer rechtlich wirksamen Zustimmung zu einer konkreten Zahlung gleichzusetzen. Entscheidend sind der tatsächliche Ablauf, die erteilten Informationen, die verwendeten Sicherheitsverfahren und die Frage, ob der Kontoinhaber den konkreten Zahlungsvorgang autorisiert hat.

1.4 Warum Phishing-Opfer nicht vorschnell auf eine Erstattung verzichten sollten

Nach einem Phishing-Angriff erhalten Betroffene von ihrer Bank möglicherweise die Mitteilung, die Zahlung sei ordnungsgemäß mit den persönlichen Sicherheitsmerkmalen freigegeben worden. Daraus wird teilweise abgeleitet, dass eine Erstattung ausgeschlossen sei oder der Kunde selbst für den Verlust verantwortlich sei.

Eine solche Einschätzung sollte nicht ungeprüft akzeptiert werden. Nach § 675w BGB gelten besondere Anforderungen an den Nachweis der Authentifizierung und der ordnungsgemäßen Aufzeichnung eines Zahlungsvorgangs. Allein der Umstand, dass ein Zahlungsvorgang technisch mit einem bestimmten Zahlungsinstrument oder Sicherheitsmerkmal durchgeführt wurde, beweist nicht automatisch, dass der Kontoinhaber der Zahlung zugestimmt hat oder sich in einer Weise verhalten hat, die eine Haftung begründet.

Auch der Vorwurf grober Fahrlässigkeit muss anhand der konkreten Umstände geprüft werden. Dabei kommt es beispielsweise darauf an, wie die betrügerische Nachricht gestaltet war, welche Informationen dem Betroffenen angezeigt wurden, ob die Täuschung erkennbar war und welche Handlung der Betroffene tatsächlich vorgenommen hat. Eine pauschale Ablehnung mit dem Hinweis auf eine angeblich fehlerhafte Bedienung des Onlinebankings reicht für eine abschließende rechtliche Bewertung nicht aus.

Betroffene sollten deshalb weder vorschnell eine persönliche Haftung anerkennen noch auf mögliche Ansprüche verzichten. Insbesondere Erklärungen gegenüber der Bank, Vergleichsangebote oder Vereinbarungen über eine endgültige Schadensregulierung sollten vor einer Zustimmung sorgfältig geprüft werden.

1.5 Welche Informationen unmittelbar nach dem Phishing-Angriff gesichert werden sollten

Neben der Kontaktaufnahme mit der Bank ist die Beweissicherung von großer Bedeutung. Phishing-Nachrichten und betrügerische Internetseiten können nach kurzer Zeit verschwinden. Auch Kommunikationsverläufe, Telefonnummern oder Kontaktdaten können später nicht mehr ohne Weiteres nachvollzogen werden.

Gesichert werden sollten insbesondere:

• Kontoauszüge und Umsatzübersichten mit sämtlichen verdächtigen Abbuchungen und Überweisungen.
• Zahlungsbelege mit Betrag, Datum, Uhrzeit und Empfängerdaten.
• IBAN, BIC und Name des Zahlungsempfängers, soweit diese Angaben verfügbar sind.
• Screenshots der betrügerischen Internetseite und der aufgerufenen Internetadresse.
• E-Mails, SMS, Messenger-Nachrichten und sonstige Kommunikation mit den Tätern.
• Telefonnummern, E-Mail-Adressen und Namen angeblicher Bankmitarbeiter oder Sicherheitsberater.
• Angaben dazu, welche Zugangsdaten, PINs oder TANs eingegeben oder bestätigt wurden.
• Informationen über verwendete Geräte, Browser und gegebenenfalls installierte Fernwartungssoftware.
• Schriftverkehr mit der Bank und deren Begründung für eine mögliche Ablehnung der Erstattung.

Dabei sollten Originalnachrichten möglichst nicht gelöscht oder verändert werden. Bei E-Mails kann es sinnvoll sein, die vollständigen Nachrichten einschließlich technischer Kopfzeilen aufzubewahren. Screenshots allein geben nicht immer sämtliche Informationen wieder, die für eine spätere technische oder rechtliche Prüfung erforderlich sein können.

Betroffene sollten außerdem eine zeitliche Übersicht erstellen. Darin kann festgehalten werden, wann die erste verdächtige Nachricht einging, wann Daten eingegeben wurden, wann eine Zahlung auffiel und wann die Bank informiert wurde. Eine solche Chronologie erleichtert die spätere Rekonstruktion des Geschehens und hilft dabei, Widersprüche zu vermeiden.

1.6 Welche rechtlichen Ansprüche bei verlorenem Geld durch Phishing bestehen können

Ob ein Phishing-Opfer sein verlorenes Geld von der Bank zurückfordern kann, hängt vor allem davon ab, wie die Zahlung ausgelöst wurde und ob sie rechtlich als autorisiert oder nicht autorisiert einzustufen ist.

Bei einer nicht autorisierten Zahlung ist insbesondere § 675u BGB relevant. Danach muss der Zahlungsdienstleister grundsätzlich den Zahlungsbetrag erstatten und das belastete Zahlungskonto wieder auf den Stand bringen, auf dem es sich ohne den Zahlungsvorgang befunden hätte. Die konkrete Beurteilung kann jedoch davon abhängen, ob gesetzliche Ausnahmen oder Haftungsregelungen eingreifen.

§ 675v BGB enthält Regelungen zur möglichen Haftung des Zahlers, insbesondere bei vorsätzlicher oder grob fahrlässiger Verletzung bestimmter Pflichten. Ob eine solche Pflichtverletzung vorliegt, muss anhand des tatsächlichen Sachverhalts geprüft werden. Nicht jeder Fehler bei der Bedienung des Onlinebankings und nicht jede erfolgreiche Täuschung durch professionell gestaltete Phishing-Nachrichten begründet automatisch grobe Fahrlässigkeit.

Bei selbst ausgelösten Überweisungen ist die Rechtslage häufig schwieriger. Wenn der Betroffene die Zahlung bewusst freigegeben hat, kann die Bank einwenden, dass ein autorisierter Zahlungsvorgang vorliegt. Daraus folgt jedoch nicht zwingend, dass sämtliche weiteren Ansprüche ausgeschlossen sind. Je nach Sachverhalt können auch andere rechtliche Anspruchsgrundlagen und mögliche Pflichtverletzungen zu prüfen sein.

Entscheidend ist daher eine genaue Rekonstruktion des Betrugsablaufs. Dazu gehört insbesondere die Frage, welche Informationen der Betroffene vor der Freigabe tatsächlich erhalten hat, welche Zahlung er nach seiner Vorstellung veranlassen wollte und ob die Bank ihre gesetzlichen und vertraglichen Pflichten eingehalten hat.

Fazit: Phishing-Geld verloren – schnell handeln und Ansprüche prüfen lassen

Wer durch Phishing Geld verloren hat, sollte unverzüglich die Bank informieren, betroffene Zugänge und Zahlungsinstrumente sichern und sämtliche verdächtigen Zahlungsvorgänge dokumentieren. Gleichzeitig sollten Betroffene die Kommunikation mit den Tätern, die verwendeten Internetseiten und alle verfügbaren Zahlungsnachweise aufbewahren.

Eine Erstattung durch die Bank ist nicht in jedem Fall automatisch ausgeschlossen, nur weil PIN, TAN oder andere Sicherheitsmerkmale verwendet wurden. Entscheidend ist, ob die konkrete Zahlung tatsächlich autorisiert war und ob die gesetzlichen Voraussetzungen einer möglichen Kundenhaftung erfüllt sind. Deshalb sollte eine Ablehnung der Bank nicht ungeprüft hingenommen werden. Eine sorgfältige rechtliche Prüfung kann klären, ob und auf welcher Grundlage das verlorene Geld zurückgefordert werden kann.

Phishing Geld verloren – welche Schritte sollten Betroffene unmittelbar nach dem Betrug einleiten?

Wer durch Phishing Geld verloren hat, sollte nicht abwarten, bis die Bank den Vorgang von sich aus untersucht. Nach einem erfolgreichen Angriff können Täter weiterhin Zugriff auf das Onlinebanking, das E-Mail-Konto oder andere Zahlungsdienste haben. Unter Umständen versuchen sie, weitere Überweisungen auszulösen, Kreditkartendaten zu missbrauchen oder persönliche Informationen für zusätzliche Betrugsversuche einzusetzen. Deshalb kommt es darauf an, die richtigen Maßnahmen in einer sinnvollen Reihenfolge einzuleiten.

Dabei sollten Betroffene zwei Ziele verfolgen: Einerseits muss verhindert werden, dass weiterer finanzieller Schaden entsteht. Andererseits müssen die Voraussetzungen geschaffen werden, um das bereits verlorene Geld möglicherweise zurückzufordern. Dazu gehören eine unverzügliche Information der Bank, die Sicherung der betroffenen Zugänge, die Dokumentation des Betrugs und eine nachvollziehbare Darstellung des Geschehens.

2.1 Unverzüglich die Bank über den Phishing-Angriff informieren

Der erste Ansprechpartner ist regelmäßig die kontoführende Bank beziehungsweise der Zahlungsdienstleister, über den die betroffenen Zahlungsvorgänge abgewickelt wurden. Betroffene sollten den Phishing-Verdacht ausdrücklich mitteilen und erklären, dass möglicherweise nicht autorisierte Zahlungen ausgeführt wurden.

Dabei genügt es nicht immer, lediglich zu erklären, dass man Opfer eines Betrugs geworden sei. Wichtig ist eine möglichst konkrete Schilderung. Die Bank sollte erfahren, welche Zahlungen verdächtig sind, wann diese vorgenommen wurden und ob Zugangsdaten, PIN, TAN oder andere Sicherheitsmerkmale möglicherweise in die Hände Dritter gelangt sind.

Die Mitteilung sollte möglichst über einen sicheren Kommunikationsweg erfolgen. Betroffene können die offizielle Telefonnummer ihrer Bank verwenden, die sie beispielsweise auf der Bankkarte oder auf der offiziellen Internetseite finden. Alternativ kommt ein persönlicher Besuch in einer Filiale oder ein anderer von der Bank vorgesehener sicherer Kontaktweg infrage. Telefonnummern aus der verdächtigen Nachricht oder von einer möglicherweise gefälschten Internetseite sollten dagegen nicht verwendet werden.

Bei der Kontaktaufnahme sollte ausdrücklich verlangt werden, dass die Bank prüft, ob weitere Zahlungen verhindert werden können. Noch nicht ausgeführte oder vorgemerkte Vorgänge müssen gesondert betrachtet werden. Auch wenn eine Überweisung bereits ausgeführt wurde, sollte die Bank unverzüglich über den Verdacht informiert werden, damit sie prüfen kann, ob über die Empfängerbank noch Maßnahmen zur Sicherung des Geldes möglich sind.

Die Kontaktaufnahme sollte dokumentiert werden. Dazu gehören das Datum, die Uhrzeit, der Name des Ansprechpartners, eine mögliche Vorgangsnummer und der Inhalt des Gesprächs. Bei einer schriftlichen Mitteilung sollten Betroffene eine Kopie aufbewahren. Dadurch lässt sich später nachvollziehen, wann die Bank vom Phishing-Angriff erfahren hat und welche Informationen ihr zu diesem Zeitpunkt vorlagen.

2.2 Onlinebanking, Karten und weitere Zahlungszugänge absichern

Nach einem Phishing-Angriff müssen sämtliche möglicherweise betroffenen Zugänge überprüft werden. Es reicht nicht immer aus, nur das Passwort für das Onlinebanking zu ändern. Je nach Vorgehensweise der Täter können auch andere Sicherheitsmerkmale oder Zahlungsinstrumente kompromittiert sein.

Betroffene sollten insbesondere prüfen lassen, ob folgende Bereiche betroffen sind:

• Zugangsdaten zum Onlinebanking einschließlich Benutzerkennung und Passwort.
• PIN, TAN-Verfahren und Freigaben über eine Banking-App.
• Hinterlegte Geräte und registrierte Smartphones.
• Kreditkarten- und Debitkartendaten.
• Zugänge zu Zahlungsdiensten und digitalen Geldbörsen.
• Hinterlegte Mobilfunknummern und E-Mail-Adressen.
• Gespeicherte Zahlungsempfänger und eingerichtete Daueraufträge.

Wenn die Täter möglicherweise Zugriff auf das Onlinebanking haben, sollte die Bank den betroffenen Zugang sperren und die erforderlichen Sicherheitsmaßnahmen veranlassen. Bei kompromittierten Karten kann zusätzlich eine Kartensperre erforderlich sein. Auch bereits eingerichtete Gerätefreigaben oder unbekannte Registrierungsvorgänge sollten überprüft werden.

Besondere Vorsicht ist geboten, wenn Betroffene eine Fernwartungssoftware installiert haben. Manche Täter geben sich als Bankmitarbeiter oder technische Mitarbeiter aus und fordern ihre Opfer auf, ein Programm zur angeblichen Fehlerbehebung zu installieren. Dadurch können sie unter Umständen den Bildschirm sehen oder das Gerät fernsteuern. In diesem Fall sollte das Gerät vom Internet getrennt und die Software nicht weiter verwendet werden. Die weitere Bereinigung und Absicherung sollte möglichst mit einem vertrauenswürdigen, nicht kompromittierten Gerät erfolgen.

Passwörter sollten nicht von einem Gerät aus geändert werden, bei dem ein Zugriff durch die Täter nicht ausgeschlossen werden kann. Außerdem sollten Passwörter nicht mehrfach verwendet werden. Wurde dasselbe Passwort auch für das E-Mail-Konto oder andere Dienste genutzt, müssen diese Zugänge ebenfalls abgesichert werden.

2.3 Das E-Mail-Konto und das Mobiltelefon in die Sicherheitsprüfung einbeziehen

Ein Phishing-Angriff beschränkt sich nicht immer auf das Bankkonto. Häufig versuchen Täter, weitere digitale Zugänge zu übernehmen. Besonders relevant sind das E-Mail-Konto und das Mobiltelefon, weil darüber Passwortänderungen, Sicherheitsbestätigungen oder Nachrichten der Bank empfangen werden können.

Wenn Kriminelle Zugriff auf das E-Mail-Konto erhalten, können sie möglicherweise Nachrichten löschen, Sicherheitsmitteilungen abfangen oder Passwörter anderer Dienste zurücksetzen. Betroffene sollten deshalb prüfen, ob unbekannte Geräte angemeldet sind, ob Weiterleitungsregeln eingerichtet wurden und ob Wiederherstellungsadressen oder Telefonnummern verändert wurden.

Auch das Mobiltelefon sollte überprüft werden. Verdächtige Apps, unbekannte Geräteverbindungen oder ungewöhnliche Einstellungen können Hinweise auf eine Kompromittierung sein. Wurde eine neue eSIM eingerichtet oder besteht der Verdacht, dass die Mobilfunknummer übernommen wurde, sollte der Mobilfunkanbieter über einen offiziellen Kontaktweg informiert werden.

Wer eine betrügerische App installiert oder einem angeblichen Bankmitarbeiter Fernzugriff gewährt hat, sollte dies der Bank ausdrücklich mitteilen. Diese Information kann für die Beurteilung des Schadens und für die spätere rechtliche Bewertung wichtig sein. Zugleich sollte dokumentiert werden, welche Software installiert wurde und wann der Fernzugriff stattgefunden hat.

2.4 Verdächtige Zahlungsvorgänge vollständig erfassen

Nach einem Phishing-Angriff sollten Betroffene nicht nur die erste auffällige Abbuchung dokumentieren. Es ist wichtig, sämtliche möglicherweise betroffenen Zahlungsvorgänge zu erfassen. Täter können mehrere Transaktionen in kurzer Zeit ausführen oder zunächst kleinere Beträge abbuchen, um den Zugang zu testen.

Die Kontoauszüge sollten deshalb sorgfältig geprüft werden. Auffällig können unbekannte Empfänger, ungewöhnliche Beträge, Zahlungen ins Ausland oder Buchungen über Zahlungsdienstleister sein. Auch Änderungen an gespeicherten Empfängern, neu eingerichtete Daueraufträge oder unbekannte Lastschriften sollten berücksichtigt werden.

Für jede verdächtige Zahlung sollten möglichst folgende Angaben festgehalten werden:

• Buchungsdatum und gegebenenfalls Wertstellungsdatum.
• Betrag und Währung.
• Name des Zahlungsempfängers.
• IBAN und BIC, soweit verfügbar.
• Verwendungszweck und Buchungstext.
• Art des Zahlungsvorgangs.
• Zeitpunkt, zu dem die Zahlung entdeckt wurde.
• Zeitpunkt der Mitteilung an die Bank.

Bei Kreditkartenzahlungen sollten zusätzlich die Transaktionsreferenz, der Händlername und die letzten Ziffern der betroffenen Karte dokumentiert werden. Bei Zahlungen über Zahlungsdienstleister sind auch die dort verfügbaren Transaktionsdaten wichtig.

Diese Übersicht hilft nicht nur bei der Kommunikation mit der Bank. Sie ermöglicht auch eine rechtliche Einordnung der einzelnen Vorgänge. Insbesondere muss geprüft werden, ob die Zahlungen vom Kontoinhaber selbst veranlasst wurden oder ob Dritte die Zahlung ohne seine Zustimmung ausgelöst haben.

2.5 Bereits ausgeführte Überweisungen: Empfängerbank und Zahlungsweg prüfen lassen

Wenn durch Phishing eine Überweisung ausgeführt wurde, sollten Betroffene die Bank ausdrücklich auffordern, den Zahlungsvorgang und den weiteren Zahlungsweg zu prüfen. Bei einer bereits ausgeführten Überweisung kann die kontoführende Bank versuchen, über die Empfängerbank eine Sicherung oder Rückzahlung anzustoßen. Ob dies gelingt, hängt jedoch wesentlich davon ab, ob das Geld noch auf dem Empfängerkonto vorhanden ist und welche weiteren Schritte bereits erfolgt sind.

Die Bank sollte deshalb möglichst frühzeitig über die verdächtige Überweisung informiert werden. Betroffene sollten sich dabei nicht mit einer allgemeinen Auskunft zufriedengeben, sondern um eine nachvollziehbare Dokumentation der eingeleiteten Maßnahmen bitten. Dazu kann beispielsweise gehören, wann die Empfängerbank kontaktiert wurde und welche Rückmeldung vorliegt.

Bei mehreren Zahlungsvorgängen sollten diese einzeln aufgeführt werden. Es ist möglich, dass unterschiedliche Empfängerkonten oder Zahlungsdienstleister beteiligt sind. Eine pauschale Meldung ohne konkrete Angaben kann die Bearbeitung erschweren.

Wichtig ist außerdem, zwischen einer bereits ausgeführten Zahlung und einer lediglich vorgemerkten Transaktion zu unterscheiden. Bei noch nicht abgeschlossenen Vorgängen können andere Handlungsmöglichkeiten bestehen als bei einer endgültig gebuchten Überweisung. Betroffene sollten daher aktuelle Umsatzinformationen sichern und die Bank um eine Prüfung des jeweiligen Status bitten.

2.6 Keine weiteren Zahlungen an angebliche Helfer leisten

Nach einem Phishing-Schaden werden Betroffene nicht selten erneut kontaktiert. Die Täter oder weitere Beteiligte behaupten dann, das verlorene Geld könne zurückgeholt werden. Dafür müsse jedoch zunächst eine Gebühr, eine Sicherheitsleistung, eine Steuer oder eine angebliche Freischaltungszahlung geleistet werden.

Solche Kontaktaufnahmen können Teil eines sogenannten Recovery Scams sein. Dabei werden Menschen, die bereits Geld verloren haben, ein zweites Mal getäuscht. Die angeblichen Rückholspezialisten geben sich beispielsweise als Rechtsberater, Ermittler, Finanzdienstleister oder Mitarbeiter einer Kryptoplattform aus. Sie versprechen eine schnelle Rückzahlung und verlangen dafür weitere Überweisungen oder sensible Zugangsdaten.

Betroffene sollten keine weiteren Zahlungen leisten, nur weil eine Rückholung des Geldes versprochen wird. Auch die Herausgabe von Bankzugängen, TANs, Passwörtern oder Fernzugriff auf das eigene Gerät ist unbedingt zu vermeiden. Seriöse rechtliche Unterstützung setzt keine Weitergabe persönlicher Bankzugänge voraus.

Wenn eine angebliche Hilfsperson bereits kontaktiert hat, sollten auch diese Nachrichten, Telefonnummern, E-Mail-Adressen und Zahlungsaufforderungen gesichert werden. Sie können für die Aufarbeitung des gesamten Betrugsablaufs relevant sein.

2.7 Den Phishing-Ablauf chronologisch dokumentieren

Für die spätere Prüfung der Erstattungsansprüche ist es wichtig, den gesamten Ablauf möglichst genau festzuhalten. Dabei sollte nicht nur das Ergebnis, also der finanzielle Verlust, beschrieben werden. Entscheidend ist auch, wie die Täter vorgegangen sind und welche Handlungen der Betroffene vorgenommen hat.

Eine Chronologie kann beispielsweise folgende Punkte enthalten: 1. Wann und über welchen Kommunikationsweg ging die erste Nachricht ein? 2. Welchen Inhalt hatte die Nachricht und welche Handlung wurde verlangt? 3. Welche Internetseite wurde aufgerufen? 4. Welche persönlichen oder finanziellen Daten wurden eingegeben? 5. Wurden PIN, TAN oder PushTAN-Freigaben verwendet? 6. Wurde eine Zahlung selbst ausgelöst oder lediglich eine vermeintliche Sicherheitsmaßnahme bestätigt? 7. Wann wurden die ersten verdächtigen Kontobewegungen festgestellt? 8. Wann wurde die Bank informiert und welche Maßnahmen wurden eingeleitet? Die Darstellung sollte sachlich und möglichst vollständig sein. Unsicherheiten dürfen kenntlich gemacht werden. Es ist besser, einen zeitlichen Ablauf als ungefähre Erinnerung zu kennzeichnen, als nachträglich vermeintlich genaue Angaben zu machen, die sich nicht mehr belegen lassen.

Auch die Frage, was auf dem Bildschirm während einer Freigabe angezeigt wurde, kann entscheidend sein. Wurde ein konkreter Empfänger genannt? War ein Betrag sichtbar? Wurde ausdrücklich auf eine Überweisung hingewiesen oder wurde die Handlung als Sicherheitsprüfung dargestellt? Solche Einzelheiten können später eine wichtige Rolle spielen, wenn die Bank behauptet, der Kontoinhaber habe die Zahlung bewusst autorisiert.

2.8 Die Bank schriftlich über die verdächtigen Zahlungen informieren und Erstattung verlangen

Nach der ersten telefonischen Kontaktaufnahme sollte der Sachverhalt zusätzlich schriftlich gegenüber der Bank dargestellt werden. Dabei sollten die betroffenen Zahlungsvorgänge konkret bezeichnet und die Bank zur Prüfung und Erstattung aufgefordert werden, soweit es sich um nicht autorisierte Zahlungen handelt.

Eine pauschale Formulierung wie „Ich bin Opfer von Phishing geworden“ ist dafür häufig zu ungenau. Sinnvoller ist eine strukturierte Darstellung mit den jeweiligen Buchungsdaten, Beträgen, Empfängern und dem Zeitpunkt, zu dem der Betrug entdeckt wurde. Außerdem sollte klargestellt werden, ob der Betroffene die Zahlungen selbst freigegeben hat oder ob ihm die Transaktionen vollständig unbekannt sind.

Bei nicht autorisierten Zahlungsvorgängen kommt insbesondere § 675u BGB in Betracht. Danach hat der Zahlungsdienstleister grundsätzlich den Zahlungsbetrag zu erstatten und das Zahlungskonto wieder auf den Stand zu bringen, auf dem es sich ohne die nicht autorisierte Zahlung befunden hätte. Ob die Voraussetzungen vorliegen, muss allerdings für jeden relevanten Zahlungsvorgang anhand der Umstände geprüft werden.

Die Bank kann im Rahmen ihrer Prüfung weitere Informationen anfordern. Betroffene sollten die angeforderten Unterlagen geordnet zur Verfügung stellen, dabei aber darauf achten, keine Originalbelege aus der Hand zu geben, ohne zuvor Kopien angefertigt zu haben. Bei umfangreichen Unterlagen empfiehlt sich eine nachvollziehbare Anlagenübersicht.

Eine Ablehnung sollte ebenfalls schriftlich verlangt werden. Die Bank sollte erklären, auf welche Tatsachen und rechtlichen Erwägungen sie ihre Entscheidung stützt. Insbesondere sollte nachvollziehbar sein, ob sie von einer Autorisierung ausgeht, eine grob fahrlässige Pflichtverletzung behauptet oder aus anderen Gründen eine Erstattung ablehnt.

2.9 Gesetzliche Fristen beachten und nicht unnötig Zeit verlieren

Wer durch Phishing Geld verloren hat, sollte die Bank unverzüglich informieren. Für nicht autorisierte oder fehlerhaft ausgeführte Zahlungsvorgänge ist insbesondere § 676b BGB relevant. Danach muss der Zahlungsdienstnutzer den betreffenden Vorgang grundsätzlich unverzüglich anzeigen, sobald er ihn bemerkt. Daneben bestehen gesetzliche zeitliche Grenzen für die Anzeige.

Betroffene sollten deshalb nicht darauf warten, bis sämtliche Einzelheiten des Betrugs aufgeklärt sind. Eine erste Mitteilung an die Bank kann bereits erfolgen, sobald ein konkreter Verdacht besteht. Weitere Informationen und Belege können anschließend nachgereicht werden.

Auch wenn der Betrug bereits einige Wochen oder Monate zurückliegt, sollte die Möglichkeit einer Erstattung nicht vorschnell aufgegeben werden. Entscheidend sind unter anderem der Zeitpunkt der Kenntnisnahme, die Art des Zahlungsvorgangs und die Frage, wann die Bank informiert wurde. Die rechtlichen Voraussetzungen müssen im Einzelfall geprüft werden.

Besonders wichtig ist die Unterscheidung zwischen einer nicht autorisierten Zahlung und einer vom Betroffenen selbst freigegebenen Überweisung. Bei einer nicht autorisierten Zahlung kann ein Anspruch nach § 675u BGB bestehen. Bei einer selbst ausgelösten Zahlung ist die rechtliche Ausgangslage anders. Deshalb sollte bereits bei der ersten Mitteilung an die Bank möglichst präzise beschrieben werden, was tatsächlich geschehen ist.

Fazit: Nach einem Phishing-Schaden sofort handeln und den gesamten Vorgang sichern

Wer durch Phishing Geld verloren hat, sollte unverzüglich die Bank informieren, betroffene Zugänge sperren lassen und sämtliche verdächtigen Zahlungsvorgänge erfassen. Zusätzlich müssen E-Mail-Konten, Mobiltelefone, Kreditkarten und andere möglicherweise kompromittierte Zahlungswege überprüft werden. Weitere Zahlungen an angebliche Rückholspezialisten sollten unterbleiben.

Für die spätere Rückforderung ist eine vollständige Dokumentation besonders wichtig. Kontoauszüge, Zahlungsbelege, Phishing-Nachrichten, Screenshots und die Kommunikation mit der Bank können entscheidend sein. Außerdem muss geklärt werden, ob die Zahlungen ohne Zustimmung des Kontoinhabers ausgeführt oder von ihm selbst aufgrund einer Täuschung freigegeben wurden. Von dieser Unterscheidung hängt maßgeblich ab, welche rechtlichen Ansprüche gegen die Bank bestehen können.

Phishing Geld verloren – wann muss die Bank den finanziellen Schaden erstatten?

Wer durch Phishing Geld verloren hat, erwartet häufig, dass die Bank den entstandenen Schaden ausgleicht. Schließlich wurden die Kontozugangsdaten möglicherweise durch eine gefälschte Nachricht, eine manipulierte Internetseite oder einen täuschend echten Telefonanruf erlangt. Trotzdem lehnen Banken Erstattungsforderungen immer wieder mit dem Hinweis ab, die Zahlungen seien ordnungsgemäß mit den persönlichen Sicherheitsmerkmalen freigegeben worden. Für Betroffene stellt sich deshalb die entscheidende Frage, ob die Bank tatsächlich berechtigt ist, die Rückzahlung zu verweigern.

Die rechtliche Beurteilung richtet sich insbesondere danach, ob eine Zahlung autorisiert oder nicht autorisiert war. Diese Unterscheidung ist bei Phishing-Fällen von zentraler Bedeutung. Wurden Überweisungen ohne Zustimmung des Kontoinhabers durch unbekannte Täter ausgelöst, können Ansprüche nach § 675u BGB bestehen. Hat der Betroffene dagegen selbst eine Überweisung freigegeben, weil er durch die Täter über den tatsächlichen Zweck der Zahlung getäuscht wurde, muss die Rechtslage gesondert geprüft werden.

Eine pauschale Aussage, dass Banken jeden Phishing-Schaden erstatten müssen, wäre daher ebenso unzutreffend wie die Behauptung, dass Betroffene bei Verwendung ihrer PIN oder TAN grundsätzlich selbst für den Verlust verantwortlich sind.

3.1 Der Erstattungsanspruch nach § 675u BGB

Eine zentrale Vorschrift für die Rückforderung von durch Phishing verlorenem Geld ist § 675u BGB. Die Regelung betrifft nicht autorisierte Zahlungsvorgänge. Hat ein Zahlungsdienstleister eine Zahlung ohne wirksame Zustimmung des Zahlers ausgeführt, muss er den Betrag grundsätzlich unverzüglich erstatten und das Zahlungskonto wieder auf den Stand bringen, auf dem es sich ohne die Belastung befunden hätte.

Für Phishing-Opfer bedeutet das: Wenn ein Täter beispielsweise gestohlene Zugangsdaten verwendet und eigenständig eine Überweisung vom Konto des Geschädigten auslöst, kann ein Erstattungsanspruch gegen die kontoführende Bank bestehen. Voraussetzung ist, dass der konkrete Zahlungsvorgang tatsächlich nicht autorisiert war und keine gesetzlichen Ausnahmen oder Haftungsregelungen entgegenstehen.

Dabei kommt es nicht allein darauf an, ob die Täter technisch auf das Onlinebanking zugreifen konnten. Entscheidend ist vielmehr, ob der Kontoinhaber der konkreten Zahlung zugestimmt hat. Eine Zustimmung kann nicht ohne Weiteres allein daraus abgeleitet werden, dass eine Überweisung mit einer PIN, einer TAN oder einer Banking-App technisch bestätigt wurde.

Der Erstattungsanspruch nach § 675u BGB ist deshalb für viele Betroffene ein wichtiger rechtlicher Ansatzpunkt. Er muss jedoch anhand des konkreten Ablaufs geprüft werden. Insbesondere ist zu klären, welche Handlung der Kontoinhaber vorgenommen hat und ob diese Handlung tatsächlich als Zustimmung zu der streitigen Zahlung verstanden werden kann.

3.2 Was bedeutet eine nicht autorisierte Zahlung beim Phishing?

Eine Zahlung ist nicht autorisiert, wenn der Kontoinhaber ihr nicht zugestimmt hat. Im normalen Zahlungsverkehr erfolgt die Zustimmung beispielsweise durch eine Überweisung, die der Kunde bewusst in Auftrag gibt und entsprechend den vereinbarten Verfahren freigibt.

Beim Phishing kann die Situation jedoch anders aussehen. Täter verschaffen sich möglicherweise Zugangsdaten und führen anschließend selbst Zahlungen aus. Der Kontoinhaber hat dann zwar unter Umständen seine Zugangsdaten eingegeben oder eine andere Handlung vorgenommen, aber nicht zwingend der späteren Überweisung zugestimmt.

Ein typisches Beispiel ist eine gefälschte Nachricht, die den Eindruck erweckt, das Bankkonto müsse aus Sicherheitsgründen überprüft werden. Der Betroffene öffnet einen Link und gibt seine Zugangsdaten auf einer nachgebildeten Bankseite ein. Anschließend verwenden die Täter diese Informationen, um eine Überweisung auf ein fremdes Konto vorzunehmen. Hat der Betroffene diese konkrete Zahlung weder veranlasst noch freigegeben, spricht dies für einen nicht autorisierten Zahlungsvorgang.

Ähnlich kann es sich verhalten, wenn Täter über einen bereits kompromittierten Zugang weitere Zahlungsvorgänge auslösen oder Sicherheitsverfahren manipulieren. Entscheidend bleibt, ob eine Zustimmung des Kontoinhabers zu der konkreten Transaktion vorlag.

Anders kann die rechtliche Bewertung ausfallen, wenn der Betroffene selbst eine Überweisung in seinem Onlinebanking eingibt und freigibt. Auch wenn er dabei durch eine Täuschung zu der Zahlung veranlasst wurde, kann ein autorisierter Zahlungsvorgang vorliegen. Die Täuschung führt nicht automatisch dazu, dass die Zahlung gegenüber der Bank als nicht autorisiert gilt.

3.3 Warum PIN, TAN und PushTAN allein keine abschließende Haftungsentscheidung ermöglichen

Banken verweisen bei der Ablehnung von Erstattungsforderungen häufig darauf, dass die streitige Zahlung mit den persönlichen Sicherheitsmerkmalen des Kunden durchgeführt wurde. Genannt werden beispielsweise die richtige PIN, eine TAN oder eine Bestätigung über die Banking-App.

Solche Angaben können für die technische Aufklärung des Vorgangs wichtig sein. Sie beantworten aber nicht automatisch die rechtliche Frage, ob der Kontoinhaber die Zahlung autorisiert hat.

Hier ist insbesondere § 675w BGB von Bedeutung. Die Vorschrift regelt die Nachweispflichten des Zahlungsdienstleisters. Die Bank muss im Streitfall unter anderem darlegen und nachweisen, dass der Zahlungsvorgang authentifiziert und ordnungsgemäß aufgezeichnet wurde und nicht durch eine technische Störung oder einen anderen Mangel beeinträchtigt war.

Darüber hinaus reicht der bloße Nachweis, dass ein Zahlungsinstrument verwendet wurde, nicht ohne Weiteres aus, um die Zustimmung des Kunden oder eine vorsätzliche beziehungsweise grob fahrlässige Pflichtverletzung zu beweisen.

Für Phishing-Opfer ist diese Unterscheidung besonders wichtig. Eine TAN kann beispielsweise von einem Täter verwendet worden sein, nachdem dieser die Zugangsdaten durch eine gefälschte Internetseite erlangt hat. Ebenso kann ein Betroffener eine PushTAN-Freigabe erteilt haben, weil ihm der Vorgang als notwendige Sicherheitsprüfung dargestellt wurde. In beiden Fällen muss der tatsächliche Ablauf untersucht werden.

Die Bank kann sich daher nicht in jedem Fall allein auf die technische Verwendung der Sicherheitsmerkmale beschränken. Es muss geklärt werden, welche Informationen dem Betroffenen angezeigt wurden, welche Handlung er vorgenommen hat und ob er tatsächlich der konkreten Zahlung zugestimmt hat.

3.4 Wann kann die Bank trotz eines Phishing-Angriffs die Erstattung verweigern?

Ein Erstattungsanspruch nach § 675u BGB bedeutet nicht, dass die Bank unter allen Umständen zahlen muss. Die gesetzlichen Regelungen sehen unter bestimmten Voraussetzungen eine Haftung des Zahlungsdienstnutzers vor. Insbesondere § 675v BGB kann relevant werden, wenn der Kunde bestimmte Pflichten im Umgang mit seinen Zahlungsinstrumenten vorsätzlich oder grob fahrlässig verletzt hat.

Grobe Fahrlässigkeit setzt dabei mehr voraus als einen gewöhnlichen Fehler oder eine unachtsame Handlung. Entscheidend ist, ob der Betroffene die erforderliche Sorgfalt in besonders schwerem Maße außer Acht gelassen hat. Die Beurteilung hängt von den konkreten Umständen ab.

Zu berücksichtigen sind beispielsweise:

• Wie professionell war die gefälschte Nachricht gestaltet?
• Wurde die Nachricht tatsächlich im Namen der eigenen Bank versendet?
• War die aufgerufene Internetseite für einen durchschnittlichen Nutzer als Fälschung erkennbar?
• Welche Warnhinweise wurden angezeigt?
• Wurde der Betroffene ausdrücklich auf den Zahlungsempfänger und den Betrag hingewiesen?
• Hat er eine TAN für eine Zahlung eingegeben, obwohl ihm ein anderer Zweck genannt wurde?
• Wurde er durch einen angeblichen Bankmitarbeiter telefonisch unter Druck gesetzt?
• Welche Informationen waren während der Freigabe auf dem Bildschirm sichtbar?

Eine Bank darf deshalb nicht allein aus dem Umstand, dass der Kunde auf eine Phishing-Nachricht reagiert hat, automatisch auf grobe Fahrlässigkeit schließen. Auch die Tatsache, dass eine TAN eingegeben oder eine PushTAN-Freigabe bestätigt wurde, ersetzt keine umfassende Prüfung des Sachverhalts.

Umgekehrt kann eine Haftung des Kunden durchaus in Betracht kommen, wenn er beispielsweise eindeutige Warnhinweise missachtet oder Sicherheitsmerkmale trotz klar erkennbarer Gefahren an unbekannte Personen weitergegeben hat. Ob eine solche Pflichtverletzung vorliegt und welche Rechtsfolgen sie hat, muss jedoch im Einzelfall geprüft werden.

3.5 Welche Rolle spielt die Beweislast im Streit mit der Bank?

Bei der rechtlichen Auseinandersetzung über einen Phishing-Schaden spielt die Beweislast eine wesentliche Rolle. Betroffene sollten deshalb wissen, dass nicht jede Behauptung der Bank ohne Weiteres als bewiesen angesehen werden kann.

Nach § 675w BGB muss der Zahlungsdienstleister die gesetzlich vorgesehenen Nachweise zur Authentifizierung und ordnungsgemäßen Ausführung des Zahlungsvorgangs erbringen. Die bloße technische Protokollierung einer Transaktion genügt nicht automatisch, um eine Zustimmung des Kunden oder eine grob fahrlässige Pflichtverletzung nachzuweisen.

Das bedeutet allerdings nicht, dass der Betroffene keinerlei Mitwirkungspflichten hat. Er sollte den Sachverhalt möglichst genau schildern und die ihm verfügbaren Informationen zur Verfügung stellen. Dazu gehören insbesondere Kontoauszüge, Zahlungsbelege, Nachrichten der Täter, Screenshots und Angaben zum Ablauf der Freigabe.

Besonders wichtig ist die Unterscheidung zwischen der technischen Authentifizierung und der rechtlichen Autorisierung. Die technische Authentifizierung beschreibt, ob ein Zahlungsvorgang mit den vereinbarten Sicherheitsverfahren durchgeführt wurde. Die Autorisierung betrifft dagegen die Frage, ob der Zahler dem konkreten Vorgang zugestimmt hat.

Eine Bank kann deshalb nicht allein aus einem technischen Protokoll ableiten, dass der Kunde eine bestimmte Überweisung bewusst veranlasst hat. Umgekehrt kann die konkrete Darstellung des Betroffenen entscheidend dafür sein, den tatsächlichen Ablauf nachvollziehbar zu machen.

3.6 Welche Bedeutung hat die unverzügliche Meldung des Phishing-Schadens?

Betroffene sollten ihre Bank informieren, sobald sie feststellen, dass möglicherweise unberechtigte Zahlungen ausgeführt wurden. Dabei ist insbesondere § 676b BGB zu beachten. Die Vorschrift enthält Regelungen zur Anzeige nicht autorisierter oder fehlerhaft ausgeführter Zahlungsvorgänge.

Grundsätzlich muss der Zahlungsdienstnutzer den betreffenden Vorgang unverzüglich anzeigen, sobald er ihn bemerkt. Daneben sieht das Gesetz eine zeitliche Höchstgrenze für die Anzeige vor. Unter den gesetzlichen Voraussetzungen können Ansprüche ausgeschlossen sein, wenn die erforderliche Mitteilung nicht rechtzeitig erfolgt.

Für die Praxis bedeutet das: Wer eine unbekannte Abbuchung entdeckt, sollte nicht zunächst wochenlang versuchen, den Betrugsablauf selbst vollständig aufzuklären. Die Bank sollte frühzeitig informiert werden. Weitere Unterlagen können anschließend nachgereicht werden.

Die Mitteilung sollte möglichst konkret sein. Betroffene sollten die betroffenen Transaktionen bezeichnen und ausdrücklich erklären, wenn sie diese nicht autorisiert haben. Falls sie eine Zahlung selbst freigegeben haben, sollte auch dieser Umstand wahrheitsgemäß dargestellt werden. Die rechtliche Einordnung hängt vom tatsächlichen Ablauf ab und sollte nicht durch ungenaue Angaben erschwert werden.

Auch eine verspätete Entdeckung des Betrugs sollte nicht dazu führen, dass Betroffene ihre Ansprüche ungeprüft aufgeben. Entscheidend ist unter anderem, wann sie Kenntnis von der Zahlung erlangt haben und welche Umstände im Einzelfall vorliegen.

3.7 Was können Betroffene tun, wenn die Bank die Erstattung ablehnt?

Lehnt die Bank die Erstattung des verlorenen Geldes ab, sollten Phishing-Opfer zunächst eine nachvollziehbare schriftliche Begründung verlangen. Dabei sollte geklärt werden, ob die Bank von einer autorisierten Zahlung ausgeht, eine grob fahrlässige Pflichtverletzung behauptet oder sich auf andere rechtliche Gründe beruft.

Eine pauschale Erklärung, die Zahlung sei mit PIN und TAN freigegeben worden, beantwortet die rechtlichen Fragen nicht vollständig. Betroffene sollten deshalb prüfen lassen, ob die Bank ihre Nachweispflichten erfüllt hat und ob die behauptete Zustimmung tatsächlich vorlag.

Die weitere Vorgehensweise hängt davon ab, wie der Betrug abgelaufen ist. Wurden Zahlungen ohne Zustimmung des Kontoinhabers vorgenommen, kann ein Anspruch aus § 675u BGB bestehen. Behauptet die Bank eine grob fahrlässige Pflichtverletzung, müssen die konkreten Umstände anhand der gesetzlichen Voraussetzungen des § 675v BGB bewertet werden.

Bei selbst ausgelösten Überweisungen ist eine gesonderte Prüfung erforderlich. Hier kann der unmittelbare Erstattungsanspruch nach § 675u BGB ausscheiden, wenn die Zahlung gegenüber der Bank tatsächlich autorisiert wurde. Dennoch können abhängig vom Sachverhalt weitere rechtliche Ansprüche zu untersuchen sein.

Betroffene sollten eine Ablehnung daher nicht allein deshalb akzeptieren, weil die Bank auf ihre internen Sicherheitsprotokolle verweist. Eine sachgerechte Prüfung muss den gesamten Kommunikations- und Zahlungsvorgang berücksichtigen.

3.8 Warum der konkrete Phishing-Ablauf für die Erstattung entscheidend ist

Zwei Phishing-Fälle können auf den ersten Blick ähnlich erscheinen und rechtlich dennoch unterschiedlich zu beurteilen sein. In beiden Fällen kann ein Betroffener eine gefälschte Nachricht erhalten und Geld verlieren. Entscheidend ist jedoch, welche Handlungen anschließend vorgenommen wurden.

Im ersten Fall gibt der Betroffene seine Zugangsdaten auf einer gefälschten Bankseite ein. Die Täter verwenden diese Daten später selbstständig, um Geld auf ein fremdes Konto zu überweisen. Der Kontoinhaber hat die konkrete Überweisung möglicherweise nie gesehen und ihr nicht zugestimmt. Hier ist insbesondere zu prüfen, ob eine nicht autorisierte Zahlung im Sinne des § 675u BGB vorliegt.

Im zweiten Fall erhält der Betroffene einen Anruf von einem angeblichen Bankmitarbeiter. Dieser behauptet, eine verdächtige Kontobewegung müsse durch eine Sicherheitsbestätigung verhindert werden. Tatsächlich wird dem Betroffenen eine Überweisung angezeigt, die er selbst über seine Banking-App bestätigt. Hier muss genauer untersucht werden, ob die Zahlung gegenüber der Bank autorisiert wurde und welche rechtlichen Ansprüche trotz der Täuschung bestehen.

Ein weiterer Fall liegt vor, wenn Täter durch Fernwartungssoftware Zugriff auf das Gerät des Betroffenen erhalten und anschließend selbst Zahlungsvorgänge ausführen. Auch dann ist entscheidend, ob der Kontoinhaber den konkreten Zahlungen zugestimmt hat oder ob die Täter ohne seine Zustimmung gehandelt haben.

Die rechtliche Bewertung darf deshalb nicht allein an der Bezeichnung „Phishing“ ausgerichtet werden. Maßgeblich ist der tatsächliche Ablauf. Je genauer dieser dokumentiert ist, desto besser lässt sich beurteilen, ob und in welchem Umfang eine Erstattung verlangt werden kann.

Fazit: Phishing-Geld verloren – die Bank muss den Einzelfall rechtlich prüfen

Wer durch Phishing Geld verloren hat, kann unter bestimmten Voraussetzungen einen Erstattungsanspruch gegen seine Bank haben. Insbesondere bei nicht autorisierten Zahlungsvorgängen ist § 675u BGB von zentraler Bedeutung. Die Verwendung von PIN, TAN oder PushTAN beweist für sich genommen nicht automatisch, dass der Kontoinhaber der konkreten Zahlung zugestimmt hat.

Gleichzeitig besteht kein uneingeschränkter Erstattungsanspruch für jeden Phishing-Schaden. Entscheidend sind die tatsächliche Autorisierung, mögliche Pflichtverletzungen und die gesetzlichen Haftungsregelungen. Betroffene sollten deshalb den Betrugsablauf vollständig dokumentieren, die Bank unverzüglich informieren und eine ablehnende Entscheidung nicht ungeprüft hinnehmen. Eine rechtliche Prüfung kann klären, ob die Voraussetzungen für eine Rückforderung des verlorenen Geldes vorliegen.

Phishing Geld verloren – welche Bedeutung haben PIN, TAN und PushTAN für die Haftung?

Wer durch Phishing Geld verloren hat, erhält von seiner Bank häufig eine ähnliche Begründung: Die fraglichen Überweisungen seien mit den persönlichen Zugangsdaten und dem vereinbarten Sicherheitsverfahren durchgeführt worden. Deshalb müsse die Bank davon ausgehen, dass der Kontoinhaber die Zahlungen selbst autorisiert habe. Für Betroffene ist eine solche Argumentation oft schwer nachvollziehbar. Schließlich haben sie möglicherweise weder eine Überweisung veranlasst noch bewusst Geld an einen unbekannten Empfänger übertragen.

Die Verwendung einer PIN, einer TAN oder einer PushTAN-Freigabe ist bei der rechtlichen Bewertung eines Phishing-Schadens zwar relevant. Sie beantwortet aber nicht automatisch die Frage, ob eine Zahlung tatsächlich vom Kontoinhaber autorisiert wurde. Ebenso wenig steht allein aufgrund einer technischen Freigabe fest, dass der Betroffene grob fahrlässig gehandelt hat und deshalb für den gesamten finanziellen Verlust einstehen muss.

Entscheidend ist vielmehr, wie die Sicherheitsmerkmale eingesetzt wurden, welche Informationen dem Betroffenen angezeigt wurden und ob er der konkreten Zahlung tatsächlich zugestimmt hat. Gerade bei professionell vorbereiteten Phishing-Angriffen muss deshalb genau untersucht werden, was vor und während der Transaktion geschehen ist.

4.1 Warum die Verwendung einer PIN nicht automatisch eine Zustimmung zur Überweisung bedeutet

Die persönliche Identifikationsnummer, kurz PIN, dient dazu, den Zugang zu einem Bankkonto abzusichern. Sie soll verhindern, dass unberechtigte Personen ohne Weiteres auf das Onlinebanking zugreifen können. Wird die PIN jedoch durch eine gefälschte Internetseite oder eine betrügerische Nachricht abgefangen, können Täter versuchen, damit Zugang zum Konto zu erhalten.

Ein typischer Phishing-Angriff beginnt beispielsweise mit einer SMS oder E-Mail, die angeblich von der Bank stammt. Darin wird der Empfänger aufgefordert, seine Zugangsdaten zu bestätigen, weil andernfalls eine Kontosperrung oder eine Einschränkung des Zahlungsverkehrs drohe. Der Betroffene folgt dem Link und gibt seine PIN auf einer Internetseite ein, die der echten Bankseite täuschend ähnlich sieht.

Die Täter können diese Daten anschließend verwenden, um sich Zugang zum Onlinebanking zu verschaffen. Wenn sie danach selbstständig eine Überweisung auslösen, bedeutet die vorherige Eingabe der PIN nicht automatisch, dass der Kontoinhaber dieser konkreten Zahlung zugestimmt hat.

Für die rechtliche Beurteilung muss deshalb zwischen der Eingabe von Zugangsdaten und der Autorisierung einer bestimmten Zahlung unterschieden werden. Die Zustimmung zu einem Zahlungsvorgang setzt voraus, dass sich die Zustimmung auf die konkrete Transaktion bezieht. Eine allgemeine Anmeldung im Onlinebanking ist nicht mit einer Zustimmung zu beliebigen späteren Überweisungen gleichzusetzen.

4.2 Welche Rolle spielt die TAN bei einem Phishing-Schaden?

Die Transaktionsnummer, kurz TAN, dient bei vielen Banken als zusätzliches Sicherheitsmerkmal. Sie wird beispielsweise verwendet, um eine Überweisung freizugeben oder bestimmte Änderungen im Onlinebanking zu bestätigen. Täter versuchen deshalb häufig, auch an diese Informationen zu gelangen.

Eine verbreitete Methode besteht darin, dem Opfer auf einer gefälschten Internetseite eine angebliche Sicherheitsprüfung vorzutäuschen. Der Betroffene soll eine TAN eingeben, die angeblich zur Bestätigung seiner Identität oder zur Verhinderung einer verdächtigen Kontobewegung benötigt wird. Tatsächlich kann die TAN von den Tätern dazu verwendet werden, eine Überweisung auszulösen.

Für die rechtliche Bewertung ist entscheidend, welchen Vorgang die TAN tatsächlich freigegeben hat und was dem Betroffenen dabei angezeigt wurde. Wurde die TAN beispielsweise für eine Überweisung an einen unbekannten Empfänger verwendet, obwohl der Betroffene glaubte, lediglich eine Sicherheitsprüfung vorzunehmen, muss der gesamte Ablauf untersucht werden.

Die Bank kann sich nicht ohne Weiteres darauf beschränken, dass eine gültige TAN eingesetzt wurde. Die technische Verwendung einer TAN ist zunächst ein Hinweis darauf, dass ein bestimmtes Sicherheitsverfahren durchlaufen wurde. Daraus folgt jedoch nicht automatisch, dass der Kontoinhaber der konkreten Zahlung zugestimmt hat.

Auch die Frage einer möglichen Pflichtverletzung ist gesondert zu beurteilen. Dabei kann eine Rolle spielen, ob der Betroffene die angezeigten Angaben erkennen konnte, ob eine eindeutige Warnung vorlag und ob die Täuschung für ihn erkennbar war.

4.3 PushTAN-Freigabe: Wann haben Betroffene tatsächlich eine Zahlung autorisiert?

Beim PushTAN-Verfahren erhält der Kunde eine Freigabeaufforderung über eine Banking-App oder eine gesonderte TAN-Anwendung. Je nach Bank und Sicherheitsverfahren werden dabei Informationen zur vorgesehenen Transaktion angezeigt. Dazu können insbesondere der Zahlungsempfänger, der Betrag oder weitere Angaben gehören.

Phishing-Täter versuchen, dieses Verfahren auszunutzen. Sie können ihre Opfer beispielsweise telefonisch kontaktieren und sich als Mitarbeiter der Bank ausgeben. Unter dem Vorwand einer angeblichen Sicherheitsprüfung erklären sie, dass eine PushTAN-Freigabe notwendig sei, um einen unberechtigten Zugriff zu verhindern.

Tatsächlich kann die angezeigte Freigabe jedoch eine Überweisung bestätigen, die von den Tätern vorbereitet wurde. Der Betroffene glaubt dann möglicherweise, eine Sicherheitsmaßnahme durchzuführen, obwohl er technisch einen Zahlungsvorgang bestätigt.

Für die rechtliche Bewertung ist deshalb wichtig, welche Angaben in der PushTAN-App sichtbar waren. Es muss insbesondere geklärt werden, ob der tatsächliche Empfänger und der Betrag angezeigt wurden, ob diese Informationen verständlich waren und welche Erklärung der Betroffene von den angeblichen Bankmitarbeitern erhalten hatte.

Die bloße Tatsache, dass eine PushTAN-Freigabe erteilt wurde, reicht nicht in jedem Fall aus, um eine wirksame Zustimmung zur konkreten Zahlung festzustellen. Ebenso wenig lässt sich allein daraus automatisch eine grob fahrlässige Pflichtverletzung ableiten. Entscheidend sind die konkreten Umstände.

4.4 Technische Authentifizierung und rechtliche Autorisierung sind zwei unterschiedliche Fragen

Bei Streitigkeiten über Phishing-Zahlungen wird häufig nicht ausreichend zwischen technischer Authentifizierung und rechtlicher Autorisierung unterschieden. Diese Begriffe haben jedoch unterschiedliche Bedeutungen.

Die technische Authentifizierung betrifft die Frage, ob der Zahlungsvorgang mit den vereinbarten Sicherheitsmerkmalen durchgeführt wurde. Dazu können beispielsweise die Anmeldung mit einer PIN, die Verwendung einer TAN oder eine Bestätigung über eine Banking-App gehören.

Die rechtliche Autorisierung betrifft dagegen die Frage, ob der Kontoinhaber dem konkreten Zahlungsvorgang zugestimmt hat. Entscheidend ist also nicht nur, ob ein technisches Sicherheitsverfahren erfolgreich durchlaufen wurde, sondern auch, ob eine entsprechende Zustimmung des Zahlers vorlag.

Diese Unterscheidung ist bei Phishing besonders wichtig. Täter können Sicherheitsmerkmale missbräuchlich verwenden, nachdem sie diese durch Täuschung erlangt haben. Ein technisch korrekt ausgeführter Zahlungsvorgang kann deshalb unter Umständen trotzdem rechtlich nicht autorisiert sein.

§ 675w BGB enthält hierzu wichtige Vorgaben. Die Bank muss im Streitfall die gesetzlich vorgesehenen Nachweise zur Authentifizierung und ordnungsgemäßen Aufzeichnung des Zahlungsvorgangs erbringen. Der bloße Nachweis, dass ein Zahlungsinstrument verwendet wurde, reicht nicht ohne Weiteres aus, um eine Zustimmung des Kunden oder eine vorsätzliche beziehungsweise grob fahrlässige Pflichtverletzung nachzuweisen.

Für Betroffene bedeutet das: Eine Ablehnung der Erstattung mit dem alleinigen Hinweis auf die Verwendung der persönlichen Sicherheitsmerkmale sollte kritisch geprüft werden.

4.5 Wann kann die Eingabe einer TAN trotzdem zu einer Haftung des Kunden führen?

Auch wenn die Verwendung einer TAN nicht automatisch eine Zustimmung zur Zahlung beweist, kann das Verhalten des Kontoinhabers für die Haftungsfrage erheblich sein. Insbesondere § 675v BGB regelt unter bestimmten Voraussetzungen eine mögliche Haftung des Zahlers, wenn dieser seine Pflichten im Umgang mit Zahlungsinstrumenten vorsätzlich oder grob fahrlässig verletzt.

Grobe Fahrlässigkeit liegt nicht bereits bei jeder Unachtsamkeit vor. Erforderlich ist vielmehr eine besonders schwerwiegende Missachtung der gebotenen Sorgfalt. Ob diese Voraussetzung erfüllt ist, muss anhand des konkreten Geschehens beurteilt werden.

Dabei können unter anderem folgende Umstände eine Rolle spielen:

• Hat der Betroffene eine TAN an eine unbekannte Person weitergegeben?
• Wurde die TAN auf einer Internetseite eingegeben, deren Adresse deutlich von der offiziellen Bankseite abwich?
• Enthielt die Freigabeaufforderung einen klar erkennbaren Hinweis auf eine Überweisung?
• Waren Empfänger und Betrag eindeutig angegeben?
• Hat ein angeblicher Bankmitarbeiter den Betroffenen telefonisch unter erheblichen Zeitdruck gesetzt?
• Wurde der Betroffene durch eine täuschend echte Nachricht zur Eingabe seiner Daten veranlasst?
• Gab es konkrete Warnhinweise der Bank, die der Betroffene tatsächlich wahrnehmen konnte?

Eine Bank muss die Umstände des Einzelfalls berücksichtigen. Es reicht nicht aus, lediglich festzustellen, dass eine TAN eingegeben oder eine Freigabe bestätigt wurde. Ebenso wenig ist jede erfolgreiche Täuschung automatisch ein Beleg dafür, dass der Betroffene besonders sorgfaltswidrig gehandelt hat.

Umgekehrt sollten Betroffene nicht davon ausgehen, dass jede Täuschung durch Phishing eine persönliche Haftung ausschließt. Wenn beispielsweise eine eindeutige Freigabeaufforderung mit einem unbekannten Empfänger und einem erheblichen Überweisungsbetrag angezeigt wurde und der Kunde diese Angaben ohne nachvollziehbaren Grund bestätigt hat, kann dies bei der rechtlichen Bewertung gegen ihn sprechen.

4.6 Was gilt, wenn Täter eine PushTAN-Freigabe durch einen angeblichen Bankmitarbeiter erschleichen?

Besonders problematisch sind Phishing-Fälle, bei denen Täter ihre Opfer telefonisch kontaktieren. Sie verwenden teilweise bereits zuvor erlangte persönliche Informationen und geben sich als Mitarbeiter der kontoführenden Bank aus. Dadurch entsteht der Eindruck, dass tatsächlich eine Sicherheitsabteilung oder Betrugsprävention eingeschaltet sei.

Die angeblichen Mitarbeiter erklären beispielsweise, dass ein fremder Zugriff auf das Konto festgestellt worden sei. Um die verdächtige Transaktion zu verhindern, müsse der Kunde eine PushTAN-Freigabe erteilen oder eine bestimmte TAN eingeben. Tatsächlich kann genau diese Handlung dazu führen, dass eine Zahlung zugunsten der Täter bestätigt wird.

Für die rechtliche Bewertung ist dann besonders wichtig, ob der Betroffene davon ausgehen durfte, eine Sicherheitsmaßnahme durchzuführen, oder ob die konkrete Zahlungsfreigabe für ihn erkennbar war.

Auch der Umstand, dass der Täter am Telefon persönliche Daten kennt oder über eine technisch manipulierte Telefonnummer anruft, kann für die Bewertung des Betrugsablaufs von Bedeutung sein. Solche Umstände können erklären, weshalb der Betroffene dem Anrufer vertraut hat. Sie führen jedoch nicht automatisch zu einem Erstattungsanspruch.

Betroffene sollten deshalb möglichst genau dokumentieren, was der Anrufer gesagt hat, welche Telefonnummer verwendet wurde, welche Freigaben verlangt wurden und welche Informationen während des Vorgangs in der Banking-App erschienen sind. Diese Einzelheiten können entscheidend sein, wenn die Bank später eine grob fahrlässige Pflichtverletzung behauptet.

4.7 Welche Informationen muss die Bank zur technischen Ausführung vorlegen?

Wenn die Bank die Erstattung mit dem Hinweis auf eine ordnungsgemäße Freigabe ablehnt, sollten Betroffene eine nachvollziehbare Darstellung der technischen Vorgänge verlangen. Dabei geht es nicht nur um die Feststellung, dass eine PIN oder TAN verwendet wurde. Vielmehr muss geprüft werden, wie die Zahlung zustande gekommen ist und welche Informationen sich aus den verfügbaren Aufzeichnungen ergeben.

Von Bedeutung können insbesondere sein:

• Zeitpunkt der Anmeldung im Onlinebanking.
• Verwendete Authentifizierungsverfahren.
• Zeitpunkt und Art der TAN-Eingabe oder PushTAN-Freigabe.
• Angezeigter Zahlungsempfänger und Überweisungsbetrag.
• Registrierte Geräte und mögliche Änderungen an den Sicherheitsverfahren.
• Auffällige Anmeldungen oder ungewöhnliche Zugriffsmuster.
• Zeitpunkt der Ausführung und Buchung der Zahlung.
• Hinweise auf technische Störungen oder ungewöhnliche Vorgänge.

Nicht alle technischen Informationen müssen dem Kunden automatisch vollständig zur Verfügung gestellt werden. Dennoch sollte die Bank im Rahmen der gesetzlichen Vorgaben darlegen können, worauf sie ihre Einschätzung stützt.

Wenn beispielsweise behauptet wird, der Kunde habe eine Überweisung bewusst freigegeben, sollte nachvollziehbar sein, welche Angaben ihm bei der Freigabe angezeigt wurden. Gerade bei Phishing über gefälschte Internetseiten oder telefonische Täuschung kann dies für die rechtliche Bewertung erheblich sein.

4.8 Warum Phishing-Opfer die Erstattungsablehnung nicht allein wegen einer TAN-Freigabe akzeptieren sollten

Nach einem Phishing-Angriff befinden sich Betroffene häufig in einer schwierigen Situation. Sie wissen möglicherweise, dass sie eine TAN eingegeben oder eine PushTAN-Freigabe bestätigt haben. Gleichzeitig sind sie davon überzeugt, dass sie niemals bewusst eine Überweisung an den tatsächlichen Empfänger veranlassen wollten.

Die Bank kann sich in einer solchen Situation auf die technischen Protokolle und die verwendeten Sicherheitsverfahren berufen. Das bedeutet aber nicht, dass die rechtliche Prüfung damit abgeschlossen ist.

Es muss insbesondere geklärt werden, ob der Betroffene der konkreten Zahlung zugestimmt hat und ob ihm eine mögliche Pflichtverletzung vorgeworfen werden kann. Dabei sind die gesetzlichen Vorgaben der §§ 675u, 675v und 675w BGB zu berücksichtigen.

Betroffene sollten deshalb den vollständigen Sachverhalt darstellen und nicht lediglich erklären, dass sie ihre TAN weitergegeben hätten. Entscheidend ist auch, unter welchen Umständen dies geschah, welche Angaben ihnen gemacht wurden und welchen Zweck sie mit ihrer Handlung nach ihrer Vorstellung verfolgten.

Eine pauschale Schuldanerkennung gegenüber der Bank kann die spätere Auseinandersetzung erschweren. Ebenso sollten Betroffene keine Erklärung unterschreiben, mit der sie ohne vorherige Prüfung auf mögliche Erstattungsansprüche verzichten.

Fazit: PIN, TAN und PushTAN beweisen nicht automatisch eine wirksame Zustimmung

Wer durch Phishing Geld verloren hat, sollte wissen, dass die technische Verwendung persönlicher Sicherheitsmerkmale nicht automatisch bedeutet, dass er die konkrete Überweisung rechtlich autorisiert hat. PIN, TAN und PushTAN sind wichtige Bestandteile des Sicherheitsverfahrens, ersetzen aber nicht die Prüfung der tatsächlichen Zustimmung des Kontoinhabers.

Entscheidend sind der genaue Ablauf des Phishing-Angriffs, die angezeigten Informationen, die Kommunikation mit den Tätern und die Frage, ob eine grob fahrlässige Pflichtverletzung vorliegt. Banken müssen die gesetzlichen Nachweisanforderungen beachten und dürfen eine Erstattungsforderung nicht allein mit dem Hinweis auf eine technische Freigabe zurückweisen. Betroffene sollten daher die Umstände sorgfältig dokumentieren und eine Ablehnung der Bank rechtlich überprüfen lassen.

Kanzlei Wilms – Experten für Online-Anlagebetrug

Die Kanzlei Wilms unterstützt seit Jahren Mandanten, die Opfer von Online-Anlagebetrug, Kryptobetrug, Fake Brokern, Investmentbetrug, Bitcoin-Betrug oder Recovery Scams geworden sind.

Unsere Mandanten kommen aus ganz Deutschland sowie aus dem Ausland. Viele Verfahren weisen internationale Bezüge auf und betreffen grenzüberschreitende Zahlungsströme, Kryptowährungen oder komplexe Unternehmensstrukturen.

Wir analysieren unter anderem:

• Banküberweisungen
• SEPA- und SWIFT-Zahlungen
• Kreditkartenzahlungen
• Zahlungsdienstleister
• Kryptobörsen und Wallet-Transaktionen
• internationale Zahlungsstrukturen

Mehr Informationen finden Sie in unserem Blog.

Phishing Geld verloren – wann kann die Bank eine Erstattung wegen grober Fahrlässigkeit verweigern?

Wer durch Phishing Geld verloren hat und anschließend eine Erstattung von seiner Bank verlangt, erhält nicht selten eine ablehnende Antwort. Häufig behauptet das Kreditinstitut, der Kunde habe seine Sicherheitsmerkmale nicht ausreichend geschützt oder eine Zahlung durch eine grob fahrlässige Handlung ermöglicht. Besonders häufig wird auf die Weitergabe von PIN und TAN, die Bestätigung einer PushTAN-Freigabe oder die Eingabe von Zugangsdaten auf einer gefälschten Internetseite verwiesen.

Für Betroffene kann eine solche Begründung erhebliche finanzielle Folgen haben. Wird ihnen eine grob fahrlässige Pflichtverletzung vorgeworfen, kann die Bank versuchen, ihre eigene Erstattungspflicht einzuschränken oder eine vollständige Rückzahlung abzulehnen. Allerdings reicht es nicht aus, dass ein Phishing-Angriff erfolgreich war. Ebenso wenig bedeutet jede falsche Reaktion auf eine betrügerische Nachricht automatisch, dass der Bankkunde grob fahrlässig gehandelt hat.

Die rechtliche Beurteilung richtet sich insbesondere nach den §§ 675v und 675w BGB. Entscheidend sind die konkreten Umstände des Angriffs, die erkennbaren Warnsignale und das tatsächliche Verhalten des Betroffenen. Eine pauschale Bewertung sämtlicher Phishing-Fälle ist nicht möglich.

6.1 Was bedeutet grobe Fahrlässigkeit beim Phishing?

Grobe Fahrlässigkeit liegt vor, wenn die erforderliche Sorgfalt in besonders schwerem Maße verletzt wird. Es geht also nicht um jeden gewöhnlichen Fehler, jede Unachtsamkeit oder eine unüberlegte Reaktion. Vielmehr muss das Verhalten deutlich über das hinausgehen, was als einfache Fahrlässigkeit einzustufen wäre.

Bei einem Phishing-Angriff muss deshalb untersucht werden, ob der Betroffene die Gefahr hätte erkennen müssen und ob er in besonders schwerwiegender Weise gegen die erforderlichen Sicherheitsvorkehrungen verstoßen hat. Dabei ist nicht allein entscheidend, dass er auf eine betrügerische Nachricht reagiert oder Zugangsdaten eingegeben hat.

Die Täter arbeiten häufig mit psychologischem Druck, täuschend echten Internetseiten und gezielten Falschinformationen. Sie geben sich als Bankmitarbeiter aus, behaupten eine akute Kontogefahr oder stellen eine angebliche Sicherheitsprüfung als zwingend notwendig dar. Dadurch können selbst vorsichtige Bankkunden zu Handlungen verleitet werden, die sie unter normalen Umständen nicht vorgenommen hätten.

Für die rechtliche Bewertung ist deshalb wichtig, wie überzeugend die Täuschung gestaltet war und welche Informationen dem Betroffenen tatsächlich zur Verfügung standen. Eine professionelle Phishing-Nachricht kann anders zu beurteilen sein als eine offensichtlich unseriöse Aufforderung, persönliche Bankdaten an eine unbekannte Person zu übermitteln.

6.2 Wann kann die Weitergabe einer PIN oder TAN grob fahrlässig sein?

Banken führen häufig an, dass Kunden ihre persönlichen Sicherheitsmerkmale geheim halten müssen. Diese Verpflichtung ist grundsätzlich von erheblicher Bedeutung. PIN, TAN und andere Authentifizierungsmerkmale dürfen nicht beliebig an Dritte weitergegeben werden.

Daraus folgt jedoch nicht, dass jede Eingabe oder Weitergabe einer TAN automatisch grob fahrlässig ist. Entscheidend ist, unter welchen Umständen dies geschah und welchen Zweck der Betroffene damit verfolgte.

Ein Beispiel: Ein Bankkunde erhält eine Nachricht, die scheinbar von seiner Bank stammt. Darin wird mitgeteilt, dass eine Sicherheitsüberprüfung erforderlich sei. Über einen Link gelangt der Kunde auf eine täuschend echte Internetseite und gibt dort seine Zugangsdaten ein. Die Täter verwenden diese anschließend, um eine Überweisung auszulösen.

In einem solchen Fall muss geprüft werden, ob die gefälschte Internetseite für den Betroffenen erkennbar war und welche Warnsignale vorlagen. Die bloße Eingabe der Zugangsdaten auf einer professionell nachgebildeten Bankseite reicht nicht ohne Weiteres aus, um eine grob fahrlässige Pflichtverletzung festzustellen.

Anders kann die Situation zu beurteilen sein, wenn ein Betroffener eine TAN ausdrücklich an einen unbekannten Anrufer weitergibt, obwohl ihm bekannt ist, dass Bankmitarbeiter solche Sicherheitsmerkmale nicht abfragen dürfen. Auch hier kommt es jedoch auf die konkreten Umstände an. Eine abschließende rechtliche Bewertung darf nicht allein anhand eines einzelnen Verhaltensmerkmals vorgenommen werden.

6.3 Warum eine PushTAN-Freigabe nicht automatisch grobe Fahrlässigkeit beweist

Besonders häufig berufen sich Banken auf eine bestätigte PushTAN-Freigabe. Sie argumentieren dann, dass der Kunde die Zahlung selbst über seine Banking-App bestätigt habe und deshalb für den finanziellen Schaden verantwortlich sei.

Diese Schlussfolgerung ist nicht zwangsläufig richtig. Es muss zunächst geklärt werden, welche Informationen bei der Freigabe angezeigt wurden und weshalb der Betroffene die Bestätigung vorgenommen hat.

Phishing-Täter nutzen beispielsweise gefälschte Sicherheitswarnungen oder telefonische Täuschungen. Sie behaupten, eine verdächtige Überweisung müsse verhindert werden und der Kunde müsse dafür eine Sicherheitsfreigabe durchführen. Tatsächlich wird mit der Bestätigung möglicherweise eine Zahlung an die Täter ausgelöst.

Für die rechtliche Bewertung kommt es darauf an, ob der Betroffene den angezeigten Empfänger und den Betrag erkennen konnte, ob die Freigabeaufforderung verständlich war und welche Erklärungen ihm zuvor gegeben wurden.

Wenn der Betroffene davon ausging, eine Sicherheitsmaßnahme durchzuführen, während tatsächlich eine Überweisung freigegeben wurde, muss dieser Umstand in die Prüfung einbezogen werden. Die Bank kann nicht allein aus der technischen Bestätigung ableiten, dass eine grob fahrlässige Pflichtverletzung vorliegt.

Allerdings kann eine deutlich erkennbare Zahlungsfreigabe mit einem unbekannten Empfänger und einem erheblichen Betrag gegen den Kunden sprechen, wenn er diese Angaben ohne nachvollziehbaren Grund bestätigt hat. Auch deshalb ist eine genaue Rekonstruktion des Vorgangs erforderlich.

6.4 Welche Warnsignale können bei der Beurteilung eine Rolle spielen?

Ob ein Phishing-Opfer grob fahrlässig gehandelt hat, hängt unter anderem davon ab, welche Warnsignale bei der konkreten Täuschung vorhanden waren. Dabei ist zu berücksichtigen, ob diese Warnsignale für den Betroffenen tatsächlich erkennbar waren.

Eine gefälschte Nachricht kann beispielsweise durch eine ungewöhnliche Absenderadresse, Rechtschreibfehler oder eine auffällige Internetadresse verdächtig wirken. Solche Merkmale können für die rechtliche Bewertung relevant sein. Sie beweisen aber nicht automatisch, dass jeder Empfänger den Betrug hätte erkennen müssen.

Umgekehrt können professionelle Gestaltung, bekannte Logos, eine überzeugende Sprache und persönliche Angaben den Eindruck einer echten Bankmitteilung verstärken. Auch die Verwendung einer manipulierten Telefonnummer oder die Kenntnis bestimmter Kontodaten kann dazu führen, dass Betroffene einem angeblichen Bankmitarbeiter vertrauen.

Zu prüfen sind insbesondere:

• War die Nachricht sprachlich und optisch auffällig?
• Entsprach die Internetadresse erkennbar nicht der offiziellen Bankseite?
• Wurde ein ungewöhnlicher Zeitdruck aufgebaut?
• Wurde mit einer Kontosperrung oder einem unmittelbaren finanziellen Schaden gedroht?
• Hat der Täter persönliche Informationen verwendet?
• War der angezeigte Zahlungsempfänger eindeutig erkennbar?
• Wurde der tatsächliche Zweck der TAN- oder PushTAN-Freigabe verständlich dargestellt?
• Gab es konkrete Sicherheitswarnungen der Bank?

Die Beurteilung muss den gesamten Ablauf berücksichtigen. Einzelne Auffälligkeiten dürfen nicht isoliert betrachtet werden, wenn gleichzeitig eine gezielte und professionell vorbereitete Täuschung vorlag.

6.5 Welche Bedeutung hat § 675v BGB für die Haftung des Phishing-Opfers?

§ 675v BGB regelt die mögliche Haftung des Zahlers bei missbräuchlicher Verwendung eines Zahlungsinstruments. Die Vorschrift unterscheidet unter anderem danach, ob der Kunde vorsätzlich oder grob fahrlässig gehandelt hat und welche Pflichten verletzt wurden.

Bei einem nicht autorisierten Zahlungsvorgang kann eine Haftung des Kunden unter den gesetzlichen Voraussetzungen in Betracht kommen. Dafür muss jedoch geprüft werden, ob tatsächlich eine entsprechende Pflichtverletzung vorliegt und ob die weiteren Voraussetzungen der gesetzlichen Regelung erfüllt sind.

Eine grob fahrlässige Verletzung der Pflichten im Umgang mit personalisierten Sicherheitsmerkmalen kann erhebliche Folgen haben. Sie kann unter bestimmten Voraussetzungen dazu führen, dass der Kunde den entstandenen Schaden ganz oder teilweise selbst tragen muss. Die konkrete Haftung hängt jedoch von der gesetzlichen Regelung und den Umständen des Einzelfalls ab.

Wichtig ist außerdem, dass § 675v BGB nicht unabhängig von der Frage der Autorisierung betrachtet werden darf. Zunächst muss geklärt werden, ob überhaupt eine nicht autorisierte Zahlung vorliegt. Hat der Kunde die Überweisung selbst veranlasst und freigegeben, kann die rechtliche Ausgangslage eine andere sein.

Die Bank sollte deshalb nachvollziehbar darlegen, auf welche konkrete Pflichtverletzung sie ihre Entscheidung stützt. Der allgemeine Hinweis, der Kunde habe seine Zugangsdaten nicht ausreichend geschützt, genügt nicht zwangsläufig für eine vollständige rechtliche Beurteilung.

6.6 Welche Nachweise muss die Bank bei einem Vorwurf grober Fahrlässigkeit erbringen?

Für die rechtliche Bewertung ist § 675w BGB besonders wichtig. Die Vorschrift enthält Anforderungen an den Nachweis der Authentifizierung und der ordnungsgemäßen Aufzeichnung eines Zahlungsvorgangs. Die Bank muss im Streitfall die gesetzlich vorgesehenen Nachweise erbringen.

Dabei ist zwischen dem Nachweis der technischen Durchführung und dem Nachweis einer Zustimmung oder Pflichtverletzung zu unterscheiden. Wenn die Bank darlegt, dass eine Zahlung mit einer PIN, TAN oder PushTAN ausgeführt wurde, ist damit nicht automatisch bewiesen, dass der Kunde der konkreten Zahlung zugestimmt hat.

Ebenso wenig folgt daraus ohne Weiteres, dass der Kunde vorsätzlich oder grob fahrlässig gehandelt hat. Die bloße Aufzeichnung einer Transaktion und die Verwendung eines Zahlungsinstruments reichen für diese weitergehenden Schlussfolgerungen nicht automatisch aus.

Wenn die Bank grobe Fahrlässigkeit behauptet, muss die rechtliche Bewertung die konkreten Umstände einbeziehen. Dazu gehören insbesondere die Gestaltung der Phishing-Nachricht, der Kommunikationsverlauf, die angezeigten Informationen und das Verhalten des Kunden.

Betroffene sollten deshalb eine nachvollziehbare Begründung verlangen. Die Bank sollte erläutern, welche Handlung sie als grob fahrlässig bewertet und welche Tatsachen diese Einschätzung stützen sollen. Eine pauschale Ablehnung ohne konkrete Auseinandersetzung mit dem Betrugsablauf sollte nicht ungeprüft akzeptiert werden.

6.7 Wann kann eine professionelle Phishing-Täuschung gegen grobe Fahrlässigkeit sprechen?

Phishing-Angriffe werden zunehmend so gestaltet, dass sie für Betroffene schwer von echten Bankmitteilungen zu unterscheiden sind. Täter kopieren nicht nur Logos und Internetseiten, sondern verwenden teilweise auch persönliche Informationen, bekannte Kommunikationswege und gezielte Gesprächsstrategien.

Besonders problematisch sind Angriffe, bei denen mehrere Täuschungselemente miteinander kombiniert werden. Ein Betroffener erhält beispielsweise zunächst eine SMS über eine angeblich verdächtige Kontobewegung. Kurz darauf folgt ein Anruf von einer Person, die sich als Mitarbeiter der Sicherheitsabteilung ausgibt. Der Anrufer kennt möglicherweise den Namen des Kunden und weitere persönliche Angaben. Anschließend fordert er den Betroffenen auf, eine vermeintliche Sicherheitsmaßnahme über die Banking-App zu bestätigen.

In einer solchen Situation kann die Täuschung besonders überzeugend wirken. Der Betroffene glaubt möglicherweise, mit seiner Handlung einen Angriff abzuwehren, obwohl er tatsächlich eine Zahlung ermöglicht.

Diese Umstände können bei der Prüfung einer grob fahrlässigen Pflichtverletzung erheblich sein. Sie schließen eine Haftung zwar nicht automatisch aus, müssen aber berücksichtigt werden. Entscheidend ist, ob dem Betroffenen unter den konkreten Umständen eine besonders schwerwiegende Missachtung der erforderlichen Sorgfalt vorgeworfen werden kann.

6.8 Was sollten Betroffene tun, wenn die Bank grobe Fahrlässigkeit behauptet?

Wenn die Bank eine Erstattung mit dem Hinweis auf grobe Fahrlässigkeit ablehnt, sollten Betroffene nicht vorschnell akzeptieren, dass sie den gesamten Schaden selbst tragen müssen. Zunächst sollte eine schriftliche und konkrete Begründung angefordert werden.

Dabei sollte die Bank insbesondere erklären:

• Welche konkrete Handlung des Kunden sie beanstandet.
• Welche Sicherheits- oder Sorgfaltspflicht verletzt worden sein soll.
• Weshalb diese Pflichtverletzung als grob fahrlässig bewertet wird.
• Auf welche technischen Aufzeichnungen und sonstigen Tatsachen sie ihre Einschätzung stützt.
• Ob sie von einer autorisierten oder einer nicht autorisierten Zahlung ausgeht.
• Welche rechtlichen Vorschriften sie ihrer Entscheidung zugrunde legt.

Parallel dazu sollten Betroffene ihre eigenen Beweise sichern. Dazu gehören die ursprüngliche Phishing-Nachricht, Screenshots der gefälschten Internetseite, der vollständige Kommunikationsverlauf, Angaben zu Telefonanrufen und die Zahlungsunterlagen. Besonders wichtig ist eine genaue Darstellung, welche Informationen während einer TAN- oder PushTAN-Freigabe sichtbar waren.

Eine sachgerechte rechtliche Prüfung kann anschließend klären, ob der Vorwurf der groben Fahrlässigkeit tatsächlich gerechtfertigt ist. Dabei müssen die gesetzlichen Anforderungen der §§ 675v und 675w BGB berücksichtigt werden. Auch die Frage, ob die Zahlung überhaupt autorisiert war, ist erneut zu prüfen.

6.9 Warum der Einzelfall über die Haftung entscheidet

Bei der Frage, ob ein Phishing-Opfer sein verlorenes Geld selbst tragen muss, gibt es keine pauschale Antwort. Die rechtliche Bewertung hängt davon ab, wie der Betrug ablief, welche Sicherheitsmerkmale verwendet wurden und welche Informationen der Betroffene während des Vorgangs erhalten hat.

Ein Kunde, der lediglich seine Zugangsdaten auf einer täuschend echten Internetseite eingegeben hat, befindet sich möglicherweise in einer anderen rechtlichen Situation als ein Kunde, der eine eindeutig erkennbare Überweisung an einen unbekannten Empfänger bestätigt hat. Auch ein telefonisch gesteuerter Angriff mit angeblichen Bankmitarbeitern muss anders untersucht werden als eine einfache betrügerische E-Mail.

Für Betroffene ist deshalb entscheidend, dass die Bank nicht nur das technische Ergebnis betrachtet. Sie muss die gesetzlichen Anforderungen beachten und die Umstände des konkreten Zahlungsvorgangs berücksichtigen. Eine erfolgreiche Phishing-Attacke ist für sich genommen kein ausreichender Beleg dafür, dass der Kunde grob fahrlässig gehandelt hat.

Fazit: Grobe Fahrlässigkeit muss anhand des konkreten Phishing-Angriffs geprüft werden

Wer durch Phishing Geld verloren hat, sollte einen Vorwurf grober Fahrlässigkeit nicht ungeprüft akzeptieren. Die Eingabe einer PIN, die Verwendung einer TAN oder eine PushTAN-Freigabe beweisen nicht automatisch, dass der Betroffene seine Sorgfaltspflichten in besonders schwerem Maße verletzt hat. Maßgeblich sind die tatsächlichen Umstände des Angriffs und die gesetzlichen Anforderungen der §§ 675v und 675w BGB.

Betroffene sollten deshalb den Betrugsablauf vollständig dokumentieren und von der Bank eine konkrete Begründung für die Ablehnung der Erstattung verlangen. Erst wenn feststeht, welche Zahlung tatsächlich autorisiert wurde und ob eine relevante Pflichtverletzung vorliegt, lässt sich beurteilen, ob der Kunde den finanziellen Schaden selbst tragen muss oder eine Rückforderung des verlorenen Geldes Aussicht auf Erfolg hat.

Phishing Geld verloren – welche Beweise sind für die Rückforderung des Geldes wichtig?

Wer durch Phishing Geld verloren hat, sollte möglichst frühzeitig sämtliche Beweise sichern. Eine vollständige Dokumentation kann entscheidend sein, wenn die Bank eine Erstattung ablehnt oder behauptet, der Kontoinhaber habe die fraglichen Zahlungen selbst autorisiert. Gerade bei Onlinebanking-Betrug liegen viele wichtige Informationen ausschließlich digital vor. Phishing-Nachrichten können gelöscht werden, gefälschte Internetseiten verschwinden und Telefonnummern oder Benutzerkonten der Täter werden häufig kurzfristig geändert.

Für die rechtliche Bewertung kommt es nicht nur darauf an, dass tatsächlich ein finanzieller Schaden entstanden ist. Entscheidend ist auch, wie die Täter vorgegangen sind, welche Daten sie erlangt haben und wie die einzelnen Zahlungsvorgänge ausgelöst wurden. Deshalb sollten Betroffene den gesamten Ablauf möglichst genau dokumentieren. Je besser die Beweislage ist, desto gezielter lässt sich prüfen, ob ein Erstattungsanspruch gegen die Bank besteht.

7.1 Kontoauszüge und Zahlungsbelege als wichtigste Nachweise sichern

Zu den wichtigsten Unterlagen gehören zunächst die Kontoauszüge und Umsatzübersichten. Sie zeigen, wann welche Beträge vom Konto abgebucht wurden und an welche Empfänger die Zahlungen gingen. Betroffene sollten nicht nur die unmittelbar auffällige Transaktion sichern, sondern sämtliche verdächtigen Buchungen erfassen.

Besonders wichtig sind folgende Angaben:

• Buchungsdatum und Wertstellungsdatum.
• Betrag und Währung der jeweiligen Zahlung.
• Name des Zahlungsempfängers.
• IBAN und BIC, soweit vorhanden.
• Verwendungszweck und Buchungstext.
• Transaktionsnummer oder sonstige Zahlungsreferenz.
• Status der Zahlung, beispielsweise vorgemerkt, ausgeführt oder gebucht.

Bei Kreditkartenzahlungen sollten zusätzlich die Händlerangaben, die Transaktionsreferenz und die betroffene Karte dokumentiert werden. Bei Zahlungen über Zahlungsdienstleister sind auch die dort verfügbaren Transaktionsinformationen wichtig.

Wenn mehrere Überweisungen innerhalb kurzer Zeit ausgeführt wurden, sollte jede einzelne Zahlung gesondert erfasst werden. Dadurch lässt sich später nachvollziehen, ob die Täter beispielsweise zunächst einen kleineren Betrag überwiesen und anschließend weitere Transaktionen vorgenommen haben.

Die Unterlagen sollten möglichst im Originalformat gespeichert werden. Kontoauszüge als PDF sind in der Regel besser geeignet als ausschließlich fotografierte oder zugeschnittene Bildschirmansichten. Screenshots können ergänzend hilfreich sein, ersetzen aber nicht immer die vollständigen Zahlungsnachweise.

7.2 Phishing-Nachrichten und gefälschte Internetseiten dokumentieren

Ein weiterer wichtiger Beweisbereich betrifft die Kommunikation mit den Tätern. Phishing-Angriffe beginnen häufig mit einer E-Mail, SMS oder Messenger-Nachricht. Diese Mitteilungen enthalten oftmals einen Link zu einer gefälschten Internetseite oder eine Aufforderung, persönliche Daten zu bestätigen.

Betroffene sollten solche Nachrichten nicht löschen. Sie können wichtige Hinweise darauf enthalten, wie die Täter vorgegangen sind und weshalb der Empfänger die Nachricht zunächst für echt gehalten hat.

Gesichert werden sollten insbesondere:

• Vollständiger Inhalt der E-Mail oder SMS.
• Absenderadresse beziehungsweise angezeigte Telefonnummer.
• Datum und Uhrzeit des Eingangs.
• Enthaltene Internetlinks.
• Screenshots der Nachricht.
• Screenshots der aufgerufenen Internetseite.
• Angaben zu den dort abgefragten Daten.
• Hinweise auf angebliche Sicherheitsprobleme oder Kontosperrungen.

Bei E-Mails kann es sinnvoll sein, zusätzlich die vollständigen technischen Kopfzeilen zu sichern. Diese können Informationen über den tatsächlichen Versandweg und technische Auffälligkeiten enthalten. Die sichtbare Absenderadresse allein muss nicht zwingend mit dem tatsächlichen Ursprung der Nachricht übereinstimmen.

Auch die Internetadresse der gefälschten Seite sollte dokumentiert werden. Selbst wenn die Seite später nicht mehr erreichbar ist, kann die damalige Adresse für die technische und rechtliche Untersuchung relevant sein.

Wichtig ist, dass die Beweissicherung nicht dazu führt, dass Betroffene erneut persönliche Daten eingeben oder die betrügerische Seite weiter nutzen. Die Dokumentation sollte sich auf bereits vorhandene Informationen beschränken.

7.3 Telefonate und angebliche Bankmitarbeiter nachvollziehbar festhalten

Nicht jeder Phishing-Angriff beginnt mit einer E-Mail oder SMS. In vielen Fällen werden Betroffene telefonisch kontaktiert. Die Täter geben sich als Mitarbeiter einer Bank, einer Sicherheitsabteilung oder eines technischen Dienstleisters aus.

Sie behaupten beispielsweise, dass ein unberechtigter Zugriff auf das Konto festgestellt worden sei. Um den angeblichen Angriff zu verhindern, müsse der Kunde bestimmte Sicherheitsmaßnahmen durchführen oder eine Freigabe über die Banking-App bestätigen.

Solche Gespräche können für die spätere rechtliche Bewertung besonders wichtig sein. Wenn die Bank behauptet, der Kunde habe eine Zahlung bewusst freigegeben, kann es entscheidend sein, welche Erklärungen ihm der angebliche Mitarbeiter zuvor gegeben hat.

Betroffene sollten deshalb unmittelbar nach dem Gespräch folgende Informationen notieren:

• Datum und Uhrzeit des Anrufs.
• Angezeigte Telefonnummer.
• Name und angebliche Funktion des Gesprächspartners.
• Behauptungen und Erklärungen des Anrufers.
• Verlangte Handlungen und Sicherheitsbestätigungen.
• Angaben zu angeblichen Überweisungen oder Sicherheitsproblemen.
• Dauer des Gesprächs und gegebenenfalls weitere Kontaktaufnahmen.

Auch Nachrichten, die im Anschluss an das Telefonat versendet wurden, sollten gesichert werden. Dazu gehören beispielsweise Bestätigungsnachrichten, Links oder angebliche Sicherheitsmitteilungen.

Wenn die Täter eine Telefonnummer verwendet haben, die auf dem Display tatsächlich wie die bekannte Banknummer aussah, sollte auch dieser Umstand dokumentiert werden. Eine angezeigte Telefonnummer beweist allerdings nicht, dass der Anruf tatsächlich von der Bank stammte. Technische Manipulationen der Rufnummernanzeige sind möglich.

7.4 Dokumentieren, welche Daten eingegeben und welche Freigaben erteilt wurden

Für die rechtliche Bewertung eines Phishing-Schadens ist besonders wichtig, welche Handlungen der Betroffene selbst vorgenommen hat. Dabei sollte möglichst genau festgehalten werden, welche Daten eingegeben und welche Sicherheitsabfragen bestätigt wurden.

Zu unterscheiden sind insbesondere:

• Eingabe von Benutzerkennung und Passwort.
• Eingabe der persönlichen PIN.
• Weitergabe oder Eingabe einer TAN.
• Bestätigung einer PushTAN-Freigabe.
• Registrierung eines neuen Geräts.
• Änderung von Zugangsdaten oder Kontaktdaten.
• Installation einer Fernwartungssoftware.
• Eigenständige Eingabe und Freigabe einer Überweisung.

Diese Unterscheidung ist wichtig, weil nicht jede Handlung automatisch eine Zustimmung zu einer konkreten Zahlung bedeutet. Wer beispielsweise seine Zugangsdaten auf einer gefälschten Internetseite eingibt, autorisiert dadurch nicht zwangsläufig eine spätere Überweisung, die ein Täter selbstständig ausführt.

Anders kann es aussehen, wenn der Betroffene selbst eine Überweisung eingibt und freigibt. Auch dann muss jedoch geprüft werden, welche Vorstellungen er von dem Vorgang hatte und ob er durch eine Täuschung über den tatsächlichen Zweck der Zahlung beeinflusst wurde.

Besonders wichtig ist deshalb, welche Informationen während einer Freigabe auf dem Bildschirm angezeigt wurden. Betroffene sollten sich möglichst genau daran erinnern und den Ablauf schriftlich festhalten. Wurde beispielsweise ein bestimmter Zahlungsempfänger angezeigt, obwohl der angebliche Bankmitarbeiter eine Sicherheitsprüfung angekündigt hatte, kann dies für die Bewertung des Sachverhalts erheblich sein.

7.5 Banking-App und technische Informationen als Beweismittel berücksichtigen

Auch technische Informationen aus dem Onlinebanking können für die Aufklärung des Phishing-Angriffs wichtig sein. Dazu gehören beispielsweise Angaben zu verwendeten Geräten, Anmeldezeiten, registrierten Smartphones und Sicherheitsfreigaben.

Betroffene sollten die Bank schriftlich auffordern, die relevanten Vorgänge zu prüfen und die verfügbaren Informationen im Rahmen der gesetzlichen Vorgaben nachvollziehbar darzustellen.

Von Bedeutung können unter anderem sein:

• Zeitpunkt und Art der Anmeldung im Onlinebanking.
• Verwendetes Gerät und gegebenenfalls erkannte Gerätekennung.
• Zeitpunkt der TAN-Anforderung.
• Zeitpunkt der PushTAN-Freigabe.
• Angezeigter Empfänger und Betrag.
• Änderungen an hinterlegten Sicherheitsmerkmalen.
• Neue Gerätefreigaben.
• Auffällige Anmeldeversuche.
• Ungewöhnliche Änderungen an Kontaktdaten.

Diese Informationen können helfen, den tatsächlichen Ablauf zu rekonstruieren. Insbesondere bei der Frage, ob eine Zahlung autorisiert war, ist relevant, ob der Betroffene selbst gehandelt hat oder ob ein Dritter den Zahlungsvorgang ausgelöst hat.

Dabei ist zwischen den technischen Aufzeichnungen der Bank und der rechtlichen Bewertung zu unterscheiden. Ein technischer Nachweis über die Verwendung einer PIN oder TAN beantwortet nicht automatisch die Frage, ob der Kontoinhaber der konkreten Zahlung zugestimmt hat.

7.6 Welche Bedeutung haben Beweise für den Erstattungsanspruch nach § 675u BGB?

Wenn ein Phishing-Opfer sein Geld durch nicht autorisierte Zahlungen verloren hat, kann insbesondere § 675u BGB einen Erstattungsanspruch begründen. Danach muss der Zahlungsdienstleister grundsätzlich den Betrag erstatten und das Zahlungskonto wieder auf den Stand bringen, auf dem es sich ohne den nicht autorisierten Vorgang befunden hätte.

Ob diese Voraussetzungen erfüllt sind, hängt vom konkreten Zahlungsvorgang ab. Deshalb müssen die Beweise erkennen lassen, ob der Betroffene tatsächlich einer bestimmten Zahlung zugestimmt hat oder ob die Täter eigenständig gehandelt haben.

Eine vollständige Dokumentation kann beispielsweise zeigen, dass der Betroffene lediglich seine Zugangsdaten auf einer gefälschten Internetseite eingegeben hat und die spätere Überweisung ohne seine Kenntnis erfolgte. Das kann für die rechtliche Einordnung als nicht autorisierte Zahlung von Bedeutung sein.

Auch § 675w BGB spielt eine wichtige Rolle. Die Vorschrift enthält Anforderungen an den Nachweis der Authentifizierung und der ordnungsgemäßen Aufzeichnung des Zahlungsvorgangs. Die Bank muss die gesetzlich vorgesehenen Nachweise erbringen. Die bloße Verwendung eines Zahlungsinstruments beweist nicht automatisch, dass der Kunde die Zahlung autorisiert oder vorsätzlich beziehungsweise grob fahrlässig gehandelt hat.

Betroffene sollten deshalb ihre eigenen Unterlagen möglichst vollständig zusammenstellen. Die Beweise helfen dabei, den tatsächlichen Ablauf darzustellen und die Angaben der Bank zu überprüfen.

7.7 Warum eine genaue zeitliche Übersicht besonders wichtig ist

Bei Phishing-Fällen können innerhalb weniger Minuten zahlreiche Vorgänge stattfinden. Eine Nachricht geht ein, der Betroffene öffnet einen Link, gibt Zugangsdaten ein, erhält einen Anruf und bestätigt möglicherweise eine Sicherheitsabfrage. Kurz darauf wird Geld überwiesen.

Wenn dieser Ablauf erst Wochen später rekonstruiert werden muss, können wichtige Einzelheiten bereits in Vergessenheit geraten sein. Deshalb empfiehlt es sich, unmittelbar nach Entdeckung des Betrugs eine chronologische Übersicht anzulegen.

Diese sollte möglichst folgende Stationen enthalten: 1. Eingang der ersten verdächtigen Nachricht. 2. Aufruf der Internetseite oder Kontaktaufnahme durch die Täter. 3. Eingabe persönlicher Daten oder Zugangsinformationen. 4. Telefonische Gespräche und weitere Anweisungen. 5. Eingabe einer TAN oder Bestätigung einer PushTAN-Freigabe. 6. Ausführung der verdächtigen Zahlungen. 7. Entdeckung des finanziellen Schadens. 8. Erste Kontaktaufnahme mit der Bank. 9. Sperrung von Zugängen und Zahlungsinstrumenten. 10. Schriftliche Erstattungsforderung und Reaktion der Bank. Die Übersicht sollte zwischen gesicherten Tatsachen und bloßen Erinnerungen unterscheiden. Wenn ein genauer Zeitpunkt nicht mehr bekannt ist, sollte dies offen angegeben werden. Eine sachliche und nachvollziehbare Darstellung ist wichtiger als eine scheinbar lückenlose Chronologie.

7.8 Welche Fehler bei der Beweissicherung vermieden werden sollten

Nach einem Phishing-Angriff handeln viele Betroffene aus verständlicher Sorge sehr schnell. Dabei können allerdings Beweismittel verloren gehen oder wichtige Informationen unvollständig dokumentiert werden.

Ein häufiger Fehler besteht darin, verdächtige Nachrichten sofort zu löschen. Auch das Zurücksetzen eines Smartphones oder das Entfernen einer Banking-App kann dazu führen, dass wichtige Informationen nicht mehr verfügbar sind. Wenn eine technische Untersuchung erforderlich werden könnte, sollten Betroffene deshalb nicht vorschnell sämtliche Daten verändern.

Ebenso problematisch ist es, Screenshots ausschließlich zuzuschneiden oder zu bearbeiten. Dadurch können wichtige Angaben wie Absender, Zeitstempel, Internetadresse oder vollständiger Nachrichteninhalt verloren gehen. Originaldateien sollten möglichst unverändert aufbewahrt werden.

Weitere Fehler sind:

• Ausschließlich mündliche Kommunikation mit der Bank ohne Dokumentation.
• Fehlende Sicherung der ursprünglichen Phishing-Nachricht.
• Unvollständige Erfassung der Zahlungsempfänger.
• Keine Dokumentation der angezeigten TAN- oder PushTAN-Angaben.
• Löschung von Chatverläufen mit angeblichen Bankmitarbeitern.
• Ungeprüfte Weitergabe von Originalunterlagen.
• Nachträgliche Veränderung von Nachrichten oder Screenshots.
• Unklare oder widersprüchliche Angaben zum Betrugsablauf.

Betroffene sollten außerdem keine Passwörter, PINs oder TANs in einer Beweissammlung offenlegen, die ungeschützt gespeichert oder an unbefugte Personen weitergegeben wird. Sensible Sicherheitsmerkmale müssen weiterhin geschützt bleiben.

7.9 Wie die Beweise für die rechtliche Prüfung aufbereitet werden sollten

Wenn die Bank eine Erstattung ablehnt oder den Vorwurf grober Fahrlässigkeit erhebt, kommt es auf eine strukturierte Zusammenstellung der Unterlagen an. Eine ungeordnete Sammlung aus Screenshots, E-Mails und Kontoauszügen erschwert häufig die rechtliche Prüfung.

Sinnvoll ist eine Unterteilung in mehrere Bereiche: zunächst die Kommunikation mit den Tätern, anschließend die technischen Vorgänge, danach die einzelnen Zahlungstransaktionen und schließlich der Schriftverkehr mit der Bank.

Zu jeder verdächtigen Zahlung sollte möglichst erkennbar sein, wann sie ausgeführt wurde, welcher Empfänger beteiligt war und ob der Betroffene den Vorgang selbst veranlasst oder lediglich eine vermeintliche Sicherheitsmaßnahme bestätigt hat.

Auch die Reaktion der Bank sollte vollständig dokumentiert werden. Dazu gehören die erste Schadensmeldung, mögliche Sperrbestätigungen, Nachfragen des Kreditinstituts und insbesondere eine schriftliche Ablehnung der Erstattung.

Auf dieser Grundlage lässt sich prüfen, ob die Voraussetzungen eines Anspruchs nach § 675u BGB vorliegen, ob die Bank ihre Nachweispflichten nach § 675w BGB erfüllt hat und ob eine mögliche Haftung des Kunden nach § 675v BGB tatsächlich begründet ist.

Fazit: Phishing-Geld verloren – vollständige Beweise verbessern die Möglichkeiten der Rückforderung

Wer durch Phishing Geld verloren hat, sollte sämtliche verfügbaren Beweise möglichst frühzeitig sichern. Kontoauszüge, Zahlungsbelege, E-Mails, SMS, Screenshots, Telefonnummern und technische Informationen können entscheidend sein, um den Betrugsablauf nachzuvollziehen. Besonders wichtig ist eine genaue Dokumentation der Frage, ob der Betroffene eine Zahlung selbst freigegeben hat oder ob die Täter eigenständig über das Konto verfügt haben.

Eine sorgfältige Beweissicherung erleichtert nicht nur die Kommunikation mit der Bank, sondern bildet auch eine wichtige Grundlage für die rechtliche Prüfung möglicher Erstattungsansprüche. Betroffene sollten deshalb keine Nachrichten oder Unterlagen vorschnell löschen und eine ablehnende Entscheidung der Bank anhand der tatsächlichen Vorgänge und der gesetzlichen Anforderungen überprüfen lassen.

Phishing Geld verloren – welche Möglichkeiten bestehen, wenn das Opfer die Überweisung selbst ausgelöst hat?

Wer durch Phishing Geld verloren hat, steht häufig vor einem besonderen rechtlichen Problem: Die Überweisung wurde nicht unmittelbar von den Tätern ausgeführt, sondern vom Betroffenen selbst veranlasst. Das Opfer hat beispielsweise eine Überweisung im Onlinebanking eingegeben und mit einer TAN oder PushTAN bestätigt. Erst später stellt sich heraus, dass der vermeintliche Zahlungsempfänger nicht existiert, die angebliche Sicherheitsmaßnahme eine Täuschung war oder das Geld tatsächlich auf ein Konto der Betrüger überwiesen wurde.

In solchen Fällen ist die rechtliche Ausgangslage häufig schwieriger als bei einer Überweisung, die ein Täter ohne Wissen und Zustimmung des Kontoinhabers eigenständig vorgenommen hat. Die Bank kann argumentieren, dass der Kunde den Zahlungsvorgang selbst autorisiert habe. Ein unmittelbarer Erstattungsanspruch nach § 675u BGB kommt dann möglicherweise nicht in Betracht.

Damit ist allerdings nicht automatisch entschieden, dass das Phishing-Opfer seinen gesamten finanziellen Verlust selbst tragen muss. Auch bei einer selbst ausgelösten Überweisung können weitere rechtliche Fragen entstehen. Entscheidend sind insbesondere die Umstände der Täuschung, die Informationen während der Zahlungsfreigabe und mögliche Pflichtverletzungen der beteiligten Zahlungsdienstleister.

8.1 Warum eine selbst ausgelöste Überweisung rechtlich anders zu beurteilen ist

Bei einem klassischen Phishing-Angriff verschaffen sich Täter beispielsweise Zugangsdaten zum Onlinebanking und führen anschließend eigenständig Überweisungen aus. Der Kontoinhaber hat der konkreten Zahlung nicht zugestimmt. In solchen Fällen kann ein Erstattungsanspruch nach § 675u BGB bestehen.

Anders kann die Situation aussehen, wenn das Opfer selbst eine Überweisung eingibt und bestätigt. Das ist beispielsweise der Fall, wenn ein angeblicher Bankmitarbeiter telefonisch erklärt, eine verdächtige Zahlung müsse durch eine Sicherheitsüberweisung verhindert werden. Der Betroffene folgt den Anweisungen und überweist Geld auf ein vermeintlich sicheres Konto. Tatsächlich gehört das Konto jedoch den Tätern oder wird von ihnen kontrolliert.

Auch andere Täuschungssituationen sind denkbar. Ein Betroffener glaubt beispielsweise, Geld an einen seriösen Anlageanbieter, einen vermeintlichen Geschäftspartner oder einen angeblichen Zahlungsdienstleister zu überweisen. Tatsächlich handelt es sich um eine betrügerische Organisation.

In diesen Fällen muss genau geprüft werden, ob der Betroffene der konkreten Zahlung zugestimmt hat. Eine Überweisung kann gegenüber der Bank autorisiert sein, obwohl der Kunde über den tatsächlichen Hintergrund, den Empfänger oder den wirtschaftlichen Zweck getäuscht wurde.

Die Täuschung allein beseitigt die Autorisierung nicht automatisch. Deshalb ist es wichtig, den Unterschied zwischen einer nicht autorisierten Zahlung und einer durch Täuschung veranlassten Überweisung zu verstehen.

8.2 Wann liegt trotz Phishing eine autorisierte Zahlung vor?

Eine Zahlung ist grundsätzlich autorisiert, wenn der Zahler ihr zugestimmt hat. Die Zustimmung kann nach den vereinbarten Verfahren erteilt werden, beispielsweise durch die Eingabe und Freigabe einer Überweisung im Onlinebanking.

Hat ein Betroffener den Zahlungsempfänger und den Betrag selbst eingegeben und anschließend die Überweisung bestätigt, kann eine Autorisierung vorliegen. Das gilt grundsätzlich auch dann, wenn er aufgrund falscher Angaben davon ausging, dass die Zahlung einem anderen Zweck diene.

Ein Beispiel: Ein angeblicher Bankmitarbeiter behauptet, auf dem Konto des Kunden seien unberechtigte Aktivitäten festgestellt worden. Um das Geld zu schützen, müsse es vorübergehend auf ein angebliches Sicherheitskonto übertragen werden. Der Betroffene gibt daraufhin eine Überweisung ein und bestätigt sie mit einer TAN.

Aus Sicht des Betroffenen sollte die Zahlung der Sicherung seines Vermögens dienen. Tatsächlich gelangt das Geld jedoch auf ein Konto der Täter. Die Zahlung wurde vom Kunden selbst ausgelöst, obwohl er über ihren tatsächlichen Zweck getäuscht wurde.

In einem solchen Fall muss geprüft werden, ob die Überweisung gegenüber der Bank autorisiert wurde. Der Umstand, dass der Kunde getäuscht wurde, führt nicht automatisch dazu, dass die Zahlung als nicht autorisiert gilt.

Wichtig ist außerdem, dass die konkrete technische Ausgestaltung betrachtet wird. Hat der Täter die Zahlung tatsächlich selbst eingegeben und musste der Betroffene nur eine Freigabe erteilen, kann die rechtliche Beurteilung von der Situation abweichen, in der der Kunde den Empfänger und den Betrag eigenständig in seinem Onlinebanking erfasst hat.

8.3 Kann die Bank bei einer selbst ausgelösten Überweisung trotzdem haften?

Auch wenn der Betroffene eine Überweisung selbst veranlasst hat, sollte geprüft werden, ob die Bank ihre gesetzlichen und vertraglichen Pflichten eingehalten hat. Allerdings besteht keine allgemeine Verpflichtung der Bank, jede vom Kunden selbst freigegebene Überweisung auf ihre wirtschaftliche Sinnhaftigkeit oder die Seriosität des Empfängers zu überprüfen.

Die rechtliche Prüfung muss deshalb konkrete Anhaltspunkte berücksichtigen. Von Bedeutung kann beispielsweise sein, ob die Bank erkennbare Auffälligkeiten im Zahlungsverkehr festgestellt hat, ob besondere Sicherheitsvorgaben bestanden oder ob ein technischer Fehler vorlag.

Auch die konkrete Ausführung der Zahlung kann relevant sein. Wurde der Auftrag korrekt verarbeitet? Stimmen Empfängerdaten und Überweisungsbetrag mit dem erteilten Auftrag überein? Gab es technische Unregelmäßigkeiten oder Probleme bei der Authentifizierung?

Eine Bank haftet nicht allein deshalb, weil ein Kunde durch eine überzeugende Betrugsgeschichte zu einer Überweisung veranlasst wurde. Umgekehrt bedeutet die eigene Freigabe aber nicht, dass jede denkbare Pflichtverletzung der Bank ausgeschlossen ist.

Deshalb sollte der gesamte Zahlungsvorgang untersucht werden. Dazu gehören die Überweisungsdaten, die Kommunikation mit der Bank, mögliche Warnhinweise und die Umstände, unter denen der Auftrag erteilt wurde.

8.4 Welche Bedeutung hat die Empfängerüberprüfung bei Überweisungen?

Bei Überweisungen kann auch die Überprüfung des Zahlungsempfängers eine Rolle spielen. Im europäischen Zahlungsverkehr wurden hierfür zusätzliche Verfahren eingeführt, bei denen der angegebene Name des Empfängers mit den Kontoinhaberdaten abgeglichen werden kann.

Eine solche Empfängerüberprüfung kann dazu beitragen, bestimmte Fehlüberweisungen und Betrugsfälle zu erkennen. Sie ist jedoch keine umfassende Seriositätsprüfung des Zahlungsempfängers. Auch ein betrügerisch genutztes Konto kann auf den tatsächlichen Namen des Kontoinhabers geführt werden.

Betroffene sollten deshalb prüfen, welche Angaben ihnen vor der Freigabe angezeigt wurden und ob es Hinweise auf eine Abweichung zwischen dem eingegebenen Namen und dem tatsächlichen Kontoinhaber gab.

Wurde eine Warnung angezeigt, sollte dokumentiert werden, welchen Inhalt sie hatte und wie der Betroffene darauf reagiert hat. Wurde dagegen keine Abweichung mitgeteilt, obwohl eine solche vorhanden war, kann dies für die weitere rechtliche Prüfung relevant sein.

Die Empfängerüberprüfung ersetzt allerdings nicht die Prüfung der Autorisierung und begründet nicht automatisch einen Erstattungsanspruch. Entscheidend bleibt, welche gesetzlichen Pflichten im konkreten Zahlungsvorgang bestanden und ob diese eingehalten wurden.

8.5 Kann eine Überweisung nachträglich noch gestoppt oder das Geld gesichert werden?

Auch bei einer selbst ausgelösten Überweisung sollten Betroffene unverzüglich ihre Bank kontaktieren. Selbst wenn die Zahlung bereits bestätigt wurde, kann es sinnvoll sein, den Vorgang sofort zu melden und die Bank um Prüfung möglicher Sicherungsmaßnahmen zu bitten.

Dabei ist entscheidend, ob die Überweisung bereits ausgeführt wurde und ob das Geld noch auf dem Empfängerkonto vorhanden ist. Ist der Betrag noch nicht weitergeleitet worden, können unter Umständen Maßnahmen über die Empfängerbank geprüft werden.

Wurde das Geld bereits auf andere Konten übertragen oder abgehoben, wird die Sicherung schwieriger. Bei grenzüberschreitenden Zahlungen können weitere Zahlungsdienstleister und unterschiedliche Rechtsordnungen beteiligt sein.

Betroffene sollten der Bank deshalb sämtliche verfügbaren Informationen mitteilen. Besonders wichtig sind:

• IBAN und BIC des Empfängers.
• Name des angegebenen Zahlungsempfängers.
• Überweisungsbetrag und Währung.
• Datum und Uhrzeit der Transaktion.
• Verwendungszweck.
• Zahlungsreferenz und Buchungsinformationen.
• Angaben zu weiteren beteiligten Zahlungsdienstleistern.

Die Bank sollte um eine nachvollziehbare Auskunft gebeten werden, welche Maßnahmen sie zur Prüfung und möglichen Sicherung des Geldes eingeleitet hat. Eine erfolgreiche Rückholung kann jedoch nicht garantiert werden.

8.6 Welche Ansprüche kommen gegen die Betrüger infrage?

Wenn ein Phishing-Opfer selbst Geld an die Täter überwiesen hat, können auch Ansprüche gegen die unmittelbar Verantwortlichen bestehen. Je nach Sachverhalt kommen insbesondere Schadensersatz- oder Rückzahlungsansprüche in Betracht.

Eine mögliche Anspruchsgrundlage kann § 823 Abs. 2 BGB in Verbindung mit einem einschlägigen Schutzgesetz sein. Auch § 826 BGB kann bei einer vorsätzlichen sittenwidrigen Schädigung relevant werden. Daneben können bereicherungsrechtliche Ansprüche nach § 812 BGB zu prüfen sein, wenn eine Zahlung ohne rechtlichen Grund erfolgt ist.

Welche Anspruchsgrundlage tatsächlich greift, hängt von den konkreten Umständen ab. Insbesondere muss geklärt werden, wer das Geld erhalten hat, wer an der Täuschung beteiligt war und ob sich die Verantwortlichen identifizieren lassen.

In der Praxis ist die Durchsetzung solcher Ansprüche häufig schwierig. Täter verwenden nicht selten fremde oder missbräuchlich genutzte Konten, Strohleute und verschachtelte Zahlungswege. Dadurch kann es kompliziert sein, die wirtschaftlich verantwortlichen Personen festzustellen und tatsächlich noch vorhandenes Vermögen zu erreichen.

Trotzdem sollten Betroffene die Zahlungswege genau dokumentieren. Empfängerkonten, beteiligte Zahlungsdienstleister und weitere bekannte Informationen können für die rechtliche Aufarbeitung wichtig sein.

8.7 Welche Bedeutung hat die Empfängerbank bei einem Phishing-Schaden?

Neben der eigenen Bank kann unter bestimmten Voraussetzungen auch die Empfängerbank eine Rolle spielen. Das gilt insbesondere dann, wenn das überwiesene Geld auf einem Konto eingegangen ist, das von den Tätern für den Betrug genutzt wurde.

Allerdings haftet eine Empfängerbank nicht automatisch dafür, dass auf einem bei ihr geführten Konto betrügerische Zahlungen eingehen. Es muss vielmehr geprüft werden, ob sie eigene gesetzliche oder vertragliche Pflichten verletzt hat und ob diese Pflichtverletzung für den entstandenen Schaden rechtlich relevant war.

Von Bedeutung können beispielsweise konkrete Hinweise auf verdächtige Kontobewegungen, Auffälligkeiten bei der Kontoeröffnung oder erkennbare Unregelmäßigkeiten im Zahlungsverkehr sein. Auch die Frage, ob die Bank im Rahmen ihrer Pflichten angemessen auf solche Hinweise reagiert hat, kann untersucht werden.

Eine solche Prüfung setzt allerdings belastbare Informationen voraus. Die bloße Tatsache, dass ein Betrüger ein Konto bei einer bestimmten Bank verwendet hat, genügt nicht, um einen Schadensersatzanspruch gegen dieses Kreditinstitut zu begründen.

Betroffene sollten deshalb möglichst genaue Angaben zum Empfängerkonto und zum Zahlungsweg sichern. Eine rechtliche Bewertung kann klären, ob neben Ansprüchen gegen die Täter auch eine Haftung eines beteiligten Zahlungsdienstleisters in Betracht kommt.

8.8 Was sollten Betroffene tun, wenn sie selbst eine Überweisung an Betrüger freigegeben haben?

Wer eine Überweisung aufgrund einer Täuschung selbst ausgelöst hat, sollte den Vorgang nicht verharmlosen, aber auch nicht vorschnell davon ausgehen, dass jede Rückforderung ausgeschlossen ist.

Zunächst sollte die Bank unverzüglich über den Betrug informiert werden. Dabei sollte der Betroffene ausdrücklich erklären, dass die Überweisung aufgrund einer Täuschung erfolgt ist. Gleichzeitig sollte er darlegen, welchen Zweck er mit der Zahlung nach seiner Vorstellung verfolgt hat und welche Angaben die Täter gemacht haben.

Wichtig ist eine genaue Beschreibung des Geschehens. Dazu gehören insbesondere:

• Welche Person oder Organisation hat die Zahlung verlangt?
• Welche Begründung wurde für die Überweisung genannt?
• Welcher Empfänger und welcher Betrag wurden angezeigt?
• Welche Informationen wurden während der Zahlungsfreigabe mitgeteilt?
• Wurde der Betroffene telefonisch oder schriftlich unter Druck gesetzt?
• Wurde die Zahlung als Sicherheitsmaßnahme, Anlage oder sonstiger Vorgang dargestellt?
• Wann wurde der Betrug erkannt?
• Wann wurde die Bank informiert?

Die Angaben sollten durch Nachrichten, Screenshots, Überweisungsbelege und sonstige Unterlagen ergänzt werden. Auch die Kommunikation mit angeblichen Bankmitarbeitern oder Anlageberatern kann wichtig sein.

Anschließend sollte geprüft werden, ob neben möglichen Ansprüchen gegen die Täter auch rechtliche Ansprüche gegen die eigene Bank oder andere beteiligte Zahlungsdienstleister bestehen. Dabei darf nicht allein auf die Tatsache abgestellt werden, dass der Kunde die Überweisung selbst freigegeben hat.

8.9 Warum die Unterscheidung zwischen selbst ausgelöster und fremd ausgeführter Zahlung entscheidend ist

Bei einem Phishing-Schaden muss jede Transaktion möglichst genau eingeordnet werden. Es ist durchaus möglich, dass innerhalb eines einzigen Betrugs mehrere unterschiedliche Zahlungsvorgänge stattfinden.

Ein Beispiel: Ein Betroffener gibt zunächst seine Zugangsdaten auf einer gefälschten Internetseite ein. Anschließend führen die Täter eigenständig eine Überweisung aus. Später kontaktieren sie das Opfer telefonisch und bringen es dazu, eine weitere Zahlung selbst freizugeben.

In einem solchen Fall können die beiden Überweisungen rechtlich unterschiedlich zu beurteilen sein. Für die erste Zahlung kann ein Erstattungsanspruch nach § 675u BGB in Betracht kommen, wenn sie nicht autorisiert war. Bei der zweiten Zahlung muss dagegen geprüft werden, ob sie vom Betroffenen selbst autorisiert wurde und welche weiteren Ansprüche trotz der Täuschung bestehen.

Eine pauschale Bewertung des gesamten Schadens als einheitlicher Vorgang kann deshalb zu falschen Ergebnissen führen. Jede einzelne Transaktion sollte anhand ihres tatsächlichen Ablaufs untersucht werden.

Fazit: Auch bei selbst ausgelösten Überweisungen ist eine rechtliche Prüfung sinnvoll

Wer durch Phishing Geld verloren und die Überweisung selbst freigegeben hat, hat häufig eine schwierigere rechtliche Ausgangslage als ein Opfer, dessen Konto ohne Zustimmung belastet wurde. Ein Erstattungsanspruch nach § 675u BGB ist bei einer tatsächlich autorisierten Zahlung nicht ohne Weiteres gegeben. Daraus folgt jedoch nicht, dass sämtliche Möglichkeiten zur Rückforderung ausgeschlossen sind.

Entscheidend sind die Umstände der Täuschung, die konkrete Zahlungsfreigabe und mögliche Pflichtverletzungen der beteiligten Zahlungsdienstleister. Daneben können Ansprüche gegen die Täter oder unter bestimmten Voraussetzungen gegen weitere Beteiligte bestehen. Betroffene sollten deshalb den gesamten Zahlungsweg dokumentieren und jede einzelne Transaktion rechtlich gesondert prüfen lassen.

Phishing Geld verloren – wann ist anwaltliche Unterstützung sinnvoll und welche Ansprüche kommen infrage?

Wer durch Phishing Geld verloren hat, steht häufig vor erheblichen finanziellen und rechtlichen Problemen. Die Bank lehnt eine Erstattung ab, verweist auf eine angeblich ordnungsgemäße Authentifizierung oder behauptet, der Kunde habe grob fahrlässig gehandelt. Gleichzeitig sind die Täter oftmals nicht mehr erreichbar und das überwiesene Geld lässt sich zunächst nicht zurückverfolgen.

In dieser Situation kann anwaltliche Unterstützung sinnvoll sein. Entscheidend ist, den Sachverhalt rechtlich richtig einzuordnen und zu prüfen, gegen wen Ansprüche bestehen. Dabei geht es nicht nur um die Frage, ob die Bank den Schaden ersetzen muss. Auch mögliche Ansprüche gegen die Täter, den Zahlungsempfänger oder weitere beteiligte Zahlungsdienstleister können eine Rolle spielen.

Eine rechtliche Prüfung sollte möglichst früh erfolgen. Je länger Betroffene warten, desto schwieriger kann es werden, Zahlungswege nachzuvollziehen, Beweise zu sichern oder noch vorhandene Vermögenswerte zu erreichen. Außerdem müssen gesetzliche und vertragliche Fristen beachtet werden.

9.1 Wann sollten Phishing-Opfer einen Rechtsanwalt einschalten?

Anwaltliche Unterstützung ist insbesondere dann sinnvoll, wenn die Bank eine Erstattung ablehnt oder dem Kunden eine Pflichtverletzung vorwirft. Häufig berufen sich Kreditinstitute darauf, dass die Zahlung mit den vereinbarten Sicherheitsmerkmalen freigegeben worden sei. Daraus wird mitunter abgeleitet, der Kunde habe die Überweisung autorisiert oder grob fahrlässig gehandelt.

Eine solche Begründung sollte nicht ungeprüft akzeptiert werden. Die Verwendung einer PIN, TAN oder PushTAN beweist nicht automatisch, dass der Kontoinhaber der konkreten Zahlung rechtlich zugestimmt hat. Ebenso wenig folgt aus einer erfolgreichen Authentifizierung ohne Weiteres, dass dem Kunden grobe Fahrlässigkeit vorzuwerfen ist.

Ein Rechtsanwalt kann untersuchen, wie der Zahlungsvorgang tatsächlich abgelaufen ist und welche rechtlichen Anforderungen für die Erstattung gelten. Dabei sind insbesondere die Vorschriften der §§ 675u, 675v und 675w BGB zu berücksichtigen.

Auch wenn die Bank zunächst keine ausdrückliche Ablehnung ausspricht, kann eine frühzeitige rechtliche Einschätzung hilfreich sein. Das gilt beispielsweise, wenn das Kreditinstitut umfangreiche Erklärungen verlangt, eine Haftungsübernahme nahelegt oder den Kunden auffordert, den Betrug als selbst verschuldet zu bestätigen.

9.2 Welche Ansprüche können gegenüber der eigenen Bank bestehen?

Der wichtigste mögliche Anspruch bei einer nicht autorisierten Zahlung ergibt sich aus § 675u BGB. Danach muss der Zahlungsdienstleister grundsätzlich den Betrag einer nicht autorisierten Zahlung erstatten und das belastete Zahlungskonto wieder auf den Stand bringen, auf dem es sich ohne die Belastung befunden hätte.

Voraussetzung ist allerdings, dass tatsächlich keine wirksame Autorisierung vorlag und keine gesetzliche Ausnahme eingreift. Wurde die Zahlung vom Kunden selbst ausgelöst und bestätigt, kann die rechtliche Bewertung anders ausfallen. Deshalb muss zunächst geklärt werden, wer den konkreten Zahlungsvorgang veranlasst hat und welche Zustimmung erteilt wurde.

Daneben ist § 675w BGB von Bedeutung. Die Vorschrift regelt die Nachweispflichten des Zahlungsdienstleisters. Die Bank muss unter den gesetzlichen Voraussetzungen nachweisen, dass die Zahlung authentifiziert, ordnungsgemäß aufgezeichnet und verbucht wurde und nicht durch eine technische Störung oder einen anderen Mangel beeinträchtigt war. Die bloße Aufzeichnung der Verwendung eines Zahlungsinstruments reicht für sich genommen nicht zwingend aus, um eine Autorisierung oder eine grob fahrlässige Pflichtverletzung des Kunden nachzuweisen.

Auch § 675v BGB kann relevant sein. Die Vorschrift betrifft die mögliche Haftung des Zahlers bei missbräuchlicher Verwendung eines Zahlungsinstruments. Ob und in welchem Umfang der Kunde für den Schaden einstehen muss, hängt von den gesetzlichen Voraussetzungen und den konkreten Umständen des Phishing-Angriffs ab.

Eine anwaltliche Prüfung sollte deshalb nicht bei der Frage stehen bleiben, ob eine TAN eingegeben wurde. Vielmehr muss untersucht werden, ob der Kunde die konkrete Zahlung autorisiert hat, welche Nachweise die Bank vorlegen kann und ob die Voraussetzungen einer Kundenhaftung tatsächlich erfüllt sind.

9.3 Welche Ansprüche bestehen, wenn der Kunde die Überweisung selbst ausgelöst hat?

Hat das Opfer die Überweisung selbst eingegeben und freigegeben, ist ein Erstattungsanspruch nach § 675u BGB nicht ohne Weiteres gegeben. Die Zahlung kann gegenüber der Bank autorisiert sein, obwohl der Kunde durch falsche Angaben der Täter zu dieser Entscheidung veranlasst wurde.

Damit endet die rechtliche Prüfung jedoch nicht. Auch bei einer durch Täuschung ausgelösten Zahlung können andere Ansprüche in Betracht kommen. Zu untersuchen ist insbesondere, ob die Täter selbst schadensersatzpflichtig sind und ob weitere Beteiligte rechtlich verantwortlich gemacht werden können.

Je nach Sachverhalt können Ansprüche aus § 823 Abs. 2 BGB in Verbindung mit einem einschlägigen Schutzgesetz, aus § 826 BGB oder aus § 812 BGB relevant sein. Welche Anspruchsgrundlage tatsächlich greift, hängt unter anderem davon ab, wer die Zahlung erhalten hat, welche Täuschungshandlungen vorgenommen wurden und ob ein rechtlicher Grund für die Vermögensverschiebung bestand.

Auch mögliche Pflichtverletzungen der eigenen Bank oder der Empfängerbank sollten geprüft werden. Eine Haftung folgt allerdings nicht allein daraus, dass eine Überweisung im Zusammenhang mit einem Betrug ausgeführt wurde. Es müssen konkrete rechtliche Voraussetzungen erfüllt sein.

Gerade bei selbst ausgelösten Überweisungen ist deshalb eine sorgfältige Trennung der einzelnen Zahlungsvorgänge wichtig. Wurden beispielsweise mehrere Überweisungen vorgenommen, kann jede davon rechtlich anders zu beurteilen sein.

9.4 Können auch die Täter oder die Empfänger eines Geldbetrags in Anspruch genommen werden?

Neben Ansprüchen gegenüber der eigenen Bank kommen Forderungen gegen die Personen infrage, die den Betrug organisiert oder von den Zahlungen profitiert haben. Die rechtliche Durchsetzung ist allerdings häufig schwierig, weil die Täter mit falschen Identitäten, fremden Konten oder verschachtelten Zahlungswegen arbeiten.

Ein Anspruch gegen die unmittelbar handelnden Täter kann sich beispielsweise aus einer vorsätzlichen unerlaubten Handlung ergeben. § 826 BGB setzt eine vorsätzliche sittenwidrige Schädigung voraus. § 823 Abs. 2 BGB kann in Verbindung mit einem einschlägigen Schutzgesetz einen weiteren Ansatz bieten.

Auch gegenüber einem Zahlungsempfänger können bereicherungsrechtliche Ansprüche nach § 812 BGB zu prüfen sein. Dabei muss jedoch festgestellt werden, ob und in welchem Umfang dieser tatsächlich etwas auf Kosten des Geschädigten erlangt hat und ob ein rechtlicher Grund für den Vermögensvorteil bestand.

Besonders schwierig ist die Situation, wenn das Geld zunächst auf ein Konto eines sogenannten Finanzagenten gelangt. Dabei handelt es sich um Personen, die Geld auf ihrem Konto entgegennehmen und anschließend an andere Konten weiterleiten. Ob diese Personen selbst haftbar gemacht werden können, hängt von ihrer konkreten Beteiligung, ihren Kenntnissen und den sonstigen Umständen ab.

Ein Rechtsanwalt kann prüfen, welche Personen oder Unternehmen als Anspruchsgegner infrage kommen und welche Informationen für eine spätere Durchsetzung benötigt werden. Eine Rückzahlung kann dadurch jedoch nicht garantiert werden. Insbesondere muss berücksichtigt werden, ob die Verantwortlichen identifizierbar und wirtschaftlich leistungsfähig sind.

9.5 Welche Rolle spielen die Empfängerbank und andere Zahlungsdienstleister?

Bei einem Phishing-Schaden kann es sinnvoll sein, nicht nur die eigene Bank zu betrachten. Auch die Bank, bei der das Empfängerkonto geführt wird, oder weitere beteiligte Zahlungsdienstleister können für die rechtliche Aufarbeitung relevant sein.

Eine Haftung der Empfängerbank setzt allerdings konkrete Pflichtverletzungen voraus. Allein die Tatsache, dass auf einem bei ihr geführten Konto betrügerisch erlangtes Geld eingegangen ist, begründet noch keinen Schadensersatzanspruch.

Zu untersuchen sein kann beispielsweise, ob konkrete Hinweise auf eine missbräuchliche Nutzung des Kontos vorlagen und ob die Bank im Rahmen ihrer gesetzlichen und vertraglichen Pflichten angemessen darauf reagiert hat. Auch Auffälligkeiten bei der Kontoeröffnung oder ungewöhnliche Zahlungsbewegungen können je nach Sachverhalt eine Rolle spielen.

Bei internationalen Zahlungswegen können weitere Banken und Zahlungsdienstleister beteiligt sein. Dann muss nachvollzogen werden, über welche Konten und Zahlungsstationen das Geld weitergeleitet wurde. Das kann insbesondere bei größeren Schadenssummen oder mehreren aufeinanderfolgenden Überweisungen wichtig sein.

Die rechtliche Prüfung muss dabei zwischen bloßen Auffälligkeiten und tatsächlich nachweisbaren Pflichtverletzungen unterscheiden. Nicht jede verdächtige Transaktion begründet automatisch eine Haftung des beteiligten Kreditinstituts.

9.6 Welche Unterlagen benötigt ein Rechtsanwalt für die Prüfung des Phishing-Schadens?

Eine fundierte rechtliche Einschätzung setzt eine möglichst vollständige Dokumentation voraus. Betroffene sollten deshalb alle Unterlagen sichern, die den Betrugsablauf und die anschließenden Zahlungen nachvollziehbar machen.

Besonders wichtig sind:

• Kontoauszüge mit sämtlichen betroffenen Buchungen.
• Überweisungsbelege mit Empfängername, IBAN, BIC, Betrag und Buchungsdatum.
• Nachrichten, E-Mails und SMS der angeblichen Bankmitarbeiter oder sonstigen Kontaktpersonen.
• Screenshots gefälschter Internetseiten und Zahlungsaufforderungen.
• Telefonnummern, E-Mail-Adressen und verwendete Internetadressen.
• Angaben zu Telefonaten und persönlichen Gesprächen mit den Tätern.
• Informationen über eingegebene Zugangsdaten und freigegebene TAN-Transaktionen.
• Schriftwechsel mit der eigenen Bank und deren bisherige Stellungnahmen.
• Angaben zu möglichen weiteren Empfängern oder beteiligten Zahlungsdienstleistern.

Auch eine chronologische Darstellung ist hilfreich. Darin sollte festgehalten werden, wann der erste Kontakt mit den Tätern erfolgte, welche Behauptungen aufgestellt wurden, welche Handlungen der Betroffene vorgenommen hat und zu welchem Zeitpunkt der Betrug erkannt wurde.

Besonders wichtig ist, zwischen den tatsächlich wahrgenommenen Vorgängen und späteren Vermutungen zu unterscheiden. Eine präzise Darstellung erleichtert die rechtliche Bewertung und verhindert, dass wichtige Einzelheiten übersehen werden.

9.7 Welche Fristen müssen Phishing-Opfer beachten?

Bei der Rückforderung von Phishing-Schäden spielen Fristen eine wichtige Rolle. Betroffene sollten deshalb nicht abwarten, bis sämtliche Hintergründe des Betrugs aufgeklärt sind.

Nach § 676b BGB muss der Zahlungsdienstleister grundsätzlich unverzüglich informiert werden, sobald der Kunde eine nicht autorisierte oder fehlerhaft ausgeführte Zahlung festgestellt hat. Die Anzeige muss grundsätzlich spätestens innerhalb von 13 Monaten nach dem Tag der Belastung erfolgen. Für die konkrete Fristberechnung sind die gesetzlichen Voraussetzungen und mögliche Besonderheiten des Einzelfalls zu beachten.

Daneben können Verjährungsfristen für Ansprüche gegen Täter, Zahlungsempfänger oder andere Beteiligte relevant sein. Die regelmäßige Verjährungsfrist beträgt grundsätzlich drei Jahre. Ihr Beginn richtet sich nach den gesetzlichen Voraussetzungen und kann insbesondere davon abhängen, wann der Anspruch entstanden ist und wann der Geschädigte von den maßgeblichen Umständen und der Person des Schuldners Kenntnis erlangt hat oder ohne grobe Fahrlässigkeit hätte erlangen müssen.

Die Fristen sind nicht für sämtliche denkbaren Ansprüche identisch. Deshalb sollte frühzeitig geklärt werden, welche Forderungen bestehen und wann diese geltend gemacht werden müssen.

9.8 Was ist zu beachten, wenn die Bank die Erstattung bereits abgelehnt hat?

Eine Ablehnung durch die Bank bedeutet nicht automatisch, dass keine weiteren Ansprüche bestehen. Kreditinstitute begründen ihre Entscheidungen häufig damit, dass die Zahlung ordnungsgemäß authentifiziert worden sei oder der Kunde durch die Weitergabe von Zugangsdaten beziehungsweise die Freigabe einer PushTAN grob fahrlässig gehandelt habe.

Ob diese Begründung trägt, muss anhand des konkreten Sachverhalts geprüft werden. Eine technische Authentifizierung ist nicht ohne Weiteres mit einer rechtlich wirksamen Autorisierung gleichzusetzen. Ebenso muss eine behauptete grobe Fahrlässigkeit anhand der tatsächlichen Umstände bewertet werden.

Sinnvoll ist es, eine schriftliche und nachvollziehbare Begründung der Bank anzufordern. Dabei sollte insbesondere geklärt werden, auf welche Tatsachen und Nachweise sie ihre Entscheidung stützt und ob sie die gesetzlichen Anforderungen an die Darlegung und den Nachweis berücksichtigt hat.

Anschließend kann geprüft werden, ob eine erneute außergerichtliche Geltendmachung der Forderung sinnvoll ist oder ob weitere rechtliche Schritte in Betracht kommen. Dabei sollte auch berücksichtigt werden, ob die Bank einzelne Zahlungsvorgänge möglicherweise unzutreffend zusammengefasst oder unterschiedliche Sachverhalte gleich behandelt hat.

Betroffene sollten nicht vorschnell auf ihre Ansprüche verzichten oder eine Haftungsbestätigung unterzeichnen, ohne deren rechtliche Folgen zu kennen.

9.9 Wann kommt ein gerichtliches Vorgehen gegen die Bank infrage?

Wenn die Bank eine Erstattung endgültig verweigert und eine außergerichtliche Klärung nicht möglich ist, kann ein gerichtliches Vorgehen geprüft werden. Ob sich ein solches Verfahren wirtschaftlich und rechtlich lohnt, hängt von der Höhe des Schadens, der Beweislage und den Erfolgsaussichten ab.

Vor einer Klage muss insbesondere geklärt werden, ob die Zahlung tatsächlich nicht autorisiert war, welche Nachweise die Bank vorlegen muss und ob der Kunde möglicherweise nach § 675v BGB haftet. Auch die Einhaltung der gesetzlichen Fristen und die vollständige Dokumentation des Zahlungsvorgangs sind von Bedeutung.

Bei einer selbst ausgelösten Überweisung ist zusätzlich zu prüfen, ob andere Anspruchsgrundlagen bestehen. Eine Klage gegen die eigene Bank kann nicht allein darauf gestützt werden, dass der Kunde durch eine Täuschung zur Zahlung veranlasst wurde. Es müssen vielmehr konkrete rechtliche Anknüpfungspunkte vorliegen.

Ein gerichtliches Verfahren kann mit Kosten und Risiken verbunden sein. Deshalb sollten die Erfolgsaussichten und die möglichen finanziellen Folgen vorab sorgfältig bewertet werden. Eine bestimmte Entscheidung des Gerichts oder eine vollständige Erstattung lässt sich nicht vorhersagen.

Fazit: Phishing Geld verloren – rechtliche Ansprüche sorgfältig prüfen lassen

Wer durch Phishing Geld verloren hat, sollte nicht vorschnell davon ausgehen, dass eine Rückforderung ausgeschlossen ist. Auch wenn die Bank eine Erstattung ablehnt oder der Betroffene die Überweisung selbst ausgelöst hat, können weitere rechtliche Möglichkeiten bestehen.

Entscheidend ist die Unterscheidung zwischen nicht autorisierten und selbst freigegebenen Zahlungen. Bei nicht autorisierten Transaktionen können insbesondere Ansprüche nach § 675u BGB relevant sein. Bei selbst ausgelösten Überweisungen müssen dagegen die Täuschung, mögliche Ansprüche gegen die Täter und etwaige Pflichtverletzungen beteiligter Zahlungsdienstleister gesondert untersucht werden.

Eine anwaltliche Prüfung kann helfen, die Anspruchsgrundlagen einzuordnen, die Beweislage zu bewerten und die nächsten Schritte gegenüber der Bank oder anderen Beteiligten festzulegen. Dabei sollte stets der konkrete Zahlungsablauf im Mittelpunkt stehen.

Kanzlei Wilms – Experten bei Online-Anlagebetrug

Die Kanzlei Wilms unterstützt seit Jahren Mandanten, die Opfer von Online-Anlagebetrug, Kryptobetrug, Fake Brokern, Investmentbetrug, Bitcoin-Betrug oder Recovery Scams geworden sind.

Unsere Mandanten kommen aus ganz Deutschland sowie aus dem Ausland. Viele Verfahren weisen internationale Bezüge auf und betreffen grenzüberschreitende Zahlungsströme, Kryptowährungen oder komplexe Unternehmensstrukturen.

Wir analysieren unter anderem:

• Banküberweisungen
• SEPA- und SWIFT-Zahlungen
• Kreditkartenzahlungen
• Zahlungsdienstleister
• Kryptobörsen und Wallet-Transaktionen
• internationale Zahlungsstrukturen

Mehr Informationen finden Sie in unserem Blog.