Phishing Geld zurück von Bank – unter welchen Voraussetzungen können Betroffene ihr verlorenes Geld zurückfordern?

Wer durch Phishing Geld verloren hat, steht häufig vor einer doppelten Belastung: Das eigene Konto wurde geplündert oder es wurden Überweisungen ausgeführt, die der Kontoinhaber nicht beabsichtigt hatte, und anschließend erklärt die Bank, die Zahlungen seien technisch ordnungsgemäß freigegeben worden. Für Betroffene stellt sich deshalb die entscheidende Frage, ob sie das verlorene Geld von ihrer Bank zurückverlangen können. Die Antwort hängt von den konkreten Umständen des Angriffs, der Art der Zahlung und den gesetzlichen Voraussetzungen ab. Eine Erstattung ist möglich, aber nicht in jedem Fall automatisch geschuldet.

Besonders wichtig ist die Unterscheidung zwischen einer nicht autorisierten Zahlung und einer Überweisung, die der Betroffene selbst veranlasst hat, weil er auf eine gefälschte Nachricht, eine manipulierte Internetseite oder einen vermeintlichen Bankmitarbeiter hereingefallen ist. Beide Situationen können im Alltag als Phishing-Schaden bezeichnet werden. Rechtlich können sie jedoch unterschiedlich zu beurteilen sein. Deshalb sollte nicht allein danach gefragt werden, ob ein Betrüger Zugang zum Onlinebanking erhalten hat. Entscheidend ist auch, wer den konkreten Zahlungsvorgang ausgelöst oder autorisiert hat und welche Erklärungen der Kontoinhaber dazu abgegeben hat.

Eine wichtige Anspruchsgrundlage ist § 675u BGB. Die Vorschrift regelt die Pflichten des Zahlungsdienstleisters bei nicht autorisierten Zahlungsvorgängen. Ist eine Kontobelastung tatsächlich nicht autorisiert, muss die Bank grundsätzlich den Betrag erstatten und das belastete Zahlungskonto wieder auf den Stand bringen, auf dem es sich ohne die Belastung befunden hätte. Für Betroffene bedeutet das: Wenn ein Dritter aufgrund eines Phishing-Angriffs eigenständig Geld vom Konto abbucht oder Überweisungen ohne wirksame Zustimmung des Kontoinhabers ausführt, kann ein gesetzlicher Erstattungsanspruch bestehen.

Allerdings reicht es nicht immer aus, gegenüber der Bank pauschal zu erklären, man sei Opfer von Phishing geworden. Der konkrete Ablauf muss aufgearbeitet werden. Wurde eine gefälschte Bankseite geöffnet? Hat der Betroffene dort Zugangsdaten eingegeben? Wurde anschließend eine TAN übermittelt oder eine PushTAN-Mitteilung bestätigt? Hat ein angeblicher Bankmitarbeiter am Telefon zur Freigabe einer angeblichen Sicherheitsmaßnahme aufgefordert? Oder hat der Täter selbstständig eine Zahlung vorgenommen, nachdem er zuvor Zugang zum Konto erlangt hatte? Diese Einzelheiten können für die rechtliche Bewertung entscheidend sein.

Ein typischer Fall liegt vor, wenn eine Person eine täuschend echt gestaltete Nachricht erhält, die angeblich von ihrer Bank stammt. Darin wird sie aufgefordert, ihr Konto über einen Link zu bestätigen, eine Sicherheitsfunktion zu erneuern oder eine vermeintlich verdächtige Transaktion zu überprüfen. Die verlinkte Internetseite imitiert den echten Bankauftritt. Gibt das Opfer dort seine Zugangsdaten ein, können die Täter diese Informationen nutzen, um auf das Onlinebanking zuzugreifen. Werden anschließend Überweisungen ausgeführt, muss geprüft werden, ob der Kontoinhaber diese Zahlungen tatsächlich autorisiert hat oder ob die Täter ohne seine Zustimmung gehandelt haben.

Die Eingabe von Zugangsdaten ist nicht ohne Weiteres mit der Zustimmung zu jeder späteren Überweisung gleichzusetzen. Auch eine technische Authentifizierung beantwortet nicht automatisch die Frage, ob der Kunde den konkreten Zahlungsvorgang autorisiert hat. Diese Unterscheidung ist besonders relevant, wenn die Bank ihre Ablehnung damit begründet, die Zahlung sei mit den richtigen Zugangsdaten, einer TAN oder einem registrierten Gerät ausgeführt worden. Die technische Durchführung kann ein wichtiger Teil der Prüfung sein, ersetzt aber nicht die rechtliche Bewertung der Autorisierung.

Anders kann die Ausgangslage sein, wenn der Betroffene selbst eine Überweisung in seinem Onlinebanking anlegt und sie anschließend freigibt, weil er aufgrund einer Täuschung glaubt, sein Geld auf ein sicheres Konto zu übertragen. In dieser Konstellation kann eine wirksame Autorisierung vorliegen, obwohl die Entscheidung auf falschen Angaben eines Betrügers beruht. Der Umstand, dass die Überweisung durch Phishing oder Social Engineering veranlasst wurde, führt nicht automatisch dazu, dass die Bank den Betrag nach § 675u BGB erstatten muss. Es ist dann gesondert zu prüfen, ob andere Ansprüche in Betracht kommen und ob der Bank im konkreten Fall Pflichtverletzungen vorzuwerfen sind.

Für die Anspruchsprüfung ist deshalb eine möglichst genaue Chronologie wichtig. Betroffene sollten festhalten, wann sie die verdächtige Nachricht erhalten haben, über welchen Link sie auf eine Internetseite gelangten, welche Daten sie eingegeben haben und wann die unberechtigten oder betrugsbedingt ausgelösten Zahlungen erfolgten. Ebenso relevant sind der Zeitpunkt, zu dem der Betrug bemerkt wurde, und die anschließende Kontaktaufnahme mit der Bank. Kontoumsätze, Zahlungsbelege, SMS, PushTAN-Mitteilungen, E-Mails, Chatverläufe und Screenshots können dabei helfen, den Ablauf zu rekonstruieren.

Auch die Höhe des Schadens und die Zahl der einzelnen Transaktionen sollten präzise dokumentiert werden. Wurden mehrere Überweisungen nacheinander ausgeführt, ist jede Zahlung einzeln zu betrachten. Es kann beispielsweise relevant sein, ob die erste Transaktion unbemerkt erfolgte, ob weitere Zahlungen innerhalb weniger Minuten hinzukamen oder ob ungewöhnlich hohe Beträge an bislang unbekannte Empfänger überwiesen wurden. Solche Umstände können für die Beurteilung des Sachverhalts und möglicher Pflichten der Bank eine Rolle spielen. Sie begründen für sich genommen allerdings noch keinen sicheren Erstattungsanspruch.

Die Bank kann sich bei der Prüfung nicht allein auf die pauschale Feststellung beschränken, dass ihre Systeme eine erfolgreiche Anmeldung oder Freigabe registriert hätten. Nach § 675w BGB gelten besondere Anforderungen an den Nachweis der Authentifizierung und der ordnungsgemäßen Aufzeichnung und Verbuchung eines Zahlungsvorgangs. Soweit streitig ist, ob der Kunde eine Zahlung autorisiert hat, sind die gesetzlichen Nachweisregeln zu beachten. Eine technisch erfolgreiche Authentifizierung belegt nicht in jedem Fall, dass der Kontoinhaber tatsächlich zugestimmt hat oder dass er vorsätzlich beziehungsweise grob fahrlässig gehandelt hat.

Das bedeutet nicht, dass jede Ablehnung der Bank rechtswidrig wäre. Die konkrete Beweislage, der Ablauf der Freigabe und das Verhalten des Kunden bleiben relevant. Wenn beispielsweise eine Zahlung ausdrücklich bestätigt wurde, nachdem der Kunde eine eindeutige Zahlungsübersicht mit Empfänger und Betrag gesehen hatte, kann das anders zu bewerten sein als ein Fall, in dem der Betroffene lediglich Zugangsdaten auf einer gefälschten Seite eingegeben hat. Auch die Frage, welche Informationen bei einer TAN-Freigabe angezeigt wurden und wie der Täter die Sicherheitsverfahren überwinden konnte, kann für die Bewertung erheblich sein.

Für die Frage, ob Phishing-Opfer ihr Geld zurückerhalten können, ist außerdem § 675v BGB wichtig. Die Vorschrift betrifft unter bestimmten Voraussetzungen eine mögliche Haftung des Zahlers bei missbräuchlicher Nutzung eines Zahlungsinstruments. Bei einer nicht autorisierten Zahlung kann die Bank unter den gesetzlichen Voraussetzungen Ersatz verlangen, wenn der Kunde seine Pflichten vorsätzlich oder grob fahrlässig verletzt und dadurch der Schaden entstanden ist. Eine solche Haftung darf jedoch nicht allein aus dem Umstand abgeleitet werden, dass die Täter Zugangsdaten erlangt oder eine Sicherheitsabfrage erfolgreich durchlaufen haben. Die konkreten Umstände und die gesetzlichen Anforderungen müssen geprüft werden.

Einzelnorm +1

In der Praxis kommt es deshalb häufig auf die Frage an, ob dem Betroffenen ein schwerwiegender Sorgfaltsverstoß vorgeworfen werden kann. Banken argumentieren mitunter, Kunden hätten eine TAN weitergegeben, eine PushTAN-Freigabe bestätigt oder Sicherheitsdaten auf einer gefälschten Seite eingegeben. Daraus folgt aber nicht automatisch, dass der gesamte Schaden beim Kunden verbleibt. Entscheidend ist, welche Informationen dem Betroffenen tatsächlich angezeigt wurden, wie überzeugend die Täuschung gestaltet war, welche Warnhinweise erkennbar waren und ob das beanstandete Verhalten rechtlich als grob fahrlässig zu bewerten ist. Ebenso muss der Zusammenhang zwischen einer möglichen Pflichtverletzung und dem entstandenen Schaden berücksichtigt werden.

Besondere Aufmerksamkeit verdient die Gestaltung von Freigabeprozessen. Wenn eine PushTAN-Mitteilung einen konkreten Empfänger und einen bestimmten Betrag ausweist, kann die Bestätigung anders zu bewerten sein als eine scheinbar allgemeine Sicherheitsabfrage ohne verständliche Hinweise auf eine Geldbewegung. Auch bei einer SMS-TAN ist zu untersuchen, welchen Inhalt die begleitende Nachricht hatte und wofür der Code nach Darstellung der Betrüger verwendet werden sollte. Wer von einem vermeintlichen Bankmitarbeiter unter Zeitdruck gesetzt wurde, kann sich in einer anderen tatsächlichen Situation befunden haben als jemand, der eine klar erkennbare Überweisung an einen unbekannten Empfänger bewusst bestätigt hat. Eine pauschale Beurteilung allein anhand des verwendeten Authentifizierungsverfahrens greift daher zu kurz.

Betroffene sollten außerdem darauf achten, dass die Bank den Vorfall nicht lediglich als selbst verursachten Schaden einordnet, ohne die einzelnen Vorgänge nachvollziehbar zu erläutern. Eine schriftliche Ablehnung sollte möglichst konkret erkennen lassen, auf welche Transaktionen sich die Entscheidung bezieht, welche Freigabeschritte dokumentiert wurden und welche Pflichtverletzung die Bank behauptet. Wird nur mitgeteilt, dass die Anmeldung mit korrekten Zugangsdaten erfolgt sei, bleibt offen, ob damit auch die Zustimmung zu den konkreten Zahlungen belegt werden soll. Gerade diese Unterscheidung ist für die weitere Anspruchsprüfung wichtig.

Auch die zeitliche Abfolge kann rechtlich bedeutsam sein. Wurden die unberechtigten Buchungen erst nach einem erfolgreichen Phishing-Angriff vorgenommen, stellt sich die Frage, ob die Täter die Zugangsdaten missbraucht oder der Betroffene selbst einzelne Zahlungen ausgelöst hat. Wurde die Bank bereits vor einer weiteren Transaktion über den Verdacht informiert, muss zusätzlich geprüft werden, welche Informationen ihr zu diesem Zeitpunkt vorlagen und welche Maßnahmen sie ergriffen hat. Eine zeitnahe Mitteilung des Verdachts und die Dokumentation des Kontakts mit der Bank können daher bei der späteren Bewertung helfen.

Nach Entdeckung des Phishing-Angriffs sollte der Kontoinhaber nicht abwarten, bis sämtliche Einzelheiten geklärt sind. Er sollte die Bank unverzüglich über die verdächtigen Zahlungsvorgänge informieren, die betroffenen Zugänge und Zahlungsinstrumente sichern beziehungsweise sperren lassen und die fraglichen Buchungen ausdrücklich als nicht autorisiert beanstanden, soweit dies dem tatsächlichen Ablauf entspricht. Wurden Zugangsdaten auch für andere Konten oder Dienste verwendet, sollten diese ebenfalls abgesichert werden. Bei einem Verdacht auf Fernzugriff durch Täter ist außerdem zu prüfen, ob das verwendete Gerät kompromittiert wurde und vor einer erneuten Nutzung technisch überprüft werden sollte.

Für die spätere rechtliche Beurteilung ist es hilfreich, die Mitteilung an die Bank so konkret wie möglich zu formulieren. Dazu gehören das Datum der jeweiligen Buchung, der Betrag, der Empfänger, die Referenz der Transaktion und eine kurze Beschreibung, weshalb die Zahlung nicht autorisiert war. Wer mehrere Buchungen beanstandet, sollte diese einzeln aufführen, statt nur den gesamten Kontoverlust zu nennen. Dadurch wird klarer, welche Vorgänge untersucht werden sollen und auf welche Belastungen sich ein Erstattungsverlangen bezieht.

Der gesetzliche Erstattungsanspruch bei einer nicht autorisierten Zahlung ist grundsätzlich zeitnah zu erfüllen. § 675u BGB sieht vor, dass der Zahlungsdienstleister den Betrag unverzüglich erstatten und das Konto wieder auf den Stand ohne die Belastung bringen muss. Die Vorschrift nennt als spätesten Zeitpunkt grundsätzlich das Ende des Geschäftstags nach dem Tag, an dem die Bank über die fehlende Autorisierung informiert wurde oder anderweitig davon Kenntnis erlangt hat. Für die gesetzlich geregelte Ausnahme bei einem Verdacht auf betrügerisches Verhalten gelten besondere Voraussetzungen.

norm.gekko.de +1

Das bedeutet für Betroffene nicht, dass jede Bank nach einer kurzen Mitteilung ohne weitere Prüfung sofort jede behauptete Schadenssumme auszahlen muss. Zunächst kann streitig sein, ob die Zahlung tatsächlich nicht autorisiert war und welche Tatsachen den Vorfall belegen. Die Bank muss dabei die einschlägigen gesetzlichen Anforderungen beachten. Ebenso kann sie versuchen, dem Kunden eine Haftung wegen einer vorsätzlichen oder grob fahrlässigen Pflichtverletzung entgegenzuhalten. Ob dies rechtlich trägt, lässt sich erst nach Prüfung der konkreten Abläufe und der vorhandenen Beweismittel beurteilen.

Eine sachgerechte Prüfung sollte daher mehrere Fragen voneinander trennen: Wurde die Zahlung technisch authentifiziert? Hat der Kontoinhaber der konkreten Transaktion zugestimmt? Hat er Sicherheitsmerkmale entgegen den vereinbarten Pflichten verwendet oder weitergegeben? Ist ihm eine relevante Pflichtverletzung nachweisbar, und hat diese den Schaden verursacht? Welche Informationen und Warnhinweise waren während des Freigabevorgangs erkennbar? Und hat die Bank den Vorgang ordnungsgemäß dokumentiert? Diese Fragen hängen zusammen, sind rechtlich aber nicht identisch.

Auch die Art des Phishing-Angriffs kann für die Einordnung eine Rolle spielen. Beim klassischen Zugangsdaten-Phishing geben Betroffene ihre Anmeldedaten auf einer nachgeahmten Internetseite ein. Beim sogenannten Telefon-Phishing werden Opfer durch Anrufe unter Druck gesetzt und zur Preisgabe von Sicherheitsinformationen oder zur Bestätigung von Vorgängen gebracht. Bei Nachrichten über SMS oder Messenger können gefälschte Zahlungswarnungen, angebliche Kontosperren oder vermeintlich notwendige Sicherheitsupdates eingesetzt werden. In anderen Fällen wird das Opfer auf eine gefälschte Zahlungsseite geleitet oder dazu gebracht, selbst eine Überweisung vorzunehmen. Die Bezeichnung „Phishing“ beschreibt daher nicht allein einen bestimmten rechtlichen Sachverhalt.

Wer selbst eine Überweisung an einen Betrüger veranlasst hat, sollte die Vorgeschichte trotzdem nicht als rechtlich bedeutungslos ansehen. Je nach Einzelfall können andere Ansprüche, etwa wegen einer Pflichtverletzung des Zahlungsdienstleisters, in Betracht kommen. Ob diese Ansprüche bestehen, hängt von den Umständen ab und lässt sich nicht allein aus dem Vorliegen einer Täuschung ableiten. Bei einer vom Kunden selbst ausgelösten und autorisierten Überweisung ist insbesondere zu untersuchen, ob sich die Bank auf die ordnungsgemäße Ausführung des Zahlungsauftrags berufen kann oder ob konkrete zusätzliche Umstände gegen sie sprechen.

Für eine erste Orientierung zum Ablauf eines solchen Angriffs kann auch der Beitrag zu Phishing hilfreich sein. Geht es bereits um eine konkrete Kontobelastung, eine abgelehnte Erstattung oder eine Auseinandersetzung über die Autorisierung, sollte dagegen der individuelle Zahlungsablauf im Mittelpunkt stehen. Allgemeine Informationen zum Betrugsphänomen ersetzen nicht die Prüfung der Kontounterlagen und der Kommunikation mit der Bank.

Betroffene sollten alle relevanten Unterlagen im Original beziehungsweise in einer nachvollziehbaren Kopie sichern. Dazu zählen Kontoauszüge, Umsatzdetails, Zahlungsbestätigungen, Nachrichten der Bank, E-Mails, SMS, Screenshots der gefälschten Internetseite, Telefonnummern der Anrufer und vorhandene Gesprächsnotizen. Bei digitalen Belegen ist es sinnvoll, Datum und Uhrzeit festzuhalten und die Dateien unverändert aufzubewahren. Falls die Bank technische Informationen zu einer Anmeldung oder Freigabe nennt, sollten Betroffene diese Angaben ebenfalls sichern und bei Unklarheiten um eine verständliche Erläuterung bitten.

Wichtig ist auch, die eigene Darstellung nicht nachträglich an eine vermeintlich günstigere rechtliche Bewertung anzupassen. Wer eine TAN eingegeben oder eine Freigabe bestätigt hat, sollte den Vorgang wahrheitsgemäß schildern und erklären, welche Vorstellung ihm dabei vermittelt wurde. Entscheidend ist nicht, ob sich der Ablauf nachträglich möglichst günstig formulieren lässt, sondern was tatsächlich passiert ist. Eine genaue und konsistente Darstellung kann helfen, technische Abläufe, Täuschungshandlungen und mögliche Pflichtverletzungen voneinander abzugrenzen.

Wenn die Bank die Erstattung ablehnt, sollte der Betroffene die Begründung sorgfältig prüfen und die einzelnen tatsächlichen und rechtlichen Einwände beantworten. Eine pauschale Wiederholung, man sei Opfer eines Betrugs geworden, wird der Komplexität vieler Fälle nicht gerecht. Sinnvoller ist es, die beanstandeten Transaktionen einzeln zu benennen, die fehlende Zustimmung zu erläutern und zu hinterfragen, welche Belege die Bank für ihre Annahmen heranzieht. Dabei sollte besonders darauf geachtet werden, ob sie lediglich die technische Authentifizierung beschreibt oder tatsächlich darlegt, weshalb sie von einer Autorisierung durch den Kontoinhaber ausgeht. Die Anforderungen des § 675w BGB sind hierfür ein zentraler rechtlicher Bezugspunkt.

Einzelnorm +1

Eine anwaltliche Prüfung kann insbesondere dann sinnvoll sein, wenn hohe Beträge betroffen sind, mehrere Transaktionen ausgeführt wurden, die Bank eine grobe Fahrlässigkeit behauptet oder die technischen Vorgänge nicht nachvollziehbar erklärt. Eine rechtliche Bewertung kann dabei helfen, den Zahlungsablauf zu strukturieren, die einschlägigen Anspruchsgrundlagen einzuordnen und eine sachlich begründete Stellungnahme zur Erstattungsablehnung vorzubereiten. Ob ein Anspruch durchgesetzt werden kann, bleibt jedoch vom Einzelfall abhängig; eine Rückzahlung lässt sich nicht seriös garantieren.

Entscheidend ist letztlich, dass Phishing nicht automatisch bedeutet, dass der Kunde den gesamten Verlust tragen muss. Ebenso wenig führt jeder Phishing-Angriff automatisch zu einem Erstattungsanspruch gegen die Bank. Maßgeblich sind die konkrete Autorisierung, die gesetzlichen Nachweisregeln, mögliche Pflichtverletzungen und die tatsächliche Ursache des Schadens. Wer die Abläufe frühzeitig dokumentiert, die betroffenen Zahlungen präzise beanstandet und die Ablehnung der Bank anhand der gesetzlichen Voraussetzungen prüfen lässt, schafft eine bessere Grundlage, um eine mögliche Rückforderung sachgerecht zu beurteilen.

Phishing Geld zurück von Bank – welche Rechte gelten bei nicht autorisierten Zahlungen nach einem Phishing-Angriff?

Wer nach einem Phishing-Angriff Geld auf seinem Bankkonto vermisst, sollte zunächst klären, ob die betreffenden Zahlungsvorgänge tatsächlich autorisiert wurden. Diese Frage ist für die rechtliche Beurteilung zentral. Wurde eine Überweisung ohne Zustimmung des Kontoinhabers ausgeführt, kann ein gesetzlicher Erstattungsanspruch gegen die Bank bestehen. Hat der Kunde die Zahlung dagegen selbst veranlasst und freigegeben, weil er den Angaben eines Betrügers vertraute, ist die rechtliche Ausgangslage eine andere. Dass der Zahlung eine Täuschung vorausging, bedeutet nicht automatisch, dass die Bank den Betrag erstatten muss.

Die wichtigste gesetzliche Grundlage für die Rückforderung einer nicht autorisierten Zahlung ist § 675u BGB. Danach muss der Zahlungsdienstleister dem Zahler bei einem nicht autorisierten Zahlungsvorgang den Betrag grundsätzlich unverzüglich erstatten. Das Zahlungskonto ist wieder auf den Stand zu bringen, auf dem es sich ohne die unberechtigte Belastung befunden hätte. Für Betroffene ist diese Regelung besonders wichtig, wenn unbekannte Dritte nach einem Phishing-Angriff auf das Onlinebanking zugreifen und Überweisungen ausführen, denen der Kontoinhaber nicht zugestimmt hat.

Der Anspruch richtet sich grundsätzlich gegen den eigenen Zahlungsdienstleister, also regelmäßig gegen die Bank, bei der das belastete Zahlungskonto geführt wird. Es ist deshalb nicht erforderlich, zunächst den Täter zu identifizieren, bevor eine mögliche Erstattung gegenüber der Bank geltend gemacht werden kann. Die Identität des Täters und die Frage, ob dieser später ermittelt oder in Anspruch genommen werden kann, sind von der Prüfung der gesetzlichen Pflichten der Bank zu unterscheiden. Für den Anspruch nach § 675u BGB kommt es zunächst darauf an, ob eine nicht autorisierte Zahlung vorliegt und ob die gesetzlichen Voraussetzungen erfüllt sind.

Eine Autorisierung setzt grundsätzlich die Zustimmung des Zahlers zu dem konkreten Zahlungsvorgang voraus. Diese Zustimmung kann in der vereinbarten Form erteilt werden, beispielsweise durch die Eingabe einer TAN oder die Bestätigung einer Zahlung über eine Banking-App. Entscheidend ist jedoch nicht allein, ob ein technischer Freigabeschritt registriert wurde. Es muss auch berücksichtigt werden, wozu der Kunde tatsächlich seine Zustimmung erteilt hat. Die Anmeldung beim Onlinebanking, die Eingabe von Zugangsdaten und die Zustimmung zu einer bestimmten Überweisung sind rechtlich voneinander zu unterscheiden.

Diese Differenzierung ist bei Phishing besonders bedeutsam. Täter versuchen häufig, Zugangsdaten zu erlangen, indem sie gefälschte Banknachrichten versenden oder Internetseiten nachbilden, die dem echten Onlinebanking täuschend ähnlich sehen. Manche Betroffene geben dort lediglich ihre Anmeldedaten ein. Andere bestätigen eine angebliche Sicherheitsprüfung, ohne zu erkennen, dass im Hintergrund eine Zahlung vorbereitet oder ausgelöst wird. Wieder andere werden telefonisch dazu gebracht, eine Transaktion zu bestätigen, die ihnen als notwendige Schutzmaßnahme dargestellt wird. Diese unterschiedlichen Abläufe dürfen bei der rechtlichen Prüfung nicht ohne Weiteres gleichgesetzt werden.

Hat ein Täter Zugangsdaten abgefangen und anschließend selbstständig eine Überweisung an einen fremden Empfänger ausgelöst, ist zu untersuchen, ob der Kontoinhaber diesem Zahlungsvorgang zugestimmt hat. Dass die Überweisung mit den korrekten Zugangsdaten oder über ein registriertes Gerät ausgeführt wurde, beweist nicht in jedem Fall, dass eine wirksame Zustimmung vorlag. Die Bank muss die gesetzlichen Anforderungen an den Nachweis des Zahlungsvorgangs beachten. Für Betroffene ist es deshalb sinnvoll, sich nicht mit der bloßen Aussage zufriedenzugeben, die Zahlung sei technisch ordnungsgemäß durchgeführt worden.

§ 675w BGB regelt den Nachweis der Authentifizierung und der ordnungsgemäßen Aufzeichnung und Verbuchung eines Zahlungsvorgangs. Wird die Autorisierung bestritten, kann die Bank sich nicht allein darauf beschränken, auf die Verwendung eines Zahlungsinstruments oder auf die erfolgreiche Authentifizierung hinzuweisen. Die gesetzliche Vorschrift enthält besondere Anforderungen an den Nachweis. Eine erfolgreiche Authentifizierung ist nicht automatisch gleichbedeutend mit einer Zustimmung des Kontoinhabers zum konkreten Zahlungsvorgang. Ebenso belegt sie für sich genommen nicht, dass der Kunde vorsätzlich oder grob fahrlässig gehandelt hat.

Für die praktische Durchsetzung eines Erstattungsanspruchs ist deshalb wichtig, den konkreten Ablauf möglichst genau darzustellen. Betroffene sollten erläutern, wann sie die verdächtige Nachricht erhielten, welche Internetseite sie aufgerufen haben, welche Daten sie eingaben und welche Freigaben sie tatsächlich vorgenommen haben. Wenn die Bank behauptet, der Kunde habe eine bestimmte Überweisung autorisiert, sollte geprüft werden, ob die dargestellten technischen Vorgänge mit der eigenen Wahrnehmung übereinstimmen. Dabei können die Uhrzeit, der Empfänger, der Betrag, die verwendete Freigabemethode und der Inhalt einer Bestätigungsnachricht entscheidend sein.

Besonders sorgfältig muss zwischen der Eingabe einer TAN und der Zustimmung zu einer konkreten Überweisung unterschieden werden. Eine TAN kann je nach Verfahren und Gestaltung des Vorgangs unterschiedlichen Zwecken dienen. Deshalb ist relevant, welche Informationen dem Kunden während der Freigabe angezeigt wurden und welchen Vorgang er nach seinem Verständnis bestätigen sollte. Wurde ihm eine angebliche Kontosicherung versprochen, obwohl tatsächlich eine Überweisung an einen unbekannten Empfänger freigegeben wurde, muss dieser Umstand bei der Einordnung des Geschehens berücksichtigt werden. Die genaue technische und tatsächliche Darstellung ist häufig aussagekräftiger als die allgemeine Bezeichnung des Vorfalls als Phishing.

Anders liegt der Fall, wenn der Betroffene selbst die Überweisung anlegt und den Zahlungsvorgang mit dem angezeigten Empfänger und Betrag bewusst bestätigt, dabei jedoch über den Zweck der Zahlung getäuscht wird. Dann kann eine autorisierte Zahlung vorliegen, obwohl der Kunde sie ohne die Täuschung nicht vorgenommen hätte. Die Vorschrift des § 675u BGB greift in solchen Fällen nicht automatisch. Es muss geprüft werden, ob tatsächlich eine wirksame Autorisierung vorlag und ob gegebenenfalls andere Anspruchsgrundlagen oder konkrete Pflichtverletzungen der Bank eine Rolle spielen. Die Täuschung durch einen Dritten und die Autorisierung im Verhältnis zwischen Kunde und Bank sind unterschiedliche rechtliche Fragen.

Auch eine Bestätigung über eine Banking-App führt nicht ohne Weiteres zu einem eindeutigen Ergebnis. Entscheidend ist, welche Handlung bestätigt wurde und welche Informationen der Betroffene dabei erhalten hat. Wurde eine Zahlung mit Empfänger und Betrag angezeigt und anschließend bestätigt, kann das ein wichtiges Indiz für eine Autorisierung sein. War die Freigabe dagegen Bestandteil einer irreführenden Sicherheitsabfrage oder wurde der Vorgang vom Täter unter Ausnutzung kompromittierter Zugangsdaten ausgelöst, muss der tatsächliche Ablauf genauer untersucht werden. Allein die Tatsache, dass ein Smartphone oder ein registriertes Gerät verwendet wurde, beantwortet die Autorisierungsfrage nicht abschließend.

Neben dem Erstattungsanspruch stellt sich häufig die Frage, ob die Bank dem Betroffenen eine Pflichtverletzung vorwerfen kann. Dabei ist insbesondere § 675v BGB zu beachten. Die Vorschrift regelt unter bestimmten Voraussetzungen die Haftung des Zahlers bei missbräuchlicher Nutzung eines Zahlungsinstruments. Ob eine solche Haftung in Betracht kommt, hängt von den gesetzlichen Voraussetzungen und dem konkreten Verhalten des Kunden ab. Eine Bank kann nicht allein daraus, dass ein Phishing-Angriff erfolgreich war, automatisch ableiten, der Betroffene müsse den gesamten Schaden tragen.

Insbesondere die Behauptung grober Fahrlässigkeit muss anhand des konkreten Sachverhalts geprüft werden. Es kann eine Rolle spielen, ob eine Nachricht erkennbare Warnzeichen enthielt, ob der Kunde Sicherheitsdaten weitergab, welche Hinweise ihm während der Freigabe angezeigt wurden und wie die Täter ihn zur Mitwirkung bewegten. Eine täuschend gestaltete Nachricht, ein manipulierter Internetauftritt oder ein überzeugender Telefonanruf können den tatsächlichen Ablauf beeinflussen. Daraus folgt jedoch weder automatisch, dass der Kunde grob fahrlässig war, noch, dass eine solche Pflichtverletzung ausgeschlossen wäre. Es kommt auf die Umstände des Einzelfalls an.

Für Betroffene ist es daher sinnvoll, die Begründung der Bank schriftlich anzufordern und genau zu prüfen. Wird die Erstattung abgelehnt, sollte nachvollziehbar sein, auf welche Transaktionen sich die Entscheidung bezieht, welche Freigaben dokumentiert wurden und welche konkrete Pflichtverletzung dem Kunden vorgeworfen wird. Die Aussage, eine Zahlung sei mit einer korrekten TAN durchgeführt worden, beantwortet nicht automatisch sämtliche Fragen zur Autorisierung und zur möglichen Haftung. Ebenso wenig reicht die bloße Behauptung, der Kunde habe Zugangsdaten weitergegeben, ohne eine genaue Prüfung des Ablaufs aus.

Bei mehreren Buchungen sollte jede einzelne Transaktion gesondert betrachtet werden. Es kann beispielsweise sein, dass ein Täter zunächst eine Zahlung ohne Zustimmung des Kontoinhabers ausführt und der Betroffene später unter dem Eindruck einer angeblichen Sicherheitsmaßnahme selbst weitere Freigaben vornimmt. Auch wenn alle Vorgänge auf denselben Phishing-Angriff zurückgehen, können sie rechtlich unterschiedlich einzuordnen sein. Die Beträge, Zeitpunkte, Empfänger und Freigabeschritte sollten deshalb getrennt erfasst und bewertet werden.

Die Bank sollte zeitnah über die beanstandeten Zahlungsvorgänge informiert werden. Betroffene sollten die fraglichen Buchungen konkret benennen und erläutern, weshalb sie die Zahlungen nicht autorisiert haben, sofern dies dem tatsächlichen Ablauf entspricht. Kontoauszüge, Umsatzdetails, SMS, E-Mails, PushTAN-Mitteilungen und Screenshots können dabei helfen, die Vorgänge zu rekonstruieren. Auch die Kommunikation mit der Bank sollte vollständig dokumentiert werden. Wer den Vorfall telefonisch meldet, sollte sich Datum, Uhrzeit und den Inhalt des Gesprächs notieren und um eine schriftliche Bestätigung der weiteren Bearbeitung bitten.

Nach § 675u BGB muss die Bank eine nicht autorisierte Zahlung grundsätzlich unverzüglich erstatten und das Konto entsprechend berichtigen. Der Anspruch ist allerdings von der tatsächlichen Einordnung des Zahlungsvorgangs abhängig. Besteht Streit darüber, ob der Kunde zugestimmt hat, muss dieser Streit anhand der konkreten Umstände und der gesetzlichen Nachweisregeln geklärt werden. Auch gesetzliche Ausnahmen und eine mögliche Haftung des Kunden müssen berücksichtigt werden. Eine Erstattung kann daher nicht allein aufgrund der Bezeichnung „Phishing“ zugesagt werden; ebenso wenig lässt sie sich allein mit dem Hinweis auf eine erfolgreiche technische Authentifizierung pauschal ausschließen.

Wenn die Bank nicht reagiert oder eine Erstattung ablehnt, sollten Betroffene die bisherigen Unterlagen geordnet zusammenstellen und die rechtliche Begründung der Entscheidung überprüfen lassen. Dabei kann auch relevant sein, ob die Bank die einzelnen Zahlungsvorgänge nachvollziehbar dargestellt und die Einwände des Kunden tatsächlich beantwortet hat. Bei hohen Schäden oder komplexen Freigabeabläufen kann eine anwaltliche Prüfung helfen, mögliche Ansprüche zu identifizieren und eine sachlich begründete Stellungnahme vorzubereiten. Eine bestimmte Rückzahlung lässt sich dadurch nicht garantieren; eine fundierte Prüfung schafft aber Klarheit über die Erfolgsaussichten und die nächsten Schritte.

Letztlich hängt der Anspruch auf Rückzahlung nach einem Phishing-Angriff vor allem davon ab, ob die konkrete Zahlung autorisiert war, welche Nachweise vorliegen und ob eine gesetzliche Haftung des Kunden greift. Die technische Ausführung, die Eingabe einer TAN und die Zustimmung zum Zahlungsvorgang dürfen nicht unbesehen gleichgesetzt werden. Wer die einzelnen Transaktionen präzise dokumentiert, den Ablauf wahrheitsgemäß schildert und die Begründung der Bank anhand der gesetzlichen Anforderungen prüft, kann die eigene Rechtsposition besser einschätzen und einen möglichen Erstattungsanspruch gezielt verfolgen.

Phishing Geld zurück von Bank – wann muss die Bank den Schaden nicht erstatten?

Ob Betroffene nach einem Phishing-Angriff ihr Geld von der Bank zurückverlangen können, hängt maßgeblich davon ab, wie die einzelnen Zahlungsvorgänge zustande gekommen sind. Nicht jeder finanzielle Verlust durch Phishing begründet automatisch einen Erstattungsanspruch gegen den Zahlungsdienstleister. Umgekehrt bedeutet eine erfolgreiche Anmeldung im Onlinebanking oder eine technisch dokumentierte TAN-Freigabe nicht automatisch, dass die Bank jede Erstattung ablehnen darf. Für eine rechtliche Bewertung müssen die Autorisierung der Zahlung, die gesetzlichen Nachweisanforderungen und eine mögliche Haftung des Kunden getrennt untersucht werden.

Ein wesentlicher Unterschied besteht zwischen einer nicht autorisierten Zahlung und einer Überweisung, die der Kunde selbst ausgelöst hat, weil er von einem Betrüger getäuscht wurde. Wurden Überweisungen ohne Zustimmung des Kontoinhabers vorgenommen, kann grundsätzlich § 675u BGB einen Erstattungsanspruch begründen. Hat der Betroffene dagegen selbst einen Zahlungsauftrag angelegt und freigegeben, weil ihm beispielsweise ein vermeintlicher Bankmitarbeiter ein angeblich sicheres Zielkonto genannt hat, ist die rechtliche Situation komplizierter. Eine solche Zahlung kann autorisiert sein, obwohl sie aufgrund einer Täuschung erfolgte. Die Bank ist dann nicht allein deshalb zur Erstattung verpflichtet, weil der Kunde den wahren Zweck der Überweisung nicht kannte.

Für Betroffene ist es deshalb wichtig, den Ablauf nicht nur mit dem allgemeinen Begriff „Phishing“ zu beschreiben. Es muss geklärt werden, welche Schritte sie selbst vorgenommen haben, welche Handlungen die Täter ausführten und welche Informationen während des Zahlungsvorgangs angezeigt wurden. Eine Person, die lediglich ihre Zugangsdaten auf einer gefälschten Webseite eingegeben hat, befindet sich möglicherweise in einer anderen rechtlichen Situation als jemand, der eine konkrete Überweisung mit ausgewiesenem Empfänger und Betrag selbst bestätigt hat. Diese Unterscheidung kann entscheidend dafür sein, ob ein Erstattungsanspruch nach dem Zahlungsdiensterecht besteht.

Ein häufiger Einwand von Banken lautet, die Zahlung sei mit den richtigen Zugangsdaten und einem gültigen Authentifizierungsverfahren ausgeführt worden. Daraus wird mitunter geschlossen, der Kunde müsse für den Schaden selbst einstehen. Diese Schlussfolgerung ist jedoch nicht ohne Weiteres zulässig. Die technische Authentifizierung und die rechtliche Autorisierung sind voneinander zu unterscheiden. § 675w BGB enthält besondere Regeln dazu, welche Nachweise der Zahlungsdienstleister bei einem bestrittenen Zahlungsvorgang erbringen muss. Die bloße Verwendung eines Zahlungsinstruments oder die erfolgreiche Authentifizierung belegt nicht für sich allein, dass der Kontoinhaber der konkreten Zahlung zugestimmt hat.

Das bedeutet allerdings nicht, dass eine Bank eine Erstattung niemals unter Hinweis auf eine vom Kunden vorgenommene Freigabe ablehnen darf. Wurde der konkrete Zahlungsvorgang tatsächlich autorisiert, kann der Anspruch nach § 675u BGB ausscheiden. Entscheidend ist dann, ob eine Zustimmung zu genau dieser Zahlung vorlag und welche rechtlichen Folgen sich aus dem tatsächlichen Ablauf ergeben. Wer eine Überweisung selbst anlegt und mit den angezeigten Zahlungsdaten bestätigt, kann grundsätzlich nicht allein mit dem Hinweis auf eine vorherige Täuschung davon ausgehen, dass die Zahlung im Verhältnis zur Bank als nicht autorisiert gilt.

Anders kann die Situation zu beurteilen sein, wenn die Täter den Betroffenen gezielt dazu bringen, einen anderen Vorgang zu bestätigen, als er glaubt. Beispielsweise kann ein Anrufer behaupten, eine PushTAN-Freigabe diene dazu, eine verdächtige Abbuchung zu verhindern. Tatsächlich wird damit möglicherweise eine Überweisung an einen Dritten freigegeben. In einem solchen Fall muss genau geprüft werden, welche Erklärung der Kunde abgeben wollte, welche Informationen ihm angezeigt wurden und welcher Vorgang technisch ausgeführt wurde. Die Beurteilung hängt von den konkreten Umständen ab; eine pauschale Gleichsetzung jeder Freigabe mit einer wirksamen Zustimmung greift zu kurz.

Ein weiterer Streitpunkt ist der Vorwurf grober Fahrlässigkeit. Banken berufen sich mitunter darauf, dass der Kunde eine TAN weitergegeben, Zugangsdaten auf einer gefälschten Webseite eingegeben oder eine verdächtige Sicherheitsabfrage bestätigt habe. Solche Umstände können bei der rechtlichen Prüfung relevant sein. Sie führen aber nicht automatisch dazu, dass der Kunde den gesamten Schaden tragen muss. Maßgeblich sind die konkreten Handlungen, die Erkennbarkeit der Täuschung, die gegebenen Warnhinweise und die einschlägigen gesetzlichen Voraussetzungen.

Die Haftung des Zahlers bei missbräuchlicher Nutzung eines Zahlungsinstruments wird insbesondere durch § 675v BGB geregelt. Ob sich daraus eine Ersatzpflicht ergibt, muss anhand des Einzelfalls geprüft werden. Dabei kommt es unter anderem darauf an, ob der Kunde seine gesetzlichen oder vertraglichen Pflichten vorsätzlich oder grob fahrlässig verletzt hat und ob die Voraussetzungen einer gesetzlichen Haftung erfüllt sind. Die Bank darf nicht allein aus dem Umstand, dass ein Betrüger erfolgreich war, auf eine grobe Fahrlässigkeit schließen.

Grobe Fahrlässigkeit ist nicht mit jedem unvorsichtigen Verhalten gleichzusetzen. Entscheidend ist, ob der Betroffene die erforderliche Sorgfalt in besonders schwerwiegender Weise außer Acht gelassen hat. Die Beurteilung kann davon abhängen, wie die Nachricht gestaltet war, ob die Internetadresse auffällige Abweichungen aufwies, welche Warnungen die Bank eingeblendet hatte und ob der Kunde unter gezieltem psychischem Druck stand. Auch die Art der angeblichen Sicherheitsmaßnahme kann eine Rolle spielen. Eine überzeugend inszenierte Täuschung kann die tatsächliche Bewertung beeinflussen, schließt eine grobe Fahrlässigkeit aber nicht grundsätzlich aus.

Wurde beispielsweise eine SMS versendet, die angeblich von der Bank stammt und auf eine dringende Kontosperrung hinweist, muss untersucht werden, welche Angaben die Nachricht enthielt und wohin der enthaltene Link führte. War die Internetseite eine nahezu identische Nachbildung des echten Bankauftritts? Wurden dem Kunden während der Freigabe konkrete Empfängerdaten angezeigt? Hat er eine TAN eingegeben, obwohl die Nachricht ausdrücklich auf eine Überweisung hinwies? Oder wurde ihm erklärt, die Eingabe sei lediglich zur Bestätigung seiner Identität notwendig? Diese Einzelheiten sind für die Bewertung aussagekräftiger als eine pauschale Aussage, der Kunde hätte den Betrug erkennen müssen.

Auch ein Telefonanruf kann die Situation erheblich beeinflussen. Täter geben sich häufig als Mitarbeiter der Bank, der Sicherheitsabteilung oder eines technischen Dienstleisters aus. Sie behaupten, das Konto sei angegriffen worden, eine Zahlung müsse gestoppt oder eine Sicherheitsfunktion müsse erneuert werden. Durch Zeitdruck und die vermeintliche Autorität des Anrufers werden Betroffene dazu gebracht, Anweisungen zu befolgen. Ob ein solches Verhalten grob fahrlässig war, kann nicht abstrakt beantwortet werden. Es muss geprüft werden, welche Warnzeichen vorhanden waren, wie die Täter vorgingen und welche konkreten Handlungen der Kunde vorgenommen hat.

Von Bedeutung ist außerdem der Zusammenhang zwischen einer möglichen Pflichtverletzung und dem Schaden. Nicht jede Unachtsamkeit erklärt automatisch, weshalb ein bestimmter Zahlungsvorgang ausgeführt wurde. Bei der Prüfung einer möglichen Haftung müssen die gesetzlichen Voraussetzungen und der konkrete Ablauf berücksichtigt werden. Wenn beispielsweise eine erste Täuschung dazu führte, dass Zugangsdaten bekannt wurden, während weitere Transaktionen später ohne Mitwirkung des Kunden ausgelöst wurden, dürfen diese Vorgänge nicht ohne genaue Prüfung zusammengefasst werden. Jede einzelne Belastung kann eine eigene rechtliche Bewertung erfordern.

Eine Bank kann eine Erstattung auch nicht allein deshalb pauschal verweigern, weil der Kunde Zugangsdaten eingegeben oder eine Sicherheitsfunktion verwendet hat. Es ist zu prüfen, ob die Zahlung autorisiert war und ob die gesetzlichen Voraussetzungen für eine Haftung des Kunden tatsächlich vorliegen. Die Beweis- und Darlegungslage ist dabei von Bedeutung. Wird grobe Fahrlässigkeit behauptet, sollte die Bank konkret erläutern, auf welches Verhalten sie den Vorwurf stützt. Betroffene sollten die Behauptung nicht ungeprüft hinnehmen, sondern anhand der vorhandenen Unterlagen und der tatsächlichen Abläufe hinterfragen.

Eine weitere mögliche Konstellation liegt vor, wenn der Kunde selbst Geld an einen vermeintlichen Anlageberater, einen angeblichen Sicherheitsdienst oder einen anderen Betrüger überweist. In solchen Fällen kann die Zahlung vom Kunden autorisiert worden sein, obwohl der Empfänger über seine Identität oder den Verwendungszweck getäuscht hat. Der Erstattungsanspruch nach § 675u BGB besteht dann nicht automatisch. Es muss vielmehr untersucht werden, ob andere rechtliche Ansprüche in Betracht kommen und ob konkrete Pflichtverletzungen der Bank vorliegen. Dabei sind die Umstände des Zahlungsauftrags, die vereinbarten Leistungen des Zahlungsdienstleisters und gegebenenfalls weitere beteiligte Parteien zu berücksichtigen.

Besonders sorgfältig ist zu prüfen, ob tatsächlich der Kunde selbst den Zahlungsempfänger bestimmt hat. Bei einer Überweisung an einen Betrüger kann die Bank den Zahlungsauftrag grundsätzlich nach den angegebenen Zahlungsdaten ausführen. Dass sich der Empfänger später als Täter herausstellt oder der Überweisungszweck auf falschen Angaben beruhte, bedeutet nicht automatisch, dass die Ausführung durch die Bank rechtswidrig war. Anders gelagerte Fragen können sich ergeben, wenn konkrete zusätzliche Umstände auf eine Pflichtverletzung hindeuten. Solche Umstände müssen jedoch festgestellt werden; allein der eingetretene Schaden genügt nicht.

Auch die Frage, ob die Bank ungewöhnliche Transaktionen hätte erkennen müssen, lässt sich nicht pauschal beantworten. Hohe Beträge, mehrere kurz aufeinanderfolgende Überweisungen oder Zahlungen an bislang unbekannte Empfänger können Anlass für eine genauere Prüfung sein. Ob daraus im konkreten Fall eine rechtliche Pflicht zu weiteren Maßnahmen folgt, hängt jedoch von den tatsächlichen Umständen, dem vereinbarten Leistungsumfang und den einschlägigen gesetzlichen Anforderungen ab. Nicht jede ungewöhnliche Zahlung begründet automatisch eine Haftung der Bank. Ebenso wenig kann ohne Prüfung ausgeschlossen werden, dass konkrete Warnsignale für die rechtliche Bewertung relevant sind.

Für Betroffene ist deshalb wichtig, nicht nur den unmittelbaren Phishing-Angriff, sondern auch den Ablauf der Kontobelastungen zu dokumentieren. Dazu gehören die Uhrzeiten der einzelnen Zahlungen, die jeweiligen Beträge, die Empfängerangaben und die Informationen, die vor der Freigabe angezeigt wurden. Ebenso sollten Nachrichten der Bank, Warnmeldungen in der Banking-App und die Kommunikation mit vermeintlichen Bankmitarbeitern gesichert werden. Falls die Bank einen bestimmten Authentifizierungsvorgang anführt, kann es sinnvoll sein, um eine genaue Erläuterung zu bitten, welche Handlung wann registriert wurde und welche Zahlungsdaten dabei angezeigt worden sein sollen.

Wenn die Bank eine Erstattung ablehnt, sollte der Betroffene die Begründung schriftlich prüfen. Wichtig ist, ob sich die Bank auf eine vermeintliche Autorisierung, auf grobe Fahrlässigkeit oder auf andere Umstände stützt. Diese Argumente sind rechtlich voneinander zu unterscheiden. Eine Behauptung, der Kunde habe eine TAN bestätigt, beantwortet nicht zwangsläufig die Frage, ob er der konkreten Überweisung zugestimmt hat. Ein Vorwurf grober Fahrlässigkeit muss wiederum anhand des tatsächlichen Verhaltens und der gesetzlichen Anforderungen bewertet werden.

Die Dokumentation sollte möglichst vollständig und unverändert aufbewahrt werden. Kontoauszüge und Umsatzdetails sind ebenso wichtig wie Screenshots, E-Mails, SMS, Chatverläufe, Telefonnummern und Notizen zu Telefonaten. Betroffene sollten außerdem festhalten, wann sie die Bank über den Verdacht informiert und welche Reaktion sie erhalten haben. Diese Informationen können dabei helfen, die Chronologie zu rekonstruieren und die einzelnen Zahlungsvorgänge rechtlich einzuordnen.

Wer den Phishing-Angriff erst mit Verzögerung bemerkt, sollte den Vorfall dennoch unverzüglich melden, sobald der Verdacht besteht. Die Bank sollte über die fraglichen Zahlungen informiert und um Sicherung beziehungsweise Sperrung gefährdeter Zugänge und Zahlungsinstrumente gebeten werden. Der zeitliche Ablauf kann für die Prüfung relevant sein, insbesondere wenn weitere Zahlungen nach der ersten Entdeckung des Betrugs ausgeführt wurden. Ob eine Verzögerung rechtliche Folgen hat, muss anhand der konkreten Umstände und der gesetzlichen Vorgaben beurteilt werden.

Bei größeren Schadenssummen oder komplexen Freigabevorgängen kann eine anwaltliche Prüfung sinnvoll sein. Dabei sollte insbesondere geklärt werden, welche Zahlungen tatsächlich nicht autorisiert waren, welche Belege die Bank für ihre Darstellung vorlegt und ob eine behauptete Pflichtverletzung des Kunden rechtlich tragfähig ist. Eine solche Prüfung kann auch dabei helfen, eine sachlich begründete Stellungnahme zur Erstattungsablehnung zu formulieren und mögliche weitere Ansprüche zu identifizieren. Eine Rückzahlung kann allerdings nicht garantiert werden.

Entscheidend bleibt, dass eine Bank den Schaden nach einem Phishing-Angriff nicht allein aufgrund der erfolgreichen Nutzung von Zugangsdaten oder einer TAN automatisch auf den Kunden abwälzen darf. Umgekehrt besteht nicht in jedem Phishing-Fall ein Anspruch auf vollständige Erstattung. Maßgeblich sind die Autorisierung des konkreten Zahlungsvorgangs, die gesetzlichen Nachweisregeln und die Voraussetzungen einer möglichen Haftung des Zahlers. Wer die Vorgänge einzeln dokumentiert und die Ablehnung der Bank anhand dieser Kriterien überprüfen lässt, kann seine Rechtsposition fundierter einschätzen und die nächsten Schritte gezielt vorbereiten.

Phishing Geld zurück von Bank – wie wird geprüft, ob eine Zahlung tatsächlich autorisiert wurde?

Ob Betroffene nach einem Phishing-Angriff ihr Geld von der Bank zurückverlangen können, hängt wesentlich davon ab, ob die beanstandeten Zahlungsvorgänge tatsächlich autorisiert wurden. In der Auseinandersetzung mit dem Zahlungsdienstleister ist dies häufig einer der wichtigsten Streitpunkte. Die Bank verweist möglicherweise auf eine erfolgreiche Anmeldung, eine verwendete TAN oder eine Bestätigung über die Banking-App. Der Kontoinhaber erklärt dagegen, er habe die Überweisung weder beabsichtigt noch wissentlich freigegeben. Um diese unterschiedlichen Darstellungen rechtlich einzuordnen, müssen der tatsächliche Ablauf, die technischen Aufzeichnungen und die gesetzlichen Anforderungen an den Nachweis einer Autorisierung berücksichtigt werden.

Die zentrale Vorschrift für nicht autorisierte Zahlungen ist § 675u BGB. Sie verpflichtet den Zahlungsdienstleister grundsätzlich dazu, den Betrag einer nicht autorisierten Zahlung unverzüglich zu erstatten und das Zahlungskonto wieder auf den Stand zu bringen, auf dem es sich ohne die Belastung befunden hätte. Voraussetzung ist allerdings, dass tatsächlich ein nicht autorisierter Zahlungsvorgang vorliegt. Deshalb muss zunächst geklärt werden, ob der Kunde der konkreten Zahlung zugestimmt hat oder ob ein Dritter den Vorgang ohne seine Zustimmung ausgelöst hat. Allein die Tatsache, dass ein Betrüger Zugangsdaten erlangt hat, beantwortet diese Frage noch nicht abschließend.

Für die Prüfung ist zwischen Authentifizierung und Autorisierung zu unterscheiden. Bei der Authentifizierung wird überprüft, ob die vorgeschriebenen Sicherheitsmerkmale verwendet wurden und der Vorgang nach dem vereinbarten Verfahren technisch bestätigt werden konnte. Die Autorisierung betrifft dagegen die Zustimmung des Zahlers zu dem konkreten Zahlungsvorgang. Beide Aspekte hängen zusammen, sind aber nicht identisch. Ein Zahlungsvorgang kann technisch erfolgreich authentifiziert worden sein, obwohl der Kontoinhaber der konkreten Überweisung nicht zugestimmt hat. Das ist gerade bei Phishing-Angriffen von Bedeutung, bei denen Täter Zugangsdaten abfangen oder Kunden durch Täuschung zu bestimmten Handlungen bewegen.

Ein typischer Fall ist eine gefälschte Nachricht, die angeblich von der Bank stammt. Der Empfänger wird aufgefordert, einen Link aufzurufen und seine Zugangsdaten zu bestätigen, weil andernfalls angeblich eine Kontosperrung droht. Die aufgerufene Webseite sieht dem echten Onlinebanking ähnlich. Gibt der Kunde seine Zugangsdaten ein, können die Täter diese Informationen verwenden, um sich selbst beim tatsächlichen Bankportal anzumelden. Anschließend führen sie möglicherweise Überweisungen aus, ohne dass der Kontoinhaber die einzelnen Zahlungsaufträge kennt oder ihnen zugestimmt hat. Dass die Anmeldung mit korrekten Zugangsdaten erfolgte, ist in einer solchen Situation nicht gleichbedeutend mit einer Zustimmung zu den späteren Überweisungen.

Die rechtliche Bewertung kann anders ausfallen, wenn der Betroffene selbst einen konkreten Zahlungsauftrag anlegt und freigibt. Wird er beispielsweise von einem vermeintlichen Bankmitarbeiter dazu gebracht, Geld auf ein angeblich sicheres Konto zu überweisen, kann die Zahlung im Verhältnis zur Bank autorisiert sein, obwohl sie auf einer Täuschung beruht. Dann muss geprüft werden, ob die Zustimmung tatsächlich den konkreten Zahlungsvorgang erfasste und ob andere Ansprüche in Betracht kommen. Die bloße Tatsache, dass der Kunde über den wahren Zweck der Zahlung getäuscht wurde, führt nicht automatisch zu einem Erstattungsanspruch nach § 675u BGB.

Entscheidend ist deshalb nicht nur, ob der Betroffene eine TAN eingegeben oder eine PushTAN-Mitteilung bestätigt hat. Es muss festgestellt werden, welcher Vorgang damit freigegeben wurde und welche Informationen der Kunde zu diesem Zeitpunkt erhalten hatte. Zeigte die Banking-App einen bestimmten Empfänger und einen konkreten Betrag an, kann das für die Bewertung relevant sein. Wurde dem Kunden dagegen vorgespiegelt, er bestätige lediglich eine Sicherheitsprüfung oder verhindere eine fremde Belastung, muss der tatsächliche Ablauf genauer untersucht werden. Auch die Gestaltung der Freigabemaske, die angezeigten Zahlungsdaten und die begleitenden Nachrichten können dabei von Bedeutung sein.

Für den Nachweis sind insbesondere die gesetzlichen Anforderungen des § 675w BGB maßgeblich. Bestreitet der Kunde, eine Zahlung autorisiert zu haben, muss die Bank die gesetzlich vorgesehenen Nachweise zur Authentifizierung sowie zur ordnungsgemäßen Aufzeichnung und Verbuchung des Zahlungsvorgangs beachten. Die bloße Registrierung einer Nutzung des Zahlungsinstruments genügt nicht ohne Weiteres, um daraus die Zustimmung des Kontoinhabers abzuleiten. Ebenso beweist eine erfolgreiche Authentifizierung für sich allein nicht, dass der Kunde vorsätzlich oder grob fahrlässig gehandelt hat.

Das bedeutet nicht, dass die Angaben des Kunden stets ungeprüft zugrunde gelegt werden müssen. Auch die tatsächlichen Umstände und vorhandenen technischen Daten sind zu berücksichtigen. Die Bank kann beispielsweise darlegen, wann eine Anmeldung erfolgte, welches Authentifizierungsverfahren verwendet wurde und welche Freigabeschritte registriert sind. Diese Informationen können für die Prüfung relevant sein. Sie müssen jedoch im Zusammenhang mit dem bestrittenen Zahlungsvorgang bewertet werden. Aus einer technischen Aufzeichnung muss sich nicht automatisch ergeben, dass der Kontoinhaber die konkrete Überweisung wissentlich genehmigt hat.

Betroffene sollten deshalb die Bank um eine nachvollziehbare Darstellung der beanstandeten Transaktionen bitten. Dazu gehören die jeweiligen Zeitpunkte, die Beträge, die Empfängerangaben und die verwendeten Freigabeverfahren. Wenn sich die Bank auf eine TAN oder eine PushTAN-Bestätigung beruft, sollte geklärt werden, welche Zahlungsinformationen während der Freigabe angezeigt wurden und welcher konkrete Vorgang bestätigt worden sein soll. Auch die Frage, ob eine Anmeldung oder Freigabe von einem bislang unbekannten Gerät erfolgte, kann bei der Rekonstruktion des Geschehens eine Rolle spielen. Solche technischen Angaben sind allerdings nicht für sich allein ausschlaggebend, sondern müssen rechtlich eingeordnet werden.

Eine besondere Bedeutung haben Fälle, in denen mehrere Überweisungen kurz nacheinander ausgeführt wurden. Der Täter kann zunächst Zugangsdaten erlangt und anschließend eine oder mehrere Zahlungen vorgenommen haben. Es ist aber auch möglich, dass der Kunde bei einer ersten Transaktion selbst mitwirkte, weil er den Anweisungen eines vermeintlichen Bankmitarbeiters vertraute, während weitere Zahlungen ohne seine bewusste Zustimmung erfolgten. Die rechtliche Bewertung sollte deshalb jede einzelne Buchung erfassen. Eine einheitliche Behandlung sämtlicher Belastungen kann dem tatsächlichen Ablauf nicht gerecht werden.

Für die eigene Darstellung ist eine chronologische Aufstellung besonders hilfreich. Betroffene sollten notieren, wann sie eine Nachricht oder einen Anruf erhielten, wann sie eine Internetseite öffneten, welche Daten sie eingaben und ob sie einzelne Freigaben vorgenommen haben. Anschließend sollten die tatsächlichen Kontobelastungen mit den jeweiligen Uhrzeiten und Empfängern erfasst werden. Auch der Zeitpunkt, zu dem der Phishing-Angriff erkannt wurde, und die erste Kontaktaufnahme mit der Bank sind zu dokumentieren. So lässt sich besser nachvollziehen, welche Handlungen dem Kunden und welche den Tätern zuzuordnen sind.

Die vorhandenen Belege sollten vollständig gesichert werden. Dazu zählen Kontoauszüge, Umsatzdetails, E-Mails, SMS, Screenshots, Chatverläufe, PushTAN-Mitteilungen und Nachrichten der Bank. Auch Telefonnummern, Gesprächsnotizen und die Internetadresse einer gefälschten Webseite können hilfreich sein. Wenn eine Nachricht nachträglich gelöscht oder eine Webseite nicht mehr erreichbar ist, können vorhandene Screenshots oder gespeicherte Mitteilungen weiterhin Hinweise auf den Ablauf geben. Es empfiehlt sich, die Dateien unverändert aufzubewahren und Datum sowie Uhrzeit möglichst nachvollziehbar festzuhalten.

Wenn die Bank die Erstattung ablehnt, sollte ihre Begründung genau geprüft werden. Behauptet sie, der Kunde habe die Zahlungen autorisiert, ist zu untersuchen, welche Tatsachen diese Annahme stützen sollen. Wird lediglich auf die Verwendung korrekter Zugangsdaten verwiesen, bleibt möglicherweise offen, ob damit auch die Zustimmung zu den konkreten Transaktionen nachgewiesen werden soll. Beruft sich die Bank zusätzlich auf grobe Fahrlässigkeit, muss dieser Vorwurf getrennt bewertet werden. Die Frage, ob eine Zahlung autorisiert war, ist nicht mit der Frage gleichzusetzen, ob der Kunde seine Sorgfaltspflichten verletzt hat.

Die mögliche Haftung des Zahlers ist insbesondere im Zusammenhang mit § 675v BGB zu prüfen. Unter den gesetzlichen Voraussetzungen kann eine Haftung wegen vorsätzlicher oder grob fahrlässiger Pflichtverletzung in Betracht kommen. Dafür genügt es aber nicht, pauschal festzustellen, dass der Kunde auf eine Phishing-Nachricht hereingefallen ist. Es kommt auf die konkreten Handlungen, die Umstände der Täuschung und die gesetzlichen Voraussetzungen an. Eine Bank sollte daher nachvollziehbar erläutern, worin sie die behauptete Pflichtverletzung sieht und weshalb diese im konkreten Fall eine Haftung begründen soll.

Auch der Inhalt einer TAN-Nachricht kann für die Beurteilung relevant sein. Wurde dem Kunden deutlich angezeigt, dass eine Überweisung an einen bestimmten Empfänger über einen bestimmten Betrag freigegeben wird, kann dies anders zu bewerten sein als eine Freigabe, die ihm als bloße Bestätigung einer Sicherheitsmaßnahme dargestellt wurde. Der tatsächliche Inhalt der Nachricht und die Wahrnehmung des Kunden sollten deshalb möglichst genau dokumentiert werden. Es ist nicht ausreichend, im Nachhinein allein aus der Existenz einer TAN auf eine bewusste Zustimmung zu jeder nachfolgenden Zahlung zu schließen.

Wenn der Betroffene selbst eine Überweisung an einen Betrüger ausgeführt hat, muss die rechtliche Prüfung entsprechend angepasst werden. In dieser Konstellation ist zunächst festzustellen, ob die Zahlung als autorisiert anzusehen ist. Anschließend ist zu prüfen, ob sich aus den konkreten Umständen andere Ansprüche ergeben können. Dabei darf nicht ohne Weiteres angenommen werden, die Bank hafte für jede Zahlung an einen später als betrügerisch erkannten Empfänger. Ebenso sollte aber nicht ungeprüft davon ausgegangen werden, dass eine Autorisierung sämtliche weiteren rechtlichen Fragen erledigt.

Die rechtliche Einordnung kann außerdem davon abhängen, ob der Kunde die Bank bereits über den Angriff informiert hatte, bevor weitere Belastungen erfolgten. Wurde der Verdacht rechtzeitig mitgeteilt, sollte dokumentiert werden, wann und auf welchem Weg die Bank davon erfuhr und welche Informationen ihr übermittelt wurden. Ebenso ist festzuhalten, ob weitere Transaktionen nach der Mitteilung ausgeführt wurden. Welche Folgen sich daraus ergeben, hängt von den konkreten Umständen und den einschlägigen gesetzlichen Pflichten ab. Aus der bloßen zeitlichen Abfolge allein lässt sich noch keine abschließende Haftung ableiten.

Betroffene sollten sich nicht allein auf mündliche Erklärungen verlassen. Eine schriftliche Beanstandung der konkreten Zahlungsvorgänge ermöglicht es, die eigene Darstellung nachvollziehbar festzuhalten und die Bank zu einer konkreten Antwort aufzufordern. Die Mitteilung sollte die betroffenen Buchungen mit Datum, Betrag und Empfänger nennen und erklären, weshalb die jeweilige Zahlung nicht autorisiert war, soweit dies tatsächlich zutrifft. Zugleich sollte um eine nachvollziehbare Begründung gebeten werden, wenn die Bank die Erstattung ablehnt. Alle Schreiben und Antworten sollten zusammen mit den übrigen Belegen aufbewahrt werden.

Eine rechtliche Prüfung ist insbesondere dann sinnvoll, wenn erhebliche Beträge betroffen sind, die Bank eine grobe Fahrlässigkeit behauptet oder die technischen Freigabevorgänge unklar bleiben. Dabei können die gesetzlichen Anspruchsgrundlagen, die vorhandenen Nachweise und die einzelnen Einwände der Bank systematisch geprüft werden. Auch wenn eine Erstattung nicht garantiert werden kann, lässt sich dadurch besser einschätzen, ob ein Anspruch auf Rückzahlung besteht und welche weiteren Schritte sinnvoll sind.

Für Betroffene ist letztlich entscheidend, dass die technische Durchführung einer Zahlung und die Zustimmung des Kontoinhabers nicht automatisch gleichgesetzt werden dürfen. Die Frage der Autorisierung muss anhand des konkreten Zahlungsvorgangs und der gesetzlichen Nachweisanforderungen beurteilt werden. Wer den Ablauf genau dokumentiert, die Freigaben und Belastungen einzeln erfasst und die Begründung der Bank sorgfältig prüft, schafft eine belastbare Grundlage, um einen möglichen Erstattungsanspruch nach einem Phishing-Angriff durchzusetzen.

Kanzlei Wilms – Experten für Online-Anlagebetrug

Die Kanzlei Wilms unterstützt seit Jahren Mandanten, die Opfer von Online-Anlagebetrug, Kryptobetrug, Fake Brokern, Investmentbetrug, Bitcoin-Betrug oder Recovery Scams geworden sind.

Unsere Mandanten kommen aus ganz Deutschland sowie aus dem Ausland. Viele Verfahren weisen internationale Bezüge auf und betreffen grenzüberschreitende Zahlungsströme, Kryptowährungen oder komplexe Unternehmensstrukturen.

Wir analysieren unter anderem:

• Banküberweisungen
• SEPA- und SWIFT-Zahlungen
• Kreditkartenzahlungen
• Zahlungsdienstleister
• Kryptobörsen und Wallet-Transaktionen
• internationale Zahlungsstrukturen

Mehr Informationen finden Sie in unserem Blog.

Phishing Geld zurück von Bank – welche Bedeutung haben TAN-Freigabe, PushTAN und Zwei-Faktor-Authentifizierung?

Nach einem Phishing-Angriff begründen Banken eine Ablehnung der Erstattung häufig damit, dass die beanstandeten Überweisungen mit einer TAN, einer PushTAN-Freigabe oder einem registrierten Smartphone bestätigt worden seien. Für Betroffene entsteht dadurch der Eindruck, sie hätten kaum eine Möglichkeit, ihr Geld zurückzufordern. Rechtlich ist die Situation jedoch differenzierter. Die Verwendung eines Authentifizierungsverfahrens kann für die Prüfung wichtig sein, bedeutet aber nicht automatisch, dass der Kontoinhaber jede damit verbundene Zahlung tatsächlich autorisiert hat. Entscheidend sind der konkrete Ablauf, die angezeigten Informationen und die Frage, welche Handlung der Kunde tatsächlich vorgenommen hat.

Die Zwei-Faktor-Authentifizierung soll verhindern, dass unberechtigte Personen allein mit einem gestohlenen Passwort auf ein Bankkonto zugreifen können. Dabei werden grundsätzlich mindestens zwei voneinander unabhängige Elemente aus unterschiedlichen Kategorien verwendet, etwa Wissen, Besitz und Inhärenz. Ein Passwort gehört typischerweise zur Kategorie Wissen, ein registriertes Gerät zur Kategorie Besitz und ein biometrisches Merkmal wie ein Fingerabdruck zur Kategorie Inhärenz. Durch die Kombination mehrerer Elemente soll der Zugang besser geschützt werden. Allerdings kann auch ein technisch aufwendiges Sicherheitsverfahren durch Täuschung, manipulierte Geräte oder die Weitergabe von Sicherheitsinformationen missbraucht werden.

Für die rechtliche Bewertung ist zunächst zu unterscheiden, ob die Authentifizierung lediglich den Zugang zum Onlinebanking ermöglicht oder ob damit ein konkreter Zahlungsauftrag bestätigt wird. Wer seine Zugangsdaten auf einer gefälschten Webseite eingibt, kann dadurch einem Täter ermöglichen, sich beim tatsächlichen Bankportal anzumelden. Daraus folgt nicht automatisch, dass der Kontoinhaber anschließend ausgelöste Überweisungen autorisiert hat. Die Zugangsdaten dienen zunächst der Anmeldung. Ob eine spätere Zahlung vom Kunden freigegeben wurde, muss gesondert beurteilt werden.

Eine TAN ist ebenfalls nicht in jedem Zusammenhang gleich zu bewerten. Sie kann Bestandteil einer Anmeldung, einer Änderung von Sicherheitsdaten oder der Bestätigung eines konkreten Zahlungsauftrags sein. Welche Funktion sie im Einzelfall hatte, hängt vom verwendeten Verfahren und vom konkreten Vorgang ab. Deshalb ist wichtig, welche Informationen dem Kunden bei der Eingabe oder Bestätigung angezeigt wurden. Wurde eine Überweisung mit einem bestimmten Empfänger und Betrag ausgewiesen, kann das für die rechtliche Einordnung relevant sein. Wurde dagegen der Eindruck vermittelt, es gehe lediglich um eine Sicherheitsprüfung, muss der tatsächliche Ablauf genauer untersucht werden.

Besonders häufig nutzen Täter gefälschte Nachrichten, die angeblich von der Bank stammen. Darin wird vor einer vermeintlich verdächtigen Buchung gewarnt oder eine dringende Aktualisierung des Kontos verlangt. Der Empfänger soll einen Link öffnen und seine Zugangsdaten eingeben. Auf der nachgebildeten Internetseite werden die Informationen abgefangen und anschließend von den Tätern verwendet. Mitunter folgt ein Anruf, bei dem sich die Täter als Mitarbeiter der Sicherheitsabteilung ausgeben und das Opfer dazu bewegen, weitere Angaben zu machen oder eine Freigabe zu bestätigen. Der gesamte Vorgang kann so gestaltet sein, dass der Betroffene glaubt, sein Konto zu schützen, obwohl tatsächlich eine missbräuchliche Nutzung vorbereitet wird.

Eine PushTAN-Freigabe kann in solchen Fällen eine zentrale Rolle spielen. Der Kunde erhält eine Nachricht auf sein Smartphone und soll den angezeigten Vorgang bestätigen. Ob damit eine Zahlung wirksam autorisiert wurde, lässt sich nicht allein daraus ableiten, dass die App eine erfolgreiche Bestätigung registriert hat. Es kommt darauf an, welche Transaktion angezeigt wurde, welche Angaben der Kunde erkennen konnte und ob seine Zustimmung tatsächlich den konkreten Zahlungsvorgang erfasste. Wurde die Freigabe durch eine Täuschung erschlichen, muss der Ablauf sorgfältig geprüft werden. Eine Bestätigung in der App ist ein relevantes Beweismittel, aber nicht automatisch die abschließende Antwort auf jede rechtliche Frage.

Anders kann es sein, wenn der Kunde eine Überweisung bewusst selbst anlegt und anschließend die angezeigten Zahlungsdaten bestätigt. In dieser Situation kann eine Autorisierung vorliegen, auch wenn der Kunde über den Empfänger oder den Zweck der Zahlung getäuscht wurde. Beispielsweise kann ein vermeintlicher Bankmitarbeiter den Betroffenen dazu bringen, Geld auf ein angeblich sicheres Konto zu überweisen. Der Kunde möchte dann zwar möglicherweise sein Vermögen schützen, führt aber selbst einen Zahlungsauftrag aus. Ob ein Erstattungsanspruch nach § 675u BGB besteht, hängt in dieser Konstellation von der genauen rechtlichen Einordnung ab; die Täuschung allein macht die Zahlung nicht automatisch zu einer nicht autorisierten Transaktion.

Für Betroffene ist es deshalb wichtig, nicht nur anzugeben, dass sie eine TAN eingegeben oder eine PushTAN bestätigt haben. Sie sollten möglichst genau beschreiben, was ihnen zuvor erklärt wurde, welche Anzeige auf dem Bildschirm erschien und welchen Vorgang sie nach ihrem Verständnis bestätigten. Wenn die Bank behauptet, eine konkrete Überweisung sei durch den Kunden freigegeben worden, sollte geklärt werden, welche Empfänger- und Betragsangaben bei der Freigabe angezeigt wurden. Auch die zeitliche Abfolge zwischen der Anmeldung, einer möglichen telefonischen Anweisung und der tatsächlichen Buchung kann wichtig sein.

Die gesetzlichen Anforderungen an den Nachweis einer Autorisierung ergeben sich insbesondere aus § 675w BGB. Bestreitet der Kunde, eine Zahlung autorisiert zu haben, muss die Bank die gesetzlich vorgesehenen Nachweise zur Authentifizierung und zur ordnungsgemäßen Aufzeichnung und Verbuchung des Zahlungsvorgangs beachten. Die bloße Verwendung eines Zahlungsinstruments oder die erfolgreiche Authentifizierung beweist nicht ohne Weiteres, dass der Kunde der konkreten Zahlung zugestimmt hat. Ebenso lässt sich aus einer erfolgreichen Authentifizierung allein nicht ableiten, dass der Kunde vorsätzlich oder grob fahrlässig gehandelt hat.

Diese Unterscheidung ist für die Auseinandersetzung mit der Bank besonders wichtig. Eine technische Protokollierung kann zeigen, dass ein bestimmtes Gerät verwendet oder eine Freigabe registriert wurde. Sie muss aber im Zusammenhang mit dem konkreten Phishing-Angriff betrachtet werden. Wenn die Täter Zugangsdaten abgefangen und anschließend selbstständig Zahlungen ausgelöst haben, ist zu prüfen, welche tatsächlichen Anhaltspunkte für eine Zustimmung des Kontoinhabers bestehen. Wenn der Kunde dagegen selbst eine Zahlung angelegt und freigegeben hat, muss geklärt werden, welche Bedeutung die Täuschung für die rechtliche Einordnung hat.

Banken können außerdem einwenden, der Kunde habe seine Sicherheitsmerkmale nicht ausreichend geschützt. Dabei ist insbesondere § 675v BGB relevant, der unter bestimmten Voraussetzungen eine Haftung des Zahlers bei missbräuchlicher Nutzung eines Zahlungsinstruments vorsieht. Ob eine Haftung in Betracht kommt, hängt von den gesetzlichen Voraussetzungen und den konkreten Umständen ab. Eine erfolgreiche Phishing-Attacke begründet nicht automatisch eine grob fahrlässige Pflichtverletzung. Umgekehrt kann ein Verhalten, bei dem eindeutige Warnhinweise missachtet oder Sicherheitsmerkmale entgegen klaren Vorgaben weitergegeben werden, rechtlich relevant sein. Die Bewertung muss auf den Einzelfall bezogen erfolgen.

Bei einer vermeintlichen Sicherheitsfreigabe ist deshalb zu untersuchen, ob der Kunde erkennen konnte, dass er tatsächlich eine Überweisung bestätigte. Wurden Betrag und Empfänger deutlich angezeigt, kann dies bei der Beurteilung eine Rolle spielen. War die Anzeige unklar oder wurde dem Kunden durch die Täter ein anderer Zweck vorgespiegelt, muss der gesamte Ablauf betrachtet werden. Ebenso kann relevant sein, ob der Kunde unter erheblichen Zeitdruck gesetzt wurde oder ob die Täter über mehrere Kommunikationswege den Eindruck erweckten, es handle sich um einen echten Bankvorgang. Diese Umstände entscheiden nicht automatisch über die Haftung, können aber für die tatsächliche Bewertung von Bedeutung sein.

Wer nach einem Phishing-Angriff Geld zurückverlangen möchte, sollte die Informationen aus der Banking-App und sämtliche Nachrichten zum Freigabevorgang sichern. Dazu gehören SMS-TAN-Nachrichten, PushTAN-Mitteilungen, Bestätigungsanzeigen, E-Mails und Screenshots. Wenn die Anwendung den Empfänger oder Betrag einer Transaktion angezeigt hat, sollte diese Information nach Möglichkeit dokumentiert werden. Auch die Uhrzeit der Freigabe und der anschließenden Buchung kann hilfreich sein. Betroffene sollten keine technischen Einzelheiten erfinden oder nachträglich verändern, sondern den Ablauf so genau wie möglich festhalten.

Falls die Bank technische Protokolle oder Informationen zur Authentifizierung anführt, sollte der Kunde um eine verständliche Erläuterung bitten. Wichtig ist, welche Transaktion damit gemeint ist, welches Sicherheitsverfahren eingesetzt wurde und welche Handlung konkret registriert wurde. Dabei sollte auch zwischen der Anmeldung am Konto und der Freigabe einer einzelnen Zahlung unterschieden werden. Die Bank muss nicht jede interne technische Einzelheit in einer bestimmten Form offenlegen; ihre Argumentation sollte aber anhand der gesetzlichen Nachweisregeln und des konkreten Zahlungsvorgangs geprüft werden können.

Eine schriftliche Beanstandung sollte die fraglichen Zahlungen einzeln benennen. Betroffene können darlegen, dass sie den jeweiligen Zahlungsvorgang nicht autorisiert haben, und erläutern, welche Schritte tatsächlich von ihnen vorgenommen wurden. Wenn eine TAN eingegeben oder eine PushTAN bestätigt wurde, sollte dies wahrheitsgemäß angegeben und in den Zusammenhang der Täuschung gestellt werden. Es ist nicht hilfreich, eine erfolgte Freigabe zu verschweigen. Entscheidend ist vielmehr, ob diese Freigabe tatsächlich die konkrete Zahlung betraf und wie der Kunde zur Handlung veranlasst wurde.

Auch die Unterscheidung zwischen einzelnen Transaktionen bleibt wichtig. Ein Phishing-Angriff kann mehrere Zahlungsvorgänge auslösen, die nicht zwangsläufig gleich zu beurteilen sind. Eine erste Zahlung kann vom Täter ohne Mitwirkung des Kunden ausgeführt worden sein, während der Kunde später auf telefonische Anweisungen reagiert und eine weitere Transaktion selbst bestätigt. Jede Buchung sollte deshalb mit ihrem Betrag, dem Empfänger, dem Zeitpunkt und dem jeweiligen Freigabeablauf erfasst werden. Eine pauschale Erklärung, alle Zahlungen seien durch denselben Phishing-Angriff verursacht worden, ersetzt diese Prüfung nicht.

Wenn die Bank die Erstattung mit der Begründung ablehnt, die Zwei-Faktor-Authentifizierung sei erfolgreich gewesen, sollten Betroffene die rechtliche Aussage hinter dieser Begründung hinterfragen. Ein funktionierendes Authentifizierungsverfahren kann ein wichtiger Hinweis auf den technischen Ablauf sein. Es beantwortet aber nicht automatisch, ob der Kunde dem konkreten Zahlungsvorgang zugestimmt hat oder ob eine gesetzliche Haftung wegen grober Fahrlässigkeit besteht. Diese Fragen sind getrennt zu prüfen. Insbesondere ist zwischen dem Nachweis der Authentifizierung nach § 675w BGB und einer möglichen Haftung des Kunden nach § 675v BGB zu unterscheiden.

Bei hohen Schadenssummen, mehreren unklaren Freigaben oder einer umfassenden Ablehnung der Bank kann eine anwaltliche Prüfung sinnvoll sein. Dabei sollten die technischen Vorgänge, die Kommunikation mit den vermeintlichen Bankmitarbeitern und die einzelnen Zahlungsvorgänge gemeinsam betrachtet werden. Eine rechtliche Prüfung kann helfen, die Einwände der Bank einzuordnen und zu klären, ob ein Erstattungsanspruch nach § 675u BGB oder andere Ansprüche in Betracht kommen. Eine Rückzahlung lässt sich nicht garantieren; eine strukturierte Aufarbeitung kann aber die Grundlage für eine sachgerechte Durchsetzung möglicher Rechte verbessern.

Entscheidend ist, dass TAN, PushTAN und Zwei-Faktor-Authentifizierung Sicherheitsverfahren sind, deren technische Nutzung nicht in jedem Fall mit einer wirksamen Zustimmung zu einer konkreten Zahlung gleichgesetzt werden kann. Ebenso wenig bedeutet ein Phishing-Angriff automatisch, dass die Bank den Schaden ersetzen muss. Maßgeblich sind der konkrete Freigabevorgang, die Autorisierung, die gesetzlichen Nachweisanforderungen und die Voraussetzungen einer möglichen Kundenhaftung. Wer diese Aspekte voneinander trennt und den tatsächlichen Ablauf sorgfältig dokumentiert, kann die eigene Rechtsposition fundierter beurteilen lassen.

Phishing Geld zurück von Bank – was können Betroffene tun, wenn die Bank die Erstattung verweigert?

Wenn die Bank nach einem Phishing-Angriff die Rückzahlung ablehnt, sollten Betroffene die Entscheidung nicht ungeprüft hinnehmen. Eine Ablehnung bedeutet nicht automatisch, dass kein Anspruch besteht. Häufig hängt die Auseinandersetzung davon ab, ob die Bank die Zahlung als autorisiert einstuft, ob sie dem Kunden grobe Fahrlässigkeit vorwirft oder ob sie sich auf technische Aufzeichnungen aus dem Onlinebanking beruft. Wer sein Geld zurückfordern möchte, sollte deshalb systematisch vorgehen, die tatsächlichen Abläufe dokumentieren und die Begründung der Bank anhand der gesetzlichen Anforderungen prüfen.

Der erste Schritt besteht darin, den Schaden vollständig zu erfassen. Betroffene sollten sämtliche verdächtigen Kontobewegungen zusammentragen und jede einzelne Transaktion mit Datum, Uhrzeit, Betrag und Empfänger dokumentieren. Bei mehreren Überweisungen ist es wichtig, die Vorgänge nicht lediglich als Gesamtschaden aufzulisten. Es kann einen erheblichen Unterschied machen, ob ein Täter ohne Wissen des Kontoinhabers eine Zahlung ausgelöst hat oder ob der Kunde später selbst eine weitere Überweisung freigegeben hat, weil er von einem angeblichen Bankmitarbeiter getäuscht wurde. Jede Transaktion sollte daher möglichst genau dem tatsächlichen Ablauf zugeordnet werden.

Anschließend sollte geprüft werden, wann der Phishing-Angriff bemerkt wurde und welche Schritte der Betroffene danach unternommen hat. Wurde die Bank unmittelbar informiert? Wurden die Zugangsdaten gesperrt oder geändert? Wurden betroffene Karten oder andere Zahlungsinstrumente gesichert? Sind nach der ersten Meldung weitere Buchungen erfolgt? Diese Informationen können für die rechtliche Bewertung wichtig sein. Sie zeigen, wie sich der Schaden entwickelt hat und welche Informationen der Bank zu welchem Zeitpunkt vorlagen.

Betroffene sollten die Bank unverzüglich informieren, sobald sie eine nicht autorisierte Zahlung vermuten. Bereits erfolgte Mitteilungen sollten mit Datum, Uhrzeit und Inhalt dokumentiert werden. Wurde der Vorfall telefonisch gemeldet, empfiehlt sich eine ergänzende schriftliche Mitteilung, in der die beanstandeten Buchungen konkret bezeichnet werden. Auf diese Weise lässt sich später nachvollziehen, wann die Bank von dem Vorfall erfahren hat und welche Angaben ihr übermittelt wurden. Zugleich sollte darum gebeten werden, die betreffenden Zahlungsvorgänge zu prüfen und die relevanten Unterlagen beziehungsweise technischen Aufzeichnungen für die Bearbeitung des Falls zu berücksichtigen.

Für die Rückforderung ist eine klare Unterscheidung zwischen nicht autorisierten Zahlungen und selbst ausgelösten Überweisungen entscheidend. Nach § 675u BGB muss die Bank eine nicht autorisierte Zahlung grundsätzlich unverzüglich erstatten und das Konto wieder auf den Stand bringen, auf dem es sich ohne die Belastung befunden hätte. Wenn der Kontoinhaber dagegen selbst eine Überweisung veranlasst und freigegeben hat, weil er den Angaben eines Betrügers vertraute, besteht dieser Anspruch nicht automatisch. In diesem Fall muss gesondert geprüft werden, ob andere Anspruchsgrundlagen in Betracht kommen oder ob konkrete Pflichtverletzungen der Bank vorliegen.

Eine schriftliche Beanstandung sollte deshalb nicht nur erklären, dass der Betroffene Opfer eines Phishing-Angriffs geworden ist. Sie sollte den konkreten Zahlungsvorgang beschreiben und darlegen, weshalb die jeweilige Zahlung nach seiner Darstellung nicht autorisiert war. Wenn die Bank mehrere Buchungen beanstandungsfrei ausgeführt haben will, sollten diese einzeln aufgeführt werden. Ebenso sollte der Kunde wahrheitsgemäß erläutern, ob er Zugangsdaten eingegeben, eine TAN übermittelt oder eine PushTAN-Freigabe bestätigt hat. Entscheidend ist, in welchem Zusammenhang diese Handlungen erfolgt sind und ob der Kunde damit tatsächlich dem konkreten Zahlungsvorgang zugestimmt hat.

Wurde die Erstattung bereits abgelehnt, sollte zunächst die schriftliche Begründung angefordert oder ausgewertet werden. Dabei ist zu prüfen, welche Tatsachen die Bank ihrer Entscheidung zugrunde legt. Beruft sie sich auf eine erfolgreiche Anmeldung, eine TAN oder eine Freigabe über die Banking-App, muss unterschieden werden, ob sie damit lediglich den technischen Ablauf beschreibt oder ob sie daraus eine rechtliche Autorisierung ableitet. Eine erfolgreiche Authentifizierung belegt nicht automatisch, dass der Kunde der konkreten Zahlung zugestimmt hat. Für diese Prüfung sind insbesondere die gesetzlichen Vorgaben des § 675w BGB relevant.

Betroffene sollten die Bank daher um eine nachvollziehbare Darstellung der einzelnen Zahlungsvorgänge bitten. Dazu gehören insbesondere die Zeitpunkte der Transaktionen, die Empfänger und Beträge, das eingesetzte Authentifizierungsverfahren sowie die konkreten Freigabeschritte, auf die sich die Bank beruft. Wenn eine bestimmte TAN oder PushTAN-Bestätigung als Begründung genannt wird, sollte geklärt werden, welche Transaktion damit bestätigt worden sein soll und welche Informationen während des Vorgangs angezeigt wurden. Die technische Dokumentation muss im Zusammenhang mit der Darstellung des Kunden und den übrigen Belegen bewertet werden.

Besonders wichtig ist der Umgang mit dem Vorwurf grober Fahrlässigkeit. Banken begründen ihre Ablehnung mitunter damit, dass der Kunde eine TAN weitergegeben, Zugangsdaten auf einer gefälschten Internetseite eingegeben oder eine Sicherheitswarnung missachtet habe. Solche Umstände können relevant sein, führen aber nicht automatisch zu einer Haftung des Kunden für den gesamten Schaden. Die Voraussetzungen einer möglichen Haftung richten sich unter anderem nach § 675v BGB. Es muss geprüft werden, welches Verhalten konkret beanstandet wird und ob die gesetzlichen Voraussetzungen erfüllt sind.

Eine pauschale Aussage, der Kunde hätte den Betrug erkennen müssen, reicht für eine fundierte rechtliche Beurteilung nicht aus. Es kommt darauf an, wie die Nachricht oder der Anruf gestaltet war, welche Warnhinweise erkennbar waren und welche Informationen der Betroffene während der Freigabe erhielt. Wurde er unter erheblichem Zeitdruck gesetzt und glaubte er, eine Sicherheitsmaßnahme auszuführen, muss dieser tatsächliche Ablauf berücksichtigt werden. Ebenso ist relevant, ob ihm bei der Freigabe ein konkreter Empfänger und Betrag angezeigt wurden. Ob grobe Fahrlässigkeit vorliegt, hängt von den Umständen des Einzelfalls ab und kann nicht allein aus dem Umstand abgeleitet werden, dass ein Phishing-Angriff erfolgreich war.

Die Beweissicherung sollte möglichst früh erfolgen. Betroffene sollten Kontoauszüge, Umsatzdetails, Überweisungsbestätigungen, E-Mails, SMS, Chatverläufe und Screenshots sichern. Bei gefälschten Bankseiten sind die Internetadresse und vorhandene Bildschirmaufnahmen hilfreich. Auch Telefonnummern, Gesprächsnotizen und Nachrichten angeblicher Bankmitarbeiter können eine Rolle spielen. Wenn die Banking-App eine Freigabe oder Sicherheitsabfrage angezeigt hat, sollten vorhandene Informationen dazu unverändert aufbewahrt werden. Die Belege sollten chronologisch geordnet werden, damit sich der Ablauf auch nach längerer Zeit nachvollziehen lässt.

Es empfiehlt sich, eine kurze Zeitleiste zu erstellen. Darin sollten der Eingang der ersten verdächtigen Nachricht, der Aufruf der Webseite, die Eingabe von Zugangsdaten, etwaige Telefonate, die einzelnen Kontobelastungen und die Kontaktaufnahme mit der Bank erfasst werden. Bei mehreren Transaktionen sollte jede Zahlung mit ihrem Zeitpunkt und dem zugehörigen Freigabevorgang verbunden werden, soweit dieser bekannt ist. Eine solche Übersicht erleichtert die Prüfung, ob die Zahlungen ohne Zustimmung des Kunden ausgeführt wurden oder ob unterschiedliche Sachverhalte vorliegen.

Wenn die Bank behauptet, der Kunde habe selbst eine Überweisung ausgelöst, sollte geprüft werden, ob die tatsächlichen Angaben dazu passen. Hat der Betroffene den Empfänger selbst eingegeben? Wurde ihm der Empfänger von einem angeblichen Bankmitarbeiter genannt? Hat er geglaubt, Geld auf ein eigenes Sicherheitskonto zu verschieben? Oder hat er lediglich Zugangsdaten auf einer gefälschten Webseite eingetragen? Diese Fragen sind nicht bloß technische Einzelheiten. Sie können darüber entscheiden, welche rechtlichen Ansprüche geprüft werden müssen und ob die Bank sich auf eine Autorisierung berufen kann.

Bei einer selbst ausgelösten Überweisung ist besondere Vorsicht mit pauschalen Erstattungsforderungen geboten. Wenn der Kunde den Zahlungsvorgang tatsächlich autorisiert hat, lässt sich der Anspruch nicht ohne Weiteres auf § 675u BGB stützen. Dennoch sollte der Fall nicht allein deshalb abgeschlossen werden. Je nach Sachverhalt kann zu prüfen sein, ob die Bank andere Pflichten verletzt hat oder weitere rechtliche Ansprüche bestehen. Ob solche Ansprüche Erfolg haben, hängt von konkreten Tatsachen und den einschlägigen rechtlichen Voraussetzungen ab. Der Umstand, dass ein Betrüger das Opfer getäuscht hat, genügt allein nicht, um eine Haftung der Bank zu begründen.

Betroffene sollten bei der Kommunikation mit der Bank sachlich bleiben und die entscheidenden Fragen klar formulieren. Sie können um eine konkrete Erklärung bitten, weshalb die Bank von einer Autorisierung ausgeht, welche Belege dafür vorliegen und auf welche Tatsachen sie einen Vorwurf grober Fahrlässigkeit stützt. Wird die Erstattung verweigert, sollte außerdem nachvollziehbar sein, ob die Bank jede einzelne beanstandete Transaktion geprüft hat. Eine ausführliche, auf den konkreten Sachverhalt bezogene Antwort ist hilfreicher als ein allgemeiner Verweis auf die Nutzung korrekter Zugangsdaten.

Wenn die Bank auf die Beanstandung nicht reagiert oder bei ihrer Ablehnung bleibt, kann eine erneute schriftliche Aufforderung zur Prüfung sinnvoll sein. Darin sollten die bereits vorgelegten Belege benannt und offene Fragen konkret formuliert werden. Es ist wichtig, die eigenen Angaben nicht bei jeder Kontaktaufnahme zu verändern, sondern eine konsistente Darstellung des tatsächlichen Ablaufs zu gewährleisten. Neue Erkenntnisse sollten ergänzt und bestehende Unklarheiten ausdrücklich gekennzeichnet werden. Das erhöht die Nachvollziehbarkeit und erleichtert eine spätere rechtliche Prüfung.

Neben der internen Bearbeitung durch die Bank kann je nach Institut und Fall auch ein außergerichtliches Beschwerde- oder Schlichtungsverfahren in Betracht kommen. Welche Stelle zuständig ist und ob das Verfahren für den konkreten Streit geeignet ist, hängt unter anderem von der Bank und den einschlägigen Verfahrensregeln ab. Ein solches Vorgehen ersetzt nicht in jedem Fall eine gerichtliche Durchsetzung und garantiert keine Erstattung. Vor der Einleitung sollten deshalb die Zuständigkeit, die Teilnahmebedingungen und mögliche Fristen geprüft werden.

Auch Fristen sollten nicht aus den Augen verloren werden. Für nicht autorisierte Zahlungsvorgänge enthält § 676b BGB besondere Regelungen zur Anzeige gegenüber dem Zahlungsdienstleister. Die Vorschrift sieht grundsätzlich vor, dass der Kunde einen nicht autorisierten oder fehlerhaft ausgeführten Zahlungsvorgang unverzüglich nach dessen Feststellung anzeigen muss. Für bestimmte Ansprüche gelten gesetzliche zeitliche Grenzen, wobei die konkreten Voraussetzungen und Ausnahmen zu beachten sind. Betroffene sollten daher nicht davon ausgehen, dass eine Rückforderung unbegrenzt möglich bleibt, sondern den Vorfall frühzeitig melden und die Anspruchsgrundlagen prüfen lassen.

Eine anwaltliche Prüfung kann sinnvoll sein, wenn die Bank den Schaden vollständig dem Kunden zurechnet, hohe Beträge betroffen sind oder technische Abläufe unklar bleiben. Dabei sollte zunächst festgestellt werden, welche Zahlungen als nicht autorisiert beanstandet werden können und welche Belege dazu vorliegen. Anschließend ist zu prüfen, ob die Bank die gesetzlichen Anforderungen an den Nachweis erfüllt und ob eine behauptete Pflichtverletzung des Kunden tatsächlich eine Haftung begründen kann. Eine solche Prüfung kann auch helfen, die Einwände der Bank zu strukturieren und eine rechtlich fundierte Stellungnahme vorzubereiten.

Wer rechtliche Unterstützung in Anspruch nimmt, sollte die Unterlagen möglichst vollständig und geordnet vorlegen. Dazu gehören die Kontoumsätze, die Kommunikation mit der Bank, die Phishing-Nachrichten, vorhandene Screenshots, die eigene Chronologie und die bisherige Ablehnungsbegründung. Je genauer der Ablauf dokumentiert ist, desto besser lässt sich erkennen, welche Punkte geklärt werden müssen. Eine anwaltliche Bewertung kann keine Rückzahlung garantieren, aber dabei helfen, mögliche Ansprüche und Risiken realistisch einzuschätzen.

Entscheidend ist, dass eine Ablehnung der Bank nicht das Ende der Prüfung sein muss. Betroffene sollten die tatsächliche Autorisierung jeder einzelnen Zahlung, die Nachweise der Bank und einen möglichen Vorwurf grober Fahrlässigkeit getrennt untersuchen lassen. Eine sachlich begründete Beanstandung, vollständige Beweissicherung und konsequente Prüfung der gesetzlichen Voraussetzungen schaffen eine bessere Grundlage, um einen möglichen Erstattungsanspruch nach einem Phishing-Angriff zu verfolgen.

Phishing Geld zurück von Bank – welche Ansprüche bestehen bei grober Fahrlässigkeit oder Sicherheitsmängeln?

Ob Betroffene nach einem Phishing-Angriff ihr Geld von der Bank zurückerhalten, hängt nicht allein davon ab, ob sie auf eine gefälschte Nachricht hereingefallen sind oder eine TAN eingegeben haben. Entscheidend sind die konkreten Umstände des Zahlungsvorgangs, die Art der erteilten Freigabe, die Einhaltung der gesetzlichen Pflichten und die Frage, ob dem Kunden ein rechtlich vorwerfbares Verhalten zur Last gelegt werden kann. Dabei sind zwei Aspekte besonders wichtig: der Vorwurf grober Fahrlässigkeit und mögliche Sicherheitsmängel im Zahlungsverkehrssystem der Bank.

Betroffene erleben häufig, dass ein Kreditinstitut eine Erstattung mit der Begründung ablehnt, sie hätten ihre Zugangsdaten preisgegeben, eine TAN bestätigt oder eine PushTAN-Nachricht freigegeben. Eine solche Begründung muss jedoch im Einzelfall geprüft werden. Die bloße Tatsache, dass eine betrügerische Transaktion technisch über das Onlinebanking abgewickelt wurde, beantwortet noch nicht sämtliche rechtlichen Fragen. Insbesondere muss geklärt werden, welche Informationen dem Kunden bei der Freigabe tatsächlich angezeigt wurden, wie der Betrüger vorgegangen ist und ob die Zahlung dem Kunden rechtlich zugerechnet werden kann.

Nach § 675u BGB trägt der Zahlungsdienstleister grundsätzlich die Verantwortung für die Erstattung eines nicht autorisierten Zahlungsvorgangs. § 675v BGB regelt unter anderem, unter welchen Voraussetzungen ein Zahlungsdienstnutzer für Schäden aus missbräuchlich verwendeten Zahlungsinstrumenten haftet. Für die Beurteilung, ob eine Zahlung autorisiert wurde und welche Nachweise erforderlich sind, ist außerdem § 675w BGB von Bedeutung. Diese Vorschriften müssen im Zusammenhang betrachtet werden. Es wäre deshalb zu pauschal, aus einer eingegebenen TAN automatisch auf eine wirksame Zustimmung zur konkreten Überweisung zu schließen oder umgekehrt jede betrugsbedingt ausgelöste Zahlung als zwingend erstattungsfähig anzusehen.

Grobe Fahrlässigkeit ist in diesem Zusammenhang ein wichtiger rechtlicher Begriff. Gemeint ist nicht jedes unvorsichtige Verhalten und auch nicht jeder Fehler, der im Nachhinein vermeidbar erscheint. Vielmehr geht es um eine besonders schwerwiegende Verletzung der erforderlichen Sorgfalt. Ob ein solches Verhalten vorliegt, lässt sich nur anhand der konkreten Umstände beurteilen. Dazu können der Inhalt einer betrügerischen Nachricht, die Gestaltung einer gefälschten Bankseite, die angezeigten Warnhinweise, der Ablauf der Authentifizierung und die Erklärungen des Kunden gehören.

Banken führen mitunter an, der Kunde hätte die Manipulation erkennen müssen. Dabei kann es eine Rolle spielen, ob eine Nachricht ungewöhnliche Zahlungsaufforderungen enthielt, ob eine Internetadresse auffällig war oder ob das Kreditinstitut ausdrücklich vor einer bestimmten Handlung gewarnt hatte. Solche Gesichtspunkte sind jedoch nicht isoliert zu betrachten. Betrüger können Nachrichten und Internetseiten professionell gestalten, bekannte Kommunikationswege imitieren und persönliche Informationen verwenden, um Vertrauen aufzubauen. Auch ein plausibel wirkender Kommunikationsverlauf kann Teil eines gezielten Täuschungsversuchs sein.

Entscheidend ist deshalb, was der Kunde im Zeitpunkt der Handlung tatsächlich erkennen konnte und welche Informationen ihm zur Verfügung standen. Eine nachträgliche Bewertung darf nicht allein darauf gestützt werden, dass sich der Betrug nachträglich leicht erklären lässt. Ebenso wenig genügt es, pauschal auf die Vertraulichkeit von Zugangsdaten oder die allgemeinen Sicherheitsregeln des Onlinebankings hinzuweisen. Wenn die Bank eine Haftung wegen grober Fahrlässigkeit geltend macht, müssen die dafür maßgeblichen Tatsachen nachvollziehbar geprüft werden.

Besondere Aufmerksamkeit verdient die Unterscheidung zwischen der Weitergabe von Zugangsdaten und der Freigabe einer konkreten Zahlung. Ein Betroffener kann beispielsweise glauben, eine Sicherheitsprüfung durchzuführen, eine angebliche Kontosperre abzuwenden oder eine vermeintlich verdächtige Buchung zu bestätigen. Tatsächlich kann er dabei eine Zahlung autorisieren, die der Betrüger vorbereitet hat. In anderen Fällen werden Zugangsdaten abgefangen und anschließend ohne Wissen des Kunden für Transaktionen verwendet. Diese Konstellationen können rechtlich unterschiedlich zu beurteilen sein.

Wichtig ist daher, welche Angaben auf dem Bildschirm oder in der Authentifizierungsanwendung angezeigt wurden. Wurden Betrag und Empfänger genannt? War erkennbar, dass eine Überweisung ausgelöst werden sollte? Hat der Kunde eine Zahlung bewusst bestätigt oder glaubte er, eine andere Funktion auszuführen? Welche Mitteilungen wurden während des Vorgangs angezeigt? Die Antworten können helfen, den Sachverhalt einzuordnen. Sie sind auch deshalb relevant, weil eine technische Authentifizierung nicht in jedem Fall mit der rechtlichen Autorisierung des konkreten Zahlungsvorgangs gleichzusetzen ist.

Ein weiterer Punkt betrifft die gesetzlich geregelte Haftungsverteilung. Selbst wenn ein Kreditinstitut dem Kunden ein Fehlverhalten vorwirft, folgt daraus nicht automatisch, dass dieser den gesamten Schaden tragen muss. Maßgeblich sind die gesetzlichen Voraussetzungen, die konkrete Art des Zahlungsvorgangs und die Umstände des Missbrauchs. Ob eine Haftung des Kunden besteht und in welchem Umfang sie reicht, hängt von der rechtlichen Einordnung des Einzelfalls ab. Eine pauschale Kürzung oder vollständige Ablehnung der Erstattung sollte deshalb nicht ungeprüft hingenommen werden.

Neben dem Verhalten des Kunden können auch Sicherheitsmängel des Zahlungsdienstleisters eine Rolle spielen. Banken müssen im Rahmen der geltenden gesetzlichen und vertraglichen Anforderungen geeignete Sicherheitsmaßnahmen für Zahlungsdienste vorsehen. Welche Anforderungen im Einzelfall gelten, hängt unter anderem vom verwendeten Verfahren, der konkreten Transaktion und den maßgeblichen technischen sowie rechtlichen Rahmenbedingungen ab. Nicht jeder erfolgreiche Betrugsversuch beweist bereits einen Fehler der Bank. Umgekehrt lässt sich ein möglicher Sicherheitsmangel nicht allein mit dem Hinweis ausschließen, das System habe eine Anmeldung oder Transaktion technisch akzeptiert.

Für die Prüfung kann relevant sein, ob die vorgeschriebenen Authentifizierungsanforderungen eingehalten wurden, ob die eingesetzten Verfahren den gesetzlichen Vorgaben entsprachen und ob es Auffälligkeiten im Ablauf der Zahlung gab. Dazu zählen beispielsweise ungewöhnliche Anmeldevorgänge, neue Geräte, eine abweichende Nutzung des Kontos oder mehrere Transaktionen innerhalb kurzer Zeit. Solche Auffälligkeiten belegen für sich genommen noch keine Pflichtverletzung. Sie können aber Anlass geben, die technischen Abläufe und die von der Bank getroffenen Sicherheitsmaßnahmen genauer zu untersuchen.

Auch die Frage, ob eine Transaktion hätte verhindert oder zumindest zusätzlich überprüft werden müssen, lässt sich nicht abstrakt beantworten. Es kommt auf die konkreten Tatsachen und die einschlägigen Pflichten an. Ein ungewöhnlicher Zahlungsvorgang führt nicht in jedem Fall zu einer automatischen Pflicht zur Sperrung. Ebenso begründet ein hoher Überweisungsbetrag allein noch keinen Anspruch auf Erstattung wegen eines Sicherheitsfehlers. Entscheidend ist, ob sich aus dem dokumentierten Ablauf ein rechtlich relevanter Verstoß ergibt und ob dieser für die geltend gemachten Ansprüche von Bedeutung ist.

Betroffene sollten deshalb darauf achten, dass die Bank den Vorgang nicht nur mit allgemeinen Formulierungen beantwortet. Eine pauschale Mitteilung, die Zahlung sei korrekt authentifiziert worden, erläutert möglicherweise noch nicht, wie die konkrete Freigabe bewertet wurde und welche Tatsachen für die Ablehnung der Erstattung maßgeblich waren. Sinnvoll ist es, eine nachvollziehbare Begründung zu verlangen, die sich auf die betreffende Transaktion und den tatsächlichen Ablauf bezieht. Dabei sollten die einzelnen Zahlungsvorgänge getrennt betrachtet werden, wenn mehrere Überweisungen oder Abbuchungen betroffen sind.

Bei der rechtlichen Prüfung kann außerdem entscheidend sein, ob die Bank zwischen einer vom Kunden bewusst veranlassten Zahlung und einer Zahlung unterscheidet, die durch Täuschung oder unbefugten Zugriff ausgelöst wurde. Diese Unterscheidung darf nicht allein anhand des Umstands vorgenommen werden, dass ein Authentifizierungsverfahren erfolgreich durchlaufen wurde. Es muss geprüft werden, welche Erklärung der Kunde abgegeben hat, worauf sie sich bezog und ob die gesetzlichen Anforderungen an den Nachweis des Zahlungsvorgangs erfüllt sind.

Für Betroffene ist es daher wichtig, den Ablauf möglichst genau zu dokumentieren. Dazu gehören die ursprüngliche Nachricht, die verwendete Internetadresse, Screenshots der angezeigten Informationen, PushTAN-Mitteilungen, SMS, E-Mails und der zeitliche Ablauf der Überweisungen. Auch die Kommunikation mit der Bank sollte vollständig aufbewahrt werden. Wurde der Kunde telefonisch durch den vermeintlichen Bankmitarbeiter angeleitet, kann eine zeitnahe Gedächtnisnotiz hilfreich sein. Sie sollte enthalten, welche Person sich gemeldet hat, welche Angaben gemacht wurden und welche Handlungen der Kunde daraufhin ausgeführt hat.

Solche Unterlagen können helfen, einen pauschalen Vorwurf grober Fahrlässigkeit anhand der tatsächlichen Umstände zu überprüfen. Sie können zugleich Anhaltspunkte für die Frage liefern, ob die technischen und organisatorischen Sicherheitsmaßnahmen des Zahlungsdienstleisters ordnungsgemäß eingesetzt wurden. Fehlende Screenshots schließen eine rechtliche Prüfung nicht automatisch aus. Auch Kontoauszüge, Zeitangaben, Nachrichtenverläufe und die schriftlichen Erklärungen der Bank können wichtige Informationen enthalten.

Besonders sorgfältig sollte geprüft werden, wenn mehrere Zahlungen unmittelbar nacheinander erfolgt sind. Ein Betrüger kann zunächst einen kleinen Betrag veranlassen und anschließend weitere Überweisungen auslösen. Es kann auch vorkommen, dass der Kunde erst nach der ersten Buchung erkennt, dass er getäuscht wurde. In solchen Fällen ist zu untersuchen, welche Vorgänge tatsächlich autorisiert wurden, wann der Kunde den Missbrauch bemerkte und welche Informationen ihm bei den jeweiligen Freigaben vorlagen. Die rechtliche Bewertung muss nicht für alle Transaktionen identisch ausfallen.

Daneben ist die rechtzeitige Mitteilung des Missbrauchs an die Bank wichtig. § 676b BGB enthält Regelungen zu Anzeige- und Ausschlussfristen im Zusammenhang mit nicht autorisierten oder fehlerhaft ausgeführten Zahlungsvorgängen. Betroffene sollten deshalb nicht abwarten, bis sämtliche Hintergründe geklärt sind, bevor sie den Vorgang melden. Eine zeitnahe Mitteilung schafft eine bessere Ausgangslage für die weitere Aufklärung und hilft, mögliche Fristfragen im Blick zu behalten. Die konkrete Rechtsfolge hängt allerdings von den gesetzlichen Voraussetzungen und dem Einzelfall ab.

Wenn die Bank die Erstattung wegen grober Fahrlässigkeit ablehnt oder auf angebliche Sicherheitsmängel nicht eingeht, kann eine rechtliche Prüfung sinnvoll sein. Dabei sollte nicht nur die Begründung des Kreditinstituts betrachtet werden. Ebenso wichtig sind der Zahlungsauftrag, die Authentifizierungsdaten, die Kommunikation mit dem Kunden und die gesetzlichen Anforderungen an die Erstattung und Haftung. Je nach Sachverhalt kann es außerdem erforderlich sein, mehrere Zahlungsdienstleister oder beteiligte Konten in die Prüfung einzubeziehen.

Ein Anspruch gegen die Bank ist nicht in jedem Fall durchsetzbar. Insbesondere können eine tatsächlich autorisierte Zahlung, ein nachweisbares schwerwiegendes Fehlverhalten des Kunden oder andere gesetzlich relevante Umstände die Beurteilung beeinflussen. Umgekehrt sollte ein Betroffener nicht allein deshalb auf eine Prüfung verzichten, weil er eine TAN eingegeben oder eine PushTAN-Mitteilung bestätigt hat. Entscheidend bleibt, was genau geschehen ist und welche rechtlichen Folgen sich daraus ergeben.

Wer nach einem Phishing-Angriff Geld zurück von der Bank verlangt, sollte deshalb eine Einzelfallprüfung anstreben, die sowohl das eigene Verhalten als auch die Pflichten des Zahlungsdienstleisters berücksichtigt. Die wesentlichen Fragen sind, ob die konkrete Zahlung autorisiert war, ob eine Haftung des Kunden nach den gesetzlichen Vorschriften in Betracht kommt und ob Anhaltspunkte für eine Verletzung bankseitiger Pflichten bestehen. Eine sachlich fundierte Prüfung kann helfen, eine pauschale Ablehnung einzuordnen und zu entscheiden, welche weiteren Schritte sinnvoll sind. Eine Erstattung lässt sich dadurch nicht garantieren; die tatsächlichen und rechtlichen Umstände können jedoch ausschlaggebend dafür sein, ob weitere Ansprüche bestehen.

Phishing Geld zurück von Bank – wie können Betroffene Beweise sichern und ihre Ansprüche durchsetzen?

Wer nach einem Phishing-Angriff Geld von der Bank zurückverlangen möchte, sollte den gesamten Zahlungsvorgang möglichst frühzeitig und nachvollziehbar dokumentieren. Gerade bei betrügerischen Überweisungen kommt es häufig auf Details an, die zunächst nebensächlich erscheinen: eine bestimmte Formulierung in einer SMS, eine gefälschte Internetadresse, eine PushTAN-Mitteilung, ein Telefonat mit einem vermeintlichen Bankmitarbeiter oder eine ungewöhnliche Buchung auf dem Konto. Werden solche Informationen nicht rechtzeitig gesichert, kann es später schwieriger werden, den Ablauf zu rekonstruieren und gegenüber der Bank nachvollziehbar darzustellen.

Die Beweissicherung sollte deshalb nicht erst beginnen, wenn das Kreditinstitut die Erstattung ablehnt. Bereits bei der ersten Meldung des Vorfalls empfiehlt es sich, sämtliche verfügbaren Unterlagen zu sammeln und geordnet aufzubewahren. Dazu gehören insbesondere Kontoauszüge, Buchungsdetails, Überweisungsbelege, Nachrichten, E-Mails, Screenshots und die bisherige Kommunikation mit der Bank. Entscheidend ist, dass die Unterlagen möglichst vollständig bleiben und sich später erkennen lässt, welche Informationen zu welchem Zeitpunkt vorlagen.

Ein zentraler Bestandteil der Dokumentation sind die betroffenen Zahlungsvorgänge. Für jede Überweisung oder Abbuchung sollten Datum, Uhrzeit, Betrag, Empfänger und die verfügbaren Zahlungsdaten festgehalten werden. Bei einer Banküberweisung können insbesondere die Empfänger-IBAN, der angegebene Empfängername, der Verwendungszweck und die Buchungsreferenz von Bedeutung sein. Soweit verfügbar, sollten auch Angaben zur Empfängerbank und zum verwendeten Zahlungsdienstleister aufbewahrt werden. Bei mehreren Transaktionen empfiehlt sich eine chronologische Übersicht, damit die einzelnen Vorgänge nicht miteinander verwechselt werden.

Eine solche Übersicht kann beispielsweise zeigen, ob mehrere Zahlungen innerhalb weniger Minuten ausgelöst wurden, ob zunächst ein kleiner Betrag und anschließend größere Summen überwiesen wurden oder ob zwischen der ersten verdächtigen Aktivität und der Meldung an die Bank ein längerer Zeitraum lag. Diese zeitlichen Zusammenhänge können für die rechtliche Einordnung relevant sein. Sie ersetzen allerdings keine Prüfung des Einzelfalls. Aus der zeitlichen Abfolge allein lässt sich weder sicher ableiten, dass die Bank für den Schaden haftet, noch dass ein Anspruch ausgeschlossen ist.

Ebenso wichtig ist die Sicherung der Kommunikation, durch die der Betrug angebahnt oder ausgelöst wurde. Betroffene sollten E-Mails möglichst vollständig einschließlich Absenderinformationen und vorhandener Kopfzeilen speichern. Bei SMS, Messenger-Nachrichten und anderen Kurznachrichten empfiehlt es sich, nicht nur einzelne Textpassagen zu fotografieren, sondern den gesamten verfügbaren Gesprächsverlauf aufzubewahren. Screenshots sollten den Zusammenhang erkennen lassen. Soweit möglich, sollten Datum, Uhrzeit, Absender und die angezeigte Internetadresse mit erfasst werden.

Wurde der Kontakt über eine gefälschte Bankseite hergestellt, kann auch die verwendete Internetadresse wichtig sein. Die Domain sollte dokumentiert werden, ohne erneut sensible Daten auf der Seite einzugeben. Wenn die Seite noch erreichbar ist, können Screenshots der sichtbaren Inhalte hilfreich sein. Betroffene sollten jedoch keine weiteren Zugangsdaten, TANs oder persönlichen Informationen eingeben, um zusätzliche Belege zu erhalten. Die Sicherung von Beweisen darf nicht dazu führen, dass weitere Zahlungen ausgelöst oder weitere Kontodaten offengelegt werden.

Bei telefonischen Kontakten ist eine zeitnahe Gedächtnisnotiz sinnvoll. Sie sollte festhalten, wann der Anruf einging, welche Rufnummer angezeigt wurde, wie sich der Anrufer vorstellte und welche Anweisungen er gab. Ebenso sollte dokumentiert werden, ob der Anrufer bestimmte Kontobewegungen erwähnte, zur Installation einer Anwendung aufforderte oder den Kunden dazu brachte, eine Authentifizierung durchzuführen. Auch Angaben dazu, was der Betroffene zu diesem Zeitpunkt über den Zweck der Handlung glaubte, können für die spätere Bewertung bedeutsam sein.

Besondere Bedeutung können Authentifizierungsnachrichten haben. Wenn eine PushTAN-Mitteilung, eine SMS-TAN oder eine andere Bestätigungsabfrage angezeigt wurde, sollte der genaue Wortlaut festgehalten werden, soweit er noch verfügbar ist. Relevant ist insbesondere, ob Betrag und Empfänger genannt wurden und welche Handlung durch die Bestätigung ausgelöst werden sollte. Wurde lediglich eine allgemeine Sicherheitsprüfung angekündigt oder war eine konkrete Überweisung erkennbar? Diese Frage kann eine wichtige Rolle spielen, wenn darüber gestritten wird, ob der Kunde die Zahlung tatsächlich autorisiert hat.

Die technische Darstellung sollte möglichst unverändert dokumentiert werden. Nachträglich erstellte Notizen können zwar helfen, den Ablauf zu erklären, sollten aber klar von Originalnachrichten und Screenshots unterschieden werden. Betroffene sollten keine Nachrichten verändern, keine wesentlichen Teile aus dem Zusammenhang entfernen und keine Unterlagen so bearbeiten, dass der ursprüngliche Inhalt nicht mehr nachvollziehbar ist. Für die eigene Übersicht können Kopien oder gesonderte Zusammenfassungen angefertigt werden; die vorhandenen Originaldateien sollten zusätzlich aufbewahrt werden.

Auch die Unterlagen der Bank selbst gehören zur Beweissicherung. Dazu zählen die erste Meldung des Vorfalls, Eingangsbestätigungen, Antworten des Kundenservice, schriftliche Ablehnungen und Angaben dazu, wie das Kreditinstitut den Zahlungsvorgang bewertet. Wenn die Bank eine Erstattung verweigert, sollten Betroffene die vollständige Begründung sichern und prüfen, auf welche konkreten Tatsachen sich die Entscheidung stützt. Allgemeine Aussagen wie die Transaktion sei ordnungsgemäß authentifiziert worden, beantworten möglicherweise nicht alle Fragen zur rechtlichen Autorisierung und zur Haftung.

Es kann sinnvoll sein, die Bank um eine nachvollziehbare Erläuterung der einzelnen beanstandeten Zahlungsvorgänge zu bitten. Dabei sollte klar benannt werden, welche Transaktionen betroffen sind und weshalb die Einordnung des Kreditinstituts bestritten wird. Wenn mehrere Zahlungen stattgefunden haben, sollte nicht nur pauschal auf den gesamten Schaden verwiesen werden. Die Begründung sollte sich möglichst auf die jeweiligen Beträge, Zeitpunkte und Freigaben beziehen. So lässt sich besser erkennen, ob die Bank alle Vorgänge berücksichtigt hat oder einzelne Fragen offen geblieben sind.

Für die rechtliche Bewertung sind insbesondere die §§ 675u, 675v und 675w BGB von Bedeutung. § 675u BGB regelt grundsätzlich die Erstattungspflicht bei nicht autorisierten Zahlungsvorgängen. § 675v BGB betrifft die mögliche Haftung des Zahlungsdienstnutzers bei missbräuchlicher Verwendung eines Zahlungsinstruments. § 675w BGB enthält Anforderungen an den Nachweis der Authentifizierung und Ausführung eines Zahlungsvorgangs sowie an die Bewertung der Frage, ob der Kunde den Vorgang autorisiert hat oder sich vorwerfbar verhalten hat. Welche Vorschrift im konkreten Fall ausschlaggebend ist, hängt von den tatsächlichen Umständen ab.

Dabei ist es wichtig, zwischen dem technischen Ablauf und der rechtlichen Bewertung zu unterscheiden. Dass eine Zahlung mit einem korrekten Authentifizierungsverfahren ausgeführt wurde, bedeutet nicht in jeder Konstellation, dass der Kunde die konkrete Zahlung rechtlich autorisiert hat. Umgekehrt reicht der Hinweis auf eine Täuschung allein nicht zwingend aus, um einen Erstattungsanspruch zu begründen. Es muss geprüft werden, welche Handlung der Kunde tatsächlich vorgenommen hat, welche Informationen ihm angezeigt wurden und welche rechtlichen Voraussetzungen für die Erstattung oder eine mögliche Haftung erfüllt sind.

Betroffene sollten außerdem den Zeitpunkt ihrer Meldung an die Bank dokumentieren. § 676b BGB enthält Regelungen zu Fristen für die Anzeige nicht autorisierter oder fehlerhaft ausgeführter Zahlungsvorgänge. Wer den Missbrauch bemerkt, sollte ihn daher unverzüglich über einen geeigneten Kontaktweg melden und den Zeitpunkt der Meldung festhalten. Eine spätere rechtliche Auseinandersetzung kann davon profitieren, wenn klar nachweisbar ist, wann das Kreditinstitut über den Vorfall informiert wurde und welche Informationen ihm dabei übermittelt wurden.

Wurde das Konto nach dem Phishing-Angriff weiterhin genutzt oder wurden nach der ersten verdächtigen Transaktion zusätzliche Zahlungen ausgelöst, sollten diese Vorgänge ebenfalls genau dokumentiert werden. Dabei ist festzuhalten, wann der Betroffene den Verdacht bemerkte, wann er Zugangsdaten änderte oder das Konto sperren ließ und wann weitere Buchungen erfolgten. Solche Informationen können helfen, die Entwicklung des Vorfalls nachzuvollziehen. Sie sollten jedoch nicht vorschnell als Beweis für ein bestimmtes Verschulden interpretiert werden.

Bei einem größeren finanziellen Schaden kann es zweckmäßig sein, die Dokumentation in einer strukturierten Akte zusammenzuführen. Sinnvoll ist eine klare Trennung zwischen Zahlungsunterlagen, Kommunikation mit den mutmaßlichen Tätern, Authentifizierungsinformationen, Bankkorrespondenz und eigenen zeitnahen Notizen. Dateien können nach Datum und Art des Dokuments benannt werden. Eine zusätzliche Sicherungskopie hilft, den Verlust wichtiger Informationen zu vermeiden. Sensible Kontodaten sollten dabei geschützt gespeichert und nicht unbedacht an unbekannte Personen weitergeleitet werden.

Vorsicht ist insbesondere geboten, wenn sich nach dem ursprünglichen Vorfall vermeintliche Rückholunternehmen, angebliche Ermittler oder angebliche Rechtsberater melden. Solche Kontakte können einen weiteren Täuschungsversuch darstellen, insbesondere wenn vor einer angeblichen Auszahlung zusätzliche Gebühren, Steuern, Sicherheitsleistungen oder Vorauszahlungen verlangt werden. Betroffene sollten nicht allein aufgrund professionell wirkender Unterlagen oder vermeintlich genauer Kenntnisse über den ursprünglichen Schaden Vertrauen fassen. Vor einer Zahlung ist zu prüfen, wer tatsächlich hinter dem Angebot steht und auf welcher Grundlage die verlangte Leistung erbracht werden soll.

Die Beweissicherung kann auch für eine anwaltliche Prüfung entscheidend sein. Ein im Zahlungsrecht und bei Phishing-Fällen erfahrener Rechtsanwalt kann die vorhandenen Unterlagen auswerten, offene Fragen identifizieren und prüfen, ob die Begründung der Bank rechtlich trägt. Dazu gehört gegebenenfalls die Frage, ob ein nicht autorisierter Zahlungsvorgang vorliegt, ob eine mögliche Haftung des Kunden rechtmäßig begründet wurde oder ob weitere Informationen zum Authentifizierungsprozess benötigt werden. Welche Ansprüche bestehen, lässt sich erst nach Prüfung des konkreten Sachverhalts zuverlässig beurteilen.

Wenn die Bank die Erstattung ablehnt, sollten Betroffene nicht ausschließlich auf telefonische Auskünfte vertrauen. Schriftliche Mitteilungen lassen sich besser dokumentieren und später auf konkrete Aussagen überprüfen. Eine sachliche schriftliche Einwendung sollte die betroffenen Buchungen bezeichnen, den tatsächlichen Ablauf schildern und erläutern, welche Punkte der Bankentscheidung bestritten werden. Unklare oder widersprüchliche Angaben sollten möglichst konkret benannt werden. Dabei ist es ratsam, Tatsachen, eigene Vermutungen und rechtliche Bewertungen voneinander zu trennen.

Je nach Fall kann außerdem geprüft werden, ob ein geeignetes Beschwerde- oder Schlichtungsverfahren zur Verfügung steht. Welche Stelle zuständig ist und ob ein solches Verfahren sinnvoll erscheint, hängt unter anderem vom Kreditinstitut, dem einschlägigen Verfahren und der konkreten Streitfrage ab. Ein solches Vorgehen ersetzt nicht automatisch die Prüfung möglicher gerichtlicher Ansprüche. Auch Fristen und sonstige rechtliche Voraussetzungen müssen im Blick behalten werden.

Besondere Sorgfalt ist geboten, wenn der Schaden nicht durch eine einzelne Überweisung, sondern durch mehrere unterschiedliche Vorgänge entstanden ist. Beispielsweise können neben Überweisungen auch Kartenzahlungen, Lastschriften oder andere Zahlungsvorgänge betroffen sein. Für jede Zahlungsart können unterschiedliche tatsächliche und rechtliche Fragen relevant werden. Deshalb sollte die Dokumentation die Vorgänge einzeln aufführen und nicht ohne Prüfung alle Buchungen gleich behandeln. Die rechtliche Einordnung kann sich je nach Zahlungsinstrument und Ablauf unterscheiden.

Auch wenn nicht mehr sämtliche Originalnachrichten verfügbar sind, ist eine Prüfung nicht automatisch ausgeschlossen. Kontoauszüge, Bankmitteilungen, gespeicherte Dateien, Gesprächsnotizen und andere zeitnahe Aufzeichnungen können gemeinsam ein Bild des Geschehens ergeben. Wichtig ist, transparent zu kennzeichnen, welche Unterlagen noch vorhanden sind und welche Informationen nur aus der Erinnerung stammen. Lücken sollten nicht durch nachträglich erfundene oder ungesicherte Details geschlossen werden. Eine sorgfältige Darstellung der tatsächlich bekannten Umstände ist meist hilfreicher als eine scheinbar vollständige, aber nicht belastbare Schilderung.

Wer nach einem Phishing-Angriff Geld zurück von der Bank verlangt, sollte daher drei Ziele verfolgen: den finanziellen Schaden exakt erfassen, den tatsächlichen Ablauf möglichst vollständig dokumentieren und die rechtliche Begründung der Bank überprüfen lassen. Besonders wichtig sind die einzelnen Buchungen, die konkreten Authentifizierungsinformationen, der Inhalt der betrügerischen Kommunikation und die zeitnahe Meldung des Vorfalls. Diese Informationen können helfen, zwischen einer tatsächlich autorisierten Zahlung, einem nicht autorisierten Vorgang und einer möglichen Haftung wegen des Verhaltens des Kunden zu unterscheiden.

Eine sorgfältige Beweissicherung garantiert keine Erstattung. Sie verbessert jedoch die Grundlage, auf der der Anspruch geprüft und gegenüber der Bank begründet werden kann. Wenn das Kreditinstitut die Zahlung nicht erstatten will, sollte die Ablehnung deshalb anhand der konkreten Tatsachen und der einschlägigen gesetzlichen Vorschriften beurteilt werden. Auf diese Weise lässt sich feststellen, ob weitere Schritte sinnvoll sind und welche Informationen für eine fundierte Durchsetzung möglicher Ansprüche noch benötigt werden.

Kanzlei Wilms – Experten bei Online-Anlagebetrug

Die Kanzlei Wilms unterstützt seit Jahren Mandanten, die Opfer von Online-Anlagebetrug, Kryptobetrug, Fake Brokern, Investmentbetrug, Bitcoin-Betrug oder Recovery Scams geworden sind.

Unsere Mandanten kommen aus ganz Deutschland sowie aus dem Ausland. Viele Verfahren weisen internationale Bezüge auf und betreffen grenzüberschreitende Zahlungsströme, Kryptowährungen oder komplexe Unternehmensstrukturen.

Wir analysieren unter anderem:

• Banküberweisungen
• SEPA- und SWIFT-Zahlungen
• Kreditkartenzahlungen
• Zahlungsdienstleister
• Kryptobörsen und Wallet-Transaktionen
• internationale Zahlungsstrukturen

Mehr Informationen finden Sie in unserem Blog.