Phishing & Online-Banking-Betrug – Haftung, Erstattung & Schutzmaßnahmen

Was ist Phishing und Online-Banking-Betrug?

Phishing bezeichnet den Versuch, über gefälschte E-Mails, Websites oder Nachrichten an Ihre Zugangsdaten für das Online-Banking zu gelangen. Die Täter geben sich dabei als Ihre Bank, als Zahlungsdienstleister oder als Behörden aus. Andere Betrugsformen zielen darauf, dass Betroffene eine Zahlung selbst freigeben. Ob ein Zahlungsvorgang autorisiert wurde, ist für die rechtliche Prüfung wichtig.

Die Methoden werden immer ausgefeilter. Während frühere Phishing-Mails oft an schlechter Rechtschreibung erkennbar waren, sind moderne Angriffe kaum noch von echten Banknachrichten zu unterscheiden. Besonders gefährlich sind sogenannte Echtzeit-Phishing-Angriffe, bei denen Täter die abgefangenen Daten sofort für Transaktionen nutzen.

Haftung der Bank: Erstattungspflicht bei unautorisierten Zahlungen

Bei einem nicht autorisierten Zahlungsvorgang muss der Zahlungsdienstleister den Betrag grundsätzlich unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags nach Anzeige oder Kenntnis erstatten und das Konto wiederherstellen (§ 675u BGB). Für der Behörde schriftlich mitgeteilte berechtigte Betrugsverdachtsgründe gegen den Zahler gilt die gesetzliche Sonderregel.

Der Zahlungsdienstleister muss Authentifizierung und ordnungsgemäße Aufzeichnung nachweisen (§ 675w BGB). Die bloße technische Aufzeichnung beweist nicht notwendig Autorisierung, Vorsatz oder grobe Fahrlässigkeit; für Betrug, Vorsatz oder grobe Fahrlässigkeit muss die Bank unterstützende Beweismittel vorlegen. Bei einer vom Kunden selbst freigegebenen Zahlung ist besonders zu prüfen, ob sie rechtlich autorisiert war; der Anspruch nach § 675u BGB setzt einen nicht autorisierten Zahlungsvorgang voraus. Das EuGH-Urteil vom 15. Oktober 2026 behandelt die Erstattungspflicht und mögliche spätere Ersatzansprüche.

Haftung des Kunden: Wann Sie mitzahlen müssen

§ 675v BGB regelt Ersatzansprüche bei missbräuchlicher Nutzung eines Zahlungsinstruments. Unter den Voraussetzungen von Absatz 1 können bis zu 50 € anfallen; Absatz 2 nennt Ausnahmen. Bei betrügerischer Absicht oder einer vorsätzlichen oder grob fahrlässigen Pflichtverletzung kann nach Absatz 3 der gesamte dadurch entstandene Schaden zu ersetzen sein. Weitere Ausnahmen, insbesondere bei fehlender starker Kundenauthentifizierung, sind zu beachten.

Grobe Fahrlässigkeit hängt von allen Umständen des Einzelfalls ab. Die Weitergabe einer TAN an einen Anrufer oder die Freigabe eines nicht geprüften Vorgangs kann eine schwerwiegende Pflichtverletzung sein. Ob ein Ersatzanspruch tatsächlich besteht, hängt unter anderem von Täuschung, Pflichtverletzung, Ursächlichkeit und den gesetzlichen Ausnahmen ab; die Nutzung eines öffentlichen WLAN allein beweist keine grobe Fahrlässigkeit.

Sofortmaßnahmen nach einem Phishing-Angriff

Schnelles Handeln ist bei Phishing entscheidend. Je früher Sie reagieren, desto größer ist die Chance, den Schaden zu begrenzen oder die Überweisung noch zu stoppen. Beachten Sie dabei, dass Sie nach § 676b BGB verpflichtet sind, Ihren Zahlungsdienstleister unverzüglich nach Feststellung zu informieren.

1. Konto sofort sperren: Kontaktieren Sie unverzüglich die Bank über deren offiziellen Sperrweg; soweit angeschlossen, können Sie auch den Sperr-Notruf 116 116 nutzen.
2. Bank informieren: Melden Sie den Vorfall unverzüglich und verlangen Sie bei nicht autorisierten Zahlungen Erstattung. Haben Sie eine Überweisung selbst freigegeben, fragen Sie sofort nach einem Rückruf; ob er gelingt, hängt vom Stand und den Beteiligten ab.
3. Beweise sichern: Screenshots der Phishing-Mail, der gefälschten Website und der betroffenen Kontobewegungen anfertigen.
4. Strafanzeige erstatten: Erstatten Sie Anzeige bei der Polizei – online oder bei der nächsten Polizeidienststelle.
5. Passwörter ändern: Ändern Sie alle Zugangspasswörter für Online-Banking, E-Mail und weitere betroffene Dienste.
6. Geräte prüfen: Lassen Sie Ihren Computer und Ihr Smartphone auf Schadsoftware prüfen.

Sperren Sie den Zugang und verständigen Sie die Bank sofort. Sichern Sie, soweit ohne Verzögerung möglich, Belege wie Nachrichten, Screenshots und Kontoumsätze. Ändern Sie betroffene Passwörter über einen sicheren Zugangsweg; warten Sie damit nicht erst auf eine vollständige Beweissicherung.

Erstattungsanspruch durchsetzen

Melden Sie den Vorgang unverzüglich und verlangen Sie bei nicht autorisierten Zahlungen Erstattung nach § 675u BGB. Nach § 676b BGB ist die Bank spätestens 13 Monate nach Belastung zu unterrichten; der Fristbeginn setzt die gesetzlich vorgesehene Information voraus. Diese Anzeigefrist ist nicht mit der Verjährungsfrist einer Klage gleichzusetzen.

Bei einer Ablehnung können Sie eine zuständige Verbraucherschlichtungsstelle einschalten oder gerichtliche Hilfe prüfen. Eine Schlichtung ist nicht generell Voraussetzung einer Klage. Zuständigkeit, Fristen und mögliche Kosten richten sich nach dem Einzelfall; die Verbraucherzentralen und gegebenenfalls anwaltliche Beratung können helfen.

Starke Kundenauthentifizierung (SCA): Pflichten der Bank

§ 55 ZAG verlangt grundsätzlich starke Kundenauthentifizierung unter anderem beim Onlinezugang zum Zahlungskonto und bei elektronischen Zahlungsvorgängen. Sie beruht auf mindestens zwei unabhängigen Elementen aus Wissen, Besitz und Inhärenz; unionsrechtlich sind bestimmte Ausnahmen vorgesehen.

• Starke Kundenauthentifizierung gilt grundsätzlich nach § 55 ZAG; gesetzliche Ausnahmen sind möglich.
• Bei elektronischen Fernzahlungen ist die Authentifizierung grundsätzlich mit Betrag und Empfänger dynamisch zu verknüpfen (§ 55 Abs. 2 ZAG).
• Bei fehlender starker Kundenauthentifizierung begrenzt § 675v Abs. 4 BGB die Haftung des Zahlers; die gesetzliche Ausnahme für betrügerische Absicht beachten.
• Für bestimmte Kleinbetragszahlungen können unionsrechtliche Ausnahmen greifen; weitere Bedingungen und Limits sind zu beachten.
• Bei kontaktlosen Zahlungen können Ausnahmen gelten; unter anderem sind kumulierte Beträge und Anzahl der Vorgänge relevant.

Bei elektronischen Fernzahlungsvorgängen muss die Authentifizierung grundsätzlich dynamisch mit Betrag und Zahlungsempfänger verknüpft sein (§ 55 Abs. 2 ZAG). Unter den Voraussetzungen des § 675v Abs. 4 BGB haftet der Zahler bei nicht verlangter oder akzeptierter starker Kundenauthentifizierung nicht für den Schaden; betrügerische Absicht bleibt ausgenommen.

Schutzmaßnahmen: So schützen Sie sich vor Phishing

Der beste Schutz gegen Phishing ist Wachsamkeit und technische Vorsorge. Geben Sie keine Zugangsdaten oder TAN an Personen weiter, die per E-Mail, SMS oder Telefon dazu auffordern. Rufen Sie die Bank über eine selbst recherchierte offizielle Nummer zurück. Auch QR-Codes in unerwarteten Nachrichten oder Briefen können auf gefälschte Seiten führen; öffnen Sie den Bankzugang stattdessen über die selbst eingegebene Adresse oder die offizielle App. Wenn Sie zur Weitergabe von Zugangsdaten oder TAN aufgefordert werden, handelt es sich mit hoher Wahrscheinlichkeit um einen Betrugsversuch.

• Klicken Sie niemals auf Links in E-Mails oder SMS, die angeblich von Ihrer Bank stammen.
• Geben Sie die Bank-URL immer manuell in den Browser ein oder nutzen Sie die offizielle Banking-App.
• Geben Sie TAN-Nummern niemals am Telefon weiter – auch nicht an vermeintliche Bankmitarbeiter.
• Halten Sie Betriebssystem, Browser und Virenscanner aktuell.
• Aktivieren Sie Push-Benachrichtigungen für Kontobewegungen.
• Nutzen Sie für Online-Banking kein öffentliches WLAN.
• Prüfen Sie bei verdächtigen Anrufen die Rückrufnummer über die offizielle Bank-Website.

Prüfen Sie regelmäßig Ihre Kontoumsätze – idealerweise täglich. Viele Banken bieten Push-Benachrichtigungen für Kontobewegungen an. So erkennen Sie unautorisierte Transaktionen sofort und können innerhalb der gesetzlichen Frist reagieren.