Phishing im Online-Banking: Wer haftet wirklich?

Eine SMS, ein Anruf von der angeblichen Betrugsabteilung, eine TAN freigegeben – und das Konto ist leer. Die Bank antwortet mit einem Standardsatz: grobe Fahrlässigkeit, keine Erstattung. Das Gesetz ist deutlich differenzierter, und in einem Punkt sogar überraschend streng gegen die Bank.

Der Ausgangspunkt: die Bank muss erstatten

§ 675u BGB ist die Grundregel. Bei einem nicht autorisierten Zahlungsvorgang hat die Bank keinen Anspruch auf Erstattung ihrer Aufwendungen und muss den Betrag unverzüglich, spätestens bis zum Ende des Geschäftstags nach der Anzeige, zurückbuchen – das Konto ist auf den Stand zu bringen, auf dem es ohne die Belastung wäre.

Das ist keine Kulanz, sondern eine Frist. Nur eine Ausnahme sieht das Gesetz vor: Hat die Bank einer Behörde schriftlich berechtigte Gründe für den Verdacht mitgeteilt, dass der Kunde selbst betrügerisch handelt, darf sie die Prüfung abwarten – muss dann aber unverzüglich erstatten, wenn sich der Verdacht nicht bestätigt.

Ein Schadensersatzanspruch der Bank gegen Sie ist davon zu trennen. Erst er kann die Erstattung wirtschaftlich wieder aufheben – und genau darum geht der Streit.

Die drei Haftungsstufen

Grundlage	Ihre Haftung
§ 675v Abs. 1 BGB – Zahlungsinstrument verloren, gestohlen oder missbraucht	höchstens 50 Euro
§ 675v Abs. 2 BGB – Verlust war nicht zu bemerken oder wurde von der Bank verursacht	0 Euro
§ 675v Abs. 3 BGB – Betrug, Vorsatz oder grobe Fahrlässigkeit	voller Schaden
§ 675v Abs. 4 BGB – keine starke Kundenauthentifizierung verlangt	0 Euro
§ 675v Abs. 5 BGB – Schäden nach der Sperranzeige	0 Euro

Die 50-Euro-Grenze ist der Normalfall, der volle Schaden die Ausnahme. Banken argumentieren fast ausschließlich mit Absatz 3 – und tragen dafür die Beweislast.

Absatz 4: der Hebel, den kaum jemand nutzt

§ 675v Abs. 4 BGB stellt die Haftung unabhängig vom Verschulden auf Null, wenn die Bank eine starke Kundenauthentifizierung im Sinne des § 1 Abs. 24 des Zahlungsdiensteaufsichtsgesetzes nicht verlangt hat – oder wenn der Zahlungsempfänger beziehungsweise dessen Dienstleister sie nicht akzeptiert hat. Nur bei eigenem Betrug des Zahlers gilt das nicht.

Starke Kundenauthentifizierung heißt: zwei unabhängige Elemente aus den Kategorien Wissen, Besitz und Sein, dynamisch mit Betrag und Empfänger verknüpft. Prüfen Sie deshalb immer zuerst, wie die Zahlung freigegeben wurde:

• Kein zweiter Faktor – etwa nur Zugangsdaten, nur eine statische TAN-Liste oder eine Freigabe ganz ohne App: Haftung entfällt.
• Freigabe auf demselben Gerät, auf dem auch die Schadsoftware läuft: Die Unabhängigkeit der Elemente ist mindestens fraglich.
• Betrag und Empfänger wurden in der Freigabe nicht angezeigt: Dann fehlt die dynamische Verknüpfung, die das Verfahren erst zu einer starken Authentifizierung macht.

Welche Verfahren als stark gelten und wo die Schwachstellen liegen, zeigt der Blick auf 3D Secure und mobiles Bezahlen.

Die Beweislast liegt bei der Bank

§ 675w BGB dreht die Beweisrichtung, die Banken in ihren Schreiben gern unterstellen. Ist die Autorisierung streitig, muss die Bank nachweisen, dass eine Authentifizierung erfolgt ist und der Vorgang ordnungsgemäß aufgezeichnet, verbucht und nicht gestört war. Und dann der entscheidende Satz: Die Aufzeichnung der Nutzung des Zahlungsinstruments einschließlich der Authentifizierung reicht allein nicht notwendigerweise aus, um Autorisierung, Betrug, Pflichtverletzung oder grobe Fahrlässigkeit zu beweisen. Die Bank muss unterstützende Beweismittel vorlegen.

Ein Protokollauszug „TAN wurde am 14.03. um 19:42 Uhr freigegeben“ genügt also nicht. Wer ein solches Schreiben erhält, sollte genau das erwidern und die unterstützenden Beweismittel anfordern.

Ihre eigenen Pflichten stehen in § 675l Abs. 1 BGB: zumutbare Vorkehrungen zum Schutz der personalisierten Sicherheitsmerkmale und die unverzügliche Anzeige, sobald Sie von Verlust oder Missbrauch erfahren. Abs. 2 begrenzt zugleich, was die Bank Ihnen in den Bedingungen auferlegen darf: Solche Klauseln sind nur wirksam, soweit sie „sachlich, verhältnismäßig und nicht benachteiligend“ sind.

Was in den ersten Stunden zählt

1. Sperren. Online-Banking-Zugang über die Bank, Karten über den Sperr-Notruf 116 116. Ab der Anzeige haften Sie nach § 675v Abs. 5 BGB nicht mehr.
2. Nicht autorisierte Zahlung schriftlich anzeigen – mit dem Wort „nicht autorisiert“ und mit Datum und Uhrzeit. Das setzt die Frist des § 675u BGB in Gang.
3. Erstattung nach § 675u BGB ausdrücklich verlangen, nicht nur den Vorfall melden. Viele Beschwerden scheitern daran, dass nie ein Anspruch gestellt wurde.
4. Strafanzeige stellen. Sie ist kein Selbstzweck: Das Aktenzeichen ist später Ihr Nachweis, und bei Identitätsdiebstahl brauchen Sie sie ohnehin.
5. Alles sichern – Screenshots der SMS, Anrufzeiten, Absendernummern, die genaue Abfolge der Freigabe. Je präziser Sie die Freigabe beschreiben, desto besser lässt sich Absatz 4 prüfen.
6. Bei Ablehnung zur Schlichtungsstelle: kostenlos, bei den Bankenverbänden oder der Schlichtungsstelle bei der Deutschen Bundesbank. Die Verjährung läuft dabei nicht weiter.

Ging das Geld per Echtzeitüberweisung weg, ist der Betrag sofort beim Empfänger – der Erstattungsanspruch gegen die Bank bleibt davon unberührt. Bei einer klassischen Überweisung lohnt parallel der Versuch, sie zurückzuholen. Bei Kartenzahlungen gelten dieselben Vorschriften, der Ablauf steht unter nicht autorisierte Kartenzahlung, bei Abbuchungen von Händlern zusätzlich der Chargeback.

Wo die Gerichte grobe Fahrlässigkeit annehmen

Eine gesetzliche Definition gibt es nicht; die Linie der Rechtsprechung lässt sich aber zusammenfassen:

• Eher grob fahrlässig: mehrere TANs hintereinander auf einer verlinkten Seite eingeben; eine Freigabe bestätigen, in der ein unbekannter Empfänger und ein anderer Betrag stehen; Zugangsdaten auf telefonische Aufforderung durchgeben; eine „Testbuchung“ freigeben.
• Eher nicht: eine einzelne Freigabe in einem technisch perfekt nachgebauten Umfeld; Manipulation der Anzeige durch Schadsoftware; Anrufe mit korrekt gespoofter Bankrufnummer und internen Daten.

Entscheidend ist in der Praxis selten die Moral, sondern die Beweislage – und die liegt nach § 675w BGB bei der Bank. Ein neues Konto ist übrigens kein Lösungsweg für den Altfall, aber manchmal die richtige Konsequenz: dazu Girokonto wechseln.

Auch bei Zahlungen aus einer Wallet liegt die Beweislast bei der Bank: Handy weg, Apple Pay drauf.

Ein beliebtes Ziel sind gefälschte Bezahlfenster – woran Sie einen echten Zahlungsauslösedienst erkennen.

Weigert sich die Bank zu erstatten, prüfen Sie den Weg über den Ombudsmann – der Antrag hemmt auch die Verjährung.