Handy weg, Apple Pay drauf: wer haftet für die Zahlungen?

Das Handy ist weg, und auf ihm liegen zwei Karten in Apple Pay oder Google Pay. Die gute Nachricht: Rechtlich ist das Smartphone ein Zahlungsinstrument wie jede Karte, und die Haftungsregeln der §§ 675j ff. BGB gelten unverändert. Die bessere: Wenn Ihr Gerät gesperrt war, zahlt der Dieb in aller Regel gar nicht erst.

Warum ein gesperrtes Handy sicherer ist als die Karte

In der Wallet liegt nicht Ihre Kartennummer, sondern ein gerätegebundener Token. Jede Zahlung wird mit Face ID, Fingerabdruck oder Gerätecode freigegeben – das ist eine starke Kundenauthentifizierung. Die Ausnahme für kontaktlose Kleinbeträge (bis 50 Euro je Vorgang, bis 150 Euro kumuliert oder fünf Vorgänge in Folge nach Art. 11 der Delegierten Verordnung (EU) 2018/389) greift hier normalerweise gar nicht, weil ohnehin authentifiziert wird.

Anders bei der physischen Karte: Die lässt sich bis zum Erreichen dieser Grenzen ohne PIN einsetzen. Das Smartphone ohne Sperrcode ist dagegen der schlechteste aller Fälle – dann fällt die Schutzschicht weg, auf der die ganze Konstruktion beruht.

Die Haftungsstufen

Situation	Ihre Haftung	Fundstelle
Gerät verloren oder gestohlen, Zahlungen vor der Sperranzeige	höchstens 50,00 Euro	§ 675v Abs. 1 BGB
Verlust war für Sie nicht bemerkbar	0,00 Euro	§ 675v Abs. 2 Nr. 1 BGB
Verlust durch eine Stelle des Zahlungsdienstleisters verursacht	0,00 Euro	§ 675v Abs. 2 Nr. 2 BGB
Vorsatz oder grobe Fahrlässigkeit	voller Schaden	§ 675v Abs. 3 BGB
Keine starke Kundenauthentifizierung verlangt	0,00 Euro	§ 675v Abs. 4 S. 1 Nr. 1 BGB
Zahlungen nach der Sperranzeige	0,00 Euro	§ 675v Abs. 5 S. 1 BGB
Bank hat keine Sperrmöglichkeit bereitgestellt	0,00 Euro	§ 675v Abs. 5 S. 2 BGB

Die 50 Euro sind eine Obergrenze, keine Pauschale. Und sie entfallen vollständig, sobald eine der Nullzeilen greift.

Ein konkreter Fall

Das Handy wird um 14:20 Uhr gestohlen. Bis zur Sperre um 15:05 Uhr werden vier kontaktlose Zahlungen von je 48,00 Euro ausgelöst, danach eine weitere über 120,00 Euro.

• Schaden vor der Sperre: 4 × 48,00 = 192,00 Euro
• Ihre Haftung dafür: höchstens 50,00 Euro
• Erstattung der Bank: 142,00 Euro
• Zahlung nach der Sperre über 120,00 Euro: Haftung 0,00 Euro, volle Erstattung

Konnten die Zahlungen nur deshalb durchlaufen, weil das Gerät ohne Code offen war, kann die Bank versuchen, grobe Fahrlässigkeit geltend zu machen – dann hängt alles an der Beweisfrage.

Grobe Fahrlässigkeit: wer muss was beweisen?

Hier liegt der entscheidende Hebel. Nach § 675w BGB muss die Bank nachweisen, dass eine Authentifizierung erfolgt ist und der Vorgang ordnungsgemäß aufgezeichnet wurde. Und dann folgt der Satz, auf den es ankommt: Die Aufzeichnung der Nutzung des Zahlungsinstruments reicht allein nicht notwendigerweise aus, um Autorisierung, Betrug, Vorsatz oder grobe Fahrlässigkeit zu beweisen. Die Bank muss unterstützende Beweismittel vorlegen.

In der Regel grob fahrlässig	In der Regel nicht grob fahrlässig
Gerät ohne Sperrcode und ohne Biometrie betrieben	Handy in der Jackentasche, die aufgeschnitten wird
Karten-PIN als Notiz auf demselben Gerät gespeichert	Diebstahl aus verschlossener Wohnung oder Fahrzeug
Verlust bemerkt und tagelang nicht gemeldet	Verlust wenige Minuten später bemerkt und sofort gemeldet
Zugangsdaten nach einer Phishing-Nachricht herausgegeben	Gerät im Hotelzimmersafe, der aufgebrochen wird

Die rechte Spalte ist der Normalfall. Wer sofort sperrt, steht fast immer bei höchstens 50 Euro. Zur Abgrenzung bei Phishing-Angriffen siehe Phishing im Online-Banking.

Die Bank muss schnell erstatten

Bei einem nicht autorisierten Zahlungsvorgang hat die Bank den Betrag unverzüglich zu erstatten, spätestens bis zum Ende des Geschäftstags, der auf die Anzeige folgt (§ 675u S. 3 BGB). Sie darf die Erstattung nicht bis zum Abschluss ihrer eigenen Prüfung aufschieben. Nur wenn sie einer zuständigen Behörde schriftlich berechtigte Gründe für einen Betrugsverdacht mitgeteilt hat, darf sie zunächst prüfen – und muss sofort erstatten, sobald sich der Verdacht nicht bestätigt.

Etwaige Gegenansprüche aus § 675v BGB rechnet sie anschließend auf. „Wir prüfen noch“ ist deshalb keine zulässige Antwort auf eine Erstattungsforderung, sondern höchstens eine Erklärung für die anschließende Rückbelastung.

Die ersten 30 Minuten

• Karten sperren. Über die Bank-Hotline, die Banking-App auf einem anderen Gerät oder den Sperr-Notruf 116 116. Die Anzeige ist nach § 675l Abs. 1 S. 2 BGB Ihre Pflicht – und sie muss Ihnen nach § 675m Abs. 1 Nr. 4 BGB kostenfrei ermöglicht werden.
• Uhrzeit notieren. Sie entscheidet darüber, welche Zahlungen unter § 675v Abs. 5 BGB fallen. Lassen Sie sich die Sperrzeit bestätigen.
• Gerät aus der Ferne sperren und löschen – über „Wo ist?“ oder den Google-Gerätemanager. Der Verlustmodus deaktiviert die Wallet auch ohne Mobilfunkverbindung, sobald das Gerät wieder online geht.
• Anzeige bei der Polizei erstatten; die Tagebuchnummer verlangen viele Banken.
• Abrechnung prüfen und jede unbekannte Buchung schriftlich beanstanden. Die Frist dafür beträgt 13 Monate ab Belastung (§ 676b Abs. 2 BGB).

Was gilt, wenn die Bank die Karte von sich aus sperrt, steht unter Kreditkarte gesperrt. Die allgemeinen Regeln zu unberechtigten Buchungen behandelt nicht autorisierte Kartenzahlung.

Vorher einstellen, nicht nachher

• Gerätecode mit sechs Stellen statt vier; Biometrie aktiviert.
• Wallet nicht über den gesperrten Bildschirm erreichbar machen.
• Push-Benachrichtigung für jede Kartenzahlung einschalten – sie verkürzt die Zeit bis zur Sperre auf Minuten.
• Die Sperrnummer der Bank in einem zweiten Gerät oder auf Papier haben.
• „Wo ist?“ beziehungsweise „Mein Gerät finden“ vorab aktivieren – nachträglich geht das nicht.