Phishing — wann die Bank erstatten muss.
Gefälschte E-Mails, SMS und Anrufe greifen Passwörter und TANs ab — und plötzlich ist das Konto leer. Die gute Nachricht: Das Zahlungsrecht schützt Kundinnen und Kunden stark. Für nicht autorisierte Zahlungen muss die Bank grundsätzlich erstatten (§ 675u BGB), und die Beweislast liegt bei ihr (§ 675w BGB). Nur bei grober Fahrlässigkeit kann sie kürzen. Dieser Ratgeber führt Sie auf Fachanwaltsniveau durch Anspruch, Beweislast, die typischen Maschen und die Durchsetzung — mit der Rechtsprechung 2012–2025. Rechtsstand 2026.
Das Wichtigste in Kürze.
Die Kernpunkte für den schnellen Überblick. Einzelheiten samt Normen und Rechtsprechung folgen in den Kapiteln darunter.
Phishing & Bankhaftung — kompakt.
Sechs Punkte, die jede Kundin und jeder Kunde kennen sollte.
- Bei einer nicht autorisierten Zahlung muss die Bank den Betrag unverzüglich erstatten (§ 675u BGB) — nicht als Kulanz, sondern als Anspruch.
- Die Beweislast für Ihre Zustimmung liegt bei der Bank; die bloße Protokollierung des TAN-Verfahrens genügt nicht (§ 675w BGB).
- Kürzen darf die Bank nur bei grober Fahrlässigkeit oder Vorsatz (§ 675v BGB) — und muss diese beweisen.
- Melden Sie den Vorfall ohne schuldhaftes Zögern und lassen Sie Konto und Karten sofort sperren (116 116).
- Keine seriöse Bank fordert zur Freigabe von TANs auf, um „Betrug zu stoppen" oder das Konto zu „verifizieren".
- Bleibt die Bank hart, helfen die Ombudsstelle, eine BaFin-Beschwerde und der Klageweg.
Musterschreiben an die Bank
Fordern Sie die Erstattung nach § 675u BGB nachweisbar und mit Fristsetzung — statt einer bloßen „Bitte um Kulanz". Mit Hinweis auf die Beweislast der Bank.
Schreiben erstellenRechner & Checks
Fristen und Erstattungsfragen einordnen: Prüfen Sie, ob eine nicht autorisierte Zahlung vorliegt und welche Position Sie gegenüber der Bank haben.
Zu den Tools1.Nicht autorisiert bedeutet: Erstattung.
Der Ausgangspunkt jeder Phishing-Auseinandersetzung ist einfach — und für Kundinnen und Kunden günstig.
Wurde eine Zahlung ohne Ihre wirksame Zustimmung ausgelöst, muss die Bank den Betrag unverzüglich erstatten und das Konto so stellen, als hätte die Belastung nie stattgefunden (§ 675u BGB). Das ist kein Entgegenkommen, sondern ein gesetzlicher Anspruch.
Eine Zahlung ist nur wirksam, wenn Sie ihr zugestimmt haben — vor oder (falls vereinbart) nach der Ausführung (§ 675j BGB). Haben Betrüger eine Überweisung veranlasst, ohne dass Sie die konkrete Zahlung bewusst freigegeben haben, ist sie nicht autorisiert. Damit greift die Erstattungspflicht — und zwar dem Grunde nach ohne Rücksicht auf ein Verschulden.
Autorisiert oder nicht? Maßgeblich ist die Zustimmung zur konkreten Zahlung (Empfänger, Betrag). Wer glaubt, eine „Testbuchung" oder „Rückbuchung" freizugeben, in Wahrheit aber eine echte Überweisung auslöst, hat die tatsächlich ausgeführte Zahlung nicht autorisiert. Auf diese Unterscheidung kommt es an.
Die zweite gute Nachricht folgt in Kapitel 3: Dass die Zahlung autorisiert war, muss die Bank beweisen — nicht Sie.
2.Was als Zustimmung zählt.
„Ich habe doch eine TAN eingegeben" — heißt das, die Zahlung war autorisiert? Nicht automatisch.
Eine starke Kundenauthentifizierung ist gesetzlich vorgeschrieben: Die Freigabe muss auf mindestens zwei unabhängigen Elementen beruhen (Wissen, Besitz, Inhärenz). Die bloße Anwendung eines TAN-Verfahrens beweist aber noch nicht, dass Sie der konkreten Zahlung zugestimmt haben — etwa wenn Täter Sie über eine gefälschte Seite oder einen Anruf zur Freigabe verleitet oder eine App-Freigabe manipuliert haben.
Entscheidend ist, worauf sich Ihre Freigabe bezog. Wurde Ihnen ein anderer Vorgang vorgespiegelt (Verifizierung, Stornierung, Sicherheitsprüfung), fehlt es an der Zustimmung zur real ausgeführten Überweisung. Fehlt zudem die vorgeschriebene starke Authentifizierung ganz, verschlechtert sich die Position der Bank zusätzlich.
Tipp der Redaktion
Formulieren Sie gegenüber der Bank klar und schriftlich: „Die Zahlung vom … über … € an … war nicht autorisiert. Ich fordere Erstattung nach § 675u BGB." Vermeiden Sie Formulierungen wie „aus Kulanz" oder „ich war unvorsichtig" — sie schwächen Ihre Position unnötig.
3.Die Beweislast liegt bei der Bank.
Das ist der stärkste Hebel für Betroffene — und zugleich der am häufigsten übersehene.
Bestreiten Sie, eine Zahlung autorisiert zu haben, muss die Bank beweisen, dass der Zahlungsvorgang authentifiziert war, ordnungsgemäß aufgezeichnet, verbucht und nicht durch eine technische Störung beeinträchtigt wurde (§ 675w BGB).
Der Kern des § 675w BGB: Die bloße Aufzeichnung der Nutzung eines Authentifizierungsinstruments genügt nicht, um zu beweisen, dass Sie die Zahlung autorisiert, vorsätzlich oder grob fahrlässig gehandelt haben. Die Bank muss zusätzliche Umstände darlegen.
In der Praxis versuchen Banken, sich auf den Anscheinsbeweis zu stützen: Ein technisch fehlerfrei protokolliertes Verfahren spreche dafür, dass der Kunde selbst gehandelt habe. Die Rechtsprechung lässt das nur unter engen Voraussetzungen zu — und verlangt insbesondere die Feststellung, dass das eingesetzte Sicherungsverfahren im konkreten Zeitpunkt allgemein praktisch unüberwindbar war. Bei modernen Phishing-Angriffen (Echtzeit-Weiterleitung, manipulierte App-Freigaben) ist das oft gerade nicht der Fall.
Lassen Sie sich nicht abwimmeln. Ein pauschales „Die TAN wurde korrekt eingegeben, also haften Sie" genügt rechtlich nicht. Verlangen Sie, dass die Bank die Autorisierung und — falls sie Ihnen grobe Fahrlässigkeit vorwirft — deren Voraussetzungen konkret darlegt und beweist.
4.Wann die Bank kürzen darf: grobe Fahrlässigkeit.
Die einzige echte Ausnahme vom Erstattungsgrundsatz — und die Frage, um die fast jeder Streit kreist.
Ausnahmsweise kann die Bank Schadensersatz vom Kunden verlangen und mit dem Erstattungsanspruch verrechnen, wenn dieser seine Sorgfalts- und Sicherheitspflichten grob fahrlässig oder vorsätzlich verletzt hat (§ 675v BGB). Bis zum Eintritt einer Sperranzeige ist der Schaden bei grober Fahrlässigkeit in voller Höhe möglich; leichte Fahrlässigkeit genügt nicht.
Ob grobe Fahrlässigkeit vorliegt, ist eine Frage des Einzelfalls. Es kommt darauf an, wie professionell die Täuschung war und wie deutlich die Warnzeichen. Zur Orientierung:
Spricht gegen grobe Fahrlässigkeit
- Täuschend echte, professionell gefälschte Bank-Seite oder App-Meldung
- Echtzeit-Angriff, bei dem die TAN sofort missbraucht wurde
- Fehlende oder umgangene starke Kundenauthentifizierung
- Kein klarer Widerspruch zwischen angezeigtem und tatsächlichem Vorgang
Kann für grobe Fahrlässigkeit sprechen
- Freigabe mehrerer TANs auf Zuruf für eine „Sicherheitsprüfung"
- Ignorieren einer klaren TAN-SMS („Überweisung 4.900 € an …")
- Weitergabe von PIN und mehreren TANs am Telefon
- Reaktion auf offenkundig unseriöse Aufforderungen trotz Warnhinweisen
Wichtig: Der Freigabetext zählt. Zeigt die TAN-Nachricht Empfänger und Betrag der echten Überweisung, und wird sie ignoriert, fällt die Bewertung eher zulasten des Kunden aus. Wird dagegen ein anderer Vorgang angezeigt oder gar keine aussagekräftige Information, stützt das den Kunden.
Tipp der Redaktion
Selbst wenn Sie eine TAN eingegeben haben, ist die Sache nicht verloren. Prüfen lassen sollten Sie stets zwei Punkte: Lag eine wirksame Autorisierung der konkreten Zahlung vor — und wenn nein, kann die Bank Ihnen grobe Fahrlässigkeit tatsächlich beweisen?
5.Die typischen Phishing-Maschen.
Wer die Muster kennt, erkennt den Angriff — und kann später besser darlegen, wie professionell die Täuschung war.
Der „Bank-Mitarbeiter" am Telefon (Vishing).
Ein angeblicher Mitarbeiter meldet einen „Betrugsversuch" und drängt Sie, zur „Abwehr" eine TAN freizugeben oder eine App-Push zu bestätigen. In Wahrheit autorisieren Sie damit die Überweisung der Täter. Häufig wird die echte Rufnummer der Bank gefälscht angezeigt (Call-ID-Spoofing).
Manipulierte App-Freigabe (pushTAN).
Sie erhalten eine Push-Benachrichtigung und tippen reflexhaft auf „Freigeben" — der Vorgang ist aber die Überweisung der Täter. Prüfen Sie immer Empfänger und Betrag in der Freigabe, nicht nur den Button.
Smishing & Quishing.
Eine SMS oder ein QR-Code (etwa auf einem gefälschten „Paket"-Aufkleber) führt auf eine täuschend echte Login-Seite. Dort abgegriffene Zugangsdaten und TANs werden in Echtzeit gegen eine echte Überweisung eingesetzt.
Merksatz. Keine seriöse Bank fordert Sie auf, eine TAN einzugeben oder eine App-Freigabe zu bestätigen, um „Betrug zu stoppen", ein Konto zu „verifizieren" oder Geld „zurückzubuchen". Legen Sie im Zweifel auf und rufen Sie über die offizielle, selbst herausgesuchte Nummer zurück.
6.Sofortmaßnahmen nach dem Vorfall.
Die erste Stunde entscheidet mit — über den Schaden und über Ihre Beweislage.
- Konto & Karten sperren — über die Bank und den Sperr-Notruf 116 116. Lassen Sie laufende Überweisungen stoppen, solange sie noch nicht ausgeführt sind.
- Bank informieren — die nicht autorisierte Zahlung ohne schuldhaftes Zögern anzeigen und die Erstattung nach § 675u BGB verlangen.
- Zugänge ändern — Onlinebanking-Passwort und betroffene Konten neu absichern, Geräte auf Schadsoftware prüfen.
- Beweise sichern — Phishing-Mail/SMS, gefälschte Seite (URL!), Transaktionsdetails, TAN-Nachrichten sowie Anruf- und Chatverläufe mit Datum.
- Strafanzeige erstatten und das Aktenzeichen notieren.
Frist beachten. Zeigen Sie den nicht autorisierten Vorgang unverzüglich an. Eine verspätete Meldung kann Ihre Ansprüche schwächen; nach Ablauf von 13 Monaten ab Belastung sind Ansprüche wegen nicht autorisierter Zahlungen grundsätzlich ausgeschlossen (§ 676b BGB).
7.Erstattung durchsetzen.
Lehnt die Bank ab, gibt es einen klaren Stufenweg — kostenfrei beginnend.
Verlangen Sie bei einer Ablehnung stets eine schriftliche Begründung. Sie zeigt, worauf die Bank ihre Haftungszuweisung stützt — und legt offen, ob sie die Autorisierung oder die grobe Fahrlässigkeit überhaupt belegen kann. Setzen Sie eine angemessene Frist (z. B. 14 Tage) und kündigen Sie die weiteren Schritte an.
Die Ombudsstelle der Banken entscheidet in einem kostenlosen Schlichtungsverfahren; bei vielen Instituten ist der Schlichterspruch bis zu einer bestimmten Höhe für die Bank bindend. Parallel nimmt die BaFin Beschwerden entgegen. Bleibt beides erfolglos, ist die Zahlungsklage der Weg — mit dem Vorteil, dass die Beweislast auch dort bei der Bank liegt.
Praktisch heißt das: Erst schriftlich fordern, dann schlichten, zuletzt klagen. Wer die Erstattung von Anfang an als Anspruch (nicht als Bitte) formuliert und die Beweislast benennt, steht deutlich besser.
8.Sonderfälle und Ausblick.
Nicht jeder Fall ist gleich — und der Rechtsrahmen entwickelt sich weiter.
Selbst überwiesen (autorisierte Zahlung).
Haben Sie die Überweisung nach einer Täuschung selbst bewusst ausgelöst (etwa beim „Enkeltrick" oder Anlagebetrug), ist die Zahlung autorisiert — § 675u BGB greift dann nicht. In Betracht kommen aber Ansprüche gegen die Empfängerbank auf Auskunft, eine mögliche Warn- und Prüfpflicht der Bank bei objektiv evidentem Missbrauchsverdacht sowie strafrechtliche Schritte gegen die Täter.
Lastschrift & Karte.
Bei einer SEPA-Lastschrift können Sie binnen acht Wochen ohne Angabe von Gründen widersprechen; bei nicht autorisierten Lastschriften sogar bis zu 13 Monate. Bei Kartenzahlungen ohne Ihre Autorisierung gilt derselbe Erstattungsgrundsatz; hinzu kommt bei Nichtlieferung der Chargeback über das Kartensystem.
Ausblick.
- Echtzeitüberweisungen. Mit der verpflichtenden Instant-Payment-Verfügbarkeit steigt das Tempo — und der Druck auf Banken, Empfänger-Kontrollen („IBAN-Namensabgleich") anzubieten, die Fehlüberweisungen und Betrug erschweren.
- Verbraucherschutz. Auf EU-Ebene werden erweiterte Erstattungsregeln bei bestimmten Betrugsformen diskutiert, insbesondere beim Missbrauch von Bank-Identitäten (Spoofing).
- Beweislast bleibt Kern. An der günstigen Grundstruktur — Erstattung als Regel, Beweislast bei der Bank — wird sich nichts ändern; sie bleibt Ihr wichtigster Hebel.
Rechtsprechung.
Die für die Phishing-Praxis wichtigsten Leitlinien. Aktenzeichen werden nur bei gesicherter Fundstelle genannt; die Leitsätze sind in eigenen Worten zusammengefasst.
Anscheinsbeweis beim mTAN-Verfahren.
Ein Anscheinsbeweis für eine autorisierte oder grob fahrlässig ermöglichte Zahlung setzt voraus, dass das eingesetzte Verfahren im maßgeblichen Zeitpunkt allgemein praktisch unüberwindbar war und im Einzelfall ordnungsgemäß angewendet wurde. Die bloße Protokollierung genügt nicht.
Phishing & Sorgfaltspflichten.
Wer im Rahmen eines Phishing-Angriffs mehrere TANs auf einmal preisgibt, kann sich pflichtwidrig verhalten. Maßgeblich sind die konkreten Umstände und die Warnhinweise der Bank; eine schematische Haftung des Kunden besteht nicht.
Nicht autorisierte Zahlungen (Zahlungsdiensterecht).
Die Haftungs- und Erstattungsregeln der Zahlungsdiensterichtlinie sind zwingend; von den zugunsten der Nutzer bestehenden Vorgaben darf nicht zu deren Nachteil abgewichen werden.
Aufzeichnung genügt nicht.
Die Aufzeichnung der Nutzung des Authentifizierungsinstruments allein beweist nicht, dass der Zahler die Zahlung autorisiert, vorsätzlich oder grob fahrlässig gehandelt hat. Die Bank muss mehr darlegen.
Literatur & Kommentierung.
Anerkannte Standardwerke zur weiteren Recherche — erhältlich im juristischen Fachhandel und in Bibliotheken.
Kommentare & Handbücher
- Münchener Kommentar zum BGB — §§ 675c ff. (Zahlungsdiensterecht).
- Grüneberg, BGB — Kommentar (§§ 675j, 675u, 675v, 675w).
- Ellenberger/Bunte, Bankrechts-Handbuch.
- BeckOK BGB — Zahlungsdienste.
- Schimansky/Bunte/Lwowski, Bankrechts-Handbuch.
Fragen & Antworten (FAQ).
Zwölf Antworten rund um Phishing, Erstattung, Beweislast und Durchsetzung.
Bei nicht autorisierten Zahlungen ist die Erstattung der gesetzliche Grundsatz (§ 675u BGB). Nur wenn die Bank Ihnen grobe Fahrlässigkeit oder Vorsatz nachweist (§ 675v BGB), kann sie einen Schadensersatzanspruch dagegenhalten. Die Beweislast trägt sie.
Die Bank. Nach § 675w BGB muss sie die Autorisierung und die störungsfreie Ausführung beweisen. Die bloße Protokollierung, dass ein TAN-Verfahren genutzt wurde, reicht dafür nicht aus.
Nein. Zu prüfen ist erstens, ob Sie die konkret ausgeführte Zahlung überhaupt autorisiert haben (oder Ihnen ein anderer Vorgang vorgespiegelt wurde), und zweitens, ob die Bank Ihnen grobe Fahrlässigkeit beweisen kann. Beides ist häufig nicht der Fall.
Ein besonders schwerer Verstoß gegen die im Verkehr erforderliche Sorgfalt — man hat das unbeachtet gelassen, was jedem hätte einleuchten müssen. Das Freigeben mehrerer TANs auf Zuruf oder das Ignorieren einer klaren TAN-SMS kann dafür sprechen; eine kaum erkennbare, professionelle Täuschung eher dagegen. Es zählt der Einzelfall.
Sofort. Sperren Sie Konto und Karten, informieren Sie die Bank ohne schuldhaftes Zögern und erstatten Sie Anzeige. Ansprüche wegen nicht autorisierter Zahlungen sind spätestens 13 Monate nach der Belastung ausgeschlossen (§ 676b BGB).
Verlangen Sie eine schriftliche Begründung, setzen Sie eine Frist und verweisen Sie auf § 675u und die Beweislast nach § 675w BGB. Bleibt es dabei, stehen die kostenlose Ombudsstelle des Bankenverbands, eine BaFin-Beschwerde und die Zahlungsklage offen.
Autorisiert ist eine Zahlung, der Sie bewusst zugestimmt haben (§ 675j BGB). Haben Betrüger sie ohne Ihre Zustimmung ausgelöst oder Ihnen einen anderen Vorgang vorgespiegelt, ist sie nicht autorisiert — dann greift die Erstattungspflicht.
Wenn Sie die Überweisung bewusst selbst ausgelöst haben, ist sie autorisiert; § 675u BGB greift dann nicht. In Betracht kommen aber Auskunftsansprüche gegen die Empfängerbank, ausnahmsweise eine Warnpflicht der Bank bei evidentem Missbrauch sowie strafrechtliche Schritte gegen die Täter.
Sie ist gesetzlich vorgeschrieben. Fehlt sie, verschlechtert sich die Haftungsposition der Bank deutlich. Ihre bloße Anwendung beweist aber nicht, dass Sie die konkrete Zahlung autorisiert haben.
An Dringlichkeit und Drohkulisse, an Links auf gefälschte Login-Seiten, an QR-Codes aus unerwarteten Nachrichten und vor allem an der Aufforderung, TANs einzugeben oder App-Freigaben zu bestätigen. Keine Bank verlangt das zur „Betrugsabwehr".
Bei einer SEPA-Lastschrift widersprechen Sie binnen acht Wochen ohne Angabe von Gründen; bei nicht autorisierten Lastschriften bis zu 13 Monate. Die Bank bucht dann zurück.
Die erste Erstattungsforderung und die Anzeige können Sie selbst stellen. Bei Ablehnung, hohem Schaden oder dem Vorwurf grober Fahrlässigkeit ist anwaltliche Hilfe sinnvoll — auch für Ombudsverfahren und Klage. LexMart vermittelt an Partneranwälte für Bank- und IT-Recht.
Passenden Anwalt finden.
Schildern Sie Ihren Fall — ob abgeräumtes Konto, abgefangene TAN oder ein „Bank-Anruf", der Sie zur Freigabe drängte. Wir leiten Ihr Anliegen weiter und vermitteln an einen Partneranwalt für Bank- und IT-Recht.
Passende Inhalte.
Ratgeber, Musterschreiben, Rechtsprechung und die passende Rechtswelt — direkt verlinkt.