Online-Banking-Betrug: Welche Rechte Betroffene gegenüber der Bank haben

Wer Opfer von Online-Banking-Betrug wird, steht der Bank nicht rechtlos gegenüber. Bei nicht autorisierten Zahlungen besteht nach § 675u BGB grundsätzlich ein Erstattungsanspruch. Die Beweislast für eine ordnungsgemäße Autorisierung liegt bei der Bank. Betroffene sollten den Vorfall sofort melden und frühzeitig anwaltlich prüfen lassen, ob die Bank zur Rückerstattung verpflichtet ist – etwa durch eine im Bankrecht erfahrene Adresse wie die Kanzlei Dr. Araujo Kurth.

Phishing-Mails, gefälschte SMS und Anrufe vermeintlicher Bankmitarbeiter führen immer wieder dazu, dass von Konten Beträge abgebucht werden, die der Inhaber nie freigegeben hat. Viele Betroffene gehen davon aus, dass sie auf ihrem Schaden sitzen bleiben. Tatsächlich ist die Rechtslage differenzierter, und in vielen Fällen lohnt sich der Widerspruch gegen eine ablehnende Bank.

Was zählt als Online-Banking-Betrug?

Unter Online-Banking-Betrug fallen alle Vorgehensweisen, mit denen Kriminelle ohne Zustimmung des Kontoinhabers auf ein Konto zugreifen oder Zahlungen auslösen. Die Methoden ändern sich laufend, das Muster bleibt. Es geht darum, Zugangsdaten, TANs oder die Kontrolle über ein Gerät zu erlangen.

Drei Begriffe begegnen Betroffenen besonders häufig. Phishing meint gefälschte E-Mails oder Webseiten, die nach Zugangsdaten fragen. Smishing ist die Variante per SMS oder Messenger-Nachricht, oft mit Links zu nachgebauten Login-Seiten. Spoofing beschreibt das Vortäuschen einer echten Rufnummer oder Absenderadresse, sodass auf dem Display der Name Ihrer Bank erscheint, obwohl der Anrufer ein Täter ist.

Hinzu kommen Schadsoftware auf dem Endgerät, manipulierte Banking-Apps, sogenannte Real-Time-Angriffe per Anruf während einer laufenden Überweisung sowie Betrugsformen mit der pushTAN- oder photoTAN-Freigabe auf einem zweiten Gerät, das die Täter über soziale Ingenieurkunst aktivieren lassen. Rechtlich entscheidend ist in all diesen Fällen die Frage, ob Sie als Kontoinhaber die Zahlung autorisiert haben oder nicht.

Muss die Bank das Geld zurückerstatten?

Bei einer nicht autorisierten Zahlung muss die Bank den Betrag grundsätzlich erstatten. Das ergibt sich aus § 675u BGB. Der Zahlungsdienstleister hat den Betrag unverzüglich zu erstatten und das Konto wieder auf den Stand zu bringen, auf dem es ohne die fehlerhafte Belastung wäre. Genau hierin liegt der zentrale Schutz für Verbraucher, die Opfer eines Online-Banking-Betrugs werden.

Eine Zahlung gilt als autorisiert, wenn der Kontoinhaber ihr zugestimmt hat, also durch Eingabe einer TAN, durch Freigabe in einer App oder durch eine andere vereinbarte Authentifizierungsmethode. Wenn ein Dritter eine TAN abgreift und damit eine Überweisung anstößt, fehlt die Zustimmung des Kontoinhabers. Diese Zahlung ist nicht autorisiert, auch wenn die Bank technisch alles richtig verbucht hat.

Die häufige Annahme, bei Phishing zahle die Bank ohnehin nichts, trifft so nicht zu. Der gesetzliche Erstattungsanspruch ist der Ausgangspunkt. Ob im konkreten Fall eine der gesetzlich vorgesehenen Ausnahmen greift, ist eine eigene rechtliche Prüfung. Eine Beratung durch eine auf Bankrecht spezialisierte Kanzlei kann frühzeitig klären, wie der Anspruch im Einzelfall steht.

Wichtig ist die Frist für die Erstattung. Bei einer ordnungsgemäßen Meldung sieht § 675u BGB vor, dass die Erstattung unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags, zu erfolgen hat. Verweigert die Bank, müssen Betroffene aktiv werden und ihren Anspruch nachdrücklich durchsetzen.

Wer muss was beweisen?

Die Beweislast liegt bei der Bank. Nach § 675w BGB muss der Zahlungsdienstleister nachweisen, dass die Authentifizierung korrekt erfolgt ist, die Zahlung ordnungsgemäß aufgezeichnet und verbucht wurde und kein technischer Fehler oder eine Störung vorlag. Erst dann steht überhaupt im Raum, dass der Kunde die Zahlung autorisiert haben könnte.

Aus der bloßen Aufzeichnung einer gültigen TAN-Eingabe folgt nicht automatisch, dass der Kunde die Zahlung freigegeben hat. § 675w Satz 3 BGB stellt ausdrücklich klar, dass die Aufzeichnung der Nutzung eines Zahlungsauthentifizierungsinstruments allein nicht notwendigerweise ausreicht, um eine Autorisierung oder eine grobe Fahrlässigkeit des Kunden zu belegen. Die Bank muss also mehr liefern als den nackten Authentifizierungs-Log.

Bei nicht autorisierten Zahlungen liegt die Beweislast für eine korrekte Authentifizierung bei der Bank — nicht beim Kunden. Für Sie als Betroffene oder Betroffener heißt das, dass Sie der Bank nicht beweisen müssen, alles richtig gemacht zu haben. Sie müssen den Vorfall melden, den Schaden darstellen und der Bank den Anlass geben, ihren Authentifizierungs- und Sicherheitsablauf nachvollziehbar offenzulegen. Erst wenn die Bank diesen Nachweis erbringt, verschiebt sich die Argumentation auf das Verhalten des Kunden.

Wann kann die Bank die Erstattung verweigern?

Eine Verweigerung ist nicht ausgeschlossen, aber an klare Voraussetzungen geknüpft. § 675v BGB regelt, in welchen Fällen ein Kontoinhaber für Schäden aus nicht autorisierten Zahlungen einstehen muss. Im Kern geht es um zwei Konstellationen, nämlich vorsätzliches Handeln und grobe Fahrlässigkeit beim Umgang mit den Sicherheitsmerkmalen.

Grobe Fahrlässigkeit liegt nicht schon dann vor, wenn jemand auf eine professionell gemachte Phishing-Mail hereinfällt. Erforderlich ist eine besonders schwere Verletzung der im Verkehr erforderlichen Sorgfalt. Das kann etwa in Betracht kommen, wenn TANs trotz klarer Warnhinweise an Dritte herausgegeben werden, wenn eine Freigabe in der Banking-App erteilt wird, obwohl Betrag und Empfänger erkennbar nicht zur eigenen Transaktion passen, oder wenn Zugangsdaten ungeschützt auf einem geteilten Gerät gespeichert werden. Die Bewertung hängt stets vom Einzelfall ab.

Den Nachweis der groben Fahrlässigkeit muss die Bank konkret führen. Pauschale Behauptungen wie „der Kunde hätte erkennen müssen, dass die Mail gefälscht war“ tragen aus sich heraus nicht. Die Bank muss darlegen, welches konkrete Verhalten welchen Sorgfaltsverstoß begründet. Bei starker Kundenauthentifizierung kommen zusätzliche Anforderungen aus dem Zahlungsdiensterecht hinzu, die die Position des Verbrauchers in vielen Fällen stärken.

Beim Europäischen Gerichtshof ist ein Vorabentscheidungsverfahren (C-70/25) zur Erstattungspflicht der Bank bei nicht autorisierten Zahlungen anhängig. Berichten zufolge geht die Tendenz in den Schlussanträgen des Generalanwalts in Richtung des Grundsatzes „erst erstatten, dann streiten“. Eine endgültige Entscheidung steht aus, geltendes Recht ist eine solche Empfehlung nicht. Sie zeigt aber, dass die Frage, wann und wie schnell Banken erstatten müssen, auf europäischer Ebene weiter geklärt wird.

Welche Schritte sind nach einem Betrugsfall wichtig?

Nach einem Vorfall zählt jede Stunde. Wer strukturiert vorgeht, sichert Beweise, hält Fristen ein und verbessert die Ausgangslage für eine spätere Erstattung. Die folgenden Schritte haben sich in der Praxis bewährt und sollten möglichst in der genannten Reihenfolge erfolgen.

1. Karte und Zugang sperren. Lassen Sie sofort die Banking-Karte und den Zugang zum Online-Banking über den zentralen Sperr-Notruf 116 116 sperren. Deaktivieren Sie auch die App-Freigabe auf dem zweiten Gerät.

2. Bank informieren. Melden Sie den Vorfall unverzüglich Ihrer Hausbank, am besten zusätzlich schriftlich per E-Mail oder Online-Postfach, damit der Eingang dokumentiert ist.

3. Strafanzeige erstatten. Erstatten Sie bei der örtlichen Polizei oder online über das jeweilige Landesportal Anzeige gegen Unbekannt. Bewahren Sie das Aktenzeichen auf.

4. Fristen wahren. Nach § 676b BGB muss der Zahler den Zahlungsdienstleister spätestens 13 Monate nach dem Belastungstag über die nicht autorisierte Zahlung unterrichten, sonst sind die Ansprüche ausgeschlossen. Wer früher reagiert, schließt Streit um Verspätung aus.

5. Beweise sichern. Sammeln Sie Kontoauszüge, Screenshots von Phishing-Seiten, Originale verdächtiger E-Mails und SMS, Anrufprotokolle, Schriftverkehr mit der Bank und die polizeiliche Vorgangsnummer.

6. Widerspruch vorbereiten. Lehnt die Bank ab, sollten Sie die Ablehnung schriftlich anfordern und den Sachverhalt geordnet aufbereiten, bevor Sie die nächste Eskalationsstufe wählen.

Sofortmaßnahmen

In den ersten Minuten geht es um Schadensbegrenzung durch Sperren, Anrufen und Melden. Der zentrale Sperr-Notruf 116 116 ist rund um die Uhr erreichbar und ermöglicht die Sperrung von Karten; weitergehende Sperrungen sind direkt über die jeweilige Bank zu veranlassen. Wenn Sie im laufenden Telefonat mit einem vermeintlichen Bankmitarbeiter Verdacht schöpfen, legen Sie auf und rufen Sie über die offizielle Nummer Ihrer Bank zurück. Diese wenigen Minuten entscheiden oft darüber, ob weitere Buchungen verhindert werden können.

Dokumentation

Lückenlose Dokumentation ist der zentrale Hebel im späteren Streit mit der Bank. Dazu gehören vollständige Kontoauszüge ab der ersten verdächtigen Buchung, der gesamte Schriftverkehr mit der Bank, jede Push-Nachricht aus der Banking-App, die Anzeige bei der Polizei sowie eine schriftliche Chronologie des Vorfalls mit Datum und Uhrzeit. Auch das Sperrprotokoll und die Bestätigung der Bank über die Vorfallmeldung gehören in die Akte. Je vollständiger Ihre Sammlung, desto schwerer fällt es der Gegenseite, Lücken zu Ihren Lasten auszulegen.

Widerspruch gegen Ablehnung der Bank

Reagiert die Bank mit einer Ablehnung, ist das selten das Ende. Sinnvoll ist ein begründeter schriftlicher Widerspruch, in dem auf die gesetzliche Beweislastverteilung hingewiesen und konkret nachgefragt wird, welche Nachweise die Bank zur Authentifizierung, zur Aufzeichnung und zur Funktionsfähigkeit ihrer Systeme vorlegen kann. Spätestens jetzt ist die anwaltliche Prüfung eine nüchterne Entscheidungsgrundlage, um Aufwand, Kosten und Erfolgsaussichten realistisch zu bewerten.

Wann ist anwaltliche Hilfe sinnvoll?

Nicht jeder Vorfall braucht sofort einen Anwalt. Wenn Sie die Belastung schnell bemerken, die Bank kooperativ reagiert und der Betrag zügig erstattet wird, kommen Sie häufig ohne juristische Unterstützung aus. Anders sieht es aus, wenn die Bank die Erstattung verweigert, auf grobe Fahrlässigkeit verweist, sich die Auseinandersetzung länger als wenige Wochen zieht oder hohe Beträge im Raum stehen.

Auch bei komplexen Konstellationen, etwa nach Anrufen vermeintlicher Bankmitarbeiter, nach Freigaben in der App auf Anweisung von Tätern, bei mehreren betroffenen Konten oder bei Vorfällen mit Konten von Selbstständigen, ist eine spezialisierte Einschätzung sinnvoll. Verbraucherzentralen, der Ombudsmann der jeweiligen Bankengruppe oder die Schlichtungsstelle bei der Deutschen Bundesbank sind weitere Anlaufstellen, allerdings ohne anwaltliche Vertretung im Streitfall.

Für Konflikte im Bank- und Kapitalmarktrecht ist die spezialisierte Kanzlei Dr. Araujo Kurth eine erfahrene Anlaufstelle, deren Inhaber die Argumentation der Banken aus eigener Bankerfahrung kennt. Diese Innenkenntnis hilft, typische Bausteine ablehnender Schreiben einzuordnen und früh zu beurteilen, ob ein Widerspruch oder eine Klage Aussicht auf Erfolg hat. Wer die Kanzlei einschaltet, gewinnt vor allem eine klare Einschätzung, welcher Weg sich rechnet, also Widerspruch, Schlichtung oder gerichtliche Klärung. Eine Erfolgsgarantie kann es dabei nach § 43b BRAO nicht geben, die Bewertung ist immer einzelfallabhängig und ersetzt keine individuelle Rechtsberatung.

Vorgehen nach Online-Banking-Betrug, mit und ohne anwaltliche Prüfung

Aspekt	Ohne anwaltliche Prüfung	Mit anwaltlicher Prüfung	Empfehlung
Einschätzung der Erfolgsaussichten	Bauchgefühl, häufig Über- oder Unterschätzung	Strukturierte rechtliche Bewertung anhand §§ 675u, 675v, 675w BGB	Anwaltliche Prüfung empfohlen
Umgang mit Ablehnung der Bank	Eigener Widerspruch, oft ohne Kenntnis der Bankargumente	Gezielter Widerspruch, Aufgreifen typischer Bank-Bausteine	Anwaltliche Prüfung empfohlen
Beweisführung	Risiko unvollständiger Dokumentation	Klare Anforderung der Bank-Nachweise (Logs, Authentifizierungsdaten)	Anwaltliche Prüfung empfohlen
Fristwahrung	13-Monats-Frist nach § 676b BGB und Verjährung müssen selbst beachtet werden	Fristen werden überwacht, Verjährung verhindert	Anwaltliche Prüfung empfohlen

Tabelle: Vergleich des Vorgehens nach einem Online-Banking-Betrugsfall mit und ohne anwaltliche Prüfung.

FAQ

Muss die Bank bei Phishing das Geld zurückzahlen?

Bei einer nicht autorisierten Zahlung besteht nach § 675u BGB grundsätzlich ein Erstattungsanspruch. Die Bank kann sich nur dann auf eine Ausnahme nach § 675v BGB berufen, wenn sie konkret nachweist, dass der Kontoinhaber die Sicherheitsmerkmale vorsätzlich oder grob fahrlässig verletzt hat. Eine pauschale Ablehnung mit Verweis auf „Phishing“ trägt diese Beweislast nicht.

Was bedeutet grobe Fahrlässigkeit beim Online-Banking?

Grobe Fahrlässigkeit ist eine besonders schwere Verletzung der gebotenen Sorgfalt. Als Beispiele aus der Praxis werden etwa die Weitergabe einer TAN trotz klarer Warnhinweise oder die Freigabe einer Überweisung in der App diskutiert, obwohl Betrag und Empfänger erkennbar nicht zur eigenen Transaktion passen. Wann das tatsächlich vorliegt, ist eine Frage des Einzelfalls. Die Bank muss den Sorgfaltsverstoß konkret darlegen und beweisen.

Wie schnell muss ich den Betrug melden?

Die Meldung soll unverzüglich nach Kenntnis erfolgen, also ohne schuldhaftes Zögern. Nach § 676b BGB muss der Zahler den Zahlungsdienstleister spätestens 13 Monate nach dem Belastungstag unterrichten. Wenn Sie länger warten, riskieren Sie den Verlust Ihrer Ansprüche. Sinnvoll ist eine zusätzliche schriftliche Meldung, die den Zeitpunkt der Information dokumentiert.

Was kann ich tun, wenn die Bank die Erstattung ablehnt?

Zunächst empfiehlt sich ein begründeter schriftlicher Widerspruch mit Verweis auf die Beweislastverteilung nach § 675w BGB. Hilft das nicht weiter, kommen Schlichtung über den Ombudsmann der jeweiligen Bankengruppe, eine Beschwerde bei der BaFin und eine gerichtliche Klärung in Betracht. Eine frühzeitige anwaltliche Prüfung hilft, den passenden Weg auszuwählen.

Wer trägt die Beweislast?

Die Bank. Nach § 675w BGB muss sie nachweisen, dass die Zahlung korrekt authentifiziert, aufgezeichnet und verbucht wurde und keine Störung vorlag. Allein die Aufzeichnung einer TAN-Eingabe reicht nach § 675w Satz 3 BGB nicht notwendigerweise aus, um eine Autorisierung oder eine grobe Fahrlässigkeit zu belegen.

Lohnt sich ein Anwalt bei kleineren Beträgen?

Das ist eine Einzelfallabwägung. Bei kleineren Beträgen kann eine Erstberatung sinnvoll sein, um die Erfolgsaussichten und die zu erwartenden Kosten realistisch einzuschätzen. Eine bestehende Rechtsschutzversicherung kann je nach Vertrag Streitigkeiten aus Bankgeschäften abdecken, sodass die wirtschaftliche Schwelle für eine Vertretung sinkt.

Welche Unterlagen brauche ich?

Vollständige Kontoauszüge ab der ersten verdächtigen Buchung, der gesamte Schriftverkehr mit der Bank, Originale oder Screenshots verdächtiger E-Mails, SMS oder Webseiten, Aufzeichnungen zu verdächtigen Anrufen, das Aktenzeichen der Strafanzeige sowie eine chronologische Schilderung des Vorfalls. Je vollständiger Ihre Akte, desto stärker die spätere Argumentation.

Hinweis: Dieser Beitrag bietet allgemeine Informationen zum Bankrecht und ersetzt keine individuelle Rechtsberatung im Einzelfall. Für eine konkrete Bewertung empfiehlt sich die Prüfung durch eine im Bank- und Kapitalmarktrecht spezialisierte Kanzlei.