Buchen Sie Ihren Wunschtermin!
Jetzt online Termin vereinbarenKriminelle entwickeln ständig neue Methoden, um an das Geld von Bankkunden zu gelangen.
Während klassische Phishing-Angriffe häufig darauf abzielen, Zugangsdaten zum Online-Banking oder TANs abzugreifen, nutzen Täter inzwischen auch die kontaktlose Kommunikation zwischen Bankkarten und Smartphones.
Diese Technik wird als Near Field Communication (NFC) bezeichnet.
Sie ermöglicht es beispielsweise, mit einer Bankkarte oder einem Smartphone kontaktlos an einem Kassenterminal zu bezahlen.
Genau diese Funktion können Kriminelle für ihre Zwecke missbrauchen.
Am 25. September 2026 veröffentlichten die österreichischen Erste Bank und Sparkassen eine ausdrückliche Warnung vor einer neuen Betrugsmethode.
Dabei werden Bankkunden telefonisch kontaktiert und unter einem Sicherheitsvorwand aufgefordert, eine spezielle App zu installieren.
Anschließend sollen sie ihre Bankkarte an das Smartphone halten.
Die vermeintliche Sicherheitsprüfung dient tatsächlich dazu, Kartendaten für betrügerische Transaktionen nutzbar zu machen.
Für deutsche Bankkunden ist diese Entwicklung ebenfalls relevant, weil die zugrunde liegende NFC-Technik und vergleichbare Zahlungsinstrumente auch hierzulande verbreitet sind.
Die Täter gehen häufig in mehreren Schritten vor.
Zunächst erhält das Opfer einen Telefonanruf.
Der Anrufer gibt sich als Mitarbeiter der Bank oder einer Sicherheitsabteilung aus.
Er behauptet beispielsweise, dass ein unberechtigter Zugriff auf das Konto festgestellt worden sei.
Um einen finanziellen Schaden zu verhindern, müsse eine Sicherheitsprüfung durchgeführt werden.
Dazu soll der Kunde eine bestimmte Anwendung auf seinem Smartphone installieren.
Der Downloadlink wird häufig über einen Messenger übermittelt.
Nach der Installation fordert der angebliche Bankmitarbeiter dazu auf, die NFC-Funktion des Smartphones einzuschalten.
Anschließend soll die Bankkarte an das Gerät gehalten werden.
Teilweise verlangen die Täter zusätzlich die Eingabe oder Mitteilung der Karten-PIN.
Genau hier beginnt der eigentliche Missbrauch.
Die manipulierte Anwendung kann die Kommunikation mit der kontaktlosen Bankkarte an ein entferntes Gerät weiterleiten.
Dieses Gerät kann sich gegenüber einem Zahlungsterminal als die Karte des Opfers ausgeben.
Dadurch können unter bestimmten technischen Voraussetzungen Zahlungen oder Bargeldabhebungen ausgelöst werden, obwohl sich die Originalkarte weiterhin beim rechtmäßigen Inhaber befindet.
Wie weit solche Angriffe inzwischen entwickelt sind, zeigt eine Untersuchung des IT-Sicherheitsunternehmens Group-IB vom 12. August 2026.
Die Sicherheitsforscher analysierten eine Kombination zweier Schadprogramme.
Bei SpyNote handelt es sich um eine Software, die Kriminellen unter bestimmten Voraussetzungen den Fernzugriff auf ein Android-Smartphone ermöglicht.
WindRelay ist dagegen darauf ausgelegt, die NFC-Kommunikation einer Bankkarte in Echtzeit weiterzuleiten.
In dem dokumentierten Fall brachte ein falscher Bankmitarbeiter sein Opfer zunächst dazu, eine manipulierte Anwendung zu installieren.
Anschließend konnten die Täter weitere Schadsoftware auf dem Smartphone aktivieren.
Während des laufenden Telefonats wurde das Opfer angewiesen, seine Bankkarte an das Gerät zu halten und die PIN einzugeben.
Die Täter nutzten die technische Verbindung, um Kartentransaktionen durchzuführen.
Besonders bemerkenswert ist ein weiterer Aspekt der Untersuchung:
Nach Angaben der Sicherheitsforscher gelang es den Kriminellen außerdem, über den Fernzugriff einen digitalen Kredit im Namen des Opfers aufzunehmen.
Damit zeigt sich, dass solche Angriffe nicht zwingend auf einzelne Kartenzahlungen beschränkt bleiben.
Ja.
Ein Anspruch auf Erstattung setzt nicht voraus, dass die physische Bankkarte gestohlen wurde.
Entscheidend ist vielmehr, ob die betreffende Zahlung vom Kontoinhaber autorisiert wurde.
Nach § 675j Abs. 1 BGB ist ein Zahlungsvorgang gegenüber dem Zahler grundsätzlich nur wirksam, wenn dieser zugestimmt hat.
Wird eine Bankkarte ohne entsprechende Zustimmung für eine Zahlung eingesetzt, kann ein nicht autorisierter Zahlungsvorgang vorliegen.
Das gilt grundsätzlich auch dann, wenn die Zahlung technisch über die echte Karte abgewickelt wurde.
Gerade beim NFC-Relay-Betrug ist diese Unterscheidung wichtig.
Denn das Zahlungssystem kann unter Umständen eine technisch gültige Kartenkommunikation registrieren, obwohl der Karteninhaber tatsächlich gar keinen Kauf tätigen oder eine Bargeldabhebung veranlassen wollte.
Eine technisch erfolgreiche Kartenzahlung bedeutet deshalb nicht automatisch, dass der Kontoinhaber die Transaktion rechtlich autorisiert hat.
Liegt ein nicht autorisierter Zahlungsvorgang vor, richtet sich der Erstattungsanspruch grundsätzlich nach § 675u BGB.
Danach muss der Zahlungsdienstleister den betreffenden Betrag unverzüglich erstatten.
Wurde ein Zahlungskonto belastet, muss dieses grundsätzlich wieder auf den Stand gebracht werden, auf dem es sich ohne die unberechtigte Belastung befunden hätte.
Die Erstattung hat grundsätzlich spätestens bis zum Ende des folgenden Geschäftstags nach Kenntniserlangung beziehungsweise Anzeige zu erfolgen.
Das Gesetz sieht allerdings eine besondere Regelung vor, wenn die Bank berechtigte Gründe für den Verdacht eines betrügerischen Verhaltens des Kunden selbst hat und diese der zuständigen Behörde schriftlich mitteilt.
Bei NFC-Relay-Betrug kommt es daher zunächst darauf an, ob der Kunde die konkreten Zahlungen tatsächlich autorisiert hat.
Hat er lediglich eine vermeintliche Sicherheitsprüfung durchgeführt, ohne einer bestimmten Zahlung zuzustimmen, kann dies für einen Erstattungsanspruch sprechen.
Allerdings muss der gesamte technische und tatsächliche Ablauf betrachtet werden.
Besonders schwierig können Fälle werden, in denen der Kunde seine Karten-PIN eingegeben oder telefonisch mitgeteilt hat.
Banken könnten darin eine erhebliche Verletzung der Sorgfaltspflichten sehen.
Nach § 675l Abs. 1 BGB müssen Zahlungsdienstnutzer zumutbare Vorkehrungen treffen, um ihre personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen.
Zu diesen Sicherheitsmerkmalen gehört regelmäßig auch die Karten-PIN.
Wer seine PIN einem unbekannten Anrufer mitteilt, kann deshalb erhebliche rechtliche Risiken eingehen.
Allerdings bedeutet nicht jede PIN-Eingabe automatisch, dass sämtliche späteren Transaktionen autorisiert wurden.
Auch die Frage einer grob fahrlässigen Pflichtverletzung muss gesondert geprüft werden.
Dabei können insbesondere folgende Umstände relevant sein:
Gerade bei professionell gestalteten Betrugsangriffen kann die rechtliche Bewertung schwierig sein.
Nach § 675v Abs. 1 BGB kann die Haftung des Zahlers bei bestimmten Fällen des Missbrauchs eines Zahlungsinstruments grundsätzlich auf 50 Euro begrenzt sein.
Diese Regelung bedeutet allerdings nicht, dass Bankkunden nach jedem Kartenbetrug automatisch 50 Euro zahlen müssen.
Das Gesetz enthält verschiedene Ausnahmen.
Beispielsweise kann eine Haftung nach Absatz 1 ausgeschlossen sein, wenn der Kunde die missbräuchliche Verwendung vor dem Zahlungsvorgang nicht bemerken konnte.
Andererseits kann nach § 675v Abs. 3 BGB eine Haftung für den gesamten Schaden bestehen, wenn dieser durch eine vorsätzliche oder grob fahrlässige Verletzung bestimmter Pflichten verursacht wurde.
Entscheidend ist deshalb, welche Umstände im konkreten Fall vorliegen.
Besonders wichtig ist außerdem § 675v Abs. 4 BGB.
Danach kann eine Haftung des Kunden unter bestimmten Voraussetzungen ausgeschlossen sein, wenn die gesetzlich erforderliche starke Kundenauthentifizierung nicht verlangt beziehungsweise nicht akzeptiert wurde.
Auch diese Frage kann bei technisch ungewöhnlichen Kartentransaktionen relevant werden.
Eine solche Argumentation reicht nicht ohne Weiteres aus.
Nach § 675w BGB muss die Bank bei streitiger Autorisierung zunächst nachweisen, dass die erforderliche Authentifizierung erfolgt ist und der Zahlungsvorgang ordnungsgemäß aufgezeichnet und verbucht wurde.
Die technische Aufzeichnung der Nutzung eines Zahlungsinstruments einschließlich seiner Authentifizierung genügt jedoch nicht notwendigerweise, um die rechtliche Autorisierung oder grobe Fahrlässigkeit des Kunden nachzuweisen.
Die Bank muss unterstützende Beweismittel vorlegen.
Bei NFC-Relay-Angriffen kann diese Unterscheidung besonders wichtig werden.
Denn die Technik zielt gerade darauf ab, eine tatsächlich stattfindende Kommunikation mit der Originalkarte für eine räumlich entfernte Transaktion zu verwenden.
Eine erfolgreiche technische Authentifizierung sagt deshalb noch nicht abschließend aus, ob der Karteninhaber die betreffende Zahlung tatsächlich wollte.
Ob daraus im konkreten Fall ein Erstattungsanspruch folgt, muss anhand der verfügbaren Beweise geprüft werden.
Bei einem NFC-Relay-Betrug sollte möglichst genau rekonstruiert werden, wie die Transaktionen ausgelöst wurden.
Relevant können beispielsweise die Zahlungsart, der Zeitpunkt und der Ort der einzelnen Buchungen sein.
Auch Informationen darüber, ob die Karte kontaktlos verwendet wurde und welches Authentifizierungsverfahren zum Einsatz kam, können wichtig werden.
Bei einem Angriff mit Schadsoftware können außerdem technische Spuren auf dem Smartphone vorhanden sein.
Dazu gehören beispielsweise Hinweise auf ungewöhnliche App-Installationen, erteilte Zugriffsberechtigungen oder Verbindungen zu fremden Systemen.
Die Sicherung solcher Informationen kann insbesondere bei höheren Schäden sinnvoll sein.
Wichtig ist allerdings, dass die Untersuchung des Smartphones fachgerecht erfolgt.
Wer eine verdächtige App vorschnell löscht oder das Gerät vollständig zurücksetzt, kann dadurch möglicherweise relevante Spuren beseitigen.
Gleichzeitig muss verhindert werden, dass die Täter weiterhin Zugriff auf das Gerät haben.
Deshalb sollten Betroffene ihre Bank möglichst über ein anderes, vertrauenswürdiges Gerät kontaktieren und gegebenenfalls fachkundige Unterstützung zur Sicherung und Bereinigung des Smartphones hinzuziehen.
Der dokumentierte WindRelay-Angriff zeigt eine weitere mögliche Gefahr.
Kriminelle können versuchen, über den Fernzugriff auf ein Smartphone nicht nur Zahlungen auszuführen, sondern auch Kreditfunktionen einer Banking-App zu missbrauchen.
Für Betroffene kann daraus ein besonders hoher Schaden entstehen.
Hier muss rechtlich zwischen den einzelnen Vorgängen unterschieden werden.
Eine unberechtigte Kartenzahlung ist nicht dasselbe wie der Abschluss eines Darlehensvertrags.
Ob ein wirksamer Kreditvertrag zustande gekommen ist, richtet sich insbesondere nach den allgemeinen Regeln über Vertragsschlüsse und den Vorschriften des Darlehensrechts.
Ein Darlehensvertrag setzt grundsätzlich entsprechende wirksame Willenserklärungen voraus.
Wurde ein Kredit ausschließlich durch einen unbefugten Dritten beantragt, kann deshalb bereits fraglich sein, ob der Bankkunde überhaupt wirksam verpflichtet wurde.
Auch die verwendeten Identifizierungs- und Authentifizierungsverfahren können relevant werden.
Die technische Nutzung einer Banking-App durch einen Täter bedeutet nicht automatisch, dass der Kontoinhaber selbst einen wirksamen Kreditvertrag abgeschlossen hat.
Bei einem solchen Sachverhalt sollten die Kreditforderung und die möglicherweise anschließenden Zahlungsvorgänge getrennt rechtlich geprüft werden.
Nach Entdeckung des Missbrauchs muss die Bank unverzüglich informiert werden.
§ 675l Abs. 1 BGB verpflichtet den Zahlungsdienstnutzer, eine missbräuchliche oder sonst nicht autorisierte Nutzung des Zahlungsinstruments nach Kenntniserlangung unverzüglich anzuzeigen.
Nach § 675v Abs. 5 BGB haftet der Zahler grundsätzlich nicht für Schäden aus der Nutzung des Zahlungsinstruments, die nach einer entsprechenden Anzeige entstehen.
Eine Ausnahme besteht insbesondere bei betrügerischem Verhalten des Zahlers.
Deshalb ist es wichtig, die Sperrung möglichst schnell zu veranlassen.
Betroffene sollten sich außerdem den Zeitpunkt der Meldung und die Sperrbestätigung dokumentieren.
Wenn Sie einem angeblichen Bankmitarbeiter gefolgt sind und eine unbekannte Sicherheits-App installiert haben, sollten Sie nicht abwarten, bis tatsächlich Geld abgebucht wird.
Beenden Sie zunächst den Kontakt mit dem Anrufer.
Informieren Sie anschließend Ihre Bank über einen vertrauenswürdigen Kommunikationsweg.
Lassen Sie betroffene Karten und gegebenenfalls auch den Online-Banking-Zugang sperren.
Überprüfen Sie außerdem, ob unbekannte Zahlungen, neue Zahlungsempfänger, zusätzliche Gerätefreigaben oder unerwartete Kreditbuchungen vorhanden sind.
Wurden bereits Zahlungen ausgeführt, sollten diese ausdrücklich als möglicherweise nicht autorisiert beanstandet werden.
Sichern Sie nach Möglichkeit sämtliche Unterlagen und Kommunikationsdaten.
Dazu gehören insbesondere Telefonnummern, Messenger-Nachrichten, Downloadlinks, Kontoauszüge und Angaben zu den installierten Anwendungen.
Erstatten Sie außerdem Strafanzeige.
Bei größeren Schäden kann eine rechtliche Prüfung der Erstattungsansprüche sinnvoll sein.
Lehnt die Bank eine Rückzahlung ab, sollte zunächst die genaue Begründung geprüft werden.
Dabei ist insbesondere zu unterscheiden, ob die Bank von einer wirksamen Autorisierung ausgeht oder dem Kunden eine grob fahrlässige Pflichtverletzung vorwirft.
Bei einer NFC-Relay-Attacke kann die Bank beispielsweise argumentieren, dass die Zahlung technisch mit der Originalkarte und einer gültigen PIN erfolgt sei.
Dem kann entgegenstehen, dass der Karteninhaber tatsächlich gar keine entsprechende Zahlung veranlassen wollte.
Entscheidend ist deshalb, welche technischen Informationen vorliegen und welche Schlussfolgerungen daraus rechtlich gezogen werden dürfen.
Auch der Vorwurf grober Fahrlässigkeit muss anhand des konkreten Sachverhalts geprüft werden.
Gerade bei größeren Schäden sollte eine Ablehnung nicht ungeprüft akzeptiert werden.
Bei einem klassischen Phishing-Angriff versuchen Täter häufig, Online-Banking-Zugangsdaten oder TANs zu erlangen.
Bei anderen Betrugsformen bringen sie ihre Opfer dazu, eine digitale Zahlungskarte auf einem fremden Smartphone freizuschalten.
Beim NFC-Relay-Betrug steht dagegen die unmittelbare Kommunikation mit der physischen Bankkarte im Mittelpunkt.
Die Täter versuchen, diese Kommunikation über eine manipulierte Anwendung an ein entferntes Gerät weiterzuleiten.
Die Bankkarte muss dafür nicht gestohlen werden.
Sie kann sich während des gesamten Vorgangs im Besitz des Kunden befinden.
Daraus ergeben sich besondere Fragen zur Autorisierung und zum technischen Nachweis der Zahlung.
Gerade diese Unterschiede können für die rechtliche Bewertung entscheidend sein.
Die aktuelle Warnung vor NFC-Relay-Betrug zeigt, dass Kriminelle inzwischen nicht mehr zwingend Zugangsdaten oder eine physische Bankkarte stehlen müssen, um unberechtigte Transaktionen auszulösen.
Unter bestimmten technischen Voraussetzungen genügt es, das Opfer zur Installation manipulierter Software und zur Nutzung seiner eigenen Bankkarte zu bewegen.
Für Betroffene ist wichtig:
Die Tatsache, dass eine Zahlung technisch mit der Originalkarte ausgeführt wurde, beweist nicht automatisch eine wirksame Autorisierung.
Ob die Bank erstatten muss, richtet sich insbesondere nach §§ 675j, 675u, 675v und 675w BGB.
Auch eine möglicherweise weitergegebene PIN führt nicht in jedem Fall automatisch dazu, dass der Kunde den gesamten Schaden tragen muss.
Bei größeren finanziellen Verlusten sollten deshalb die technischen Abläufe, die vertraglichen Vereinbarungen und mögliche Erstattungsansprüche sorgfältig geprüft werden.
Wenn Ihre Bankkarte durch eine manipulierte Anwendung, einen falschen Bankmitarbeiter oder eine andere Betrugsmasche missbraucht wurde, sollten mögliche Erstattungsansprüche sorgfältig geprüft werden.
Die Anwaltskanzlei Lenné in Leverkusen unterstützt Betroffene bei der rechtlichen Aufarbeitung von Online-Banking- und Zahlungskartenbetrug.
Wir prüfen insbesondere, ob die streitigen Transaktionen autorisiert waren, welche Sicherheitsverfahren eingesetzt wurden und ob die Bank ihrer gesetzlichen Erstattungspflicht nachgekommen ist.
Außerdem untersuchen wir, ob die Bank den Vorwurf grober Fahrlässigkeit ausreichend begründen und nachweisen kann.
Unsere Leistungen umfassen die rechtliche Prüfung, die Korrespondenz mit Banken und Zahlungsdienstleistern, außergerichtliche Verhandlungen und erforderlichenfalls die gerichtliche Durchsetzung Ihrer Ansprüche.
Unsere telefonische Erstberatung ist kostenlos.
Weitere Informationen über unsere Leistungen und aktuelle Rechtstipps finden Sie auf der Kanzlei-Homepage der Anwaltskanzlei Lenné.
Einen Termin für Ihre kostenlose telefonische Erstberatung können Sie bequem über unsere Online-Terminvereinbarung buchen.
Wenn Sie regelmäßig über aktuelle Urteile, neue Betrugsmaschen und Ihre Rechte als Bankkunde informiert werden möchten, abonnieren Sie unseren kostenlosen Newsletter der Anwaltskanzlei Lenné.
Bei einem NFC-Relay-Angriff wird die kontaktlose Kommunikation zwischen einer Bankkarte und einem Lesegerät über technische Hilfsmittel an einen entfernten Ort weitergeleitet. Dadurch können unter bestimmten Voraussetzungen fremde Kartenzahlungen ausgelöst werden.
Ja. Bei bestimmten NFC-Relay-Angriffen bleibt die Originalkarte im Besitz des rechtmäßigen Karteninhabers. Die Täter missbrauchen stattdessen die weitergeleitete Kommunikation mit der Karte.
Bei nicht autorisierten Zahlungsvorgängen besteht grundsätzlich ein Erstattungsanspruch nach § 675u BGB. Ob der Kunde anschließend für den Schaden haftet, richtet sich insbesondere nach § 675v BGB.
Das hängt von den konkreten Umständen ab. Eine vorsätzliche oder grob fahrlässige Verletzung von Sorgfaltspflichten kann eine Haftung begründen. Die Voraussetzungen müssen jedoch nachgewiesen werden.
Bei streitiger Autorisierung gelten die Nachweisanforderungen des § 675w BGB. Die bloße technische Authentifizierung reicht nicht notwendigerweise aus, um eine wirksame Autorisierung nachzuweisen.
Technisch ist dies unter bestimmten Voraussetzungen möglich. Sicherheitsforscher haben einen entsprechenden Angriff dokumentiert. Ob daraus eine wirksame Darlehensverpflichtung des Betroffenen entsteht, muss gesondert geprüft werden.
Informieren Sie unverzüglich Ihre Bank über einen sicheren Kommunikationsweg, lassen Sie betroffene Zahlungsinstrumente sperren, sichern Sie Beweise und erstatten Sie Strafanzeige. Lassen Sie das Smartphone gegebenenfalls fachgerecht untersuchen.
Rechtsanwalt aus der Anwaltskanzlei Lenné.
Rechtsanwalt Guido Lenné ist auch Fachanwalt für Bank- und Kapitalmarktrecht.
Wir helfen Ihnen gerne! Kontaktieren Sie uns. Oder vereinbaren Sie hier online einen Termin für eine telefonische kostenfreie Erstberatung.