N26-Kreditkarte nach Paket-Phishing belastet: Muss die Bank den Schaden erstatten?

Eine angeblich noch offene Versandgebühr von wenigen Euro, eine täuschend echt aussehende Internetseite eines bekannten Paketdienstes und kurz darauf mehrere hohe Belastungen über die Kreditkarte: Solche Phishing-Angriffe können innerhalb weniger Minuten erhebliche finanzielle Schäden verursachen.

Besonders problematisch wird es für Betroffene, wenn die Bank anschließend eine Erstattung mit dem Argument ablehnt, die Zahlungen seien schließlich über das Smartphone, die Kreditkarte oder einen Bezahldienst wie Apple Pay bestätigt worden.

So einfach ist die Rechtslage jedoch nicht. Eine technisch erfolgreiche Authentifizierung bedeutet nicht automatisch, dass der Bankkunde die tatsächlich ausgeführte Zahlung auch rechtlich autorisiert hat. Entscheidend kann vielmehr sein, welchem konkreten Zahlungsvorgang der Kunde tatsächlich zugestimmt hat.

Paket-Phishing: Wie aus wenigen Euro plötzlich ein vierstelliger Schaden werden kann

Ein typischer Fall beginnt völlig unscheinbar: Ein Verbraucher erwartet tatsächlich ein Paket. In dieser Situation erhält er eine Nachricht, wonach für die Zustellung noch ein kleiner Betrag von beispielsweise sechs oder sieben Euro bezahlt werden müsse.

Über einen Link gelangt der Empfänger auf eine Internetseite, die dem Auftritt des tatsächlichen Paketdienstleisters täuschend ähnlich sieht. Logos, Gestaltung, Eingabemasken und der gesamte Zahlungsvorgang können so professionell nachgebildet sein, dass die Manipulation auf den ersten Blick kaum auffällt.

Besonders glaubwürdig kann die Aufforderung wirken, wenn tatsächlich eine Sendung erwartet wird und aufgrund besonderer Umstände – beispielsweise eines grenzüberschreitenden Versands – eine geringe zusätzliche Gebühr nicht völlig fernliegend erscheint.

Der Kunde geht deshalb davon aus, lediglich einen kleinen Betrag für seine Paketzustellung zu bezahlen. Er gibt seine Zahlungsdaten ein und bestätigt gegebenenfalls einen Vorgang auf seinem Smartphone.

Tatsächlich nutzen die Täter die eingegebenen Daten und die ausgelösten Authentifizierungsschritte jedoch für einen ganz anderen Zweck. Statt der vermeintlichen Kleinzahlung können beispielsweise über eine hinterlegte Kreditkarte und Apple Pay innerhalb weniger Minuten mehrere Zahlungen ausgelöst werden.

Aus vermeintlichen sechs Euro werden dann schnell 200 Euro, 300 Euro, 900 Euro oder insgesamt weit mehr als 1.000 Euro.

Muss N26 unberechtigte Kreditkartenzahlungen nach einem Phishing-Angriff erstatten?

Für die rechtliche Beurteilung ist zunächst entscheidend, ob die betreffenden Zahlungsvorgänge autorisiert waren.

Nach § 675j BGB ist ein Zahlungsvorgang gegenüber dem Zahler grundsätzlich nur wirksam, wenn dieser dem Zahlungsvorgang zugestimmt hat. Fehlt diese Zustimmung, handelt es sich grundsätzlich um einen nicht autorisierten Zahlungsvorgang.

Für solche Fälle sieht § 675u BGB eine für Bankkunden wichtige Rechtsfolge vor: Bei einem nicht autorisierten Zahlungsvorgang hat der Zahlungsdienstleister grundsätzlich keinen Anspruch auf Erstattung seiner Aufwendungen gegen den Zahler. Wurde das Konto bereits belastet, muss der Zahlungsdienstleister den Betrag grundsätzlich unverzüglich erstatten und das Konto wieder auf den Stand bringen, auf dem es sich ohne die nicht autorisierte Zahlung befunden hätte.

Deshalb ist bei Phishing-Fällen die Frage der Autorisierung von zentraler Bedeutung.

Apple Pay bestätigt – also automatisch autorisiert?

Gerade hier kommt es häufig zu Missverständnissen.

Banken argumentieren nach Phishing-Angriffen nicht selten damit, dass eine Zahlung ordnungsgemäß authentifiziert worden sei. Beispielsweise sei die Kreditkarte in Apple Pay eingebunden gewesen, die Zahlung über das Smartphone bestätigt worden oder es seien die vorgesehenen Sicherheitsmechanismen verwendet worden.

Daraus kann jedoch nicht ohne Weiteres geschlossen werden, dass der Kunde auch genau den tatsächlich ausgeführten Zahlungsvorgang autorisiert hat.

Authentifizierung und Autorisierung sind rechtlich nicht dasselbe.

Vereinfacht gesagt betrifft die Authentifizierung die technische Frage, ob bestimmte personalisierte Sicherheitsmerkmale verwendet wurden. Bei der Autorisierung geht es dagegen darum, ob der Kunde dem konkreten Zahlungsvorgang zugestimmt hat.

Das kann bei einem manipulierten Zahlungsvorgang einen erheblichen Unterschied machen.

Was gilt, wenn ich nur 6 Euro zahlen wollte, tatsächlich aber 900 Euro abgebucht wurden?

Nehmen wir einen typischen Phishing-Fall: Ein Bankkunde sieht auf einer vermeintlichen Internetseite eines Paketdienstes einen zu zahlenden Betrag von 6,50 Euro. Er möchte ausschließlich diese 6,50 Euro bezahlen.

Im Hintergrund manipulieren Täter jedoch den Zahlungsvorgang und lösen tatsächlich eine Zahlung von beispielsweise 900 Euro an einen völlig anderen Empfänger aus.

Dann stellt sich die entscheidende Frage:

Hat der Bankkunde wirklich einer Zahlung über 900 Euro an diesen Empfänger zugestimmt – oder wollte er ausschließlich die angezeigten 6,50 Euro an den vermeintlichen Paketdienst bezahlen?

Diese Unterscheidung sollte bei der rechtlichen Prüfung nicht übersprungen werden.

Allein der Umstand, dass der Kunde selbst Daten eingegeben, eine App geöffnet oder einen Authentifizierungsschritt vorgenommen hat, beantwortet noch nicht zwingend die Frage, welchen konkreten Zahlungsvorgang er autorisiert hat.

Gerade deshalb lohnt sich eine genaue Prüfung der technischen und tatsächlichen Abläufe.

Muss die Bank beweisen, dass ich die Zahlung autorisiert habe?

Auch die Beweisregeln des Zahlungsdiensterechts sind für Betroffene wichtig.

Bestreitet ein Kunde, einen ausgeführten Zahlungsvorgang autorisiert zu haben, muss der Zahlungsdienstleister nach § 675w BGB grundsätzlich nachweisen, dass eine Authentifizierung erfolgt ist und der Zahlungsvorgang ordnungsgemäß aufgezeichnet, verbucht und nicht durch eine Störung beeinträchtigt wurde.

Besonders wichtig ist jedoch: Die bloße Aufzeichnung der Nutzung eines Zahlungsinstruments reicht nicht ohne Weiteres aus, um die Autorisierung durch den Kunden zu beweisen.

Eine Bank kann sich deshalb nicht in jedem Fall darauf beschränken, darauf hinzuweisen, dass ihre Systeme eine technisch erfolgreiche Bestätigung registriert haben.

Bei der rechtlichen Prüfung muss vielmehr betrachtet werden, was tatsächlich geschehen ist und welcher Zahlung der Kunde zugestimmt haben soll.

Was ist mit dem Vorwurf der groben Fahrlässigkeit?

Selbst wenn Zahlungen nicht autorisiert waren, ist die rechtliche Prüfung damit häufig noch nicht beendet.

Banken können sich gegenüber Erstattungsansprüchen insbesondere darauf berufen, dass der Kunde den Schaden durch eine vorsätzliche oder grob fahrlässige Verletzung seiner Pflichten verursacht habe. Maßgeblich ist insbesondere § 675v BGB.

Gerade bei Phishing-Angriffen wird daher häufig darüber gestritten, ob das Verhalten des Geschädigten als grob fahrlässig einzustufen ist.

Aber auch hier gilt: Nicht jeder erfolgreiche Phishing-Angriff bedeutet automatisch grobe Fahrlässigkeit des Kunden.

Es kommt auf die konkreten Umstände des Einzelfalls an.

War die Internetseite professionell gestaltet? Erwartete der Betroffene tatsächlich eine Sendung? War die verlangte Gebühr aufgrund der konkreten Versandsituation plausibel? Was wurde dem Kunden bei der Bestätigung auf seinem Smartphone tatsächlich angezeigt? Waren Betrag und Zahlungsempfänger eindeutig erkennbar? Wie schnell folgten die einzelnen Belastungen aufeinander? Gab es mehrere ungewöhnlich hohe Zahlungen innerhalb weniger Minuten?

Diese und weitere Umstände können für die rechtliche Bewertung von erheblicher Bedeutung sein.

Paket erwartet und deshalb auf den Link geklickt: Ist das bereits grob fahrlässig?

Auch diese Frage lässt sich nicht pauschal beantworten.

Phishing-Angriffe sind inzwischen teilweise sehr professionell aufgebaut. Täter nutzen gezielt Situationen, in denen eine Nachricht für den Empfänger plausibel erscheint.

Wer tatsächlich auf eine Sendung wartet und eine Nachricht über eine geringfügige noch offene Versandgebühr erhält, befindet sich in einer anderen Ausgangslage als jemand, der ohne jeden Zusammenhang eine offensichtlich ungewöhnliche Zahlungsaufforderung bekommt.

Für die Bewertung kommt es daher nicht nur darauf an, dass ein Link angeklickt oder Zahlungsdaten eingegeben wurden. Entscheidend sind die gesamten Begleitumstände.

Pauschale Aussagen wie „Sie haben die Daten selbst eingegeben, deshalb müssen Sie den Schaden tragen“ werden der komplexen Rechtslage häufig nicht gerecht.

Mehrere hohe Zahlungen innerhalb weniger Minuten: Musste die Bank reagieren?

Bei mehreren ungewöhnlichen Transaktionen in kurzer Folge kann sich außerdem die Frage stellen, welche Sicherheitsmechanismen der Zahlungsdienstleister eingesetzt hat und ob die Zahlungsserie Auffälligkeiten aufwies.

Wenn beispielsweise unmittelbar hintereinander mehrere Beträge von 900 Euro, 300 Euro, 300 Euro und 200 Euro belastet werden, obwohl der Kunde davon ausgeht, lediglich eine Versandgebühr von wenigen Euro zu bezahlen, ist die Diskrepanz erheblich.

Ob sich daraus im konkreten Fall zusätzliche rechtliche Argumente ergeben, hängt von den Umständen und den verfügbaren technischen Informationen ab. Solche Transaktionsmuster sollten bei der Prüfung des Falls jedenfalls berücksichtigt werden.

Welche Beweise sollten Phishing-Opfer sichern?

Wer von einem solchen Angriff betroffen ist, sollte möglichst frühzeitig sämtliche Unterlagen sichern. Gerade bei manipulierten Internetseiten können Beweismittel später nicht mehr verfügbar sein.

Besonders hilfreich können sein:

• Screenshots der Phishing-Seite und der dort angezeigten Zahlungsaufforderung
• die ursprüngliche SMS, E-Mail oder sonstige Nachricht
• Screenshots von Zahlungs- oder Bestätigungsfenstern
• Kreditkarten- und Kontoauszüge
• Informationen zu den tatsächlichen Zahlungsempfängern
• Push-Mitteilungen und Benachrichtigungen der Bank
• die Kommunikation mit N26 oder einem anderen Zahlungsdienstleister
• das eigene Erstattungsverlangen
• die ablehnende Antwort der Bank
• gegebenenfalls eine Strafanzeige und das dazugehörige Aktenzeichen
• Informationen darüber, welche Sendung zum betreffenden Zeitpunkt tatsächlich erwartet wurde

Insbesondere Screenshots einer Phishing-Maske können wertvoll sein, weil sie nachvollziehbar machen können, welchen Zahlungsvorgang der Betroffene aus seiner Sicht vor Augen hatte.

Was sollten Sie tun, wenn N26 die Erstattung ablehnt?

Eine ablehnende Entscheidung der Bank muss nicht das Ende der Angelegenheit sein.

Wenn N26 oder ein anderes Kreditinstitut erklärt, die Zahlungen seien autorisiert gewesen oder der Kunde habe grob fahrlässig gehandelt, sollte zunächst geprüft werden, worauf die Bank diese Einschätzung konkret stützt.

Entscheidend können unter anderem die Authentifizierungsprotokolle, die Einbindung der Kreditkarte in Apple Pay, die einzelnen Transaktionsdaten, die verwendeten Sicherheitsverfahren und insbesondere die Frage sein, welche Informationen dem Kunden im entscheidenden Moment angezeigt wurden.

Bei mehreren Zahlungen sollte außerdem jede einzelne Transaktion gesondert betrachtet werden. Es sollte nicht vorschnell davon ausgegangen werden, dass eine technische Bestätigung automatisch sämtliche nachfolgenden Belastungen rechtfertigt.

Je nach Ergebnis der Prüfung kann die Bank erneut außergerichtlich zur Erstattung aufgefordert werden. Bleibt sie bei ihrer Ablehnung, kommen weitere rechtliche Schritte bis hin zur gerichtlichen Geltendmachung in Betracht.

Warum die Formulierung gegenüber der Bank wichtig sein kann

Bei Phishing-Fällen ist eine präzise Darstellung des Geschehens besonders wichtig.

Es kann einen erheblichen Unterschied machen, ob lediglich formuliert wird:

„Ich habe die Zahlung bestätigt, bin aber auf Betrüger hereingefallen.“

Oder ob der tatsächliche Vorgang präzise beschrieben wird:

Der Kunde wollte ausschließlich einen konkret angezeigten Kleinbetrag an einen vermeintlichen Paketdienst bezahlen. Die tatsächlich ausgeführten, wesentlich höheren Zahlungen an andere Empfänger entsprachen dagegen nicht seinem Zahlungswillen.

Damit ist noch nicht entschieden, wie ein Gericht einen konkreten Fall beurteilen würde. Die Unterscheidung macht jedoch deutlich, weshalb die Frage der Autorisierung sorgfältig geprüft werden muss.

Wir prüfen Erstattungsansprüche gegen N26 und andere Banken

Unsere Kanzlei vertritt regelmäßig Bankkunden, die nach Phishing, manipulierten Zahlungsvorgängen oder anderen Betrugsformen Geld verloren haben und deren Bank eine Erstattung verweigert.

Wir können insbesondere prüfen,

• ob die streitigen Kreditkarten- oder Apple-Pay-Zahlungen rechtlich als autorisiert anzusehen sind,
• welche Bedeutung eine technisch erfolgte Authentifizierung hat,
• ob der Vorwurf grober Fahrlässigkeit tatsächlich gerechtfertigt ist,
• welche Beweise für den Ablauf des Phishing-Angriffs vorhanden sind,
• welche Informationen und Unterlagen von der Bank benötigt werden,
• ob ein Erstattungsanspruch nach den Vorschriften des Zahlungsdiensterechts besteht,
• und wie dieser Anspruch außergerichtlich oder erforderlichenfalls gerichtlich durchgesetzt werden kann.

Dabei betrachten wir nicht nur die abschließende Ablehnung der Bank, sondern den gesamten Ablauf des Betrugs.

N26 lehnt die Erstattung nach Phishing ab? Lassen Sie Ihren Fall prüfen

Wenn Sie Opfer eines Phishing-Angriffs geworden sind und N26 oder eine andere Bank die Erstattung Ihrer Verluste verweigert, sollten Sie eine Ablehnung nicht ungeprüft hinnehmen.

Gerade die Aussage, eine Zahlung sei „ordnungsgemäß authentifiziert“ worden, beantwortet nicht automatisch die entscheidende rechtliche Frage, ob Sie genau diese Zahlung in dieser Höhe an diesen Empfänger tatsächlich autorisiert haben.

Wir prüfen die Unterlagen und erläutern Ihnen, welche Möglichkeiten in Ihrem konkreten Fall bestehen.

Die telefonische Erstberatung ist bei uns kostenlos. Einen Termin können Sie bequem online über unsere Webseite buchen.

Nehmen Sie möglichst sämtliche vorhandenen Unterlagen zur Hand, insbesondere Konto- und Kreditkartenumsätze, die Korrespondenz mit der Bank sowie Screenshots oder andere Nachweise des Phishing-Angriffs. Je genauer sich der Vorgang rekonstruieren lässt, desto besser können mögliche Ansprüche geprüft werden.

Kostenlos über aktuelle Urteile und Verbraucherrechte informiert bleiben

Wir berichten regelmäßig über aktuelle Entwicklungen im Bankrecht, Phishing-Fälle, Online-Banking-Betrug und weitere verbraucherrechtliche Themen.

👉 Unseren kostenlosen Newsletter können Sie hier abonnieren:

https://www.anwalt-leverkusen.de/newsletter.html