Buchen Sie Ihren Wunschtermin!
Jetzt online Termin vereinbarenEin kurzer Moment der Unachtsamkeit kann erhebliche finanzielle Folgen haben. Betrüger verschaffen sich mithilfe gefälschter Nachrichten oder Internetseiten Zugang zu PayPal-Konten und nutzen abgefangene Sicherheitscodes, um fremde Einkäufe zu tätigen. Besonders problematisch wird es, wenn die Täter digitale Güter erwerben, die sich nach der Übertragung kaum zurückholen lassen.
Doch müssen PayPal-Kunden tatsächlich für Einkäufe bezahlen, die sie nie selbst tätigen wollten, nur weil sie zuvor einen Verifizierungscode eingegeben haben?
Die Antwort hängt von den konkreten Umständen ab. Die Eingabe eines Sicherheitscodes bedeutet nicht zwangsläufig, dass die betroffene Person der damit ausgelösten Zahlung auch rechtlich zugestimmt hat.
Ein aktueller Fall verdeutlicht, wie schnell ein PayPal-Konto durch einen Phishing-Angriff ins Minus geraten kann.
Eine Verbraucherin wurde am 16. Oktober 2026 Opfer eines Betrugs. Im Rahmen der Täuschung verwendete sie zwei PayPal-Verifizierungscodes, ohne zu erkennen, dass diese offenbar zur Freigabe fremder Einkäufe eingesetzt wurden.
Die Betrüger erwarben digitale Gegenstände für Online-Spiele, sogenannte Skins, im Gesamtwert von rund 1.250 Euro. Die digitalen Güter wurden an ein fremdes Spielerprofil übertragen und konnten vom Verkäufer anschließend nicht mehr zurückgeholt werden.
Die Betroffene reagierte unmittelbar: Sie meldete den Sachverhalt PayPal, erstattete am nächsten Tag Strafanzeige und kontaktierte den Verkäufer.
Dennoch schloss PayPal den gemeldeten Fall zu ihren Ungunsten. Weitere E-Mails blieben nach ihrer Darstellung unbeantwortet. Gleichzeitig wies ihr PayPal-Konto einen negativen Saldo von etwa 1.250 Euro auf.
Besonders auffällig: PayPal hatte selbst per E-Mail darüber informiert, dass während des Betrugszeitraums von unterschiedlichen Standorten auf das Konto zugegriffen worden war. Außerdem sicherte der Verkäufer Informationen über das Spielerprofil, auf das die gekauften digitalen Gegenstände übertragen wurden.
Der Fall wirft gleich mehrere rechtliche Fragen auf.
Nein. Zwischen der technischen Bestätigung eines Zahlungsvorgangs und seiner rechtlichen Autorisierung muss unterschieden werden.
Nach § 675j BGB ist eine Zahlung grundsätzlich nur wirksam autorisiert, wenn der Zahler ihr zugestimmt hat.
Dabei kommt es unter anderem darauf an, welchem konkreten Vorgang zugestimmt wurde und welches Verfahren zur Zahlungsfreigabe zwischen Kunde und Zahlungsdienstleister vereinbart war.
Betrüger machen sich häufig zunutze, dass Verbraucher glauben, einen Sicherheitscheck, eine Kontoüberprüfung oder eine andere harmlose Handlung durchzuführen. Tatsächlich können die eingegebenen Daten oder Codes zur Freigabe einer Zahlung eingesetzt werden.
Wichtig: Nicht jede Eingabe eines Verifizierungscodes ist automatisch eine wirksame Zustimmung zu einem bestimmten Kauf.
Allerdings lässt sich auch nicht pauschal behaupten, dass eine durch Täuschung veranlasste Codeeingabe niemals eine Autorisierung darstellt. Entscheidend ist insbesondere:
Welche Informationen wurden bei der Codeeingabe angezeigt?
Waren Zahlungsempfänger und Betrag erkennbar?
Sollte der Code ausdrücklich einen konkreten Einkauf bestätigen?
Wurde der Code auf einer echten PayPal-Seite oder auf einer gefälschten Internetseite eingegeben?
Haben die Täter anschließend selbst auf das Konto zugegriffen und Zahlungen ausgelöst?
Gerade diese Einzelheiten können darüber entscheiden, ob ein Erstattungsanspruch gegen PayPal besteht.
§ 675w BGB enthält wichtige Beweisregeln zugunsten von Zahlungsdienstnutzern.
Bestreitet ein Verbraucher die Autorisierung einer Zahlung, muss der Zahlungsdienstleister insbesondere die ordnungsgemäße Authentifizierung und Verarbeitung nachweisen.
Dabei gilt: Die bloße technische Nutzung eines Sicherheitsmerkmals reicht nicht notwendigerweise aus, um eine rechtliche Autorisierung zu beweisen.
Auch der Vorwurf, ein Kunde habe seine Zugangsdaten oder Sicherheitscodes fahrlässig weitergegeben, genügt für sich genommen nicht.
Will PayPal eine Haftung wegen grober Fahrlässigkeit geltend machen, benötigt der Zahlungsdienstleister entsprechende unterstützende Beweismittel.
Bei einem Phishing-Angriff kann deshalb die Frage entscheidend sein, wie genau die Täter vorgegangen sind und welche Sicherheitsmechanismen bei den fraglichen Transaktionen eingesetzt wurden.
Eine wichtige Entwicklung für Opfer von Zahlungsbetrug ergibt sich aus dem Urteil des Europäischen Gerichtshofs vom 15. Oktober 2026 in der Rechtssache C-70/25.
Der EuGH stellte klar, dass ein Zahlungsdienstleister die unverzügliche Erstattung eines nicht autorisierten Zahlungsvorgangs grundsätzlich nicht allein deshalb verweigern darf, weil er dem Kunden grobe Fahrlässigkeit vorwirft.
Nach der Entscheidung sind zwei Fragen voneinander zu unterscheiden.
Erstens: Muss der Zahlungsdienstleister die nicht autorisierte Zahlung zunächst erstatten?
Grundsätzlich ja. Nach § 675u BGB muss der Zahlungsdienstleister einen nicht autorisierten Zahlungsbetrag unverzüglich erstatten und ein belastetes Zahlungskonto wieder entsprechend herstellen. Ausnahmen bestehen insbesondere bei einem ordnungsgemäß gemeldeten begründeten Betrugsverdacht gegen den Kunden selbst.
Zweitens: Kann der Zahlungsdienstleister anschließend Schadensersatz verlangen?
Das kann unter den Voraussetzungen des § 675v BGB möglich sein, etwa wenn ein Kunde vorsätzlich oder grob fahrlässig bestimmte Sicherheitspflichten verletzt hat.
Der Zahlungsdienstleister trägt dabei die entsprechende Beweislast.
Die Entscheidung ist gerade bei Phishing-Angriffen bedeutsam. Sie bedeutet allerdings keinen automatischen Anspruch auf endgültige Entlastung in jedem Betrugsfall. Insbesondere muss zunächst geklärt werden, ob tatsächlich ein nicht autorisierter Zahlungsvorgang vorliegt.
Diese Grundsätze sind auch bei Zahlungsdienstleistern wie PayPal zu berücksichtigen, soweit die einschlägigen zahlungsdiensterechtlichen Vorschriften auf die jeweilige Transaktion anwendbar sind.
Ein negatives PayPal-Guthaben kann erhebliche Unsicherheit auslösen. Betroffene befürchten, dass PayPal die angeblichen Schulden einfordert, ein Inkassounternehmen einschaltet oder gerichtliche Schritte einleitet.
Doch ein negativer Kontostand bedeutet nicht automatisch, dass PayPal einen rechtlich durchsetzbaren Zahlungsanspruch besitzt.
Wenn die Belastung auf einem nicht autorisierten Zahlungsvorgang beruht, kann PayPal nach § 675u BGB grundsätzlich keinen Ersatz der entsprechenden Aufwendungen verlangen.
Ob die Forderung berechtigt ist, hängt deshalb maßgeblich davon ab, ob die ursprünglichen Zahlungen wirksam autorisiert wurden und ob PayPal gegebenenfalls eigene Schadensersatzansprüche besitzt.
Betroffene sollten eine streitige Forderung ausdrücklich und nachweisbar zurückweisen, die fehlende Autorisierung erläutern und die Rückabwicklung verlangen.
Dabei empfiehlt es sich, auch um eine schriftliche Bestätigung zu bitten, dass die beanstandete Forderung bis zur Klärung nicht weiter beigetrieben wird.
Wichtig: Zahlungsaufforderungen, Inkassoschreiben oder gerichtliche Mahnbescheide dürfen nicht ignoriert werden. Gegen einen gerichtlichen Mahnbescheid muss grundsätzlich innerhalb von zwei Wochen nach Zustellung Widerspruch eingelegt werden, wenn die Forderung bestritten wird.
Im geschilderten Fall wurden keine klassischen Waren bestellt, sondern digitale Gegenstände für Online-Spiele.
Solche Spielgegenstände können einen erheblichen wirtschaftlichen Wert besitzen. Sobald sie einem fremden Spielerprofil zugeordnet oder weiterübertragen wurden, ist eine Rückabwicklung häufig technisch schwierig oder unmöglich.
Das bedeutet jedoch nicht, dass der betroffene PayPal-Kontoinhaber den Verlust zwangsläufig tragen muss.
Die Frage, ob digitale Gegenstände vom Verkäufer zurückgeholt werden können, ist rechtlich von der Frage zu unterscheiden, ob eine über PayPal ausgeführte Zahlung autorisiert war.
Ein Verkäufer kann seine Leistung möglicherweise ordnungsgemäß an das von den Betrügern genutzte Spielerprofil erbracht haben. Daraus folgt aber nicht automatisch, dass der missbrauchte PayPal-Kontoinhaber gegenüber PayPal haftet.
Auch der PayPal-Käuferschutz ist hier nicht zwingend der richtige rechtliche Ansatz. Bei einer tatsächlich nicht autorisierten Zahlung stehen vielmehr die Vorschriften über Zahlungsdienste und Kontomissbrauch im Vordergrund.
Bei der Prüfung eines PayPal-Betrugs kommt der Sicherung digitaler Beweismittel eine besondere Bedeutung zu.
Im beschriebenen Fall liegen E-Mails vor, die auf Zugriffe von unterschiedlichen Standorten während des Betrugszeitraums hinweisen.
Solche Hinweise können die Darstellung eines unbefugten Kontozugriffs unterstützen. Sie beweisen allerdings für sich genommen noch nicht, wer eine bestimmte Zahlung ausgelöst oder autorisiert hat.
Weitere wichtige Beweismittel können sein:
Sicherheitsmeldungen und Login-Benachrichtigungen von PayPal
Transaktionsnummern und genaue Zahlungszeitpunkte
Nachrichten mit Verifizierungs- oder Bestätigungscodes
Screenshots der betrügerischen Internetseiten
Schriftverkehr mit PayPal und dem Verkäufer
Daten zum Empfängerprofil der digitalen Gegenstände
Polizeiliche Vorgangsnummer und Strafanzeige
Besonders interessant können die beim Verkäufer gesicherten Informationen über das Spielerprofil sein. Sie könnten helfen, den Weg der digitalen Güter nachzuvollziehen oder Ermittlungsansätze gegen die Täter zu liefern.
Für die zivilrechtliche Auseinandersetzung mit PayPal können diese Unterlagen ergänzend von Bedeutung sein.
Eine ablehnende Entscheidung im internen PayPal-Verfahren bedeutet nicht zwangsläufig, dass sämtliche Ansprüche ausgeschlossen sind.
PayPal selbst unterscheidet zwischen dem klassischen Käuferschutz und Beschwerden über nicht genehmigte Transaktionen.
Wenn der Sachverhalt rechtlich nicht ausreichend berücksichtigt wurde, kann es sinnvoll sein, die Forderung erneut und ausdrücklich auf die fehlende Autorisierung zu stützen.
Betroffene sollten dabei nachvollziehbar darstellen, welche Vorgänge sie selbst vorgenommen haben und welche Zahlungen ohne ihre Zustimmung ausgelöst wurden.
Bleibt PayPal bei seiner Ablehnung, kommen je nach Sachlage eine anwaltliche Aufforderung, ein außergerichtliches Beschwerde- oder Streitbeilegungsverfahren und gegebenenfalls gerichtliche Schritte in Betracht.
Wer Opfer eines Phishing-Angriffs geworden ist, steht häufig vor mehreren Problemen gleichzeitig: unberechtigte Zahlungen, ein negatives PayPal-Guthaben, fehlende Antworten des Kundenservice und die Sorge vor weiteren Zahlungsforderungen.
Die Anwaltskanzlei Lenné in Leverkusen unterstützt Verbraucher bei der rechtlichen Prüfung und Durchsetzung ihrer Ansprüche gegenüber PayPal und anderen Zahlungsdienstleistern.
Unsere Tätigkeit umfasst insbesondere die Prüfung der Zahlungsautorisierung, die rechtliche Bewertung der Sicherheitsverfahren, die Auswertung vorhandener Beweismittel sowie die Prüfung möglicher Erstattungs- und Schadensersatzansprüche.
Darüber hinaus übernehmen wir die außergerichtliche Korrespondenz mit PayPal, widersprechen unberechtigten Forderungen und prüfen erforderlichenfalls die gerichtliche Durchsetzung von Ansprüchen.
Gerade wenn PayPal trotz deutlicher Hinweise auf einen Betrug an einer Zahlungsforderung festhält, kann eine individuelle rechtliche Prüfung sinnvoll sein.
Wer nach einem Phishing-Angriff feststellt, dass über sein PayPal-Konto fremde Einkäufe getätigt wurden, sollte eine ablehnende Entscheidung des Zahlungsdienstleisters nicht ungeprüft hinnehmen.
Entscheidend ist nicht allein, ob Sicherheitscodes verwendet wurden. Vielmehr muss geprüft werden, ob tatsächlich eine wirksame Zustimmung zu den konkreten Zahlungen vorlag.
Dass digitale Güter bereits an Betrüger übertragen wurden und nicht zurückgegeben werden können, entscheidet die Haftungsfrage ebenfalls nicht.
Auch ein negativer PayPal-Kontostand bedeutet nicht zwangsläufig, dass die Forderung rechtlich berechtigt ist.
Das aktuelle EuGH-Urteil vom 15. Oktober 2026 unterstreicht zusätzlich die Bedeutung der gesetzlichen Erstattungspflichten bei nicht autorisierten Zahlungsvorgängen.
Sie sind Opfer eines PayPal-Phishing-Angriffs geworden? Ihr PayPal-Konto weist nach fremden Einkäufen einen negativen Saldo auf oder PayPal lehnt eine Erstattung ab?
Die Anwaltskanzlei Lenné in Leverkusen prüft Ihre rechtlichen Möglichkeiten und unterstützt Sie bei der Durchsetzung berechtigter Ansprüche.
Vereinbaren Sie jetzt Ihre kostenlose telefonische Erstberatung:
Nicht zwangsläufig. Entscheidend ist, ob die konkreten Zahlungen rechtlich wirksam autorisiert wurden. Allein die technische Verwendung eines Sicherheitscodes beweist eine solche Zustimmung nicht in jedem Fall.
Der bloße Vorwurf der groben Fahrlässigkeit rechtfertigt bei einer nicht autorisierten Zahlung grundsätzlich keine sofortige Erstattungsverweigerung. Das hat der EuGH am 15. Oktober 2026 bestätigt. Ein späterer Schadensersatzanspruch des Zahlungsdienstleisters kann allerdings unter gesetzlichen Voraussetzungen bestehen.
Ein negativer Kontostand allein beweist keine berechtigte Forderung. Betroffene können die zugrunde liegenden Zahlungen bestreiten und die rechtliche Grundlage der Forderung überprüfen lassen. Zahlungsaufforderungen sollten nicht ignoriert werden.
Die Art der gekauften Waren entscheidet nicht unmittelbar über die Autorisierung einer Zahlung. Auch bei Gaming-Skins können Erstattungsansprüche wegen nicht autorisierter Transaktionen bestehen.
Ja. Die Ablehnung im internen PayPal-Verfahren schließt gesetzliche Ansprüche nicht automatisch aus. Bei entsprechenden Voraussetzungen können Betroffene eine erneute Prüfung verlangen oder ihre Ansprüche anwaltlich und gerichtlich verfolgen.
Ungewöhnliche Anmeldeorte und Geräte können Hinweise auf einen unbefugten Kontozugriff liefern. Zusammen mit Sicherheitsmeldungen, Transaktionsdaten und weiteren Unterlagen können sie als Beweismittel wichtig sein.
Eine Strafanzeige dokumentiert den Betrugsverdacht und ermöglicht polizeiliche Ermittlungen. Sie ersetzt jedoch nicht die gesonderte Geltendmachung zivilrechtlicher Ansprüche gegenüber PayPal.
Betroffene müssen den Zahlungsdienstleister unverzüglich nach Feststellung der unberechtigten Zahlung informieren. Nach § 676b BGB gilt grundsätzlich eine Ausschlussfrist von 13 Monaten ab Belastung, sofern die gesetzlichen Voraussetzungen für den Fristbeginn erfüllt sind. Andere Verjährungsfristen können zusätzlich relevant sein.
Angestellte Rechtsanwältin aus der Anwaltskanzlei Lenné.
Wir helfen Ihnen gerne! Kontaktieren Sie uns. Oder vereinbaren Sie hier online einen Termin für eine telefonische kostenfreie Erstberatung.