Phishing bereits gemeldet und trotzdem Geld verloren: Muss die Bank den Schaden erstatten?

Wie lief der aktuelle Phishing Fall ab?

Der Angriff erfolgte in zwei Stufen.

Zunächst erhielt eine 62 Jahre alte Bankkundin eine vermeintliche Nachricht ihrer Bank mit der Aufforderung, ihre Zugangsdaten zu aktualisieren. Sie folgte den Anweisungen und gab Daten ein.

Nachdem sie den Betrug bemerkt hatte, informierte sie ihre Bank. Das zunächst betroffene Konto wurde gesperrt.

Zwei Tage später meldete sich ein angeblicher Bankmitarbeiter. Der vorherige Sicherheitsvorfall machte den Anruf besonders glaubwürdig. Im Verlauf des Gesprächs erhielt der Täter Zugriff auf den Computer der Kundin und veranlasste sie zu mehreren TAN Freigaben.

Anschließend wurden von weiteren Konten insgesamt mehr als 100.000 Euro überwiesen.

Die besondere Gefahr liegt darin, dass der zweite Angriff an einen tatsächlich stattgefundenen Vorfall anknüpft. Täter können Informationen aus dem ersten Phishing Angriff nutzen, um beim Opfer Vertrauen aufzubauen.

Warum ist Fernzugriff auf den Computer so gefährlich?

Programme für Fernzugriff oder Fernwartung sind grundsätzlich legal und werden beispielsweise für technischen Support eingesetzt.

Erhält jedoch ein Betrüger Zugriff, kann er je nach Berechtigung den Bildschirm sehen, Eingaben vornehmen und möglicherweise sogar Überweisungen vorbereiten.

Der Bankkunde soll dann häufig nur noch eine TAN eingeben oder einen Vorgang auf dem Smartphone freigeben.

Für die spätere rechtliche Bewertung ist deshalb entscheidend, welche Handlungen der Täter vorgenommen hat und welche Handlungen tatsächlich vom Bankkunden stammen.

Muss die Bank bei Phishing den Schaden erstatten?

Bei nicht autorisierten Zahlungsvorgängen besteht grundsätzlich ein Erstattungsanspruch nach § 675u BGB.

Wurde eine Zahlung ohne Zustimmung des Kunden ausgeführt, muss die Bank den Betrag grundsätzlich erstatten und das Konto wieder auf den Stand bringen, auf dem es sich ohne die unberechtigte Belastung befunden hätte.

Die entscheidende erste Frage lautet daher:

Hat der Bankkunde der konkreten Überweisung tatsächlich zugestimmt?

Das muss für jede streitige Zahlung gesondert geprüft werden.

Ist eine TAN Freigabe automatisch eine Zustimmung zur Überweisung?

Nicht zwingend.

Entscheidend ist, welchem Vorgang die TAN zugeordnet war und was dem Kunden bei der Freigabe angezeigt wurde.

Hat ein Betrüger über den Fernzugriff eine Überweisung vorbereitet und der Kunde anschließend eine TAN bestätigt, kann beispielsweise von Bedeutung sein, ob Betrag und Zahlungsempfänger deutlich angezeigt wurden und welcher konkrete Vorgang nach dem vereinbarten Verfahren freigegeben werden sollte.

Je eindeutiger die Zahlungsinformationen bei der Freigabe angezeigt wurden, desto schwieriger kann die rechtliche Position des Kunden werden.

Bei mehreren TAN Freigaben sollte zudem geprüft werden, welche Freigabe welchem Vorgang zugeordnet war. Denn mit einer TAN kann je nach Banksystem nicht nur eine Zahlung, sondern beispielsweise auch eine Geräteaktivierung oder eine andere sicherheitsrelevante Änderung bestätigt worden sein.

Was gilt, wenn der Täter die Überweisung selbst vorbereitet hat?

Auch dieser Umstand kann wichtig sein.

Es macht einen Unterschied, ob der Bankkunde selbst Empfänger, IBAN und Betrag eingegeben hat oder ob der Täter diese Angaben über den Fernzugriff vorgenommen hat.

Hat der Täter die Überweisung vorbereitet und hat der Kunde lediglich die abschließende Freigabe vorgenommen, kommt es besonders darauf an, welcher Vorgang nach dem vereinbarten Verfahren tatsächlich autorisiert wurde.

Die bloße Feststellung, dass eine TAN verwendet wurde, reicht deshalb für eine umfassende rechtliche Bewertung nicht aus.

Wann kann die Bank grobe Fahrlässigkeit einwenden?

Auch bei einer nicht autorisierten Zahlung kann die Bank unter bestimmten Voraussetzungen einen eigenen Schadensersatzanspruch gegen den Kunden haben.

Hier ist insbesondere § 675v BGB relevant.

Die Bank kann beispielsweise argumentieren, der Kunde habe grob fahrlässig gehandelt, weil er einem unbekannten Anrufer Fernzugriff auf seinen Computer ermöglicht oder trotz eindeutiger Zahlungsinformationen eine TAN bestätigt habe.

Ob tatsächlich grobe Fahrlässigkeit vorliegt, muss jedoch anhand des konkreten Einzelfalls beurteilt werden.

Von Bedeutung können unter anderem die Professionalität der Täuschung, das Vorwissen der Täter, die angezeigte Telefonnummer, der Gesprächsinhalt, die Darstellung bei der TAN Freigabe und vorhandene Warnhinweise der Bank sein.

Nicht jeder Fehler des Bankkunden führt automatisch zu einer vollständigen Haftung.

Was muss die Bank nachweisen?

Bestreitet der Kunde die Autorisierung, gelten die besonderen Beweisregeln des § 675w BGB.

Die Bank muss grundsätzlich nachweisen, dass der Zahlungsvorgang authentifiziert, ordnungsgemäß aufgezeichnet und verbucht wurde und keine technische Störung vorlag.

Gerade bei mehreren Zahlungen und TAN Freigaben kann deshalb die technische Dokumentation der Bank von erheblicher Bedeutung sein.

Wichtig können insbesondere Zeitpunkt und Betrag der einzelnen Überweisungen, Zahlungsempfänger, verwendete Geräte, die Zuordnung der jeweiligen Freigaben sowie Änderungen an Geräten, Überweisungslimits oder Sicherheitsverfahren sein.

Warum sollten Betroffene gegenüber der Bank mit ausführlichen Erklärungen vorsichtig sein?

Dieser Punkt wird nach Phishing Angriffen häufig unterschätzt.

Die Bank benötigt für den Vorwurf grober Fahrlässigkeit Tatsachen, aus denen sich ein besonders schwerer Verstoß des Kunden gegen seine Sorgfaltspflichten ergeben soll.

Solche Informationen können sich aus den technischen Aufzeichnungen der Bank ergeben. Sie können aber auch aus den eigenen Angaben des Kunden stammen.

Wer unmittelbar nach dem Betrug ausführlich schildert, welche Hinweise er gesehen, welche TANs er bestätigt, welche Warnmeldungen er möglicherweise übergangen oder welche Anweisungen des Täters er befolgt hat, kann damit Angaben machen, die später gegen ihn verwendet werden.

Das bedeutet nicht, dass gegenüber der Bank falsche Angaben gemacht oder relevante Tatsachen bewusst verschleiert werden sollten.

Es bedeutet aber sehr wohl, dass Betroffene zwischen einer sofort notwendigen Schadensmeldung und einer ausführlichen rechtlichen Stellungnahme zum Geschehensablauf unterscheiden sollten.

Gerade bei hohen Schäden kann es sinnvoll sein, sich vor einer detaillierten schriftlichen Stellungnahme beraten zu lassen.

Was sollten Sie der Bank sofort mitteilen?

Schnelligkeit ist trotzdem wichtig.

Die Bank sollte unverzüglich darüber informiert werden, dass ein Betrugsverdacht besteht und Zahlungen bestritten werden.

Außerdem sollten sofort alle notwendigen Sicherungsmaßnahmen verlangt werden.

Dazu können insbesondere gehören:

Sperrung des Online Banking Zugangs

Sperrung betroffener Zahlungsinstrumente

Versuch eines Rückrufs bereits ausgeführter Überweisungen

Prüfung weiterer Kontobewegungen

Sperrung unbekannter Geräte.

Für diese Sofortmaßnahmen ist regelmäßig keine ausführliche schriftliche Darstellung des gesamten Betrugsablaufs erforderlich.

Was sollten Sie nicht vorschnell gegenüber der Bank erklären?

Besondere Vorsicht ist bei Fragen zum eigenen Verhalten geboten.

Betroffene sollten nicht vorschnell rechtliche Bewertungen abgeben wie:

„Ich habe die Überweisungen autorisiert.“

„Ich habe die TAN für die Überweisung eingegeben.“

„Ich habe die Warnung gesehen und trotzdem bestätigt.“

Oder:

„Ich habe grob fahrlässig gehandelt.“

Solche Formulierungen können erhebliche Auswirkungen auf eine spätere rechtliche Auseinandersetzung haben.

Auch umfangreiche Fragebögen der Bank sollten bei einem größeren Schaden nicht unbedingt spontan ausgefüllt werden.

Zunächst sollte geklärt werden, welche Informationen die Bank bereits besitzt, welche Tatsachen technisch dokumentiert sind und welche rechtliche Bedeutung die einzelnen Vorgänge haben.

Natürlich dürfen gegenüber der Bank keine unwahren Angaben gemacht werden. Es besteht aber auch kein Grund, unmittelbar nach dem Betrug ungeprüft eine ausführliche rechtliche Einordnung des eigenen Verhaltens vorzunehmen.

Warum ist die technische Dokumentation der Bank so wichtig?

Bevor sich ein Geschädigter detailliert zum Ablauf äußert, kann es sinnvoll sein, zunächst zu klären, was die Bank selbst zum Zahlungsvorgang dokumentiert hat.

Gerade bei mehreren TAN Freigaben können wichtige Fragen offen sein:

Welche TAN wurde welchem Vorgang zugeordnet?

Welcher Betrag wurde angezeigt?

Welcher Zahlungsempfänger war hinterlegt?

Von welchem Gerät wurde die Überweisung vorbereitet?

Wurde zuvor ein neues Gerät registriert?

Wurde das Überweisungslimit verändert?

Wann wurden die einzelnen Vorgänge ausgelöst?

Diese Informationen können für die rechtliche Beurteilung wesentlich sein.

Warum ist der aktuelle Fall besonders interessant?

Die Bankkundin hatte den ersten Phishing Angriff bereits erkannt und ihre Bank informiert. Das zunächst betroffene Konto war gesperrt.

Trotzdem gelang es den Tätern offenbar zwei Tage später, einen erheblich größeren Schaden auf weiteren Konten zu verursachen.

Der Fall zeigt deshalb:

Ein Phishing Angriff kann weitergehen, obwohl der erste Betrugsversuch bereits erkannt wurde.

Täter können die beim ersten Angriff gewonnenen Informationen für einen späteren Anruf verwenden. Gerade der Hinweis auf einen tatsächlich stattgefundenen Sicherheitsvorfall kann den falschen Bankmitarbeiter besonders glaubwürdig erscheinen lassen.

Was sollten Sie nach einem Phishing Angriff tun?

Prüfen Sie nicht nur das unmittelbar betroffene Konto.

Kontrollieren Sie auch weitere Konten, die über denselben Online Banking Zugang erreichbar sind.

Prüfen Sie, ob neue Geräte registriert, Kontaktdaten verändert, Überweisungslimits erhöht oder Sicherheitseinstellungen geändert wurden.

Ändern Sie betroffene Zugangsdaten von einem sicheren Gerät.

Meldet sich anschließend ein angeblicher Bankmitarbeiter telefonisch, beenden Sie im Zweifel das Gespräch und rufen Sie Ihre Bank selbst über eine Ihnen bekannte Telefonnummer zurück.

Gewähren Sie einem unbekannten Anrufer keinen Fernzugriff auf Ihren Computer.

Was tun, wenn bereits Geld verschwunden ist?

Informieren Sie unverzüglich Ihre Bank.

Bestreiten Sie nicht autorisierte Zahlungsvorgänge und verlangen Sie einen sofortigen Versuch, die Überweisungen zurückzurufen.

Lassen Sie erforderlichenfalls Online Banking Zugänge und unbekannte Geräte sperren.

Erstatten Sie Strafanzeige und sichern Sie vorhandene Beweismittel.

Bei einem größeren Schaden sollten Sie jedoch zwischen den notwendigen Sofortmaßnahmen und einer ausführlichen Darstellung Ihres eigenen Verhaltens unterscheiden.

Eine detaillierte Stellungnahme gegenüber der Bank kann gegebenenfalls auch später nach rechtlicher Prüfung erfolgen.

Welche Beweise sollten Sie selbst sichern?

Bewahren Sie die ursprüngliche Phishing Nachricht, Anruflisten, SMS Nachrichten, Push Nachrichten, TAN Anzeigen, Kontoauszüge, Sperrbestätigungen und die Korrespondenz mit Ihrer Bank auf.

Dokumentieren Sie auch das verwendete Fernzugriffsprogramm.

Bei einem erheblichen Schaden sollte der betroffene Computer nicht vorschnell vollständig zurückgesetzt werden, wenn dadurch wichtige Beweismittel verloren gehen könnten.

Ein Gedächtnisprotokoll kann ebenfalls sinnvoll sein.

Dieses dient zunächst Ihrer eigenen Dokumentation und gegebenenfalls der späteren rechtlichen Beratung. Es muss nicht automatisch vollständig an die Bank übersandt werden.

Was tun, wenn die Bank die Erstattung ablehnt?

Eine Ablehnung sollte bei einem erheblichen Schaden nicht ungeprüft akzeptiert werden.

Insbesondere sollte geklärt werden:

Welche Zahlung soll konkret autorisiert worden sein?

Welche TAN gehört zu welcher Zahlung?

Welche technischen Informationen liegen der Bank vor?

Welche Sicherheitsverfahren wurden eingesetzt?

Und auf welche konkreten Tatsachen stützt die Bank den Vorwurf grober Fahrlässigkeit?

Gerade bei mehreren Überweisungen kann eine genaue Rekonstruktion des technischen Ablaufs entscheidend sein.

Praxistipp unserer Kanzlei

Nach einem Phishing Schaden sind zwei Dinge gleichzeitig wichtig:

Schnell handeln und trotzdem nicht vorschnell erklären.

Die Bank muss sofort informiert werden, damit Konten gesichert und möglicherweise noch Überweisungen zurückgerufen werden können.

Eine ausführliche Darstellung des eigenen Verhaltens ist etwas anderes.

Gerade bei hohen Schäden kann es sinnvoll sein, zunächst die vorhandenen Unterlagen zu sichern und prüfen zu lassen, bevor umfangreiche Fragebögen beantwortet oder detaillierte Stellungnahmen gegenüber der Bank abgegeben werden.

Denn Angaben, die unmittelbar nach dem Betrug gemacht werden, können in einem späteren Rechtsstreit eine erhebliche Rolle spielen.

Wie unterstützt unsere Kanzlei bei Phishing und Online Banking Betrug?

Unsere Kanzlei bearbeitet regelmäßig Fälle, in denen nach Phishing, falschen Bankanrufen oder manipulierten Sicherheitsfreigaben Geld von Konten verschwunden ist.

Wir prüfen zunächst den Sachverhalt und die vorhandenen Unterlagen.

Dabei untersuchen wir insbesondere, welche Zahlungen tatsächlich autorisiert wurden, welche technischen Vorgänge dokumentiert sind und ob die Bank dem Kunden grobe Fahrlässigkeit vorwerfen kann.

Wir unterstützen außerdem bei der Kommunikation mit der Bank. Gerade bei umfangreichen Fragen zum eigenen Verhalten kann es sinnvoll sein, die rechtliche Bedeutung der Antworten vor einer Stellungnahme zu prüfen.

Lehnt die Bank eine Erstattung ab, machen wir berechtigte Ansprüche außergerichtlich und erforderlichenfalls gerichtlich geltend.

Sie sind betroffen? Lassen Sie den Fall prüfen

Sie haben nach einem Phishing Angriff Geld verloren?

Ein angeblicher Bankmitarbeiter hatte Zugriff auf Ihren Computer oder Sie haben während eines Telefonats TAN Freigaben vorgenommen?

Ihre Bank verlangt nun eine ausführliche Stellungnahme oder hat die Erstattung bereits abgelehnt?

Handeln Sie schnell, aber geben Sie bei einem erheblichen Schaden nicht vorschnell eine umfangreiche Erklärung zu Ihrem eigenen Verhalten ab.

Unsere Kanzlei prüft den Ablauf des Betrugs, die Zahlungsvorgänge, die vorhandenen Beweismittel und die Argumentation Ihrer Bank. Wir unterstützen Sie auch bei der weiteren Kommunikation mit dem Kreditinstitut.

Die telefonische Erstberatung ist kostenlos. Einen Termin können Sie bequem über unsere Online Terminbuchung vereinbaren.

📩 Aktuelle Urteile, neue Phishing Maschen und wichtige Rechtstipps erhalten Sie regelmäßig mit unserem kostenlosen Newsletter:

https://www.anwalt-leverkusen.de/newsletter.html