Phishing: Wann die Bank den Schaden erstatten muss

Wer Opfer eines professionell gemachten Phishing-Angriffs geworden ist, hat gegen seine Bank in vielen Fällen einen gesetzlichen Erstattungsanspruch – und zwar unabhängig davon, ob die Bank kulant sein will oder nicht. Grundlage ist das Zahlungsdiensterecht des BGB: Bei einer nicht autorisierten Zahlung darf die Bank das Konto gar nicht erst belasten und muss einen bereits abgebuchten Betrag unverzüglich erstatten. Die pauschale Antwort „Sie sind selbst schuld“ ist deshalb immer häufiger schlicht falsch. Darauf weist Tim Platner, Jurist und Geschäftsführer von VINQO, in einem aktuellen Video hin – mehrere Gerichtsentscheidungen verschieben die Haftung derzeit spürbar zugunsten der geschädigten Bankkunden.

Der Hintergrund ist eine veränderte Betrugsrealität. Wenn ein Angriff so perfekt gemacht ist, dass auch ein aufmerksamer Kunde ihn nicht erkennen kann, kippt die Haftung weg vom Kunden hin zur Bank.

Die vier entscheidenden Vorschriften

Juristisch entscheidet sich alles an vier Vorschriften.

Ausgangspunkt ist § 675j BGB: Ein Zahlungsvorgang ist nur dann autorisiert, wenn der Zahler ihm zugestimmt hat – die Autorisierung ist also die Zustimmung zu genau dieser Zahlung, nicht die Eingabe irgendeiner Zahl in irgendein Feld.

Fehlt sie, greift § 675u BGB: Im Fall eines nicht autorisierten Zahlungsvorgangs hat der Zahlungsdienstleister gegen den Zahler keinen Anspruch auf Erstattung seiner Aufwendungen und ist verpflichtet, den Zahlungsbetrag unverzüglich zu erstatten und das Konto wieder auf den Stand zu bringen, auf dem es ohne die Belastung gewesen wäre. „Unverzüglich“ heißt nach dem Gesetzeswortlaut: spätestens bis zum Ende des Geschäftstages, der auf die Anzeige folgt. Das ist kein Kulanzfall, sondern gesetzlich verpflichtend – und es gilt auch dann, wenn die Bank den Sachverhalt noch prüfen möchte.

Die Ausnahme hierzu steht in § 675v BGB. Nach dessen Absatz 3 haftet der Zahler dem Zahlungsdienstleister auf Ersatz des gesamten Schadens, wenn er ihn in betrügerischer Absicht oder durch vorsätzliche oder grob fahrlässige Verletzung seiner Pflichten herbeigeführt hat – etwa durch die leichtfertige Weitergabe von Karte, PIN oder TAN.

Ergänzt wird das durch § 675w BGB: Ist streitig, ob eine Zahlung autorisiert wurde, muss die Bank nachweisen, dass eine Authentifizierung erfolgt ist – und ausdrücklich reicht die Aufzeichnung der Nutzung des Zahlungsinstruments einschließlich der Authentifizierung allein nicht notwendigerweise aus, um die Autorisierung durch den Zahler zu beweisen. Die Beweislast liegt damit von Gesetzes wegen bei der Bank, nicht beim Kunden.

Wo die Grenze bei grober Fahrlässigkeit verläuft

Entscheidend ist deshalb, was „grob fahrlässig“ überhaupt bedeutet. Die Schwelle liegt deutlich höher, als Banken es in ihren Ablehnungsschreiben gern darstellen.

Grobe Fahrlässigkeit heißt aber nicht, man hat einen Fehler gemacht. Grobe Fahrlässigkeit heißt, man hat das außer Acht gelassen, was wirklich jedem hätte einleuchten müssen.

— Tim Platner, Jurist und Geschäftsführer von VINQO

Die Rechtsprechung markiert beide Enden dieser Linie recht deutlich.

Am strengen Ende steht die Entscheidung des Bundesgerichtshofs vom 24. April 2012 (Az. XI ZR 96/11): Wer auf einer erkennbar manipulierten Eingabemaske gleich zehn TANs auf einmal eingibt, obwohl er nur eine einzige Transaktion freigeben will, handelt grob fahrlässig – ein solches Verhalten fällt jedem Bankkunden aus der Rolle.

Am anderen Ende steht das Urteil des Bundesgerichtshofs vom 26. Januar 2016 (Az. XI ZR 91/14) zur Beweisfrage: Allein daraus, dass ein Sicherheitsverfahren technisch korrekt durchlaufen wurde, folgt kein Anscheinsbeweis für eine Autorisierung durch den Kunden; dafür müsste die generelle praktische Sicherheit des eingesetzten Verfahrens im konkreten Einzelfall feststehen. Genau diese Linie nutzen inzwischen zahlreiche Land- und Oberlandesgerichte in Spoofing- und Echtzeitüberweisungsfällen: Wer von einer im Display echt angezeigten Banknummer angerufen, mit korrekten internen Daten konfrontiert und unter Zeitdruck gesetzt wird, verletzt seine Sorgfaltspflichten nicht in dem besonders schweren Maß, das § 675v Abs. 3 BGB verlangt.

Hinzu kommt ein zweiter Aspekt, der in der neueren Rechtsprechung stärker wird: die eigenen Pflichten der Bank. Fällt eine Überweisung völlig aus dem Rahmen – plötzlich fünfstellig, plötzlich ins Ausland, plötzlich mehrere Zahlungen innerhalb weniger Minuten –, kann die Bank aus dem Zahlungsdiensterahmenvertrag verpflichtet sein, nachzufragen, zu warnen oder die Zahlung zu stoppen. Und wer den Betrug meldet, während die Bank träge reagiert, statt sofort zu versuchen, das Geld zurückzuholen, kann darin eine eigene Pflichtverletzung des Instituts sehen – unabhängig von der Frage, ob die Zahlung autorisiert war.

Die richtigen Schritte nach dem Vorfall

Für Betroffene zählt nach einem Vorfall praktisch jede Minute. Die folgenden Schritte sollten in dieser Reihenfolge abgearbeitet werden:

1. Zugang sperren. Sofort über die Bank oder über den Sperrnotruf 116 116 Konto, Karte und Online-Banking sperren lassen. Uhrzeit der Sperrung notieren.
2. Nicht autorisierte Zahlung anzeigen. Der Bank unverzüglich mitteilen, dass die Zahlung nicht autorisiert war – zunächst telefonisch, danach zwingend schriftlich per E-Mail oder Einschreiben mit klarer Formulierung: Die Zahlung war nicht autorisiert, es wird Erstattung nach § 675u BGB verlangt.
3. Rückruf und Recall verlangen. Ausdrücklich fordern, dass die Bank sofort einen Überweisungsrückruf beim Empfängerinstitut einleitet, und sich den Zeitpunkt dieser Aufforderung bestätigen lassen. Verzögert die Bank, ist das später ein eigener Ansatzpunkt für Schadensersatz.
4. Beweise sichern, bevor sie verschwinden. Screenshots der Nachrichten und Freigabemasken, Anrufliste mit Uhrzeit und angezeigter Nummer, der Verlauf in der Banking-App, Namen der angeblichen Gesprächspartner, Kontoauszüge. Diese Details tragen später sowohl den Nachweis der fehlenden Autorisierung als auch die Entkräftung des Vorwurfs grober Fahrlässigkeit.
5. Strafanzeige erstatten. Die Anzeige bei der Polizei kostet nichts und bildet oft das Rückgrat der späteren Akte – vor allem dort, wo es um die schwierigeren Pflichtverletzungen der Bank geht.
6. Keine Bewertungen des eigenen Verhaltens abgeben. Den Ablauf sachlich schildern, nichts beschönigen, aber auch nichts einräumen, was rechtlich als Schuldeingeständnis gelesen werden kann.
7. Fristen im Blick behalten. Nach § 676b Abs. 2 BGB sind Ansprüche wegen einer nicht autorisierten Belastung ausgeschlossen, wenn sie nicht spätestens 13 Monate nach dem Tag der Belastung angezeigt werden.

Der sechste Punkt ist zugleich derjenige, an dem sich die meisten selbst schaden: vorschnelle Schuldeingeständnisse gegenüber der Bank.

Solche Themen, solche Aussagen werden hinterher Dreh- und Angelpunkt, gerade für die Einstufung.

— Tim Platner

Sätze wie „hätte ich das doch besser nicht freigegeben“ oder „ich hatte ja schon ein komisches Gefühl“ sind menschlich nachvollziehbar, aber gefährlich, weil sie unmittelbar in die Bewertung der groben Fahrlässigkeit nach § 675v Abs. 3 BGB einfließen. Der Ablauf sollte deshalb sachlich geschildert, aber nicht mit eigenen Bewertungen, Einschätzungen und nachträglichen Überlegungen angereichert werden – zumal die Beweislast für die Autorisierung nach § 675w BGB ohnehin bei der Bank liegt.

Wenn die Bank ablehnt

Lehnt die Bank ab, ist damit nichts entschieden. Es gibt die kostenlose Schlichtung beim jeweiligen Bankenombudsmann, die Beschwerde bei der BaFin und den Klageweg. Gerade kleinere Beträge fallen oft erst spät auf, weshalb Kontoauszüge mit Blick auf die 13-Monats-Frist konsequent kontrolliert werden sollten. Ob ein Anspruch im Einzelfall durchsetzbar ist, hängt stark vom konkreten Ablauf des Phishings ab – die Rechtsprechung bewegt sich seit der Beweislastentscheidung des Bundesgerichtshofs von 2016 aber spürbar in Richtung Kunde. Die erste Ablehnung der Bank sollte deshalb niemand als Endpunkt seines Falles akzeptieren.