Kontoübernahme & Identitätsdiebstahl: Wer haftet?

Kontoübernahme und Identitätsdiebstahl beim Online-Banking

Plötzlich erscheinen unbekannte Überweisungen auf dem Konto. Der Zugang zum Online-Banking funktioniert nicht mehr. Kontaktdaten wurden verändert oder ein unbekanntes Gerät wurde registriert. Vielleicht haben Täter sogar Zugriff auf das E-Mail-Konto oder die Mobilfunknummer erlangt.

Eine solche Kontoübernahme kann Teil eines umfassenden Identitätsdiebstahls sein.

Kriminelle nutzen dabei persönliche Daten, Zugangsinformationen und gegebenenfalls kompromittierte Sicherheitsverfahren, um sich gegenüber digitalen Diensten als ihr Opfer auszugeben. Gelingt ihnen der Zugriff auf das Online-Banking, können innerhalb kurzer Zeit erhebliche finanzielle Schäden entstehen.

Für Betroffene ist entscheidend: Dass Täter mit scheinbar korrekten Zugangsdaten handeln konnten, bedeutet nicht automatisch, dass der Bankkunde die anschließend ausgeführten Zahlungen autorisiert hat.

Bei unautorisierten Zahlungen können Erstattungsansprüche gegen die Bank bestehen.

Björn-Michael Lange, Fachanwalt für Bank- und Kapitalmarktrecht, vertritt Bankkunden bei erheblichen finanziellen Schäden durch Kontoübernahme, Identitätsdiebstahl und andere Formen des Online-Banking-Betrugs.

Was ist eine Kontoübernahme?

Von einer Kontoübernahme oder einem Account Takeover spricht man, wenn ein unbefugter Dritter die Kontrolle über ein Benutzerkonto erlangt.

Im Bankbereich kann dies insbesondere das Online-Banking betreffen.

Täter versuchen beispielsweise, sich Zugang zu verschaffen und anschließend Funktionen zu nutzen, die eigentlich ausschließlich dem Kontoinhaber zur Verfügung stehen.

Abhängig vom konkreten Banksystem können sie versuchen,

• Kontodaten einzusehen,
• Überweisungen vorzubereiten oder auszuführen,
• Sicherheitsinformationen zu verändern,
• neue Geräte zu registrieren,
• Kommunikationsdaten zu ändern,
• weitere Zugriffs- oder Authentifizierungsverfahren zu beeinflussen.

Nicht jeder Angriff ermöglicht sämtliche dieser Handlungen. Für die rechtliche Prüfung ist deshalb der konkrete technische Ablauf der Kontoübernahme entscheidend.

Was bedeutet Identitätsdiebstahl?

Unter Identitätsdiebstahl wird allgemein die unbefugte Verwendung personenbezogener Daten einer anderen Person verstanden, um unter deren Identität aufzutreten oder weitere betrügerische Handlungen vorzubereiten.

Im Zusammenhang mit Bankgeschäften können Täter beispielsweise Namen, Anschrift, Geburtsdatum, Telefonnummer, E-Mail-Adresse, Zugangsdaten oder andere persönliche Informationen verwenden.

Häufig wird auch von Identitätsmissbrauch oder Identitätsbetrug gesprochen.

Für bankrechtliche Ansprüche kommt es weniger auf die genaue Bezeichnung der Betrugsmasche an. Entscheidend ist, welche Daten kompromittiert wurden und welche konkreten Banktransaktionen die Täter anschließend veranlasst haben.

Wie übernehmen Betrüger ein Online-Banking-Konto?

Eine Kontoübernahme ist häufig nicht das Ergebnis eines einzigen Angriffs.

Professionelle Täter können verschiedene Methoden kombinieren.

Persönliche Informationen oder Zugangsdaten können beispielsweise durch Phishing und Smishing erlangt worden sein. Ein angeblicher Bankmitarbeiter kann das Opfer durch Vishing zu weiteren Angaben bewegen. Durch SIM-Swappingkann möglicherweise die Mobilfunknummer übernommen werden. In anderen Fällen wird ein Gerät durch Fernwartungssoftware zugänglich gemacht.

Aus mehreren zunächst getrennt wirkenden Ereignissen kann dadurch eine Angriffskette entstehen.

Typischerweise sollte deshalb untersucht werden:

1. Welche persönlichen Daten besaßen die Täter?
2. Wie gelangten sie an die Online-Banking-Zugangsdaten?
3. Wurde das E-Mail-Konto kompromittiert?
4. Wurde die Mobilfunknummer übernommen?
5. Wurde ein neues Gerät registriert?
6. Welches Authentifizierungsverfahren verwendete die Bank?
7. Wer löste die späteren Zahlungsvorgänge aus?
8. Welche Handlungen nahm der Bankkunde selbst vor?

Erst diese Rekonstruktion ermöglicht eine belastbare rechtliche Bewertung.

Woran erkenne ich, dass mein Bankkonto übernommen wurde?

Eine Kontoübernahme muss nicht sofort erkennbar sein.

Täter können versuchen, zunächst unbemerkt Zugriff zu erlangen und erst später Zahlungen auszuführen.

Warnsignale können insbesondere sein:

• unbekannte Überweisungen oder Lastschriften,
• fehlgeschlagene eigene Login-Versuche,
• unbekannte Passwortänderungen,
• Mitteilungen über ein neues Gerät,
• veränderte Telefonnummern oder E-Mail-Adressen,
• unerwartete TAN- oder Freigabeaufforderungen,
• Sicherheitsmeldungen über unbekannte Anmeldungen,
• Verlust des Zugriffs auf das hinterlegte E-Mail-Konto,
• plötzlicher Ausfall der eigenen SIM-Karte.

Treten solche Anzeichen auf, sollte schnell geprüft werden, ob lediglich ein einzelnes Konto oder möglicherweise die gesamte digitale Identität kompromittiert wurde.

Bankkonto gehackt – was bedeutet das rechtlich?

Betroffene beschreiben eine Kontoübernahme häufig mit den Worten: „Mein Bankkonto wurde gehackt.“

Für die rechtliche Prüfung ist dieser Begriff allerdings zu ungenau.

Entscheidend ist nicht allein, dass ein unberechtigter Zugriff stattgefunden hat, sondern was anschließend mit dem Konto passiert ist.

Wurden Überweisungen ausgeführt? Wer hat sie technisch veranlasst? Wurde eine TAN verwendet? Hat der Kontoinhaber selbst eine App-Freigabe vorgenommen? Wurden Sicherheitsmerkmale zuvor verändert?

Diese Fragen entscheiden darüber, ob ein Zahlungsvorgang als autorisiert oder nicht autorisiert einzuordnen ist.

Muss die Bank bei einer Kontoübernahme das Geld erstatten?

Ausgangspunkt ist § 675j BGB.

Danach ist ein Zahlungsvorgang gegenüber dem Zahler grundsätzlich nur wirksam, wenn dieser ihm zugestimmt hat.

Führen Täter nach einer Kontoübernahme selbst Überweisungen aus, ohne dass der Kontoinhaber den jeweiligen Zahlungen zugestimmt hat, können unautorisierte Zahlungsvorgänge vorliegen.

Für solche Fälle enthält § 675u BGB eine wichtige Regelung: Der Zahlungsdienstleister hat bei einem nicht autorisierten Zahlungsvorgang grundsätzlich keinen Anspruch auf Erstattung seiner Aufwendungen. Wurde das Konto bereits belastet, muss der Zahlungsbetrag grundsätzlich erstattet und das Konto entsprechend wiederhergestellt werden.

Damit kann bei einer betrügerischen Kontoübernahme ein unmittelbarer Erstattungsanspruch gegen die Bank bestehen.

Ob dieser Anspruch im Ergebnis durchsetzbar ist, hängt allerdings von den Umständen des konkreten Falls und möglichen Gegenansprüchen beziehungsweise Einwendungen ab.

Täter hatten meine Zugangsdaten – ist die Zahlung trotzdem unautorisiert?

Das kann der Fall sein.

Der Besitz oder die Verwendung korrekter Zugangsdaten ist von der rechtlichen Frage zu unterscheiden, ob der Kontoinhaber dem konkreten Zahlungsvorgang zugestimmt hat.

Gerade bei einer vollständigen Kontoübernahme können Täter möglicherweise unter dem Namen des Geschädigten auftreten und technische Sicherheitsverfahren verwenden.

Das bedeutet nicht automatisch, dass der Geschädigte selbst die Zahlungen veranlasst oder autorisiert hat.

Deshalb sollte genau untersucht werden, wer die streitigen Zahlungsvorgänge ausgelöst hat und wie deren Authentifizierung erfolgte.

Was gilt, wenn ein neues Gerät registriert wurde?

Bei einer Kontoübernahme kann die Registrierung oder Aktivierung eines unbekannten Geräts ein wichtiger Teil des Angriffs sein.

Abhängig vom jeweiligen Banksystem kann deshalb zu klären sein:

Wann wurde das Gerät registriert? Mit welchem Verfahren wurde die Registrierung bestätigt? Welche Sicherheitsinformationen waren dafür erforderlich? Welche Mitteilungen erhielt der Kunde? Und welche Zahlungen wurden anschließend über dieses Gerät veranlasst?

Eine zeitliche Verbindung zwischen einer unbekannten Geräteregistrierung und den späteren Überweisungen kann für die Rekonstruktion des Angriffs von Bedeutung sein.

Entsprechende Informationen sollten deshalb möglichst früh gesichert werden.

Identitätsdiebstahl durch Phishing und Smishing

Viele Kontoübernahmen beginnen mit Phishing oder Smishing.

Der Geschädigte erhält beispielsweise eine täuschend echte Nachricht seiner Bank und wird auf eine gefälschte Website geleitet.

Dort eingegebene Zugangsdaten können von den Tätern abgegriffen werden.

In komplexeren Angriffen folgen anschließend weitere Schritte. Die Täter rufen beispielsweise als angebliche Bankmitarbeiter an oder versuchen, zusätzliche Sicherheitsinformationen zu erlangen.

Für die Haftungsfrage sollte deshalb nicht nur die erste Phishing-Nachricht betrachtet werden. Entscheidend ist die vollständige Kette vom Diebstahl der Daten bis zum Abfluss des Geldes.

Kontoübernahme durch SIM-Swapping

Eine weitere Angriffsmethode ist SIM-Swapping.

Dabei versuchen Täter, die Mobilfunknummer des Geschädigten zu übernehmen. Dadurch können sie je nach eingesetzten Verfahren möglicherweise SMS empfangen oder bestimmte Wiederherstellungsprozesse beeinflussen.

Eine übernommene Mobilfunknummer kann deshalb Teil einer umfassenden Identitätsübernahme sein.

Bei einem solchen Fall sollten die zeitlichen Daten des Mobilfunkanbieters mit den Bankprotokollen und Zahlungsvorgängen abgeglichen werden.

So kann beispielsweise relevant sein, ob unmittelbar nach einer unbekannten SIM-Aktivierung Veränderungen im Online-Banking oder nicht autorisierte Zahlungen auftraten.

Kontoübernahme durch Fernzugriff auf den Computer

Auch ein Betrug mit Fernwartungssoftware kann zu einer Kontoübernahme führen.

Täter geben sich beispielsweise als Mitarbeiter einer Bank oder eines Technologieunternehmens aus und bringen den Geschädigten dazu, Fernzugriff auf seinen Computer zu gewähren.

Anschließend können sie versuchen, Zugangsdaten auszuspähen oder Vorgänge im Online-Banking zu manipulieren.

Für die rechtliche Bewertung muss dann genau unterschieden werden:

Welche Handlungen nahm der Täter über den Fernzugriff vor und welche Handlungen nahm der Bankkunde selbst vor?

Diese Abgrenzung kann für Autorisierung und Haftung entscheidend sein.

Was gilt, wenn Täter auch mein E-Mail-Konto übernommen haben?

Das E-Mail-Konto kann eine zentrale Rolle bei einem Identitätsdiebstahl spielen.

Über E-Mail-Adressen laufen häufig Sicherheitsbenachrichtigungen, Passwort-Wiederherstellungen und Kommunikation mit verschiedenen Dienstleistern.

Wurde neben dem Online-Banking auch das E-Mail-Konto übernommen, sollte deshalb untersucht werden, welche weiteren Accounts dadurch gefährdet waren.

Betroffene sollten außerdem prüfen, ob unbekannte Weiterleitungen eingerichtet, Passwörter verändert oder Sicherheitsinformationen manipuliert wurden.

Für die Beweissicherung können vorhandene Login- und Sicherheitsbenachrichtigungen relevant sein.

Was gilt, wenn ich selbst eine pushTAN bestätigt habe?

Nicht jede Kontoübernahme erfolgt vollständig ohne Mitwirkung des Geschädigten.

Täter können den Bankkunden beispielsweise durch einen gefälschten Sicherheitsanruf dazu bringen, eine Freigabe in seiner Banking-App vorzunehmen.

Dann überschneidet sich der Fall mit einem pushTAN- und Freigabebetrug.

Für die rechtliche Bewertung ist insbesondere zu prüfen:

• welchen Vorgang der Kunde tatsächlich bestätigen wollte,
• was ihm in der Banking-App angezeigt wurde,
• welcher Betrag und welcher Empfänger erkennbar waren,
• was die Täter über die Bedeutung der Freigabe behaupteten,
• welcher technische Vorgang tatsächlich freigegeben wurde.

Eine erfolgte Authentifizierung bedeutet nicht ohne Weiteres, dass sämtliche Fragen zur Autorisierung und Haftung geklärt sind.

Kann die Bank grobe Fahrlässigkeit einwenden?

Nach einer Kontoübernahme kann die Bank dem Geschädigten grobe Fahrlässigkeit vorwerfen.

Das geschieht beispielsweise, wenn der Kunde zuvor Zugangsdaten auf einer gefälschten Website eingegeben, Sicherheitsinformationen weitergegeben oder eine Freigabe vorgenommen hat.

Ob daraus tatsächlich eine grob fahrlässige Pflichtverletzung folgt, muss jedoch anhand des konkreten Sachverhalts beurteilt werden.

Relevant können unter anderem sein:

• Art und Professionalität der Täuschung,
• konkrete Sicherheitswarnungen,
• Gestaltung der gefälschten Bankseite,
• Verhalten eines angeblichen Bankmitarbeiters,
• angezeigte Informationen bei einer Freigabe,
• zeitlicher und psychologischer Druck,
• Art der preisgegebenen Daten,
• konkrete Sicherheitsvorgaben der Bank.

Nicht jeder erfolgreiche Identitätsdiebstahl beweist automatisch ein grob fahrlässiges Verhalten des Geschädigten.

Der Einwand grober Fahrlässigkeit sollte deshalb bei erheblichen Schäden genau geprüft werden.

Was muss die Bank bei einer Kontoübernahme beweisen?

Bestreitet der Bankkunde die Autorisierung der streitigen Zahlungen, gelten besondere Regeln zur Beweislast.

Nach § 675w BGB muss der Zahlungsdienstleister grundsätzlich nachweisen, dass eine Authentifizierung erfolgt ist und der Zahlungsvorgang ordnungsgemäß aufgezeichnet und verbucht sowie nicht durch eine technische oder sonstige Störung beeinträchtigt wurde.

Von besonderer Bedeutung ist dabei, dass die aufgezeichnete Nutzung eines Zahlungsinstruments für sich genommen grundsätzlich nicht zwingend als Nachweis dafür ausreicht, dass der Zahler den Zahlungsvorgang autorisiert oder seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat.

Bei einer Kontoübernahme können deshalb die Bankprotokolle und Authentifizierungsdaten besonders wichtig werden.

Welche Bankprotokolle können bei Identitätsdiebstahl wichtig sein?

Eine vollständige Kontoübernahme hinterlässt möglicherweise mehrere technische Ereignisse.

Je nach Angriff und Banksystem können insbesondere Informationen relevant sein über:

• Login- und Authentifizierungszeitpunkte,
• Registrierung neuer Geräte,
• Änderungen von Kontaktdaten,
• Änderungen von Sicherheitsverfahren,
• Zeitpunkt und Inhalt von Zahlungsaufträgen,
• TAN- und App-Freigaben,
• sonstige sicherheitsrelevante Vorgänge.

Nicht jede Bank verfügt über dieselben Daten und nicht jede Information ist für jeden Fall relevant.

Entscheidend ist, diejenigen technischen Informationen zu identifizieren, mit denen sich Angriff, Kontoübernahme und einzelne Zahlungsvorgänge zeitlich rekonstruieren lassen.

Was tun bei Kontoübernahme und Identitätsdiebstahl?

Wird eine Kontoübernahme erkannt, geht es nicht nur darum, weitere Banktransaktionen zu verhindern. Häufig müssen mehrere kompromittierte Zugänge gleichzeitig abgesichert werden.

Wichtige Sofortmaßnahmen und Maßnahmen zur Beweissicherung sind:

1. Bank unverzüglich kontaktieren: Lassen Sie das Online-Banking und gegebenenfalls Zahlungskarten sperren.
2. Überweisungsrückruf verlangen: Bei bereits ausgeführten Zahlungen sollte sofort eine Rückholung versucht werden.
3. E-Mail-Konto absichern: Ändern Sie Zugangsdaten von einem vertrauenswürdigen Gerät und überprüfen Sie Sicherheitseinstellungen.
4. Mobilfunknummer prüfen: Bei unerklärlichem Netzausfall sollte ein mögliches SIM-Swapping ausgeschlossen werden.
5. Weitere Konten kontrollieren: Prüfen Sie wichtige Dienste auf unbekannte Logins oder Passwortänderungen.
6. Beweise sichern: Speichern Sie E-Mails, SMS, Sicherheitsmeldungen, Screenshots und Kontoauszüge.
7. Chronologie erstellen: Dokumentieren Sie den zeitlichen Ablauf möglichst genau.
8. Strafanzeige erstatten: Bewahren Sie Aktenzeichen und Unterlagen auf.

Bei einem umfangreichen Identitätsdiebstahl sollte zusätzlich geprüft werden, welche weiteren Dienste und Vertragspartner betroffen sind.

Warum ist Beweissicherung bei einer Kontoübernahme besonders wichtig?

Eine Kontoübernahme kann aus zahlreichen einzelnen Schritten bestehen.

Vielleicht begann der Angriff mehrere Tage zuvor mit einer Phishing-Mail. Danach wurde ein E-Mail-Konto übernommen, später ein neues Banking-Gerät registriert und erst anschließend wurden Überweisungen ausgeführt.

Wer nur die abschließenden Kontobewegungen betrachtet, sieht möglicherweise lediglich einen kleinen Teil des Angriffs.

Deshalb sollte möglichst früh eine chronologische Angriffskette erstellt werden.

Darin sollten sämtliche verdächtigen Ereignisse mit Datum und Uhrzeit festgehalten werden.

Das kann später helfen, technische Daten der Bank, des Mobilfunkanbieters und anderer Dienste miteinander abzugleichen.

Welche Unterlagen sollten Geschädigte sichern?

Für eine anwaltliche Prüfung sind insbesondere folgende Unterlagen hilfreich:

• Kontoauszüge mit sämtlichen streitigen Zahlungen,
• Schriftverkehr und Ablehnungsschreiben der Bank,
• Phishing-E-Mails und SMS,
• Sicherheits- und Login-Benachrichtigungen,
• Informationen über unbekannte Geräte,
• Nachrichten über Passwort- oder Kontaktdatenänderungen,
• Unterlagen des Mobilfunkanbieters bei einem möglichen SIM-Swap,
• Screenshots aus Banking- und Authentifizierungs-Apps,
• Strafanzeige und Aktenzeichen,
• eine detaillierte Chronologie des Angriffs.

Wichtig ist insbesondere, nicht nur die eigentlichen Überweisungen zu dokumentieren, sondern auch die Ereignisse unmittelbar vor der Kontoübernahme.

Bank lehnt Erstattung nach Identitätsdiebstahl ab – was tun?

Lehnt die Bank eine Erstattung ab, sollte ihre Begründung mit dem tatsächlichen Angriff abgeglichen werden.

Bei einem erheblichen Schaden sind insbesondere folgende Fragen zu prüfen:

Welche Zahlungen stuft die Bank als autorisiert ein? Wie begründet sie diese Einordnung? Welche Authentifizierungsdaten liegen vor? Wurde ein neues Gerät registriert? Wann erfolgte die Kontoübernahme? Welche konkrete Pflichtverletzung wirft die Bank dem Kunden vor? Warum soll diese grob fahrlässig gewesen sein?

Eine pauschale Berufung auf die Verwendung korrekter Zugangsdaten oder Sicherheitsmerkmale beantwortet nicht automatisch sämtliche Haftungsfragen.

Gerade bei einer komplexen Kontoübernahme kann deshalb eine detaillierte technische und rechtliche Rekonstruktion erforderlich sein.

Kontoübernahme oder autorisierter Überweisungsbetrug?

Nicht jeder Identitätsbetrug führt zu einer nicht autorisierten Zahlung.

In manchen Fällen täuschen Täter den Bankkunden so, dass dieser selbst eine Überweisung an ein betrügerisches Konto veranlasst. Dann kann ein autorisierter Überweisungsbetrug vorliegen.

Bei einer klassischen Kontoübernahme führen dagegen die Täter selbst Zahlungsvorgänge aus, ohne dass der Kontoinhaber diesen zustimmt.

Die Unterscheidung kann erhebliche Auswirkungen auf die Anspruchsgrundlagen haben.

Deshalb ist eine der wichtigsten Fragen jedes Falls:

Wer hat die konkrete Überweisung veranlasst und welchem Zahlungsvorgang hat der Kontoinhaber tatsächlich zugestimmt?

Können weitere Unternehmen für den Identitätsdiebstahl haften?

Eine Kontoübernahme kann mehrere Systeme und Dienstleister betreffen.

Neben der kontoführenden Bank können je nach Angriff beispielsweise ein Mobilfunkanbieter oder andere Beteiligte eine Rolle spielen. Wird gestohlenes Geld auf ein Konto bei einem anderen Institut transferiert, kann in besonderen Konstellationen auch die Haftung einer Empfängerbank zu untersuchen sein.

Daraus folgt nicht automatisch, dass jeder beteiligte Dienstleister für den Schaden haftet.

Bei erheblichen Schäden kann es jedoch sinnvoll sein, die Anspruchsprüfung nicht vorschnell auf einen einzigen möglichen Verantwortlichen zu beschränken.

Wie Fachanwalt Björn-Michael Lange Fälle von Identitätsdiebstahl prüft

Bei einer Kontoübernahme reicht es häufig nicht aus, lediglich die einzelnen Überweisungen zu betrachten. Der gesamte Angriff muss rekonstruiert werden.

Björn-Michael Lange ist Fachanwalt für Bank- und Kapitalmarktrecht und prüft bei erheblichen finanziellen Schäden insbesondere:

• wie die Täter die Kontrolle über das Konto erlangten,
• ob die streitigen Zahlungen autorisiert waren,
• welche Erstattungsansprüche gegen die Bank bestehen,
• welche Authentifizierungsverfahren eingesetzt wurden,
• ob unbekannte Geräte oder Sicherheitsverfahren aktiviert wurden,
• welche Bankprotokolle den Angriff dokumentieren,
• ob der Vorwurf grober Fahrlässigkeit rechtlich trägt,
• ob weitere Anspruchsgegner in Betracht kommen.

Auf dieser Grundlage kann beurteilt werden, wer für den durch die Kontoübernahme entstandenen Schaden rechtlich einzustehen hat.

Bankkonto durch Identitätsdiebstahl übernommen? Ansprüche prüfen

Wenn Täter Ihre Identität missbraucht und die Kontrolle über Ihr Online-Banking erlangt haben, sollte die Haftungsfrage nicht allein danach beurteilt werden, ob bei den späteren Zahlungen scheinbar korrekte Zugangsdaten verwendet wurden.

Entscheidend ist, wer die Zahlungen tatsächlich veranlasst und autorisiert hat.

Bei unautorisierten Zahlungen können gesetzliche Erstattungsansprüche gegen die Bank bestehen. Gleichzeitig können Authentifizierungsdaten, Bankprotokolle, unbekannte Geräteregistrierungen und die zeitliche Rekonstruktion des Identitätsdiebstahls entscheidend sein.

Auch der häufig erhobene Vorwurf grober Fahrlässigkeit muss anhand des konkreten Angriffs geprüft werden.

Fachanwalt Björn-Michael Lange prüft Fälle von Kontoübernahme und Identitätsdiebstahl mit erheblichen finanziellen Schäden und unterstützt Geschädigte bei der Durchsetzung berechtigter Ansprüche gegen Banken und weitere Verantwortliche.

Lassen Sie prüfen, wer für Ihren finanziellen Schaden nach Kontoübernahme und Identitätsdiebstahl haftet.