Kreditkartenbetrug: Geld zurück bei Missbrauch?

Kreditkartenbetrug: Muss die Bank das Geld zurückzahlen?

Auf der Kreditkartenabrechnung erscheinen plötzlich Zahlungen, die der Karteninhaber nicht kennt. Innerhalb weniger Stunden wurden vielleicht mehrere hohe Beträge abgebucht – über ausländische Händler, Online-Shops oder andere Zahlungsempfänger.

Die Kreditkarte befindet sich möglicherweise sogar noch im eigenen Portemonnaie.

Kreditkartenbetrug setzt längst nicht voraus, dass die physische Karte gestohlen wurde. Für betrügerische Online-Zahlungen können bereits kompromittierte Kartendaten ausreichen. In anderen Fällen werden Karten gestohlen, Sicherheitsverfahren manipuliert oder Karteninhaber durch Phishing und Smishing zur Preisgabe von Informationen verleitet.

Bei größeren Schäden stellt sich schnell die entscheidende Frage: Muss die Bank beziehungsweise der Kartenherausgeber die unberechtigten Kreditkartenumsätze erstatten?

Bei nicht autorisierten Zahlungsvorgängen sieht das Zahlungsdiensterecht grundsätzlich einen Erstattungsanspruch vor. Streit entsteht jedoch häufig darüber, ob die Zahlungen tatsächlich unautorisiert waren oder ob der Karteninhaber seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat.

Björn-Michael Lange, Fachanwalt für Bank- und Kapitalmarktrecht, vertritt Bankkunden bei erheblichen Schäden durch Kreditkartenmissbrauch und andere Formen des Zahlungsbetrugs.

Was ist Kreditkartenmissbrauch?

Von Kreditkartenmissbrauch wird gesprochen, wenn eine Kreditkarte oder deren Daten ohne Berechtigung für Zahlungsvorgänge eingesetzt werden.

Dabei muss die Karte selbst nicht verloren gegangen sein.

Kriminelle können beispielsweise versuchen, Kartennummer, Ablaufdatum oder weitere Zahlungsinformationen zu erlangen und anschließend für Online-Transaktionen einzusetzen.

Kreditkartenmissbrauch kann insbesondere auftreten durch:

• gestohlene Kreditkartendaten,
• Verlust oder Diebstahl der physischen Karte,
• Phishing oder Smishing,
• kompromittierte Händler- oder Kundenkonten,
• manipulierte Zahlungsseiten,
• Übernahme digitaler Accounts,
• missbräuchliche Verwendung von Authentifizierungsverfahren.

Für den Erstattungsanspruch ist jedoch nicht allein entscheidend, wie die Täter an die Daten gelangt sind. Zunächst muss geklärt werden, ob der Karteninhaber der konkreten Zahlung zugestimmt hat.

Kreditkarte gehackt – was ist tatsächlich passiert?

Viele Betroffene suchen nach einem unbekannten Kartenumsatz mit Formulierungen wie „Kreditkarte gehackt“.

Rechtlich und technisch kann sich dahinter jedoch eine Vielzahl unterschiedlicher Vorgänge verbergen.

Möglicherweise wurden lediglich die Kreditkartendaten kompromittiert. Vielleicht wurde ein Kundenkonto bei einem Händler übernommen. In anderen Fällen haben Täter zusätzlich Zugriff auf E-Mail, Mobilfunknummer oder weitere Sicherheitsverfahren erlangt.

Für eine rechtliche Prüfung sollte deshalb möglichst genau geklärt werden:

1. Welche Kreditkartenzahlungen werden bestritten?
2. Befand sich die physische Karte weiterhin beim Karteninhaber?
3. Wann wurde der Missbrauch erstmals bemerkt?
4. Gab es zuvor verdächtige SMS oder E-Mails?
5. Wurde eine Freigabe oder Sicherheitsabfrage angezeigt?
6. Wurden Kartendaten zuvor irgendwo eingegeben?
7. Welche Authentifizierung wurde bei den streitigen Zahlungen verwendet?

Erst aus dem konkreten Ablauf lässt sich ableiten, welche Ansprüche bestehen.

Kreditkarte unberechtigt belastet: Was bedeutet „nicht autorisiert“?

Für die Erstattung unbekannter Kreditkartenumsätze ist die Autorisierung von zentraler Bedeutung.

Nach § 675j BGB ist ein Zahlungsvorgang gegenüber dem Zahler grundsätzlich nur wirksam, wenn dieser ihm zugestimmt hat.

Hat ein Täter die Kreditkartendaten ohne Zustimmung des Karteninhabers verwendet, kann deshalb ein nicht autorisierter Zahlungsvorgang vorliegen.

Das ist von Fällen zu unterscheiden, in denen der Karteninhaber selbst eine Zahlung ausführt, aber beispielsweise über den Empfänger oder den wirtschaftlichen Hintergrund getäuscht wurde.

Die entscheidende Frage lautet deshalb:

Hat der Karteninhaber dem konkreten Kreditkartenumsatz zugestimmt?

Kreditkartenbetrug: Wann gibt es Geld zurück?

Für nicht autorisierte Zahlungsvorgänge enthält § 675u BGB eine zentrale Erstattungsregelung.

Danach hat der Zahlungsdienstleister bei einem nicht autorisierten Zahlungsvorgang grundsätzlich keinen Anspruch auf Erstattung seiner Aufwendungen. Wurde das Konto bereits belastet, muss der Zahlungsbetrag grundsätzlich erstattet und der entsprechende Kontostand wiederhergestellt werden.

Das bedeutet: Werden Kreditkartenzahlungen ohne Zustimmung des Karteninhabers ausgeführt, kann grundsätzlich ein Erstattungsanspruch gegen die Bank beziehungsweise den zuständigen Zahlungsdienstleister bestehen.

Allerdings ist damit nicht jede Haftungsfrage abschließend beantwortet.

Insbesondere kann zu prüfen sein, ob der Zahlungsdienstleister seinerseits einen Schadensersatzanspruch wegen einer vorsätzlichen oder grob fahrlässigen Pflichtverletzung des Kunden geltend machen kann.

Kreditkartendaten gestohlen: Muss der Kunde dafür haften?

Nicht allein deshalb, weil Täter an Kreditkartendaten gelangt sind.

Für die Haftung ist entscheidend, wie die Daten kompromittiert wurden und welche Pflichten der Karteninhaber verletzt haben soll.

Es macht beispielsweise einen Unterschied, ob Daten infolge eines vom Kunden nicht beherrschbaren Angriffs bekannt wurden oder ob ihm im konkreten Fall ein schwerwiegender Verstoß gegen Sicherheitsanforderungen vorgeworfen werden kann.

Bei größeren Schadenssummen sollte deshalb nicht lediglich festgestellt werden, dass die Täter „die richtigen Kreditkartendaten“ kannten.

Es muss geklärt werden, wie sie diese erlangt haben und welche konkreten Handlungen die Bank dem Karteninhaber vorwirft.

Was gilt bei Kreditkartenbetrug durch Phishing?

Auch Phishing und Smishing können zu Kreditkartenmissbrauch führen.

Eine gefälschte Nachricht fordert beispielsweise dazu auf, Zahlungsdaten zu bestätigen, ein angeblich gesperrtes Konto zu entsperren oder eine vermeintliche Sicherheitsprüfung durchzuführen.

Der Link führt auf eine manipulierte Website, auf der Kreditkartendaten oder weitere Sicherheitsinformationen abgefragt werden.

Wer anschließend unbekannte Kartenumsätze feststellt, sollte zwischen zwei Fragen unterscheiden:

Erstens: Hat der Karteninhaber die konkreten späteren Zahlungen autorisiert?

Zweitens: Liegt in der Preisgabe bestimmter Informationen eine Pflichtverletzung, und erreicht diese gegebenenfalls den Grad grober Fahrlässigkeit?

Diese Fragen sollten nicht miteinander vermischt werden.

Was gilt bei Kreditkartenbetrug nach einem Telefonanruf?

Täter können sich auch telefonisch als Bank- oder Kartenmitarbeiter ausgeben.

Bei einem solchen Vishing- oder Telefonbetrug wird beispielsweise behauptet, auf der Kreditkarte seien verdächtige Umsätze festgestellt worden. Zur angeblichen Sperrung oder Stornierung müsse der Kunde bestimmte Informationen nennen oder eine Sicherheitsabfrage bestätigen.

Der Kunde glaubt möglicherweise, einen Betrug zu verhindern, während er tatsächlich den Tätern weitere Informationen liefert.

Für die spätere Haftungsfrage kann der gesamte Gesprächsverlauf relevant sein.

Zu dokumentieren ist insbesondere, welche Informationen der Anrufer bereits kannte, welche Angaben er verlangte und welche konkreten Sicherheitsmeldungen der Karteninhaber erhielt.

Kreditkartenbetrug trotz 3-D Secure

Online-Kreditkartenzahlungen können durch zusätzliche Authentifizierungsverfahren abgesichert sein, die häufig unter dem Begriff 3-D Secure bekannt sind.

Wurde ein streitiger Umsatz mit einem solchen Verfahren authentifiziert, kann dies für die Beweisführung relevant sein.

Es sollte dann insbesondere geklärt werden:

• welches Authentifizierungsverfahren verwendet wurde,
• auf welchem Gerät die Freigabe erfolgte,
• welche Transaktionsinformationen angezeigt wurden,
• welcher Betrag freigegeben werden sollte,
• welcher Händler beziehungsweise Zahlungsempfänger erkennbar war,
• ob der Karteninhaber den Vorgang selbst bestätigt hat.

Auch hier gilt: Authentifizierung und rechtliche Autorisierung sind nicht ohne Weiteres dasselbe.

Der konkrete Vorgang muss betrachtet werden.

Mehrere unbekannte Kreditkartenumsätze: Jede Zahlung einzeln prüfen

Bei größeren Fällen von Kreditkartenmissbrauch werden häufig zahlreiche Transaktionen innerhalb kurzer Zeit ausgeführt.

Dann sollte nicht lediglich die Gesamtsumme betrachtet werden.

Jeder streitige Zahlungsvorgang kann hinsichtlich Zeitpunkt, Empfänger, Betrag und Authentifizierung unterschiedlich sein.

Deshalb sollte eine strukturierte Übersicht erstellt werden, die für jede unbekannte Zahlung mindestens festhält:

• Datum und Uhrzeit,
• Betrag,
• Zahlungsempfänger,
• Währung,
• gegebenenfalls Land,
• verwendetes Authentifizierungsverfahren,
• Zeitpunkt der Meldung an Bank oder Kartenherausgeber.

Gerade bei einer Vielzahl von Transaktionen erleichtert diese Aufstellung die rechtliche und tatsächliche Prüfung erheblich.

Wer haftet bei gestohlener Kreditkarte?

Wurde nicht nur die Kartennummer ausgespäht, sondern die physische Kreditkarte gestohlen, gelten ebenfalls die Regeln über autorisierte und nicht autorisierte Zahlungsvorgänge.

Dabei kann zusätzlich relevant sein, wann der Karteninhaber den Verlust bemerkte und wann die Karte gesperrt wurde.

Auch die Art der streitigen Zahlung kann eine Rolle spielen.

Wurde beispielsweise eine PIN verwendet? Handelte es sich um eine kontaktlose Zahlung? Wurde die Karte im Internet eingesetzt?

Die Verwendung der Originalkarte oder einer korrekten PIN beantwortet nicht automatisch sämtliche Haftungsfragen.

Auch hier muss der konkrete Zahlungsvorgang und eine mögliche Pflichtverletzung des Karteninhabers geprüft werden.

Wann liegt bei Kreditkartenmissbrauch grobe Fahrlässigkeit vor?

Bei der Ablehnung einer Erstattung berufen sich Zahlungsdienstleister häufig auf grobe Fahrlässigkeit.

Ein entsprechender Vorwurf kann beispielsweise auf den Umgang mit Sicherheitsmerkmalen, die Reaktion auf Phishing-Nachrichten oder die Bestätigung bestimmter Authentifizierungsvorgänge gestützt werden.

Grobe Fahrlässigkeit ist jedoch nicht mit jeder einfachen Unachtsamkeit gleichzusetzen.

Für die Bewertung können insbesondere folgende Umstände relevant sein:

• Wie professionell war die Betrugsmasche?
• Welche Sicherheitsinformationen wurden preisgegeben?
• Welche Warnhinweise wurden angezeigt?
• Was war bei einer Freigabe konkret erkennbar?
• Wurde die physische Karte sorgfältig verwahrt?
• Wann wurde der Missbrauch bemerkt?
• Wann wurde die Karte gesperrt?
• Welche Sicherheitsvorgaben galten für das verwendete Verfahren?

Der Einwand grober Fahrlässigkeit muss deshalb anhand des individuellen Falls geprüft werden.

Muss die Bank grobe Fahrlässigkeit beweisen?

Bei einem Streit über nicht autorisierte Kreditkartenzahlungen spielen die gesetzlichen Beweislastregeln eine wichtige Rolle.

Bestreitet der Karteninhaber die Autorisierung, muss der Zahlungsdienstleister nach § 675w BGB grundsätzlich nachweisen, dass eine Authentifizierung erfolgt ist und der Zahlungsvorgang ordnungsgemäß aufgezeichnet und verbucht sowie nicht durch eine technische oder sonstige Störung beeinträchtigt wurde.

Die aufgezeichnete Verwendung eines Zahlungsinstruments reicht für sich genommen grundsätzlich nicht zwingend als Nachweis dafür aus, dass der Zahler den Vorgang autorisiert oder seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat.

Deshalb sollte insbesondere bei erheblichen Schäden geprüft werden, welche konkreten technischen Daten der Zahlungsdienstleister für seine Darstellung heranzieht.

Welche technischen Daten sind bei Kreditkartenbetrug wichtig?

Abhängig von der Art der Zahlung können unterschiedliche Informationen relevant sein.

Dazu können beispielsweise gehören:

• Zeitpunkt der Transaktion,
• Händler und Zahlungsbetrag,
• Art der Kartennutzung,
• verwendetes Authentifizierungsverfahren,
• Daten zu einer zusätzlichen Sicherheitsfreigabe,
• Zeitpunkt einer Kartensperre,
• Informationen über abgelehnte oder weitere versuchte Zahlungen.

Welche Informationen tatsächlich verfügbar und rechtlich relevant sind, hängt vom Einzelfall ab.

Bei größeren Schadenssummen sollte insbesondere geprüft werden, ob sich anhand dieser Daten die Behauptung der Bank zur Autorisierung und Authentifizierung nachvollziehen lässt.

Kreditkartenbetrug sofort melden

Wer unbekannte Kartenumsätze entdeckt, sollte nicht abwarten.

Neben der Begrenzung weiterer Schäden geht es darum, Ansprüche rechtzeitig geltend zu machen und Beweise zu sichern.

Zu den wichtigsten Sofortmaßnahmen und Maßnahmen zur Beweissicherung gehören:

1. Karte sperren: Veranlassen Sie bei fortbestehendem Missbrauch unverzüglich die Sperrung.
2. Unbekannte Umsätze melden: Teilen Sie Bank beziehungsweise Kartenherausgeber konkret mit, welche Zahlungen Sie bestreiten.
3. Weitere Transaktionen prüfen: Kontrollieren Sie aktuelle und frühere Kartenabrechnungen.
4. Beweise sichern: Speichern Sie Abrechnungen, SMS, E-Mails, App-Mitteilungen und Screenshots.
5. Passwörter überprüfen: Bei Verdacht auf eine weitergehende Kontoübernahme sollten verbundene Zugänge abgesichert werden.
6. Ablauf dokumentieren: Halten Sie fest, wann Sie den Missbrauch bemerkt und welche Maßnahmen Sie ergriffen haben.
7. Strafanzeige erstatten: Bei betrügerischen Zahlungen sollte auch eine Anzeige in Betracht gezogen und das Aktenzeichen dokumentiert werden.

Bei hohen Schadenssummen empfiehlt es sich, die streitigen Umsätze zusätzlich in einer übersichtlichen Tabelle zusammenzustellen.

Chargeback und gesetzlicher Erstattungsanspruch – was ist der Unterschied?

Im Zusammenhang mit Kreditkartenzahlungen fällt häufig der Begriff „Chargeback“.

Ein Chargeback ist ein Verfahren innerhalb des Kreditkartenzahlungssystems, mit dem bestimmte Kartenumsätze unter festgelegten Voraussetzungen zurückbelastet werden können.

Davon zu unterscheiden sind gesetzliche Erstattungsansprüche bei nicht autorisierten Zahlungen.

Für Geschädigte ist diese Unterscheidung wichtig: Die Frage, ob ein Chargeback nach den Regeln des jeweiligen Kartensystems möglich ist, ist nicht zwingend identisch mit der Frage, welche gesetzlichen Ansprüche gegen den Zahlungsdienstleister bestehen.

Bei einer rechtlichen Prüfung sollte deshalb nicht ausschließlich darauf abgestellt werden, ob ein Chargeback erfolgreich war oder abgelehnt wurde.

Was gilt, wenn der Händler unbekannt ist?

Auf Kreditkartenabrechnungen erscheinen Händlerbezeichnungen nicht immer unter dem Namen, den der Karteninhaber aus dem Alltag kennt.

Bevor ein Umsatz als betrügerisch eingestuft wird, sollte deshalb zunächst überprüft werden, ob sich hinter der Bezeichnung möglicherweise ein tatsächlich genutzter Händler, Zahlungsdienst oder Abrechnungsname verbirgt.

Besteht danach weiterhin kein Bezug zur Zahlung, sollte der Umsatz gegenüber Bank beziehungsweise Kartenherausgeber bestritten werden.

Bei einer Vielzahl unbekannter Zahlungen sollte jede einzelne Transaktion dokumentiert werden.

Was gilt bei Zahlungen in fremder Währung oder im Ausland?

Betrügerische Kreditkartenumsätze können bei ausländischen Händlern oder in fremden Währungen auftauchen.

Der Auslandsbezug allein entscheidet jedoch nicht darüber, ob eine Zahlung autorisiert war.

Auch hier kommt es darauf an, ob der Karteninhaber der konkreten Transaktion zugestimmt hat.

Bei größeren Schäden können ausländische Händlerbezeichnungen, Währungen und Transaktionszeiten allerdings wichtige Anhaltspunkte für die Rekonstruktion des Missbrauchs liefern.

Kreditkartenmissbrauch nach Kontoübernahme

Manchmal ist der Kreditkartenbetrug lediglich ein Teil eines größeren Angriffs.

Täter können beispielsweise zunächst ein Kunden-, E-Mail- oder Bankkonto übernehmen und anschließend dort hinterlegte Kreditkarteninformationen verwenden.

Dann kann neben dem eigentlichen Kartenmissbrauch eine Kontoübernahme und Identitätsdiebstahl vorliegen.

Betroffene sollten deshalb prüfen, ob ausschließlich die Kreditkarte betroffen ist oder auch andere digitale Konten kompromittiert wurden.

Unbekannte Passwortänderungen, Login-Benachrichtigungen oder neue Geräte können hierfür Hinweise liefern.

Bank verweigert Erstattung bei Kreditkartenbetrug – was tun?

Lehnt die Bank oder der zuständige Zahlungsdienstleister eine Erstattung ab, sollte zunächst die konkrete Begründung geprüft werden.

Von besonderem Interesse sind folgende Fragen:

Behauptet die Bank, der Karteninhaber habe die Zahlung autorisiert? Welche Authentifizierung wurde verwendet? Auf welche technischen Daten stützt sich die Bank? Wird grobe Fahrlässigkeit behauptet? Welche konkrete Handlung soll grob fahrlässig gewesen sein?

Gerade bei größeren Schadenssummen oder einer Vielzahl streitiger Zahlungen sollte die Ablehnung nicht nur pauschal betrachtet werden.

Jede relevante Transaktion und die dazugehörige Authentifizierung können einzeln zu untersuchen sein.

Welche Unterlagen benötigt der Anwalt bei Kreditkartenmissbrauch?

Für eine effiziente rechtliche Prüfung sollten die streitigen Kreditkartenumsätze möglichst strukturiert aufbereitet werden.

Hilfreich sind insbesondere:

• Kreditkartenabrechnungen,
• Kontoauszüge mit den Belastungen,
• Liste sämtlicher bestrittener Transaktionen,
• Schriftverkehr mit Bank oder Kartenherausgeber,
• Ablehnungsschreiben,
• SMS und E-Mails,
• Screenshots von App- oder Sicherheitsmeldungen,
• Informationen zu Authentifizierungsfreigaben,
• Nachweis über Kartensperre beziehungsweise Verlustmeldung,
• Strafanzeige und Aktenzeichen.

Bei zahlreichen Zahlungen empfiehlt sich eine chronologische Tabelle mit Datum, Betrag, Händler und Status der Beanstandung.

Wie Fachanwalt Björn-Michael Lange Kreditkartenbetrug prüft

Bei erheblichen Schäden durch Kreditkartenmissbrauch muss insbesondere geklärt werden, wie die einzelnen Zahlungen zustande gekommen sind.

Björn-Michael Lange ist Fachanwalt für Bank- und Kapitalmarktrecht und prüft insbesondere:

• welche Kreditkartenzahlungen autorisiert oder nicht autorisiert waren,
• welche Erstattungsansprüche gegen die Bank beziehungsweise den Zahlungsdienstleister bestehen,
• welche Authentifizierungsverfahren verwendet wurden,
• ob und wie Sicherheitsmerkmale kompromittiert wurden,
• welche technischen Nachweise vorhanden sind,
• ob der Vorwurf grober Fahrlässigkeit rechtlich trägt,
• ob weitere Ansprüche oder Rückholungsmöglichkeiten bestehen.

Bei einer Vielzahl von Transaktionen wird der Schaden strukturiert aufbereitet, damit jeder relevante Zahlungsvorgang rechtlich eingeordnet werden kann.

Kreditkartenbetrug mit größerem Schaden? Ansprüche prüfen lassen

Wenn Ihre Kreditkarte ohne Ihre Zustimmung mit erheblichen Beträgen belastet wurde, sollten Sie eine Ablehnung der Erstattung nicht allein deshalb akzeptieren, weil bei den Zahlungen korrekte Kartendaten oder Sicherheitsmerkmale verwendet wurden.

Entscheidend ist, ob Sie den konkreten Zahlungsvorgängen tatsächlich zugestimmt haben.

Bei nicht autorisierten Kreditkartenzahlungen können gesetzliche Erstattungsansprüche bestehen. Gleichzeitig muss geprüft werden, welche Authentifizierungsdaten vorliegen und ob der Vorwurf grober Fahrlässigkeit tatsächlich begründet ist.

Das gilt insbesondere bei größeren Schadenssummen, zahlreichen unbekannten Transaktionen oder komplexen Angriffen durch Phishing, Vishing oder Kontoübernahme und Identitätsdiebstahl.

Fachanwalt Björn-Michael Lange prüft Fälle von Kreditkartenbetrug mit erheblichen finanziellen Schäden und unterstützt Geschädigte bei der Durchsetzung berechtigter Ansprüche.

Lassen Sie prüfen, ob Sie das durch Kreditkartenbetrug verlorene Geld von Ihrer Bank beziehungsweise dem zuständiKreditkartenbetrug: Muss die Bank das Geld zurückzahlen?

Auf der Kreditkartenabrechnung erscheinen plötzlich Zahlungen, die der Karteninhaber nicht kennt. Innerhalb weniger Stunden wurden vielleicht mehrere hohe Beträge abgebucht – über ausländische Händler, Online-Shops oder andere Zahlungsempfänger.

Die Kreditkarte befindet sich möglicherweise sogar noch im eigenen Portemonnaie.

Kreditkartenbetrug setzt längst nicht voraus, dass die physische Karte gestohlen wurde. Für betrügerische Online-Zahlungen können bereits kompromittierte Kartendaten ausreichen. In anderen Fällen werden Karten gestohlen, Sicherheitsverfahren manipuliert oder Karteninhaber durch Phishing und Smishing zur Preisgabe von Informationen verleitet.

Bei größeren Schäden stellt sich schnell die entscheidende Frage: Muss die Bank beziehungsweise der Kartenherausgeber die unberechtigten Kreditkartenumsätze erstatten?

Bei nicht autorisierten Zahlungsvorgängen sieht das Zahlungsdiensterecht grundsätzlich einen Erstattungsanspruch vor. Streit entsteht jedoch häufig darüber, ob die Zahlungen tatsächlich unautorisiert waren oder ob der Karteninhaber seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat.

Björn-Michael Lange, Fachanwalt für Bank- und Kapitalmarktrecht, vertritt Bankkunden bei erheblichen Schäden durch Kreditkartenmissbrauch und andere Formen des Zahlungsbetrugs.

Was ist Kreditkartenmissbrauch?

Von Kreditkartenmissbrauch wird gesprochen, wenn eine Kreditkarte oder deren Daten ohne Berechtigung für Zahlungsvorgänge eingesetzt werden.

Dabei muss die Karte selbst nicht verloren gegangen sein.

Kriminelle können beispielsweise versuchen, Kartennummer, Ablaufdatum oder weitere Zahlungsinformationen zu erlangen und anschließend für Online-Transaktionen einzusetzen.

Kreditkartenmissbrauch kann insbesondere auftreten durch:

• gestohlene Kreditkartendaten,
• Verlust oder Diebstahl der physischen Karte,
• Phishing oder Smishing,
• kompromittierte Händler- oder Kundenkonten,
• manipulierte Zahlungsseiten,
• Übernahme digitaler Accounts,
• missbräuchliche Verwendung von Authentifizierungsverfahren.

Für den Erstattungsanspruch ist jedoch nicht allein entscheidend, wie die Täter an die Daten gelangt sind. Zunächst muss geklärt werden, ob der Karteninhaber der konkreten Zahlung zugestimmt hat.

Kreditkarte gehackt – was ist tatsächlich passiert?

Viele Betroffene suchen nach einem unbekannten Kartenumsatz mit Formulierungen wie „Kreditkarte gehackt“.

Rechtlich und technisch kann sich dahinter jedoch eine Vielzahl unterschiedlicher Vorgänge verbergen.

Möglicherweise wurden lediglich die Kreditkartendaten kompromittiert. Vielleicht wurde ein Kundenkonto bei einem Händler übernommen. In anderen Fällen haben Täter zusätzlich Zugriff auf E-Mail, Mobilfunknummer oder weitere Sicherheitsverfahren erlangt.

Für eine rechtliche Prüfung sollte deshalb möglichst genau geklärt werden:

1. Welche Kreditkartenzahlungen werden bestritten?
2. Befand sich die physische Karte weiterhin beim Karteninhaber?
3. Wann wurde der Missbrauch erstmals bemerkt?
4. Gab es zuvor verdächtige SMS oder E-Mails?
5. Wurde eine Freigabe oder Sicherheitsabfrage angezeigt?
6. Wurden Kartendaten zuvor irgendwo eingegeben?
7. Welche Authentifizierung wurde bei den streitigen Zahlungen verwendet?

Erst aus dem konkreten Ablauf lässt sich ableiten, welche Ansprüche bestehen.

Kreditkarte unberechtigt belastet: Was bedeutet „nicht autorisiert“?

Für die Erstattung unbekannter Kreditkartenumsätze ist die Autorisierung von zentraler Bedeutung.

Nach § 675j BGB ist ein Zahlungsvorgang gegenüber dem Zahler grundsätzlich nur wirksam, wenn dieser ihm zugestimmt hat.

Hat ein Täter die Kreditkartendaten ohne Zustimmung des Karteninhabers verwendet, kann deshalb ein nicht autorisierter Zahlungsvorgang vorliegen.

Das ist von Fällen zu unterscheiden, in denen der Karteninhaber selbst eine Zahlung ausführt, aber beispielsweise über den Empfänger oder den wirtschaftlichen Hintergrund getäuscht wurde.

Die entscheidende Frage lautet deshalb:

Hat der Karteninhaber dem konkreten Kreditkartenumsatz zugestimmt?

Kreditkartenbetrug: Wann gibt es Geld zurück?

Für nicht autorisierte Zahlungsvorgänge enthält § 675u BGB eine zentrale Erstattungsregelung.

Danach hat der Zahlungsdienstleister bei einem nicht autorisierten Zahlungsvorgang grundsätzlich keinen Anspruch auf Erstattung seiner Aufwendungen. Wurde das Konto bereits belastet, muss der Zahlungsbetrag grundsätzlich erstattet und der entsprechende Kontostand wiederhergestellt werden.

Das bedeutet: Werden Kreditkartenzahlungen ohne Zustimmung des Karteninhabers ausgeführt, kann grundsätzlich ein Erstattungsanspruch gegen die Bank beziehungsweise den zuständigen Zahlungsdienstleister bestehen.

Allerdings ist damit nicht jede Haftungsfrage abschließend beantwortet.

Insbesondere kann zu prüfen sein, ob der Zahlungsdienstleister seinerseits einen Schadensersatzanspruch wegen einer vorsätzlichen oder grob fahrlässigen Pflichtverletzung des Kunden geltend machen kann.

Kreditkartendaten gestohlen: Muss der Kunde dafür haften?

Nicht allein deshalb, weil Täter an Kreditkartendaten gelangt sind.

Für die Haftung ist entscheidend, wie die Daten kompromittiert wurden und welche Pflichten der Karteninhaber verletzt haben soll.

Es macht beispielsweise einen Unterschied, ob Daten infolge eines vom Kunden nicht beherrschbaren Angriffs bekannt wurden oder ob ihm im konkreten Fall ein schwerwiegender Verstoß gegen Sicherheitsanforderungen vorgeworfen werden kann.

Bei größeren Schadenssummen sollte deshalb nicht lediglich festgestellt werden, dass die Täter „die richtigen Kreditkartendaten“ kannten.

Es muss geklärt werden, wie sie diese erlangt haben und welche konkreten Handlungen die Bank dem Karteninhaber vorwirft.

Was gilt bei Kreditkartenbetrug durch Phishing?

Auch Phishing und Smishing können zu Kreditkartenmissbrauch führen.

Eine gefälschte Nachricht fordert beispielsweise dazu auf, Zahlungsdaten zu bestätigen, ein angeblich gesperrtes Konto zu entsperren oder eine vermeintliche Sicherheitsprüfung durchzuführen.

Der Link führt auf eine manipulierte Website, auf der Kreditkartendaten oder weitere Sicherheitsinformationen abgefragt werden.

Wer anschließend unbekannte Kartenumsätze feststellt, sollte zwischen zwei Fragen unterscheiden:

Erstens: Hat der Karteninhaber die konkreten späteren Zahlungen autorisiert?

Zweitens: Liegt in der Preisgabe bestimmter Informationen eine Pflichtverletzung, und erreicht diese gegebenenfalls den Grad grober Fahrlässigkeit?

Diese Fragen sollten nicht miteinander vermischt werden.

Was gilt bei Kreditkartenbetrug nach einem Telefonanruf?

Täter können sich auch telefonisch als Bank- oder Kartenmitarbeiter ausgeben.

Bei einem solchen Vishing- oder Telefonbetrug wird beispielsweise behauptet, auf der Kreditkarte seien verdächtige Umsätze festgestellt worden. Zur angeblichen Sperrung oder Stornierung müsse der Kunde bestimmte Informationen nennen oder eine Sicherheitsabfrage bestätigen.

Der Kunde glaubt möglicherweise, einen Betrug zu verhindern, während er tatsächlich den Tätern weitere Informationen liefert.

Für die spätere Haftungsfrage kann der gesamte Gesprächsverlauf relevant sein.

Zu dokumentieren ist insbesondere, welche Informationen der Anrufer bereits kannte, welche Angaben er verlangte und welche konkreten Sicherheitsmeldungen der Karteninhaber erhielt.

Kreditkartenbetrug trotz 3-D Secure

Online-Kreditkartenzahlungen können durch zusätzliche Authentifizierungsverfahren abgesichert sein, die häufig unter dem Begriff 3-D Secure bekannt sind.

Wurde ein streitiger Umsatz mit einem solchen Verfahren authentifiziert, kann dies für die Beweisführung relevant sein.

Es sollte dann insbesondere geklärt werden:

• welches Authentifizierungsverfahren verwendet wurde,
• auf welchem Gerät die Freigabe erfolgte,
• welche Transaktionsinformationen angezeigt wurden,
• welcher Betrag freigegeben werden sollte,
• welcher Händler beziehungsweise Zahlungsempfänger erkennbar war,
• ob der Karteninhaber den Vorgang selbst bestätigt hat.

Auch hier gilt: Authentifizierung und rechtliche Autorisierung sind nicht ohne Weiteres dasselbe.

Der konkrete Vorgang muss betrachtet werden.

Mehrere unbekannte Kreditkartenumsätze: Jede Zahlung einzeln prüfen

Bei größeren Fällen von Kreditkartenmissbrauch werden häufig zahlreiche Transaktionen innerhalb kurzer Zeit ausgeführt.

Dann sollte nicht lediglich die Gesamtsumme betrachtet werden.

Jeder streitige Zahlungsvorgang kann hinsichtlich Zeitpunkt, Empfänger, Betrag und Authentifizierung unterschiedlich sein.

Deshalb sollte eine strukturierte Übersicht erstellt werden, die für jede unbekannte Zahlung mindestens festhält:

• Datum und Uhrzeit,
• Betrag,
• Zahlungsempfänger,
• Währung,
• gegebenenfalls Land,
• verwendetes Authentifizierungsverfahren,
• Zeitpunkt der Meldung an Bank oder Kartenherausgeber.

Gerade bei einer Vielzahl von Transaktionen erleichtert diese Aufstellung die rechtliche und tatsächliche Prüfung erheblich.

Wer haftet bei gestohlener Kreditkarte?

Wurde nicht nur die Kartennummer ausgespäht, sondern die physische Kreditkarte gestohlen, gelten ebenfalls die Regeln über autorisierte und nicht autorisierte Zahlungsvorgänge.

Dabei kann zusätzlich relevant sein, wann der Karteninhaber den Verlust bemerkte und wann die Karte gesperrt wurde.

Auch die Art der streitigen Zahlung kann eine Rolle spielen.

Wurde beispielsweise eine PIN verwendet? Handelte es sich um eine kontaktlose Zahlung? Wurde die Karte im Internet eingesetzt?

Die Verwendung der Originalkarte oder einer korrekten PIN beantwortet nicht automatisch sämtliche Haftungsfragen.

Auch hier muss der konkrete Zahlungsvorgang und eine mögliche Pflichtverletzung des Karteninhabers geprüft werden.

Wann liegt bei Kreditkartenmissbrauch grobe Fahrlässigkeit vor?

Bei der Ablehnung einer Erstattung berufen sich Zahlungsdienstleister häufig auf grobe Fahrlässigkeit.

Ein entsprechender Vorwurf kann beispielsweise auf den Umgang mit Sicherheitsmerkmalen, die Reaktion auf Phishing-Nachrichten oder die Bestätigung bestimmter Authentifizierungsvorgänge gestützt werden.

Grobe Fahrlässigkeit ist jedoch nicht mit jeder einfachen Unachtsamkeit gleichzusetzen.

Für die Bewertung können insbesondere folgende Umstände relevant sein:

• Wie professionell war die Betrugsmasche?
• Welche Sicherheitsinformationen wurden preisgegeben?
• Welche Warnhinweise wurden angezeigt?
• Was war bei einer Freigabe konkret erkennbar?
• Wurde die physische Karte sorgfältig verwahrt?
• Wann wurde der Missbrauch bemerkt?
• Wann wurde die Karte gesperrt?
• Welche Sicherheitsvorgaben galten für das verwendete Verfahren?

Der Einwand grober Fahrlässigkeit muss deshalb anhand des individuellen Falls geprüft werden.

Muss die Bank grobe Fahrlässigkeit beweisen?

Bei einem Streit über nicht autorisierte Kreditkartenzahlungen spielen die gesetzlichen Beweislastregeln eine wichtige Rolle.

Bestreitet der Karteninhaber die Autorisierung, muss der Zahlungsdienstleister nach § 675w BGB grundsätzlich nachweisen, dass eine Authentifizierung erfolgt ist und der Zahlungsvorgang ordnungsgemäß aufgezeichnet und verbucht sowie nicht durch eine technische oder sonstige Störung beeinträchtigt wurde.

Die aufgezeichnete Verwendung eines Zahlungsinstruments reicht für sich genommen grundsätzlich nicht zwingend als Nachweis dafür aus, dass der Zahler den Vorgang autorisiert oder seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat.

Deshalb sollte insbesondere bei erheblichen Schäden geprüft werden, welche konkreten technischen Daten der Zahlungsdienstleister für seine Darstellung heranzieht.

Welche technischen Daten sind bei Kreditkartenbetrug wichtig?

Abhängig von der Art der Zahlung können unterschiedliche Informationen relevant sein.

Dazu können beispielsweise gehören:

• Zeitpunkt der Transaktion,
• Händler und Zahlungsbetrag,
• Art der Kartennutzung,
• verwendetes Authentifizierungsverfahren,
• Daten zu einer zusätzlichen Sicherheitsfreigabe,
• Zeitpunkt einer Kartensperre,
• Informationen über abgelehnte oder weitere versuchte Zahlungen.

Welche Informationen tatsächlich verfügbar und rechtlich relevant sind, hängt vom Einzelfall ab.

Bei größeren Schadenssummen sollte insbesondere geprüft werden, ob sich anhand dieser Daten die Behauptung der Bank zur Autorisierung und Authentifizierung nachvollziehen lässt.

Kreditkartenbetrug sofort melden

Wer unbekannte Kartenumsätze entdeckt, sollte nicht abwarten.

Neben der Begrenzung weiterer Schäden geht es darum, Ansprüche rechtzeitig geltend zu machen und Beweise zu sichern.

Zu den wichtigsten Sofortmaßnahmen und Maßnahmen zur Beweissicherung gehören:

1. Karte sperren: Veranlassen Sie bei fortbestehendem Missbrauch unverzüglich die Sperrung.
2. Unbekannte Umsätze melden: Teilen Sie Bank beziehungsweise Kartenherausgeber konkret mit, welche Zahlungen Sie bestreiten.
3. Weitere Transaktionen prüfen: Kontrollieren Sie aktuelle und frühere Kartenabrechnungen.
4. Beweise sichern: Speichern Sie Abrechnungen, SMS, E-Mails, App-Mitteilungen und Screenshots.
5. Passwörter überprüfen: Bei Verdacht auf eine weitergehende Kontoübernahme sollten verbundene Zugänge abgesichert werden.
6. Ablauf dokumentieren: Halten Sie fest, wann Sie den Missbrauch bemerkt und welche Maßnahmen Sie ergriffen haben.
7. Strafanzeige erstatten: Bei betrügerischen Zahlungen sollte auch eine Anzeige in Betracht gezogen und das Aktenzeichen dokumentiert werden.

Bei hohen Schadenssummen empfiehlt es sich, die streitigen Umsätze zusätzlich in einer übersichtlichen Tabelle zusammenzustellen.

Chargeback und gesetzlicher Erstattungsanspruch – was ist der Unterschied?

Im Zusammenhang mit Kreditkartenzahlungen fällt häufig der Begriff „Chargeback“.

Ein Chargeback ist ein Verfahren innerhalb des Kreditkartenzahlungssystems, mit dem bestimmte Kartenumsätze unter festgelegten Voraussetzungen zurückbelastet werden können.

Davon zu unterscheiden sind gesetzliche Erstattungsansprüche bei nicht autorisierten Zahlungen.

Für Geschädigte ist diese Unterscheidung wichtig: Die Frage, ob ein Chargeback nach den Regeln des jeweiligen Kartensystems möglich ist, ist nicht zwingend identisch mit der Frage, welche gesetzlichen Ansprüche gegen den Zahlungsdienstleister bestehen.

Bei einer rechtlichen Prüfung sollte deshalb nicht ausschließlich darauf abgestellt werden, ob ein Chargeback erfolgreich war oder abgelehnt wurde.

Was gilt, wenn der Händler unbekannt ist?

Auf Kreditkartenabrechnungen erscheinen Händlerbezeichnungen nicht immer unter dem Namen, den der Karteninhaber aus dem Alltag kennt.

Bevor ein Umsatz als betrügerisch eingestuft wird, sollte deshalb zunächst überprüft werden, ob sich hinter der Bezeichnung möglicherweise ein tatsächlich genutzter Händler, Zahlungsdienst oder Abrechnungsname verbirgt.

Besteht danach weiterhin kein Bezug zur Zahlung, sollte der Umsatz gegenüber Bank beziehungsweise Kartenherausgeber bestritten werden.

Bei einer Vielzahl unbekannter Zahlungen sollte jede einzelne Transaktion dokumentiert werden.

Was gilt bei Zahlungen in fremder Währung oder im Ausland?

Betrügerische Kreditkartenumsätze können bei ausländischen Händlern oder in fremden Währungen auftauchen.

Der Auslandsbezug allein entscheidet jedoch nicht darüber, ob eine Zahlung autorisiert war.

Auch hier kommt es darauf an, ob der Karteninhaber der konkreten Transaktion zugestimmt hat.

Bei größeren Schäden können ausländische Händlerbezeichnungen, Währungen und Transaktionszeiten allerdings wichtige Anhaltspunkte für die Rekonstruktion des Missbrauchs liefern.

Kreditkartenmissbrauch nach Kontoübernahme

Manchmal ist der Kreditkartenbetrug lediglich ein Teil eines größeren Angriffs.

Täter können beispielsweise zunächst ein Kunden-, E-Mail- oder Bankkonto übernehmen und anschließend dort hinterlegte Kreditkarteninformationen verwenden.

Dann kann neben dem eigentlichen Kartenmissbrauch eine Kontoübernahme und Identitätsdiebstahl vorliegen.

Betroffene sollten deshalb prüfen, ob ausschließlich die Kreditkarte betroffen ist oder auch andere digitale Konten kompromittiert wurden.

Unbekannte Passwortänderungen, Login-Benachrichtigungen oder neue Geräte können hierfür Hinweise liefern.

Bank verweigert Erstattung bei Kreditkartenbetrug – was tun?

Lehnt die Bank oder der zuständige Zahlungsdienstleister eine Erstattung ab, sollte zunächst die konkrete Begründung geprüft werden.

Von besonderem Interesse sind folgende Fragen:

Behauptet die Bank, der Karteninhaber habe die Zahlung autorisiert? Welche Authentifizierung wurde verwendet? Auf welche technischen Daten stützt sich die Bank? Wird grobe Fahrlässigkeit behauptet? Welche konkrete Handlung soll grob fahrlässig gewesen sein?

Gerade bei größeren Schadenssummen oder einer Vielzahl streitiger Zahlungen sollte die Ablehnung nicht nur pauschal betrachtet werden.

Jede relevante Transaktion und die dazugehörige Authentifizierung können einzeln zu untersuchen sein.

Welche Unterlagen benötigt der Anwalt bei Kreditkartenmissbrauch?

Für eine effiziente rechtliche Prüfung sollten die streitigen Kreditkartenumsätze möglichst strukturiert aufbereitet werden.

Hilfreich sind insbesondere:

• Kreditkartenabrechnungen,
• Kontoauszüge mit den Belastungen,
• Liste sämtlicher bestrittener Transaktionen,
• Schriftverkehr mit Bank oder Kartenherausgeber,
• Ablehnungsschreiben,
• SMS und E-Mails,
• Screenshots von App- oder Sicherheitsmeldungen,
• Informationen zu Authentifizierungsfreigaben,
• Nachweis über Kartensperre beziehungsweise Verlustmeldung,
• Strafanzeige und Aktenzeichen.

Bei zahlreichen Zahlungen empfiehlt sich eine chronologische Tabelle mit Datum, Betrag, Händler und Status der Beanstandung.

Wie Fachanwalt Björn-Michael Lange Kreditkartenbetrug prüft

Bei erheblichen Schäden durch Kreditkartenmissbrauch muss insbesondere geklärt werden, wie die einzelnen Zahlungen zustande gekommen sind.

Björn-Michael Lange ist Fachanwalt für Bank- und Kapitalmarktrecht und prüft insbesondere:

• welche Kreditkartenzahlungen autorisiert oder nicht autorisiert waren,
• welche Erstattungsansprüche gegen die Bank beziehungsweise den Zahlungsdienstleister bestehen,
• welche Authentifizierungsverfahren verwendet wurden,
• ob und wie Sicherheitsmerkmale kompromittiert wurden,
• welche technischen Nachweise vorhanden sind,
• ob der Vorwurf grober Fahrlässigkeit rechtlich trägt,
• ob weitere Ansprüche oder Rückholungsmöglichkeiten bestehen.

Bei einer Vielzahl von Transaktionen wird der Schaden strukturiert aufbereitet, damit jeder relevante Zahlungsvorgang rechtlich eingeordnet werden kann.

Kreditkartenbetrug mit größerem Schaden? Ansprüche prüfen lassen

Wenn Ihre Kreditkarte ohne Ihre Zustimmung mit erheblichen Beträgen belastet wurde, sollten Sie eine Ablehnung der Erstattung nicht allein deshalb akzeptieren, weil bei den Zahlungen korrekte Kartendaten oder Sicherheitsmerkmale verwendet wurden.

Entscheidend ist, ob Sie den konkreten Zahlungsvorgängen tatsächlich zugestimmt haben.

Bei nicht autorisierten Kreditkartenzahlungen können gesetzliche Erstattungsansprüche bestehen. Gleichzeitig muss geprüft werden, welche Authentifizierungsdaten vorliegen und ob der Vorwurf grober Fahrlässigkeit tatsächlich begründet ist.

Das gilt insbesondere bei größeren Schadenssummen, zahlreichen unbekannten Transaktionen oder komplexen Angriffen durch Phishing, Vishing oder Kontoübernahme und Identitätsdiebstahl.

Fachanwalt Björn-Michael Lange prüft Fälle von Kreditkartenbetrug mit erheblichen finanziellen Schäden und unterstützt Geschädigte bei der Durchsetzung berechtigter Ansprüche.

Lassen Sie prüfen, ob Sie das durch Kreditkartenbetrug verlorene Geld von Ihrer Bank beziehungsweise dem zuständigen Zahlungsdienstleister zurückfordern können