Phishing & Smishing: Geld von der Bank zurückfordern

Phishing oder Smishing: Muss die Bank das Geld zurückzahlen?

Eine SMS kündigt die angebliche Sperrung des Bankkontos an. Eine E-Mail fordert zur Bestätigung eines neuen Sicherheitsverfahrens auf. Der enthaltene Link führt auf eine Website, die dem Online-Banking der eigenen Bank täuschend ähnlich sieht. Kurze Zeit später fehlen mehrere Tausend Euro auf dem Konto.

Phishing und Smishing gehören zu den verbreiteten Methoden, mit denen Kriminelle Zugangsdaten und Sicherheitsinformationen von Bankkunden erlangen. Besonders professionell organisierte Täter kombinieren gefälschte Nachrichten, täuschend echte Bankseiten und psychologischen Druck.

Für Geschädigte ist entscheidend: Ein erfolgreicher Phishing-Angriff bedeutet nicht automatisch, dass der finanzielle Schaden beim Bankkunden verbleibt.

Wurden Zahlungen ohne Zustimmung des Kontoinhabers ausgeführt, können Erstattungsansprüche gegen die Bank bestehen. Häufig kommt es dabei darauf an, ob die Zahlungen tatsächlich autorisiert waren und ob die Bank dem Kunden grobe Fahrlässigkeit nachweisen kann.

Björn-Michael Lange, Fachanwalt für Bank- und Kapitalmarktrecht, vertritt Bankkunden bei erheblichen Schäden durch Phishing, Smishing und andere Formen des Online-Banking-Betrugs.

Was ist Phishing?

Beim Phishing versuchen Täter, sensible Daten unter falscher Identität zu erlangen. Bankkunden erhalten beispielsweise eine Nachricht, die scheinbar von ihrer Bank stammt.

Typische Vorwände sind:

• das Konto müsse dringend verifiziert werden,
• das Online-Banking werde aus Sicherheitsgründen gesperrt,
• eine verdächtige Zahlung müsse bestätigt oder storniert werden,
• ein neues Sicherheitsverfahren müsse aktiviert werden,
• persönliche Daten seien abgelaufen,
• eine neue Banking-App müsse eingerichtet werden.

Über einen Link gelangt das Opfer häufig auf eine gefälschte Bankseite. Gestaltung, Logo, Farben und Eingabemasken können dem echten Internetauftritt der Bank sehr ähnlich sehen.

Gibt der Bankkunde dort seine Zugangsdaten ein, können die Täter diese Informationen abfangen und für weitere Angriffe verwenden.

Was ist Smishing?

Smishing ist eine Form des Phishings über SMS beziehungsweise Textnachrichten. Der Begriff setzt sich aus „SMS“ und „Phishing“ zusammen.

Die Nachrichten sollen häufig einen unmittelbaren Handlungsdruck erzeugen. Beispielsweise wird behauptet:

„Ihr Online-Banking wurde eingeschränkt.“

„Ihr TAN-Verfahren läuft heute ab.“

„Eine verdächtige Überweisung wurde festgestellt.“

„Bestätigen Sie unverzüglich Ihre Identität.“

Der Empfänger soll anschließend einen Link öffnen und auf einer manipulierten Website Daten eingeben.

Gerade auf dem Smartphone können solche Angriffe besonders überzeugend wirken. Die Nachricht wird häufig nur kurz betrachtet, während die gefälschte Website optisch an die mobile Internetseite der Bank angepasst ist.

Wie läuft ein Phishing-Angriff beim Online-Banking ab?

Die Betrugsabläufe unterscheiden sich erheblich. Ein typisches Angriffsszenario kann jedoch mehrere Schritte umfassen:

1. Der Bankkunde erhält eine gefälschte E-Mail oder SMS.
2. Ein Link führt auf eine manipulierte Website.
3. Dort werden Online-Banking-Zugangsdaten abgefragt.
4. Die Täter verwenden die erlangten Informationen für einen Zugriff oder einen weiteren Täuschungsschritt.
5. Unter Umständen wird das Opfer zusätzlich telefonisch kontaktiert.
6. Anschließend werden Zahlungen veranlasst oder Freigaben erschlichen.

Aus einem zunächst einfachen Phishing-Kontakt kann damit ein komplexer Angriff entstehen.

Wird der Geschädigte zusätzlich von einem vermeintlichen Mitarbeiter der Bank angerufen, kann zugleich ein Fall von Vishing beziehungsweise Telefonbetrug vorliegen.

Werden Freigaben über die Banking-App manipuliert oder erschlichen, ist außerdem der pushTAN- und Freigabebetrug rechtlich relevant.

Phishing: Wann muss die Bank das Geld erstatten?

Bei einem Phishing-Schaden sollte zunächst für jede einzelne Zahlung geklärt werden, ob der Kontoinhaber sie autorisiert hat.

Nach § 675j BGB setzt die Wirksamkeit eines Zahlungsvorgangs gegenüber dem Zahler grundsätzlich dessen Zustimmung voraus.

Fehlt diese Zustimmung, handelt es sich grundsätzlich um einen nicht autorisierten Zahlungsvorgang.

Für solche Fälle ist § 675u BGB von zentraler Bedeutung. Danach hat der Zahlungsdienstleister bei einem nicht autorisierten Zahlungsvorgang grundsätzlich keinen Anspruch auf Erstattung seiner Aufwendungen. Wurde das Konto bereits belastet, besteht grundsätzlich eine Pflicht zur Erstattung und zur Wiederherstellung des entsprechenden Kontostands.

Das kann für Phishing-Opfer einen unmittelbaren Anspruch auf Rückzahlung gegen ihre Bank begründen.

Ob dieser Anspruch im Ergebnis durchsetzbar ist, hängt allerdings vom konkreten Fall ab.

Daten preisgegeben – trotzdem Anspruch gegen die Bank?

Ein häufiger Irrtum besteht darin, die Preisgabe von Zugangsdaten mit der Autorisierung einer Zahlung gleichzusetzen.

Beides muss rechtlich getrennt betrachtet werden.

Hat ein Kunde beispielsweise auf einer gefälschten Bankseite seine Zugangsdaten eingegeben, bedeutet das nicht automatisch, dass er einer später von den Tätern ausgeführten Überweisung zugestimmt hat.

Es stellen sich vielmehr mehrere eigenständige Fragen:

• Hat der Kunde den konkreten Zahlungsvorgang autorisiert?
• Wie haben die Täter die Zahlung ausgelöst?
• Welches Authentifizierungsverfahren wurde verwendet?
• Hat der Kunde selbst eine TAN oder App-Freigabe vorgenommen?
• Was wurde ihm bei dieser Freigabe angezeigt?
• Hat er gegen vertragliche Sicherheitsanforderungen verstoßen?
• War ein etwaiger Verstoß tatsächlich grob fahrlässig?

Diese Unterscheidung kann für die Haftung entscheidend sein.

Was gilt, wenn eine TAN oder pushTAN bestätigt wurde?

Besonders genau müssen Fälle geprüft werden, in denen der Kunde während des Betrugs eine TAN eingegeben oder eine Freigabe in seiner Banking-App vorgenommen hat.

Eine technische Authentifizierung beantwortet nicht automatisch sämtliche rechtlichen Fragen.

Zu prüfen ist insbesondere, welcher konkrete Vorgang autorisiert wurde und was der Kunde bei der Freigabe erkennen konnte.

Wurde dem Kunden beispielsweise suggeriert, er bestätige eine Sicherheitsmaßnahme, während tatsächlich ein Zahlungsvorgang freigegeben wurde, muss der gesamte Ablauf rekonstruiert werden.

Gerade beim pushTAN-Betrug können deshalb die angezeigten Freigabeinformationen und die technischen Protokolle der Bank erheblich sein.

Kann die Bank wegen grober Fahrlässigkeit die Zahlung verweigern?

In der Praxis berufen sich Banken nach Phishing-Schäden häufig auf grobe Fahrlässigkeit des Bankkunden.

Typische Vorwürfe lauten etwa, der Kunde habe einen verdächtigen Link geöffnet, Zugangsdaten auf einer fremden Website eingegeben, eine TAN weitergegeben oder einen auffälligen Vorgang in seiner Banking-App bestätigt.

Ein solches Argument bedeutet jedoch nicht automatisch, dass der Kunde seinen Schaden selbst tragen muss.

Grobe Fahrlässigkeit setzt einen besonders schweren Sorgfaltsverstoß voraus. Ob ein solcher vorliegt, muss anhand sämtlicher Umstände des konkreten Falls beurteilt werden.

Relevant können beispielsweise sein:

• Gestaltung und Professionalität der gefälschten Nachricht,
• Qualität der gefälschten Bankwebsite,
• Inhalt der Nachricht,
• konkrete Sicherheitswarnungen,
• Gestaltung des Authentifizierungsprozesses,
• angezeigte Informationen bei einer Freigabe,
• zusätzlicher telefonischer Kontakt durch die Täter,
• zeitlicher und psychologischer Druck,
• individuelle Reaktion des Geschädigten.

Der Einwand grober Fahrlässigkeit sollte daher nicht allein deshalb akzeptiert werden, weil der Angriff durch eine Handlung des Kunden ermöglicht wurde.

Wer muss bei einem Phishing-Fall was beweisen?

Bei der Auseinandersetzung mit der Bank spielen die Beweislast und Bankprotokolle häufig eine zentrale Rolle.

Bestreitet ein Bankkunde, einen Zahlungsvorgang autorisiert zu haben, muss sein Zahlungsdienstleister nach § 675w BGB grundsätzlich nachweisen, dass eine Authentifizierung erfolgt ist und der Vorgang ordnungsgemäß aufgezeichnet und verbucht wurde sowie nicht durch eine technische oder sonstige Störung beeinträchtigt war.

Wichtig ist zudem: Wurde die Nutzung eines Zahlungsinstruments aufgezeichnet, reicht dies für sich genommen grundsätzlich nicht zwingend als Nachweis dafür aus, dass der Zahler den Vorgang autorisiert, betrügerisch gehandelt oder bestimmte Pflichten vorsätzlich oder grob fahrlässig verletzt hat.

Deshalb kann es sinnvoll sein, die von der Bank vorgelegten technischen Informationen und die behaupteten Authentifizierungsvorgänge genau zu untersuchen.

Was tun nach Phishing oder Smishing?

Nach einem Angriff zählt zunächst Geschwindigkeit. Neben der rechtlichen Prüfung sollten Betroffene versuchen, weitere Schäden zu verhindern und Beweise zu sichern.

Wichtige Sofortmaßnahmen und Beweissicherungen sind:

1. Bank unverzüglich kontaktieren: Melden Sie die verdächtigen Zahlungen und den Phishing-Angriff.
2. Zugang sperren lassen: Kompromittierte Online-Banking-Zugänge und gegebenenfalls Karten sollten unverzüglich gesperrt werden.
3. Überweisungsrückruf verlangen: Bei bereits ausgeführten Überweisungen sollte schnellstmöglich geprüft werden, ob eine Rückholung noch möglich ist.
4. Beweise sichern: E-Mails, SMS, Screenshots, Links, Telefonnummern und Anruflisten sollten nicht gelöscht werden.
5. Kontobewegungen dokumentieren: Sichern Sie Kontoauszüge und Informationen zu sämtlichen streitigen Zahlungsvorgängen.
6. Ablauf notieren: Halten Sie möglichst zeitnah fest, was wann passiert ist und welche Angaben oder Freigaben erfolgt sind.
7. Strafanzeige erstatten: Die strafrechtliche Verfolgung und die zivilrechtliche Durchsetzung von Ansprüchen sind voneinander zu unterscheiden.

Bei hohen Schadenssummen kann schnelles Handeln zudem wichtig sein, um Zahlungswege nachzuvollziehen oder weitere Beteiligte zu identifizieren.

Bank lehnt Erstattung nach Phishing ab – was jetzt?

Viele Betroffene wenden sich zunächst selbst an ihre Bank. Diese prüft den Vorgang und teilt anschließend mit, ob sie eine Erstattung vornimmt.

Wird die Erstattung verweigert, sollte das Ablehnungsschreiben genau geprüft werden.

Entscheidend ist insbesondere, warum die Bank eine Haftung ablehnt. Beruft sie sich auf eine Autorisierung? Behauptet sie grobe Fahrlässigkeit? Welche konkreten Handlungen wirft sie dem Kunden vor? Welche technischen Nachweise nennt sie?

Eine pauschale Aussage wie „Sie haben die TAN selbst bestätigt“ oder „Ihre Zugangsdaten wurden verwendet“ ersetzt nicht die rechtliche Prüfung des konkreten Sachverhalts.

Gerade bei erheblichen Schäden kann deshalb eine anwaltliche Prüfung sinnvoll sein, bevor die Argumentation der Bank akzeptiert wird.

Phishing oder autorisierter Überweisungsbetrug?

Nicht jeder Betrugsfall, der mit einer gefälschten Nachricht beginnt, ist rechtlich gleich einzuordnen.

Besonders wichtig ist die Abgrenzung zwischen einer unautorisierten Zahlung und einem autorisierten Überweisungsbetrug.

Beim klassischen Fall einer unautorisierten Zahlung veranlassen Täter den Zahlungsvorgang ohne Zustimmung des Kontoinhabers.

Beim autorisierten Überweisungsbetrug überweist der Geschädigte dagegen selbst Geld, weil er über den Empfänger oder die Hintergründe der Zahlung getäuscht wurde.

Diese Unterscheidung kann die Anspruchsgrundlage und die rechtliche Strategie erheblich beeinflussen.

Deshalb sollte bei einem Phishing-Fall nicht nur gefragt werden, wie die Täter an die Daten gelangt sind, sondern vor allem, wie das Geld letztlich vom Konto abgeflossen ist.

Welche Beweise sollten Phishing-Opfer aufbewahren?

Für die spätere Anspruchsdurchsetzung ist eine möglichst vollständige Dokumentation hilfreich.

Bewahren Sie insbesondere auf:

• die ursprüngliche Phishing-Mail oder SMS,
• Screenshots der Nachricht,
• die verwendete Absenderadresse oder Telefonnummer,
• noch vorhandene Links zur gefälschten Website,
• Screenshots der gefälschten Bankseite,
• Anruflisten und Telefonnummern,
• Kontoauszüge mit den streitigen Zahlungen,
• Mitteilungen aus der Banking-App,
• Schriftverkehr mit der Bank,
• Ablehnungsschreiben der Bank,
• Strafanzeige und Aktenzeichen.

Auch scheinbar nebensächliche Details können später relevant werden. Deshalb sollten digitale Nachrichten möglichst im Original erhalten bleiben.

Wie Fachanwalt Björn-Michael Lange Phishing-Fälle prüft

Bei hohen Schäden genügt es häufig nicht, allein festzustellen, dass ein Phishing-Angriff stattgefunden hat. Entscheidend ist die rechtliche Rekonstruktion des gesamten Zahlungsvorgangs.

Björn-Michael Lange ist Fachanwalt für Bank- und Kapitalmarktrecht und prüft bei Phishing- und Smishing-Fällen insbesondere:

• ob die streitigen Zahlungen autorisiert waren,
• welche Erstattungsansprüche gegen die Bank bestehen,
• welche Authentifizierungsverfahren eingesetzt wurden,
• welche Tatsachen und technischen Daten die Bank nachweisen kann,
• ob der Vorwurf grober Fahrlässigkeit rechtlich trägt,
• ob weitere Anspruchsgegner in Betracht kommen.

Ziel ist es, auf Grundlage des tatsächlichen Betrugsablaufs zu bestimmen, wer den entstandenen finanziellen Schaden rechtlich zu tragen hat.

Geld durch Phishing verloren? Ansprüche gegen die Bank prüfen lassen

Wer durch Phishing, Smishing oder eine gefälschte Bankseite einen erheblichen Geldbetrag verloren hat, sollte eine ablehnende Entscheidung seiner Bank nicht ungeprüft hinnehmen.

Besonders bei unautorisierten Überweisungen bestehen gesetzliche Regelungen, die Bankkunden schützen. Gleichzeitig sind die Abgrenzung zwischen Autorisierung und Authentifizierung, der Vorwurf grober Fahrlässigkeit und die technische Rekonstruktion des Zahlungsvorgangs häufig entscheidend.

Fachanwalt Björn-Michael Lange prüft Phishing-Fälle mit erheblichen finanziellen Schäden und unterstützt Geschädigte bei der Durchsetzung berechtigter Erstattungs- und Schadensersatzansprüche.

Lassen Sie prüfen, ob Ihre Bank den durch Phishing entstandenen Schaden erstatten muss.