Vishing: Betrug durch falsche Bankmitarbeiter

Vishing: Wenn der angebliche Bankmitarbeiter ein Betrüger ist

Das Telefon klingelt. Auf dem Display erscheint möglicherweise sogar die Telefonnummer der eigenen Bank. Der Anrufer kennt den Namen des Kunden und vielleicht weitere persönliche Informationen. Er stellt sich als Mitarbeiter der Bank oder ihrer Sicherheitsabteilung vor und warnt vor verdächtigen Überweisungen oder einem angeblichen Angriff auf das Konto.

Jetzt müsse schnell gehandelt werden.

Was wie ein Sicherheitsanruf der Bank wirkt, kann tatsächlich ein professioneller Vishing-Angriff sein. Die Täter versuchen, Bankkunden telefonisch zur Preisgabe von Sicherheitsinformationen, zur Bestätigung von TANs oder zur Ausführung beziehungsweise Freigabe von Zahlungen zu bewegen.

Die finanziellen Folgen können erheblich sein. Nicht selten werden innerhalb kurzer Zeit fünf- oder sogar sechsstellige Beträge vom Konto transferiert.

Für Betroffene stellt sich dann vor allem die Frage: Muss die Bank das durch den Telefonbetrug verlorene Geld erstatten?

Die Antwort hängt maßgeblich davon ab, wie die Zahlungen zustande gekommen sind, ob sie tatsächlich autorisiert wurden und ob dem Kunden grobe Fahrlässigkeit vorzuwerfen ist.

Björn-Michael Lange, Fachanwalt für Bank- und Kapitalmarktrecht, vertritt Geschädigte bei erheblichen Schäden durch Vishing und andere Formen des Online-Banking-Betrugs.

Was bedeutet Vishing?

Der Begriff Vishing setzt sich aus „Voice“ und „Phishing“ zusammen. Gemeint ist eine Betrugsform, bei der Kriminelle ihre Opfer insbesondere telefonisch täuschen.

Im Bereich des Online-Bankings geben sich Täter häufig als Bankmitarbeiter aus.

Das Ziel des Gesprächs kann beispielsweise darin bestehen, den Bankkunden dazu zu bewegen,

• Zugangsdaten preiszugeben,
• Sicherheitsinformationen zu nennen,
• eine TAN mitzuteilen,
• eine Freigabe in der Banking-App vorzunehmen,
• ein neues Gerät oder Sicherheitsverfahren zu bestätigen,
• eine Überweisung selbst auszuführen.

Vishing ist damit weniger eine bestimmte technische Angriffsmethode als eine gezielte Manipulation des Bankkunden durch ein Telefongespräch.

Wie läuft der Betrug durch falsche Bankmitarbeiter ab?

Die Täter arbeiten häufig mit einem bewusst erzeugten Gefühl der Dringlichkeit.

Der angebliche Bankmitarbeiter erklärt beispielsweise, dass gerade eine verdächtige Zahlung festgestellt worden sei. Ein Fremder habe Zugriff auf das Konto. Es seien Überweisungen ins Ausland veranlasst worden. Das Konto müsse sofort geschützt werden.

Der Geschädigte glaubt deshalb möglicherweise, mit der Bank gemeinsam einen Betrug zu verhindern, obwohl er tatsächlich mit den Tätern spricht.

Ein typischer Ablauf kann so aussehen:

1. Der Kunde erhält einen Anruf des angeblichen Bankmitarbeiters.
2. Der Täter nennt persönliche Daten oder Informationen zur Bankverbindung, um Vertrauen zu schaffen.
3. Er behauptet, es gebe einen akuten Sicherheitsvorfall.
4. Der Kunde wird aufgefordert, bestimmte Daten zu nennen oder eine Banking-App zu öffnen.
5. Es erscheinen TAN- oder Freigabeaufforderungen.
6. Der Täter erklärt diese als notwendige Sicherheitsmaßnahmen.
7. Tatsächlich werden Zahlungen oder andere sicherheitsrelevante Vorgänge ausgeführt.

Gerade diese Kombination aus glaubwürdigem Auftreten, vorhandenen persönlichen Informationen und massivem Zeitdruck kann Vishing besonders überzeugend machen.

Warum kennt der falsche Bankmitarbeiter persönliche Daten?

Viele Geschädigte berichten, dass der Anrufer bereits erstaunlich viele Informationen kannte.

Das kann die Täuschung erheblich verstärken.

Woher solche Daten stammen, lässt sich nicht in jedem Fall feststellen. Denkbar sind beispielsweise Informationen aus früheren Phishing- oder Smishing-Angriffen, Datenlecks oder anderen Quellen.

Teilweise beginnt der Angriff deshalb bereits vor dem Telefonat.

Der Kunde erhält beispielsweise zunächst eine SMS oder E-Mail. Anschließend folgt der Anruf eines vermeintlichen Bankmitarbeiters. Die verschiedenen Kommunikationswege vermitteln den Eindruck eines echten Sicherheitsprozesses.

Für die rechtliche Bewertung sollte deshalb der gesamte Ablauf des Angriffs dokumentiert werden – nicht nur das abschließende Telefongespräch.

Kann die Telefonnummer der Bank im Display gefälscht sein?

Eine bekannte Telefonnummer im Display ist kein verlässlicher Beweis dafür, dass tatsächlich die eigene Bank anruft.

Bei betrügerischen Anrufen können technische Verfahren eingesetzt werden, durch die beim Angerufenen eine andere Rufnummer angezeigt wird.

Für Bankkunden kann dies besonders überzeugend wirken: Das Smartphone zeigt scheinbar genau die Nummer an, die sie von ihrer Bank kennen oder gespeichert haben.

Bei der späteren rechtlichen Bewertung sollte deshalb nicht vorschnell argumentiert werden, der Kunde hätte den Betrug allein anhand der angezeigten Telefonnummer erkennen müssen.

Entscheidend ist vielmehr die Gesamtheit der Umstände.

Muss die Bank nach einem Vishing-Angriff das Geld zurückzahlen?

Die zentrale rechtliche Frage lautet zunächst: Hat der Bankkunde dem konkreten Zahlungsvorgang zugestimmt?

Nach § 675j BGB setzt die Wirksamkeit eines Zahlungsvorgangs gegenüber dem Zahler grundsätzlich dessen Zustimmung voraus.

Fehlt diese Zustimmung, kann eine nicht autorisierte Zahlung vorliegen.

Für solche Zahlungsvorgänge enthält § 675u BGB eine wichtige Regelung: Bei einem nicht autorisierten Zahlungsvorgang hat der Zahlungsdienstleister grundsätzlich keinen Anspruch auf Erstattung seiner Aufwendungen. Wurde das Konto bereits belastet, muss der Zahlungsbetrag grundsätzlich erstattet und das Konto entsprechend wiederhergestellt werden.

Ob ein solcher Erstattungsanspruch besteht, hängt jedoch davon ab, wie das Geld im konkreten Vishing-Fall vom Konto abgeflossen ist.

Unautorisierte Zahlung nach Vishing

Ein wichtiger Fall liegt vor, wenn die Täter selbst Zahlungen ausführen, ohne dass der Kontoinhaber dem jeweiligen Zahlungsvorgang zugestimmt hat.

Beispielsweise können die Täter versuchen, über zuvor erlangte Zugangsdaten Zugriff auf das Online-Banking zu erhalten und anschließend Überweisungen zu veranlassen.

Dann steht insbesondere der Anspruch wegen unautorisierter Zahlungen im Mittelpunkt.

Dass die Täter dabei korrekte Zugangsdaten oder Sicherheitsmerkmale verwendet haben, bedeutet nicht automatisch, dass der Kontoinhaber die konkrete Zahlung autorisiert hat.

Gerade bei dieser Konstellation können die gesetzlichen Regeln zur Beweislast und zu den Bankprotokollen von erheblicher Bedeutung sein.

Was gilt, wenn ich dem Betrüger eine TAN genannt habe?

Besonders schwierig erscheinen vielen Geschädigten Fälle, in denen sie während des Telefonats selbst eine TAN genannt haben.

Auch dann sollte die Haftungsfrage nicht vorschnell beantwortet werden.

Rechtlich können verschiedene Fragen voneinander zu unterscheiden sein:

• Welcher konkrete Zahlungsvorgang wurde ausgeführt?
• Was wurde dem Bankkunden über die Bedeutung der TAN erklärt?
• Welche Informationen waren für ihn erkennbar?
• Hat er dem konkreten Zahlungsvorgang zugestimmt?
• Welche Sicherheitshinweise wurden angezeigt?
• Welche Pflichten hat der Kunde verletzt?
• War eine Pflichtverletzung tatsächlich grob fahrlässig?

Die Weitergabe einer TAN kann für die rechtliche Bewertung sehr relevant sein. Sie ersetzt aber nicht die Prüfung des vollständigen Sachverhalts.

Was gilt, wenn ich eine pushTAN selbst bestätigt habe?

Vishing-Angriffe werden häufig mit einem pushTAN- und Freigabebetrug kombiniert.

Der vermeintliche Bankmitarbeiter behauptet beispielsweise, eine betrügerische Überweisung müsse storniert werden. Dazu solle der Kunde einen Vorgang in seiner Banking-App bestätigen.

Tatsächlich kann die Freigabe einem anderen Zweck dienen.

Bei der rechtlichen Prüfung ist dann insbesondere relevant, was auf dem Smartphone angezeigt wurde und welchem Vorgang der Kunde tatsächlich zustimmen wollte.

Es sollte möglichst genau rekonstruiert werden:

• Welche Informationen erschienen in der App?
• Wurde ein Betrag angezeigt?
• War eine Empfänger-IBAN sichtbar?
• Wurde ein Zahlungsempfänger genannt?
• Welche Erklärung gab der angebliche Bankmitarbeiter?
• Wurden mehrere Freigaben verlangt?
• Welche Zahlung folgte auf welche Freigabe?

Diese Details können sowohl für die Autorisierung als auch für die Frage grober Fahrlässigkeit entscheidend sein.

Was ist der Unterschied zwischen Vishing und Phishing?

Bei Phishing und Smishing erfolgt die Täuschung häufig zunächst schriftlich, beispielsweise über eine E-Mail, SMS oder eine gefälschte Bankwebsite.

Beim Vishing steht dagegen der telefonische Kontakt im Mittelpunkt.

In der Praxis lassen sich die Betrugsformen allerdings nicht immer klar voneinander trennen. Professionelle Täter kombinieren mehrere Angriffsmethoden.

So kann ein Angriff mit einer SMS beginnen, auf einer gefälschten Bankseite fortgesetzt werden und schließlich in einem Anruf des angeblichen Bankmitarbeiters münden.

Für die Anspruchsdurchsetzung ist deshalb nicht die Bezeichnung der Betrugsmasche entscheidend, sondern die Frage, wie der konkrete Zahlungsvorgang zustande gekommen ist.

Wann haftet der Kunde wegen grober Fahrlässigkeit?

Nach einem Vishing-Schaden berufen sich Banken häufig auf grobe Fahrlässigkeit des Bankkunden.

Die Bank kann beispielsweise argumentieren, der Kunde habe Sicherheitsmerkmale weitergegeben, eine TAN genannt, eine Freigabe bestätigt oder Warnhinweise nicht beachtet.

Nicht jeder Fehler eines Bankkunden ist jedoch automatisch grob fahrlässig.

Die rechtliche Bewertung hängt von den konkreten Umständen des Einzelfalls ab.

Bei einem Vishing-Fall können unter anderem folgende Aspekte relevant sein:

• Wie professionell trat der angebliche Bankmitarbeiter auf?
• Welche persönlichen Daten kannte der Täter?
• Welche Telefonnummer wurde angezeigt?
• Welche konkrete Geschichte wurde dem Kunden erzählt?
• Wurde erheblicher Zeitdruck erzeugt?
• Welche Warnhinweise gab es?
• Welche Informationen wurden bei einer Freigabe angezeigt?
• Welche konkreten Handlungen nahm der Kunde vor?

Der Einwand grober Fahrlässigkeit sollte daher insbesondere bei hohen Schäden anhand des vollständigen Betrugsablaufs geprüft werden.

Wer muss Autorisierung und grobe Fahrlässigkeit beweisen?

Bei streitigen Zahlungsvorgängen spielt die Beweislast eine zentrale Rolle.

Bestreitet der Bankkunde die Autorisierung, muss sein Zahlungsdienstleister nach § 675w BGB grundsätzlich nachweisen, dass eine Authentifizierung erfolgt ist und der Zahlungsvorgang ordnungsgemäß aufgezeichnet und verbucht sowie nicht durch eine technische oder sonstige Störung beeinträchtigt wurde.

Besonders wichtig ist: Die aufgezeichnete Nutzung eines Zahlungsinstruments reicht für sich genommen grundsätzlich nicht zwingend als Nachweis dafür aus, dass der Zahler den Vorgang autorisiert oder seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat.

Bei einem Vishing-Fall kann es deshalb darauf ankommen, welche Bankprotokolle, Authentifizierungsdaten und sonstigen Informationen zum jeweiligen Zahlungsvorgang vorliegen.

Wenn das Opfer selbst Geld überweist

Eine andere rechtliche Ausgangslage kann bestehen, wenn die Täter den Geschädigten dazu bringen, selbst eine Überweisung an ein betrügerisches Konto auszuführen.

Der falsche Bankmitarbeiter kann beispielsweise behaupten, das Guthaben müsse vorübergehend auf ein „Sicherheitskonto“ oder „Schutzkonto“ übertragen werden.

Tatsächlich handelt es sich um ein Konto der Täter oder ihrer Helfer.

In dieser Konstellation kann ein autorisierter Überweisungsbetrug vorliegen: Der Kunde wollte die Überweisung technisch ausführen, wurde aber über deren tatsächlichen Hintergrund getäuscht.

Die Anspruchsprüfung unterscheidet sich dann von einem klassischen Fall der unautorisierten Zahlung.

Deshalb muss bei Vishing immer zunächst geklärt werden: Wer hat die Zahlung veranlasst und welchem konkreten Vorgang hat der Bankkunde zugestimmt?

Vishing mit angeblichem „Sicherheitskonto“

Besondere Vorsicht ist geboten, wenn ein angeblicher Bankmitarbeiter verlangt, Geld auf ein anderes Konto zu transferieren, um es angeblich vor Betrügern zu schützen.

Bankkunden wird beispielsweise erklärt, das bisherige Konto sei kompromittiert. Das Guthaben müsse deshalb kurzfristig auf ein sicheres Konto übertragen werden.

Ein solches Vorgehen kann den Geschädigten dazu bringen, hohe Überweisungen selbst auszuführen.

Rechtlich ist diese Konstellation besonders sorgfältig von einem unautorisierten Zahlungsvorgang abzugrenzen. Gleichzeitig kann zu prüfen sein, ob Ansprüche gegen weitere Beteiligte bestehen und welche Möglichkeiten zur Rückholung des Geldes noch vorhanden sind.

Was tun nach einem Anruf eines falschen Bankmitarbeiters?

Sobald der Betrug erkannt wird, sollte schnell gehandelt werden.

Zu den wichtigsten Sofortmaßnahmen und Maßnahmen zur Beweissicherung gehören:

1. Bank unverzüglich kontaktieren: Nutzen Sie ausschließlich eine selbst recherchierte oder bereits bekannte offizielle Kontaktmöglichkeit.
2. Online-Banking sperren lassen: Gefährdete Zugänge und gegebenenfalls Zahlungskarten sollten gesperrt werden.
3. Überweisungsrückruf verlangen: Bei bereits ausgeführten Überweisungen sollte sofort versucht werden, die Zahlung zurückzurufen.
4. Keine weiteren Freigaben vornehmen: Brechen Sie die Kommunikation mit den mutmaßlichen Tätern ab.
5. Anrufliste sichern: Erstellen Sie Screenshots der angezeigten Telefonnummer und Uhrzeit.
6. Nachrichten aufbewahren: SMS, E-Mails und Messenger-Nachrichten sollten nicht gelöscht werden.
7. Kontobewegungen sichern: Dokumentieren Sie sämtliche verdächtigen Zahlungen.
8. Ablauf schriftlich festhalten: Notieren Sie möglichst zeitnah den Inhalt des Gesprächs und die vorgenommenen Handlungen.
9. Strafanzeige erstatten: Bewahren Sie Aktenzeichen und Unterlagen auf.

Bei hohen Schadenssummen kann schnelles Handeln auch für die mögliche Rückholung oder Sicherung des Geldes entscheidend sein.

Welche Beweise sind nach Vishing besonders wichtig?

Ein Telefongespräch hinterlässt häufig weniger unmittelbar sichtbare Spuren als eine Phishing-E-Mail. Umso wichtiger ist eine zeitnahe Dokumentation.

Betroffene sollten insbesondere sichern:

• Telefonnummer des Anrufers,
• Datum, Uhrzeit und Dauer des Gesprächs,
• Screenshots der Anrufliste,
• Namen oder angebliche Abteilung des Anrufers,
• möglichst genaue Erinnerung an den Gesprächsinhalt,
• begleitende SMS oder E-Mails,
• Screenshots aus der Banking-App,
• Informationen zu TAN- und Freigabevorgängen,
• Kontoauszüge,
• Schriftverkehr mit der Bank,
• Ablehnungsschreiben der Bank,
• Strafanzeige und Aktenzeichen.

Erstellen Sie außerdem möglichst früh ein Gedächtnisprotokoll des Telefonats. Nach einigen Wochen können Einzelheiten, die für die rechtliche Bewertung wichtig sind, schwerer zu rekonstruieren sein.

Bank lehnt Erstattung nach Vishing ab – was tun?

Die Ablehnung durch die Bank bedeutet nicht zwangsläufig, dass keine Ansprüche bestehen.

Bei einem erheblichen Schaden sollte insbesondere untersucht werden, mit welcher konkreten Begründung die Bank eine Erstattung verweigert.

Beruft sie sich auf eine autorisierte Zahlung? Verweist sie lediglich auf die Verwendung einer TAN? Behauptet sie grobe Fahrlässigkeit? Welche Warnhinweise soll der Kunde missachtet haben? Welche technischen Nachweise liegen vor?

Die Argumentation sollte mit dem tatsächlichen Gesprächs- und Zahlungsablauf abgeglichen werden.

Dabei kann insbesondere die Unterscheidung zwischen Authentifizierung und Autorisierung sowie die konkrete Beweisführung der Bank entscheidend sein.

Können auch Ansprüche gegen andere Banken bestehen?

Nach einem erfolgreichen Vishing-Angriff wird das Geld häufig auf Konten bei anderen Kreditinstituten überwiesen und von dort weitergeleitet.

Je nach Sachverhalt kann deshalb neben Ansprüchen gegen die eigene Bank auch die mögliche Haftung einer Empfänger- oder Korrespondenzbank zu untersuchen sein.

Ob solche Ansprüche bestehen, hängt stark vom konkreten Einzelfall ab. Allein der Umstand, dass ein Betrüger ein Konto bei einer anderen Bank verwendet hat, begründet nicht automatisch deren Haftung.

Bei hohen Schadenssummen kann es jedoch sinnvoll sein, nicht ausschließlich die eigene Bank in den Blick zu nehmen.

Welche Unterlagen benötigt der Anwalt nach einem Vishing-Angriff?

Für eine erste rechtliche Prüfung sollte der Betrugsablauf möglichst vollständig dokumentiert werden.

Hilfreich sind insbesondere Kontoauszüge mit den streitigen Zahlungen, Schriftverkehr mit der Bank, Ablehnungsschreiben, Screenshots der Anrufliste, begleitende SMS oder E-Mails, Informationen über TAN- und App-Freigaben sowie die Strafanzeige.

Besonders wichtig ist ein möglichst genaues Gedächtnisprotokoll:

Was sagte der angebliche Bankmitarbeiter? Was sollte angeblich verhindert werden? Welche Handlungen wurden verlangt? Welche Daten wurden genannt? Welche Freigaben wurden vorgenommen? Was wurde dabei auf dem Smartphone angezeigt?

Diese Informationen ermöglichen eine deutlich präzisere rechtliche Rekonstruktion des Angriffs.

Wie Fachanwalt Björn-Michael Lange Vishing-Fälle prüft

Bei einem erheblichen Schaden durch einen falschen Bankmitarbeiter sollte nicht allein gefragt werden, ob der Geschädigte „auf den Betrug hereingefallen“ ist.

Für die Haftungsfrage sind vielmehr der konkrete Zahlungsvorgang und die gesetzlichen Voraussetzungen maßgeblich.

Björn-Michael Lange ist Fachanwalt für Bank- und Kapitalmarktrecht und prüft bei Vishing-Fällen insbesondere:

• ob die Zahlungen autorisiert oder nicht autorisiert waren,
• welche Erstattungsansprüche gegen die Bank bestehen,
• welche TAN- oder App-Freigaben vorgenommen wurden,
• welche Informationen dabei angezeigt wurden,
• welche Bankprotokolle und Authentifizierungsdaten vorhanden sind,
• ob der Vorwurf grober Fahrlässigkeit rechtlich trägt,
• ob weitere Anspruchsgegner in Betracht kommen.

Auf dieser Grundlage kann beurteilt werden, gegen wen Ansprüche bestehen und wie diese durchgesetzt werden können.

Durch falschen Bankmitarbeiter Geld verloren? Ansprüche prüfen lassen

Wer durch Vishing oder einen falschen Bankmitarbeiter einen erheblichen Geldbetrag verloren hat, sollte die Haftungsfrage nicht allein anhand der Betrugsmasche beurteilen.

Entscheidend ist, wie das Geld vom Konto abgeflossen ist.

Bei nicht autorisierten Zahlungen können unmittelbare Erstattungsansprüche gegen die Bank bestehen. Hat der Kunde selbst TANs oder Freigaben verwendet, müssen insbesondere Autorisierung, Authentifizierung und der mögliche Vorwurf grober Fahrlässigkeit geprüft werden. Hat der Geschädigte das Geld selbst an die Täter überwiesen, kann ein autorisierter Überweisungsbetrug vorliegen, der rechtlich anders zu beurteilen ist.

Fachanwalt Björn-Michael Lange prüft Vishing-Fälle mit erheblichen finanziellen Schäden und unterstützt Geschädigte bei der Durchsetzung berechtigter Ansprüche gegen Banken und weitere Verantwortliche.

Lassen Sie prüfen, ob und gegen wen Sie den durch den falschen Bankmitarbeiter verursachten Schaden geltend machen können.