Wenn Ihre Bank nach photoTAN-Phishing nicht erstattet, sollten Sie den Verlust nicht vorschnell akzeptieren. Sichern Sie Nachrichten, Banking-Verlauf und Ablehnung der Bank, widersprechen Sie schriftlich und verlangen Sie eine nachvollziehbare Begründung. Erst danach entscheidet sich die Rechtsfrage: Die Bank muss nach § 675u BGB erstatten, wenn keine wirksame Autorisierung vorlag; der bloße TAN-Scan beweist nach § 675w BGB noch keine grobe Fahrlässigkeit.
Sie haben nach einem photoTAN-Phishing-Angriff Geld verloren und Ihre Bank verweigert die Erstattung? Dann zählt die 13-Monats-Ausschlussfrist, innerhalb derer Sie Ihren Anspruch noch geltend machen können. Im Folgenden klären wir, wie der typische Angriff abläuft, welche Beweislast die Bank trägt und was Betroffene rechtlich unternehmen können.
Eine Privatperson nutzt ihr Onlinebanking routinemäßig für alltägliche Überweisungen, als eine Nachricht eingeht: das vertraute Logo der Hausbank, ein gewohnter Ton, eine scheinbar plausible Aufforderung zur Geräteregistrierung. Sie folgt dem Link, gibt ihre Zugangsdaten ein und scannt eine photoTAN-Grafik, überzeugt davon, einen internen Sicherheitsprozess zu durchlaufen. Erst beim nächsten Blick auf das Konto wird klar, dass damit eine Überweisung an ein unbekanntes Konto autorisiert wurde. Die Bank verweigert jede Erstattung.
Nach einem photoTAN-Phishing-Angriff stehen Betroffene vor einer doppelten Belastung: Das Geld ist weg, und die Bank lehnt jede Rückerstattung ab. Das Standardargument lautet: Wer Zugangsdaten auf einer fremden Seite eingibt und eine TAN bestätigt, handle grob fahrlässig und trage das Risiko selbst. Das klingt plausibel, entspricht aber nicht zwingend der geltenden Rechtslage.
Der Gesetzgeber hat das Haftungsrisiko für nicht autorisierte Zahlungsvorgänge bewusst dem Zahlungsdienstleister zugewiesen. § 675u BGB verpflichtet die Bank zur vollständigen Erstattung, wenn eine Transaktion ohne wirksame Zustimmung des Kunden ausgelöst wurde. Ob das der Fall ist, ist eine Rechtsfrage, die nicht allein die Bank beantwortet.
Wann haftet die Bank, wann der Kunde? Haftungsverteilung nach PSD2
Was das Gesetz der Bank vorschreibt
§ 675u BGB - Erstattungspflicht bei nicht autorisiertem Zahlungsvorgang
Wurde ein Zahlungsvorgang nicht vom Kontoinhaber autorisiert, muss der Zahlungsdienstleister den Betrag unverzüglich erstatten und das Konto so stellen, als hätte die Belastung nie stattgefunden. Die Wertstellung erfolgt auf den Tag der ursprünglichen Kontobelastung zurück.
Quelle öffnen →Nach § 675j Abs. 1 BGB ist ein Zahlungsvorgang nur dann autorisiert, wenn der Zahler der konkreten Transaktion wirksam zugestimmt hat. Beim photoTAN-Phishing fehlt genau das: Die betroffene Person scannt eine TAN-Grafik, die ihr als Geräteregistrierung oder Sicherheitsprozess präsentiert wird, gibt dabei jedoch tatsächlich eine reale Überweisung an ein fremdes Konto frei. Eine Zustimmung zu diesem Zahlungsauftrag hat sie nie erteilt.
Wie Phishing die Autorisierung technisch untergräbt
Ein klassischer Phishing-Angriff läuft in drei Schritten ab: Eine täuschend echte SMS oder E-Mail bringt die betroffene Person dazu, einen Link zu öffnen. Auf der gefälschten Banking-Seite werden Zugangsdaten abgefangen, während im Hintergrund die echte Banking-Session der Angreifer läuft. Anschließend wird die eingegebene photoTAN für eine Echtzeit-Überweisung eingesetzt, die die Angreifer bereits vorbereitet haben - nicht für die versprochene Registrierung.
Die PSD2, umgesetzt in Art. 73 der Richtlinie 2015/2366/EU, hat das Risiko solcher Konstellationen bewusst dem professionellen Zahlungsdienstleister zugewiesen - nicht dem Kunden. Wer diese Norm kennt, versteht, warum eine pauschale Ablehnung kein abschließendes Wort ist.
Abstufungen der Haftung: Von kein Verschulden bis grobe Fahrlässigkeit
Grobe Fahrlässigkeit setzt voraus, dass jemand die gebotene Sorgfalt in besonders schwerem Maße vernachlässigt - außer Acht lässt, was jedem aufmerksamen Nutzer hätte einleuchten müssen. Das ist ein hoher Maßstab, den eine pauschale Ablehnungsformel nicht von selbst erfüllt.
Was bedeutet grobe Fahrlässigkeit - und wann scheitern Banken damit?
Das erste Bankargument: Link angeklickt bedeutet grob fahrlässig
Moderne Phishing-Angriffe kopieren Layout, Schriftbild und Tonalität der echten Bank bis ins Detail. Gefälschte Websites sind häufig per HTTPS gesichert und zeigen das bekannte Schlosssymbol im Browser. SMS-Nachrichten erscheinen teils in derselben Thread-Ansicht wie echte Bankmitteilungen, weil Absendernamen technisch gefälscht werden können.
In diesen Konstellationen zu behaupten, ein Durchschnittskunde habe den Phishing-Charakter ohne Weiteres erkennen müssen, ist eine rechtliche Behauptung, die einer konkreten Überprüfung standhalten muss. Gerichte wie das OLG Frankfurt (24 U 13/21) haben in vergleichbaren Fällen keine automatische Kundenhaftung angenommen.
Das zweite Argument: TAN eingegeben ohne Prüfung des Verwendungszwecks
„Der bloße Umstand, dass eine Authentifizierungsmethode technisch korrekt durchgeführt wurde, beweist nicht, dass der Zahler grob fahrlässig gehandelt hat. Die Bank muss den konkreten Sorgfaltsverstoß positiv darlegen." Zur Auslegung von § 675w Abs. 3 BGB in Umsetzung der PSD2"
§ 675w Abs. 3 BGB enthält eine entscheidende Beweislastregel zugunsten der Kundenseite: Die technisch korrekte Erfassung der photoTAN reicht nicht aus, um grobe Fahrlässigkeit nachzuweisen. Entscheidend ist, ob die Phishing-Methode die Anzeige von Betrag und Empfänger im TAN-Generierungsschritt technisch verschleiert oder inhaltlich irreführend gestaltet hat - das ist häufig der Kern der rechtlichen Auseinandersetzung.
Wer im TAN-Generator Betrag und Empfänger hätte sehen können, aber nicht hingeschaut hat, steht rechtlich anders da als jemand, bei dem die Phishing-Methode genau diesen Prüfschritt ausgehebelt hat. Diese Unterscheidung sollte anwaltlich geprüft werden.
Sonderfall: Fernwartungstool auf dem Gerät installiert
Anders sieht es aus, wenn Dritte über ein Fernwartungstool aktiven Zugriff auf das Gerät erhalten haben. Hier nimmt die Rechtsprechung grobe Fahrlässigkeit deutlich eher an: Das Herunterladen und Ausführen einer Fernwartungssoftware auf Anweisung Unbekannter markiert eine Sorgfaltsgrenze, die schwer zu entkräften ist. Eine Einzelfallprüfung bleibt dennoch zwingend, weil die Art der Täuschung und die Erkennbarkeit des Angriffs die Bewertung beeinflussen.
Ihre Bank lehnt die Erstattung nach einem photoTAN-Phishing-Angriff ab? Anwaltliche Prüfung klärt, ob Ihr Erstattungsanspruch nach § 675u BGB durchsetzbar ist und welcher Schritt als nächstes sinnvoll ist.
Rechtliche Einschätzung anfragenWann haftet die Bank, wann der Kunde? Haftungsverteilung nach PSD2 im Ueberblick
Neben der Frage des Verschuldens kommt es auf eine zweite Voraussetzung an: die Wahrung der gesetzlichen Anzeigefrist. Wer sie versäumt, verliert den Erstattungsanspruch unabhängig davon, ob die Bank den Schaden zu verantworten hätte. Der nächste Schritt hängt oft davon ab, wie Phishing-Schäden bei Bankkunden einzuordnen ist.
Die 13-Monats-Anzeigefrist nach § 676b BGB ist deshalb der erste harte Prüfpunkt: Betroffene müssen den nicht autorisierten Zahlungsvorgang spätestens 13 Monate nach dem Buchungstag bei der Bank anzeigen. Maßgeblich ist der Buchungstag, nicht der Tag der späteren Kenntnisnahme. Nur wer diese Frist wahrt, kann den vollen Erstattungsanspruch geltend machen.
Welche Schritte sofort wichtig sind
Als erster Schritt sollte der Online-Zugang sofort gesperrt werden, um weitere Abbuchungen zu verhindern. Unmittelbar danach folgt die Strafanzeige bei der Polizei: Das Aktenzeichen belegt den Opfer-Status und entkräftet den Vorwurf, bewusst an der Transaktion mitgewirkt zu haben. Noch bevor Browser-Verlauf oder Mailbox gelöscht werden, müssen Screenshots der Phishing-Nachricht, des gefälschten Links und der gefälschten Website gesichert werden.
Welche Unterlagen konkret zählen
§ 675w BGB - Beweislast bei nicht autorisierten Zahlungsvorgängen
Die Bank kann sich dem Erstattungsanspruch nur entziehen, wenn sie konkret nachweist, dass der Zahlungsvorgang ordnungsgemäß authentifiziert war und kein technischer Fehler bei der Authentifizierung vorlag. Dass eine photoTAN korrekt eingelesen wurde, reicht dafür allein nicht aus.
Quelle öffnen →Der Kontoauszug mit der genauen Buchungszeile und dem Buchungstag ist unverzüglich zu speichern. Die gesamte Kommunikation mit der Bank - Ablehnungsschreiben, Telefonate, E-Mails - sollte vollständig mit Datum und Inhalt dokumentiert werden. Zusätzlich ist die schriftliche Anzeige gegenüber der Bank nach § 675l Abs. 1 BGB ein eigenständiges Sorgfaltspflichtelement: Ein formloses Einschreiben mit Rückschein, das den Vorfall schildert und § 675u BGB benennt, setzt eine dokumentierte Verhandlungsgrundlage.
Der Erstattungsanspruch selbst verjährt nach drei Jahren gemäß § 195 BGB, beginnend mit dem Schluss des Jahres, in dem der Schaden eingetreten und dem Betroffenen bekannt geworden ist. Die 13-Monats-Anzeigefrist und die dreijährige Verjährungsfrist laufen damit parallel - die Anzeigefrist ist der engere Engpass.
So machen Sie den Erstattungsanspruch geltend - Schritt für Schritt
Eine anwaltliche Prüfung des Ablehnungsschreibens zeigt regelmäßig, dass Banken keine konkreten Belege für grobe Fahrlässigkeit vorlegen. Das Schreiben enthält meist keine Tatsachenbehauptung, die § 675w Abs. 3 BGB gerecht wird. Der nächste rechtssichere Schritt lässt sich dann strukturiert vorbereiten. In der weiteren Prüfung taucht daneben häufig Phishing bei Senioren auf.
Außergerichtliche Eskalation in zwei Stufen
Das Vorgehen beginnt mit der schriftlichen Geltendmachung des Erstattungsanspruchs per Einschreiben mit Rückschein: unter Benennung von § 675u BGB, mit Fristsetzung von 14 Tagen und dem Hinweis auf weitere rechtliche Schritte bei Nichterfüllung. Dieser Brief ist kein optionaler Zwischenschritt, sondern die formelle Grundlage jedes nachfolgenden Verfahrens.
Lehnt die Bank erneut ab, steht der außergerichtliche Weg offen: Der Ombudsmann des Bundesverbands deutscher Banken sowie die Schlichtungsstellen der Sparkassen und Genossenschaftsbanken nehmen strukturierte Beschwerden entgegen. Das Verfahren hemmt keine Klagefristen, kann aber zu einer Einigung führen, ohne dass ein Gericht eingeschaltet werden muss.
Wenn es zur Klage kommt
Ein anwaltliches Aufforderungsschreiben ergänzt in einem dritten Schritt die Argumentation mit dem Hinweis auf § 675w Abs. 3 BGB und die Beweislastverteilung zugunsten der Kundenseite. Kommt es dennoch zur Klage, entscheidet der Streitwert über Zuständigkeit und Anwaltspflicht: Unterhalb der amtsgerichtlichen Streitwertgrenze besteht kein Anwaltszwang; darüber ist Anwaltspflicht gesetzlich vorgeschrieben.
Auch unterhalb dieser Grenze ist anwaltliche Begleitung sinnvoll, weil die Beweislastregeln aus §§ 675v und 675w BGB strukturiert vorgetragen werden müssen.
Vorfall sofort der Bank melden und Online-Zugang sperren lassen
Polizeiliche Anzeige erstatten und Aktenzeichen notieren
Phishing-Nachricht vollständig sichern: E-Mail, SMS, Screenshot der gefälschten Website
Kontoauszüge mit der strittigen Buchung und dem genauen Buchungstag aufbewahren
Schriftliche Ablehnung der Bank vollständig mit Datum archivieren
Gesamte Bankkommunikation dokumentieren: Kanal, Datum, Inhalt
13-Monats-Anzeigefrist aus § 676b BGB prüfen: Liegt der Buchungstag weniger als 13 Monate zurück?
Ombudsmann oder Schlichtungsstelle als außergerichtliche Option erwägen
Anwaltliche Prüfung des Erstattungsanspruchs nach § 675u BGB beauftragen
Häufige Fragen zu photoTAN-Phishing und Bankerstattung
Kann die Bank allein mit der korrekt genutzten photoTAN grobe Fahrlässigkeit nachweisen?
Nein. § 675w Abs. 3 BGB stellt dies ausdrücklich klar: Die technisch korrekte Erfassung einer photoTAN ist kein Beweis dafür, dass der Kunde die Transaktion autorisiert hat oder grob fahrlässig gehandelt hat. Die Bank muss den konkreten Sorgfaltsverstoß positiv darlegen und belegen. Für die praktische Planung kann Identitätsdiebstahl nach Phishing entscheidend werden.
Hilft eine Strafanzeige dem zivilrechtlichen Anspruch?
Indirekt ja. Die Strafanzeige dokumentiert den Opfer-Status gegenüber Ermittlungsbehörden und kann im zivilrechtlichen Verfahren dazu beitragen, den Vorwurf bewusster Mitwirkung zu entkräften. Sie ist kein Ersatz für die zivilrechtliche Geltendmachung, aber ein wichtiges Beweissicherungsmittel.
Was gilt, wenn ein Fernwartungstool installiert wurde?
Das erhöhte Risiko grober Fahrlässigkeit ist in diesem Fall real. Wer eine Fernwartungssoftware auf Anweisung unbekannter Dritter installiert, überschreitet eine Sorgfaltsgrenze, die von Gerichten kritisch bewertet wird. Eine Einzelfallprüfung bleibt dennoch zwingend, weil die Art der Täuschung und die Erkennbarkeit des Angriffs die Bewertung beeinflussen.
Beginnt die 13-Monats-Frist ab Buchungstag oder ab Kenntnis?
Ab Buchungstag. § 676b Abs. 1 BGB stellt ausdrücklich auf das Buchungsdatum ab, nicht auf den Tag der Kenntnisnahme. Wer die Abbuchung erst spät bemerkt, verliert damit keine Fristzeit - muss aber umso schneller handeln, sobald er davon erfährt.
Kann ich ohne Anwalt gegen die Bank klagen?
Unterhalb der amtsgerichtlichen Streitwertgrenze besteht kein Anwaltszwang. Auch dort ist anwaltliche Begleitung sinnvoll, weil die Beweislastregeln aus §§ 675v und 675w BGB strukturiert vorgetragen werden müssen, um in der Verhandlung zu überzeugen.
Fazit: photoTAN-Phishing und verweigerte Bankerstattung - Ihre nächsten Schritte
Eine pauschale Ablehnung der Bank ist nicht das abschließende rechtliche Wort. Der Erstattungsanspruch aus § 675u BGB bei nicht autorisiertem Zahlungsvorgang ist der gesetzliche Ausgangspunkt. Grobe Fahrlässigkeit muss die Bank konkret nachweisen - und kann sich dabei nicht auf die technisch korrekte TAN-Nutzung beschränken, wie § 675w Abs. 3 BGB ausdrücklich klarstellt.
Der nächste Schritt hängt oft davon ab, wie gefälschte Onlinebanking-Loginseite einzuordnen ist.
Die Ausschlussfrist von 13 Monaten läuft ab dem Buchungstag nach § 676b BGB; wer diesen Punkt versäumt, verliert den Anspruch unabhängig vom Verschulden der Bank. Strukturiertes Vorgehen und anwaltliche Begleitung bei pauschaler Ablehnung erhöhen die Erfolgschancen erheblich.
Bank erstattet nicht nach photoTAN-Phishing? Anwaltliche Prüfung klärt Ihren Erstattungsanspruch nach § 675u BGB und bereitet den nächsten rechtlichen Schritt vor.
Rechtliche Einschätzung anfragenRechtsquellen zur Einordnung
Jan-Henning Ahrens
Jan-Henning Ahrens und KWAG Rechtsanwälte beraten Mandanten insbesondere im Bankrecht, Kapitalmarktrecht, bei Anlage- und Internetbetrug sowie in wirtschaftsrechtlichen Streitigkeiten.
Mehr über die Kanzlei
