Wurde Ihre SMS-TAN abgefangen und Ihr Konto geplündert? Dann haben Sie in aller Regel einen Anspruch auf vollständige Rückzahlung gegen Ihre Bank. Die Bank muss den Betrag erstatten, solange sie Ihnen keine grobe Fahrlässigkeit nachweisen kann - die Meldefrist beträgt 13 Monate ab Buchungsdatum (§ 676b BGB), und Ihre Eigenhaftung ist bei leichter Fahrlässigkeit auf maximal 50 Euro begrenzt (§ 675v BGB).
Sie haben festgestellt, dass Ihre SMS-TAN abgefangen wurde und Ihr Konto ohne Ihre Zustimmung belastet ist? Die Bank trägt die Beweislast für eine wirksame Autorisierung, und je früher Sie den Vorfall melden, desto stärker Ihre Ausgangsposition. Im Folgenden klären wir, wann die Bank haftet, was grobe Fahrlässigkeit bedeutet und welche Schritte die Rückforderung absichern.
Eine berufstätige Person erledigt ihre Bankgeschäfte routinemäßig per Online-Banking. Dann kommt eine SMS, die täuschend echt wie eine offizielle Nachricht ihrer Bank wirkt: Eine TAN soll bestätigt werden, der Vorgang erscheint vertraut. Kurz darauf zeigt der Kontoauszug mehrere Überweisungen, denen sie zu keinem Zeitpunkt zugestimmt hat. Unbekannte hatten die SMS-TAN abgefangen und damit das Konto weitgehend leergeräumt.
Was hinter diesen Ansprüchen steckt, regelt das Zahlungsdienste-Vertragsrecht des BGB im Detail.
Gesetzlicher Rahmen: Warum die Bank bei nicht autorisierten Zahlungen haftet
Ein Blick in die gesetzlichen Regelungen zeigt, warum Betroffene in dieser Situation gute Karten haben:
Bevor Sie die nächsten Schritte prüfen
Wichtig ist zuerst die Einordnung, welche Entscheidung, Frist oder Forderung tatsächlich betroffen ist. Erst danach sollte die praktische Checkliste abgearbeitet werden. Legen Sie Unterlagen, Fristen und die bisherige Kommunikation zusammen, bevor Sie den nächsten Schritt festlegen.
§§ 675j, 675u BGB – Autorisierung und Erstattungspflicht
Ein Zahlungsvorgang ist nach § 675j BGB nur wirksam, wenn der Kontoinhaber ihm zugestimmt hat. Fehlt diese Autorisierung, verpflichtet § 675u BGB die Bank zur unverzüglichen Erstattung des vollständigen Betrags. Das Konto ist so zu stellen, als sei die Buchung nie erfolgt.
Quelle öffnen →Beweislast und Haftungsverteilung
Die Beweislast trägt nach § 675w BGB die Bank. Sie muss nachweisen, dass das Authentifizierungsverfahren ordnungsgemäß durchgeführt wurde und der Zahlungsvorgang tatsächlich autorisiert war. Gelingt ihr dieser Nachweis nicht, bleibt der Erstattungsanspruch bestehen.
Die Eigenhaftung des Kontoinhabers ist nach § 675v BGB auf maximal 50 Euro begrenzt, wenn ihm lediglich leichte Fahrlässigkeit vorgeworfen werden kann. Nur bei grober Fahrlässigkeit oder Vorsatz entfällt der Anspruch vollständig. Wo die Grenze liegt, ist im Einzelfall zu klären - und die Bank trägt auch dafür die Beweislast.
Worauf es jetzt ankommt
Doch welche konkreten Voraussetzungen müssen erfüllt sein, damit dieser Anspruch tatsächlich greift?
Welche Voraussetzungen müssen für den Erstattungsanspruch erfüllt sein?
Was bedeutet das konkret für jemanden, dessen Konto nach einem SMS-TAN-Angriff leergeräumt wurde?
Wie SMS-TAN-Angriffe technisch ablaufen
SMS-TAN-Missbrauch läuft in der Praxis meist auf zwei Wegen ab: Beim klassischen Phishing leitet eine täuschend echte SMS oder E-Mail auf eine gefälschte Bankwebseite weiter, wo Login-Daten und TAN eingegeben werden. Beim SIM-Swapping gelingt es Tätern, die Mobilfunknummer des Opfers auf eine eigene SIM-Karte übertragen zu lassen, sodass alle Einmalpasswörter direkt bei ihnen eingehen.
Was für die Einordnung zählt
In beiden Konstellationen hat der Kontoinhaber den Zahlungsvorgang weder ausgelöst noch freigegeben. Der Erstattungsanspruch setzt genau das voraus: eine Zahlung ohne gültigen Zustimmungsakt im Sinne von § 675j BGB.
Was für den nächsten Schritt zählt
Genau an diesem Punkt versuchen Banken häufig, die Erstattung zu verweigern.
Wie lässt sich der Vorwurf grober Fahrlässigkeit entkräften?
Genau hier wird es kritisch: Die Bank lehnt die Erstattung ab und behauptet, der Kunde habe grob fahrlässig gehandelt. Der nächste Schritt hängt oft davon ab, wie Phishing-Schaden rechtlich einordnen einzuordnen ist.
Für die betroffene Person aus dem Praxisfall beginnt damit die eigentliche Auseinandersetzung. Die Bank beruft sich auf grobe Fahrlässigkeit, weil die TAN eingegeben wurde. Was sie dabei außer Acht lässt: Professionell aufgemachte Phishing-Nachrichten täuschen auch erfahrene Nutzer. Allein die Tatsache, dass eine TAN verwendet wurde, begründet noch keinen schwerwiegenden Fahrlässigkeitsvorwurf.
Was Gerichte unter grober Fahrlässigkeit verstehen
Grobe Fahrlässigkeit setzt voraus, dass jemand die im Verkehr erforderliche Sorgfalt in besonders schwerem Maße verletzt hat, also das außer Acht gelassen hat, was im konkreten Fall jedem einleuchten musste. Dieser Maßstab ist hoch. Wer eine Phishing-SMS erhält, die optisch, sprachlich und technisch professionell gestaltet ist und von einer offiziellen Absenderkennung zu stammen scheint, legt nicht zwingend ein grob fahrlässiges Verhalten an den Tag.
Was Sie als Nächstes prüfen sollten
Die Bank muss grobe Fahrlässigkeit des Kontoinhabers konkret nachweisen. Dieser Nachweis gelingt ihr nicht allein durch den Hinweis, dass eine TAN eingegeben wurde. Entscheidend ist, ob die Phishing-Nachricht für einen durchschnittlichen Bankkunden ohne Weiteres als Fälschung erkennbar war.
Die Qualität der Täuschung ist das maßgebliche Kriterium: Wirkte die Nachricht wie eine offizielle Bankmitteilung? War die Absenderkennung gefälscht oder optisch identisch mit echten Banknachrichten? Diese Fragen sind fallbezogen zu beantworten und bestimmen den Ausgang der rechtlichen Auseinandersetzung in erheblichem Maß.
Ihre Bank verweigert die Erstattung nach einem SMS-TAN-Betrug? Wir prüfen Ihren Anspruch und bereiten den nächsten Schritt vor.
Rechtliche Einschätzung anfragenWas sollten Betroffene nach einem SMS-TAN-Betrug tun?
Für die betroffene Person aus dem Praxisfall bedeutet die Ablehnung durch die Bank nicht das Ende. Sie hat konkrete Möglichkeiten, den Anspruch durchzusetzen, wenn sie jetzt strukturiert vorgeht. In der weiteren Prüfung taucht daneben häufig Bankhaftung nach Phishing auf.
Sofortmaßnahmen nach der Entdeckung
Wer feststellt, dass sein Konto durch TAN-Missbrauch belastet wurde, sollte unverzüglich das Online-Banking sperren lassen, eine Strafanzeige erstatten und alle verfügbaren Belege sichern. Je früher und vollständiger die Dokumentation, desto stärker die Ausgangsposition bei der Rückforderung.
Kontoauszüge mit den nicht autorisierten Buchungen ausdrucken oder digital sichern
SMS-Verlauf mit Screenshots und sichtbaren Zeitstempeln dokumentieren
Gerätedaten festhalten: Betriebssystem, Browser, Zeitpunkt der TAN-Eingabe
Strafanzeige bei der Polizei erstatten und Aktenzeichen notieren
Vorfall schriftlich bei der Bank melden, per Einschreiben oder nachweisbarer E-Mail
Sperrbestätigung des Online-Banking-Zugangs aufbewahren
Gesamte Bankkorrespondenz einschließlich Ablehnungsschreiben im Original sichern
Anwaltliche Prüfung des Erstattungsanspruchs veranlassen
Die 13-Monats-Frist im Blick behalten
Die Meldefrist nach § 676b BGB beginnt mit dem Buchungsdatum der nicht autorisierten Zahlung, nicht mit dem Tag der Entdeckung. Für jede einzelne Buchung läuft die Frist gesondert. Wer den Betrug erst Wochen später bemerkt, verliert seine Ansprüche nicht, solange die Meldung noch innerhalb dieses Zeitraums erfolgt.
Bei mehreren Überweisungen laufen die 13-Monats-Fristen für jede Buchung getrennt ab dem jeweiligen Buchungsdatum. Eine frühe Meldung erleichtert zusätzlich die Nachverfolgung von Zahlungswegen, da Banken und Zahlungsdienstleister Transaktionsprotokolle nur für begrenzte Zeiträume vorhalten.
Welche nächsten Schritte sind nach der Ablehnung durch die Bank möglich?
Wenn die Bank die Erstattung verweigert, ist das keine abschließende Entscheidung. Der Anspruch nach § 675u BGB besteht unabhängig von der internen Bewertung der Bank, solange die gesetzlichen Voraussetzungen erfüllt sind. Für die praktische Planung kann Phishing bei Senioren entscheidend werden.
Warum frühzeitige Dokumentation den Ausgang beeinflusst
Je länger der Zeitraum zwischen dem Vorfall und der Meldung, desto schwieriger wird die Nachverfolgung. Banken und Zahlungsdienstleister löschen Protokolldaten nach festgelegten Aufbewahrungsfristen. Wer frühzeitig handelt, sichert sich einen erheblichen Vorteil bei der Beweisführung.
„In vielen Phishing-Konstellationen geht die Rechtsprechung davon aus, dass professionell gestaltete Fake-SMS eine Täuschung darstellen, die auch sorgfältige Kontoinhaber nicht ohne Weiteres erkennen können. Grobe Fahrlässigkeit ist kein Automatismus, sondern eine Frage des Einzelfalls."
Die anwaltliche Prüfung klärt, ob der konkrete Sachverhalt die Erstattungsvoraussetzungen nach § 675u BGB erfüllt, ob der Fahrlässigkeitsvorwurf im jeweiligen Fall haltbar ist und welche Beweismittel für die Auseinandersetzung mit der Bank ausreichen. Liegen alle Unterlagen vor, lässt sich der Anspruch konkret beziffern und geltend machen.
SMS-TAN abgefangen, Konto geplündert, Bank lehnt Erstattung ab? Wir prüfen Ihren Anspruch und zeigen Ihnen, welche nächsten Schritte möglich sind.
Rechtliche Einschätzung anfragenRechtsquellen zur Einordnung
Jan-Henning Ahrens
Jan-Henning Ahrens und KWAG Rechtsanwälte beraten Mandanten insbesondere im Bankrecht, Kapitalmarktrecht, bei Anlage- und Internetbetrug sowie in wirtschaftsrechtlichen Streitigkeiten.
Mehr über die Kanzlei
