Kann man das Geld zurückbekommen, wenn ein Banking-Trojaner das Konto leer geräumt hat? Meistens ja, aber schnelles Handeln ist entscheidend: Unverzüglich die Bank informieren und Anzeige erstatten. Banken sind nach § 675u BGB verpflichtet, nicht autorisierte Zahlungen zurückzubuchen. Der eigene Haftungsanteil ist gesetzlich auf maximal 50 Euro begrenzt, sofern keine grobe Fahrlässigkeit vorliegt.
Sie stellen fest, dass Ihr Konto nach einer Banking-Trojaner-Infektion leer geräumt wurde? Entscheidend ist dann, wie schnell die Bank reagiert, denn das Gesetz knüpft daran klare Erstattungspflichten. Im Folgenden klären wir, unter welchen Voraussetzungen die Bank haftet, wie Fahrlässigkeit die Rückbuchung gefährdet und welche Schritte Betroffene zuerst einleiten sollten.
Ein geübter Online-Banking-Nutzer öffnet seine Banking-App auf dem Smartphone, tippt routiniert Zugangsdaten und Transaktionsnummern ein und schließt die App. Erst beim nächsten Blick auf den Kontostand zeigt sich, was passiert ist: Das Guthaben ist nahezu vollständig abgeflossen, mehrere Überweisungen auf fremde Konten wurden in kurzer Abfolge ausgeführt, ohne dass der Kontoinhaber irgendeinen Zahlungsauftrag erteilt hatte. Was er beim Öffnen der App nicht erkennen konnte: Eine Schadsoftware hatte eine täuschend echte Eingabemaske als Overlay über die Banking-Anwendung gelegt und alle eingegebenen Daten abgegriffen.
Genau hier liegt der rechtliche Kern: Wer eine professionell gestaltete Overlay-Maske nicht als Fälschung erkennen konnte, hat keine Zustimmung zu den abgebuchten Überweisungen erteilt. Das Zahlungsdienstleistungsrecht des BGB schützt Kontoinhaber in dieser Situation ausdrücklich. Was das Gesetz in diesem Fall konkret vorschreibt, klärt ein Blick in die einschlägigen Normen des Zahlungsdienstleisterrechts.
Gesetzliche Grundlage: Erstattungsanspruch bei nicht autorisierten Zahlungen nach dem BGB
Ein Blick in das Bürgerliche Gesetzbuch zeigt, auf welcher gesetzlichen Grundlage der Erstattungsanspruch beruht.
Drei Normen des BGB greifen bei Trojaner-Betrugsfällen zusammen und bilden das gesetzliche Fundament des Erstattungsanspruchs.
§ 675u BGB
§ 675u BGB: Wurde ein Zahlungsvorgang ohne Zustimmung des Zahlers ausgeführt, ist der Zahlungsdienstleister verpflichtet, den Zahlungsbetrag unverzüglich zurückzuerstatten und das Zahlungskonto wieder auf den Stand zu bringen, auf dem es sich ohne die nicht autorisierte Zahlung befunden hätte.
Quelle öffnen →§ 675j BGB regelt, dass ein Zahlungsauftrag nur dann wirksam ist, wenn der Zahler ausdrücklich zugestimmt hat. Eine Zustimmung, die durch eine manipulierte Oberfläche erschlichen wurde, ist keine rechtswirksame Zustimmung.
§ 675v BGB begrenzt die Eigenhaftung des Kontoinhabers auf maximal 50 Euro, sofern keine grobe Fahrlässigkeit vorliegt und der Verlust unverzüglich angezeigt wird.
Beweislast liegt bei der Bank
Entscheidend für Betroffene: Sie müssen nicht nachweisen, dass sie die Zahlung nicht autorisiert haben. Stattdessen muss die Bank belegen, dass eine ordnungsgemäße Autorisierung vorlag. Gelingt ihr das nicht, greift der Erstattungsanspruch.
Wie funktioniert ein Overlay-Trojaner und warum ist das für die Haftung entscheidend?
Genau hier wird es praktisch: Aus der vorherigen Ebene folgt, welche Nachweise jetzt zählen.
Overlay-Trojaner legen sich als unsichtbare Ebene über eine legitime Banking-App und zeigen dem Nutzer eine täuschend echte Kopie der echten Eingabemaske. Gibt der Nutzer seine Zugangsdaten ein, fließen diese Daten direkt an die Angreifer, während die echte App im Hintergrund vermeintlich normal läuft.
Worauf es jetzt ankommt
Gleichzeitig kann die Schadsoftware eingehende SMS abfangen, sodass auch Transaktionsnummern abgegriffen werden. Der Nutzer bemerkt davon nichts.
Warum das für die Haftungsfrage entscheidend ist
Wer eine durch professionelle Schadsoftware erzeugte Überlagerung nicht als gefälscht erkennt, handelt nicht grob fahrlässig. Das ist ein wesentlicher Unterschied zu Fällen, in denen Nutzer trotz offensichtlicher Warnhinweise Daten auf verdächtigen Seiten eingeben. Diese Einordnung entscheidet darüber, ob der gesetzliche Selbstbehalt von 50 Euro gilt oder ob vollständige Eigenhaftung droht.
Was für die Einordnung zählt
Overlay-Trojaner gelangen häufig über manipulierte App-Downloads oder präparierte Links auf das Gerät. Banking-Apps sollten ausschließlich direkt über den offiziellen Kanal der jeweiligen Bank bezogen werden.## Wann haftet die Bank und wann nicht?
Was für den nächsten Schritt zählt
Das bedeutet für den nächsten Abschnitt: Nicht der Fehler allein entscheidet, sondern seine Begründung.
Wie Tabelle und Rechtsgrundlage zusammengehören
Die Tabelle zeigt zunächst nur die Schwellen und Beträge. Entscheidend ist danach, ob Bescheid, Gutachten und Alltagsschilderung diese Werte nachvollziehbar tragen. Erst mit dieser Einordnung wird die Rechtsgrundlage mehr als ein Zahlenblock und lässt sich auf den konkreten Fall anwenden.
§ 675v BGB
§ 675v Abs. 1 BGB: Beruht eine nicht autorisierte Zahlung auf der Nutzung eines verloren gegangenen, gestohlenen oder missbräuchlich verwendeten Zahlungsinstruments, kann der Zahlungsdienstleister vom Zahler den Ersatz des hierdurch entstandenen Schadens bis zu einem Betrag von 50 Euro verlangen.
Quelle öffnen →Grobe Fahrlässigkeit liegt vor, wenn jemand die im Verkehr erforderliche Sorgfalt in besonders schwerem Maße verletzt. Beim Einsatz professioneller Overlay-Schadsoftware, die optisch von der echten App nicht zu unterscheiden ist, ist diese Schwelle für die Bank nur selten zu beweisen.
Sie haben Abbuchungen festgestellt, die Sie nicht autorisiert haben? Nehmen Sie jetzt Kontakt mit KWAG Rechtsanwälte auf. Wir prüfen Ihren Erstattungsanspruch gegen die Bank und erläutern Ihnen die nächsten Schritte.
Rechtliche Einschätzung anfragenWelche Sofortmaßnahmen sind nach einem Trojaner-Angriff wichtig?
Auf dieser Grundlage lässt sich die Fristfrage sicher einordnen. Vertiefend hilft Phishing-Schaden rechtlich einordnen weiter.
Online-Banking sofort sperren lassen (Sperr-Notruf 116 116)
Bank schriftlich und telefonisch über den Vorfall informieren
Rückbuchung nicht autorisierter Zahlungen schriftlich bei der Bank beantragen
Strafanzeige bei der Polizei erstatten
Gerät sichern und nicht zurücksetzen (Beweissicherung für Ermittlungen)
Alle Kontobewegungen der letzten 13 Monate sichern
Jeden Kontakt mit der Bank schriftlich dokumentieren
Rechtliche Beratung einholen, wenn die Bank Erstattung verweigert
Meldefrist: 13 Monate
§ 676b BGB setzt eine wichtige Meldefrist: Nicht autorisierte Zahlungen müssen dem Zahlungsdienstleister unverzüglich, spätestens aber 13 Monate nach dem Belastungsdatum, angezeigt werden. Nach Ablauf dieser Frist erlischt der Erstattungsanspruch.
Praktisch heißt das: Der nächste Schritt sollte nicht aus Bauchgefühl entstehen, sondern aus den maßgeblichen Unterlagen, Fristen und belegbaren Umständen. Prüfen Sie, welche Vereinbarung oder Entscheidung vorliegt, welche Erklärung fehlt und welche Rechtsfolge sich daraus ergeben kann. So bleibt die Einordnung nachvollziehbar und belastbar.
Wer wartet, riskiert den Verlust des Erstattungsanspruchs, selbst wenn die Zahlung eindeutig nicht autorisiert war. Unverzügliche Meldung ist keine bloße Formalität, sondern gesetzliche Voraussetzung für die Haftung der Bank.
Was tun, wenn die Bank die Erstattung verweigert?
Daraus folgt der nächste Schritt: Die Unterlagen müssen so geordnet werden, dass Anspruch, Frist und mögliche Reaktion tragfähig eingeordnet werden können. Als fachlicher Anschluss passt Identitätsdiebstahl nach Phishing.
Banken berufen sich in Trojaner-Fällen häufig auf grobe Fahrlässigkeit des Kontoinhabers, um den Erstattungsanspruch abzuwenden. Diese Argumentation ist bei professionell eingesetzter Schadsoftware in vielen Fällen rechtlich angreifbar.
Was Sie als Nächstes prüfen sollten
Betroffene haben mehrere Wege: Sie können die Ombudsleute des jeweiligen Bankensektors als außergerichtliche Streitbeilegungsstelle einschalten. Alternativ oder ergänzend kommt eine gerichtliche Durchsetzung des Anspruchs in Betracht.
Beweislast liegt beim Zahlungsdienstleister
Der Zahlungsdienstleister trägt die Beweislast dafür, dass der Zahlungsvorgang ordnungsgemäß authentifiziert, aufgezeichnet und verbucht wurde und nicht durch eine technische Panne oder einen anderen Mangel beeinträchtigt wurde. § 675w BGB (Beweislast des Zahlungsdienstleisters)
Gerichte haben in vergleichbaren Fällen entschieden, dass professionell eingesetzte Schadsoftware, die für den durchschnittlichen Nutzer nicht erkennbar war, keine grobe Fahrlässigkeit begründet. Die Hürde liegt damit bei der Bank, nicht beim Kontoinhaber.
Unterlagen vor dem nächsten Schritt ordnen
Legen Sie die maßgeblichen Unterlagen, Nachweise, Fristen und bisherigen Schreiben nebeneinander. Dadurch wird schneller klar, welche Regelung gilt, welcher Punkt noch belegt werden muss und welcher nächste Schritt in Betracht kommt.
Häufige Fragen nach einem Trojaner-Angriff
Im nächsten Schritt geht es darum, die häufigsten Anschlussfragen einzuordnen. Für die weitere Vorbereitung lohnt der Blick auf Bankhaftung nach Phishing.
Gilt die 50-Euro-Haftungsgrenze auch bei sehr hohen Schäden?
Ja. § 675v BGB begrenzt die Eigenhaftung auf maximal 50 Euro, unabhängig von der Schadenshöhe, sofern keine grobe Fahrlässigkeit oder Vorsatz vorliegt. Bei einem Schaden von 10.000 Euro haftet der Kontoinhaber in diesem Fall für maximal 50 Euro, den Restbetrag trägt die Bank.
Muss ich beweisen, dass ich den Trojaner nicht selbst installiert habe?
Nein. Die Beweislastverteilung läuft anders: Die Bank muss nachweisen, dass die Zahlung ordnungsgemäß autorisiert war. Kann sie das nicht, trägt sie das finanzielle Risiko.
Was passiert, wenn das Geld schon weitertransferiert wurde?
Für den Erstattungsanspruch gegen die eigene Bank spielt das keine Rolle. Die Bank muss unabhängig davon zurückerstatten, ob sie das Geld von einer Empfängerbank zurückholen kann. Das Rückbuchungsrisiko liegt beim Zahlungsdienstleister, nicht beim Kontoinhaber.
Kann ich mich an eine Schlichtungsstelle wenden?
Ja. Für Kunden von Privatbanken ist das der Ombudsmann der privaten Banken, für Sparkassen und Genossenschaftsbanken existieren eigene Schlichtungsstellen. Das Verfahren ist oft eine praxisnahe Alternative zu einem Klageverfahren und kann schneller zu einem Ergebnis führen.
Hilft eine Strafanzeige für den zivilrechtlichen Anspruch?
Eine Strafanzeige sichert Beweise und dokumentiert den Vorfall offiziell. Sie ist keine Voraussetzung für den zivilrechtlichen Erstattungsanspruch gegen die Bank, stärkt aber die eigene Dokumentation im Streitfall.
Was Betroffene in drei Punkten mitnehmen sollten
Doch was bleibt am Ende als konkrete Handlungsregel? Wenn die Bank blockt, hilft anwalt phishing angriff konto geplündert bei der nächsten rechtlichen Einordnung.
Welche Unterlagen jetzt zählen
Wer durch Overlay-Schadsoftware Kontoabbuchungen erlitten hat, steht in der Regel auf einer soliden gesetzlichen Grundlage. Das BGB schützt Kontoinhaber ausdrücklich vor den Folgen nicht autorisierter Zahlungen.
Wo die Frist praktisch beginnt
Erstens: Sofortmeldung ist das Wichtigste. Ohne Meldung innerhalb von 13 Monaten verfällt der Erstattungsanspruch. Je früher die Bank informiert wird, desto besser stehen die Chancen auf vollständige Rückerstattung.
Was jetzt praktisch wichtig ist
Zweitens: Grobe Fahrlässigkeit muss die Bank nachweisen, nicht der Kontoinhaber. Bei professioneller Overlay-Schadsoftware ist diese Hürde für Banken regelmäßig hoch.
Drittens: Eine Erstattungsverweigerung der Bank ist nicht das letzte Wort. Schlichtungsstellen und Gerichte haben Kontoinhaber in vergleichbaren Konstellationen wiederholt gestärkt.
Hat Ihre Bank nach einem Trojaner-Angriff die Erstattung verweigert oder verzögert? KWAG Rechtsanwälte prüft Ihren Anspruch und begleitet Sie bei der Durchsetzung. Nehmen Sie jetzt Kontakt auf.
Rechtliche Einschätzung anfragenRechtsquellen zur Einordnung
Jan-Henning Ahrens
Jan-Henning Ahrens und KWAG Rechtsanwälte beraten Mandanten insbesondere im Bankrecht, Kapitalmarktrecht, bei Anlage- und Internetbetrug sowie in wirtschaftsrechtlichen Streitigkeiten.
Mehr über die Kanzlei
