Muss die Bank Phishing-Geld erstatten, obwohl man selbst auf den Betrug hereingefallen ist? Meistens ja - wer durch Phishing Geld verliert, hat grundsätzlich einen Erstattungsanspruch gegen die Bank. Banken haften bei nicht autorisierten Zahlungen (§ 675u BGB). Wer aber PIN oder TAN leichtfertig preisgegeben hat, verliert diesen Anspruch vollständig wegen grober Fahrlässigkeit - beweisen muss das jedoch die Bank (§ 675w BGB).
Sie haben nach einem Phishing-Betrug Geld verloren und die Bank verweigert die Erstattung mit dem Vorwurf grober Fahrlässigkeit? Entscheidend ist dann, wer diesen Vorwurf tatsächlich beweisen muss. Im Folgenden klären wir, wann die Bank trotz Phishing haftet, welche Pflichten Bankkunden wirklich treffen und wie Sie den Erstattungsanspruch durchsetzen.
Eine selbstständige Person öffnet eine E-Mail, die optisch nicht von einer echten Bankbenachrichtigung zu unterscheiden ist. Der Link führt auf eine täuschend echte Kopie der Bankwebseite, und sie gibt dort ihre Zugangsdaten ein, weil die Seite einen dringlichen Sicherheitshinweis anzeigt. Kurz darauf meldet sich jemand telefonisch, gibt sich als Bankmitarbeiter aus und bittet zur angeblichen Absicherung um die Bestätigung einer TAN. Die Person folgt der Bitte - es gab keinen für Laien erkennbaren Anlass zur Skepsis.
Die Bank lehnt die Erstattung ab und beruft sich auf grobe Fahrlässigkeit nach § 675v Abs. 3 BGB. Doch das Gesetz verteilt die Beweislast ausdrücklich anders: Nach § 675w BGB muss die Bank nachweisen, dass der Kunde grob fahrlässig gehandelt hat, nicht umgekehrt. Was das im Einzelnen bedeutet und welche Schritte Betroffene jetzt gehen können, zeigt dieser Artikel Schritt für Schritt.
Was bedeutet Erstattungspflicht der Bank nach § 675u BGB?
Bevor wir die Frage der groben Fahrlässigkeit näher betrachten, lohnt ein Blick auf die gesetzliche Ausgangslage - denn die Haftung der Bank ist keine Kulanz, sondern eine klare gesetzliche Verpflichtung.
Wird eine Zahlung ohne Zustimmung des Kontoinhabers ausgeführt, handelt es sich um einen nicht autorisierten Zahlungsvorgang. Für diesen Fall verpflichtet § 675u BGB die Bank zur unverzüglichen Erstattung des Zahlbetrags, spätestens bis zum Ende des nächsten Geschäftstags. Das Konto ist so zu stellen, als hätte die Belastung nie stattgefunden.
Worauf es jetzt ankommt
Diese Grundregel gilt unabhängig davon, ob der Betrug durch eine externe Phishing-Attacke oder durch eine interne Sicherheitslücke veranlasst wurde.
Was für die Einordnung zählt
§ 675u BGB - Erstattung nicht autorisierter Zahlungsvorgänge
„Im Fall eines nicht autorisierten Zahlungsvorgangs hat der Zahlungsdienstleister des Zahlers diesem den Zahlbetrag unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags, zu erstatten." Das Konto ist zugleich zu berichtigen, als sei die Belastung nie erfolgt (§ 675u Abs. 2 BGB).
Quelle öffnen →Kundenhaftung: Die begrenzte Ausnahme nach § 675v BGB
Die Erstattungspflicht der Bank ist die gesetzliche Grundregel. Die Kundenhaftung ist die eng definierte Ausnahme: § 675v BGB begrenzt die eigene Haftung bei einfacher Fahrlässigkeit auf maximal 50 Euro. Unbeschränkt haftet der Kontoinhaber erst dann, wenn grobe Fahrlässigkeit oder Vorsatz vorliegt - und genau diesen Nachweis muss die Bank erbringen. Wer durch eine täuschend echte Phishing-Seite irregeführt wurde, verliert seinen Erstattungsanspruch also nicht automatisch.
Entscheidend ist die rechtliche Bewertung des konkreten Hergangs. Wie diese Bewertung ausfällt, hängt maßgeblich davon ab, was in der Rechtsprechung als grobe Fahrlässigkeit gilt - und was eben nicht.
Was bedeutet grobe Fahrlässigkeit bei Phishing: Warum die Beweislast nach § 675w BGB bei der Bank liegt in der Praxis?
Genau hier liegt der entscheidende Unterschied, der in der Praxis über Erstattung oder Totalverlust bestimmt: Die Bank kann die Erstattung nicht allein damit verweigern, dass PIN und TAN technisch korrekt eingegeben wurden.
§ 675w Satz 3 BGB stellt klar, dass der Nachweis einer technisch korrekt authentifizierten Transaktion allein keine grobe Fahrlässigkeit des Kunden beweist. Die Bank muss also konkret darlegen, welche Warnsignale der Kunde erkennbar ignoriert hat - und warum das einem durchschnittlich sorgfältigen Kunden hätte auffallen müssen.
§ 675w BGB - Beweislast bei nicht autorisierten Zahlungsvorgängen
Der Zahlungsdienstleister trägt die Beweislast dafür, dass der Zahlungsvorgang ordnungsgemäß aufgezeichnet, verbucht und nicht durch Fehlfunktionen beeinträchtigt wurde. Der Nachweis der Authentifizierung allein begründet nach § 675w S. 3 BGB keine Vermutung grober Fahrlässigkeit zulasten des Kunden.
Grobe Fahrlässigkeit nach § 276 Abs. 2 BGB: Was das Gesetz meint
Grobe Fahrlässigkeit im Sinne von § 276 Abs. 2 BGB setzt voraus, dass die im Verkehr erforderliche Sorgfalt in besonders schwerem Maß außer Acht gelassen wurde. Das ist nicht schon dann der Fall, wenn jemand auf eine professionell gefälschte Phishing-Mail hereinfällt.
Der Bundesgerichtshof hat in seiner Grundsatzentscheidung (Az. XI ZR 91/14) klargestellt, wann grobe Fahrlässigkeit anzunehmen ist: wenn ein Kunde eine TAN bestätigt, obwohl in der TAN-Anzeige seines Banking-Verfahrens ein anderer Empfänger oder ein abweichender Betrag sichtbar war. Wer dagegen durch ein professionell aufgebautes Telefonat und eine täuschend echte Website in die Irre geführt wird, handelt in der Regel nicht grob fahrlässig.
„Der Nachweis der Authentifizierung durch den Zahlungsdienstleister begründet allein keine widerlegliche Vermutung dafür, dass der Zahler grob fahrlässig gehandelt hat." Sinngemäß nach § 675w S. 3 BGB; ebenso BGH zur Beweislastverteilung bei missbräuchlicher Zahlungsautorisierung (XI ZR 91/14)."
Welche konkreten Verhaltensweisen Gerichte als grob fahrlässig einordnen und welche nicht, zeigt der folgende Überblick - und damit auch, wie tragfähig die typische Bankablehnung tatsächlich ist.
Was bedeutet bank lehnt Phishing-Erstattung ab: Typische Argumente und der entscheidende Wendepunkt in der Praxis?
Doch was bedeutet das konkret, wenn das Ablehnungsschreiben der Bank eintrifft? Für die betroffene Person aus unserem Eingangsfall kam die Ablehnung wenige Wochen nach dem Schaden. Das Institut berief sich pauschal auf § 675v Abs. 3 BGB und grobe Fahrlässigkeit, ohne zu benennen, welches Warnsignal übergangen worden sei und ob die TAN-Anzeige tatsächlich abweichende Angaben enthielt.
Der nächste Schritt hängt oft davon ab, wiePhishing-Schäden bei Bankkundeneinzuordnen ist.
Eine substantiierte Begründung, wie § 675w BGB sie verlangt, fehlte vollständig.
Was Sie als Nächstes prüfen sollten
Dieses Muster ist kein Einzelfall. Banken formulieren Ablehnungsschreiben häufig so, als reiche der Hinweis auf die technische Authentifizierung aus. Rechtlich ist das unzureichend.
Die Tabelle macht deutlich: Eine pauschale Berufung auf die TAN-Weitergabe reicht rechtlich nicht aus. Entscheidend ist, was in der TAN-Anzeige sichtbar war - und diesen Nachweis muss die Bank konkret führen. Wer diesen Punkt kennt, kann das Ablehnungsschreiben gezielt auf Lücken prüfen. Doch selbst die stärkste Rechtsposition nützt nichts, wenn eine entscheidende Frist verstreicht.
Den Erstattungsanspruch nach § 675u BGB so früh wie möglich geltend machen: Bank informieren, Kontozugang sperren lassen, alle verdächtigen Buchungen schriftlich beanstanden. Langes Zuwarten kann die spätere Durchsetzung erschweren, auch wenn das Gesetz keine feste Ausschlussfrist für die erstmalige Geltendmachung normiert.
13-Monate-Frist nach § 676b BGB: Warum sofortiges Handeln über alles entscheidet
Im nächsten Schritt ist eine Frist zu beachten, die viele Betroffene nicht kennen und die keinen Aufschub duldet: § 676b BGB normiert eine absolute Ausschlussfrist von 13 Monaten ab dem Abbuchungsdatum. In der weiteren Prüfung taucht daneben häufigPhishing bei Seniorenauf.
Wer diese Frist verstreichen lässt, verliert seinen Erstattungsanspruch vollständig - unabhängig davon, wie stark die eigene Rechtsposition inhaltlich wäre. Ein noch so überzeugender Sachverhalt, ein noch so lückenhaftes Ablehnungsschreiben der Bank: Ist die 13-Monate-Frist abgelaufen, ist der Anspruch endgültig erloschen. Eine Wiedereinsetzung gibt es nicht, eine Kulanzlösung im Nachhinein auch nicht.
Welche Unterlagen jetzt zählen
Hinzu kommt die Pflicht nach § 675l BGB: Kunden müssen die Sperranzeige unverzüglich nach Kenntniserlangung des Betrugs erstatten. Eine verzögerte Sperrung kann die eigene Haftungsquote erhöhen. Deshalb gelten nach Bekanntwerden des Schadens folgende Sofortmaßnahmen als zeitkritisch:
Sperranzeige sofort erstatten und Datum sowie Uhrzeit dokumentieren (§ 675l BGB)
Strafanzeige bei der Polizei erstatten - dient der Dokumentation des Betrugshergangs
Schriftliches Erstattungsverlangen mit konkreter Fristsetzung an die Bank senden
Alle nicht autorisierten Abbuchungen mit Datum und Betrag schriftlich beanstanden
13-Monate-Frist nach § 676b BGB im Kalender vermerken
Eine pauschale Bankablehnung ändert an der laufenden Frist nichts - sie beginnt ab dem ersten Tag der Abbuchung. Wer den Anspruch kennt und rechtzeitig geltend macht, erhält sich den Spielraum für die weiteren rechtlichen Schritte, einschließlich eines Aspekts, den viele Betroffene nicht auf dem Schirm haben.
Was ändert sich, wenn die Bank keine starke Authentifizierung eingesetzt hat?
Doch was passiert, wenn die Bank ihrerseits gegen gesetzliche Pflichten verstoßen hat? Seit der Umsetzung der europäischen PSD2-Richtlinie (Art. 72-74 PSD2) über die §§ 675c ff. BGB und das Zahlungsdiensteaufsichtsgesetz (ZAG) sind Banken bei elektronischen Zahlungen zur starken Kundenauthentifizierung (Strong Customer Authentication, SCA) verpflichtet. Hat die Bank dieses Zwei-Faktor-Verfahren nicht oder nicht ordnungsgemäß angewandt, greift § 675v Abs.
Für die praktische Planung kannIdentitätsdiebstahl nach Phishingentscheidend werden.
4 BGB: Die Haftung lässt sich dann nicht auf den Kunden abwälzen.
Wo die Frist praktisch beginnt
Das Ergebnis ist eindeutig: Fehlt der Nachweis einer regelkonformen SCA, entfällt die Kundenhaftung vollständig, unabhängig vom sonstigen Hergang der Phishing-Attacke.
Dokumentation der starken Kundenauthentifizierung
Fordern Sie von Ihrer Bank schriftlich an, ob bei der streitigen Transaktion eine SCA nach PSD2-Standard durchgeführt wurde und welche Protokolle dazu vorliegen. Lücken oder fehlende Nachweise in dieser Dokumentation stärken Ihren Erstattungsanspruch erheblich. Die Dokumentationspflicht liegt bei der Bank.
Dieser Aspekt ergänzt die Beweislastverteilung aus § 675w BGB: Weder die fehlende konkrete TAN-Beweisführung noch ein lückenhafter SCA-Nachweis liegt in der Sphäre des Kunden. Beides kann den Erstattungsanspruch stützen - und beides sollte bei der anwaltlichen Prüfung des Ablehnungsschreibens systematisch geprüft werden. Der nächste Schritt hängt oft davon ab, wieE-Mail-Phishing mit gefälschter Rechnungeinzuordnen ist.
Phishing-Erstattung durchsetzen: Der rechtssichere Weg Schritt für Schritt
Auf dieser Grundlage lässt sich die eigene Rechtsposition klar einordnen und der nächste Schritt konkret vorbereiten - wie es die betroffene Person aus unserem Eingangsfall getan hat.
Nachdem das Ablehnungsschreiben eingegangen war, ließ sie den Hergang anwaltlich prüfen. Die Analyse ergab: Das Institut hatte die Beweislast aus § 675w BGB nicht erfüllt. Es legte weder dar, welche Warnsignale in der TAN-Anzeige sichtbar gewesen wären, noch lieferte es eine vollständige SCA-Dokumentation. Das schriftliche Erstattungsverlangen ließ sich auf dieser Basis präzise formulieren. Die Bank revidierte ihre Position. Der Schaden wurde erstattet.
Was jetzt praktisch wichtig ist
Eine pauschale Ablehnung war also kein Ende - sie war der Anfang einer strukturierten rechtlichen Klärung.
Vorgehen nach einem Phishing-Schaden
- ◆Betrug sofort bei der Bank melden und Online-Zugang sperren lassen
- ◆Phishing-Kommunikation vollständig sichern: E-Mails, SMS, Telefonnotizen, Screenshots der gefälschten Seiten
- ◆Kontoauszüge für den Schadenszeitraum herunterladen und alle nicht autorisierten Buchungen markieren
Was danach zu prüfen ist
- ◆Schriftlichen Widerspruch gegen jede verdächtige Belastung einlegen
- ◆Strafanzeige bei der Polizei erstatten
- ◆Ablehnungsschreiben der Bank aufbewahren und Begründung auf konkreten Beweis prüfen
Welche Frist jetzt zählt
- ◆SCA-Dokumentation schriftlich bei der Bank anfordern
- ◆Anwaltliche Prüfung veranlassen, wenn die Bank pauschal grobe Fahrlässigkeit unterstellt, ohne dies zu belegen
Was Sie daraus mitnehmen
Was die Bank tatsächlich beweisen müsste
Viele Banken verweigern die Erstattung nach Phishing-Betrug, ohne den gesetzlich geforderten Beweis zu erbringen. Nach § 675w BGB genügt der bloße Hinweis auf PIN- und TAN-Nutzung nicht. Die Bank muss konkret darlegen, dass der Kunde eindeutige Warnsignale missachtet hat oder dass das SCA-Verfahren korrekt eingesetzt wurde.
Wer den Hergang präzise dokumentiert und die Bankreaktion rechtlich einordnet, steht deutlich besser da, als wenn er die Ablehnung hinnimmt.
Sie haben durch Phishing Geld verloren und die Bank lehnt die Erstattung mit dem Vorwurf grober Fahrlässigkeit ab? Wir prüfen, ob dieser Vorwurf rechtlich trägt und welche Schritte möglich sind. In der weiteren Prüfung taucht daneben häufigFake-Kundenservice beim Phishingauf.
Rechtliche Einschätzung anfragenHäufige Fragen zu Phishing und Bankerstattung
Das bedeutet in der Praxis, dass Betroffene regelmäßig ähnliche Fragen stellen - hier sind die vier häufigsten mit den gesetzlich korrekten Antworten.
Muss ich selbst beweisen, dass ich nicht grob fahrlässig war?
Nein. Die Beweislast liegt nach § 675w BGB ausdrücklich bei der Bank, nicht beim Kunden. Wer geltend macht, eine Zahlung nicht autorisiert zu haben, muss den Sachverhalt glaubhaft schildern. Den vollen Beweis für grobe Fahrlässigkeit muss jedoch das Kreditinstitut führen - mit konkreten Belegen zum Hergang, nicht mit pauschalen Formulierungen.
Was gilt, wenn ich die TAN selbst eingegeben habe?
Die entscheidende Frage ist nicht, ob eine TAN eingegeben wurde, sondern was in der TAN-Anzeige sichtbar war. Wies das Authentifizierungsverfahren einen abweichenden Empfänger oder einen anderen Betrag aus, und hat der Kunde das ignoriert, wertet der BGH (Az. XI ZR 91/14) das als grobe Fahrlässigkeit. Stimmten die Angaben in der Anzeige dagegen mit dem überein, was die Phishing-Seite vorgespiegelt hat, fehlt dieser Vorwurf.
Was, wenn die Bank nicht antwortet oder erneut pauschal ablehnt?
Betroffene haben mehrere Wege: eine Beschwerde bei der BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht), das Verfahren beim Ombudsmann der privaten Banken oder die zivilrechtliche Klage. Die BaFin-Beschwerde ist und zwingt die Bank zu einer begründeten Stellungnahme. Das Ombudsmannverfahren eignet sich für Streitwerte bis 10.000 Euro. Bei höheren Beträgen oder hartnäckiger Weigerung bleibt die Klage vor dem Zivilgericht.
Gilt dasselbe bei Kreditkarten-Phishing?
Ja. PSD2 sowie die §§ 675u ff. BGB gelten gleichermaßen für Kreditkartenzahlungen. Auch hier haftet die Bank grundsätzlich für nicht autorisierte Transaktionen, und auch hier liegt die Beweislast für grobe Fahrlässigkeit beim Kreditkarteninstitut. Die Rechtslage gilt also deutlich breiter als viele Betroffene vermuten - und macht den abschließenden Überblick umso wichtiger.
Fazit: Bank verweigert Phishing-Erstattung - das sind Ihre nächsten Schritte
Anders sieht es aus, wenn Betroffene die gesetzliche Lage kennen und die richtigen Schritte einleiten: Eine pauschale Bankablehnung ist dann kein rechtskräftiges Ende, sondern häufig der Beginn einer Auseinandersetzung, die sich lohnt.
Was danach entscheidend wird
Drei Kernbotschaften fassen die Rechtslage zusammen: Erstens begründet jede nicht autorisierte Zahlung dem Grunde nach einen Erstattungsanspruch nach § 675u BGB. Zweitens trägt die Bank nach § 675w BGB die Beweislast für grobe Fahrlässigkeit - nicht der Kunde; der bloße Nachweis der technischen Authentifizierung reicht nicht aus. Drittens erlischt der Anspruch gemäß § 676b BGB nach 13 Monaten ab der Abbuchung, ohne Ausnahme und ohne Wiedereinsetzung.
Wo Sie genauer hinschauen sollten
Eine anwaltliche Einschätzung zeigt, ob die Ablehnung der Bank die gesetzlichen Anforderungen an den Fahrlässigkeitsbeweis erfüllt. Viele Ablehnungsschreiben halten dieser Prüfung nicht stand.
KWAG Rechtsanwälte prüfen Ihren Fall: Schildern Sie uns den Phishing-Hergang und die Ablehnung Ihrer Bank. Wir zeigen Ihnen, auf welcher rechtlichen Grundlage Sie Ihren Erstattungsanspruch einfordern können.
Rechtliche Einschätzung anfragenRechtsquellen zur Einordnung
Jan-Henning Ahrens
Jan-Henning Ahrens und KWAG Rechtsanwälte beraten Mandanten insbesondere im Bankrecht, Kapitalmarktrecht, bei Anlage- und Internetbetrug sowie in wirtschaftsrechtlichen Streitigkeiten.
Mehr über die Kanzlei
