Muss ich Strafanzeige erstatten, damit die Bank mein Geld zurückzahlt? Nein, der Erstattungsanspruch besteht unabhängig davon. Banken sind nach § 675u BGB verpflichtet, nicht autorisierte Zahlungen unverzüglich zu erstatten. Eine Strafanzeige ist keine gesetzliche Anspruchsvoraussetzung. Entscheidend ist die fristgerechte Meldung an die Bank: Wer den nicht autorisierten Vorgang nicht innerhalb von 13 Monaten nach der Kontobelastung anzeigt, verliert seinen Anspruch.
Sie haben durch Phishing Geld verloren und die Bank macht die Erstattung von einer Strafanzeige abhängig? Diese Forderung hat keine gesetzliche Grundlage und berührt Ihren Anspruch nicht. Im Folgenden klären wir, welche Normen greifen, wann die Bank grobe Fahrlässigkeit einwenden kann und welche Fristen zu beachten sind.
Ein Girokonto-Inhaber stellt beim Blick auf den Kontoauszug fest, dass eine erhebliche Summe abgebucht wurde, ohne dass er eine Überweisung veranlasst hatte. Kurz zuvor war eine E-Mail eingegangen, die täuschend echt nach einer Nachricht der Hausbank aussah, und er hatte in der Eile seine Zugangsdaten eingegeben. Die Bank reagierte auf die sofortige Meldung nicht mit einer Erstattung, sondern mit einem knappen Hinweis: Ohne polizeiliche Strafanzeige werde der Vorgang nicht weiter bearbeitet.
Die Forderung nach einer Strafanzeige trifft Betroffene in einem Moment, in dem der Druck ohnehin hoch ist: Das Geld ist weg, der Schaden real, und die Bank signalisiert Passivität. Dabei ist die Rechtslage klarer, als dieser Hinweis vermuten lässt. Das BGB regelt den Erstattungsanspruch nach nicht autorisierten Zahlungen eigenständig, ohne ein Strafverfahren als Voraussetzung zu nennen.
Dieser Artikel zeigt, auf welcher gesetzlichen Grundlage der Anspruch beruht, welche Fristen wirklich gelten und welche Schritte den Erstattungsweg in der Praxis eröffnen.
Was bedeutet gesetzliche Grundlage: Was das BGB bei nicht autorisierten Zahlungen regelt in der Praxis?
Bevor wir die Bankforderung nach einer Strafanzeige rechtlich einordnen können, müssen die zentralen Normen des Zahlungsdiensterechts klar sein, denn auf ihnen beruht der gesamte Erstattungsanspruch.
Der Anspruch nach einem Phishing-Angriff ergibt sich nicht aus dem Kulanzermessen der Bank, sondern unmittelbar aus dem Gesetz. Zentraler Anknüpfungspunkt ist der Begriff der Autorisierung: Nur Zahlungsvorgänge, denen der Kontoinhaber wirksam zugestimmt hat, darf die Bank dem Konto belasten. Fehlt diese Zustimmung, ist der Vorgang nicht autorisiert, und der gesetzliche Erstattungsanspruch entsteht kraft Gesetzes, ohne dass es einer Strafanzeige bedürfte.
Worauf es jetzt ankommt
§ 675u BGB
§ 675u BGB verpflichtet die Bank, den Zahlbetrag bei einem nicht autorisierten Zahlungsvorgang unverzüglich zu erstatten. Ein Verschulden des Kontoinhabers ist keine Voraussetzung für diesen Anspruch. Er entsteht, sobald feststeht, dass der Kontoinhaber den Vorgang nicht autorisiert hat.
Quelle öffnen →Was für die Einordnung zählt
Die Autorisierung setzt nach § 675j BGB eine wirksame Zustimmung des Kontoinhabers voraus. Wer auf eine gefälschte Bank-E-Mail hereinfällt und seine Zugangsdaten eingibt, hat den daraufhin ausgelösten Zahlungsvorgang in der Regel gerade nicht willentlich freigegeben. Entscheidend ist dabei die Perspektive des § 675w BGB: Die Beweislast für eine wirksame Autorisierung liegt bei der Bank.
Allein der Umstand, dass eine TAN im Buchungsvorgang protokolliert ist, reicht nicht aus, um eine wirksame Zustimmung zu belegen. Die Bank muss darlegen, dass das Authentifizierungsverfahren fehlerfrei und ohne technische Manipulation abgelaufen ist.
Was für den nächsten Schritt zählt
Ergänzend regelt § 675l BGB die Sorgfaltspflichten des Kontoinhabers: Er muss sein Zahlungsinstrument sicher aufbewahren und die Bank bei Verdacht auf Missbrauch unverzüglich informieren. Eine Pflicht zur Erstattung einer Strafanzeige enthält diese Norm nicht. Welche Konsequenzen die Verletzung dieser Sorgfaltspflichten hat, klärt der folgende Abschnitt zur Haftungsverteilung.
Phishing-Betrug konkret: Wann haftet die Bank, wann der Kontoinhaber?
Genau hier liegt der Kern vieler Auseinandersetzungen zwischen Bankkunden und Instituten: Bei wem verbleibt der Schaden, wenn Zugangsdaten durch eine gefälschte Bank-E-Mail abgegriffen wurden?
Was Sie als Nächstes prüfen sollten
Bei klassischen Phishing-Angriffen geben Betroffene ihre Zugangsdaten auf einer täuschend echt wirkenden Nachbildung der Banken-Website ein. Häufig folgt eine manipulierte TAN-Abfrage, über die Täter eine Überweisung auslösen. Der Kontoinhaber erfährt davon erst beim nächsten Kontoauszug. § 675v BGB regelt die Haftungsverteilung differenziert: Leichte Fahrlässigkeit schränkt die Kundenhaftung auf maximal 50 Euro ein. Grobe Fahrlässigkeit oder Vorsatz können zur vollen Eigenhaftung führen.
Welche Unterlagen jetzt zählen
Grobe Fahrlässigkeit im Sinne von § 675v BGB liegt vor, wenn der Kontoinhaber die im Zahlungsverkehr übliche Sorgfalt in besonders schwerem Maße außer Acht gelassen hat. Das Öffnen einer täuschend echten Phishing-Mail begründet das nicht automatisch. Gerichte ziehen zur Beurteilung Einzelumstände heran: Wurden die Zugangsdaten auf einer erkennbar unseriösen Seite eingegeben? Lagen deutliche Warnsignale vor, die offensichtlich ignoriert wurden?
Wurde eine ungewöhnlich hohe Summe ohne Rückfrage freigegeben? Diese Einzelfragen entscheiden, nicht der bloße Ablauf des Phishing-Vorgangs.
Banken setzen den Vorwurf der groben Fahrlässigkeit häufig als Abwehrargument ein. Die Beweislast liegt nach § 675w BGB bei der Bank: Sie muss konkret darlegen, worin das schwere Verschulden besteht. Ein pauschaler Hinweis auf die Eingabe von PIN und TAN reicht nach überwiegender Rechtsprechung nicht aus.
Wie belastend dieser Vorwurf in der Praxis wirkt, zeigt der nächste Abschnitt, der den Praxisfall aus dem Eingang an seinem Wendepunkt weiterführt.
Was bedeutet häufige Streitpunkte: Wenn die Bank grobe Fahrlässigkeit behauptet oder die Strafanzeige zur Bedingung macht in der Praxis?
Doch was bedeutet es für Betroffene konkret, wenn die Bank beide Argumente kombiniert, also sowohl grobe Fahrlässigkeit andeutet als auch eine Strafanzeige zur Voraussetzung erklärt? Der nächste Schritt hängt oft davon ab, wie Phishing-Schäden bei Bankkunden einzuordnen ist.
Der Girokonto-Inhaber aus dem Praxisfall erlebte genau das: Neben der Strafanzeige-Forderung erhielt er den beiläufigen Hinweis der Bank, er habe möglicherweise grob fahrlässig gehandelt, da er Zugangsdaten eingegeben habe. Die Ungewissheit wuchs, denn zum finanziellen Druck kam nun ein rechtliches Fragezeichen.
Wo die Frist praktisch beginnt
Gleichzeitig lief die Zeit: Die Ausschlussfrist von 13 Monaten nach Kontobelastung beginnt nicht erst mit der Ablehnung durch die Bank, sondern mit dem Buchungsdatum. Das Ablehnungsschreiben enthielt keinen konkreten Umstand, der das schwere Verschulden hätte belegen können.
Rechtlich ist die Position der Bank in diesem Punkt klar einzuordnen. Das BGB kennt keine Norm, die den zivilrechtlichen Erstattungsanspruch an die Erstattung einer Strafanzeige knüpft. Der Anspruch aus § 675u BGB entsteht kraft Gesetzes, sobald ein Zahlungsvorgang nicht autorisiert war. Eine Strafanzeige kann von der Bank als Mitwirkungsobliegenheit im Rahmen der Schadensaufklärung formuliert werden.
Was jetzt praktisch wichtig ist
Sie ändert aber nichts an der Erstattungspflicht nach § 675u BGB und ist keine Voraussetzung, die der Kontoinhaber erfüllen muss, bevor sein Anspruch entsteht.
Worauf Sie im Alltag achten sollten
§ 675l BGB
§ 675l BGB legt dem Kontoinhaber auf, ein Zahlungsinstrument sorgfältig zu verwahren und den Missbrauch unverzüglich der Bank zu melden. Diese Meldepflicht richtet sich an die Bank, nicht an Polizei oder Staatsanwaltschaft. Eine Strafanzeige ist weder Tatbestandsmerkmal dieser Vorschrift noch Anspruchsvoraussetzung nach § 675u BGB.
Quelle öffnen →Anders sieht es aus, wenn die Bank grobe Fahrlässigkeit konkret und mit Einzelumständen belegt: Dann verschiebt sich die Haftungsverteilung nach § 675v Abs. 3 BGB zulasten des Kontoinhabers. Solange dieser Beweis ausbleibt, bleibt die Bank in der Pflicht. Welche Fristen dabei unbedingt einzuhalten sind, zeigt der folgende Abschnitt.
Welche Frist gilt nach dem Phishing-Betrug?
Daraus folgt unmittelbar eine praktische Konsequenz: Wer nach einem Phishing-Angriff zögert oder auf eine gütliche Einigung mit der Bank wartet, riskiert, seinen gesetzlichen Anspruch zu verlieren, unabhängig davon, ob Strafanzeige erstattet wurde oder nicht. In der weiteren Prüfung taucht daneben häufig Phishing bei Senioren auf.
Der Erstattungsanspruch muss innerhalb von 13 Monaten nach dem Zeitpunkt der Kontobelastung gegenüber der Bank geltend gemacht werden. Wer diese Frist versäumt, verliert seinen Anspruch. Die Frist beginnt nicht mit der Entdeckung des Schadens, sondern mit dem Datum der Buchung.
Neben der 13-Monats-Frist enthält § 675u BGB eine weitere Vorgabe: Die Bank muss nach einer wirksamen Meldung des nicht autorisierten Vorgangs unverzüglich erstatten, spätestens bis zum Ende des nächsten Geschäftstags. Diese Pflicht besteht unabhängig davon, ob ein Strafverfahren eingeleitet wurde oder ob die Bank noch eigene Prüfungen anstellt.
Was danach entscheidend wird
Die erste Maßnahme nach einem Phishing-Verdacht ist daher die sofortige Sperrung des Onlinebankings und aller betroffenen Zugangsdaten. Jede Verzögerung kann als Verletzung der Obliegenheit aus § 675l BGB gewertet werden. Im Anschluss sollte die Bank schriftlich über den Vorfall informiert werden, mit einer Schilderung des Ablaufs, dem Zeitpunkt der Entdeckung und einer ausdrücklichen Erstattungsbitte unter Berufung auf § 675u BGB.
Datum und Uhrzeit der Meldung sowie der vollständige Inhalt der Bankantwort sollten sorgfältig dokumentiert werden.
Wo Sie genauer hinschauen sollten
Eine Strafanzeige bei der Polizei kann parallel erstattet werden. Sie dokumentiert den Vorfall amtlich, kann Banken bei der Schadensaufklärung helfen und wird vom BSI sowie dem Bundeskriminalamt als Best Practice empfohlen. Rechtlich zwingend für den Erstattungsanspruch ist sie nicht. Im nächsten Schritt zeigt sich, wie diese Grundlagen in der Praxis in eine konkrete Vorgehensweise übersetzt werden.
Vorgehen Schritt für Schritt: Den Erstattungsanspruch gegenüber der Bank durchsetzen
Im nächsten Schritt geht es darum, die rechtliche Ausgangslage in konkrete Handlungen zu übersetzen, denn ein bestehender Anspruch nutzt wenig, wenn er nicht richtig geltend gemacht wird. Für die praktische Planung kann Identitätsdiebstahl nach Phishing entscheidend werden.
Welche Prüfung jetzt sinnvoll ist
Der Girokonto-Inhaber aus dem Praxisfall handelte schließlich auf genau dieser Grundlage: Er stellte den Erstattungsanspruch schriftlich unter ausdrücklicher Berufung auf § 675u BGB, setzte der Bank eine klare Frist und dokumentierte alle vorhandenen Belege. Parallel erstattete er Strafanzeige, nicht weil die Bank es als Bedingung stellen durfte, sondern weil ein amtliches Aktenzeichen die weitere Kommunikation mit dem Institut erleichterte.
Was in Schritt 12 zählt
Die Bank hatte im Ablehnungsschreiben grobe Fahrlässigkeit behauptet, ohne konkrete Umstände zu benennen. Das genügte den Anforderungen des § 675w BGB nicht. Auf dieser Basis ließ sich der Anspruch rechtlich klar formulieren und mit anwaltlicher Unterstützung gegenüber der Bank vertreten.
Was in Schritt 13 zählt
Onlinebanking sofort sperren (Banknotrufnummer oder direkt in der App)
Alle Passwörter zu betroffenen Konten ändern
Schadensmeldung schriftlich an die Bank: Datum, Ablauf und Erstattungsbitte unter Berufung auf § 675u BGB dokumentieren
Kontoauszüge sichern und alle Buchungspositionen rund um den Schaden erfassen
Phishing-E-Mail als Datei aufbewahren und Screenshots anfertigen, nicht löschen
Schriftliche Bankauskunft zu Buchungsdatum und abgebuchter Summe anfordern
Frist im Blick behalten: Meldung muss innerhalb von 13 Monaten nach Kontobelastung erfolgen
Erstattungsanspruch schriftlich gegenüber der Bank geltend machen, optional parallel Strafanzeige erstatten
Bei Ablehnung oder ausbleibendem Bescheid: anwaltliche Einschätzung einholen
Wer die Schritte dieser Checkliste konsequent abarbeitet, hat die wesentliche Voraussetzung für den Erstattungsanspruch erfüllt: eine fristgerechte, schriftlich dokumentierte Meldung an die Bank. Nicht der Kontoinhaber muss seine Unschuld beweisen, sondern die Bank muss nach § 675w BGB nachweisen, dass die Transaktion ordnungsgemäß autorisiert war und die Authentifizierungssysteme fehlerfrei funktionierten.
Ihre Bank lehnt die Erstattung ab oder macht sie von einer Strafanzeige abhängig? Wir prüfen Ihren Anspruch und bereiten den nächsten Schritt vor.
Rechtliche Einschätzung anfragenLegen Sie Bescheid, Nachweise, Fristen und bisherige Schreiben nebeneinander. Dadurch wird schneller klar, ob ein Antrag ergänzt, ein Widerspruch begründet oder ein neuer Schritt vorbereitet werden muss. [/INFO]
Häufige Fragen zu Phishing, Strafanzeige und Bankerstattung
Auf dieser Grundlage lassen sich die Fragen beantworten, die Betroffene in der Praxis am häufigsten stellen, bevor sie entscheiden, ob und wie sie ihren Anspruch weiterverfolgen. Der nächste Schritt hängt oft davon ab, wie E-Mail-Phishing mit gefälschter Rechnung einzuordnen ist.
Muss ich Strafanzeige erstatten, damit die Bank mein Geld erstattet?
Nein. Die Strafanzeige ist keine gesetzliche Anspruchsvoraussetzung nach § 675u BGB. Der Erstattungsanspruch besteht unabhängig davon, ob ein Strafverfahren eingeleitet wird. Die Bank kann die Strafanzeige als Mitwirkungsobliegenheit bei der Schadensaufklärung erwähnen, darf davon aber nicht die Erstattung abhängig machen.
Was gilt als grobe Fahrlässigkeit beim Phishing, und wer muss das beweisen?
Grobe Fahrlässigkeit liegt vor, wenn die im Zahlungsverkehr übliche Sorgfalt in besonders schwerem Maße verletzt wurde. Die Beweislast trägt nach § 675w BGB die Bank. Sie muss konkrete Umstände benennen, nicht nur pauschal auf die Eingabe von Zugangsdaten verweisen. Das bloße Vorhandensein eines TAN-Protokolls reicht nicht aus.
Was kann ich tun, wenn die Bank die Erstattung verweigert oder verzögert?
Zunächst sollte die Ablehnung schriftlich angefordert und der Anspruch erneut unter Fristsetzung geltend gemacht werden. Bleibt die Bank bei ihrer Position, kann anwaltliche Prüfung die Durchsetzung sichern, da die Bank in einem Rechtsstreit die Beweislast für ihre Ablehnung trägt.
Verliere ich den Anspruch, wenn ich keine Strafanzeige erstattet habe?
Nein. Das Fehlen einer Strafanzeige berührt den Erstattungsanspruch nach § 675u BGB nicht. Entscheidend ist allein, dass der Vorgang innerhalb von 13 Monaten nach Kontobelastung gegenüber der Bank angezeigt wurde.
Wie lange habe ich Zeit, den nicht autorisierten Vorgang bei der Bank zu melden?
Die Ausschlussfrist beträgt nach § 676b Abs. 2 BGB 13 Monate ab dem Buchungsdatum, nicht ab dem Tag der Entdeckung. Wer diese Frist versäumt, verliert seinen gesetzlichen Erstattungsanspruch.
Zusammenfassung: Ihre Rechte nach einem Phishing-Angriff auf einen Blick
Das bedeutet für Betroffene: Der gesetzliche Schutz ist klar, aber er setzt fristgerechtes Handeln voraus. In der weiteren Prüfung taucht daneben häufig Fake-Kundenservice beim Phishing auf.
Was in Schritt 14 zählt
Die Kernergebnisse dieses Artikels lassen sich auf fünf Punkte verdichten. Erstens: Eine Strafanzeige ist keine gesetzliche Anspruchsvoraussetzung. Zweitens: Die Erstattungspflicht der Bank folgt aus § 675u BGB und entsteht kraft Gesetzes, sobald der Zahlungsvorgang nicht autorisiert war. Drittens: Die Beweislast für grobe Fahrlässigkeit liegt nach § 675w BGB bei der Bank, nicht beim Kontoinhaber. Viertens: Die 13-Monats-Frist nach § 676b Abs.
Was in Schritt 12 zählt
2 BGB beginnt mit dem Buchungsdatum und darf nicht übersehen werden. Fünftens: Schriftliche Geltendmachung, vollständige Dokumentation und, wenn nötig, anwaltliche Prüfung sichern den Weg zur Erstattung.
Was in Schritt 15 zählt
Wer nach einem Phishing-Angriff sofort handelt, die Bank schriftlich informiert und seinen Anspruch klar auf § 675u BGB stützt, steht auf einer soliden gesetzlichen Grundlage. Die Forderung nach einer Strafanzeige ist kein rechtliches Hindernis, sondern eine Bankpraxis, die sich mit dem Gesetz nicht vereinbaren lässt.
Wenn Ihre Bank eine Erstattung ablehnt oder eine Strafanzeige als Bedingung stellt, können wir Ihren Anspruch einschätzen und den nächsten Schritt mit Ihnen vorbereiten.
Rechtliche Einschätzung anfragenRechtsquellen zur Einordnung
Jan-Henning Ahrens
Jan-Henning Ahrens und KWAG Rechtsanwälte beraten Mandanten insbesondere im Bankrecht, Kapitalmarktrecht, bei Anlage- und Internetbetrug sowie in wirtschaftsrechtlichen Streitigkeiten.
Mehr über die Kanzlei
