Geld nach chipTAN-Phishing weg - muss die Bank erstatten? Ja, in der Regel schon: Ihre Bank ist zur vollständigen Rückbuchung verpflichtet, wenn Sie die Überweisung nicht selbst freigegeben haben. § 675u BGB schreibt unverzügliche Erstattung vor; die Meldung muss innerhalb von 13 Monaten erfolgen. Grobe Fahrlässigkeit - etwa TAN-Herausgabe am Telefon trotz Warnung - kann den Anspruch ausschließen.
Ihr Konto wurde nach einer chipTAN-Eingabe leergeräumt und das Geld ist weg? Ob Phishing-Opfer die Erstattung erhalten, hängt davon ab, wer die Transaktion rechtlich autorisiert hat und wie schnell die Meldung erfolgt. Im Folgenden klären wir, wann die Bank haftet, welche Rolle grobe Fahrlässigkeit spielt und welche Schritte jetzt entscheiden.
Ein Kontoinhaber bemerkt an einem gewöhnlichen Tag, dass sein Girokonto deutlich weniger aufweist als erwartet. Kurz zuvor hatte er einen Anruf erhalten, der nach einem echten Bankmitarbeiter klang: technisches Problem, kurze Verifikation, alles Routine. Er hatte seine chipTAN bestätigt, ohne zu ahnen, dass der am TAN-Generator angezeigte Betrag und die Empfängerkontonummer nicht dem entsprachen, was ihm telefonisch kommuniziert worden war. Jetzt stehen mehrere Überweisungen im Kontoauszug, die er nicht in Auftrag gegeben hat.
Ein Blick in die gesetzlichen Grundlagen zeigt, warum die Aussage der Bank, der Kunde habe schließlich selbst die TAN eingegeben, rechtlich nicht das letzte Wort ist.
Gesetzliche Grundlagen: Wann muss die Bank nach Phishing erstatten?
Bevor wir die konkreten Fallgruppen und typischen Streitpunkte betrachten, ist der gesetzliche Rahmen zu klären, der Kontoinhabern bei Phishing-Betrug deutlich mehr Schutz bietet, als viele Banken in ihrer ersten Reaktion einräumen. Das Zahlungsdiensterecht im BGB (§§ 675c ff. BGB) legt Anspruchsgrundlagen und Beweislastverteilung präzise fest - und zwar zugunsten der Betroffenen.
§ 675u BGB
Erstattungspflicht bei nicht autorisierter Zahlung: Hat der Zahlungsdienstleister einen nicht autorisierten Zahlungsvorgang ausgeführt, ist er verpflichtet, dem Zahler den Zahlungsbetrag unverzüglich zu erstatten und das belastete Zahlungskonto wieder auf den Stand zu bringen, der ohne die Belastung bestanden hätte. Ein Aufwendungsersatzanspruch gegen den Kunden besteht in diesem Fall nicht.
Quelle öffnen →§ 675j BGB definiert die Autorisierung: Eine Zahlung gilt nur dann als wirksam genehmigt, wenn der Zahler dem konkreten Zahlungsvorgang zugestimmt hat - nicht einem ähnlichen oder telefonisch beschriebenen Vorgang, sondern genau dem, der tatsächlich ausgeführt wird. Die Zustimmung zu einem abweichenden Betrag oder Empfänger deckt die tatsächlich ausgeführte Transaktion nicht ab.
Worauf es jetzt ankommt
§ 675u BGB begründet die Erstattungspflicht direkt aus dieser fehlenden Zustimmung: Bei nicht autorisierter Zahlung muss die Bank den Betrag unverzüglich, spätestens bis zum Ende des nächsten Geschäftstags nach der Meldung, zurückbuchen. Der Anspruch entsteht mit der Meldung und ist nicht von einem laufenden Gerichtsverfahren abhängig.
§ 675v BGB regelt die Haftungsverteilung: Der Kunde haftet bis zu 50 Euro, wenn er leicht fahrlässig handelt. Bei grober Fahrlässigkeit gemäß § 675v Abs. 3 Nr. 2 BGB entfällt diese Haftungsbegrenzung vollständig - der Kunde trüge dann den gesamten Schaden. Entscheidend ist dabei: Der Beweis für grobe Fahrlässigkeit liegt nicht beim Kunden.
Was für die Einordnung zählt
§ 675w BGB legt die Beweislast fest: Die Bank muss nachweisen, dass die Authentifizierung ordnungsgemäß war. Der bloße Nachweis einer eingegebenen TAN genügt dafür nicht. Das ist der entscheidende Unterschied zur pauschalen Bankargumentation "TAN korrekt eingegeben, alles in Ordnung".
Was für den nächsten Schritt zählt
Das bedeutet konkret: Wer nach chipTAN-Phishing sofort handelt, steht auf einer gesetzlich gesicherten Grundlage. Welche Konstellationen in der Praxis entstehen und wie Gerichte diese bewerten, zeigt der folgende Abschnitt.
Was bedeutet autorisiert oder nicht: Welche Fallgruppen bei chipTAN-Phishing entscheidend sind in der Praxis?
Doch was auf den ersten Blick wie eine eindeutige Rechtslage aussieht, erweist sich im Detail als vielschichtig. Bei chipTAN-Phishing lassen sich drei Konstellationen unterscheiden, die rechtlich unterschiedlich bewertet werden und maßgeblich darüber entscheiden, ob der Erstattungsanspruch aus § 675u BGB trägt.
Welche Unterlagen jetzt zählen
Die erste Fallgruppe ist rechtlich die klarste: Gibt ein Täter selbst Überweisungen mit erbeuteten Zugangsdaten frei, ohne dass das Opfer in irgendeiner Weise mitgewirkt hat, fehlt es vollständig an einer Autorisierung im Sinne des § 675j BGB. Der Erstattungsanspruch nach § 675u BGB greift hier ohne Einschränkung.
Was Sie als Nächstes prüfen sollten
Anders sieht es aus, wenn das Opfer selbst eine TAN bestätigt hat, obwohl am Display des TAN-Generators Betrag und Empfänger sichtbar abwichen. In solchen Fällen hat ein Teil der Rechtsprechung die Transaktion als autorisiert gewertet, weil der Kunde die Abweichung hätte erkennen können.
Entscheidend ist die konkrete Frage, ob die Anzeige für das Opfer unter den gegebenen Umständen tatsächlich klar lesbar und die Abweichung erkennbar war - oder ob die Täter die Wahrnehmung des Opfers gezielt beeinflusst haben.
Wo die Frist praktisch beginnt
Der BGH hat in der Entscheidung XI ZR 20/24 klargestellt, dass eine technisch korrekt durchgeführte starke Kundenauthentifizierung (SCA) nach PSD2 nicht automatisch bedeutet, dass der Kunde den konkreten Zahlungsvorgang autorisiert hat. Entscheidend bleibt die tatsächliche Kenntnis des Kunden vom Inhalt der Transaktion - und genau diesen Maßstab legt § 675j BGB an.
Was jetzt praktisch wichtig ist
Auf dieser Grundlage wird deutlich, warum die genaue Rekonstruktion des Tatablaufs so wichtig ist: Was stand im Display? Was wurde telefonisch gesagt? Wich der angezeigte Inhalt vom mitgeteilten Verwendungszweck ab? Diese Tatsachenfragen entscheiden über den Ausgang des Verfahrens und müssen dokumentiert werden, bevor Erinnerungen verblassen.
Worauf Sie im Alltag achten sollten
Die zweite Bewährungsprobe folgt, wenn die Bank den Erstattungsanspruch pauschal ablehnt - dieser Schritt wird im folgenden Abschnitt behandelt.
Was bedeutet wenn die Bank ablehnt: Grobe Fahrlässigkeit als Streitpunkt in der Praxis?
Genau hier wird es kritisch: Viele Betroffene erleben nach der Schilderung ihres Falls eine knappe Bankablehnung. So auch unser Kontoinhaber - die Antwort lautet: TAN korrekt eingegeben, Transaktion technisch ordnungsgemäß ausgeführt, kein Erstattungsanspruch. Das ist der Wendepunkt seiner Geschichte und der Moment, an dem viele aufgeben. Rechtlich ist es jedoch kein Endpunkt, sondern ein Ausgangspunkt - denn grobe Fahrlässigkeit nach § 675v Abs. 3 Nr.
Der nächste Schritt hängt oft davon ab, wie Phishing-Schäden bei Bankkunden einzuordnen ist.
Was danach entscheidend wird
2 BGB muss die Bank konkret nachweisen.
Wo Sie genauer hinschauen sollten
Banken berufen sich in ihrer Ablehnung typischerweise auf drei Argumente: Der Kunde habe die TAN am Telefon mitgeteilt; er habe Warnhinweise beim Online-Banking ignoriert; er habe gegen Sicherheitsregeln verstoßen. Diese Argumente klingen zunächst plausibel. Sie entheben die Bank aber nicht ihrer Beweispflicht nach § 675w BGB - pauschale Hinweise auf allgemeine Sicherheitsregeln genügen den Anforderungen der Gerichte nicht.
Welche Prüfung jetzt sinnvoll ist
- TAN am Telefon nennen, nachdem der Anrufer ausdrücklich davor gewarnt hat - Bestätigung einer TAN, obwohl Betrag und Empfänger im Display offensichtlich nicht dem telefonisch geschilderten Vorgang entsprechen - Weitergabe von PIN oder Passwort per E-Mail oder Telefon
Gerichte differenzieren beim Begriff der groben Fahrlässigkeit erheblich. Wenn Täter professionell vorgehen und das Opfer gezielt über den angezeigten Zahlungsvorgang im Unklaren lassen, kann grobe Fahrlässigkeit ausgeschlossen sein. Die Bank muss den konkreten Verstoß des konkreten Kunden im konkreten Vorfall darlegen und beweisen - nicht eine abstrakte Verletzung irgendwelcher Sicherheitshinweise.
§ 675w BGB
Beweislast bei der Bank: Der Zahlungsdienstleister muss nachweisen, dass der Zahlungsvorgang authentifiziert sowie ordnungsgemäß aufgezeichnet, verbucht und nicht durch eine technische Panne oder einen anderen Fehler beeinträchtigt wurde. Der Nachweis einer korrekten Authentifizierung allein genügt nicht.
Quelle öffnen →Daraus folgt: Eine Ablehnung durch die Bank ist kein rechtskräftiges Urteil, sondern die Position einer Partei in einem Rechtsstreit. Welche Fristen dabei unbedingt einzuhalten sind und welche Sofortschritte jetzt entscheiden, zeigt der nächste Abschnitt.
Welche Frist gilt nach dem Phishing-Betrug?
Im nächsten Schritt kommt es auf ein Detail an, das viele Betroffene unterschätzen: Die Meldung an die Bank ist nicht nur ein bürokratischer Akt, sondern die zwingende Voraussetzung für den Erhalt des Erstattungsanspruchs überhaupt. § 675z BGB setzt eine starre Ausschlussfrist, die keinerlei Ausnahmen kennt. In der weiteren Prüfung taucht daneben häufig Phishing bei Senioren auf.
13 Monate sind eine Ausschlussfrist
Nach § 675z BGB erlischt der Erstattungsanspruch, wenn die nicht autorisierte Transaktion nicht innerhalb von 13 Monaten ab Kontobelastung bei der Bank gemeldet wird. Diese Frist ist keine Verjährungsfrist, sondern eine Ausschlussfrist: nach ihrem Ablauf ist der Anspruch endgültig verloren, unabhängig davon, wie stark der Sachverhalt inhaltlich wäre. Banken berufen sich in Streitfällen aktiv auf diese Frist.
Was in Schritt 12 zählt
Betroffene sollten den Widerspruch schriftlich einlegen - mit genauer Bezeichnung der betroffenen Buchungen nach Datum, Betrag und Empfänger sowie dem ausdrücklichen Hinweis, dass es sich um nicht autorisierte Zahlungsvorgänge im Sinne von § 675u BGB handelt. Ein formloser Brief mit diesen Informationen genügt; ein Einschreiben mit Rückschein sichert den Zugang.
Parallel zur Meldung bei der Bank sollte unverzüglich eine Strafanzeige bei der Polizei wegen Computerbetrugs nach § 263a StGB erstattet werden. Diese Anzeige ist nicht nur für die strafrechtliche Verfolgung relevant, sondern dokumentiert das Tatgeschehen zu einem frühen Zeitpunkt und kann im späteren zivilrechtlichen Verfahren gegen die Bank als Beweismittel dienen.
Was in Schritt 13 zählt
Alle Kommunikation mit dem mutmaßlichen Täter - SMS, E-Mails, Anrufprotokolle, Phishing-Nachrichten - muss sofort gesichert werden, bevor diese Spuren verloren gehen. Diese Belege sind im Streit mit der Bank oft das entscheidende Mittel, um den Ablauf des Social-Engineering-Angriffs zu rekonstruieren und zu belegen, dass das Opfer gezielt getäuscht wurde.
Was in Schritt 12 zählt
Sind Meldung und Sicherung erledigt, folgt die strukturierte Durchsetzung des Anspruchs.
Schritt für Schritt: So setzen Betroffene den Erstattungsanspruch durch
Das bedeutet für unseren Kontoinhaber: Er hat fristgemäß Widerspruch eingelegt, eine Strafanzeige erstattet und alle Belege gesichert. Jetzt folgt der dritte Beat seiner Geschichte - die Durchsetzung des Anspruchs nach § 675u BGB, außergerichtlich oder, falls nötig, gerichtlich. Für die praktische Planung kann Identitätsdiebstahl nach Phishing entscheidend werden.
Was in Schritt 14 zählt
Der erste Schritt nach der Meldung ist das schriftliche Erstattungsbegehren: ein formeller Brief an die Bank, in dem der nicht autorisierte Zahlungsvorgang konkret benannt, auf § 675u BGB verwiesen und eine kurze Frist zur Rückbuchung gesetzt wird. Die Bank ist gesetzlich zur unverzüglichen Erstattung verpflichtet - spätestens bis zum Ende des nächsten Geschäftstags nach der Meldung.
Was in Schritt 13 zählt
Diese Frist gilt unabhängig davon, ob die Bank den Sachverhalt noch intern prüft.
Was in Schritt 12 zählt
Kontoauszüge sichern: alle betroffenen Buchungen mit Datum und Betrag dokumentieren
Bank kontaktieren: Online-Banking sperren lassen und schriftlichen Widerspruch einreichen
Strafanzeige erstatten: Anzeige bei der Polizei wegen Computerbetrugs (§ 263a StGB)
Belege aufbewahren: SMS, E-Mails, Anrufprotokolle und Phishing-Nachrichten sichern
Frist einhalten: Meldung innerhalb von 13 Monaten nach § 675z BGB
Ablehnung prüfen lassen: Bankschreiben anwaltlich einschätzen lassen, bevor weitere Schritte folgen
Falls die Bank ablehnt oder nur unter Vorbehalt zahlt, ist anwaltliche Unterstützung sinnvoll. Eine anwaltliche Erstprüfung klärt, ob das Bankverhalten dem gesetzlichen Rahmen entspricht, wie belastbar das Argument der groben Fahrlässigkeit im konkreten Fall ist und welche außergerichtlichen oder gerichtlichen Optionen realistisch sind. Was Betroffene selbst erledigen können: Widerspruch, Strafanzeige, Belegsicherung und schriftliches Erstattungsbegehren.
Ab wann anwaltliche Unterstützung sinnvoll ist: sobald die Bank ablehnt, eine Frist zu verstreichen droht oder die Fahrlässigkeitsfrage rechtlich eingeschätzt werden muss.
Ihre Bank hat die Erstattung nach chipTAN-Phishing abgelehnt oder auf grobe Fahrlässigkeit verwiesen? Wir prüfen, ob Ihr Anspruch besteht und welche Schritte sinnvoll sind.
Rechtliche Einschätzung anfragenWelche Unterlagen jetzt zählen
Für die Anspruchsprüfung zählen Kontoauszüge, TAN-Generator-Anzeigen, Phishing-Nachrichten, Telefonnotizen, Strafanzeige und das Ablehnungsschreiben der Bank. Entscheidend ist die genaue Chronologie: Wann kam die Täuschung, welche TAN wurde erzeugt und welche Zahlung wurde damit tatsächlich ausgelöst?
Häufige Fragen zu chipTAN-Phishing und Bankerstattung
Anders sieht es aus, als viele Betroffene nach dem ersten Bankschreiben vermuten: Die Rechtslage ist differenzierter, als eine pauschale Ablehnung suggeriert. Die folgenden Fragen greifen die häufigsten Unsicherheiten auf und zeigen, wo die gesetzlichen Weichenstellungen liegen. Der nächste Schritt hängt oft davon ab, wie E-Mail-Phishing mit gefälschter Rechnung einzuordnen ist.
Muss die Bank erstatten, wenn ich die TAN selbst bestätigt habe?
Nicht automatisch, aber die Frage ist komplexer als sie klingt. Entscheidend ist, ob Sie dem konkreten Zahlungsvorgang tatsächlich zugestimmt haben. Wer eine TAN bestätigt, weil ihm ein völlig anderer Verwendungszweck genannt wurde, hat nach § 675j BGB möglicherweise nicht autorisiert. Die genauen Umstände - was stand im Display, was wurde telefonisch gesagt - sind ausschlaggebend.
Was gilt, wenn der angezeigte Betrag am TAN-Generator von der telefonischen Aussage abwich?
Das ist ein zentraler Streitpunkt. Ein Teil der Rechtsprechung wertet die Bestätigung einer sichtbar abweichenden Anzeige als Autorisierung. Ein anderer Teil fragt, ob die Abweichung für das Opfer unter den konkreten Umständen tatsächlich erkennbar war. Der BGH hat in XI ZR 20/24 klargestellt, dass technische Korrektheit der SCA nicht automatisch Autorisierung im Sinne des § 675j BGB bedeutet.
Verliere ich den Anspruch, wenn ich die Phishing-Mail selbst geöffnet habe?
Das Öffnen einer Phishing-Mail allein begründet keine grobe Fahrlässigkeit. Grobe Fahrlässigkeit im Sinne des § 675v Abs. 3 Nr. 2 BGB setzt voraus, dass der Kunde eine besondere Sorgfaltspflicht in erheblichem Maß verletzt hat. Das bloße Öffnen einer täuschend echten E-Mail erfüllt diesen Maßstab in der Regel nicht.
Gilt die 13-Monats-Frist auch, wenn der Betrug erst spät entdeckt wurde?
Ja. Die Frist nach § 675z BGB beginnt mit der Kontobelastung, nicht mit der Entdeckung des Betrugs. Wer die betroffenen Buchungen lange nicht bemerkt, verliert nach Ablauf der 13 Monate seinen Anspruch endgültig. Regelmäßige Kontoprüfung ist deshalb ein wirksamer Schutz.
Hilft eine Strafanzeige für den zivilrechtlichen Erstattungsweg?
Indirekt ja. Die Strafanzeige dokumentiert den Sachverhalt frühzeitig und kann im zivilrechtlichen Streit als Beweismittel dienen - etwa um den Ablauf des Social-Engineering-Angriffs zu belegen. Sie ersetzt den zivilrechtlichen Anspruch nicht, stärkt aber die Beweisposition des Betroffenen gegenüber der Bank erheblich.
Ihre Rechte nach chipTAN-Phishing: Das Wichtigste auf einen Blick
Auf dieser Grundlage lässt sich festhalten: Wer nach einem chipTAN-Phishing-Angriff Geld verloren hat, ist rechtlich nicht schutzlos. Die gesetzlichen Anspruchsgrundlagen sind stark - vorausgesetzt, sie werden richtig und fristgerecht geltend gemacht. In der weiteren Prüfung taucht daneben häufig Fake-Kundenservice beim Phishing auf.
Was in Schritt 14 zählt
Drei Kernpunkte prägen jede Auseinandersetzung mit der Bank. Erstens: Nicht autorisierte Zahlungen sind nach § 675u BGB erstattungspflichtig; die Beweislast für die Autorisierung trägt die Bank, nicht der Kunde. Zweitens: Grobe Fahrlässigkeit nach § 675v Abs. 3 Nr. 2 BGB muss die Bank konkret darlegen und beweisen - pauschale Verweise auf Sicherheitsregeln genügen nicht.
Was in Schritt 13 zählt
Drittens: Die 13-Monate-Frist nach § 675z BGB ist eine Ausschlussfrist; sofortige schriftliche Meldung ist deshalb der wichtigste erste Schritt.
Was in Schritt 15 zählt
Ein Ablehnungsschreiben der Bank ist kein rechtskräftiges Urteil. Es ist der Beginn einer rechtlichen Auseinandersetzung, die mit der richtigen Strategie gewonnen werden kann.
Haben Sie nach chipTAN-Phishing Geld verloren und Ihre Bank verweigert die Erstattung? Schildern Sie uns den Sachverhalt. Anwaltliche Prüfung klärt den Anspruch und bereitet den nächsten Schritt vor.
Rechtliche Einschätzung anfragenRechtsquellen zur Einordnung
Jan-Henning Ahrens
Jan-Henning Ahrens und KWAG Rechtsanwälte beraten Mandanten insbesondere im Bankrecht, Kapitalmarktrecht, bei Anlage- und Internetbetrug sowie in wirtschaftsrechtlichen Streitigkeiten.
Mehr über die Kanzlei
