Kann ich das Geld zurückbekommen, wenn meine Debitkarte durch Phishing missbraucht wurde? Ja - und meistens schnell: Die Bank muss nicht autorisierte Abbuchungen unverzüglich erstatten, spätestens am nächsten Geschäftstag nach Kenntnisnahme. § 675u BGB verpflichtet dazu; bei einfacher Fahrlässigkeit bleibt die eigene Haftung auf höchstens 50 Euro begrenzt (§ 675v BGB).
Sie haben nach einem Phishing-Angriff fremde Abbuchungen auf Ihrem Debitkartenkonto entdeckt und fragen sich, ob die Bank den Schaden erstatten muss? Dann ist die 13-Monats-Frist ab Buchungsdatum der entscheidende Hebel, um den Erstattungsanspruch zu sichern. Im Folgenden klären wir, welche Normen gelten, wann grobe Fahrlässigkeit die Haftung verschiebt und welche Sofortmaßnahmen nach dem Betrug rechtlich zählen.
Auf dem Kontoauszug fallen einem berufstätigen Nutzer gleich mehrere Buchungen ins Auge, die er sich nicht erklären kann. Die Summen sind einzeln betrachtet überschaubar, zusammen übersteigen sie aber deutlich die gesetzliche Eigenhaftungsgrenze. Kurz zuvor hatte er eine E-Mail erhalten, die täuschend echt wie eine Sicherheitsanfrage seiner Bank aussah: Link, Login-Maske, Push-TAN-Bestätigung - alles wie gewohnt. Erst der Kontoauszug zeigt, was dieser Klick ausgelöst hatte.
Wer nach einem solchen Angriff das Gespräch mit seiner Bank sucht, steht oft vor einer überraschend klaren Rechtsposition. Dieser Artikel erklärt, welche gesetzlichen Erstattungsansprüche greifen, welche Fristen unbedingt einzuhalten sind und wie das richtige Vorgehen Schritt für Schritt aussieht - von der Kartensperre bis zur schriftlichen Forderung auf gesetzlicher Grundlage.
Was bedeutet gesetzliche Grundlage: § 675u BGB und die Pflicht zur unverzüglichen Erstattung in der Praxis?
Bevor wir die einzelnen Betrugsszenarien betrachten, lohnt sich ein präziser Blick auf das Gesetz: Die Erstattungspflicht der Bank hängt nicht von ihrem Kulanzwillen ab, sondern ist gesetzlich zwingend geregelt und greift unabhängig davon, wie die Bank den Vorfall intern bewertet.
§ 675u BGB - Erstattungspflicht bei nicht autorisierten Zahlungsvorgängen
Liegt ein nicht autorisierter Zahlungsvorgang vor, ist der Zahlungsdienstleister verpflichtet, den Betrag unverzüglich zu erstatten und das Konto auf den Stand zurückzusetzen, auf dem es ohne die Belastung wäre. Die Frist endet spätestens am Ende des folgenden Geschäftstags nach Kenntnisnahme.
Quelle öffnen →Nach § 675j BGB gilt eine Zahlung nur dann als wirksam, wenn der Zahler ihr zugestimmt hat. Beim Phishing wird diese Zustimmung durch Täuschung erschlichen: Der Nutzer glaubt, mit seiner eigenen Bank zu kommunizieren, erteilt faktisch aber einem Dritten die Freigabe. Eine so erschlichene Zustimmung ist keine wirksame Autorisierung im Rechtssinne - auch dann nicht, wenn dabei eine echte TAN korrekt eingegeben wurde.
Worauf es jetzt ankommt
Das zentrale Gegenargument gegen pauschale Bankablehnungen liefert § 675w BGB: Die Beweislast dafür, ob ein Zahlungsvorgang tatsächlich autorisiert war, liegt bei der Bank - nicht beim Kontoinhaber. Sie muss nachweisen, dass der Vorgang authentisch und technisch fehlerfrei war. Ein bloßer Verweis auf eine korrekt eingegebene TAN oder PIN reicht dafür nach neuerer Rechtsprechung nicht aus. Bei einfacher Fahrlässigkeit bleibt die Eigenhaftung nach **§ 675v Abs.
1 BGB auf maximal 50 Euro** begrenzt; erst bei grober Fahrlässigkeit oder Vorsatz kann die Bank höhere Eigenanteile geltend machen.
Was Sie als Nächstes prüfen sollten
Damit steht das gesetzliche Fundament fest. Doch welche konkreten Betrugsformen fallen überhaupt unter diese Schutzregel - und wie grenzt man autorisierte von nicht autorisierten Zahlungen in der Praxis ab?
Phishing, Quishing, Fernzugriff: Wann gilt eine Debitkartenzahlung als nicht autorisiert?
Doch was bedeutet "nicht autorisiert" im Alltag der Debitkarten-Nutzung konkret? Anhand typischer Betrugsmuster lässt sich die Abgrenzung gut zeigen - und deutlich machen, dass die Fallgruppen breiter sind, als viele Betroffene vermuten.
Was für die Einordnung zählt
Klassisches E-Mail-Phishing ist nach wie vor die verbreitetste Variante. Eine täuschend echt gestaltete E-Mail führt auf eine gefälschte Bankwebsite, wo Zugangsdaten und TANs abgegriffen werden. Betrüger nutzen diese Daten unmittelbar für Echtzeitzahlungen. Da die Zustimmung durch Täuschung erschlichen wurde, liegt keine wirksame Autorisierung nach § 675j BGB vor.
Was für den nächsten Schritt zählt
Quishing funktioniert nach demselben Prinzip, nur über QR-Codes: Ein gescannter Code leitet auf eine Phishing-Seite weiter, wie sie verstärkt in gefälschten Paketankündigungen oder auf manipulierten Parkscheinautomaten auftritt.
Welche Unterlagen jetzt zählen
Beim Fernzugriffsbetrug überreden Betrüger ihr Opfer per Telefon, eine Fernwartungssoftware zu installieren. Damit erlangen sie vollen Zugriff auf das Gerät und veranlassen Zahlungen direkt aus dem Online-Banking, während das Opfer glaubt, mit einem Bankmitarbeiter zu sprechen - und jede Handlung in gutem Glauben ausführt.
Wo die Frist praktisch beginnt
TAN-Missbrauch und Wallet-Betrug betreffen Fälle, in denen Freigaben für digitale Bezahldienste wie Apple Pay oder Google Pay erschlichen werden; die anschließenden Einkäufe gehen zu Lasten des Opfers, das zu keinem Zeitpunkt zugestimmt hat.
Screenshots der Phishing-Nachricht, vollständige Kontoauszüge mit den streitigen Buchungen und sämtliche Bankkorrespondenz sollten unmittelbar nach Entdeckung des Betrugs gesichert werden. Diese Unterlagen sind später die Grundlage für Widerspruch, Strafanzeige und anwaltliche Prüfung.
In allen diesen Fallgruppen fehlt die wirksame Autorisierung nach § 675j BGB. Genau an diesen Fallgruppen setzen Banken jedoch an, wenn sie Erstattungen ablehnen - und berufen sich dabei auf ein Argument, das viele Betroffene überrascht und zunächst lähmend wirkt.
Warum lehnen Banken Erstattungen ab? Beweisrisiken und der Vorwurf grober Fahrlässigkeit
Genau hier wird es kritisch: Als der Nutzer aus unserem Praxisfall seine Bank kontaktierte, erhielt er eine pauschale Ablehnung. Die Bank verwies darauf, er habe selbst eine Push-TAN bestätigt - das belege die Autorisierung. Außerdem habe er auf eine erkennbare Phishing-Mail hereingefallen, was grobe Fahrlässigkeit nach § 675v Abs. 3 BGB begründe und ihn für den gesamten Schaden haften lasse. Die Nachricht lautete sinngemäß: selbst schuld.
Der nächste Schritt hängt oft davon ab, wie Erstattung nach Phishing einzuordnen ist.
Diese Argumentation klingt schlüssig, hält aber einer rechtlichen Prüfung häufig nicht stand. Banken stützen sich in solchen Fällen oft auf den sogenannten Anscheinsbeweis: Eine korrekt authentifizierte Transaktion gelte als autorisiert. Dieser Beweis kann jedoch erschüttert werden, wenn nachgewiesen wird, dass Sicherheitsmerkmale durch einen gezielten Phishing-Angriff kompromittiert wurden. Nach § 675w BGB trägt die Bank die Beweislast für Authentizität und technische Korrektheit.
Was jetzt praktisch wichtig ist
Gerichte haben in vergleichbaren Konstellationen den Anscheinsbeweis abgelehnt, wenn die Phishing-Kommunikation professionell gestaltet war und keine für einen durchschnittlichen Nutzer erkennbaren Warnzeichen enthielt.
Worauf Sie im Alltag achten sollten
Grobe Fahrlässigkeit im Sinne des § 675v BGB setzt voraus, dass der Nutzer die verkehrserforderliche Sorgfalt in besonders schwerem Maße verletzt hat. Das Reagieren auf eine E-Mail, die optisch und sprachlich der echten Bankkommunikation entspricht, erfüllt diesen Maßstab nicht automatisch.
Was danach entscheidend wird
Wer also auf eine täuschend echte Phishing-Seite hereinfällt, ohne dabei offensichtliche Warnsignale - ausdrückliche Hinweise des Browsers, auffällige Absenderadressen, grobe Rechtschreibfehler - ignoriert zu haben, bleibt grundsätzlich auf den gesetzlichen 50-Euro-Eigenanteil beschränkt.
Wo Sie genauer hinschauen sollten
Viele Erstablehnungen der Bank beruhen auf formelhaften Standardschreiben, die den individuellen Sachverhalt nicht wirklich prüfen. Wer eine solche Ablehnung erhält, sollte sie nicht als rechtskräftige Entscheidung betrachten. Die Ablehnung eröffnet das Widerspruchsverfahren - nicht das Ende des Anspruchs.
Das bedeutet, dass weder eine bestätigte TAN noch eine pauschale Ablehnung der Bank automatisch das letzte Wort sind. Im nächsten Schritt kommt es entscheidend darauf an, die richtigen Fristen zu kennen und keine davon verstreichen zu lassen - denn hier liegt eine der häufigsten Fallen für Betroffene.
Welche Frist gilt für den nächsten Schritt?
Anders sieht es aus, wenn Betroffene zu lange warten: Selbst ein klar begründeter Erstattungsanspruch kann erlöschen, wenn die gesetzlichen Fristen versäumt werden - unabhängig davon, wie eindeutig der Betrug nachweisbar wäre. In der weiteren Prüfung taucht daneben häufig Phishing bei Senioren auf.
Die wichtigste Frist ist die 13-Monats-Einwendungsfrist nach § 676b BGB. Sie beginnt mit dem Buchungsdatum der nicht autorisierten Zahlung und läuft unabhängig davon, ob die Bank bereits informiert wurde. Wer innerhalb dieser Frist keinen schriftlichen Widerspruch einlegt, verliert seinen Anspruch auf Erstattung.
Welche Prüfung jetzt sinnvoll ist
Diese Frist ist strikt von der 8-Wochen-Frist bei SEPA-Lastschriften zu unterscheiden: Letztere gilt für autorisierte Zahlungen ohne hinreichenden Grund und beruht auf einer ganz anderen Rechtsgrundlage. Wer die beiden Fristen verwechselt, riskiert eine falsche Einschätzung seiner Handlungszeitfenster.
Was in Schritt 12 zählt
Daneben besteht die Pflicht aus § 675l BGB: Wer von einem Verlust, Diebstahl oder Missbrauch seines Zahlungsinstruments Kenntnis erlangt, muss den Zahlungsdienstleister unverzüglich informieren und die Sperre veranlassen. Eine verspätete Sperrmeldung kann die Eigenhaftung erhöhen, weil Betrüger in der Zwischenzeit weitere Buchungen veranlassen können.
Was in Schritt 13 zählt
Die Erstattungsfrist aus § 675u BGB selbst - spätestens am Ende des nächsten Geschäftstags - beginnt erst mit der Kenntnisnahme des Zahlungsdienstleisters, nicht automatisch mit dem Betrugsvorfall.
Karte sofort sperren: Banking-App, Sperrnotruf 116 116 oder direkt in der Bankfiliale
Bank schriftlich informieren und Widerspruch gegen alle nicht autorisierten Buchungen einlegen
Phishing-Nachricht (E-Mail, SMS oder QR-Code) als Screenshot sichern und archivieren
Vollständige Kontoauszüge mit den streitigen Buchungen dokumentieren
Strafanzeige bei der Polizei erstatten - sichert das genaue Datum der Kenntnisnahme
Schriftliche Stellungnahme der Bank anfordern und die 13-Monats-Frist nach § 676b BGB notieren
Zugangsdaten und Passwörter für Online-Banking sofort ändern
Anwaltliche Prüfung einleiten, solange die Frist noch läuft
Wer diese Schritte konsequent umsetzt, legt die Grundlage für den entscheidenden nächsten Schritt: die schriftliche Erstattungsforderung an die Bank, mit der die gesetzlichen Normen konkret geltend gemacht werden.
Schritt für Schritt zur Erstattung: Das richtige Vorgehen nach Phishing-Betrug mit der Debitkarte
Im nächsten Schritt geht es darum, den Erstattungsanspruch konkret und rechtssicher geltend zu machen - und genau hier setzt die Auflösung unseres Praxisfalls an. Für die praktische Planung kann gefälschte Onlinebanking-Loginseite entscheidend werden.
Nachdem der Nutzer aus unserer Einleitung die Situation sortiert hatte, handelte er strukturiert: Er ließ die Karte sperren, sicherte sämtliche Belege - die Phishing-E-Mail, die Kontoauszüge mit den streitigen Buchungen, die gesamte Korrespondenz mit der Bank - und wandte sich mit einem schriftlichen Widerspruch an seinen Zahlungsdienstleister.
Was in Schritt 14 zählt
In diesem Schreiben benannte er konkret § 675u BGB als Grundlage seines Erstattungsanspruchs, verwies auf § 675w BGB als Beweislastnorm und setzte der Bank eine klare Frist zur Rückmeldung. Die pauschale Erstablehnung war damit kein Schlusswort mehr, sondern der Beginn eines rechtlich dokumentierten Verfahrens - mit veränderter Verhandlungsposition.
Was in Schritt 15 zählt
Hält die Bank nach einem anwaltlichen Aufforderungsschreiben an ihrer Ablehnung fest, kommen zwei weitere Wege in Betracht: ein zivilrechtliches Klageverfahren oder das Ombudsmannverfahren. Banken, die einem Bankenverband angehören, haben Ombudsstellen eingerichtet, bei denen Beschwerden ohne eigene Kosten eingereicht werden können. Dieses Verfahren unterbricht keine gesetzlichen Fristen und schließt weitere rechtliche Schritte nicht aus - es kann parallel zu einer anwaltlichen Prüfung genutzt werden.
„Die Beweislast liegt bei der Bank - nicht beim Kontoinhaber. Wer die richtigen Normen benennt und schriftlich Widerspruch einlegt, verändert die Verhandlungsposition grundlegend."
Auf dieser Grundlage lassen sich die häufigsten Fragen, die Betroffene nach einem Phishing-Angriff stellen, direkt und klar beantworten.
Bevor Sie die nächsten Schritte prüfen
Wichtig ist zuerst die Einordnung, welche Entscheidung, Frist oder Forderung tatsächlich betroffen ist. Erst danach sollte die praktische Checkliste abgearbeitet werden. Legen Sie Unterlagen, Fristen und die bisherige Kommunikation zusammen, bevor Sie den nächsten Schritt festlegen.
Häufige Fragen zum Phishing-Betrug mit der Debitkarte
Daraus folgt, dass viele Unsicherheiten nach einem Phishing-Vorfall auf wenige Kernfragen zurückgehen. Die folgenden Antworten orientieren sich an den gesetzlichen Normen, die dieser Artikel erläutert hat. Der nächste Schritt hängt oft davon ab, wie Phishing-Schaden rechtlich einordnen einzuordnen ist.
Wie hoch ist der Erstattungsbetrag bei Phishing?
Grundsätzlich ist der gesamte nicht autorisierte Betrag zu erstatten (§ 675u BGB). Bei einfacher Fahrlässigkeit verbleibt ein Eigenanteil von maximal 50 Euro (§ 675v Abs. 1 BGB). Bei fehlender grober Fahrlässigkeit und rechtzeitiger Sperrmeldung übernimmt der Zahlungsdienstleister den verbleibenden Schaden vollständig.
Was gilt, wenn die Bank grobe Fahrlässigkeit behauptet?
Die Bank muss grobe Fahrlässigkeit beweisen - nicht der Nutzer seine Sorgfalt (§ 675w BGB). Das bloße Hereinfallen auf eine täuschend echte Phishing-Seite begründet grobe Fahrlässigkeit nicht automatisch. Maßgeblich ist, ob der Nutzer offensichtliche, für einen durchschnittlichen Bankkunden erkennbare Warnzeichen ignoriert hat.
Wie lange habe ich Zeit, den Betrug zu melden?
Die Sperr- und Anzeigepflicht nach § 675l BGB greift unverzüglich nach Kenntniserlangung. Der Erstattungsanspruch selbst erlischt nach 13 Monaten ab Buchungsdatum (§ 676b BGB). Beide Fristen sind unabhängig voneinander zu beachten - die Meldepflicht schützt vor weiteren Schäden, die Einwendungsfrist sichert den bestehenden Anspruch.
Was ist der Unterschied zwischen Debitkarten- und Kreditkartenbetrug bei der Erstattung?
Beide unterfallen denselben gesetzlichen Normen der §§ 675u ff. BGB. Bei Kreditkarten kommen zusätzlich vertragliche Rückbuchungsrechte (Chargeback) ins Spiel, die bei Debitkarten seltener vertraglich verankert sind. Die gesetzliche Erstattungspflicht gilt jedoch für beide Kartenarten gleichermaßen.
Wann ist anwaltliche Hilfe sinnvoll?
Nach einer Erstablehnung der Bank, bei Vorwurf grober Fahrlässigkeit oder wenn die 13-Monats-Frist zu laufen beginnt. Eine anwaltliche Prüfung klärt, ob der individuelle Sachverhalt die Voraussetzungen des § 675u BGB erfüllt und ob die Beweisführung der Bank im konkreten Fall rechtlich haltbar ist.
Sie haben nach einem Phishing-Angriff unbekannte Debitkartenbuchungen entdeckt und die Bank verweigert die Erstattung? Wir prüfen Ihren Anspruch nach § 675u BGB innerhalb der laufenden 13-Monats-Frist.
Rechtliche Einschätzung anfragenZusammenfassung: Ihre Rechte bei Debitkarten-Betrug und der nächste Schritt
Das deutsche Zahlungsdiensterecht gibt Betroffenen von Phishing-Angriffen klare Instrumente an die Hand. § 675u BGB verpflichtet die Bank zur unverzüglichen Erstattung nicht autorisierter Zahlungsvorgänge; die Beweislast liegt beim Zahlungsdienstleister (§ 675w BGB). Bei einfacher Fahrlässigkeit beträgt die Eigenhaftungsgrenze 50 Euro (§ 675v Abs. 1 BGB). In der weiteren Prüfung taucht daneben häufig Bankhaftung nach Phishing auf.
Die 13-Monats-Frist nach § 676b BGB und die Sperrmeldepflicht nach § 675l BGB sind konsequent einzuhalten - sie entscheiden darüber, ob der Anspruch noch durchsetzbar ist.
Was in Schritt 12 zählt
Eine pauschale Bankablehnung ist kein Schlusswort. Wer strukturiert handelt - Karte sperren, Belege sichern, schriftlich widersprechen, anwaltliche Prüfung einleiten - verändert die Ausgangslage grundlegend. Vor allem bei streitiger Beweislage oder beim Vorwurf grober Fahrlässigkeit kann eine frühzeitige anwaltliche Prüfung den Unterschied zwischen vollständiger Erstattung und dauerhaftem Verlust ausmachen.
Phishing-Betrug und Erstattungsablehnung der Bank? Schildern Sie uns Ihren Fall - anwaltliche Prüfung klärt, ob und wie Ihr Anspruch nach § 675u BGB durchgesetzt werden kann.
Rechtliche Einschätzung anfragenRechtsquellen zur Einordnung
Jan-Henning Ahrens
Jan-Henning Ahrens und KWAG Rechtsanwälte beraten Mandanten insbesondere im Bankrecht, Kapitalmarktrecht, bei Anlage- und Internetbetrug sowie in wirtschaftsrechtlichen Streitigkeiten.
Mehr über die Kanzlei
