Wurde durch Phishing Geld von Ihrer girocard abgebucht? Das bedeutet: Sie bekommen das Geld in der Regel zurück, denn die Bank haftet für Abbuchungen, die Sie nicht selbst veranlasst haben. § 675u BGB verpflichtet sie zur unverzüglichen Erstattung. Sie müssen den Fall spätestens 13 Monate nach der Belastung melden.
Sie sehen auf Ihrem Kontoauszug Abbuchungen über Ihre girocard, die Sie nicht veranlasst haben, und vermuten Phishing als Ursache? Ob die Bank erstatten muss, hängt entscheidend davon ab, ob ihr der Nachweis grober Fahrlässigkeit gelingt. Im Folgenden klären wir, welche Rechte Ihnen zustehen, wann die Bank haftet und worauf es bei der Meldung ankommt.
Beim Durchsehen der monatlichen Kontoauszüge fällt einer berufstätigen Person auf, dass mehrere Beträge abgebucht wurden, die sie nie veranlasst hat. Die girocard steckt noch in der Geldbörse, ein Verlust ist ausgeschlossen. Was zunächst wie ein Zahlungsfehler wirkt, entpuppt sich als Folge einer Phishing-Attacke: Eine E-Mail, die täuschend echt nach der Hausbank aussah, hatte zur Eingabe von Zugangsdaten und einer TAN auf einer gefälschten Website geführt. Die entscheidende Frage lautet nun: Bin ich selbst schuld, weil ich auf den Link geklickt habe?
Dieser Schockmoment ist vielen Betroffenen bekannt. Wichtig zu wissen: Der Umstand, dass jemand auf eine professionell gefälschte E-Mail hereingefallen ist, begründet für sich genommen noch keine grobe Fahrlässigkeit. Ein Blick in die gesetzlichen Grundlagen zeigt, warum die Bank in solchen Fällen grundsätzlich in der Pflicht steht.
Was das Gesetz regelt: Haftung der Bank bei nicht autorisierten Zahlungsvorgängen
Bevor wir die einzelnen Betrugsformen im Detail betrachten, lohnt ein genauer Blick auf den rechtlichen Rahmen, den das Bürgerliche Gesetzbuch für genau diese Situationen geschaffen hat.
Das Zahlungsdiensterecht im BGB enthält klare Vorgaben, die zugunsten von Bankkunden wirken. Entscheidend ist zunächst der Begriff der Autorisierung: Nach § 675j BGB gilt ein Zahlungsvorgang nur dann als wirksam autorisiert, wenn der Zahler dem Vorgang tatsächlich wirksam zugestimmt hat, also aus freiem Willen und in Kenntnis der wesentlichen Umstände.
Worauf es jetzt ankommt
Eine durch Täuschung erschlichene Eingabe von Zugangsdaten und TAN auf einer gefälschten Website erfüllt diese Voraussetzung nicht, denn die Zustimmung war weder frei noch informiert.
Was für die Einordnung zählt
§ 675u BGB – Erstattungspflicht bei nicht autorisiertem Zahlungsvorgang
„Im Falle eines nicht autorisierten Zahlungsvorgangs hat der Zahlungsdienstleister des Zahlers diesem den Zahlungsbetrag unverzüglich zu erstatten und das Zahlungskonto wieder so zu stellen, als wäre es nicht zu der Belastung gekommen."
Quelle öffnen →Besonders bedeutsam ist die Frage, wer im Streitfall den Beweis führen muss. Nach § 675w BGB liegt die Beweislast dafür, dass ein Zahlungsvorgang ordnungsgemäß autorisiert war, bei der Bank und nicht beim Kunden. Kann die Bank keinen Beweis für grobe Fahrlässigkeit oder Vorsatz erbringen, bleibt es bei der vollen Erstattungspflicht. § 675v BGB begrenzt zudem die eigene Haftung: Bei leichter Fahrlässigkeit sind es maximal 50 Euro.
Was Sie als Nächstes prüfen sollten
Erst bei grobem Verschulden oder Vorsatz trägt der Kontoinhaber das volle Risiko bis zur Sperranzeige.
Damit ist der gesetzliche Schutzrahmen abgesteckt. Doch welche konkreten Angriffsmethoden fallen tatsächlich unter diesen Schutz, und warum liegt in jedem dieser Fälle keine wirksame Autorisierung vor?
Welche Phishing-Methoden die Bank zur Erstattung verpflichten
Doch was bedeutet das konkret, wenn man sich vor Augen führt, wie vielfältig Phishing-Angriffe heute in der Praxis auftreten?
Bei der klassischen Methode des Skimmings werden Kartendaten unbemerkt an Geldautomaten oder Zahlungsterminals ausgelesen. Die Täter erstellen eine Kopie der girocard und buchen Beträge zu einem späteren Zeitpunkt ab. Der Karteninhaber hat zu keinem Zeitpunkt einer Zahlung zugestimmt. Beim Social Engineering hingegen geben sich Täter telefonisch als Bankmitarbeiter aus und bringen Betroffene durch psychologischen Druck dazu, Kartendaten oder PIN mitzuteilen.
Was für den nächsten Schritt zählt
Auch hier fehlt es an einer wirksamen, freiwilligen Zustimmung.
Welche Unterlagen jetzt zählen
Beim klassischen Online-Banking-Phishing versenden Täter E-Mails, die optisch der echten Bankkorrespondenz täuschend ähnlich sehen. Die eingebetteten Links führen auf gefälschte Websites. Das Bundesamt für Sicherheit in der Informationstechnik benennt typische Merkmale solcher Seiten: unpersönliche Anrede, Drohungen bei Nichthandeln sowie minimal veränderte Domains, die auf den ersten Blick nicht als Fälschung erkennbar sind.
Wo die Frist praktisch beginnt
Neben diesen klassischen Formen sind weitere Methoden bekannt, die denselben gesetzlichen Schutz auslösen:
Was jetzt praktisch wichtig ist
- ◆Quishing: Manipulierte QR-Codes leiten auf Phishing-Seiten um und ermöglichen das Abfangen von Zugangsdaten.
- ◆Remote-Support-Scam: Ein angeblicher Support-Mitarbeiter erhält per Fernzugriffssoftware Kontrolle über das Gerät des Opfers und löst Überweisungen aus.
- ◆SIM-Swap: Täter übertragen eine Mobilnummer auf eine neue SIM-Karte und fangen TAN-Nachrichten ab, bevor sie beim Kontoinhaber ankommen.
- ◆Wallet-Missbrauch: In digitalen Geldbörsen hinterlegte Kartendaten werden ohne Wissen des Inhabers für Zahlungen genutzt.
In allen diesen Konstellationen fehlt die wirksame Zustimmung des Kontoinhabers. Der Erstattungsanspruch nach § 675u BGB greift damit grundsätzlich. Anders sieht es aus, wenn die Bank dem Kunden grobe Fahrlässigkeit nachweisen kann, und genau dieser Punkt ist in der Praxis der häufigste und folgenreichste Streitpunkt.
Was bedeutet wenn die Bank grobe Fahrlässigkeit behauptet: Typische Streitpunkte und Beweisprobleme in der Praxis?
Genau hier wird es kritisch: Viele Banken reagieren auf die erste Meldung eines Phishing-Schadens nicht mit einer Erstattung, sondern mit einem Pauschalverweis auf eigenes Verschulden des Kunden. Der nächste Schritt hängt oft davon ab, wie Phishing-Schäden bei Bankkunden einzuordnen ist.
Hier erlebt die berufstätige Person aus unserem Praxisfall den entscheidenden Wendepunkt ihrer Geschichte. Die Bank verweigert bei der Erstmeldung die Rückbuchung mit der Begründung, die Kundin habe durch das Klicken auf einen Phishing-Link sowie die Eingabe von Zugangsdaten und TAN auf einer gefälschten Seite grob fahrlässig gehandelt.
Worauf Sie im Alltag achten sollten
Dieser Vorwurf trifft einen wunden Punkt: Das schlechte Gewissen, auf eine professionell gestaltete Fälschung hereingefallen zu sein, verstärkt die Unsicherheit darüber, ob der eigene Anspruch überhaupt berechtigt ist. Das Machtungleichgewicht zwischen einer auf solche Ablehnungen spezialisierten Bank und einer betroffenen Einzelperson ist an diesem Punkt besonders spürbar.
Was danach entscheidend wird
Rechtlich trägt diese pauschale Ablehnung jedoch nicht. Nach § 675w BGB muss die Bank konkret darlegen und beweisen, welches grob fahrlässige Verhalten im jeweiligen Einzelfall vorgelegen haben soll. Die bloße Tatsache, dass eine TAN auf einer gefälschten Seite eingegeben wurde, genügt nach der Rechtsprechung nicht als Beweis für grobe Fahrlässigkeit.
Wo Sie genauer hinschauen sollten
Grob fahrlässig handelt nur, wer eine elementare Sorgfaltspflicht in besonders schwerem Maß verletzt, beispielsweise wer die PIN auf einem Zettel in der Geldbörse aufbewahrt oder wer sich trotz offensichtlicher Hinweise auf eine Fälschung nicht beirren lässt. Eine professionell nachgebaute Bankwebsite, die selbst technisch versierte Nutzer täuscht, rechtfertigt diesen Vorwurf in der Regel nicht.
Welche Prüfung jetzt sinnvoll ist
Viele Banken lehnen Erstattungsansprüche zunächst mit dem pauschalen Hinweis auf Eigenverschulden ab, ohne diesen Vorwurf konkret zu belegen. Eine solche Ablehnung ohne substantiierte Begründung genügt den zivilrechtlichen Anforderungen nicht. Betroffene sollten ihren Anspruch nicht aufgeben, bevor er anwaltlich geprüft wurde.
Bevor Sie die nächsten Schritte prüfen
Wichtig ist zuerst die Einordnung, welche Entscheidung, Frist oder Forderung tatsächlich betroffen ist. Erst danach sollte die praktische Checkliste abgearbeitet werden. Legen Sie Unterlagen, Fristen und die bisherige Kommunikation zusammen, bevor Sie den nächsten Schritt festlegen.
Wer versteht, dass die Beweislast nach § 675w BGB bei der Bank liegt, erkennt auch, warum Fristen für Betroffene so entscheidend sind. Selbst ein materiell berechtigter Anspruch kann nämlich verloren gehen, wenn er zu spät geltend gemacht wird.
Welche Frist gilt nach dem Phishing-Betrug?
Daraus folgt eine praktische Konsequenz, die viele Betroffene zunächst unterschätzen: Neben dem materiellen Anspruch kommt es auch auf den richtigen Zeitpunkt der Meldung an, und hier lauert eine der gefährlichsten Fallen im gesamten Verfahren. In der weiteren Prüfung taucht daneben häufig Phishing bei Senioren auf.
§ 675j Abs. 2 BGB schreibt vor, dass der Kunde nicht autorisierte Zahlungsvorgänge unverzüglich nach Feststellung bei der Bank anzeigen muss. Das bedeutet nicht, dass eine bestimmte Tageszahl gilt. Der Begriff "unverzüglich" verlangt jedoch zeitnahes Handeln nach der Entdeckung, also innerhalb weniger Tage nach dem Moment, in dem eine sorgfältige Prüfung der Kontoauszüge die unbekannten Buchungen sichtbar gemacht hätte.
Was in Schritt 12 zählt
Wer Kontoauszüge nur vierteljährlich prüft, riskiert damit, dass die Bank ihm eine verzögerte Meldung entgegenhält.
Was in Schritt 13 zählt
Nicht autorisierte Zahlungsvorgänge müssen spätestens 13 Monate nach dem Tag der Belastungsbuchung bei der Bank gemeldet werden. Wer diese Frist versäumt, verliert seinen Erstattungsanspruch, unabhängig davon, ob die Bank grundsätzlich haften würde. Voraussetzung ist, dass die Bank den Kunden ordnungsgemäß über die Belastung informiert hat, etwa durch Kontoauszüge oder Online-Umsätze.
Die Sperranzeige ist in diesem Zusammenhang ein eigenständig wichtiges Instrument: Nach ihrer Erstattung haftet der Karteninhaber nach § 675v Abs. 3 BGB grundsätzlich nicht mehr für neue nicht autorisierte Zahlungen, die nach dem Sperrzeitpunkt entstehen. Das eigene finanzielle Risiko ist damit ab diesem Moment auf das bereits entstandene Schaden begrenzt.
Praxishinweis: Wer alle betroffenen Buchungen mit Datum auf einem Blick erfasst und den Zeitpunkt der Entdeckung dokumentiert, schafft damit die Grundlage, um sowohl die Unverzüglichkeit der Meldung als auch die Einhaltung der 13-Monate-Frist belegen zu können.
Was in Schritt 14 zählt
Mit diesem Wissen um Fristen und Beweislast ist der Weg zu einem konkreten Handlungsplan vorgezeichnet.
Schritt für Schritt: Was Sie nach Phishing-Abbuchungen von der girocard tun können
Im nächsten Schritt geht es darum, dieses Rechtswissen in konkrete Handlungen zu übersetzen, denn eine gute Ausgangslage nützt wenig ohne zügige und strukturierte Reaktion. Für die praktische Planung kann Identitätsdiebstahl nach Phishing entscheidend werden.
Die berufstätige Person aus unserem Praxisfall zieht aus dem Wendepunkt die richtigen Konsequenzen: Sie erstattet Strafanzeige bei der Polizei, beanstandet alle strittigen Buchungen schriftlich bei der Bank mit klarer Fristsetzung und stützt die Forderung ausdrücklich auf § 675u BGB. Sie dokumentiert Kontoauszüge, die Phishing-Mail und die gesamte Korrespondenz mit dem Kreditinstitut.
Was in Schritt 12 zählt
Das Ergebnis dieser konsequenten Vorgehensweise: Die Bank nimmt eine Neubewertung vor, denn nun ist erkennbar, dass die Betroffene ihre Rechte kennt und bereit ist, sie durchzusetzen. Anwaltliche Begleitung stellt dabei sicher, dass das Schreiben an die Bank die richtigen Normen benennt und die Beweislastverteilung nach § 675w BGB ausdrücklich adressiert.
Was in Schritt 13 zählt
Kontoauszüge mit den nicht autorisierten Buchungen (vollständig, mit Datum)
Schriftliche Meldung an die Bank inklusive Datum der Entdeckung und Fristsetzung
Polizeiliches Aktenzeichen nach Strafanzeige
Screenshots oder Ausdrucke der Phishing-Mail bzw. der gefälschten Website
Ablehnungsschreiben der Bank (falls vorhanden)
Gesamte Korrespondenz mit dem Zahlungsdienstleister
Eigene Zeitleiste: wann fiel der Vorfall auf, wann wurde er gemeldet?
Die Reihenfolge der Schritte ist dabei nicht beliebig. Zuerst die girocard sperren lassen (Sperr-Notruf 116 116), dann Strafanzeige erstatten, dann die Bank schriftlich beanstanden und dabei die 13-Monate-Frist im Blick behalten. Je vollständiger diese Unterlagen vorliegen, desto besser lässt sich der Erstattungsanspruch begründen und desto schwerer hat es die Bank, eine pauschale Ablehnung aufrechtzuerhalten.
Geld nach Phishing-Angriff abgebucht und die Bank lehnt die Erstattung ab? Wir prüfen Ihren Anspruch und bereiten den nächsten Schritt vor.
Rechtliche Einschätzung anfragenLegen Sie Bescheid, Nachweise, Fristen und bisherige Schreiben nebeneinander. Dadurch wird schneller klar, ob ein Antrag ergänzt, ein Widerspruch begründet oder ein neuer Schritt vorbereitet werden muss.
Häufige Fragen zu Phishing-Abbuchungen von der girocard
Auf dieser Grundlage lassen sich die häufigsten Unsicherheiten beantworten, die Betroffene nach einem Phishing-Angriff beschäftigen. Der nächste Schritt hängt oft davon ab, wie E-Mail-Phishing mit gefälschter Rechnung einzuordnen ist.
Bekomme ich das Geld zurück, wenn ich selbst auf den Phishing-Link geklickt habe?
Das Klicken auf einen professionell gefälschten Link begründet in der Regel keine grobe Fahrlässigkeit. Entscheidend ist, ob die Fälschung auf den ersten Blick erkennbar gewesen wäre und dennoch ignoriert wurde. War die Täuschung überzeugend, bleibt der Erstattungsanspruch nach § 675u BGB grundsätzlich bestehen. Die Beweislast für das Gegenteil liegt nach § 675w BGB bei der Bank.
Was gilt als grobe Fahrlässigkeit bei Phishing und was nicht?
Grob fahrlässig handelt, wer elementare Sicherheitsregeln in besonders schwerem Maß missachtet, etwa wer die PIN auf einem Zettel in der Geldbörse aufbewahrt oder wer auf einer Website mit offensichtlichen Rechtschreibfehlern und fehlerhafter Domain ungeprüft alle Bankdaten eingibt. Das Hereinfallen auf eine professionell gestaltete und schwer erkennbare Phishing-Seite genügt diesem Maßstab nach der Rechtsprechung in der Regel nicht.
Wie lange habe ich Zeit, nicht autorisierte girocard-Abbuchungen zu melden?
Die absolute Ausschlussfrist beträgt 13 Monate ab dem Datum der Belastungsbuchung, sofern die Bank ordnungsgemäß über den Vorgang informiert hat. Daneben gilt das Gebot der unverzüglichen Meldung nach Entdeckung. Wer Kontoauszüge regelmäßig prüft, ist auf der sicheren Seite.
Was tun, wenn die Bank die Erstattung trotz § 675u BGB ablehnt?
Zunächst bietet sich eine außergerichtliche Beschwerde beim Ombudsmann der privaten Banken oder bei den Sparkassen an. Führt das nicht zum Erfolg, steht der ordentliche Rechtsweg offen: Das Amtsgericht ist bis 5.000 Euro zuständig, das Landgericht bei höheren Beträgen. In beiden Fällen empfiehlt sich anwaltliche Begleitung, damit Fristen und Beweisführung korrekt gehandhabt werden.
Gilt der Schutz auch bei Quishing oder Fernzugriff-Betrug?
Ja. Auch bei Quishing und Remote-Support-Scams liegt kein wirksam autorisierter Zahlungsvorgang vor. Der gesetzliche Schutzrahmen der §§ 675u ff. BGB gilt unabhängig von der konkreten Angriffsmethode, solange keine wirksame Zustimmung des Kontoinhabers nachgewiesen werden kann.
Fazit: Phishing-Abbuchungen von der girocard sind erstattungsfähig
Das bedeutet in der Zusammenfassung: Wer nach einem Phishing-Angriff unbekannte Abbuchungen von der girocard feststellt, muss diese nicht einfach hinnehmen. In der weiteren Prüfung taucht daneben häufig Fake-Kundenservice beim Phishing auf.
Was in Schritt 15 zählt
Die Bank haftet nach § 675u BGB für nicht autorisierte Zahlungsvorgänge und muss das Konto unverzüglich wieder so stellen, als wäre die Belastung nie erfolgt. Den Beweis grober Fahrlässigkeit muss nach § 675w BGB die Bank führen, nicht der Kunde. Die eigene Haftung des Karteninhabers ist bei leichter Fahrlässigkeit auf maximal 50 Euro begrenzt; nach der Sperranzeige entfällt sie nach § 675v Abs. 3 BGB grundsätzlich vollständig.
Was in Schritt 14 zählt
Entscheidend bleiben zwei Punkte: die unverzügliche Meldung nach Entdeckung und die Einhaltung der absoluten Ausschlussfrist von 13 Monaten ab dem Belastungsdatum.
Je früher Ansprüche geltend gemacht werden, desto mehr Handlungsspielraum bleibt. Eine anwaltliche Prüfung auf Grundlage der Kontoauszüge und der gesamten Bankkorrespondenz zeigt, ob und in welchem Umfang ein Erstattungsanspruch durchsetzbar ist, und kann bereits mit einem gezielten Schreiben an die Bank den entscheidenden Unterschied bewirken.
Haben Sie nach einem Phishing-Angriff ungeklärte Abbuchungen von Ihrer girocard festgestellt? Wir prüfen, ob Ihnen ein Erstattungsanspruch zusteht, und begleiten Sie durch alle nächsten Schritte.
Rechtliche Einschätzung anfragenRechtsquellen zur Einordnung
Jan-Henning Ahrens
Jan-Henning Ahrens und KWAG Rechtsanwälte beraten Mandanten insbesondere im Bankrecht, Kapitalmarktrecht, bei Anlage- und Internetbetrug sowie in wirtschaftsrechtlichen Streitigkeiten.
Mehr über die Kanzlei
