Wurde Ihre Kreditkarte durch ein gefälschtes Einmalpasswort missbraucht? Dann bekommen Sie das Geld in den meisten Fällen zurück - ohne selbst dafür haften zu müssen. Die Bank ist nach § 675u BGB zur unverzüglichen Erstattung verpflichtet, solange sie nicht beweist, dass Sie die Zahlung selbst freigegeben haben. Meldung innerhalb von 13 Monaten ist Pflicht.
Sie haben ein Einmalpasswort auf einer gefälschten Seite eingegeben und danach tauchen unberechtigte Kreditkartenbuchungen auf? Entscheidend ist, ob die Bank Ihre Eingabe als eigene Autorisierung wertet, denn dann liegt das Risiko bei Ihnen. Im Folgenden klären wir, wann Phishing-Betrug als nicht autorisierte Zahlung gilt, welche Beweislast die Bank trägt und wie Sie Ihren Anspruch geltend machen.
Eine berufstätige Person prüft routinemäßig ihren Kontoauszug und entdeckt mehrere Kreditkartenbuchungen, die sie nie veranlasst hat. Kurz zuvor hatte sie auf einer täuschend echten Bankwebseite Kartendaten und ein per SMS übermitteltes Einmalpasswort eingegeben, weil der Vorgang wie eine Sicherheitsprüfung der Bank wirkte. Erst jetzt wird klar: Es war Phishing-Betrug an der Kreditkarte. Das Geld ist weg, und die Bank lehnt eine Erstattung ab, weil die Freigabe technisch korrekt über das Zwei-Faktor-Verfahren erfolgt sei.
Was rechtlich hinter dieser Situation steckt und welche Ansprüche Betroffene tatsächlich haben, zeigt ein Blick in die gesetzliche Systematik des Zahlungsdiensterechts. Drei Normen sind dabei entscheidend: § 675u BGB begründet die Erstattungspflicht, § 675w BGB legt die Beweislast bei der Bank fest, und § 676b BGB setzt die zeitliche Grenze. Wer diese Systematik kennt, kann das Ablehnungsschreiben der Bank richtig einordnen und gezielt handeln.
Was ein 'nicht autorisierter Zahlungsvorgang' nach dem Gesetz bedeutet
Bevor wir klären, wann die Bank zahlen muss, ist der zentrale Begriff zu verstehen: Was genau macht einen Zahlungsvorgang zu einem rechtlich "nicht autorisierten" - und warum reicht die technisch korrekte Eingabe eines Einmalpassworts dafür nicht aus?
Ein Zahlungsvorgang ist nach § 675j BGB nur dann wirksam autorisiert, wenn der Zahler dem Vorgang tatsächlich zugestimmt hat: wissentlich, freiwillig und in Kenntnis der ausgelösten Transaktion. Eine Zustimmung, die durch Täuschung erschlichen wurde, erfüllt diese Voraussetzung nicht. Wer auf einer gefälschten Bankseite ein SMS-Einmalpasswort eingibt, ohne zu wissen, dass damit eine echte Transaktion ausgelöst wird, erteilt nach herrschender Rechtsauffassung keine wirksame Autorisierung.
Worauf es jetzt ankommt
§ 675j BGB - Zustimmung zur Zahlung
§ 675j BGB bestimmt, dass ein Zahlungsvorgang gegenüber dem Zahler nur wirksam ist, wenn er ihm zugestimmt hat. Die Zustimmung muss in der vereinbarten Form erteilt worden sein. Wer ein Einmalpasswort auf einer gefälschten Seite eingibt, ohne zu wissen, dass er damit eine echte Transaktion freigibt, erteilt nach herrschender Rechtsauffassung keine wirksame Autorisierung im Sinne dieser Norm.
Quelle öffnen →Was für die Einordnung zählt
Beim OTP-Phishing (One-Time-Password-Phishing) nutzen Betrüger genau diese Lücke: Sie greifen zunächst Kartendaten ab und leiten Betroffene auf eine täuschend echte Bankoberfläche um. Dort geben sie ein SMS-Einmalpasswort ein, ohne zu ahnen, dass damit eine echte Zahlung freigeschaltet wird. Für die Bank erscheint der Vorgang vollständig korrekt: Das Passwort wurde eingegeben, das Zwei-Faktor-Verfahren durchlaufen. Rechtlich fehlt jedoch das entscheidende Element: das Transaktionsbewusstsein.
Wer glaubt, eine Sicherheitsabfrage zu bestätigen, und nicht weiß, dass er damit einen Geldtransfer freigibt, hat keiner Zahlung zugestimmt.
Was für den nächsten Schritt zählt
Daraus folgt unmittelbar die Erstattungsgrundlage nach § 675u BGB: Liegt kein autorisierter Zahlungsvorgang vor, muss der Zahlungsdienstleister den Betrag unverzüglich zurückbuchen. Wer dabei die Beweislast trägt und welche Phishing-Varianten unter diese Fallgruppe fallen, zeigt der nächste Abschnitt.
Wann die Bank erstatten muss: Voraussetzungen, Beweislast und typische Fallgruppen
Das bedeutet in der Praxis: Die Bank kann eine Erstattung nicht allein damit ablehnen, dass das Zwei-Faktor-Verfahren technisch korrekt durchlaufen wurde. Sie muss konkret nachweisen, dass hinter dem technischen Vorgang eine echte, unmanipulierte Zustimmung stand.
Was Sie als Nächstes prüfen sollten
§ 675u und § 675w BGB - Erstattungspflicht und Beweislast
§ 675u BGB verpflichtet den Zahlungsdienstleister zur unverzüglichen Erstattung bei nicht autorisierten Zahlungsvorgängen, spätestens bis zum Ende des nächsten Geschäftstags nach Kenntnis. § 675w BGB ergänzt: Die Bank muss Autorisierung und ordnungsgemäße Ausführung beweisen, nicht der Kunde.
Quelle öffnen →Die Beweislastverteilung nach § 675w BGB ist ein Punkt, den viele Betroffene nicht kennen: Allein die Tatsache, dass ein Einmalpasswort technisch korrekt eingegeben wurde, reicht nicht aus, um eine wirksame Autorisierung zu belegen. In OTP-Phishing-Fällen gelingt dieser Nachweis regelmäßig nicht, weil Betrüger die technische Korrektheit des Verfahrens gezielt ausnutzen, um den Anschein einer Autorisierung zu erzeugen.
Welche Unterlagen jetzt zählen
Für den Kunden bedeutet das: Er muss nicht beweisen, dass er nicht zugestimmt hat. Die Bank muss beweisen, dass er es getan hat.
In der Praxis treten dabei verschiedene Phishing-Varianten auf, die rechtlich alle unter denselben Tatbestand fallen:
Belege sind von Anfang an entscheidend: Screenshots der Phishing-Seite, archivierte SMS-Nachrichten und Kontoauszüge mit den betroffenen Buchungen bilden die Grundlage jedes Erstattungsanspruchs. Wie diese Unterlagen gesichert werden und welche Schritte Betroffene einleiten sollten, zeigt Abschnitt
- ◆Zunächst stellt sich aber die Frage, welchen Einwand Banken in solchen Fällen typischerweise erheben.
Was bedeutet grobe Fahrlässigkeit als Einwand der Bank: Wann dieser Vorwurf greift und wann nicht in der Praxis?
Genau hier wird es kritisch: Die Betroffene aus unserem Praxisfall ist nicht nur Opfer eines Betrugs, sondern sieht sich nun dem Vorwurf ausgesetzt, die Sicherheitsmerkmale leichtfertig preisgegeben zu haben. Das ist der emotionale Wendepunkt vieler solcher Fälle - und zugleich der häufigste Hebel, mit dem Banken eine Erstattung zu verweigern versuchen.
Der nächste Schritt hängt oft davon ab, wie Phishing bei Senioren einzuordnen ist.
§ 675v BGB sieht vor, dass die Haftung vollständig auf den Kunden übergehen kann, wenn er grob fahrlässig oder vorsätzlich gehandelt hat. Banken stützen Ablehnungsbescheide häufig auf genau diesen Einwand: Der Kunde hätte erkennen müssen, dass die Seite gefälscht war. Das klingt im Ablehnungsschreiben überzeugend, ist aber rechtlich häufig nicht haltbar.
Wo die Frist praktisch beginnt
Grobe Fahrlässigkeit kann den Erstattungsanspruch ausschließen
Was jetzt praktisch wichtig ist
§ 675v BGB sieht vor, dass die Haftung vollständig auf den Kunden übergeht, wenn er grob fahrlässig oder vorsätzlich gehandelt hat. Banken argumentieren gelegentlich, das Klicken auf erkennbar gefälschte Links oder das Ignorieren konkreter Sicherheitswarnungen begründe grobe Fahrlässigkeit. Die Rechtsprechung stellt jedoch hohe Anforderungen: Eine professionell gestaltete Phishing-Seite, die das Layout der echten Bank täuschend echt nachahmt, begründet allein noch keine grobe Fahrlässigkeit.
Gerichte stellen dabei stark auf den Einzelfall ab. Entscheidend ist, ob die Phishing-Seite kaum von der echten Bankwebseite zu unterscheiden war, ob ausdrückliche Warnhinweise vorlagen, die aktiv ignoriert wurden, und ob die simulierte Sicherheitsanfrage inhaltlich plausibel erschien. Je überzeugender die Täuschung gestaltet war, desto schwerer lässt sich grobe Fahrlässigkeit begründen.
Worauf Sie im Alltag achten sollten
Eine pauschale Behauptung der Bank ist kein belastbarer rechtlicher Nachweis - und genau das müssen Betroffene wissen, wenn sie das Ablehnungsschreiben in den Händen halten.
Anders sieht es aus, wenn Betroffene trotz expliziter Warnmeldungen ihrer Banking-App PIN und TAN auf einer erkennbar unsicheren Drittseite eingegeben haben. In solchen Fällen kann grobe Fahrlässigkeit nach § 675v BGB tatsächlich bejaht werden. Für professionell umgesetzte OTP-Phishing-Angriffe ohne erkennbare Warnsignale gilt das nach der überwiegenden Rechtsprechung jedoch nicht.
Was danach entscheidend wird
Neben dem Fahrlässigkeitseinwand gibt es eine zweite Falle, in die Betroffene geraten können: den Ablauf der gesetzlichen Meldefrist nach § 676b BGB.
Welche Frist gilt für den nächsten Schritt?
Im nächsten Schritt ist zu verstehen, warum Zeitdruck in diesen Fällen keine Floskel ist, sondern eine gesetzliche Realität mit materiellen Konsequenzen. In der weiteren Prüfung taucht daneben häufig gefälschte Onlinebanking-Loginseite auf.
Wo Sie genauer hinschauen sollten
§ 676b BGB setzt eine strenge zeitliche Grenze: Der Erstattungsanspruch erlischt, wenn der nicht autorisierte Vorgang nicht innerhalb von 13 Monaten nach der Kontobelastung gegenüber der Bank angezeigt wird. Die Frist beginnt mit dem Buchungsdatum auf dem Kontoauszug, nicht mit dem Zeitpunkt der Entdeckung.
Welche Prüfung jetzt sinnvoll ist
Wer seinen Kontoauszug selten prüft und Buchungen erst spät bemerkt, riskiert den vollständigen Verlust seines Erstattungsanspruchs - unabhängig davon, ob dieser inhaltlich begründet gewesen wäre.
Was in Schritt 12 zählt
13 Monate nach dem Buchungsdatum
§ 676b BGB setzt eine strenge zeitliche Grenze: Der Erstattungsanspruch erlischt, wenn der nicht autorisierte Vorgang nicht innerhalb von 13 Monaten nach der Kontobelastung gegenüber der Bank angezeigt wird. Die Frist beginnt mit dem Buchungsdatum auf dem Kontoauszug, nicht mit dem Zeitpunkt der Entdeckung. Kontoauszüge sollten daher regelmäßig und zeitnah geprüft werden.
Die Fristregel wirkt in beide Richtungen: Eine zu späte Reklamation schadet dem Kunden endgültig. Eine unverzügliche schriftliche Anzeige hingegen verpflichtet die Bank zur sofortigen Reaktion und setzt den gesetzlichen Erstattungsmechanismus in Gang. Konkret bedeutet das: schriftliche Reklamation mit Datum, Rückbuchungsantrag und Dokumentation des Eingangsnachweises bei der Bank.
Was in Schritt 13 zählt
Auf dieser Grundlage lässt sich nun der praktische Handlungsrahmen strukturieren, den Betroffene nach einem OTP-Phishing-Angriff Schritt für Schritt einhalten sollten.
Schritt für Schritt: So reklamieren Betroffene nicht autorisierte Buchungen erfolgreich
Daraus folgt die Auflösung für die Betroffene aus unserem Praxisfall: Sie kennt jetzt die rechtliche Grundlage - kein autorisierter Vorgang nach § 675j BGB, Erstattungspflicht nach § 675u BGB, Beweislast bei der Bank nach § 675w BGB, absolute Frist nach § 676b BGB. Jetzt kommt es auf das richtige Handeln in der richtigen Reihenfolge an.
Für die praktische Planung kann Phishing-Schaden rechtlich einordnen entscheidend werden.
Was in Schritt 12 zählt
Kreditkarte sofort sperren lassen (telefonisch über den Kartendienstleister, Sperr-Notruf 116 116)
Buchungen schriftlich als nicht autorisiert bei der Bank reklamieren (E-Mail mit Lesebestätigung oder Einschreiben)
Screenshots der Phishing-E-Mail, SMS und gefälschten Webseite sichern (URL vollständig sichtbar)
Alle SMS-Nachrichten mit dem Einmalpasswort archivieren
Strafanzeige bei der Polizei erstatten und Aktenzeichen notieren
Ablehnungsschreiben der Bank vollständig aufbewahren und juristisch einordnen lassen
Anwaltliche Prüfung des Erstattungsanspruchs einholen, bevor die 13-Monats-Frist abläuft
Die Strafanzeige erfüllt dabei eine doppelte Funktion: Sie schafft einen amtlichen Nachweis, dass der Betrug nicht wissentlich herbeigeführt wurde, und dokumentiert den Vorfall für ein mögliches Ermittlungsverfahren gegen die Täter. Für den Erstattungsanspruch gegenüber der Bank ist sie keine formelle Voraussetzung, stärkt aber die Glaubwürdigkeit des Vorbringens erheblich - insbesondere gegen den in Abschnitt 4 beschriebenen Vorwurf der groben Fahrlässigkeit.
Was in Schritt 12 zählt
Sollte die Bank nach der schriftlichen Reklamation weiterhin ablehnen, ist eine Beschwerde beim Ombudsmann der Deutschen Kreditwirtschaft ein sinnvoller erster Zwischenschritt. Das Verfahren ist für Kunden niedrigschwellig und hält die Klageoption offen. Für Banken hingegen sind Schlichtungsentscheidungen bis zu einem bestimmten Streitwert verbindlich.
Ein anwaltliches Schreiben, das die konkrete Beweislastsituation nach § 675w BGB benennt, erhöht den Druck auf die Bank zusätzlich und macht eine vorschnelle Ablehnung rechtlich angreifbar.
Ihre Bank lehnt die Erstattung ab oder beruft sich auf grobe Fahrlässigkeit? Wir prüfen Ihren Erstattungsanspruch und zeigen Ihnen, welcher Schritt als nächstes sinnvoll ist. Der nächste Schritt hängt oft davon ab, wie Bankhaftung nach Phishing einzuordnen ist.
Rechtliche Einschätzung anfragenHäufige Fragen zu Kreditkartenbetrug und Phishing per Einmalpasswort
Doch was fragen Betroffene in der Praxis am häufigsten, wenn sie sich erstmals mit dieser Rechtslage auseinandersetzen? Die folgenden Antworten greifen die zentralen Unsicherheiten auf, die sich aus den vorangegangenen Abschnitten ergeben.
Bekomme ich das Geld automatisch zurück, wenn ich die TAN selbst eingegeben habe?
Nicht automatisch. Die Eingabe des Einmalpassworts begründet allein noch keine wirksame Autorisierung, wenn sie durch Täuschung erschlichen wurde. Die Bank muss nach § 675w BGB beweisen, dass eine echte Zustimmung vorlag. Handeln ist jedoch erforderlich: Die Reklamation muss aktiv bei der Bank eingereicht werden, und zwar innerhalb der Frist nach § 676b BGB.
Was gilt, wenn die Bank grobe Fahrlässigkeit behauptet?
Die Behauptung allein reicht nicht. Nach § 675v BGB muss die Bank grobe Fahrlässigkeit konkret belegen, nicht nur in den Raum stellen. Bei professionell gestalteten Phishing-Seiten ohne erkennbare Warnsignale scheitert dieser Nachweis in der Rechtspraxis häufig. Eine anwaltliche Einschätzung des Einzelfalls lohnt sich, bevor die Erstattungsforderung aufgegeben wird.
Wie lange hat die Bank nach meiner Reklamation Zeit zu reagieren?
Nach § 675u BGB ist die Bank zur unverzüglichen Erstattung verpflichtet, spätestens bis zum Ende des nächsten Geschäftstags nach Kenntnis des nicht autorisierten Vorgangs. Eine formelle Ablehnung ohne konkrete rechtliche Begründung ist angreifbar.
Muss ich Strafanzeige erstatten, damit der Erstattungsanspruch gilt?
Nein. Die Strafanzeige ist keine gesetzliche Voraussetzung für den Erstattungsanspruch nach § 675u BGB. Sie stärkt jedoch die Beweisposition und dokumentiert den Betrug amtlich, was im Streitfall über den Vorwurf grober Fahrlässigkeit entscheidend sein kann.
Was passiert, wenn die 13-Monats-Frist nach § 676b BGB bereits abgelaufen ist?
Nach Ablauf der Frist erlischt der gesetzliche Erstattungsanspruch grundsätzlich. In Ausnahmefällen können vertragliche oder deliktsrechtliche Ansprüche weiterhin bestehen. Eine anwaltliche Prüfung klärt, ob im konkreten Fall noch Handlungsoptionen offenstehen. In der weiteren Prüfung taucht daneben häufig betrug durch sms phishing bank haftet auf.
Zusammenfassung: Was nach Kreditkarten-Phishing per Einmalpasswort jetzt zählt
Auf dieser Grundlage lassen sich die Kernaussagen kompakt zusammenfassen. Ein OTP-Phishing-Angriff begründet regelmäßig einen nicht autorisierten Zahlungsvorgang im Sinne von § 675j BGB. Der Erstattungsanspruch nach § 675u BGB ist gesetzlich verankert, die Beweislast liegt nach § 675w BGB bei der Bank. Grobe Fahrlässigkeit nach § 675v BGB muss die Bank konkret belegen, nicht nur behaupten.
Was in Schritt 13 zählt
Die 13-Monats-Frist nach § 676b BGB ist in jedem Fall einzuhalten - wer zu lange wartet, verliert den Anspruch unabhängig von seiner inhaltlichen Berechtigung.
Was in Schritt 13 zählt
Ein Ablehnungsschreiben der Bank ist keine gerichtliche Entscheidung. Betroffene sollten den Anspruch anwaltlich prüfen lassen, solange die Frist läuft, und die Bankentscheidung nicht kampflos akzeptieren.
Was in Schritt 14 zählt
Sie wurden Opfer von Kreditkarten-Phishing mit gefälschtem Einmalpasswort und Ihre Bank erstattet nicht? Wenden Sie sich an KWAG Rechtsanwälte. Wir prüfen Ihren Anspruch nach § 675u BGB und bereiten den nächsten rechtlichen Schritt für Sie vor.
Rechtliche Einschätzung anfragenRechtsquellen zur Einordnung
Jan-Henning Ahrens
Jan-Henning Ahrens und KWAG Rechtsanwälte beraten Mandanten insbesondere im Bankrecht, Kapitalmarktrecht, bei Anlage- und Internetbetrug sowie in wirtschaftsrechtlichen Streitigkeiten.
Mehr über die Kanzlei
