Wer haftet, wenn Betrüger per Phishing die Sparkasse-PushTAN gekapert und Geld abgebucht haben? Das Geld muss zurück - und die Sparkasse ist in der Pflicht, nicht Sie als Kunde. § 675u BGB verpflichtet die Bank, jeden nicht autorisierten Zahlungsvorgang unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags, zu erstatten. Nur bei grober Fahrlässigkeit darf die Sparkasse die Rückbuchung verweigern.
Sie haben festgestellt, dass nach einer gefälschten Sparkasse-PushTAN-Bestätigung Geld von Ihrem Konto abgebucht wurde? Ob Sie die volle Rückbuchung durchsetzen können, hängt entscheidend davon ab, wie Gerichte die Frage grober Fahrlässigkeit bewerten. Im Folgenden klären wir, wie das Gesetz die Beweislast verteilt, wann die Bank haftet und welche Meldefristen gelten.
Wer Online-Banking routiniert nutzt und mit der S-pushTAN-App vertraut ist, rechnet nicht damit, zur Zielscheibe eines gezielten Betrugsangriffs zu werden. Eine Benachrichtigung, optisch identisch mit echten Sparkassen-Mitteilungen, führt auf eine täuschend echt gestaltete Seite, auf der Zugangsdaten eingegeben werden. Wenig später erscheinen in der pushTAN-App Freigabeanfragen, die wie ein routinemäßiger Sicherheitscheck wirken - und wer bestätigt, hat tatsächlich Echtüberweisungen an fremde Konten freigegeben, ohne es zu wissen.
Was viele Betroffene in diesem Moment nicht wissen: Die Rechtslage ist klarer, als die erste Reaktion der Sparkasse vermuten lässt. Die entscheidende Frage ist nicht, ob die pushTAN technisch korrekt genutzt wurde, sondern ob der Kontoinhaber überhaupt wirksam zugestimmt hat - und genau diese Frage beantwortet das Gesetz zugunsten der Betroffenen.
Was bedeutet § 675u BGB: Der gesetzliche Erstattungsanspruch gegen die Sparkasse in der Praxis?
Bevor wir den Betrugsablauf im Detail analysieren, lohnt ein Blick auf das gesetzliche Fundament des Erstattungsanspruchs - denn ohne dieses Rüstzeug lässt sich die Ablehnungsentscheidung der Sparkasse nicht sinnvoll einordnen.
§ 675u BGB
§ 675u Satz 2 BGB verpflichtet die Sparkasse, den Betrag eines nicht autorisierten Zahlungsvorgangs unverzüglich und spätestens bis zum Ende des folgenden Geschäftstags zu erstatten. Die entscheidende Frage lautet deshalb: War der Zahlungsvorgang überhaupt wirksam autorisiert?
Quelle öffnen →§ 675j BGB regelt, wann ein Zahlungsvorgang als wirksam autorisiert gilt. Notwendig ist die informierte und gewollte Zustimmung zu einem bestimmten, erkennbaren Zahlungsvorgang. Wer in der pushTAN-App bestätigt, weil er die Anfrage für einen Sicherheitscheck hält, stimmt dabei keinem konkreten Überweisungsvorgang zu. Eine solche Bestätigung begründet rechtlich keine wirksame Autorisierung im Sinne dieser Norm - die fehlende Erkennbarkeit des tatsächlichen Vorgangs ist der juristische Kernpunkt.
Worauf es jetzt ankommt
Entscheidend kommt § 675w Abs. 1 Satz 3 BGB hinzu: Die technische Nutzung der pushTAN-App reicht allein nicht als Beweis dafür aus, dass ein Zahlungsvorgang autorisiert war. Die Beweislast liegt nicht beim Kontoinhaber, sondern bei der Sparkasse. Sie muss darlegen, dass die Zahlung mit Wissen und Willen des Inhabers freigegeben wurde - und das ist bei einer professionell gestalteten Täuschung schwer zu belegen.
Flankiert wird dieser Rahmen durch die PSD2, insbesondere Art. 72 bis 74 der Richtlinie (EU) 2015/2366, die den nationalen Gesetzgeber zur strikten Beweislastverteilung zugunsten der Zahlungsdienstnutzer verpflichtet.
Was für die Einordnung zählt
Doch was bedeutet das konkret für den typischen Ablauf eines PushTAN-Angriffs? Genau dort zeigt sich, warum die technische Freigabe und die rechtliche Autorisierung auseinanderfallen.
Was bedeutet so läuft PushTAN-Phishing ab: Warum die bestätigten Zahlungen trotzdem nicht autorisiert sind in der Praxis?
Genau hier wird es kritisch: Die Täuschung ist darauf ausgelegt, dass Betroffene in dem Moment, in dem sie die pushTAN-Anfrage bestätigen, keine Echtüberweisung erkennen können. Das ist keine Nachlässigkeit - das ist das Ziel des Angriffs.
Phase 1: Zugangsdaten werden abgefangen
Der Angriff folgt einem klaren, mehrstufigen Ablauf. Im ersten Schritt erhalten Bankkunden eine Nachricht, die optisch und inhaltlich kaum von echten Sparkassen-Mitteilungen zu unterscheiden ist. Ein Link führt auf eine gefälschte Anmeldeseite. Wer dort Benutzername und PIN eingibt, überträgt diese Daten direkt an die Täter. Dieser erste Schritt geschieht oft unbewusst, weil Phishing-Seiten heute ein Sicherheitszertifikat vorweisen und keine augenfälligen Rechtschreibfehler mehr enthalten.
Phase 2: Echte Überweisungen hinter falscher Tarnung
Im zweiten Schritt nutzen die Täter die erbeuteten Zugangsdaten, um im echten Online-Banking Überweisungen vorzubereiten. Die dabei ausgelösten PushTAN-Anfragen erscheinen in der App des Kontoinhabers, begleitet von Formulierungen wie "Sicherheitsüberprüfung" oder "technische Verifikation". Wer bestätigt, gibt tatsächlich Überweisungen an fremde Konten frei, ohne dies zu erkennen.
Was für den nächsten Schritt zählt
§ 675j BGB verlangt Zustimmung zu einem bestimmten, für den Zahlenden erkennbaren Vorgang. Wer eine Transaktion als vermeintlichen Sicherheitscheck genehmigt, hat keinen Zahlungsvorgang im rechtlichen Sinne autorisiert. Die äußere Handlung der Bestätigung begründet deshalb keine wirksame Zustimmung - diese Unterscheidung ist der Kern des gesamten Erstattungsanspruchs.
Was Sie als Nächstes prüfen sollten
Auf dieser Grundlage lässt sich das häufigste Argument der Sparkasse, nämlich der pauschale Verweis auf die erfolgte pushTAN-Freigabe, bereits hier einordnen. Der folgende Abschnitt zeigt, warum diese Begründung einer rechtlichen Überprüfung oft nicht standhält.
Was bedeutet sparkasse verweigert die Rückbuchung: Das Autorisierungsargument und was es wirklich trägt in der Praxis?
Anders sieht es aus, wenn man die Ablehnungsentscheidung der Sparkasse nicht als endgültiges Ergebnis, sondern als ersten Verhandlungsschritt begreift - denn genau das ist sie juristisch betrachtet. Der nächste Schritt hängt oft davon ab, wie Phishing-Schäden bei Bankkunden einzuordnen ist.
Wenn Betroffene die Rückbuchung einfordern, folgt bei vielen Sparkassen ein Standardschreiben mit Formulierungen wie "Sie haben die Zahlung selbst freigegeben" oder "die starke Kundenauthentifizierung war ordnungsgemäß durchgeführt". Dieser Wendepunkt trifft Betroffene häufig unvorbereitet: Ein erheblicher Betrag ist abgeflossen, die Bank lehnt schriftlich ab, und das Schreiben liest sich wie eine abschließende Entscheidung. Das ist der Moment, in dem viele aufgeben - zu Unrecht.
Welche Unterlagen jetzt zählen
Denn die Ablehnungsbegründung vermengt zwei Fragen, die das Gesetz strikt trennt: die technische Korrektheit der Authentifizierung und die rechtliche Wirksamkeit der Autorisierung.
Wo die Frist praktisch beginnt
§ 675v BGB
§ 675v Abs. 3 BGB erlaubt der Sparkasse, die Erstattung zu verweigern, wenn der Zahler die besonderen Sorgfaltspflichten aus dem Zahlungsdienstleistungsvertrag in besonders schwerem Maße verletzt hat. Grobe Fahrlässigkeit muss konkret nachgewiesen werden, eine pauschale Behauptung genügt nicht.
Quelle öffnen →Ob grobe Fahrlässigkeit vorliegt, hängt vom genauen Ablauf des Betrugs ab. Wer auf eine professionell gefälschte Phishing-Seite hereingefallen ist und PushTAN-Anfragen bestätigt hat, die technisch und optisch wie legitime Sicherheitschecks gestaltet waren, hat nicht automatisch grob fahrlässig gehandelt. Gerichte prüfen das im Einzelfall.
Maßgeblich ist, ob die Täuschung für eine durchschnittlich aufmerksame Person ohne Weiteres erkennbar gewesen wäre - und bei professionell gestalteten Angriffen fällt diese Hürde regelmäßig zugunsten der Betroffenen aus.
§ 675w Abs. 1 Satz 3 BGB: Die Sparkasse muss beweisen, dass der Zahlungsvorgang autorisiert war. Sie muss grobe Fahrlässigkeit konkret darlegen und belegen. Ein pauschaler Verweis auf die technische Nutzung der pushTAN-App genügt dieser Beweisanforderung nicht.
Das bedeutet: Wer eine Ablehnungsentscheidung erhält, die lediglich auf die erfolgte pushTAN-Freigabe verweist, hat guten Grund, diese Begründung einer rechtlichen Überprüfung zu unterziehen. Der nächste Schritt ist dabei nicht der Ombudsmann oder das Gericht, sondern zunächst die fristgemäße schriftliche Gegendarstellung - und dafür braucht es ein klares Bild der einschlägigen Fristen.
Was bedeutet meldepflicht und Verjährung: Was unmittelbar nach dem Betrug zu tun ist in der Praxis?
Im nächsten Schritt gilt es, die Fristen nicht aus dem Blick zu verlieren - denn auch ein begründeter Erstattungsanspruch kann durch Untätigkeit gefährdet werden. In der weiteren Prüfung taucht daneben häufig Phishing bei Senioren auf.
Wer nach einem PushTAN-Betrug Geld zurückfordert, muss drei Fristen-Ebenen im Blick behalten. Erstens verpflichtet § 675l BGB den Kontoinhaber, den Missbrauch unverzüglich zu melden, sobald er davon Kenntnis erlangt. Das bedeutet in der Praxis: sofort telefonisch über den Sperr-Notruf 116 116, dann schriftlich gegenüber der Sparkasse.
Was jetzt praktisch wichtig ist
Zweitens hat die Sparkasse nach Eingang der Anzeige bis zum Ende des folgenden Geschäftstags Zeit, den Betrag zu erstatten (§ 675u S. 2 BGB). Drittens gilt für die gerichtliche Durchsetzung des Erstattungsanspruchs die regelmäßige Verjährungsfrist von drei Jahren gemäß § 675z BGB in Verbindung mit §§ 195, 199 BGB, beginnend mit dem Schluss des Jahres, in dem der Anspruch entstanden und dem Kontoinhaber bekannt geworden ist.
Worauf Sie im Alltag achten sollten
§ 675l BGB: Die Anzeige eines nicht autorisierten Zahlungsvorgangs muss unverzüglich nach Kenntnisnahme erfolgen. Wer zögert, riskiert, dass die Sparkasse die verspätete Meldung als Argument gegen den Erstattungsanspruch einsetzt. Melden Sie den Vorfall deshalb umgehend, schriftlich und telefonisch.
Bevor Betroffene weitere Schritte unternehmen, sollten alle verfügbaren Beweise gesichert werden, bevor sie gelöscht oder überschrieben werden: die Phishing-Nachricht im Original oder als Screenshot, die Kontoauszüge mit den nicht autorisierten Abbuchungen sowie Screenshots der pushTAN-Anfragen, sofern noch vorhanden. Diese Unterlagen bilden das Fundament für jeden weiteren Schritt - ob außergerichtlich oder gerichtlich.
Daraus folgt ein konkreter Handlungsplan, der die bisher beschriebenen Rechtsgrundlagen in praktische Schritte übersetzt und die eingangs geschilderte Situation zu einer Auflösung führt.
Geld zurück in vier Schritten: Vom schriftlichen Widerspruch bis zur anwaltlichen Prüfung
Doch was bedeutet das alles für die konkrete Vorgehensweise nach einem PushTAN-Betrug? Die folgende Struktur fasst zusammen, wie Betroffene den Erstattungsanspruch systematisch geltend machen - und schließt damit den Bogen zu der Situation, mit der dieser Artikel begonnen hat. Für die praktische Planung kann Identitätsdiebstahl nach Phishing entscheidend werden.
Schritt 1 ist die schriftliche Erstattungsanforderung an die Sparkasse mit ausdrücklichem Verweis auf § 675u BGB und einer klaren Fristsetzung. Mündliche Gespräche reichen nicht; notwendig ist ein datiertes Schreiben, das den Sachverhalt schildert und die Rückbuchung als nicht autorisierten Zahlungsvorgang einfordert.
Was danach entscheidend wird
Schritt 2 ist die gleichzeitige Strafanzeige bei der Polizei - diese dient nicht nur der Strafverfolgung, sondern dokumentiert den Betrugshergang und stärkt die eigene Position gegenüber der Bank. Schritt 3 ist die vollständige Sicherung des Beweispakets: Phishing-Nachricht, Kontoauszüge, Screenshots der pushTAN-Anfragen und die gesamte Korrespondenz mit der Sparkasse. Schritt 4 ist bei Ablehnung die anwaltliche Prüfung auf Grundlage von § 675u und § 675w BGB.
Wer versteht, dass die technische Freigabe keine wirksame Autorisierung begründet und die Beweislast bei der Sparkasse liegt, erkennt: Das Ablehnungsschreiben ist kein letztes Wort.
Sparkasse sofort schriftlich und telefonisch informieren: Vorfall als nicht autorisierten Zahlungsvorgang anzeigen
Online-Banking-Zugang absichern: Passwort ändern, Sperrung beantragen (Sperr-Notruf 116 116)
Phishing-Nachricht dokumentieren: Screenshot oder Original der gefälschten Mitteilung aufbewahren
Hergang schriftlich festhalten: Zeitpunkt, Inhalt der pushTAN-Anfragen, was bestätigt wurde
Schriftliche Ablehnung anfordern: Auf einen schriftlichen Ablehnungsbescheid bestehen, mündliche Ablehnung genügt nicht
Strafanzeige erstatten: Polizeiliche Anzeige als Nachweis des Betrugshergangs sichern
Anwaltliche Prüfung einholen: Rechtliche Einordnung vor weiteren Schritten und vor Ablauf etwaiger Fristen
Erstattung abgelehnt? Wir prüfen, ob die Ablehnungsentscheidung der Sparkasse einer rechtlichen Überprüfung standhält.
Rechtliche Einschätzung anfragenHäufige Fragen zu PushTAN-Betrug und Sparkassen-Erstattung
Bevor Betroffene eine Entscheidung über das weitere Vorgehen treffen, helfen die folgenden Antworten auf typische Fragen, die Rechtslage richtig einzuordnen. Die Antworten geben einen strukturierten Überblick über die Rechtslage und ersetzen keine individuelle Rechtsberatung im konkreten Einzelfall. Der nächste Schritt hängt oft davon ab, wie gefälschte Onlinebanking-Loginseite einzuordnen ist.
Muss ich beweisen, dass ich betrogen wurde?
Nein. Die Beweislast liegt nach § 675w Abs. 1 Satz 3 BGB bei der Sparkasse. Sie muss nachweisen, dass der Zahlungsvorgang autorisiert war und der Kontoinhaber grob fahrlässig gehandelt hat. Der Kontoinhaber muss lediglich den Betrug anzeigen und den Hergang plausibel schildern.
Was gilt als grobe Fahrlässigkeit bei PushTAN-Betrug?
Grobe Fahrlässigkeit nach § 675v Abs. 3 BGB setzt voraus, dass die Pflichtverletzung in einem besonders schweren Maße erfolgt ist - etwa wenn jemand erkennbar eine Echtüberweisung bestätigt oder Zugangsdaten auf offensichtlich gefälschten Seiten eingibt. Professionell gestaltete Phishing-Angriffe begründen grobe Fahrlässigkeit nicht automatisch; das ist eine Frage des Einzelfalls, die Gerichte anhand der konkreten Täuschungsqualität beurteilen.
Was passiert, wenn der Täter nicht ermittelt wird?
Die Strafverfolgung der Täter ist für den Erstattungsanspruch gegen die Sparkasse nicht relevant. § 675u BGB knüpft den Anspruch an die fehlende Autorisierung des Zahlungsvorgangs, nicht an die Identifizierung des Täters. Auch ein eingestelltes Ermittlungsverfahren schließt den Anspruch nicht aus.
Gilt der Erstattungsanspruch auch für ältere Fälle?
Grundsätzlich ja, sofern die dreijährige Verjährungsfrist nach § 675z BGB in Verbindung mit §§ 195, 199 BGB noch nicht abgelaufen ist. Die Frist beginnt mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Kontoinhaber davon Kenntnis hatte oder hätte haben müssen. Bei einem Betrugsfall aus dem Jahr 2023 läuft die Frist beispielsweise am 31. Dezember 2026 ab.
Kann ich zusätzlich zur Erstattung Schadensersatz verlangen?
Der Erstattungsanspruch nach § 675u BGB ist auf den abgebuchten Betrag gerichtet. Darüber hinausgehende Schäden - etwa entgangene Zinsen oder Folgekosten - können im Einzelfall auf Grundlage allgemeiner Schadensersatznormen geltend gemacht werden. Das erfordert eine gesonderte rechtliche Prüfung.
Fazit: § 675u BGB sichert den Erstattungsanspruch - der nächste Schritt entscheidet
Auf dieser Grundlage lässt sich das Ergebnis in drei Kernaussagen zusammenfassen, die den roten Faden dieses Artikels schließen: von der täuschend echten PushTAN-Anfrage über die Ablehnung der Bank bis zur rechtlichen Einordnung. In der weiteren Prüfung taucht daneben häufig E-Mail-Phishing mit gefälschter Rechnung auf.
Wo Sie genauer hinschauen sollten
Erstens gibt § 675u BGB Kontoinhabern einen klaren gesetzlichen Erstattungsanspruch, wenn Zahlungen nicht autorisiert waren. Zweitens reicht die technische Nutzung der pushTAN-App nach § 675w Abs. 1 Satz 3 BGB weder als Nachweis einer wirksamen Autorisierung noch als Beleg für grobe Fahrlässigkeit - die Beweislast liegt bei der Sparkasse.
Welche Prüfung jetzt sinnvoll ist
Drittens sind fristgerechte Meldung nach § 675l BGB, schriftliches Vorgehen und vollständige Beweissicherung die entscheidenden Voraussetzungen dafür, dass dieser Anspruch auch durchgesetzt werden kann.
Wer nach einem Sparkasse-PushTAN-Betrug mit einer Ablehnungsentscheidung konfrontiert ist, sollte diese nicht als endgültiges Urteil hinnehmen. Anwaltliche Prüfung auf Grundlage von § 675u und § 675w BGB kann klären, ob die Begründung der Sparkasse trägt - und den nächsten Schritt konkret vorbereiten.
Sparkasse hat die Erstattung abgelehnt? Wir prüfen Ihren Rückforderungsanspruch und bereiten den nächsten Schritt vor.
Rechtliche Einschätzung anfragenRechtsquellen zur Einordnung
Jan-Henning Ahrens
Jan-Henning Ahrens und KWAG Rechtsanwälte beraten Mandanten insbesondere im Bankrecht, Kapitalmarktrecht, bei Anlage- und Internetbetrug sowie in wirtschaftsrechtlichen Streitigkeiten.
Mehr über die Kanzlei
