Wer haftet, wenn ein TAN-Generator-Betrug das Konto leer räumt? Das Geld ist nicht automatisch verloren - denn bei nicht autorisierter Überweisung muss die Bank grundsätzlich unverzüglich erstatten (§ 675u BGB). Den Anspruch verlieren kann jedoch, wer TANs leichtfertig an Dritte weitergegeben hat; grobe Fahrlässigkeit des Kunden schließt die Erstattung aus (§ 675v BGB, BGH XI ZR 20/24).
Sie stellen fest, dass nach einem TAN-Generator-Betrug Geld vom Konto verschwunden ist, das Sie nie freigegeben haben? Entscheidend ist dann, ob die Transaktion rechtlich als autorisiert gilt und was die Bank dazu nachweisen muss. Im Folgenden klären wir, wann ein Erstattungsanspruch greift, welche Beweislast die Bank trägt und unter welchen Voraussetzungen Kunden selbst haften.
Eine berufstätige Person entdeckt eines Morgens mehrere Kontoabbuchungen, die sie nie veranlasst hat. Auslöser war eine täuschend echt wirkende Nachricht, die scheinbar von der eigenen Hausbank stammte und zur Eingabe von TANs für eine angebliche Sicherheitsprüfung aufforderte. Die Codes wurden eingetippt. Erst Stunden später, beim Blick aufs Konto, offenbaren sich unberechtigte Überweisungen in erheblicher Höhe.
Die Bank lehnt eine Erstattung ab. Die Begründung klingt technisch und unumstößlich: Die Zahlungen seien korrekt autorisiert worden, ein entsprechender Nachweis liege vor. Was das Gesetz dazu sagt und warum diese Aussage nicht das letzte Wort sein muss, zeigt ein Blick auf die drei Paragraphen, die in solchen Fällen über Erstattung oder volle Haftung entscheiden.
Was bedeutet gesetzliche Grundlagen: § 675u, § 675v und § 675w BGB im Überblick in der Praxis?
Bevor wir die konkreten Betrugsszenarien einordnen, brauchen wir das rechtliche Fundament, auf dem jede Erstattungsforderung steht. Drei Paragraphen des Bürgerlichen Gesetzbuchs ziehen die entscheidenden Linien, und ihre Zusammenschau erklärt, warum selbst eine scheinbar eindeutige Ablehnung durch die Bank angreifbar sein kann.
§ 675u BGB - Erstattungsanspruch bei nicht autorisiertem Zahlungsvorgang
Bei einem nicht autorisierten Zahlungsvorgang ist der Zahlungsdienstleister verpflichtet, dem Zahler den Betrag unverzüglich zu erstatten und das belastete Zahlungskonto wieder auf den Stand zu bringen, auf dem es sich ohne die unberechtigte Buchung befunden hätte. Dieser Anspruch besteht unabhängig davon, ob der Vorgang technisch korrekt verarbeitet wurde.
Quelle öffnen →Der Erstattungsanspruch klingt zunächst eindeutig. In der Praxis dreht sich der Streit jedoch fast immer um eine einzige Frage: War die Zahlung überhaupt autorisiert? § 675j BGB definiert die Autorisierung als ausdrückliche oder stillschweigende Zustimmung des Zahlers in der vereinbarten Form. Eine technisch korrekte Authentifizierung, also die erfolgreiche Nutzung von PIN und TAN, bedeutet dabei nicht automatisch, dass auch eine rechtswirksame Autorisierung vorliegt.
Wer durch Täuschung dazu gebracht wird, eine TAN einzugeben, hat die Zahlung im rechtlichen Sinne möglicherweise gerade nicht autorisiert.
§ 675w BGB - Beweislast des Zahlungsdienstleisters
Ist streitig, ob ein Zahlungsvorgang autorisiert war, muss der Zahlungsdienstleister nachweisen, dass eine Authentifizierung des Zahlers erfolgt ist und der Zahlungsvorgang ordnungsgemäß aufgezeichnet sowie technisch einwandfrei verarbeitet wurde. Dieser Nachweis allein belegt jedoch noch nicht, dass der Zahlungsvorgang auch vom Zahler autorisiert wurde.
Das bedeutet: Die Beweislast liegt grundsätzlich bei der Bank. Sie muss mehr vortragen als nur "das System hat korrekt funktioniert". § 675v BGB ergänzt dieses Bild um den Haftungseinwand der Bank: Wenn dem Kunden grobe Fahrlässigkeit vorzuwerfen ist, kann sie einen Gegenanspruch geltend machen. Diese Kombination aus Erstattungspflicht und möglichem Haftungseinwand ist der zentrale Streitpunkt in nahezu jedem Betrugsfall.
Worauf es jetzt ankommt
Mit diesem Überblick lässt sich nun einordnen, welche Betrugsszenarien in der Praxis auftreten und wie sie sich in dieses Regelwerk einsortieren.
Was bedeutet tAN-Betrug in der Praxis: Phishing, Quishing, Fernzugriff und Social Engineering in der Praxis?
Doch was verbirgt sich hinter dem Begriff TAN-Betrug konkret, und warum ist die rechtliche Einordnung des Betrugswegs so entscheidend? Der Ablauf des Angriffs bestimmt, ob das Gericht eine wirksame Autorisierung nach § 675j BGB annimmt oder ob die Täuschung über den Zahlungszweck diese Fiktion bricht.
Sichern Sie Phishing-Nachrichten, Links, Screenshots, Kontoauszüge, TAN-Generator-Anzeigen, Telefonnotizen und die Ablehnung der Bank. Gerade bei TAN-Betrug entscheidet die genaue Chronologie darüber, ob die Bank mehr vorlegen muss als den pauschalen Hinweis auf eine technische Freigabe.
Welche Angriffsspuren für die Einordnung zählen
Praktisch heißt das: Der Ablauf muss minutengenau rekonstruiert werden. Welche Nachricht kam an, welche Seite wurde geöffnet, welche TAN wurde erzeugt und welche Zahlung stand tatsächlich dahinter? Je genauer dieser Ablauf belegt ist, desto belastbarer lässt sich prüfen, ob eine wirksame Autorisierung oder eine täuschungsbedingte Fehlfreigabe vorlag.
Was für die Einordnung zählt
Die gängigsten Angriffsmethoden unterscheiden sich im technischen Ablauf erheblich, führen aber juristisch regelmäßig zu denselben Kernfragen. Entscheidend ist stets, ob der Betroffene über den eigentlichen Zahlungszweck getäuscht wurde und ob er in dem Moment, in dem er die TAN eingab, überhaupt wusste, welche Transaktion er damit freigab.
Was für den nächsten Schritt zählt
Phishing per E-Mail: Eine täuschend echt gestaltete Nachricht mit dem Layout der Bank leitet auf eine gefälschte Webseite. Zugangsdaten und TANs werden abgefangen. Die Zahlung erscheint technisch korrekt autorisiert; der Kunde wurde jedoch über den Zahlungszweck getäuscht, was die Autorisierungsfiktion bricht.
Welche Unterlagen jetzt zählen
Quishing per QR-Code: Ein manipulierter Überweisungsbeleg oder ein QR-Code in einer digitalen Nachricht leitet auf eine Phishing-Seite. Das Opfer glaubt, einen legitimen Zahlungsvorgang abzuschließen, löst tatsächlich aber eine Überweisung an Betrüger aus.
Wo die Frist praktisch beginnt
Fernzugriff via Remote-Desktop: Unter dem Vorwand technischer Hilfe erlangen Betrüger Zugang zum Gerät. Der Kunde gibt TANs ein, ohne zu wissen, welche Transaktion damit ausgelöst wird. Die Täuschung liegt hier nicht im Inhalt der Nachricht, sondern im verdeckten Eingriff auf das Gerät selbst.
Was jetzt praktisch wichtig ist
Social Engineering per Telefon: Ein angeblicher Bankmitarbeiter erbittet für eine vermeintliche Sicherheitsprüfung TANs aus dem chipTAN-Generator. Genau dieser Sachverhalt stand im Mittelpunkt der jüngsten BGH-Entscheidung XI ZR 20/24.
Was Sie als Nächstes prüfen sollten
Genau hier wird es kritisch: Banken argumentieren in allen vier Szenarien regelmäßig mit einer "technisch korrekten Autorisierung". Diese Formulierung ist jedoch nicht gleichbedeutend mit einer rechtswirksamen Autorisierung nach § 675j BGB. Wer diesen Unterschied nicht kennt, akzeptiert möglicherweise eine Ablehnung, die rechtlich angreifbar ist.
Was muss die Bank nach § 675w BGB konkret nachweisen?
Auf dieser Grundlage stellt sich die Frage, welche Unterlagen Betroffene von der Bank einfordern sollten, um die Beweislast nach § 675w BGB konkret zu hinterfragen. Für eine fundierte Prüfung sind folgende Nachweise von der Bank anzufordern:
Worauf Sie im Alltag achten sollten
Technische Aufzeichnung des Authentifizierungsvorgangs
Art und Zeitpunkt der starken Kundenauthentifizierung gemäß PSD2
Verwendetes TAN-Verfahren und die damit verknüpften Transaktionsdaten
Protokolle zu IP-Adresse und eingesetztem Endgerät
Interne Sicherheitsprotokolle zur Betrugserkennung
Bevor Sie die nächsten Schritte prüfen
Wichtig ist zuerst die Einordnung, welche Entscheidung, Frist oder Forderung tatsächlich betroffen ist. Erst danach sollte die praktische Checkliste abgearbeitet werden. Legen Sie Unterlagen, Fristen und die bisherige Kommunikation zusammen, bevor Sie den nächsten Schritt festlegen.
Diese Unterlagen bilden die Grundlage dafür, zu beurteilen, ob die Bank ihrer Beweispflicht tatsächlich nachgekommen ist. Ob sie das getan hat oder ob Lücken bestehen, ist die Frage, die über den Erstattungsanspruch entscheidet, und sie führt direkt zum nächsten Streitpunkt.
Was bedeutet grobe Fahrlässigkeit beim TAN-Betrug: Wo Betroffene ihren Erstattungsanspruch verlieren können in der Praxis?
Genau hier setzt der häufigste Einwand der Banken an: Sie berufen sich auf grobe Fahrlässigkeit nach § 675v BGB und verweigern die Erstattung. Dabei ist die Haftungsfrage komplizierter, als Ablehnungsschreiben oft suggerieren. Der nächste Schritt hängt oft davon ab, wie Bankhaftung bei Phishing einzuordnen ist.
Zurück zur eingangs geschilderten Situation. Die Bank hat die Erstattung abgelehnt. Ihre Begründung lautet, die Zahlung sei technisch korrekt autorisiert worden. Für die betroffene Person bedeutet das zunächst volle Haftung für Überweisungen, die sie nie bewusst in Auftrag gegeben hat. Der Vorwurf grober Fahrlässigkeit im Sinne von § 675v BGB wiegt dabei schwer, weil er den gesamten Erstattungsanspruch zum Erlöschen bringen kann.
Was danach entscheidend wird
Und die Unsicherheit darüber, ob dieser Vorwurf im konkreten Fall tatsächlich trägt, ist der Moment, in dem viele Betroffene aufgeben, ohne ihre rechtliche Position geprüft zu haben.
Das BGH-Urteil XI ZR 20/24: Telefonische TAN-Weitergabe als Maßstab
„Die telefonische Weitergabe einer transaktionsbezogenen TAN im chipTAN-Verfahren an einen angeblichen Bankmitarbeiter stellt grobe Fahrlässigkeit dar, weil Banken ihre Kunden regelmäßig und unmissverständlich darauf hinweisen, dass TANs niemals telefonisch abgefragt werden." Sinngemäß nach BGH XI ZR 20/24 (03.03.2026)"
Das Urteil verdeutlicht: Grobe Fahrlässigkeit setzt voraus, dass der Kunde die im Bankverkehr übliche Sorgfalt in einem besonders schweren Maß außer Acht gelassen hat. Wer eine TAN telefonisch an eine unbekannte Person weitergibt, obwohl Banken dies dauerhaft und ausdrücklich ausschließen, erfüllt nach Auffassung des BGH diesen Maßstab.
In der Sekundärberichterstattung wird auch auf BGH XI ZR 107/24 als weiterer Hinweis zur Haftungslinie bei Phishing und TAN-Weitergabe verwiesen; auch hier sollte die Originalentscheidung zur Verifikation geprüft werden.
Wo Sie genauer hinschauen sollten
Anders sieht es aus, wenn die Täuschung so professionell gestaltet war, dass auch eine sorgfältige Person sie nicht ohne Weiteres hätte erkennen können. Eine gefälschte Bankwebseite, die der echten Seite so täuschend ähnlich ist, dass der Unterschied ohne technisches Fachwissen nicht erkennbar war, wird rechtlich anders bewertet als die direkte telefonische Weitergabe einer TAN.
Zwischen diesen Polen liegt ein breiter Beurteilungsspielraum, den nur eine individuelle Prüfung des Einzelfalls ausfüllen kann. Ein einziger Moment der Täuschung soll den gesamten Schaden entscheiden: Genau das ist der Punkt, an dem anwaltliche Prüfung den Unterschied macht. Im nächsten Schritt geht es darum, was unmittelbar nach Entdeckung des Betrugs zu tun ist, um keine Ansprüche zu gefährden.
Antworten Sie nicht nur mit der Bitte um Kulanz. Verlangen Sie konkret die Authentifizierungsdaten, die technische Aufzeichnung des Zahlungsvorgangs und die Tatsachen, aus denen die Bank eine grobe Fahrlässigkeit ableiten will.
Welche Prüfung jetzt sinnvoll ist
Sie haben nach einem TAN-Betrug eine Erstattungsablehnung erhalten und möchten wissen, ob der Vorwurf der groben Fahrlässigkeit tatsächlich trägt? Wir prüfen Ihren Anspruch auf Grundlage von § 675u BGB und bereiten den nächsten Schritt vor.
Rechtliche Einschätzung anfragenWelche Frist gilt nach dem Phishing-Betrug?
Im nächsten Schritt muss es schnell gehen. Wer nach einem TAN-Betrug zu lange wartet, riskiert nicht nur den Verlust von Beweisen, sondern möglicherweise auch den Erstattungsanspruch selbst. Die gesetzliche Anzeigeobliegenheit aus § 676b BGB verpflichtet den Zahler dazu, nicht autorisierte Zahlungsvorgänge der Bank unverzüglich zu melden, sobald er davon Kenntnis erlangt hat. Diese Pflicht ist keine bloße Formalität, sondern eine Anspruchsvoraussetzung.
In der weiteren Prüfung taucht daneben häufig Phishing bei Senioren auf.
Nicht warten
Wer die unbekannten Abbuchungen nicht umgehend nach ihrer Entdeckung schriftlich bei der Bank meldet, riskiert den Verlust des Erstattungsanspruchs. Zusätzlich sollte sofort Strafanzeige erstattet werden, um das Aktenzeichen für die spätere Korrespondenz mit der Bank zu sichern.
Warum die schnelle Meldung wichtig ist
Daraus folgt ein klarer Fehler, den Betroffene häufig machen: Sie warten ab und hoffen, dass die Bank von sich aus reagiert. Tatsächlich ist die eigene schriftliche Initiative entscheidend. Beweise wie Screenshots der Phishing-Nachricht, Kontoauszüge und Gesprächsprotokolle sollten sofort gesichert werden, bevor sie verloren gehen oder überschrieben werden. Parallel dazu sollte der Online-Banking-Zugang unverzüglich gesperrt werden, um weitere Schäden zu verhindern.
Diese Sofortmaßnahmen sind nicht nur praktisch sinnvoll, sie sind auch relevant für die spätere Haftungseinordnung.
Welche Fristen bei Bankbetrug zählen
Die reguläre Verjährungsfrist für vertragliche Ansprüche gegenüber Banken beträgt drei Jahre, beginnend mit dem Ende des Jahres, in dem der Anspruch entstanden ist. Diese Frist sollte keinesfalls passiv abgewartet werden, da wesentliche Beweise wie technische Protokolle oder Aufzeichnungen mit der Zeit verloren gehen können.
Welche Bankkommunikation zählt
Bankinterne Anzeigefristen können zudem kürzer laufen als die gesetzliche Verjährung, was eine frühzeitige anwaltliche Prüfung doppelt sinnvoll macht: Sie sichert den Anspruch und verhindert, dass Fristen unbemerkt ablaufen.
Vorgehen nach TAN-Generator-Betrug: So setzen Betroffene ihren Anspruch durch
Auf dieser Grundlage lässt sich nun der Weg beschreiben, den Betroffene nach einer Erstattungsablehnung einschlagen sollten. Und hier schließt sich der Bogen zur eingangs geschilderten Situation. Für die praktische Planung kann gefälschte Onlinebanking-Loginseite entscheidend werden.
Wie die Erstattungsforderung aufgebaut wird
Die betroffene Person fordert die Bank schriftlich nach § 675u BGB zur unverzüglichen Erstattung auf und verlangt dabei konkrete Beweisführung gemäß § 675w BGB. Sie fragt nicht um Kulanz nach, sondern stellt der Bank eine rechtlich fundierte Aufgabe: Beleg, dass die Authentifizierung ordnungsgemäß erfolgt ist, dass der Vorgang fehlerfrei aufgezeichnet wurde und dass damit eine wirksame Autorisierung nach § 675j BGB vorgelegen hat.
Warum die schnelle Meldung wichtig ist
Diese Aufforderung ist das Instrument, das den pauschalen Hinweis auf eine "technisch korrekte Autorisierung" juristisch herausfordert. Ob eine solche pauschale Berufung die gesetzliche Beweislast der Bank nach § 675w BGB tatsächlich erfüllt, ist eine Frage, die im Einzelfall sorgfältig geprüft werden muss und die Banken in der Praxis regelmäßig nicht ohne Weiteres beantworten können.
Welche Fristen bei Bankbetrug zählen
Daraus folgt ein strukturierter Ablauf für die Durchsetzung des Anspruchs:
Welche Schritte den Anspruch durchsetzen
- ◆Schriftliche Erstattungsaufforderung mit Fristsetzung und ausdrücklichem Verweis auf § 675u und § 675w BGB
- ◆Beweismittel bündeln und Bank zur konkreten Vorlage der Authentifizierungsunterlagen auffordern
- ◆Anwaltliche Prüfung, ob grobe Fahrlässigkeit im konkreten Fall tatsächlich trägt
- ◆Klage oder Bankschlichtung, wenn die Bank nach schriftlicher Aufforderung weiter ablehnt
Der erste Brief an die Bank ist dabei der wichtigste Schritt: Er setzt die rechtliche Auseinandersetzung in Gang, dokumentiert, dass der Betroffene seinen Anspruch aktiv geltend macht, und erzwingt von der Bank eine substanzielle Antwort, die ihrerseits zur weiteren Prüfung herangezogen werden kann.
Welche Bankkommunikation zählt
Sofortmaßnahmen nach TAN-Generator-Betrug
- ◆Unbekannte Abbuchungen unverzüglich schriftlich bei der Bank melden (§ 676b BGB)
- ◆Online-Banking-Zugang sofort sperren lassen (Banknotruf oder persönlich in der Filiale)
- ◆Strafanzeige bei der Polizei erstatten und Aktenzeichen notieren
Was danach zu prüfen ist
- ◆Alle Nachrichten, E-Mails, SMS und Screenshots als Beweise sichern
- ◆Ablehnungsschreiben der Bank vollständig aufbewahren
- ◆Art des verwendeten TAN-Verfahrens dokumentieren (chipTAN, pushTAN oder iTAN)
Welche Frist jetzt zählt
- ◆Technische Authentifizierungsunterlagen und Transaktionsprotokolle von der Bank anfordern
- ◆Schriftliche Erstattungsaufforderung mit Verweis auf § 675u und § 675w BGB absenden
- ◆Anwaltliche Prüfung des Erstattungsanspruchs veranlassen
Was Sie daraus mitnehmen
Nach dem ersten Sicherungsschritt sollte die Korrespondenz mit der Bank nicht allgemein bleiben. Entscheidend sind konkrete Fragen: Welche Authentifizierungsdaten liegen vor, welche Zahlung wurde mit welcher TAN verknüpft, welche Warnhinweise soll der Kunde angeblich missachtet haben und auf welchen Sachverhalt stützt die Bank den Vorwurf grober Fahrlässigkeit?
Häufige Fragen zum TAN-Generator-Betrug und zur Bankenhaftung
Bevor wir zum Fazit kommen, beantwortet dieser Abschnitt die Fragen, die in der Praxis am häufigsten gestellt werden. Diese Fragen spiegeln die Unsicherheit wider, die viele Betroffene nach einer Erstattungsablehnung empfinden, und sie zeigen, warum die rechtliche Einordnung des Einzelfalls so entscheidend ist. Der nächste Schritt hängt oft davon ab, wie Phishing-Schaden rechtlich einordnen einzuordnen ist.
Muss die Bank erstatten, wenn ich die TAN selbst eingegeben habe?
Entscheidend ist § 675j BGB: ob eine wirksame Autorisierung vorlag, nicht ob eine TAN technisch eingegeben wurde. Wer durch Täuschung zur Eingabe bewegt wurde, hat die Zahlung möglicherweise nicht rechtswirksam autorisiert. Diese Unterscheidung ist der Kern vieler erfolgreicher Erstattungsforderungen.
Was gilt, wenn die Bank behauptet, die Zahlung sei autorisiert gewesen?
§ 675w BGB verlangt von der Bank einen konkreten Beweis, keine pauschale System-Aussage. Authentifizierungsprotokolle, Aufzeichnungen und der Nachweis der korrekten Verarbeitung müssen substanziell vorgelegt werden. Eine allgemeine Berufung auf die technisch korrekte Funktion des Systems reicht dafür nicht aus.
Verliere ich den Anspruch automatisch, wenn ich auf eine gefälschte Website hereingefallen bin?
Nein. Die Bewertung hängt vom Grad der Sorgfaltspflichtverletzung im Einzelfall ab. Eine professionell gestaltete Fälschung, die auch sorgfältigen Personen nicht sofort als solche erkennbar war, wird anders bewertet als eine offensichtliche Phishing-Seite. Automatismus gibt es hier nicht.
Wie lange habe ich Zeit, den Schaden geltend zu machen?
Die gesetzlichen Verjährungsfristen nach BGB gelten grundsätzlich, daneben sind bankinterne Anzeigefristen zu beachten. Da beide Fristen unterschiedlich laufen können, ist eine frühzeitige anwaltliche Prüfung empfehlenswert, um keinen Anspruch ungenutzt verfallen zu lassen.
Zusammenfassung: TAN-Betrug, Haftung und der nächste rechtssichere Schritt
Die Haftungsfrage nach einem TAN-Generator-Betrug ist selten so eindeutig, wie Banken in ihren Ablehnungsschreiben suggerieren. Drei Paragraphen bestimmen das Ergebnis: § 675u BGB als Erstattungsanspruch bei nicht autorisierter Zahlung, § 675w BGB als Beweislast der Bank und § 675v BGB als Haftungsrisiko bei grober Fahrlässigkeit. In der weiteren Prüfung taucht daneben häufig Bankhaftung nach Phishing auf.
Warum die schnelle Meldung wichtig ist
Der Unterschied zwischen technischer Authentifizierung und rechtswirksamer Autorisierung, die konkrete Beweispflicht der Bank und die genaue Bewertung der individuellen Umstände eröffnen regelmäßig rechtliche Spielräume. Das Geld ist nicht automatisch verloren. Wer schnell handelt, Beweise sichert und die Ablehnung der Bank nicht einfach hinnimmt, schafft die beste Ausgangslage für eine erfolgreiche Prüfung des Erstattungsanspruchs nach § 675u BGB.
Wie die Erstattungsforderung aufgebaut wird
Lassen Sie Ihren Fall prüfen: Wir klären, ob Ihre Bank zur Erstattung verpflichtet ist, und bereiten den nächsten Schritt für Sie vor.
Rechtliche Einschätzung anfragenRechtsquellen zur Einordnung
Jan-Henning Ahrens
Jan-Henning Ahrens und KWAG Rechtsanwälte beraten Mandanten insbesondere im Bankrecht, Kapitalmarktrecht, bei Anlage- und Internetbetrug sowie in wirtschaftsrechtlichen Streitigkeiten.
Mehr über die Kanzlei
