Phishing trifft längst nicht mehr nur Unvorsichtige: Täuschend echte Bank-SMS, gefälschte Anrufe vom „Sicherheitsteam“ und manipulierte Push-Freigaben kosten Verbraucher jedes Jahr dreistellige Millionenbeträge. Die gute Nachricht, die viele Betroffene nicht kennen: Grundsätzlich haftet die Bank — bei einer nicht autorisierten Zahlung muss sie das Konto unverzüglich wieder ausgleichen. Nur wenn sie grobe Fahrlässigkeit nachweist, drehst du bei. Dieser Ratgeber erklärt die Rechtslage nüchtern, zeigt die Sofort-Checkliste für die erste Stunde und die Argumente, mit denen du gegen pauschale Ablehnungen vorgehst.
Das Wichtigste in Kürze
- Bei nicht autorisierten Zahlungen muss die Bank den Betrag unverzüglich erstatten (§ 675u BGB) — spätestens am Ende des folgenden Geschäftstags.
- Die Beweislast liegt bei der Bank: Sie muss Autorisierung und grobe Fahrlässigkeit nachweisen, nicht du deine Unschuld.
- Bei grober Fahrlässigkeit (TAN bewusst für fremde Zahlung freigegeben) haftest du in voller Höhe.
- Nach einem Phishing-Angriff sofort handeln: Sperr-Notruf 116 116, Bank informieren, Anzeige erstatten, alles dokumentieren.
Phishing und Haftung: warum die Bank grundsätzlich zahlt
Der Kern steht in § 675u BGB: Führt die Bank eine Zahlung aus, die du nicht autorisiert hast, hat sie keinen Anspruch auf Erstattung ihrer Aufwendungen und muss das Konto wieder auf den Stand ohne die Belastung bringen — unverzüglich, spätestens bis Ende des folgenden Geschäftstags.
Entscheidend ist die Beweislastverteilung: Die Bank muss beweisen, dass die Zahlung authentifiziert war und dass du vorsätzlich oder grob fahrlässig gegen deine Sorgfaltspflichten verstoßen hast. Gerade bei professionellem Phishing reicht ein bloßer Hinweis auf „erfolgreiche TAN-Eingabe“ dafür nicht — Gerichte verlangen konkrete Feststellungen zum Ablauf. Trotzdem lehnen Banken zunächst häufig ab; genau hier lohnt Hartnäckigkeit, denn viele Fälle werden nach Widerspruch oder Ombudsmann-Verfahren doch erstattet. Die Präventionsseite des Themas behandelt der Ratgeber Sicheres Online-Banking.
Wo die Grenze zur groben Fahrlässigkeit verläuft
Voll haftest du, wenn du grob fahrlässig gehandelt hast — dieser Vorwurf entscheidet praktisch jeden Streitfall. Als grob fahrlässig gilt regelmäßig: eine TAN freigeben, obwohl in der App eindeutig ein fremder Empfänger und Betrag angezeigt wurden; mehrere TANs hintereinander an einen Anrufer durchgeben; Zugangsdaten auf einer offensichtlich gefälschten Seite eingeben (URL erkennbar falsch); PIN und Karte gemeinsam aufbewahren.
Nicht grob fahrlässig ist dagegen typischerweise: das Hereinfallen auf professionell gemachte Fälschungen, bei denen Anzeige-Texte manipuliert waren; Fälle mit Echtzeit-Manipulation durch Fernwartungssoftware; und vor allem Situationen, in denen die Bank selbst Sicherheitsstandards verletzt hat — etwa fehlende starke Kundenauthentifizierung oder ignorierte Auffälligkeiten im Betrugsmonitoring. Merke: Je professioneller der Angriff und je unauffälliger die Freigabe wirkte, desto besser deine Position. Dokumentiere deshalb sofort, was genau auf dem Display stand.
Nach dem Phishing-Angriff: die ersten 60 Minuten
1. Zugang sperren: Sperr-Notruf 116 116 (aus dem Ausland +49 116 116) sperrt Karten und Online-Banking sofort. 2. Bank anrufen und die Zahlung ausdrücklich als nicht autorisiert melden — Uhrzeit und Namen des Mitarbeiters notieren. 3. Rückholung anstoßen: Bei Überweisungen kann die Bank einen Rückruf beim Empfängerinstitut versuchen; je schneller, desto größer die Chance.
4. Strafanzeige erstatten — online über die Internetwache der Polizei; das Aktenzeichen brauchst du für die Bank. 5. Beweise sichern: Screenshots der Phishing-Nachricht, der App-Anzeige, Anrufliste, Zeitpunkte — später ist alles gelöscht. 6. Schriftlich widersprechen: Formlose Erstattungsforderung mit Verweis auf § 675u BGB und Fristsetzung. 7. Geräte prüfen: Virenscan, Fernwartungs-Apps deinstallieren, Passwörter von einem sauberen Gerät ändern. Und danach: Konto und Kartenumsätze wochenlang eng beobachten — häufig folgen weitere Versuche mit denselben Daten; wie du dabei unberechtigte Abbuchungen zurückholst, steht im Ratgeber Lastschrift zurückbuchen.
Wenn die Bank ablehnt: der Eskalationsweg
Eine Ablehnung ist kein Endpunkt, sondern der Start des eigentlichen Verfahrens. Stufe 1 — schriftlicher Widerspruch mit Sachverhaltsschilderung, Beweisen und der Aufforderung, konkret darzulegen, worin die grobe Fahrlässigkeit liegen soll. Stufe 2 — Ombudsmann: Die Schlichtungsstellen der Bankenverbände und die Schlichtungsstelle bei der Bundesbank arbeiten für Verbraucher kostenlos; das Verfahren dauert einige Monate, und viele Institute lenken vorher ein. Stufe 3 — Beschwerde bei der BaFin, die Missstände im Umgang mit Zahlungsdiensten verfolgt; Informationen dazu bündelt die BaFin-Verbraucherseite. Stufe 4 — Klage, sinnvoll ab mittleren vierstelligen Beträgen und deutlich entspannter mit Rechtsschutzversicherung; wichtig ist die dreijährige Verjährungsfrist. Parallel lohnt der Gang zur Verbraucherzentrale, die Musterschreiben bereithält und Erfolgsaussichten einschätzt.
Die aktuellen Maschen erkennen
Phishing hat die Zeit der holprigen Rechtschreibfehler hinter sich. Drei Muster dominieren aktuell: Der gefälschte Bankanruf mit echter Rufnummer im Display (Call-ID-Spoofing), bei dem angebliche Sicherheitsmitarbeiter zur „Verifizierung“ einer angeblich verdächtigen Buchung drängen. Die Push-TAN-Falle, bei der Betrüger parallel eine Zahlung auslösen und dich bitten, „zur Bestätigung Ihrer Identität“ freizugeben. Und die SMS mit Paket- oder Kontowarnung, deren Link auf eine perfekte Kopie der Banking-Seite führt.
Die gemeinsame Schwachstelle aller Maschen ist der Zeitdruck: Wer zur sofortigen Freigabe gedrängt wird, ist im Angriff. Zwei Regeln entwaffnen praktisch jeden Versuch — niemals über einen zugesandten Link ins Banking, immer über App oder selbst getippte Adresse; und bei jedem Anruf auflegen und über die offizielle Nummer zurückrufen. Keine Bank fragt je nach TAN, PIN oder Freigaben am Telefon. Wer diese beiden Reflexe verinnerlicht hat, ist gegen praktisch jede Phishing-Variante immun — unabhängig davon, wie professionell die Fälschung gemacht ist oder wie glaubwürdig der Anrufer klingt.
Häufige Fragen zum Phishing-Schaden
Muss ich beweisen, dass ich nicht autorisiert habe?
Nein — die Beweislast liegt bei der Bank. Sie muss Authentifizierung und Verschulden nachweisen; ein reiner Systemprotokoll-Auszug genügt dafür nach der Rechtsprechung nicht.
Wie schnell muss die Bank erstatten?
Grundsätzlich unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags nach Kenntnis. Sie darf die Erstattung nur bei begründetem Betrugsverdacht gegen dich aufschieben und muss das der Aufsicht anzeigen.
Zahlt die Bank auch bei Echtzeitüberweisungen?
Die Haftungsregeln gelten unabhängig vom Zahlverfahren. Praktisch ist die Rückholung bei Echtzeitüberweisungen schwieriger — umso wichtiger ist die sofortige Meldung.
Wie oft ist Phishing überhaupt erfolgreich?
Die Bundesnetzagentur und das BKA registrieren jährlich Zehntausende Fälle mit dreistelligen Millionenschäden — und die Dunkelziffer gilt als hoch, weil viele Betroffene aus Scham nicht melden. Phishing ist damit keine Randerscheinung, sondern die häufigste Betrugsform im Zahlungsverkehr.
Deckt eine Versicherung Phishing-Schäden ab?
Einige Hausrat- und Kreditkartentarife enthalten Bausteine für Online-Banking-Missbrauch, meist mit Deckelung. Erste Adresse bleibt aber die Bank — die Versicherung ist die Auffanglösung, wenn dir grobe Fahrlässigkeit nachgewiesen wird.
Fazit: Nicht zahlen, sondern widersprechen
Wer Opfer von Phishing wird, schämt sich oft — und trägt den Schaden deshalb still selbst. Dabei steht das Gesetz klar auf Verbraucherseite: Nicht autorisierte Zahlungen muss die Bank erstatten, und den Vorwurf grober Fahrlässigkeit muss sie belegen. Wer in der ersten Stunde sperrt, anzeigt und dokumentiert und danach hartnäckig widerspricht, bekommt sein Geld in vielen Fällen zurück. Aufgeben ist die einzige Reaktion, die garantiert nichts bringt.
