Online-Banking-Betrug: was die Bank beweisen muss, was Sie dokumentieren

Konto leergeräumt, wer haftet? Die Einordnung des Vorgangs entscheidet

Über die Erstattung entscheidet nicht, wie überzeugend die Täuschung war, sondern ob der Kontoinhaber der Zahlung zugestimmt hat.

Online-Banking-Betrug ist ein Sammelbegriff für Fälle, in denen Täter mit erschlichenen Zugangsdaten Geld von einem Konto abziehen oder den Kontoinhaber durch Täuschung selbst zur Zahlung bringen. TrueScreen macht dabei den Teil überprüfbar, den Kontodaten nicht zeigen: was vor der Zahlung auf dem Telefon oder im Browser der betroffenen Person geschehen ist.

Rechtlich beginnt die Prüfung bei § 675j BGB: Ein Zahlungsvorgang ist gegenüber dem Zahler nur wirksam, wenn er ihm zugestimmt hat.

Phishing, Smishing, Vishing und falsche Bankmitarbeiter

Das BSI beschreibt Phishing per SMS als Smishing und am Telefon als Vishing. Beim Spoofing missbrauchen Betrüger Telefonnummer, E-Mail-Adresse, Website oder App der Bank.

Nicht autorisierte Zahlung: Was der EuGH in der Rechtssache C-70/25 entschieden hat

Bei einem nicht autorisierten Zahlungsvorgang darf die Bank die unverzügliche Erstattung nicht mit dem Vorwurf grober Fahrlässigkeit verweigern, und diesen Vorwurf muss sie später selbst beweisen.

Die Kundin einer polnischen Bank gab ihre Zugangsdaten auf einer Seite im Erscheinungsbild ihrer Bank ein, zu der sie der Link eines angeblichen Kaufinteressenten geführt hatte. Der Täter überwies rund 700 Euro, sie meldete das am folgenden Tag, und die Bank verweigerte die Erstattung. Der EuGH legt die Richtlinie PSD2 aus, den Rechtsstreit entscheidet das polnische Gericht (Pressemitteilung Nr. 147/26).

Erst die Erstattung, dann der Streit um die Fahrlässigkeit

Grobe Fahrlässigkeit berechtigt die Bank nach dem Urteil vom 15. Oktober 2026 nicht dazu, die Erstattung zu verweigern. Zu erstatten ist unverzüglich, spätestens bis zum Ende des folgenden Geschäftstags, wenn der Kunde die Bank unverzüglich unterrichtet. Danach kann sie die Verluste zurückverlangen, sofern sie eine vorsätzliche oder grob fahrlässige Pflichtverletzung nachweist; die Beweislast liegt nach Randnummer 40 bei ihr.

In Deutschland folgt die Erstattungspflicht aus § 675u BGB. § 675v BGB begrenzt den Schadensersatz des Zahlers grundsätzlich auf 50 Euro, bei Betrugsabsicht, Vorsatz oder grober Fahrlässigkeit haftet er voll. Für den Beweis zählt § 675w BGB: Die Aufzeichnung der Nutzung reicht allein nicht notwendigerweise aus, die Bank muss unterstützende Beweismittel vorlegen.

Wann die Bank bei Phishing nicht oder nicht endgültig erstattet

Die einzige Ausnahme von der sofortigen Erstattung besteht laut EuGH, wenn die Bank der zuständigen nationalen Behörde schriftlich berechtigte Gründe für den Verdacht mitteilt, dass ein vom Kunden begangener Betrug vorliegt. Hält die Bank den Vorgang für autorisiert, stellt sich schon die Frage, ob § 675u BGB greift. Eine geleistete Erstattung muss nicht endgültig bleiben, wenn die Bank grobe Fahrlässigkeit nachweist. Wer zu spät meldet, riskiert den Anspruch: § 676b BGB schließt ihn grundsätzlich 13 Monate nach der Belastung aus.

Im Text des Rates zur EU-Zahlungsdiensteverordnung, der noch nicht in Kraft ist und sich ändern kann, sähe Artikel 57 eine weitere Ausnahme vor als die vom EuGH für die PSD2 genannte: Die Erstattung bis zum Folgegeschäftstag entfiele, wenn die Bank objektiv gerechtfertigte Gründe für den Verdacht hätte, dass der Zahler vorsätzlich oder grob fahrlässig gegen seine Pflichten verstoßen hat, und ihm diese schriftlich mitteilte, oder für den Verdacht auf Betrug durch den Zahler. Dann hätte sie ab Kenntnis oder Anzeige 15 Geschäftstage, um zu erstatten oder begründet abzulehnen.

Was das Urteil offenlässt

C-70/25 setzt einen nicht autorisierten Vorgang voraus. Das Urteil sagt weder, wie eine vom getäuschten Opfer selbst erteilte Überweisung einzuordnen ist, noch wie eine Zahlung zu bewerten ist, die mit einem vom Kunden weitergegebenen Code freigegeben wurde.

Überweisungsbetrug: Wenn das Opfer die Zahlung selbst auslöst

Wer eine Überweisung unter Täuschung selbst freigibt, kann sich nicht ohne Weiteres auf § 675u BGB stützen.

Beim Überweisungsbetrug fehlt der Zugriff von außen: Ein angeblicher Verwandter im Messenger oder ein falscher Bankberater bringt das Opfer dazu, selbst zu überweisen.

Was heute gilt: Zustimmung und Empfängerüberprüfung

Ob eine durch Täuschung erreichte Freigabe als Zustimmung im Sinne von § 675j BGB gilt, regelt die Vorschrift nicht ausdrücklich. Wie es zur Freigabe kam, macht TrueScreen bei Betrug im Messenger überprüfbar, indem es den Chat als Beweis sichert.

Vor der Freigabe schreibt die Verordnung (EU) 2024/886 eine Empfängerüberprüfung vor, die Kreditinstitute laut BaFin seit dem 9. Oktober 2025 durchführen müssen. Passen IBAN und Name nicht zusammen, warnt die Bank, und der Zahler kann abbrechen, korrigieren oder trotzdem autorisieren. Bei korrekter Überprüfung haftet sie nach der Verordnung nicht für die Ausführung zugunsten eines unbeabsichtigten Empfängers, bei fehlerhafter Überprüfung und dadurch fehlerhafter Ausführung muss sie erstatten.

Echtzeitüberweisung: Lässt sich das Geld zurückholen?

Echtzeitüberweisungen sind laut Bundesbank grundsätzlich nicht widerruflich, und auch § 675p BGB schließt den Widerruf nach Zugang des Auftrags grundsätzlich aus. Eine Rückbuchung hängt vom Einverständnis des Empfängers ab, das ein Betrüger kaum erteilen wird.

Was die EU-Zahlungsdiensteverordnung für falsche Bankmitarbeiter vorsieht

Im vom Rat am 29. Oktober 2026 angenommenen Text sieht Artikel 60 (Nummerierung des Ratstextes) die volle Erstattung vor, wenn sich ein Dritter über Kanäle, die der Bank zugeordnet werden, als diese Bank ausgegeben und einen Verbraucher so zu autorisierten Zahlungen gebracht hat und der Verbraucher den Betrug unverzüglich der Bank angezeigt und polizeilich gemeldet hat. Das gälte nicht bei Betrug oder grober Fahrlässigkeit des Verbrauchers, die Beweislast läge bei der Bank.

Vor einer Einstufung als Betrug oder grobe Fahrlässigkeit müsste die Bank den Verbraucher auffordern, Informationen über die Ereignisse bereitzustellen, und diese berücksichtigen. Fehlende Angaben allein reichten für diesen Schluss nicht, und Aufzeichnungen von Telefongesprächen könnte sie laut den Erwägungsgründen nicht verlangen. Zertifiziertes Material verlangt der Text nicht, TrueScreen gibt diesen Angaben aber eine Grundlage, die die Bank nachprüfen kann. Der falsche Verwandte fiele nicht unter die Regel. In Kraft ist die Verordnung nicht: Das Europäische Parlament muss sich in zweiter Lesung noch damit befassen, der Text kann sich ändern und gälte erst 21 Monate nach dem Inkrafttreten.

Online-Banking-Betrug in Zahlen: Was Bankverantwortliche gegenüber BioCatch angeben

Die Zahlen von BioCatch geben wieder, was Verantwortliche italienischer Banken einem Anbieter von Betrugsprävention sagen, und sind keine Aufsichtsdaten.

Von den 100 Befragten geben 76 Prozent an, ihr Institut verliere im Jahr mehr als 10 Millionen US-Dollar durch Betrug, und 68 Prozent sehen die Verluste im eigenen Haus steigen (BioCatch, 4. November 2026). Über deutsche Banken sagt die Umfrage nichts aus.

TrueScreen

TrueScreen, die Plattform für forensische Erfassung und Zertifizierung

Erfassen und zertifizieren Sie digitale Inhalte mit Rechtswert, direkt an der Quelle.

Mehr erfahren →

Phishing, was tun? Was Sie für die Beschwerde dokumentieren sollten

Zuerst sperren und melden, dann anzeigen, und währenddessen alles sichern, was den Hergang belegt, solange es noch existiert.

1. 1

   Bank informieren und Zugang sperren

   Melden Sie einen Online-Banking-Betrug sofort Ihrer Bank, denn § 675l BGB verlangt die unverzügliche Anzeige. Online-Banking-Zugänge lassen sich laut Betreiber auch über den Sperr-Notruf 116 116 sperren. Bestreiten Sie jeden Vorgang, dem Sie nicht zugestimmt haben.

2. 2

   Strafanzeige stellen

   Strafanzeigen nehmen laut BSI die Onlinewachen der Länder und die örtlichen Dienststellen entgegen. § 675u BGB nennt sie nicht als Voraussetzung der Erstattung, der Ratstext dagegen würde die polizeiliche Meldung beim falschen Bankmitarbeiter verlangen. Kontaktieren Sie die Täter nicht selbst.

3. 3

   Nachrichten, Seiten und Verlauf sichern, bevor sie verschwinden

   Schreiben Sie ein Gedächtnisprotokoll mit Uhrzeiten, angezeigten Nummern und Absendern. Bei einem WhatsApp-Chat oder SMS-Verlauf zeichnet die TrueScreen App den Bildschirm auf, während Sie scrollen. Eine gefälschte Seite erfasst am Computer der Forensic Browser, ohne dass Sie dort etwas eingeben: So sichern Sie geklonte Seiten als Beweis.

   Vorhandene Screenshots lassen sich als Datei zertifizieren: Das hält Inhalt und Datum ab diesem Moment fest, nicht aber, wie sie entstanden sind. Solange die Unterhaltung existiert, lohnt sich daher die Aufzeichnung.

4. 4

   Beschwerde bei der Bank einreichen

   Reichen Sie die Beschwerde schriftlich ein, mit Ablauf, Anlagen und klarem Begehren. Nach § 62 ZAG muss die Bank auf alle angesprochenen Fragen eingehen und innerhalb von 15, in Ausnahmefällen spätestens 35 Arbeitstagen antworten. Laut BaFin ist die schriftliche Beschwerde Voraussetzung für die Schlichtung.

5. 5

   Schlichtungsstelle anrufen und BaFin einschalten

   Lehnt die Bank die Erstattung auch nach der Beschwerde ab, steht nach § 14 UKlaG der Weg zu einer Verbraucherschlichtungsstelle offen, für Verbraucher ohne Entgelt. Der Ombudsmann der privaten Banken ist nur für teilnehmende Banken tätig; für Volks- und Raiffeisenbanken, Sparkassen und öffentliche Banken gibt es weitere Stellen, und die Bundesbank-Schlichtungsstelle dient als Auffangstelle. Nach der Verfahrensordnung des Ombudsmanns führen die Ombudsleute eine Beweisaufnahme nur durch, wenn der Beweis durch die Vorlage von Urkunden angetreten werden kann; die Schlichtung kann abgelehnt werden, wenn entscheidende Tatsachen streitig bleiben. Bei der BaFin können Sie sich zusätzlich beschweren, sie entscheidet aber keine einzelnen Streitfälle.

Was kann TrueScreen nach einem Online-Banking-Betrug belegen?

TrueScreen belegt, wie und wann Chats, gefälschte Seiten und E-Mails erfasst wurden, und gibt Bank, Schlichtungsstelle und Gericht einen Hergang an die Hand, den sie selbst prüfen können. Über die Erstattung entscheiden weiterhin sie.

Grundlage ist die forensische Methodik: Inhalte werden an der Quelle erfasst und geprüft, ein technischer Bericht hält SHA-256-Hashes, zertifizierte Uhrzeit und Metadaten fest, und am Ende stehen ein qualifiziertes elektronisches Siegel und ein qualifizierter Zeitstempel. Das Siegel der Zertifizierung lässt sich auch ohne TrueScreen mit dem öffentlichen Werkzeug der Europäischen Kommission (EU DSS) prüfen. Der Nachweis hat vollen Rechts- und Beweiswert, sein Gewicht bestimmt das Gericht in freier Überzeugung (§ 286 ZPO).

Chats und SMS laufen über die TrueScreen App, Web-Chats wie WhatsApp Web und gefälschte Seiten über den Forensic Browser, E-Mails über die E-Mail-Zertifizierung.

Die Zertifizierung bescheinigt, wie ein Inhalt erfasst wurde, nicht, dass er wahr ist. Sie beweist weder, wer der Täter ist, noch dass eine Nachricht von der Bank stammt, sie ersetzt weder Meldung noch Strafanzeige und sagt keine Erstattung zu.

Ein erfundenes Beispiel für einen Online-Banking-Betrug: Eine Kontoinhaberin erhält im SMS-Verlauf ihrer Bank eine Warnung, ein angeblicher Mitarbeiter schickt sie auf eine nachgebaute Seite, und binnen Minuten sind Überweisungen ausgeführt. Bevor die Spuren verschwinden, zeichnet sie die SMS-Unterhaltung auf, erfasst die Seite und legt beides ihrer Strafanzeige und Beschwerde bei.

Fazit