Phishing-Erstattung: Wann zahlt die Bank in Deutschland?

Phishing-Erstattung ist in Deutschland grundsätzlich möglich, wenn eine Zahlung ohne Ihre Zustimmung ausgeführt wurde. Die Bank kann die sofortige Rückzahlung nicht allein mit dem Vorwurf grober Fahrlässigkeit ablehnen. Das bedeutet jedoch nicht, dass der Schaden endgültig bei ihr bleibt: Erstattungsanspruch und mögliche spätere Haftung des Kunden sind getrennt zu prüfen.

• Entscheidend ist, ob die konkrete Zahlung autorisiert war, nicht nur, ob Zugangsdaten verwendet wurden.
• Sperre und schriftliche Meldung helfen, weitere Schäden zu begrenzen und den Vorgang festzuhalten.
• Eine Erstattung schließt einen späteren, begründeten Ersatzanspruch der Bank nicht aus.
• Die folgenden Hinweise betreffen Deutschland; deutsche Vorschriften gelten nicht automatisch für Österreich oder die Schweiz.

Wann muss die Bank nach Phishing Geld erstatten?

Für Deutschland ist die Ausgangsfrage, ob ein nicht autorisierter Zahlungsvorgang vorliegt. Hat jemand fremde Bankdaten missbraucht und ohne Zustimmung des Kontoinhabers Geld bewegt, greift grundsätzlich der Erstattungsanspruch nach § 675u BGB. Die Bank soll damit den Kontostand wiederherstellen, der ohne diesen Vorgang bestanden hätte.

Die Verbraucherzentrale erläutert mit Stand vom 16. Oktober 2026, dass Banken solche Zahlungen grundsätzlich umgehend ausgleichen müssen. Ein Verweis auf angeblich unvorsichtiges Verhalten reicht nicht, um diese Pflicht einfach abzulehnen. Trotzdem bleibt zu klären, was tatsächlich geschehen ist und welche Zahlung der Kunde gegebenenfalls selbst freigegeben hat.

Technische Prüfung und Zustimmung sind nicht dasselbe

Eine verwendete PIN oder bestätigte TAN kann zeigen, dass ein Sicherheitsschritt durchlaufen wurde. Daraus folgt nicht ohne weitere Prüfung, dass der Kontoinhaber genau diese Zahlung bewusst beauftragt hat. Bei einem Streit sind deshalb auch der Ablauf der Täuschung, die angezeigten Informationen und die vorgelegten Beweise relevant.

Anders kann die Einordnung ausfallen, wenn jemand eine Überweisung an einen vermeintlich seriösen Empfänger selbst veranlasst hat. Nicht jede durch Betrug motivierte Zahlung ist automatisch nicht autorisiert. Der Erstattungsweg hängt daher vom konkreten Sachverhalt ab und lässt sich nicht allein aus dem Wort „Phishing“ ableiten.

Was bedeutet der Vorwurf grober Fahrlässigkeit?

Grobe Fahrlässigkeit beschreibt einen besonders schweren Verstoß gegen Sorgfaltspflichten. Banken berufen sich darauf etwa bei der Weitergabe von Sicherheitsmerkmalen. Ob ein solcher Verstoß vorliegt, ist aber keine Frage, die sich durch ein pauschales Ablehnungsschreiben abschließend beantworten lässt.

RSM Ebner Stolz ordnet am 26. Oktober 2026 das Urteil des Europäischen Gerichtshofs vom 15. Oktober 2026 im Verfahren C-70/25 ein. Danach darf die unmittelbare Erstattung einer nicht autorisierten Zahlung nicht schon deshalb ausbleiben, weil die Bank grobe Fahrlässigkeit behauptet. Der Ausgangsfall betraf eine Kundin in Polen; die Entscheidung erläutert europäisches Zahlungsrecht.

Warum eine Gutschrift noch keine endgültige Entscheidung ist

Der Unterschied liegt zwischen dem zunächst geschuldeten Kontenausgleich und der späteren Verteilung des Schadens. Kann die Bank eine ursächliche vorsätzliche oder grob fahrlässige Pflichtverletzung nachweisen, kann ein Ersatzanspruch gegen den Kunden bestehen. Eine erhaltene Gutschrift ist deshalb kein sicherer Beleg dafür, dass jede weitere Auseinandersetzung erledigt ist.

Nach der Erläuterung von RSM Ebner Stolz gibt es außerdem eine besondere Ausnahme bei begründetem Verdacht auf betrügerisches Verhalten des Zahlers. Dafür müssen die Gründe schriftlich an die zuständige Behörde gemeldet werden. Dieser Verdacht gegen den Kunden ist von der bloßen Behauptung zu unterscheiden, er sei auf einen Betrüger hereingefallen.

Welche Schritte helfen unmittelbar nach der Entdeckung?

Nach einem verdächtigen Kontoumsatz laufen Schadensbegrenzung und Erstattungsverlangen nebeneinander. Auf die Antwort der Beschwerdeabteilung zu warten, während ein kompromittierter Zugang weiter nutzbar bleibt, kann zusätzliche Probleme schaffen. Für den Kontakt eignen sich die selbst geöffnete Bank-App oder eine bereits bekannte offizielle Telefonnummer, nicht die Kontaktdaten aus der verdächtigen Nachricht.

1. Zugang sichern: Die Bank über den möglichen Missbrauch informieren und betroffene Zugänge beziehungsweise Zahlungsinstrumente sperren lassen.
2. Vorgänge festhalten: Auffällige Buchungen, Nachrichten, Anrufdaten und Freigabeanzeigen sichern, soweit sie noch verfügbar sind.
3. Schriftlich reklamieren: Die betroffenen Zahlungen eindeutig benennen und erklären, welche davon nicht genehmigt wurden.
4. Erstattung verlangen: Die Wiederherstellung des Kontos ausdrücklich ansprechen und eine schriftliche Antwort anfordern.
5. Strafanzeige erstatten: Das Aktenzeichen für die weitere Kommunikation aufbewahren; auch eine Information der Empfängerbank kommt in Betracht.

Bei der Schilderung hilft eine klare Trennung zwischen sicheren Erinnerungen und offenen Fragen. Wer nicht weiß, welche Anzeige während einer Freigabe erschien, kann genau diese Unsicherheit benennen. Eine sachliche Chronologie ist hilfreicher als eine nachträglich vermutete technische Erklärung.

Das Bundesamt für Sicherheit in der Informationstechnik beschreibt Phishing als Täuschung, mit der Kriminelle sensible Zugangsdaten erlangen. Solche Nachrichten beschränken sich nicht auf vermeintliche Banken. Weitere Erkennungsmerkmale zeigt der Beitrag über gefälschte ELSTER-Nachrichten in Deutschland.

Wie lässt sich auf eine Ablehnung der Bank reagieren?

Eine Ablehnung lässt sich zunächst danach prüfen, welche Frage die Bank überhaupt beantwortet. Behauptet sie eine Zustimmung zur Zahlung, verweist sie auf eine technische Freigabe oder verlangt sie Schadenersatz wegen einer Pflichtverletzung? Diese Begründungen betreffen unterschiedliche Voraussetzungen und sollten nicht miteinander vermischt werden.

Hilfreich ist die Bitte um eine nachvollziehbare Erläuterung samt den Beweismitteln, auf die sich die Bank stützt. Dazu gehören je nach Fall Angaben zum Freigabeablauf und zur behaupteten Pflichtverletzung. Ein bloßer Hinweis auf erfolgreich verwendete Sicherheitsdaten beantwortet noch nicht alle offenen Fragen.

Die Verbraucherzentrale nennt bei verweigerter Erstattung die zuständige Schlichtungsstelle sowie eine anwaltliche Prüfung als mögliche weitere Wege. Dabei können Streitwert, Beweislage und Verfahrenskosten eine Rolle spielen. Eine Strafanzeige ersetzt die zivilrechtliche Auseinandersetzung um die Rückzahlung nicht.

Hat die Belastung das Konto ins Minus gebracht, ist auch die laufende Zahlungsfähigkeit wichtig. Hinweise zum Umgang mit einem überzogenen Konto in Deutschland helfen bei der organisatorischen Einordnung. Eine zusätzliche Finanzierung ist jedoch keine Antwort auf die Frage, wer den Betrugsschaden rechtlich tragen muss.

Gilt das auch für Konten in Österreich und der Schweiz?

Die beschriebenen BGB-Vorschriften betreffen Deutschland. Österreich gehört zwar ebenfalls zum europäischen Zahlungsrechtsraum, hat aber eigene nationale Vorschriften und Anlaufstellen. Deutsche Paragrafen sind deshalb keine ausreichende Grundlage für eine Reklamation gegenüber einer österreichischen Bank.

Für ein Schweizer Konto lässt sich aus der genannten europäischen Entscheidung ebenfalls kein pauschaler Rückzahlungsanspruch ableiten. Bei grenzüberschreitenden Fällen sind Bankvertrag, zuständiger Zahlungsdienstleister und anwendbares Recht zu klären. Die praktischen Schritte zur Sicherung von Zugang und Belegen bleiben sinnvoll, ersetzen aber keine länderspezifische Prüfung.

Informativer Inhalt, keine Finanzberatung.