Depot gehackt, Konto leergeräumt: Geld nach einer Depotübernahme zurückfordern

Wie eine Konto- und Depotübernahme abläuft

Der Ablauf ist nicht in allen Fällen gleich. Häufig lässt sich jedoch eine Abfolge erkennen, in der Täter zunächst den Zugang sichern, anschließend Vermögenswerte verfügbar machen und schließlich Geld abziehen:

• Zugang zum Onlinebanking: Die Täter erlangen Zugangsdaten, nutzen eine kompromittierte Sitzung oder verschaffen sich auf andere Weise Zugriff auf das Onlinekonto.
• Neues Gerät als Freigabemedium: Ein bislang unbekanntes Smartphone wird als zusätzliches Zugangs- oder Authentifizierungsgerät registriert. Der Kontoinhaber hat diese Registrierung nach eigener Darstellung weder beauftragt noch bewusst bestätigt.
• Verkauf von Wertpapieren: Aktien, ETFs oder andere Positionen werden ohne Kundenauftrag veräußert. Dadurch wird langfristig angelegtes Vermögen zu Guthaben auf dem Verrechnungskonto.
• Abfluss vom Verrechnungskonto: Die Gelder werden durch eine oder mehrere Überweisungen – teilweise als Echtzeitüberweisungen – an fremde Empfängerkonten transferiert. Möglich sind auch nicht autorisierte Kartenbelastungen.
• Verspätete Entdeckung: Der Kunde bemerkt den Missbrauch erst nach Benachrichtigungen, einer Zugangssperre oder beim Blick auf Kontoauszüge und Wertpapierabrechnungen.

Praxisbeispiele: Depotverkäufe und anschließende Kontobelastungen

Fall 1: Ein Depot wird in kürzester Zeit vollständig aufgelöst

In einem von mir bearbeiteten Fall wurde nach der Registrierung eines dem Anleger unbekannten Mobilgeräts ein langfristig aufgebautes Wertpapierdepot innerhalb von weniger als zwei Minuten vollständig liquidiert. In den folgenden Tagen kam es zu zahlreichen Überweisungen vom Verrechnungskonto auf verschiedene Empfängerkonten; der Gesamtabfluss lag im sechsstelligen Bereich. Der Anleger bestritt sowohl die Registrierung des fremden Geräts als auch die anschließenden Zahlungen.

Für die Anspruchsprüfung ist dabei vor allem die Kombination der Vorgänge bedeutsam: fremde Geräteregistrierung, ungewöhnlich schnelle Depotauflösung, zahlreiche neue Zahlungsempfänger und erhebliche Geldabflüsse, die nicht zum bisherigen Kontoverhalten passten. Hinzu kommt die Frage, welche Warnsignale die Bank erkennen und welche Maßnahmen sie daraufhin ergreifen konnte.

Fall 2: Fremdzugriff auf das Depot, anschließend Kartenzahlungen

In einem weiteren von mir bearbeiteten Fall dokumentierten Login-Daten Zugriffe über ausländische IP-Adressen und die Einbindung eines bislang nicht registrierten Mobilgeräts. Darauf folgten unberechtigte Verkäufe von Aktien und ETFs sowie zwei vom Kunden bestrittene Kartenbelastungen. Gegenstand meiner anwaltlichen Anspruchsverfolgung waren die nicht autorisierten Kontobelastungen.

Die Beispiele zeigen: Nach einer Depotübernahme muss zwischen der Vorgeschichte des Betrugs und den konkret angegriffenen Zahlungsvorgängen unterschieden werden. Die unberechtigten Wertpapierverkäufe erklären häufig, woher die später abgeflossenen Gelder stammen; die Zahlungsvorgänge bestimmen den Schwerpunkt meiner anwaltlichen Tätigkeit.

Depot oder Konto gehackt: Was Sie sofort tun sollten

Wenn Sie den Verdacht haben, dass jemand unberechtigt auf Ihr Depot oder Verrechnungskonto zugegriffen hat, zählt die frühzeitige Sicherung von Informationen. Folgende sechs Maßnahmen sind besonders wichtig:

1. 1Zugang und Zahlungskarten sperren: Informieren Sie das kontoführende Institut unverzüglich telefonisch und zusätzlich nachweisbar schriftlich. Lassen Sie kompromittierte Zugangs- und Freigabeverfahren sowie betroffene Karten sperren.
2. 2Zahlungen ausdrücklich als nicht autorisiert beanstanden: Nennen Sie die betroffenen Überweisungen oder Kartenzahlungen, widersprechen Sie deren Autorisierung und verlangen Sie die Prüfung einer Wiedergutschrift. Sichern Sie die Eingangsbestätigung.
3. 3Fraud-Meldung und Rückführungsmaßnahmen verlangen: Bitten Sie die Senderbank um eine ausdrückliche Betrugswarnung an die Empfängerbanken, um die Prüfung noch sicherbarer Gelder und um konkrete Nachforschungen zum Verbleib der Beträge.
4. 4Beweise erhalten: Sichern Sie Verkaufsabrechnungen, Kontoauszüge, E-Mails, SMS, Push-Nachrichten, Gerätebenachrichtigungen und Screenshots. Setzen Sie ein möglicherweise betroffenes Endgerät möglichst nicht vorschnell zurück; ändern Sie Zugangsdaten von einem sicheren, nicht betroffenen Gerät.
5. 5Zeitablauf dokumentieren: Notieren Sie den letzten regulären Login, den Beginn der Auffälligkeiten, mögliche Geräteregistrierungen, die Zeitpunkte der Verkäufe und Zahlungen sowie sämtliche Kontakte zur Bank einschließlich Uhrzeiten.
6. 6Strafanzeige und Schriftverkehr sichern: Erstatten Sie Strafanzeige und bewahren Sie das Aktenzeichen auf. Legen Sie auch Ablehnungsschreiben vor, insbesondere wenn die Bank Ihnen eine grob fahrlässige Weitergabe von Sicherheitsmerkmalen vorwirft.

Wie ich die rechtlichen Ansprüche nach einer Depotübernahme prüfe

Wertpapierverkauf und Überweisung: rechtlich verschiedene Vorgänge

Der Verkauf von Aktien oder ETFs ist rechtlich von der anschließenden Überweisung des Erlöses zu unterscheiden. Meine Prüfung konzentriert sich auf die Belastung des Verrechnungskontos oder eines sonstigen Zahlungskontos sowie die Frage, ob der Kontoinhaber diese Zahlung autorisiert hat.

Das kontoführende Institut ist nicht notwendig mit dem Broker oder der depotführenden Stelle identisch. Ein Broker nimmt Wertpapieraufträge entgegen, leitet sie weiter oder führt sie aus. Die Depotbank verwahrt die Wertpapiere; eine weitere Bank kann das Verrechnungskonto führen. Diese Funktionen können auch bei demselben Unternehmen liegen. Für die Anspruchsrichtung ist deshalb zu klären, welches Institut die konkret beanstandete Zahlung als Zahlungsdienstleister ausgeführt hat.

Für nicht autorisierte Zahlungsvorgänge besteht nach § 675u Satz 2 BGB ein Anspruch auf Erstattung und Wiederherstellung des Kontostands. Die Autorisierung richtet sich nach § 675j Abs. 1 BGB. Gegenstand dieser Prüfung sind die Überweisungen und Kartenbelastungen des Kontos, nicht ein etwaiger Anspruch wegen der Ausführung der Wertpapierverkäufe. Welches Institut für die Erstattung einzustehen hat, bestimmt sich nach der konkreten Kontoführung und der Rolle als Zahlungsdienstleister; bei besonderen wertpapierbezogenen Abwicklungsstrukturen ist der Anwendungsbereich des Zahlungsdiensterechts gesondert einzuordnen.

Autorisierung und technische Authentifizierung sind nicht dasselbe

Eine Zahlung ist nach § 675j Abs. 1 BGB nur dann autorisiert, wenn der Zahler ihr in der vereinbarten Weise zugestimmt hat. Dass ein Onlinebanking-System die Zahlung technisch angenommen oder ein registriertes Sicherheitsmerkmal verwendet hat, beantwortet diese Frage noch nicht abschließend.

• § 675w BGB unterscheidet ausdrücklich zwischen dem Nachweis einer Authentifizierung und dem Nachweis der Autorisierung. Die Bank muss den technischen Ablauf erläutern und kann einen Vorwurf gegen den Kunden nicht allein mit der Aufzeichnung einer erfolgreichen Anmeldung oder Freigabe begründen.

Fremdes Smartphone, Gerätebindung und starke Kundenauthentifizierung

Besonders aufschlussreich sind die technischen Protokolle, wenn vor den streitigen Zahlungen ein neues Mobiltelefon registriert wurde. Ich prüfe, welches Gerät zuvor hinterlegt war, welches zusätzliche Gerät hinzukam, wie dessen Registrierung ausgelöst und bestätigt wurde und über welches Gerät die späteren Zahlungen freigegeben worden sein sollen.

Bei elektronischen Fernzahlungsvorgängen verlangt § 55 Abs. 2 ZAG die dynamische Verknüpfung der starken Kundenauthentifizierung mit einem bestimmten Betrag und einem bestimmten Zahlungsempfänger. Hierzu gehört, dass dem Zahler der Zahlungsbetrag und der Zahlungsempfänger in der für das eingesetzte Verfahren erforderlichen Weise angezeigt werden und der Authentifizierungscode gerade auf diese Angaben bezogen ist. Es ist deshalb für jede Zahlung zu prüfen, ob auf einem vom Kontoinhaber kontrollierten Gerät überhaupt Betrag und Empfänger angezeigt und von ihm in Kenntnis des tatsächlichen Zahlungsvorgangs freigegeben wurden (vgl. BGH, Urteil vom 3. März 2026 – XI ZR 20/24).

Wurde die gesetzlich erforderliche starke Kundenauthentifizierung nicht verlangt, kann § 675v Abs. 4 BGB eine Kundenhaftung für missbräuchliche Zahlungsvorgänge ausschließen; vorbehalten bleibt insbesondere ein betrügerisches Handeln des Zahlers. Die Voraussetzungen sind für die jeweils angegriffenen Zahlungen gesondert zu prüfen.

Der Einwand der groben Fahrlässigkeit

Banken lehnen Erstattungen häufig mit dem Vorwurf grober Fahrlässigkeit des Kunden ab. Der Kunde habe Zugangsdaten preisgegeben, TANs weitergegeben oder die Registrierung eines fremden Geräts selbst ermöglicht. Dieser Vorwurf ist in dreifacher Hinsicht angreifbar: Häufig verhält es sich so, dass der Kunde überhaupt nicht in die Transaktionen involviert war oder aber sein Verhalten nicht als grob fahrlässig gewertet werden kann. Die Bank darf nicht einfach „ins Blaue hinein“ grobe Fahrlässigkeit behaupten, sondern muss nach § 675w BGB unterstützende Beweismittel vorlegen, wenn sie dem Kunden Betrug, Vorsatz oder grobe Fahrlässigkeit entgegenhalten will. Häufig ist die Bank nicht berechtigt, den Kunden den Vorwurf grober Fahrlässigkeit zu erheben, sondern ist mit dem Vorwurf nach der expliziten Anordnung des Gesetzes ausgeschlossen – selbst wenn der Kunde tatsächlich einmal grob fahrlässig gehandelt hätte.

Der Bank ist der Vorwurf grober Fahrlässigkeit des Kunden insbesondere dann abgeschnitten, wenn ihr selbst Versäumnisse vorzuwerfen sind, etwa bei unterbliebener starker Kundenauthentifizierung oder bei Vorgängen nach einer ordnungsgemäßen Missbrauchsanzeige. Dann haftet allein die Bank, selbst wenn der Kunde tatsächlich grob fahrlässig gehandelt hätte.

Was die Bank über auffällige Transaktionen erkennen konnte

Die Bank muss für den Zahlungsverkehr Transaktionsüberwachungsmechanismen einsetzen, die nicht autorisierte und betrügerische Zahlungsvorgänge anhand risikorelevanter Kriterien erkennen können (Art. 2 der Delegierten Verordnung (EU) 2018/389). Dazu gehören die Bewertung ungewöhnlicher Transaktionsmuster und die Berücksichtigung der bisherigen Kontonutzung. Die Vorgänge sind in ihrem Zusammenhang zu betrachten: Eine fremde Geräteregistrierung, die plötzliche vollständige Depotauflösung und anschließende massenhafte Überweisungen sind nicht als voneinander unabhängige Einzelereignisse zu behandeln. Die risikoorientierte Analyse ist Ausgangspunkt der Prüfung, was die Bank wusste, hätte feststellen können und wie sie auf erkannte Warnsignale reagiert hat.

Ich untersuche insbesondere folgende Auffälligkeiten:

• Neue Geräte und ungewöhnliche Zugriffe: Erstmals verwendete Geräte, untypische IP-Adressen, Ortswechsel oder zuvor unbekannte Freigabemedien.
• Schnelle Liquidation des Depots: Viele Wertpapierverkäufe innerhalb weniger Minuten, die von der bisherigen langfristigen Anlagestrategie deutlich abweichen.
• Ungewöhnliche Zahlungsempfänger: Neue Empfängerkonten, gegebenenfalls Auslandsbezug, wiederholte Zahlungen an denselben Empfänger oder eine auffällige Verteilung auf mehrere Konten.
• Zeitliche Ballung und Stückelung: Zahlreiche Überweisungen innerhalb kurzer Zeit, mehrfach ähnliche oder identische Beträge und die häufige Verwendung von Echtzeitüberweisungen.
• Abweichung vom Kundenprofil: Außergewöhnliche Gesamtbeträge im Verhältnis zu bisherigen Kontoumsätzen und bekannten Kontonutzungsgewohnheiten.
• Kumulative Risikoentwicklung: Die Kombination aus fremder Gerätebindung, Depotauflösung, neuen Empfängern und schnellem Geldabfluss statt einer isolierten Betrachtung jeder Zahlung.

Ein konkreter Wissensvorsprung kann Warnpflichten begründen

Der Wissensvorsprung der Bank ist bei massiven Betrugsindikatoren ein eigenständiger Ansatzpunkt meiner anwaltlichen Prüfung. Das Institut kennt die bei ihm eingehenden Zahlungsaufträge, deren Beträge und Empfänger, die verwendeten Authentifizierungsmittel, das frühere Zahlungsprofil und die von seinen Überwachungssystemen erkannten Risikosignale. Der betroffene Kunde kann demgegenüber durch einen Fremdzugriff von seinem Konto ausgeschlossen sein oder von der beabsichtigten Vermögensverlagerung überhaupt nichts wissen. Der entscheidende Unterschied ist dann nicht nur ein abstrakter Informationsvorsprung, sondern konkretes Wissen um eine Gefährdung, die der Kunde nicht erkennen kann.

Erkennt die Bank aus ihrer laufenden Betrugsüberwachung einen qualifizierten, konkreten Betrugsverdacht und verfügt sie damit gegenüber ihrem Kunden über einen entscheidungserheblichen Wissensvorsprung, hat sie die daraus erwachsenden vertraglichen Warn- und Aufklärungspflichten zu erfüllen. Die Haftungsgrundlage hierfür bilden die Schutz- und Rücksichtnahmepflichten aus dem Zahlungsdiensterahmenvertrag (§§ 675f Abs. 2, 241 Abs. 2, 280 Abs. 1 BGB). Zu prüfen ist, ob die Bank die Auszahlung trotz des erkannten Risikos ohne die erforderliche Warnung beziehungsweise ohne geeignete Klärung ausgeführt hat (vgl. BGH, Urteil vom 6. Mai 2008 – XI ZR 56/07).

Die bankaufsichts- und geldwäscherechtlichen Vorgaben erklären, weshalb eine Bank über umfassende Transaktionsdaten und Risikobewertungen verfügt. Der Anspruch wird hier nicht aus diesen aufsichtsrechtlichen Vorschriften als solchen, sondern aus der Verletzung einer vertraglichen Pflicht bei vorhandenem Sonderwissen hergeleitet. Maßgeblich sind die im konkreten Zahlungsverkehr tatsächlich vorhandenen Kenntnisse, die gebotene Warnung, deren Unterbleiben und die dadurch verursachten Schäden. Eine allgemeine Prüfung der wirtschaftlichen Zweckmäßigkeit von Zahlungsaufträgen wird damit nicht verlangt.

In einzelnen Betrugsvarianten reicht der Wissensvorsprung noch weiter: Der Kunde glaubt, auf Weisung eines angeblichen Bankmitarbeiters eine Zahlung zu stornieren oder sein Konto zu sichern. Tatsächlich wird technisch eine neue Überweisung freigegeben. Die Bank kann den konkreten Gegenstand des Zahlungsvorgangs erkennen; der Kunde handelt dagegen unter einer täterseitig hervorgerufenen Fehlvorstellung. Gerade dann sind die Anzeige von Betrag und Empfänger und eine verständliche, konkrete Warnung besonders wichtig.

Senderbank, Empfängerbank und die Suche nach dem verschwundenen Geld

Was ich von der Senderbank verlange

Gegenüber dem kontoführenden Institut mache ich je nach Sachverhalt den Anspruch auf Erstattung der nicht autorisierten Zahlung geltend und verlange die Aufklärung des technischen Zahlungsvorgangs. Dazu gehören insbesondere Angaben zu den Authentifizierungsmitteln, zur Zahlungsausführung und zu den bereits ergriffenen Sicherungsmaßnahmen.

Zudem fordere ich die Bank auf, die Empfängerbanken ausdrücklich über den Betrugsverdacht zu informieren, rechtlich zulässige Sicherungs- und Rückführungsmaßnahmen anzuregen und die Rückmeldungen nachvollziehbar zu dokumentieren. Ich frage nach dem Zeitpunkt und Inhalt der ersten Fraud-Meldung sowie nach etwaigen Rückrufersuchen und Antworten.

Die Nachforschungen betreffen nicht nur den aktuellen Bearbeitungsstand: Ich fordere die tatsächlich versandten und empfangenen Mitteilungen, deren Übermittlungszeitpunkte und technische Referenzen sowie die konkreten Antworten der Empfängerbanken an. Für entsprechende Auskunfts- und Rechenschaftsbegehren gegenüber der eigenen Bank sind auch die vertraglichen Nebenpflichten und die über § 675c Abs. 1 BGB anwendbaren auftragsrechtlichen Vorschriften, insbesondere § 666 BGB, von Bedeutung.

Was eine Fraud-Meldung von einem bloßen Überweisungsrückruf unterscheidet

Ein Überweisungsrückruf soll die Rückholung eines bereits überwiesenen Betrags ermöglichen. Eine Fraud-Meldung weist die Empfängerbank zusätzlich ausdrücklich darauf hin, dass der Zahlungseingang nach Darstellung des Geschädigten aus einem Betrugsfall stammt. Sie kann Grundlage für die unverzügliche Prüfung sein, ob Geld noch vorhanden und im rechtlich zulässigen Rahmen sicherbar ist.

Ein Rückruf führt nicht automatisch zur Erstattung; ebenso wenig darf die Empfängerbank ohne rechtliche Grundlage jedes Konto dauerhaft sperren. Entscheidend ist deshalb eine konkrete, zeitnahe Kommunikation zwischen den beteiligten Instituten.

Welche Auskünfte bei der Empfängerbank bedeutsam sind

Von besonderem Interesse ist, wann der Betrag bei der Empfängerbank eingegangen und gutgeschrieben worden ist, wann erstmals darüber verfügt wurde und ob zum Zeitpunkt der ersten Betrugswarnung noch Gelder vorhanden waren. Ebenso wichtig ist, wann die Empfängerbank die Warnung erhielt und welche Antwort sie an die Senderbank übermittelte.

Soweit rechtlich möglich, verfolge ich entsprechende Auskunfts- und Sicherungsbegehren. Eine eigene Haftung der Empfängerbank folgt jedoch nicht schon daraus, dass auf einem dort geführten Konto Betrugsgelder eingegangen sind. Auch bestehen nicht ohne Weiteres unbegrenzte Auskunftsansprüche über fremde Konten. Etwaige Ansprüche oder Handlungspflichten sind gesondert zu prüfen.

Die Bemühungen zur Rückführung des tatsächlich abgeflossenen Geldes sind von einem gesetzlichen Erstattungsanspruch wegen fehlender Autorisierung zu unterscheiden. Soweit § 675u BGB eingreift, darf dessen Prüfung nicht vom Erfolg eines noch offenen Rückrufs abhängig gemacht werden.

Fristen: Warum eine schnelle Anzeige wichtig ist

Soweit § 675u BGB anwendbar ist, sieht das Gesetz grundsätzlich eine unverzügliche Erstattung, spätestens bis zum Ende des folgenden Geschäftstags nach Kenntnis oder Anzeige vor; für einen ordnungsgemäß gegenüber einer zuständigen Behörde mitgeteilten Verdacht betrügerischen Verhaltens des Zahlers enthält die Vorschrift eine Sonderregelung. Diese Frist ist keine allgemeine Wartezeit, während der die Bank zunächst einen Überweisungsrückruf abwarten dürfte.

Wichtig sind außerdem genaue Zeitangaben zur ersten Missbrauchsanzeige. Für Schäden aus der Nutzung eines Zahlungsinstruments nach einer Anzeige kann § 675v Abs. 5 BGB einen besonderen Haftungsausschluss vorsehen. Andere Ansprüche, insbesondere aus vertraglichen Schutzpflichten, können abweichenden Voraussetzungen und Fristen unterliegen.

• Institut und Konto: Bei welcher Bank, welchem Onlinebroker oder Depotanbieter befinden sich Depot und Verrechnungskonto? Welche Bank führt das tatsächlich belastete Konto?
• Schadenshöhe: Welche Überweisungen oder Kartenbelastungen sind streitig und welche Gesamtsumme ist vom Konto abgeflossen?
• Zeitverlauf: Wann wurde ein neues Gerät registriert, wann wurden Wertpapiere verkauft und wann erfolgten die Zahlungen?
• Eigene Wahrnehmung: Wann haben Sie den Missbrauch bemerkt? Konnten Sie sich noch anmelden? Haben Sie Zahlungen oder die Registrierung eines neuen Geräts bewusst bestätigt?
• Bisherige Maßnahmen: Wann wurde die Bank informiert, was hat sie geantwortet und wurden Fraud-Meldungen beziehungsweise Rückrufe veranlasst?
• Unterlagen: Kontoauszüge, Zahlungsübersichten, Verkaufsabrechnungen, Geräte- und Login-Benachrichtigungen sowie Korrespondenz mit der Bank.

Schildern Sie mir Ihren Fall per E-Mail oder telefonisch. Ich prüfe zunächst die möglichen Anspruchsgegner und die wesentlichen rechtlichen Ansatzpunkte und teile Ihnen mit, welche weiteren Unterlagen für eine vertiefte Bearbeitung erforderlich sind. Ihre Angaben behandle ich vertraulich.

Häufige Fragen zu einer Konto- oder Depotübernahme