Online-Banking-Betrug: Bank lehnt Erstattung ab, weil Sie in der App freigegeben haben?

Erste Schritte nach Online-Banking-Betrug – diese Unterlagen sollten Sie jetzt zusammenstellen

Nach einem Online-Banking-Betrug gehen Hinweise auf den Ablauf leicht verloren, wenn Nachrichten gelöscht oder Verläufe überschrieben werden. Stellen Sie deshalb diese Unterlagen zusammen:

• Umsatzliste und Kontoauszüge mit den betroffenen Buchungen
• Screenshots und Verlauf der Banking-App
• Anrufliste, SMS und E-Mails mit Absender und Uhrzeit
• Push-Mitteilungen und Freigabe-Protokolle der TAN-App
• bisheriger Schriftverkehr mit der Bank, einschließlich der Ablehnung

Telefonbetrug im Namen der Hausbank mit einer App-Freigabe und 48.000 Euro Schaden

Auf dem Display erscheint die Rufnummer der Hausbank, am Telefon meldet sich ein angeblicher Mitarbeiter der Sicherheitsabteilung und schildert einen Angriff auf das Konto. Zur Abwehr soll der Kunde mehrere Meldungen in der Banking-App freigeben. Kurz darauf laufen mehrere Überweisungen auf fremde Konten, zusammen 48.000 Euro. Die Bank lehnt die Erstattung ab, weil der Kunde in der App freigegeben habe.

Streitig sind in solchen Fällen vier Punkte. Es geht darum, ob die Zahlungen autorisiert waren, ob die starke Kundenauthentifizierung den Anforderungen genügte, ob Betrag und Empfänger bei der Freigabe angezeigt wurden und wie die Freigabemaske gestaltet war. Die dafür nötigen Unterlagen liegen bei der Bank. Die Prüfung beginnt damit, diese Punkte anhand der Unterlagen zu klären. Danach lässt sich beurteilen, welche Schritte gegenüber der Bank infrage kommen.

So erkennen Betroffene Online-Banking-Betrug an Anruf, Fernzugriff und Wallet

Online-Banking-Betrug läuft in mehreren Varianten ab. Betroffene erkennen ihren Fall an einem oder mehreren dieser sechs Merkmale:

• Anruf, SMS oder E-Mail mit Bankabsender: Beim Telefonbetrug gibt sich der Täter als Mitarbeiter der Hausbank aus, oft mit gefälschter Rufnummer, dem sogenannten Spoofing. Beim Phishing wird per Nachricht zur Preisgabe von Zugangsdaten gedrängt.
• Freigabe in einer TAN-App: Die Bestätigung erfolgt über PushTAN, photoTAN oder SecureGo, oft mit dem Hinweis auf eine angebliche Sicherheitsmaßnahme.
• Fernzugriff auf Computer oder Smartphone: Über AnyDesk oder TeamViewer sieht und steuert der Täter den Bildschirm, ein sogenannter Fernzugriff.
• Karte in Apple Pay oder Google Pay auf fremdem Gerät: Die Karte wird als Wallet, also als digitale Geldbörse, auf dem Gerät des Täters hinterlegt.
• 3-D-Secure-Freigabe bei Kartenzahlung: Die zusätzliche Bestätigung einer Kartenzahlung, meist per App, wird unter einem falschen Vorwand erteilt.
• Neues Gerät oder erhöhtes Limit kurz vor den Abbuchungen: Solche Änderungen lassen sich in den Protokollen der Bank nachvollziehen.

Ist die Zahlung ohne Anruf und ohne Ihr Zutun ausgelöst worden, liegt häufig eine Konto- und Depotübernahme mit erheblichem Vermögensabfluss vor. Wurden Ihre Daten außerdem genutzt, um Verträge abzuschließen, kann es sich um Identitätsdiebstahl und einen Kredit unter fremdem Namen handeln.

Online-Banking-Betrug trotz Freigabe: Anspruch auf Erstattung und was die Bank beweisen muss

Beruft sich die Bank auf die Freigabe in der App, untersuche ich drei Fragen getrennt. Zuerst geht es um die Autorisierung der konkreten Zahlung, dann um die Darstellung der Freigabe und zuletzt um den Vorwurf der groben Fahrlässigkeit:

Prüfpunkt	Kernfrage	Grundlage
Autorisierung	Hat der Kunde genau dieser Zahlung zugestimmt?	§ 675u BGB
Freigabe	Was wurde in der App bestätigt, und wie wurde es dargestellt?	Anzeige und Protokolle der Bank
Grobe Fahrlässigkeit	Hat der Kunde die erforderliche Sorgfalt in besonders schwerem Maß verletzt?	§ 675v Abs. 3 BGB

Ob der Kunde der konkreten Überweisung zugestimmt hat, ergibt sich erst aus der Anzeige und dem Ablauf der Freigabe. Ist die Zahlung nicht autorisiert, muss die Bank den Betrag erstatten. Beruft sie sich stattdessen auf grobe Fahrlässigkeit, trägt sie die Beweislast und muss den Nachweis anhand der Umstände der Täuschung führen. Zu diesen Umständen gehören vier Punkte.

• Wie glaubwürdig war der Anruf, etwa weil die Rufnummer der Bank angezeigt wurde?
• Was stand im Freigabetext der App?
• Wie viel Zeit blieb für die Entscheidung?
• Gab es einen Fernzugriff?

Bei einem manipulierbaren Zahlungssystem kann die Erstattungspflicht zudem auch bei grober Fahrlässigkeit bestehen bleiben. Eine Ablehnung der Bank ist deshalb der Ausgangspunkt der Prüfung. Ich benenne die Einwendungen, ordne sie ein und gleiche sie mit dem tatsächlichen Ablauf ab.

Wie ich die App-Freigabe bei Online-Banking-Betrug rechtlich prüfe

Als Fachanwalt für Bank- und Kapitalmarktrecht vertrete ich Betroffene bundesweit gegenüber Banken, außergerichtlich wie vor Amts-, Land- und Oberlandesgerichten, und stütze mich auf die Erfahrung aus rund 300 Fällen. Bei der Freigabe untersuche ich fünf Fragen:

Diese Punkte bestimmen, in welche Richtung ein Anspruch geltend gemacht wird. Drei Richtungen halte ich getrennt: die Erstattung nach § 675u BGB, die Abwehr des Einwands der groben Fahrlässigkeit und den Schadensersatz wegen möglicher Pflichtverletzungen der Bank bei der Gestaltung der Freigabe und der Überwachung der Zahlungen. Wie die Freigabe gestaltet sein muss, hängt vom Verfahren ab, etwa bei PushTAN, photoTAN oder 3-D Secure.

Online-Banking-Betrug mit mehreren Überweisungen und hohem Schaden: Hier liegt mein Schwerpunkt

Mein Schwerpunkt liegt auf Fällen mit hohem Gesamtschaden, in denen mehrere Überweisungen in kurzer Zeit abgeflossen sind. Besonders gut zeigen sich diese Konstellationen in den Protokollen der kontoführenden Bank.

Konstellation	Was dabei zu klären ist
Mehrere Überweisungen über Minuten oder Tage	Ob die Bank die Serie ungewöhnlicher Zahlungen hätte erkennen können
Geschäfts- oder Firmenkonto	Welche Freigaberegeln und Berechtigungen für das Konto galten
Erhöhtes Überweisungslimit	Von wem und auf welchem Weg das Limit angehoben wurde
Neu gekoppeltes Gerät	Wie das Gerät registriert und die Kopplung bestätigt wurde
Bank vorab informiert, Buchungen laufen weiter	Wie die Bank nach dem Hinweis reagiert hat
Gesamtschaden im fünf- bis sechsstelligen Bereich	In welchen Schritten die Beträge abgeflossen sind

Je genauer Ihre Angaben zu diesen Punkten sind, desto schneller kann ich Ihren Fall einschätzen.

Erstattung nach Online-Banking-Betrug auf dem Geschäftskonto eines Unternehmens

Auch bei Geschäfts- und Firmenkonten gelten grundsätzlich die Erstattungsregeln für nicht autorisierte Zahlungen. Unternehmen können mit der Bank jedoch abweichende Vereinbarungen getroffen haben, deshalb prüfe ich zuerst die Geschäftsbedingungen und die vereinbarten Freigaberegeln. Auf Geschäftskonten treten häufig drei Konstellationen auf, die den Schaden erhöhen.

Sperrt die Bank das Geschäftskonto nach dem Vorfall, steht zusätzlich eine Kontosperre wegen Geldwäscheprüfung im Raum, die ich parallel zur Erstattung angehe. Laufen über die betroffenen Konten hochvolumige Immobilien-, Bauträger- und Projektfinanzierungen, prüfe ich außerdem, welche Folgen der Vorfall für die Finanzierung hat.

Diese Angaben helfen bei der ersten Einschätzung:

• Gesamtschaden: Die Höhe der Überweisungen genügt als Schätzung, auch „Summe noch unklar“ ist möglich.
• Kontoart: Hilfreich ist die Angabe, ob es sich um ein Privatkonto oder um ein Geschäfts- oder Firmenkonto handelt.
• Bank: Nennen Sie die kontoführende Bank, damit klar ist, gegen wen sich ein Anspruch richtet.
• Ablauf und Freigabeverfahren: Schildern Sie, ob der Kontakt per Anruf, SMS oder E-Mail kam und ob Fernzugriff, Karte oder Wallet beteiligt waren. Das Freigabeverfahren, etwa PushTAN, photoTAN, chipTAN, SecureGo oder 3-D Secure, geben Sie an, soweit es Ihnen bekannt ist.
• Anzahl und Zeitraum: Nennen Sie, wie viele Überweisungen es waren und über welchen Zeitraum sie liefen.
• Limit und Gerät: Auffällig ist es, wenn kurz vor den Abbuchungen ein Limit erhöht oder ein neues Gerät gekoppelt wurde, deshalb ist diese Angabe hilfreich.
• Meldung und Ablehnung: Teilen Sie mit, ob und wann Sie die Bank informiert haben und ob sie die Erstattung abgelehnt hat.
• Rechtsschutzversicherung: Eine bestehende Rechtsschutzversicherung ist für die Kostenfrage und eine mögliche Deckungsanfrage von Bedeutung.
• Unterlagen: Senden Sie Umsatzliste, Screenshots und das Ablehnungsschreiben der Bank mit.

Freigabe per PushTAN, photoTAN oder 3-D Secure und die Streitfragen bei Online-Banking-Betrug

Banken lassen Zahlungen mit unterschiedlichen Verfahren bestätigen, und je nach Verfahren stellen sich andere Fragen. Beim PushTAN-Betrug bestätigt das Opfer eine Mitteilung in der Banking-App, die ihm als Sicherheitsmaßnahme geschildert wurde. Rechtlich zählt die Gestaltung der Freigabe, weil sich aus ihr ergibt, was der Kunde tatsächlich bestätigt hat:

Verfahren	Was der Kunde freigibt	Typische Streitfrage
PushTAN	Bestätigung einer Mitteilung in der Banking-App	Waren Betrag und Empfänger in der Mitteilung erkennbar?
photoTAN	Scan einer Grafik mit der TAN-App oder einem Lesegerät	Welche Auftragsdaten wurden angezeigt und konnten geprüft werden?
chipTAN	Eingabe einer TAN, die ein Generator mit der Bankkarte erzeugt	Entsprachen die angezeigten Daten dem tatsächlichen Auftrag?
SecureGo	Freigabe in der SecureGo-App	Wie war die Freigabe in der App dargestellt, wie war das Gerät gebunden?
3-D Secure	Bestätigung einer Kartenzahlung per App oder Code	Welche Zahlung wurde angezeigt und wer hat sie bestätigt?
Wallet mit Gerätebindung	Hinterlegung der Karte in Apple Pay oder Google Pay auf einem Gerät	Wie wurden Registrierung und Kopplung bestätigt?

Welches Verfahren Ihre Bank nutzt und wie die Freigabe dargestellt wurde, lässt sich anhand Ihrer Unterlagen klären.

Kreditkartenbetrug mit 3-D Secure, Apple Pay und Google Pay

Auch bei Kreditkartenbetrug beruft sich die Bank häufig auf eine Freigabe des Karteninhabers. Für die Erstattung gelten dieselben Fragen wie beim Online-Banking, nämlich Autorisierung, Freigabe und grobe Fahrlässigkeit. Die Besonderheiten liegen im Ablauf:

• Kartenzahlung mit 3-D-Secure-Freigabe: Bei Zahlungen im Internet bestätigt der Karteninhaber die Zahlung meist in der App oder mit einem Code. Streitig ist, wer die Freigabe erteilt hat und ob Händler und Betrag angezeigt wurden.
• Karte in Apple Pay oder Google Pay: Täter registrieren die Karte in einer Wallet auf einem neuen Gerät, oft mit einem Aktivierungscode, den das Opfer am Telefon weitergibt. Streitig ist, wie der Code übermittelt wurde und ob die Registrierung für den Karteninhaber erkennbar war.
• Digitale Debitkarte: Sie lässt sich ohne physische Karte nutzen. Streitig ist, wie Kopplung und Zahlungsfreigabe in der App dargestellt wurden.

Ich prüfe diese Punkte anhand der Kartenabrechnung, der App-Verläufe und der Protokolle der Bank. Kartenabrechnung und Screenshots der App stellen Sie am besten frühzeitig zusammen.

Fernzugriff, höheres Limit und neues Gerät bei Online-Banking-Betrug

In Fällen mit hohem Schaden gehen den Zahlungen häufig drei Änderungen voraus, die sich in den Protokollen der Bank nachvollziehen lassen.

Dazu kommt die Echtzeitüberweisung. Der Betrag steht dem Empfänger innerhalb von Sekunden zur Verfügung, deshalb kommt es auf die Behandlung der Freigabe und der Zahlungsserie durch die Bank an. Die Haftung der Bank bei einem Fernzugriff hängt von den Umständen des Einzelfalls ab.

Häufige Fragen zum Online-Banking-Betrug