Phishing bei Kreditkarte: Geld zurück mit diesen Schritten

Wer von Phishing-Betrug der Kreditkarte betroffen ist, bemerkt den Schaden in vielen Fällen erst nach einigen Abbuchungen. Kriminelle verschaffen sich über täuschend echt wirkende Nachrichten gefälschte Webseiten oder manipulierte E-Mails Zugriff auf Kreditkartendaten und führen Zahlungen aus. Sobald der Betrug entdeckt wird, fragen Geschädigte sich, wie Sie Ihr Geld zurück bekommen und ob die Bank den Schaden ersetzen muss.In zahlreichen Fällen bestehen hier gute Chancen, das verlorene Geld zurückzuerhalten. Unsere spezialisierte Kanzlei im Bank- und Kapitalmarktrecht erklärt Ihnen in diesem Beitrag, worauf es für einen Anspruch gegen Ihre Bank ankommt und wie Sie sich gegen Phishing wehren können.

Was ist Kreditkarten-Phishing?

Beim “Phishing” versuchen Betrüger in der Regel sensible Zahlungsdaten zu stehlen und so Geld zu erbeuten. Die Täter nutzen dabei unterschiedliche Methoden. Häufig erhalten Betroffene E-Mails oder SMS mit angeblichen Sicherheitswarnungen der Bank. In einigen Fällen werden Webseiten großer Banken oder Zahlungsdienstleister täuschend echt kopiert. Auch Anrufe vermeintlicher Bankmitarbeiter kommen mittlerweile regelmäßig vor. 

Ziel dieser Angriffe sind insbesondere:

• Kreditkartennummern
• Sicherheitscodes
• Zugangsdaten zum Onlinebanking
• TAN-Nummern
• Zwei-Faktor-Freigaben

Besonders problematisch ist, dass moderne Phishing-Angriffe zunehmend professionell gestaltet sind. Durch KI-Betrug und die Möglichkeiten von Deep Fakes ist es Betrügern möglich, selbst besonders vorsichtige Verbraucher zu täuschen.

Phishing: Wie läuft ein Kreditkartenbetrug ab?

In vielen Fällen beginnt der Betrug mit einer angeblichen Sicherheitsmeldung per SMS oder E-Mail. Betroffene werden aufgefordert, ihre Daten zu bestätigen oder eine verdächtige Transaktion freizugeben. So gelangen die Betrüger an Daten von Kreditkarten oder dem Online Banking.

Danach erfolgen häufig:

• Onlinekäufe
• Auslandszahlungen
• Bargeldabhebungen
• digitale Wallet-Registrierungen
• Abbuchungen über Zahlungsdienstleister

Teilweise werden innerhalb weniger Minuten hohe Beträge abgebucht. Wer nicht täglich in sein Online-Banking schaut, bemerkt den Betrug oftmals erst beim Blick auf die Kreditkartenabrechnung.

Welche Rolle spielt das Chargeback-Verfahren bei Phishing der Kreditkarte?

Bei Kreditkartenbetrug kommt häufig das sogenannte Chargeback-Verfahren in Betracht. Über dieses Verfahren lassen sich bestimmte Transaktionen rückgängig machen. Voraussetzung ist meist, dass die Zahlung unberechtigt oder betrügerisch war.

Das Chargeback-Verfahren ersetzt allerdings keine rechtliche Prüfung der Ansprüche gegen die Bank. Teilweise lehnen Banken Chargebacks vorschnell ab oder informieren Verbraucher nicht ausreichend über bestehende Möglichkeiten.

Kreditkarte Geld zurück: Muss die Bank bei Phishing den Schaden ersetzen?

Ob die Bank den Schaden ersetzen muss, richtet sich in Deutschland insbesondere nach den Vorschriften der §§ 675u ff. BGB.

Grundsätzlich gilt: Nicht autorisierte Zahlungsvorgänge müssen von der Bank erstattet werden.

Hat der Karteninhaber die Zahlung nicht selbst ausgelöst oder genehmigt, besteht daher regelmäßig ein Erstattungsanspruch. Die Bank trägt zunächst die Beweislast dafür, dass eine Autorisierung vorliegt. Für Verbraucher ist diese Rechtslage oft günstiger als von Banken dargestellt.

Haftung der Bank: Wann liegt eine autorisierte Zahlung vor?

Eine Zahlung ist autorisiert, wenn der Karteninhaber ihr zugestimmt hat. Problematisch wird dies bei Phishing-Angriffen mit Freigabe über TAN oder Banking-App.

Banken argumentieren häufig, der Kunde habe die Zahlung selbst bestätigt. Allerdings bedeutet die Eingabe einer TAN nicht automatisch, dass eine wirksame Autorisierung vorliegt.

Entscheidend bleibt der konkrete Einzelfall. Relevant sind insbesondere:

• welche Informationen angezeigt wurden
• ob der Kunde den Zahlungsempfänger erkennen konnte
• ob eine Täuschung vorlag
• wie professionell der Angriff gestaltet war
• ob Sicherheitsmechanismen der Bank ausreichend waren

Gerichte prüfen dabei zunehmend streng, ob Banken ihren Sicherheits- und Informationspflichten nachgekommen sind.

Phishing: Wann verweigern Banken die Rückerstattung?

In der Praxis lehnen Banken eine Erstattung häufig mit dem Hinweis auf grobe Fahrlässigkeit ab.

Was ist grobe Fahrlässigkeit? Grobe Fahrlässigkeit liegt vor, wenn die erforderliche Sorgfalt des Kontoinhabers in besonders schwerem Maße verletzt und naheliegende Sicherheitsregeln missachtet wurden. Der Anspruch auf Erstattung entfällt dann nach § 675v BGB.

Banken berufen sich beispielsweise auf folgende Vorwürfe:

• Weitergabe von TAN-Nummern
• Preisgabe von Zugangsdaten
• Nutzung unsicherer Webseiten
• Missachtung von Warnhinweisen
• fehlende Kontrolle von Kreditkartenabrechnungen

Nicht jeder Fehler stellt jedoch automatisch grobe Fahrlässigkeit dar. Es kommt vielmehr darauf an, ob der Kunde den Betrug erkennen konnte oder hätte erkennen müssen. 

Geld zurück bekommen bei Kreditkarten-Phishing: Wann liegt keine grobe Fahrlässigkeit vor?

Die Rechtsprechung bewertet grobe Fahrlässigkeit nicht pauschal. Vielmehr kommt es auf die Umstände des Einzelfalls an. Das ist nicht automatisch der Fall, wenn ein Verbraucher Opfer eines professionellen Phishing-Angriffs geworden ist.

Gerade moderne Internet-Betrugsmaschen arbeiten mit:

• täuschend echten Webseiten
• echten Telefonnummern
• manipulierten SMS-Verläufen
• professionellen Sicherheitsmeldungen
• Echtzeit-Kommunikation

Viele Gerichte erkennen inzwischen an, dass selbst vorsichtige Verbraucher auf solche Methoden hereinfallen. Verweigert die Bank die Rückerstattung dennoch, kann es sich lohnen, rechtliche Schritte einzuleiten. In vielen Fällen kann bereits ein anwaltliches Schreiben helfen, die Bank zur Einsicht zu bewegen.

Phishing bei Kreditkarte: Wie wichtig ist die Zwei-Faktor-Authentifizierung?

Besonders häufig verweigern Banken die Haftung mit dem Hinweis darauf, dass Zahlungen über Zwei-Faktor-Authentifizierung freigegeben wurden. Daraus ergibt sich jedoch nicht automatisch eine Haftung des Kunden. Die technische Authentifizierung ersetzt keine rechtliche Prüfung der Autorisierung.

Wurde der Kunde über den tatsächlichen Inhalt der Freigabe getäuscht oder konnte er den Zahlungsvorgang gar nicht erst erkennen, bestehen weiterhin gute Argumente für eine Haftung der Bank.

Zudem trifft Banken eine Pflicht zur Einrichtung sicherer Authentifizierungssysteme. Auffällige Transaktionen oder ungewöhnliche Zahlungsstrukturen müssen vom System erkannt und überprüft werden, im Zweifel eben auch abgelehnt.

Kreditkarte: Welche Ansprüche bestehen bei Phishing gegen die Bank?

Betroffene haben häufig Ansprüche auf Erstattung nicht autorisierter Zahlungen, die Rückbuchung der Kreditkartenabbuchungen oder Schadensersatz gegen die Bank.

Aber auch Verzugszinsen bei langwierigen Verfahren oder sogar die Erstattung von Rechtsanwaltskosten kommen regelmäßig in Betracht. Geschädigte sollten sich deshalb nicht scheuen, einen Anwalt einzubinden. 

Gut zu wissen: Neben der Bank haften in vielen Fällen auch andere Zahlungsdienstleister und weitere Beteiligte, wenn diese ebenfalls Ihre Sorgfaltspflichten verletzt haben.

Was Betroffene nach einem Phishing-Angriff tun sollten

Nach einem Kreditkarten-Phishing sollten Betroffene umgehend handeln. Verzögerungen erschweren häufig die Durchsetzung von Ansprüchen.

Wichtige Maßnahmen sind insbesondere:

• Kreditkarte sofort sperren (Sperr-Notruf 116 116 wählen)
• Unberechtigte Zahlungen dokumentieren
• Bank schnellstmöglich in Kenntnis setzen
• Strafanzeige bei der Polizei erstatten
• einen Anwalt beauftragen

Wichtig ist es vor allem, Beweise für den Betrug zu sichern. Das können Phishing SMS, Phishing-Mails, aber auch Screenshots oder Kontoauszüge der Abbuchungen sein. Mit etwas Glück lassen sich so die Betrüger zurückverfolgen, aber in jedem Fall sind dies wichtige Beweise für die Haftung der Bank.

Achtung: Gibt es Fristen für die Rückforderung?

Für Verbraucher, die von Phishing betroffen sind, gelten strenge Fristen zur Rückforderung. Insbesondere sind Bankkunden verpflichtet, Phishing und Betrug unverzüglich der Bank zu melden.

Nach § 676b BGB gilt eine Ausschlussfrist von 13 Monaten ab Belastung des Kontos. Danach entfallen Ansprüche regelmäßig. In der Praxis empfiehlt sich jedoch ein deutlich schnelleres Vorgehen. Banken argumentieren sonst häufig mit Mitverschulden oder Verletzungen von Prüfpflichten.

Insbesondere bei komplexen oder professionellen Phishing-Angriffen bestehen oft weiterhin gute Erfolgsaussichten. Vor allem bei hohen Summen sollten Sie deshalb nicht zögern, sich rechtliche Unterstützung zu suchen.

Geld zurück: Wann lohnt sich ein Anwalt bei Kreditkarten-Phishing?

Viele Banken lehnen die Übernahme des Schadens vorschnell ab oder verweisen pauschal auf grobe Fahrlässigkeit. Unsere Erfahrung im Bankrecht und bei derartigen Betrugsfällen zeigt, dass diese Behauptungen oftmals unzutreffend sind. 

Gerade bei hohen Schadenssummen, unkooperativen Banken oder komplexen Fällen kann es sich lohnen, frühestmöglich einen Anwalt zu beauftragen. In einem unverbindlichen Erstgespräch lässt sich klären, wie die Erfolgsaussichten sind und ob sich rechtliche Schritte gegen die Bank lohnen. 

Als Anwalt für Bankrecht prüfen wir insbesondere:

• die Autorisierung der Zahlung
• die Sicherheitsmaßnahmen der Bank
• mögliche Pflichtverletzungen
• Ansprüche aus dem Zahlungsdiensterecht
• Erfolgsaussichten einer Rückforderung

Oft zeigt sich erst nach rechtlicher Prüfung, dass Banken ihre Ablehnung nicht ausreichend begründen können. Je nach Gestaltung des Falls kommen dann neben der Erstattung des Schadens auch die Erstattung der Anwaltskosten durch die Bank in Betracht.

Fazit

Kreditkarten-Phishing verursacht für Betroffene häufig erhebliche finanzielle Schäden. Dennoch müssen Verbraucher unberechtigte Abbuchungen nicht automatisch akzeptieren.

Das deutsche Zahlungsdiensterecht schützt Kunden bei nicht autorisierten Zahlungen umfassend. Banken tragen in vielen Fällen die Beweislast und berufen sich nicht selten zu Unrecht auf grobe Fahrlässigkeit.Wichtig sind eine schnelle Reaktion, eine vollständige Dokumentation und die rechtliche Prüfung des Einzelfalls. Gerade bei professionellen Phishing-Angriffen bestehen häufig gute Chancen, das verlorene Geld zurückzuerhalten.