Volkswagen Bank Phishing: Autobanken im Visier

Gefälschte Nachrichten im Namen der Volkswagen Bank erschleichen Zugangsdaten und TANs – die Haftungsfrage entscheidet sich nach § 675u BGB und dem BGH-Urteil XI ZR 107/24.

Die Volkswagen Bank GmbH ist eine BaFin-regulierte Autobank mit Millionen Kunden in Deutschland – und damit ein lohnendes Ziel für Phishing-Angriffe. Betrüger nutzen das bekannte VW-Markenlogo und vertraute Begriffe wie "VW FS", "CarPay" oder "AutoCredit", um gefälschte E-Mails und SMS-Nachrichten täuschend echt wirken zu lassen. Wer auf solche Nachrichten hereinfällt, riskiert den Verlust von Ersparnissen oder Kreditlinienzugängen.

Betroffene stehen danach häufig vor derselben Frage: Muss die Bank den Schaden erstatten? Die Antwort hängt von mehreren rechtlichen Faktoren ab – darunter, ob die Transaktion als autorisiert gilt, ob Sie die Tat zeitnah angezeigt haben und ob der Bank grobe Fahrlässigkeit Ihrerseits vorgeworfen werden kann. Diese Faktoren lassen sich ohne anwaltliche Einordnung kaum sicher beurteilen.

Der folgende Beitrag erklärt, wie der Angriff auf Kunden der Volkswagen Bank konkret abläuft, welche Rechte nach § 675u BGB und § 675v BGB bestehen und welche Frist nach § 676b BGB Sie unbedingt einhalten müssen.

Wie der Phishing-Angriff auf Autobank-Kunden konkret abläuft

Angreifer imitieren den Kommunikationsstil der Volkswagen Bank mit großer Sorgfalt. Sie versenden E-Mails mit dem VW-Logo, gefälschten Absenderadressen und Links auf Domains, die sich von der echten URL nur geringfügig unterscheiden – etwa "volkswagenbank-sicherheit.de" statt "volkswagenbank.de". Auch SMS-Nachrichten, die angeblich von der Betrugsabteilung stammen, sind verbreitet.

Das häufigste Szenario: Eine Nachricht behauptet, auf dem Konto sei eine verdächtige Zahlung festgestellt worden. Sie werden gebeten, sich über einen Link anzumelden, um die Transaktion zu bestätigen oder zu blockieren. Die verlinkte Seite sieht der echten Volkswagen-Bank-Loginmaske zum Verwechseln ähnlich. Wer dort Zugangsdaten und eine TAN eingibt, übergibt beides direkt an die Betrüger.

Eine besonders häufige Variante ist das sogenannte Call-ID-Spoofing: Betrüger rufen an, die angezeigte Nummer ähnelt der echten Bank-Hotline. Sie geben sich als Sicherheitsabteilung aus und bitten um die Durchsage einer TAN, um angeblich eine betrügerische Transaktion zu stoppen. Der BGH hat in seinem Urteil vom 22.07.2025 (Az. XI ZR 107/24) festgestellt, dass die TAN-Weitergabe – selbst auf diese Weise erschlichen – grundsätzlich keine wirksame Autorisierung im Sinne des Zahlungsdiensterechts darstellt.

PSD2-Haftung: Wer zahlt nach einem Angriff?

Nach § 675u Satz 2 BGB hat der Zahlungsdienst-Anbieter dem Kunden den Betrag einer nicht autorisierten Zahlung unverzüglich zu erstatten. Das ist der gesetzliche Ausgangspunkt: Solange Sie die Transaktion nicht selbst freigegeben haben, trägt die Bank das Risiko.

Die entscheidende Gegennorm findet sich in § 675v BGB: Hat der Zahler durch grobe Fahrlässigkeit zur nicht autorisierten Zahlung beigetragen, kann die Bank die Haftung auf den Kunden abwälzen. Grobe Fahrlässigkeit liegt vor, wenn jemand die im Verkehr erforderliche Sorgfalt in ungewöhnlich hohem Maße außer Acht lässt.

Der BGH hat im Urteil XI ZR 107/24 vom 22.07.2025 klargestellt, dass eine TAN-Weitergabe am Folgetag eines Phishing-Anrufs als grob fahrlässig gewertet werden kann – die betroffene Kundin verlor deshalb ihren Anspruch. Handelt es sich dagegen um ein kurzfristiges, situationsgebundenes Versagen ohne erkennbare Sorgfaltspflichtverletzung, kann das sogenannte Augenblicksversagen grobe Fahrlässigkeit ausschließen. Ob das in Ihrem Fall so liegt, erfordert eine genaue Prüfung.

Die Beweislast liegt grundsätzlich bei der Bank. Sie muss darlegen, dass Sie grob fahrlässig gehandelt haben – nicht umgekehrt. Diesen Vorteil sollten Betroffene nutzen.

13-Monats-Frist nach § 676b BGB: Zeit ist entscheidend

Viele Betroffene wissen nicht, dass für Erstattungsansprüche nach einem Phishing-Angriff eine gesetzliche Ausschlussfrist gilt. § 676b Abs. 2 BGB sieht vor, dass Ansprüche auf Erstattung nicht autorisierter Zahlungen nach 13 Monaten ab dem Belastungstag ausgeschlossen sind.

Diese Frist gilt unabhängig davon, ob Sie den Angriff sofort bemerkt haben oder erst später. Wer den Kontoauszug nicht regelmäßig prüft und erst nach über einem Jahr auf den Schaden aufmerksam wird, verliert seinen Erstattungsanspruch. Die Meldung an die Bank muss innerhalb dieser Frist erfolgen – schriftlich und möglichst per Einschreiben, um den Zugang nachweisen zu können.

Ergänzend ist § 199 BGB zu beachten: Bei weitergehenden Schadensersatzansprüchen, etwa aus § 823 BGB oder § 826 BGB, beginnt die Verjährung erst mit Kenntnis des Schadens und des Schädigers, spätestens aber kenntnisunabhängig zehn Jahre ab Entstehung des Anspruchs (§ 199 Abs. 3 S. 1 Nr. 1 BGB), längstens dreißig Jahre ab dem schädigenden Ereignis (§ 199 Abs. 3 S. 1 Nr. 2 BGB); maßgeblich ist die früher endende Frist.

Sofortmaßnahmen: Was nach einem Phishing-Vorfall zu tun ist

Sobald Sie einen Angriff bemerken oder vermuten, sollten Sie sofort handeln. Jede Stunde zählt, da Betrüger gestohlene Zugangsdaten schnell einsetzen.

• Online-Banking sperren: Rufen Sie umgehend die Volkswagen Bank Hotline an oder nutzen Sie den gesetzlichen Sperr-Notruf 116 116, um Karte und Zugang zu blockieren.
• Passwörter ändern: Ändern Sie das Passwort für das Online-Banking sofort – auch für E-Mail-Konten, die mit dem Banking verknüpft sind.
• Kontoauszüge prüfen: Kontrollieren Sie alle Buchungen der letzten Wochen und notieren Sie sämtliche verdächtigen Transaktionen mit Datum und Betrag.
• Bank schriftlich informieren: Melden Sie den Vorfall schriftlich (Einschreiben mit Rückschein) mit einer konkreten Beschreibung der nicht autorisierten Zahlungen.
• Strafanzeige erstatten: Erstatten Sie Anzeige bei der Polizei wegen Betrugs nach § 263 StGB (ggf. ergänzend Computerbetrug nach § 263a StGB). Das Aktenzeichen kann später für zivilrechtliche Schritte wichtig sein.
• Alle Belege sichern: Bewahren Sie die Phishing-E-Mail oder -SMS, Screenshots und Browserverläufe auf – sie sind Beweismittel.

Geld zurück: Dispute-Verfahren und Rechtsweg

Zuerst sollten Sie bei der Volkswagen Bank formell Widerspruch einlegen und die Rückbuchung der nicht autorisierten Zahlung verlangen. Berufen Sie sich dabei ausdrücklich auf § 675u BGB. Die Bank ist verpflichtet, den Anspruch zu prüfen und – sofern keine grobe Fahrlässigkeit vorliegt – zu erstatten.

Lehnt die Bank ab, stehen zwei Wege offen. Erstens die außergerichtliche Schlichtung beim Ombudsmann der privaten Banken oder der zuständigen Schlichtungsstelle – kostenlos und oft schnell. Zweitens die gerichtliche Durchsetzung, bei der ein auf Bankrecht spezialisierter Anwalt den Anspruch für Sie geltend macht. Ähnliche Konstellationen zu Bankphishing und Bankbetrug und BGH-Haftungsregeln zeigen, dass gut vorbereitete Klagen regelmäßig erfolgreich sind.

Parallel gibt es seit Schlussanträgen des Generalanwalts beim EuGH vom 05.03.2026 (Az. C-70/25) Signale, dass Banken nach EU-Recht zunächst erstatten und erst dann etwaige Gegenansprüche geltend machen sollen. Dabei handelt es sich ausdrücklich um Schlussanträge – ein Endurteil liegt noch nicht vor. Die Entwicklung ist dennoch relevant, da sie die Beweislastverteilung zugunsten der Kunden stärkt.

Warnsignale: So erkennen Sie gefälschte Nachrichten der Autobank

Wer die typischen Merkmale kennt, kann Phishing-Angriffe auf sein Konto frühzeitig erkennen und den Schaden verhindern.

• Absenderadresse prüfen: Die echte Volkswagen Bank kommuniziert über offizielle Domains der Volkswagen Financial Services (z. B. volkswagenbank.de und vwfs.de). Abweichungen wie @volkswagenbank-security.de oder @vw-bank-kundendienst.de sind Phishing-Indikatoren.
• Dringende Handlungsaufforderungen: Seriöse Banken verlangen niemals via E-Mail oder SMS die sofortige Eingabe einer TAN oder PIN.
• Links nicht anklicken: Fahren Sie mit der Maus über den Link (ohne zu klicken) und prüfen Sie die tatsächliche Zieladresse. Echte VW-Bank-URLs beginnen mit https://www.volkswagenbank.de (Online-Banking: https://banking.volkswagenbank.de).
• Unbekannte Anrufer: Auch wenn die Rufnummer bekannt aussieht – Call-ID-Spoofing ist technisch leicht möglich. Die Bank fragt niemals telefonisch nach TANs.
• Grammatik und Gestaltung: Phishing-Mails enthalten oft ungewöhnliche Formulierungen, falsche Umlaute oder leicht abweichende Logos.

Geldwäscheverdacht nach dem Angriff: Was Kontoinhaber wissen müssen

Nicht immer sind Phishing-Opfer nur Geschädigte. Manchmal werden Kontoinhaber als sogenannte Money Mules missbraucht: Sie erhalten angebliche Gewinne oder Rückzahlungen auf ihr Konto und werden gebeten, den Betrag weiterzuleiten. Das erfüllt den Tatbestand der Geldwäsche nach § 261 StGB – selbst wenn man von der Herkunft der Mittel nichts wusste.

Falls Ihnen nach einem Phishing-Vorfall unklar ist, ob solche Transaktionen über Ihr Konto gelaufen sind, sollten Sie umgehend rechtliche Beratung suchen. Der Grundtatbestand des § 261 StGB setzt Vorsatz voraus; bereits leichtfertige Unkenntnis der Herkunft genügt jedoch für die leichtfertige Geldwäsche nach § 261 Abs. 6 StGB. Wer zeitnah handelt und kooperiert, kann strafrechtliche Risiken erheblich reduzieren. Ähnliche Probleme entstehen häufig beim Einsatz von Banking-Trojanern und Schadsoftware.

Wann ein Anwalt für Bankrecht unverzichtbar ist

Die Volkswagen Bank ist ein professioneller Zahlungsdienst-Anbieter mit erfahrenen Rechtsabteilungen. Wenn die Bank eine Erstattung ablehnt oder grobe Fahrlässigkeit behauptet, stehen Sie ohne anwaltliche Unterstützung häufig auf verlorenem Posten. Wer seinen Fall im Blick behalten möchte, findet beim Comdirect-Phishing-Verfahren vergleichbare Haftungsargumente, die auf VW-Bank-Fälle übertragbar sind.

Ein auf Bankrecht spezialisierter Anwalt prüft, ob die Bank die Beweislast korrekt trägt, ob eine Spontanreaktion als Augenblicksversagen einzuordnen ist und ob Fristen nach § 676b BGB noch laufen. Er begleitet das Schlichtungsverfahren oder leitet unmittelbar rechtliche Schritte ein. Wer bereits bei der Account Takeover im Banking oder ähnlichen Konstellationen Schaden erlitten hat, kennt die Bedeutung frühzeitiger rechtlicher Begleitung.

Beauftragen Sie Ihre Rechtsschutzversicherung so früh wie möglich. Bei Phishing-Fällen mit Bankbeteiligung sind die Anwaltskosten oft gedeckt. Das Vorgehen bei gestohlenen Bankdaten und Identitätsdiebstahl folgt ähnlichen Grundsätzen und verdeutlicht, warum schnelle Reaktion entscheidend ist. Einen vergleichbaren Überblick zu Ansprüchen und Fristen bietet der Beitrag zum BW-Bank-Phishing-Überblick.

AK LAW Rechtsanwaltsgesellschaft mbH – Ihr Partner im Bank- und Kapitalmarktrecht

Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.

FAQs – Häufig gestellte Fragen zu Volkswagen Bank Phishing