bunq Phishing: Wenn die Neobank zum Angriffsziel wird
Bei der App-only-Bank bunq greifen Betrüger gezielt auf digitale Push-Mechanismen zu – die Haftungsfragen zwischen Kunden und Bank sind dabei rechtlich komplex und oft streitig.
bunq ist eine niederländische Neobank mit E-Geld-Lizenz der Niederländischen Nationalbank (DNB), die in Deutschland als vollständig digitale App-only-Lösung positioniert ist. Kein Bankfilial, kein Kundenberater am Telefon - alles läuft über die App. Genau dieses Modell macht bunq attraktiv: wenige Klicks, sofortige Transaktionen, moderne Oberfläche.
Und genau hier setzen Betrüger gezielt an.
bunq Phishing funktioniert anders als klassisches E-Mail-Phishing bei Filialbanken. Täter imitieren App-Benachrichtigungen, täuschen mit gefälschten SMS Push-Anfragen oder nutzen social engineering, um Kunden zur Freigabe von Transaktionen zu bringen - ohne dass diese die Zahlung als solche erkennen. Das Ergebnis: Geld verlassen das Konto in Sekunden, Rückbuchungen sind erschwert.
Dieser Artikel erklärt, wie bunq Phishing technisch abläuft, welche rechtlichen Ansprüche nach einem Schadensfall bestehen und warum die Anzeigepflicht nach § 676b BGB entscheidend ist.
Wurden Sie Opfer eines bunq Phishing-Angriffs und hat die Bank eine Erstattung abgelehnt? Eine anwaltliche Prüfung klärt, ob § 675u BGB einen Rückzahlungsanspruch begründet. Jetzt unverbindlich Kontakt aufnehmen.
Wie bunq als Neobank funktioniert – und warum das Angriffsfläche schafft
bunq betreibt sein Geschäftsmodell vollständig digital. Kontoeröffnung per App, Authentifizierung per biometrischem Scan, Transaktionsfreigabe per Push-Notification – keine Filiale, kein Telefonservice im klassischen Sinne. Das ist komfortabel, schafft aber eine spezifische Schwachstelle: Wer die App-Benachrichtigungen überlistet, hat direkten Zugang zum Konto.
bunq nutzt die E-Geld-Lizenz der niederländischen Aufsichtsbehörde DNB und ist über das europäische Passporting-Regime auch in Deutschland tätig. Das bedeutet: Im Streitfall mit bunq gilt grundsätzlich europäisches Zahlungsdiensterecht, konkret die PSD2-Richtlinie, die in Deutschland durch die §§ 675u ff. BGB umgesetzt wurde. Welche Rechtsordnung im Einzelfall Anwendung findet, hängt von den vertraglichen Vereinbarungen und den Umständen des jeweiligen Falls ab.
Wichtig ist außerdem die Abgrenzung: Nicht jede Kontosperrung bei bunq ist ein Phishing-Fall. bunq ist für strenge AML-Maßnahmen (Anti-Geldwäsche-Prüfungen) bekannt und sperrt Konten teils ohne ausreichende Kommunikation. Das ist ein anderes Rechtsproblem – hier geht es um berechtigt oder unberechtigt gesperrte Konten, nicht um Phishing. Klären Sie vor rechtlichen Schritten, welcher Fall vorliegt.
Aktuelle bunq Phishing-Maschen im Detail
Die häufigsten Angriffsvarianten, die Strafverfolgungsbehörden und Anwaltskanzleien bei Neobank-Phishing aktuell begegnen, laufen über folgende Kanäle:
- Fake-Push-Benachrichtigungen: Betrüger schicken SMS oder E-Mails, die bunq-Systembenachrichtigungen imitieren. Kunden sollen einen Link öffnen und dort ihre Zugangsdaten eingeben.
- Gefälschte bunq-Support-Anrufe: Anrufer geben sich als bunq-Sicherheitsteam aus (Call-ID-Spoofing), behaupten, verdächtige Aktivitäten auf dem Konto festgestellt zu haben, und bitten um Bestätigung einer 'Sicherheits-TAN'.
- Phishing-Apps: Im Umlauf sind gefälschte bunq-Apps in Drittanbieter-Stores, die Login-Daten abgreifen.
- Reverse-Phishing über Telefonfreigabe: Kunden werden gebeten, Zahlungsfreigaben in der echten bunq-App zu bestätigen – unter dem Vorwand einer 'Sicherheitsprüfung'.
- SIM-Swapping: Betrüger übernehmen die Telefonnummer des Opfers bei dessen Mobilfunkanbieter und erhalten so alle SMS-TANs für Kontoveränderungen.
Der technische Rahmen: Wer Zugangsdaten oder TANs weitergibt – auch telefonisch – ermöglicht dem Angreifer eine aus Sicht des Banksystems autorisierte Zahlung. Ob das rechtlich tatsächlich eine Autorisierung darstellt, ist die entscheidende Frage für den Erstattungsanspruch nach § 675u BGB.
PSD2-Haftung: Wer zahlt bei unbefugten Transaktionen?
Das europäische Zahlungsdiensterecht trifft eine klare Grundaussage: Hat bunq als Zahlungsdienst eine nicht autorisierte Zahlung ausgeführt, muss er den Betrag nach § 675u S. 2 BGB unverzüglich erstatten. Die Beweislast liegt bei der Bank: Sie muss nachweisen, dass die Zahlung vom Kunden autorisiert wurde.
Doch hier liegt die Grauzone: Wer durch Phishing zur Freigabe einer Transaktion gebracht wurde, hat technisch eine Handlung vorgenommen. Das bedeutet allerdings nicht automatisch, dass eine wirksame Autorisierung vorliegt. Ob eine wirksame Autorisierung vorliegt, ist anhand der Umstände des Einzelfalls zu beurteilen.
Hier wird die BGH-Rechtsprechung relevant. Mit Urteil vom 22. Juli 2025 (BGH XI ZR 107/24) hat der Bundesgerichtshof entschieden: Eine Kundin, die ihre TAN am Folgetag telefonisch weitergegeben hatte, verlor den Fall wegen § 675v BGB – grobe Fahrlässigkeit. Das Gericht stellte jedoch auch klar: TAN-Weitergabe allein ist keine Autorisierung nach § 675u S. 2 BGB. Die Beurteilung ob grobe Fahrlässigkeit vorliegt, hängt vom konkreten Einzelfall ab – ein sogenanntes Augenblicksversagen kann grobe Fahrlässigkeit im Einzelfall ausschließen.
Grobe Fahrlässigkeit und bunq: Wann verliert der Kunde seinen Anspruch?
§ 675v BGB regelt, wann Kunden ihren Erstattungsanspruch verlieren: bei Vorsatz oder grober Fahrlässigkeit. Grob fahrlässig handelt, wer die im Verkehr erforderliche Sorgfalt in besonders schwerem Maße verletzt. In Neobank-Phishing-Fällen wie diesem sind folgende Konstellationen einschlägig:
- TAN-Weitergabe am Folgetag: Nach BGH XI ZR 107/24 grob fahrlässig – ausreichend Zeit zur Reflexion war vorhanden.
- Freigabe auf expliziten Betrug-Hinweis hin: Wenn die bunq-App selbst vor Phishing warnt und der Kunde dennoch freigibt, ist grobe Fahrlässigkeit naheliegend.
- Augenblicksversagen: Bei sehr plötzlichem Druck, psychologischer Manipulation oder Überforderung kann grobe Fahrlässigkeit entfallen – situationsabhängig.
- Technisches Eindringen ohne Mitwirkung: Wenn Betrüger durch SIM-Swapping oder App-Exploit Zugang erlangt haben, ohne dass der Kunde irgendetwas beigetragen hat, bleibt die Haftung vollständig bei der Bank.
Die Grenze ist fließend und wird von Gerichten im Einzelfall bewertet. Vergleichbare Fälle anderer Neobanken zeigen ähnliche Muster – etwa beim N26 Phishing oder C24 Bank Phishing.
Die 13-Monats-Frist: Keine Erstattung ohne fristgerechte Meldung
Eine für viele Betroffene überraschende Regelung: § 676b Abs. 2 BGB setzt eine Ausschlussfrist von 13 Monaten nach dem Tag der Belastung. Wer seine Bank nicht innerhalb dieser Frist auf eine nicht autorisierte Transaktion hinweist, verliert seinen Erstattungsanspruch – endgültig, auch wenn grobe Fahrlässigkeit gar nicht vorlag.
Diese Frist gilt unabhängig davon, ob Sie den Betrug sofort bemerkt haben oder erst Monate später. Sie beginnt ab dem Belastungsdatum auf dem Kontoauszug. Prüfen Sie daher alle Transaktionen regelmäßig – insbesondere bei App-Banken ohne Papierkontoauszüge ist das aktive Prüfen der Kontohistorie Ihre eigene Aufgabe.
Für laufende EuGH-Verfahren: Der Generalanwalt des EuGH hat in den Schlussanträgen zu EuGH C-70/25 (05. März 2026) die Auffassung vertreten, dass Banken im Phishing-Fall zunächst erstatten sollen – das ist jedoch ein Schlussantrag, kein Endurteil. Die abschließende EuGH-Entscheidung steht aus und könnte die Beweislastverteilung weiter präzisieren.
Als erfahrene Anwälte im Bank- und Kapitalmarktrecht helfen wir Ihnen, die Vorgehensweise der Betrüger rechtlich einzuordnen und konkrete Schritte zur Rückforderung Ihrer Gelder einzuleiten. Kontaktieren Sie uns jederzeit für ein unverbindliches Erstgespräch.
Sofortmaßnahmen nach einem bunq Phishing-Angriff
Bei einem solchen Phishing-Angriff ist schnelles Handeln entscheidend. Folgende Schritte sollten Sie ohne Verzug einleiten:
- Konto sofort sperren: Über die bunq-App oder den Notfall-Kontakt – Zugangsdaten und App-Freigaben deaktivieren.
- Screenshots und Beweise sichern: Alle Nachrichten, Anruflogs, SMS, E-Mails und App-Benachrichtigungen dokumentieren. Nichts löschen.
- Transaktion bei bunq beanstanden: Über den In-App-Support oder schriftlich per E-Mail – Widerspruch gegen die nicht autorisierte Transaktion einlegen und Erstattung nach § 675u BGB fordern.
- Strafanzeige erstatten: Bei der Polizei oder Staatsanwaltschaft. Die Anzeigenummer ist für spätere Auseinandersetzungen mit der Bank wichtig.
- Frist im Blick behalten: Die 13-Monats-Frist nach § 676b BGB läuft ab dem Belastungsdatum – nicht ab dem Tag der Entdeckung.
Wie ähnliche Fälle bei anderen Instituten behandelt werden, zeigt der Beitrag zum Phishing Geld zurück-Verfahren sowie zum Commerzbank Phishing.
Geld zurück von bunq: Dispute-Verfahren und gerichtlicher Weg
bunq bietet einen In-App-Dispute-Prozess an. Betroffene können nicht autorisierte Transaktionen direkt melden. Die Bank prüft intern – lehnt aber häufig mit Verweis auf Kundenverschulden ab. Dann beginnt der rechtliche Weg.
Zivilrechtlich stehen Ansprüche nach § 675u BGB im Vordergrund. Daneben kommen Ansprüche nach § 823 BGB oder § 826 BGB in Betracht, wenn der Zahlungsdienst Sorgfaltspflichten verletzt hat. Für die Verjährung zivilrechtlicher Ansprüche gilt die dreijährige Regelfrist (§§ 195, 199 BGB), die mit dem Schluss des Jahres der Kenntnisnahme beginnt.
Gibt bunq die Erstattung weiterhin nicht, bleibt der Klageweg. Zuständig sind deutsche Gerichte, da der Schadensort Deutschland ist. Alternativ: Die BGH-Rechtsprechung zur Bankenhaftung bietet belastbare Argumente für ein außergerichtliches Schreiben mit konkreter Zahlungsfrist.
DSGVO-Aspekte: Datenschutzverletzung durch den Phishing-Angriff
Wurde Ihr bunq-Konto durch eine Datenpanne kompromittiert – etwa weil Angreifer auf einem Server gespeicherte Zugangsdaten entwendet haben – kann zusätzlich ein Schadensersatzanspruch nach Art. 82 DSGVO entstehen. Der BGH hat in einem Urteil vom 18. November 2024 (BGH VI ZR 10/24) festgestellt: Allein der Kontrollverlust über persönliche Daten stellt einen immateriellen Schaden im Sinne des Art. 82 DSGVO dar – Die Höhe eines möglichen Schadensersatzanspruchs ist stets anhand der konkreten Umstände des Einzelfalls zu bestimmen.
Das setzt voraus, dass der Datenschutzverstoß bei bunq oder beim Angreifer kausal für den Schaden war. Nutzen Sie Ihr Auskunftsrecht nach Art. 15 DSGVO, um zu erfahren, welche Daten von Ihnen verarbeitet wurden und ob eine Datenpanne gemeldet wurde. bunq muss auf eine solche Anfrage innerhalb eines Monats antworten.
Identitätsmissbrauch nach einem Phishing-Angriff – etwa wenn Betrüger weitere Konten in Ihrem Namen eröffnen – ist ein gesondertes Problem. Der Beitrag zu Identitätsdiebstahl bei Banken zeigt die nächsten Schritte.
Wann ein Anwalt für Bankrecht beim bunq Phishing unverzichtbar ist
bunq agiert als rein digitale Bank mit Sitz in den Niederlanden. Reguläre Schlichtungsverfahren müssen beim zuständigen niederländischen Ombudsmann (Kifid) eingeleitet werden – oder vor deutschen Gerichten, wenn der Schaden in Deutschland eingetreten ist. Das erfordert Kenntnisse im europäischen Zahlungsdiensterecht.
Ein Anwalt für Bankrecht kann die Erfolgsaussichten realistisch einschätzen: War die Zahlung autorisiert? Lag grobe Fahrlässigkeit vor? Ist die 13-Monats-Frist noch nicht abgelaufen? Wurde die Frist versäumt, können Ansprüche aus anderen Rechtsgrundlagen – etwa § 823 BGB oder DSGVO – geprüft werden.
Vorsicht vor angeblichen Rückholservices, die nach einem Phishing-Angriff eine Vorauszahlung verlangen. Das ist ein klassischer Cybercrime-Folgeangriff. Seriöse Anwälte klären den Sachverhalt zunächst und machen Honorar erst nach Fallprüfung geltend.
Fazit: bunq Phishing rechtlich korrekt angehen
bunq Phishing ist technisch raffinierter als klassische Bankbetrügereien. Push-Freigaben, gefälschte Support-Anrufe und App-Imitationen nutzen gezielt das Vertrauen in digitale Systeme aus. Der rechtliche Rahmen – PSD2, §§ 675u und 675v BGB, die 13-Monats-Frist des § 676b BGB – bietet Geschädigten dennoch klare Anspruchsgrundlagen.
Entscheidend ist der Nachweis, dass keine wirksame Autorisierung vorlag und keine grobe Fahrlässigkeit des Kunden bestand. Der BGH XI ZR 107/24 hat die Messlatte konkretisiert – aber auch gezeigt, dass es auf den Einzelfall ankommt. Handeln Sie schnell: Meldung bei bunq, Strafanzeige, anwaltliche Beratung. Und prüfen Sie, ob weitere Finanzbetrug-Ansprüche bestehen.
AK LAW Rechtsanwaltsgesellschaft mbH – Ihr Partner im Bank- und Kapitalmarktrecht
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
FAQs – Häufig gestellte Fragen zu bunq Phishing
Was ist bunq Phishing und wie funktioniert es?
Bei bunq Phishing imitieren Betrüger App-Benachrichtigungen oder bunq-Supportmitarbeiter, um Kunden zur Freigabe von Transaktionen oder Weitergabe von Zugangsdaten zu bringen. Da bunq komplett digital arbeitet, sind gefälschte Push-Nachrichten und Telefonanrufe besonders wirksam.
Muss bunq mir das Geld nach einem Phishing-Angriff erstatten?
Nach § 675u BGB muss bunq bei nicht autorisierten Transaktionen grundsätzlich erstatten. Liegt jedoch grobe Fahrlässigkeit des Kunden vor – etwa TAN-Weitergabe am Folgetag wie im BGH-Urteil XI ZR 107/24 – entfällt der Anspruch nach § 675v BGB. Der Einzelfall ist entscheidend.
Was ist die 13-Monats-Frist bei bunq?
§ 676b Abs. 2 BGB setzt eine Ausschlussfrist von 13 Monaten ab dem Belastungsdatum. Wer bunq nicht innerhalb dieser Frist auf eine nicht autorisierte Transaktion hinweist, verliert den Erstattungsanspruch endgültig – unabhängig davon, wie der Betrug ablief.
Was bedeutet grobe Fahrlässigkeit beim bunq Phishing?
Grob fahrlässig handelt, wer die verkehrsübliche Sorgfalt in besonders schwerem Maß verletzt. Bei einem solchen Phishing-Angriff ist das etwa die Weitergabe einer TAN an einen angeblichen Support-Mitarbeiter, obwohl klar erkennbar war, dass die Aufforderung verdächtig ist. Augenblicksversagen kann grobe Fahrlässigkeit im Einzelfall ausschließen.
Gilt deutsches oder niederländisches Recht beim Streit mit bunq?
Der Erstattungsanspruch nach §§ 675u ff. BGB gilt für deutsche Kunden in Deutschland. Das europäische Zahlungsdiensterecht (PSD2) ist in beiden Ländern umgesetzt. Für interne Bankverfahren gilt niederländisches Recht – bei Klagen in Deutschland sind deutsche Gerichte zuständig.
Was tun, wenn bunq mein Konto nach dem Phishing-Angriff gesperrt hat?
Konten werden bei bunq teils aus AML-Gründen gesperrt – das ist ein anderer Rechtsfall als eine nicht autorisierte Transaktion. Beides kann gleichzeitig auftreten. Klären Sie zunächst den Grund der Sperrung per In-App-Support und sichern Sie alle Kommunikation. Dann anwaltliche Beratung einholen.
Kann ich bunq wegen Datenschutzverletzung verklagen?
Wenn ein Phishing-Angriff auf eine Datenpanne bei bunq zurückgeht – also gestohlene Zugangsdaten – kann Art. 82 DSGVO einen Schadensersatz begründen. Der BGH hat sich mit immateriellem Schadensersatz nach Art. 82 DSGVO befasst; die Höhe eines möglichen Anspruchs hängt jedoch stets vom Einzelfall ab.
Was ist SIM-Swapping und wie schütze ich mich dagegen?
Beim SIM-Swapping übernehmen Betrüger Ihre Telefonnummer beim Mobilfunkanbieter. Sie erhalten alle SMS-TANs und können damit bunq-Transaktionen freigeben. Schutzmittel: PIN bei Ihrem Mobilfunkanbieter setzen, biometrische Authentifizierung in der bunq-App aktivieren, keine TANs per SMS nutzen wenn alternatives Verfahren verfügbar.
Welche Frist gilt für zivilrechtliche Ansprüche gegen bunq?
Die zivilrechtliche Verjährungsfrist beträgt drei Jahre (§§ 195, 199 BGB), beginnend mit dem Jahresende der Kenntnisnahme. Die 13-Monats-Frist des § 676b BGB ist dagegen eine Ausschlussfrist für den spezifischen Erstattungsanspruch – beide Fristen laufen parallel und müssen beachtet werden.
Was sollte ich sofort tun, wenn ich bunq Phishing bemerke?
Sofort das Konto über die bunq-App sperren, alle Beweise sichern (Screenshots, Anruflogs), Strafanzeige bei der Polizei erstatten und bunq schriftlich auf die nicht autorisierte Transaktion hinweisen. Die 13-Monats-Frist nach § 676b BGB beginnt ab dem Belastungsdatum – nicht ab dem Zeitpunkt der Entdeckung.
