Depot gehackt: Wenn Betrüger Ihr Wertpapierdepot leerräumen

Ein gekapertes Wertpapierdepot kann binnen Stunden leergeräumt sein – die rechtliche Auseinandersetzung mit der Depotbank beginnt danach oft erst.

Das Wertpapierdepot ist für viele Anleger eine langfristige Vermögensgrundlage. Aktien, ETFs, Anleihen - alles sorgfältig aufgebaut und digital verwahrt. Doch was passiert, wenn Betrüger Zugangsdaten stehlen, das Depot übernehmen und Wertpapiere im eigenen Namen verkaufen? Ein Depot gehackt Betrug läuft erschreckend schnell ab: In wenigen Stunden werden Positionen liquidiert, der Erlös auf fremde Konten geleitet - und der Anleger steht vor dem leeren Depot.

Depot-Hacking ist technisch und rechtlich anspruchsvoller als klassisches Phishing auf Girokonten. Wertpapiergeschäfte lassen sich nicht wie Überweisungen einfach zurückbuchen. Das Wertpapierrecht, das Zahlungsdiensterecht und das allgemeine Deliktsrecht greifen ineinander - und die Depotbank wird die Erstattung regelmäßig verweigern, solange sie glaubt, der Kunde habe grob fahrlässig gehandelt.

Dieser Beitrag erklärt, wie ein Depot-Hacking abläuft, welche Ansprüche nach einem Depot gehackt Betrug bestehen und warum die 13-Monats-Frist nach § 676b BGB auch hier gilt.

Wie funktioniert ein Depot-Hacking-Angriff?

Der typische Angriff auf Depots beginnt nicht mit einem technischen Einbruch in die Serversysteme der Depotbank – sondern mit dem Angriff auf den Kunden selbst. Phishing-E-Mails, gefälschte Login-Seiten, Schadsoftware (Keylogger) oder manipulierte App-Versionen stehlen Zugangsdaten zum Online-Depot. Wer dann keine Zwei-Faktor-Authentifizierung aktiviert hat, bietet Angreifern freie Bahn.

Strafrechtlich erfüllt der Zugang zum fremden Depot den Tatbestand des § 263a StGB (Computerbetrug) und § 263 StGB (Betrug). Wer Wertpapiere über ein gekapertes Depot verkauft, erfüllt außerdem § 303a StGB (Datenveränderung) und ggf. Unterschlagungstatbestände. Für den Geschädigten relevant: Diese Tatbestände begründen zivilrechtliche Schadensersatzansprüche nach § 823 BGB.

Komplexer wird der Fall, wenn Angreifer nach dem Ausverkauf von Wertpapieren mit dem Erlös auf dem Cashkonto weiter agieren – etwa durch Überweisungen ins Ausland. In diesem Fall überschneiden sich Depot-Hacking und klassischer Bankbetrug. Zum Hintergrund der BGH-Rechtsprechung zur Bankenhaftung finden Sie einen gesonderten Beitrag.

Warnsignale: So erkennen Sie, dass Ihr Depot kompromittiert ist

Ein solcher Depotbetrug wird oft erst bemerkt, wenn die Depotbank eine automatische Transaktionsbenachrichtigung versendet oder der Anleger selbst ins Depot schaut. Die typischen Anzeichen:

• Unbekannte Verkäufe: Positionen wurden verkauft, die Sie nicht veräußert haben – insbesondere kurzfristig nach einem Login-Versuch.
• Passwort-Reset-E-Mails: Sie erhalten Nachrichten über Passwort- oder E-Mail-Adressänderungen, die Sie nicht initiiert haben.
• Login-Alerts aus fremden Ländern: Manche Depotbanken senden IP-basierte Login-Warnungen – schauen Sie diese regelmäßig an.
• Geänderter Auszahlungsweg: Die hinterlegte Referenzbankverbindung wurde geändert – auf ein unbekanntes Konto.
• Unbekannte Order im Orderbuch: Limit-Orders auf Wertpapiere, die Sie nie erteilt haben, stehen noch offen.
• Cashkonto-Abflüsse: Überweisungen vom Cashkonto des Depots an fremde Konten, die Sie nicht veranlasst haben.

PSD2 und Depotrecht: Wer haftet bei nicht autorisierten Wertpapiergeschäften?

Die Haftungsfrage beim Depot gehackt Betrug ist komplexer als bei einem normalen Phishing-Fall auf dem Girokonto. Für Zahlungsvorgänge – also Überweisungen vom Cashkonto des Depots – gelten die §§ 675u BGB und 675v BGB: Nicht autorisierte Zahlungen muss die Bank grundsätzlich erstatten, es sei denn, grobe Fahrlässigkeit des Kunden liegt vor.

Für Wertpapiergeschäfte selbst – den Verkauf von Aktien oder ETFs – gilt nicht unmittelbar das Zahlungsdiensterecht. Hier kommen das Wertpapierhandelsgesetz (WpHG) und die vertragliche Haftung aus dem Depotvertrag zum Tragen. Die Depotbank hat eine Schutzpflicht – sie muss sicherstellen, dass Orders nur von autorisierten Personen erteilt werden. Verletzt sie diese Pflicht, haftet sie nach § 823 BGB und aus dem Vertrag.

Der BGH hat mit Urteil vom 22. Juli 2025 (BGH XI ZR 107/24) zur TAN-Weitergabe klargestellt: TAN-Weitergabe allein ist keine Autorisierung. Das Gericht prüft, ob grobe Fahrlässigkeit nach § 675v BGB vorlag. Augenblicksversagen – situationsbedingte Überforderung ohne Reflektionsmöglichkeit – kann grobe Fahrlässigkeit im Einzelfall ausschließen.

Beweislast und Dokumentation nach dem Depot-Betrug

Bei einem gekaperten Depot liegt die Beweislast grundsätzlich bei der Bank: Sie muss nachweisen, dass die Transaktionen autorisiert waren und grobe Fahrlässigkeit des Kunden vorlag. Der Kunde muss den Angriff substantiiert darlegen – also erklären, was passiert ist, welche Zugangsdaten kompromittiert wurden und durch welchen Mechanismus.

Sichern Sie daher sofort: alle E-Mails rund um den Vorfall, Phishing-Nachrichten, Login-Benachrichtigungen, Transaktionshistorie aus dem Depot sowie Bankauszüge. Lassen Sie das betroffene Gerät von einem IT-Forensiker untersuchen – ein forensischer Bericht kann nachweisen, dass Schadsoftware aktiv war, und damit grobe Fahrlässigkeit widerlegen.

Zudem eröffnet eine Strafanzeige den Weg zu Ermittlungsakten über § 406e StPO. Ermittlungsbehörden können IP-Adressen und Transaktionsdaten sichern, die der Anleger selbst nicht abrufen könnte. Das stärkt die zivilrechtliche Position erheblich.

Die 13-Monats-Ausschlussfrist: Auch beim Depot gilt sie

§ 676b Abs. 2 BGB setzt eine Ausschlussfrist von 13 Monaten für nicht autorisierte Zahlungsvorgänge. Diese Frist beginnt mit dem Belastungsdatum der Transaktion – nicht mit dem Zeitpunkt der Entdeckung. Wer die Depotbank nicht innerhalb dieser Frist auf einen nicht autorisierten Vorgang hinweist, verliert seinen Erstattungsanspruch endgültig.

Für Wertpapiergeschäfte selbst greift § 676b BGB nicht direkt – der Anspruch ergibt sich aus dem Depotvertrag und § 823 BGB. Hier gilt die reguläre Verjährungsfrist von drei Jahren nach §§ 195, 199 BGB ab Jahresende der Kenntnis. Dennoch gilt: Früh handeln sichert Beweise und erhöht die Erfolgschancen erheblich.

Zum Vergleich: Der Generalanwalt des EuGH hat in den Schlussanträgen zu EuGH C-70/25 (05. März 2026) die Auffassung vertreten, dass Banken bei nicht autorisierten Zahlungen zunächst erstatten sollen – das ist jedoch ein Schlussantrag, kein bindendes Endurteil. Die abschließende EuGH-Entscheidung steht noch aus.

Sofortmaßnahmen nach einem gekaperten Depot

Handeln Sie sofort – jede Stunde zählt:

• Depotbank anrufen: Sperren Sie das Depot telefonisch. Bestätigen Sie die Sperrung schriftlich per E-Mail oder Einschreiben.
• Passwort sofort ändern: Auf einem sicheren, nicht kompromittierten Gerät – und für alle weiteren Dienste, die dasselbe Passwort nutzen.
• Transaktionsprotokoll sichern: PDF-Ausdruck aller Kontoauszüge und Orderlisten aus dem Depot.
• Strafanzeige erstatten: Bei der Polizei oder Staatsanwaltschaft – mit vollständiger Dokumentation. Hilfreich: Anlagebetrug Strafanzeige.
• Schriftliche Beanstandung an die Bank: Widerspruch gegen nicht autorisierte Transaktionen einlegen – mit Fristsetzung für Erstattung.
• Gerät isolieren: Betroffenes Gerät nicht mehr nutzen bis zur IT-forensischen Untersuchung.

Zusätzlich prüfenswert: Wurden auch andere Konten bei derselben Bank oder verknüpfte Dienste kompromittiert? Haben Angreifer die hinterlegte Referenz-IBAN geändert, um spätere Auszahlungen abzufangen? Diese Details sind für das Verfahren gegen die Depotbank entscheidend.

Rückabwicklung nicht autorisierter Wertpapiergeschäfte

Die Rückabwicklung eines unautorisierten Wertpapierverkaufs ist komplex. Ist das Wertpapier bereits auf dem Markt verkauft, kann die ursprüngliche Position nicht einfach zurückgekauft werden – der Marktpreis hat sich möglicherweise verändert. Der Schadensersatzanspruch umfasst daher: den Verkaufserlös, der abgeflossen ist, plus eventuelle Kursgewinne, die dem Anleger durch den erzwungenen Verkauf entgangen sind.

Rechtlich relevant ist die Frage, ob die Depotbank eine Sorgfaltspflichtverletzung beging – etwa indem sie eine Order von einem unbekannten Gerät oder IP-Adresse ohne zusätzliche Prüfung ausgeführt hat. Derartige Systemmechanismen können die Haftung der Bank begründen. Vergleichbare Situationen beim Phishing bei Advanzia Bank und beim BaFin-Warnungen und Bankenhaftung-Beitrag zeigen ähnliche Konstellationen.

Die außergerichtliche Geltendmachung läuft über ein anwaltliches Schreiben mit konkreter Forderung und Fristsetzung. Verweigert die Depotbank die Erstattung, bleibt der Klageweg – oder die Einschaltung des zuständigen Ombudsmanns (bei Banken: Ombudsmann der privaten Banken oder der Sparkassen-Finanzgruppe).

DSGVO-Ansprüche: Datenmissbrauch nach Depot-Hacking

Ein Depot-Hacking-Angriff ist fast immer auch ein Datenschutzvorfall. Angreifer haben Zugangsdaten, Transaktionshistorien, Personalien und Kontoverbindungen abgegriffen. Nach Art. 82 DSGVO steht jedem Betroffenen Schadensersatz zu, wenn ein Verantwortlicher oder Auftragsverarbeiter gegen die DSGVO verstoßen hat und dadurch Schaden entstanden ist.

Der BGH hat in VI ZR 10/24 (18. November 2024) klargestellt: Der bloße Kontrollverlust über persönliche Daten begründet bereits einen immateriellen Schaden – typischerweise ca. 100 Euro. Das ist nur ein Baustein des Gesamtschadens, sichert aber einen zusätzlichen Anspruch neben dem Hauptanspruch auf Depotersatz.

Nutzen Sie außerdem Ihr Auskunftsrecht nach Art. 15 DSGVO: Fragen Sie die Depotbank, welche Daten verarbeitet wurden, ob eine Datenpanne gemeldet wurde und welche Sicherheitsmaßnahmen zum Zeitpunkt des Angriffs bestanden. Diese Informationen sind für das Verfahren wertvoll.

Wann ein Anwalt für Bankrecht beim Depot-Betrug unverzichtbar ist

Bei einem Depot gehackt Betrug mit erheblichem Schadenspotenzial – Verkauf von Wertpapieren im Wert von mehreren Tausend Euro – ist anwaltliche Begleitung keine Frage des Komforts. Die Depotbank wird eine interne Prüfung starten und dabei versuchen, grobe Fahrlässigkeit des Kunden nachzuweisen. Wer ohne anwaltliche Beratung kommuniziert, riskiert unbeabsichtigte Zugeständnisse.

Ein Anwalt für Bankrecht kann die Kommunikation mit der Depotbank übernehmen, IT-Forensik koordinieren, Strafanzeigen optimieren und bei Bedarf den Klageweg einleiten. Erfahrung im Bereich Finanzbetrug und Cybercrime ist dabei entscheidend.

Weitere Informationen zu verwandten Betrugsformen finden Sie in den Beiträgen zu Anlagebetrug erkennen und zum Arbitrage-Bot-Betrug.

Fazit: Depot gehackt Betrug – schnell handeln, Ansprüche sichern

Ein Depot gehackt Betrug ist für betroffene Anleger ein schwerer finanzieller und emotionaler Schlag. Das Recht bietet jedoch konkrete Anspruchsgrundlagen: Erstattungsansprüche nach §§ 675u ff. BGB für Zahlungsvorgänge, Schadensersatz nach § 823 BGB und aus dem Depotvertrag für nicht autorisierte Wertpapiergeschäfte, DSGVO-Ansprüche nach Art. 82 DSGVO und strafrechtliche Ermittlungen.

Entscheidend sind die ersten Stunden: Depot sperren, Beweise sichern, Strafanzeige erstatten und die Depotbank schriftlich konfrontieren. Die 13-Monats-Frist nach § 676b BGB gilt für Zahlungsvorgänge – die dreijährige Verjährung nach §§ 195, 199 BGB für Wertpapieransprüche. Wer zu lange wartet, verliert Ansprüche. Informieren Sie sich außerdem über den Krypto-Betrug Geld zurück-Weg.

AK LAW Rechtsanwaltsgesellschaft mbH – Ihr Partner im Bank- und Kapitalmarktrecht

Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.

FAQs – Häufig gestellte Fragen zu Depot gehackt Betrug