Scalable Capital Phishing: Gefälschte E-Mails an Neobroker-Kunden

Scalable Capital Phishing zielt auf Login-Daten und Depot-Zugang – und trifft Kunden der Neobroker-Plattform mit zunehmender Häufigkeit.

Scalable Capital ist einer der führenden deutschen Neobroker mit BaFin-Erlaubnis und mehreren Millionen Kunden. Die Plattform bietet kostengünstigen ETF-Sparplan-Handel und Depot-Verwaltung über eine App. Genau diese Popularität macht sie zum attraktiven Ziel für Phishing-Angriffe: Betrüger versenden gefälschte E-Mails, SMS oder Push-Nachrichten, die optisch exakt der offiziellen Kommunikation von Scalable Capital ähneln – und versuchen so, Zugangsdaten oder TANs zu stehlen.

Scalable Capital Phishing folgt dabei bewährten Mustern: Eine angebliche Sicherheitswarnung fordert zur Verifizierung des Kontos auf, ein angeblicher Support-Mitarbeiter bittet um Zugangsdaten, oder ein Link führt auf eine täuschend echte Fake-Login-Seite. Wer diese Daten eingibt, ermöglicht den Betrügern den Zugriff auf das Depot – mit teils erheblichen Folgeschäden.

Dieser Beitrag erklärt, wie Scalable Capital Phishing typischerweise abläuft, welche Sofortmaßnahmen Depot und Konto schützen, wann die Plattform oder die Hausbank für Schäden haftet und welche rechtlichen Schritte Betroffene einleiten können. Ähnliche Maschen treffen auch Kunden anderer Neobanken, wie der Beitrag zu N26-Phishing zeigt.

Scalable Capital: Regulierung, BaFin-Status und Haftungsrahmen

Scalable Capital GmbH ist als Wertpapierinstitut von der BaFin lizenziert – das unterscheidet die Plattform grundlegend von unregulierten Kryptobörsen. Die BaFin-Regulierung bedeutet: Die Plattform unterliegt strikten Pflichten zur sicheren Systemgestaltung, zur Kundenauthentifizierung und zur Reaktion auf Betrugshinweise. Gleichzeitig haftet Scalable Capital für systembezogene Sicherheitslücken – nicht aber automatisch für Schäden, die durch Nutzerfehler entstehen.

Für Phishing-Schäden gilt der Haftungsrahmen der Payment Services Directive 2 (PSD2), umgesetzt in § 675u BGB und § 675v BGB. Danach muss das Institut nicht autorisierte Zahlungen erstatten – es sei denn, den Kunden trifft grobe Fahrlässigkeit oder Vorsatz. Bei Scalable Capital kommt es dabei darauf an, wer die Authentifizierungsdaten preisgegeben hat und unter welchen Umständen.

Die Beweislastverteilung ist dabei für Kunden günstig: Das Institut muss nachweisen, dass die Zahlung korrekt authentifiziert wurde und nicht durch technische Fehler verursacht ist. Kann Scalable Capital das nicht belegen, haftet es nach § 675u BGB. Der BGH hat in XI ZR 107/24 vom 22.07.2025 klargestellt, dass eine TAN-Weitergabe allein keine Autorisierung im rechtlichen Sinne darstellt – wohl aber grobe Fahrlässigkeit begründen kann.

Aktuelle Angriffsmethoden bei Scalable-Capital-Kunden

Diese Betrugsform nutzt verschiedene Angriffswege. Die häufigsten Maschen im Überblick:

• Fake-Login-Seiten: Täuschend echte Kopien der Scalable-Capital-Website mit leicht abweichender URL fangen Zugangsdaten ab.
• Phishing-E-Mails mit Sicherheitswarnung: Angebliche Kontoeinschränkungen fordern zur sofortigen Verifizierung auf – mit gefälschtem Absender.
• SMS-Phishing (Smishing): Kurznachrichten mit Link zur angeblichen Zwei-Faktor-Authentifizierung leiten auf Fake-Seiten um.
• Telefonischer Support-Betrug: Anrufer geben sich als Scalable-Capital-Mitarbeiter aus und fragen nach Login-Daten oder TAN.
• App-Store-Fakes: Gefälschte Apps imitieren die Scalable-Capital-App und leiten Eingaben an Betrüger weiter.
• Depot-Manipulation nach Zugang: Sobald Betrüger im Depot sind, kaufen sie wertlose Papiere oder transferieren Guthaben auf externe Konten.

Scalable Capital kommuniziert nie per E-Mail oder SMS nach Login-Daten oder TANs. Jede Aufforderung dieser Art ist ein Phishing-Versuch. Ähnliche Muster finden sich auch beim Comdirect-Phishing oder bei Angriffen auf andere Broker-Plattformen.

Warnsignale: Wann eine Nachricht verdächtig ist

Folgende Merkmale deuten auf einen Phishing-Angriff hin – auch wenn Absender und Design authentisch wirken:

• Dringende Handlungsaufforderung: 'Verifizieren Sie sofort Ihr Konto, sonst wird es gesperrt.'
• Abweichende URL: Der Link führt auf eine Domain, die nicht scalable.capital oder einem offiziell verlinkten Subdomäne entspricht.
• Anfrage nach Zugangsdaten per E-Mail: Seriöse Broker fragen nie per E-Mail nach Passwörtern oder TANs.
• Fehlende Personalisierung: 'Sehr geehrter Kunde' statt Ihres tatsächlichen Namens – ein Zeichen für Massen-Phishing.
• Unbekannte Absender-Domain: Die E-Mail kommt von scalable-capital.net statt scalable.capital oder einer anderen offiziellen Domain.
• Anhang in E-Mail: Scalable Capital sendet keine ausführbaren Dateianhänge – nur Links in offiziellen E-Mails.

Im Zweifelsfall loggen Sie sich direkt über die offizielle Scalable-Capital-App oder Website ein – nie über einen Link in einer E-Mail. Vertiefende Informationen zu gefälschten Banking-Seiten bietet der Beitrag zu Phishing-Schutz bei Bankseiten.

Haftung von Scalable Capital: Wann das Institut zahlt

Die Haftung von Scalable Capital bei Phishing-Schäden richtet sich nach dem PSD2-Rahmen. Grundsatz: Nicht autorisierte Zahlungen muss das Institut erstatten. Wenn Betrüger über gephishte Zugangsdaten ins Depot eindringen und dort eigenmächtig handeln – ohne Wissen und Wollen des Kontoinhabers –, gilt das als nicht autorisierte Transaktion.

Die Haftung entfällt oder mindert sich, wenn den Kunden grobe Fahrlässigkeit trifft. Das ist dann der Fall, wenn grundlegende Sicherheitsregeln missachtet wurden – etwa die freiwillige Weitergabe von Zugangsdaten auf Anforderung. Der BGH hat in XI ZR 107/24 präzisiert: TAN-Weitergabe am Folgetag eines Phishing-Anrufs kann grobe Fahrlässigkeit darstellen. Ein kurzfristiges Augenblicksversagen kann dagegen grobe Fahrlässigkeit ausschließen.

Zusätzlich relevant: Wenn Scalable Capital eigene Sicherheitspflichten verletzt hat – etwa indem kein IBAN-Namensabgleich oder keine anomale Transaktionserkennung implementiert war –, kann das die Haftung des Instituts begründen oder erhöhen. Anwaltliche Prüfung klärt, welche Pflichtverletzungen in Betracht kommen. Mehr zu den aktuellen EuGH-Schlussanträgen zur Bankhaftung beim EuGH-Phishing-Urteil 2026.

Parallel zur Haftungsfrage sollten Betroffene prüfen, ob das Institut seinen Warnpflichten nachgekommen ist. Wenn Scalable Capital von einer aktuellen Phishing-Welle wusste und Kunden nicht rechtzeitig informiert hat, kann das eine eigenständige Pflichtverletzung darstellen. Anwaltliche Prüfung klärt, ob dieser Umstand im konkreten Fall relevant ist.

Die 13-Monats-Frist und weitere Fristen

Wer nach einem Phishing-Angriff auf Scalable Capital zu lange wartet, riskiert den Verlust seiner Ansprüche. § 676b Abs. 2 BGB sieht eine 13-monatige Ausschlussfrist vor: Ansprüche auf Erstattung nicht autorisierter Zahlungen müssen spätestens 13 Monate nach der Kontobelastung gegenüber dem Institut geltend gemacht werden.

Wichtig: Das ist eine Ausschlussfrist, keine Verjährungsfrist. Wer die Frist versäumt, verliert den Anspruch endgültig – auch wenn der Betrug erst später entdeckt wird. Daher sollten Kontobewegungen regelmäßig überprüft werden. Bei Verdacht auf unbefugten Zugriff sofort handeln. Parallel läuft die regelmäßige dreijährige Verjährungsfrist (§ 195 BGB), die nach § 199 Abs. 1 BGB mit dem Ende des Kenntnisjahres beginnt.

Wer seinen Broker bei Scalable Capital auf Erstattung in Anspruch nimmt, muss den Schaden präzise dokumentieren – welche Transaktionen wann stattgefunden haben, welche davon nicht autorisiert waren. Ein Anwalt kann dabei helfen, die Schadensaufstellung korrekt aufzubereiten und fristgerecht einzureichen.

Sofortmaßnahmen nach einem Phishing-Angriff auf Scalable Capital

Wenn Sie den Verdacht haben, dass Ihre Scalable-Capital-Zugangsdaten abgefischt wurden oder fremde Transaktionen im Depot erscheinen, handeln Sie sofort:

• Passwort sofort ändern: Ändern Sie Passwort und PIN über die offizielle App – nicht über Links aus E-Mails.
• Zwei-Faktor-Authentifizierung prüfen: Stellen Sie sicher, dass kein Dritter die 2FA-Methode geändert hat.
• Scalable Capital kontaktieren: Melden Sie den Vorfall sofort dem Kundenservice – schriftlich per E-Mail.
• Kontoauszug sichern: Laden Sie alle Transaktionsnachweise herunter – als Beweissicherung.
• Strafanzeige erstatten: Erstatten Sie Strafanzeige bei der Polizei – wegen Betrugs nach § 263 StGB, ggf. ergänzend Computerbetrug nach § 263a StGB.
• BaFin informieren: Beschwerden über Scalable Capital können Sie bei der BaFin einreichen – als BaFin-reguliertes Institut unterliegt es der Aufsicht.

Wer bereits Geld verloren hat, sollte zudem prüfen, ob das Institut trotz BaFin-Warnung gehandelt hat. Das kann eine weitere Haftungsgrundlage begründen.

Geld zurück nach einem Phishing-Angriff: Ansprüche und Wege

Wenn das Depot durch einen Scalable-Capital-Phishing-Angriff geschädigt wurde, bestehen mehrere Anspruchsgrundlagen: Erstattung nicht autorisierter Zahlungen nach § 675u BGB, Schadensersatz nach § 823 BGB bei Verletzung eigener Sicherheitspflichten des Instituts und ggf. Schadensersatz nach § 826 BGB.

Die außergerichtliche Geltendmachung ist oft der erste Weg: Ein anwaltliches Schreiben an Scalable Capital mit Fristsetzung zur Erstattung. Verweigert das Institut die Erstattung, kann die für Scalable Capital zuständige Verbraucherschlichtungsstelle – in der Regel die Schlichtungsstelle bei der BaFin oder eine andere anerkannte Schlichtungsstelle – eingeschaltet werden – kostenfrei und außergerichtlich. Alternativ ist der Klageweg möglich.

Strafrechtlich können Täter wegen § 263a StGB (Computerbetrug) und § 263 StGB (Betrug) verfolgt werden. Bei organisierten Banden kommt auch § 261 StGB (Geldwäsche) in Betracht. Strafanzeigen ermöglichen staatliche Ermittlungen und können die Rückforderung unterstützen. Mehr dazu im Beitrag zu Bankbetrug und BGH-Haftung.

Wann ein Anwalt für Bankrecht eingeschaltet werden sollte

Anwaltliche Unterstützung ist dringend empfehlenswert, wenn:

• Scalable Capital die Erstattung verweigert oder auf grobe Fahrlässigkeit verweist.
• Der Schaden im Depot übersteigt 500 Euro.
• Die 13-Monats-Frist nach § 676b Abs. 2 BGB droht abzulaufen.
• Sie unsicher sind, ob Ihre Situation grobe Fahrlässigkeit darstellt.
• Fremde Transaktionen im Depot erscheinen, die Sie nicht autorisiert haben.

Ein Rechtsanwalt mit Erfahrung im Bank- und Kapitalmarktrecht kann die Verschuldensfrage einordnen, Erstattungsansprüche gegenüber dem Institut geltend machen und bei Bedarf klagen. Die AK LAW Rechtsanwaltsgesellschaft mbH berät Mandanten bundesweit bei Phishing-Fällen – von der ersten Einschätzung bis zur Durchsetzung von Ansprüchen. Einen Überblick bietet die Kanzlei für Bankrecht.

Nicht immer ist sofort klar, ob grobe Fahrlässigkeit vorliegt oder nicht. Täuschend echte Phishing-Seiten und psychologisch ausgeklügelte Betrugsanrufe können auch Personen mit technischem Hintergrund täuschen. Gerichte und Schiedsstellen berücksichtigen die Qualität des Angriffs zunehmend in ihrer Bewertung. Ein Anwalt kann helfen, diesen Sachverhalt überzeugend darzustellen. Darüber hinaus lohnt ein Blick auf mögliche Ansprüche aus der DSGVO: Wenn durch den Phishing-Angriff personenbezogene Daten abgeflossen sind, können zusätzliche Schadensersatzansprüche nach Art. 82 DSGVO gegen das Institut in Betracht kommen – insbesondere bei unzureichenden Sicherheitsmaßnahmen.

AK LAW Rechtsanwaltsgesellschaft mbH – Ihr Partner im Bank- und Kapitalmarktrecht

Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.

FAQs – Häufig gestellte Fragen zu Scalable Capital Phishing