Voice-Cloning-Anruf: Wenn die geklonte Stimme der Bank anruft

Eine KI-generierte Stimme klingt wie Ihr Bankberater, fordert eine sofortige Freigabe – und in Sekunden ist das Konto leer. Nach der politischen Einigung von Rat und Parlament im Trilog am 27. November 2025 und der Veröffentlichung der endgültigen Kompromisstexte am 23. April 2026 soll Art. 59 PSR-E Banken und Zahlungsanbieter künftig erstmals auch für autorisierte, aber betrügerisch veranlasste Zahlungen haften lassen.

Das Telefon klingelt, auf dem Display erscheint die echte Servicenummer der Hausbank, und am anderen Ende meldet sich eine Stimme, die exakt so klingt wie der vertraute Berater aus der Filiale. Der Anrufer warnt vor einer angeblich verdächtigen Abbuchung und bittet um eine schnelle Freigabe per TAN, um den Schaden angeblich abzuwenden. Was wie ein Routineanruf wirkt, ist in Wahrheit eine der derzeit gefährlichsten Betrugsmaschen überhaupt: Voice Cloning Anruf Betrug, bei dem eine künstlich erzeugte Stimme das Vertrauen in die eigene Bank gezielt ausnutzt.

Kriminelle nutzen heute frei verfügbare KI-Werkzeuge, um aus wenigen Sekunden öffentlich zugänglichem Audiomaterial – etwa aus einem Interview, einem Video oder einer Sprachnachricht – eine synthetische Stimme zu erzeugen, die selbst für geschulte Ohren kaum von der echten zu unterscheiden ist. Kombiniert mit gefälschten Rufnummern entsteht ein Angriff, der psychologischen Druck mit technischer Perfektion verbindet.

Dieser Beitrag ordnet die Masche rechtlich ein: Warum ist Voice Cloning so wirksam, welche Ansprüche bestehen gegen die Bank, wenn eine TAN unter diesen Umständen weitergegeben wurde, und wie unterscheidet sich die aktuelle Rechtslage von dem, was künftig unter PSD3 und PSR gelten soll. Betroffene erfahren außerdem, welche Schritte nach einem solchen Anruf sofort notwendig sind.

Was Voice Cloning technisch möglich macht

Moderne Sprachsynthese-Modelle benötigen nur noch wenige Sekunden Originalaudio, um eine Stimme in Tonfall, Sprechtempo und charakteristischen Eigenheiten nachzubilden. Öffentliche Quellen wie Firmen-Videos, Podcasts, Social-Media-Beiträge oder sogar die Combox eines Mobiltelefons liefern ausreichend Material. Für Betroffene bedeutet das: Die Warnung „das klang aber wirklich wie mein Berater“ ist kein Zeichen für Leichtgläubigkeit, sondern die logische Folge einer Technik, die genau darauf ausgelegt ist, menschliches Erkennen zu überlisten.

Verbunden wird die geklonte Stimme meist mit Call-ID-Spoofing, also der Fälschung der angezeigten Rufnummer. Dieses Vorgehen ist nach § 120 TKG untersagt und wird von der Bundesnetzagentur verfolgt, ändert aber nichts daran, dass das eigentliche Vermögensdelikt aus Sicht des Strafrechts über § 263 StGB läuft: Es wird ein Mensch getäuscht, nicht ein Datenverarbeitungsvorgang manipuliert. Mehr zur klassischen Variante dieser Masche lesen Sie in unserem Beitrag zu Vishing Telefonbetrug Bank.

Der typische Ablauf eines Voice-Cloning-Anrufs

Typischer Voice Cloning Anruf Betrug folgt meist einem wiederkehrenden Muster, das auf maximale Dringlichkeit setzt:

• Anruf mit gefälschter Bank-Rufnummer und geklonter Stimme eines vermeintlichen Mitarbeiters
• Warnung vor einer angeblich laufenden betrügerischen Abbuchung auf dem eigenen Konto
• Aufforderung, eine TAN zur „Sicherung“ oder „Stornierung“ der Transaktion durchzugeben
• Zeitdruck durch Formulierungen wie „nur noch wenige Minuten“ oder „sonst ist das Geld weg“
• Nach Weitergabe der TAN wird tatsächlich eine Echtzeitüberweisung ausgelöst – oft über Instant Payment

Besonders tückisch: Manche Varianten kombinieren den Anruf mit einer vorab versendeten Phishing-SMS oder einer gefälschten Sicherheitswarnung per E-Mail, damit das Opfer den Anruf bereits erwartet und die geklonte Stimme in einem vorbereiteten emotionalen Kontext hört. Parallelen zu klassischem Kontodaten-Diebstahl beschreiben wir in unserem Beitrag zum Phishing-Alarm bei der Deutschen Bank.

Rechtliche Einordnung: Nicht autorisierte Zahlung nach § 675u BGB

Zivilrechtlich ändert die Raffinesse der Täuschung nichts an einer zentralen Weichenstellung: Die Weitergabe einer TAN am Telefon ist keine wirksame Autorisierung der Zahlung im Sinne des Zahlungsdiensterechts. Es handelt sich vielmehr um eine nicht autorisierte Zahlung, für die grundsätzlich ein Erstattungsanspruch aus § 675u S. 2 BGB gegen die eigene Bank besteht – unabhängig davon, ob der Kunde selbst die TAN eingegeben hat.

Die Bank kann diesem Anspruch allerdings die Einwendung der groben Fahrlässigkeit nach § 675v BGB entgegenhalten. Die Beweislast dafür trägt jedoch die Bank, nicht der Kunde. Genau an dieser Stelle wird die Rechtsprechung des Bundesgerichtshofs entscheidend: Mit Urteil vom 22.07.2025 (XI ZR 107/24) befasste sich der BGH mit einem strukturell verwandten Fall, in dem eine Kundin nach einem Anruf mit gefälschter Bank-Rufnummer TANs für eine Echtzeitüberweisung über 35.555 Euro herausgegeben hatte.

Wichtig für die korrekte Einordnung: Die Kundin hat den Prozess verloren, weil der BGH grobe Fahrlässigkeit bejaht hat – allerdings nicht wegen der ersten TAN-Weitergabe, sondern weil sie am Folgetag erneut, nach ausreichender Bedenkzeit, eine weitere TAN preisgab. Gleichzeitig stellte der Bundesgerichtshof klar, dass ein sogenanntes Augenblicksversagen im Einzelfall grobe Fahrlässigkeit ausschließen kann – etwa dann, wenn die Täuschung so überraschend und intensiv war, dass für eine besonnene Reaktion faktisch kein Zeitfenster blieb. Bei einem Voice-Cloning-Anruf, der Bekannten-Stimme, Dringlichkeit und gefälschte Rufnummer kombiniert, ist genau dieses Augenblicksversagen ein naheliegendes Argument, das im Einzelfall geprüft werden sollte. Eine pauschale Aussage, der BGH stärke generell die Erstattungspflicht der Banken, wäre jedoch unzutreffend – die Entscheidung ist differenzierter, als sie in mancher Berichterstattung dargestellt wird.

Was sich mit PSD3 und PSR künftig ändern soll

Auf europäischer Ebene zeichnet sich mit der geplanten PSD3 (Richtlinie) und der PSR (Verordnung) ein Paradigmenwechsel ab. Nach politischer Einigung von Rat und Parlament sowie finaler Trilog-Einigung im April 2026 soll Art. 59 PSR-E Banken und Zahlungsanbieter künftig erstmals auch für autorisierte, aber betrügerisch veranlasste Zahlungen haften lassen – speziell bei Call-ID-Spoofing-Konstellationen, wie sie auch bei Voice-Cloning-Anrufen typisch sind. Wichtig: Diese Regelung ist noch nicht geltendes Recht, sondern befindet sich im Rechtsetzungsverfahren mit anschließender Übergangsfrist. Für aktuelle Fälle gilt weiterhin die heutige Rechtslage nach §§ 675u, 675v BGB.

Bereits jetzt verpflichtend ist hingegen die Verification of Payee (VoP), also der IBAN-Namensabgleich, der für Euro-Echtzeitzahlungen seit dem 9. Oktober 2025 vorgeschrieben ist. Weicht der eingegebene Empfängername von den bei der Bank hinterlegten Kontodaten ab, muss die Bank warnen. Unterbleibt diese Warnung, kann sich daraus ein eigenständiger Haftungsansatz gegen die Bank ergeben – ein Argument, das in Voice-Cloning-Fällen mit Echtzeitüberweisung geprüft werden sollte.

Instant Payments: Warum das Geld in Sekunden weg ist

Seit der Sende-Pflicht für Instant Payments ab dem 9. Oktober 2025 lassen sich Echtzeitüberweisungen ohne die früher üblichen Verzögerungen ausführen, und ein Betragslimit von 100.000 Euro besteht nicht mehr. Für Betrugsopfer bedeutet das: Sobald die TAN durchgegeben ist, ist das Geld binnen Sekunden auf einem fremden Konto – oft bereits weitergeleitet, bevor überhaupt ein Verdacht aufkommt.

Eine Rückholung ist ausschließlich über den SEPA Instant Recall möglich, ein Kulanz- und Mitwirkungsverfahren zwischen den beteiligten Banken. Ein Rechtsanspruch auf Rückbuchung besteht dabei nicht – der Erfolg hängt maßgeblich davon ab, ob das Geld auf dem Empfängerkonto noch vorhanden ist und wie schnell die eigene Bank reagiert. Wer betroffen ist, sollte daher parallel zum zivilrechtlichen Erstattungsanspruch gegen die eigene Bank auch strafrechtlich vorgehen und Anzeige erstatten.

Sofortmaßnahmen nach einem Voice-Cloning-Anruf

Wer den Verdacht hat, Opfer von Voice Cloning Anruf Betrug geworden zu sein, sollte innerhalb kürzester Zeit mehrere Schritte parallel einleiten:

• Sofort die eigene Bank telefonisch und schriftlich über die verdächtige Transaktion informieren und einen SEPA Instant Recall beantragen
• Strafanzeige bei der Polizei erstatten – auch wenn die Erfolgsaussichten auf Täterermittlung gering erscheinen, ist die Anzeige oft Voraussetzung für spätere zivilrechtliche Schritte
• Kommunikation mit dem Anrufer, SMS-Verlauf und Kontoauszüge lückenlos dokumentieren
• Die 13-Monats-Ausschlussfrist aus § 676b Abs. 2 BGB im Blick behalten, innerhalb derer die nicht autorisierte Zahlung gegenüber der Bank gerügt werden muss
• Frühzeitig anwaltlichen Rat einholen, bevor die Bank eine grobe Fahrlässigkeit unterstellt

Wenn die Bank die Erstattung verweigert

In der Praxis lehnen Banken die Erstattung nach § 675u BGB häufig mit dem pauschalen Verweis auf grobe Fahrlässigkeit ab. Diese Position ist nicht automatisch berechtigt: Die Beweislast für grobe Fahrlässigkeit liegt bei der Bank, nicht beim Kunden. Ob im konkreten Fall ein Augenblicksversagen vorlag, ob die Warnhinweise der Bank ausreichend waren und ob eine VoP-Warnung unterblieben ist, sind Fragen, die im Einzelfall sorgfältig aufgearbeitet werden müssen. Ähnliche Haftungsfragen stellen sich auch bei anderen Formen der Bankhaftung bei Online-Trading-Betrug.

Auch die Schlussanträge des Generalanwalts Athanasios Rantos im Verfahren EuGH C-70/25 vom 5. März 2026 weisen in eine kundenfreundlichere Richtung: Danach soll eine Bank bei nicht autorisierter Zahlung zunächst unverzüglich erstatten müssen, während die Einwendung grober Fahrlässigkeit erst nachgelagert im Rückforderungsweg geprüft wird – Ausnahme nur bei begründetem Betrugsverdacht mit schriftlicher Behördenmeldung. Wichtig für die Einordnung: Es handelt sich nicht um ein Endurteil, sondern um die Meinungsäußerung des Generalanwalts, der der EuGH in der Praxis häufig, aber nicht zwingend folgt.

Abgrenzung zu anderen KI-gestützten Betrugsmaschen

Voice Cloning ist Teil einer breiteren Entwicklung, bei der künstliche Intelligenz klassische Betrugsmuster deutlich effektiver macht. Auch Deepfake-Videos von vermeintlichen Vorgesetzten oder Familienmitgliedern, personalisierte KI-Phishing-Mails ohne die früher üblichen Sprachfehler und gefälschte Investment-Chatbots folgen demselben Grundprinzip: Technische Perfektion soll das menschliche Misstrauen ausschalten. Rechtlich bleibt es bei der Täuschung eines Menschen nach § 263 StGB; ergänzend ist die Stimme als biometrisches, personenbezogenes Datum auch datenschutzrechtlich relevant (§ 42 BDSG).

Betroffene sollten sich vor Übertreibungen in der Berichterstattung hüten – nicht jeder verdächtige Anruf ist tatsächlich KI-generiert. Entscheidend für die rechtliche Bewertung ist ohnehin nicht die eingesetzte Technik, sondern die Frage, ob eine nicht autorisierte Zahlung vorliegt und wie die Bank auf die Situation reagiert hat. Wer unsicher ist, ob eine bestimmte Plattform oder ein Anrufer seriös war, findet weiterführende Einordnungen etwa in unserem Beitrag zum BGX AI Betrug. Auch bei etablierten Anbietern häufen sich betrugsähnliche Vorfälle, wie unser Beitrag zu N26 Bank Betrugsfällen zeigt.

Wenn das eigene Konto zur Weiterleitung genutzt wurde

In manchen Konstellationen werden Opfer eines Voice-Cloning-Anrufs nicht direkt zur TAN-Weitergabe, sondern zur Weiterleitung von Geldbeträgen über das eigene Konto gedrängt – etwa unter dem Vorwand, „gesichertes“ Geld auf ein „sicheres Konto“ zu transferieren. Wer hier unwissentlich zum Werkzeug der Täter wird, sollte die Risiken einer möglichen Geldwäsche-Verstrickung nach § 261 StGB kennen: Der Grundtatbestand erfordert Vorsatz, die Qualifikation nach § 261 Abs. 6 StGB genügt bereits Leichtfertigkeit. Wer sich in einer solchen Lage befindet, sollte frühzeitig anwaltlichen Rat einholen. Mehr dazu in unserem Beitrag Finanzagent wider Willen.

Auch eine mögliche GwG-Kontosperre nach § 46 GwG betrifft in solchen Fällen regelmäßig nur die konkret gemeldete Transaktion, nicht das gesamte Konto dauerhaft. Eine Untersagung durch die FIU nach § 40 GwG ist rechtlich davon zu unterscheiden. Verwandte Konstellationen bei Fintech-Konten beschreiben wir in unserem Beitrag zu Solaris-Banking Phishing.

Nach Erstattung der Strafanzeige stellt sich für viele Betroffene die Frage, wie sie den Fortgang des Verfahrens verfolgen können. Als Verletzter im Sinne der Strafprozessordnung besteht ein Akteneinsichtsrecht nach § 406e StPO, das üblicherweise über einen Rechtsanwalt bei Darlegung eines berechtigten Interesses ausgeübt wird. Ein technischer Anwaltszwang wie im Zivilprozess besteht zwar nicht, in der Praxis ist die anwaltliche Vertretung jedoch der zuverlässigste Weg zu vollständiger Akteneinsicht und zur Wahrung eigener zivilrechtlicher Ansprüche parallel zum Strafverfahren.

Parallel zur strafrechtlichen Aufarbeitung sollte die zivilrechtliche Frist im Blick behalten werden: Der allgemeine Erstattungsanspruch aus § 675u BGB unterliegt der regelmäßigen Verjährung von drei Jahren nach §§ 195, 199 BGB, während die spezielle Rügefrist nach § 676b Abs. 2 BGB deutlich kürzer ist und separat beachtet werden muss.

Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht

Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.

FAQs – Häufig gestellte Fragen zu Voice Cloning Anruf Betrug