Depot gehackt und Aktien verkauft: Haftung der Bank

Ein gehacktes Depot mit unautorisiert verkauften Aktien wirft sofort die Frage auf, wer für den Vermögensschaden haftet.

Der Blick ins Online-Depot am Morgen gleicht für viele Anleger einem Schock: Statt der gewohnten Aktienpositionen zeigt die Übersicht plötzlich leere Bestände, dafür aber ungewöhnliche Verkaufsorders und ein Kontostand, der längst nicht mehr dem entspricht, was eigentlich dort liegen sollte. Wurde das Depot gehackt und wurden Aktien gegen den Willen des Inhabers verkauft, stellt sich sofort die Frage nach der Verantwortung: Wer haftet für den entstandenen Schaden, wenn Kriminelle sich Zugang zum Depotkonto verschafft und Wertpapiere veräußert haben?

Anders als beim klassischen Phishing im Zahlungsverkehr, bei dem die gesetzlichen Erstattungsregeln für nicht autorisierte Überweisungen greifen, gilt für den Depotbereich ein eigenes rechtliches Regime. Wer glaubt, dass ein gehacktes Depot mit verkauften Aktien automatisch wie eine Phishing-Überweisung behandelt und ebenso schnell erstattet wird, irrt sich häufig – die Rechtslage ist komplexer und hängt entscheidend von der Frage ab, ob die Bank ihre Organisations- und Sicherungspflichten eingehalten hat.

Dieser Beitrag ordnet ein, welche Rechtsgrundlagen bei einem gehackten Depot mit unautorisiertem Aktienverkauf tatsächlich einschlägig sind, warum das Zahlungsdiensterecht hier nicht unmittelbar greift, welche Sorgfaltspflichten Banken beim Depotgeschäft treffen und wie Betroffene ihre Ansprüche in der Praxis durchsetzen können.

Depot gehackt Aktien verkauft: Ein wachsendes Problem für Anleger

Ein Depot gehackt Aktien-Fall beginnt für die meisten Betroffenen ohne jede Vorwarnung. Mit der zunehmenden Verlagerung des Wertpapierhandels auf Online-Broker und Banking-Apps ist auch das Risiko gestiegen, dass Kriminelle sich unbefugten Zugriff auf ein Depot verschaffen. Wird ein solches Depot gehackt und werden anschließend Aktien verkauft, geschieht dies meist in wenigen Minuten: Die Täter melden sich mit gestohlenen Zugangsdaten im Kundenportal an, verkaufen bestehende Positionen zum Marktpreis und veranlassen anschließend eine Auszahlung des Erlöses auf ein fremdes Konto, häufig im Ausland.

Für die betroffenen Anleger ist der Schaden dabei doppelt ärgerlich: Neben dem reinen Vermögensverlust geht häufig auch eine über Jahre aufgebaute, steuerlich optimierte Anlagestrategie verloren, weil die verkauften Positionen zu einem ungünstigen Zeitpunkt und ohne jede Rücksicht auf Haltefristen liquidiert wurden. Die betroffene Kanzlei stellt in der Beratungspraxis fest, dass ein Depot gehackt Aktien-Szenario längst kein Einzelfall mehr ist, sondern ein wiederkehrendes Muster, das eng mit den bekannten Maschen aus dem Beitrag zum N26 Bank Betrugsfälle verwandt ist.

Anders als bei einer unautorisierten Überweisung, bei der das Geld verschwindet, verschwinden hier zunächst Wertpapiere – erst der anschließende Zahlungsvorgang, mit dem der Verkaufserlös vom Verrechnungskonto abfließt, betrifft wieder das klassische Zahlungsdiensterecht. Diese Zweistufigkeit ist entscheidend für die richtige rechtliche Einordnung.

Wie Kriminelle Zugriff auf ein Wertpapierdepot erlangen

Der Weg zum unbefugten Depotzugriff führt in der überwiegenden Zahl der Fälle über klassisches Phishing: gefälschte E-Mails, SMS oder Anrufe, die vorgeben, von der Bank oder dem Broker zu stammen, und Kunden zur Eingabe von Login-Daten sowie TAN auf einer nachgebauten Seite verleiten. Auch das sogenannte Call-ID-Spoofing, bei dem eine echte Bank-Rufnummer vorgetäuscht wird, spielt eine wichtige Rolle – vergleichbare Muster finden sich im Beitrag Phishing-Alarm bei der Deutschen Bank.

• Gefälschte Sicherheitswarnungen mit Aufforderung zur sofortigen Neuanmeldung im Depot
• Schadsoftware oder manipulierte Apps, die Zugangsdaten und TAN-Eingaben im Hintergrund abfangen
• Session-Hijacking, bei dem eine bereits bestehende Anmeldesitzung übernommen wird
• Social Engineering per Telefon mit vorgeblicher Identität eines Bank- oder Broker-Mitarbeiters
• Wiederverwendete Passwörter aus anderen, bereits kompromittierten Diensten

Nach erfolgreichem Zugriff verkaufen die Täter zunächst die vorhandenen Aktienpositionen, um liquide Mittel auf dem Verrechnungskonto zu schaffen, und veranlassen anschließend eine Überweisung oder einen Kartenauftrag zulasten dieses Kontos. Diese zweite Stufe ähnelt dem klassischen Phishing-Erstattung-Bank-Fall, während die erste Stufe – der Verkauf der Wertpapiere selbst – rechtlich eigenständig zu bewerten ist.

Warum das Zahlungsdiensterecht bei Depot gehackt Aktien nicht greift

Wer sich nach einem Depot gehackt Aktien-Vorfall auf die Erstattungsregeln für nicht autorisierte Zahlungen nach § 675u BGB berufen möchte, stößt schnell an eine wichtige Grenze: Diese Vorschrift gilt für Zahlungsdienste im Sinne des Zahlungsdiensteaufsichtsgesetzes – also für Überweisungen, Lastschriften und Kartenzahlungen. Der Verkauf von Wertpapieren ist rechtlich kein Zahlungsvorgang, sondern ein wertpapierhandelsrechtliches Ausführungsgeschäft auf Grundlage des Depot- und Effektenvertrags.

Für den Vermögensschaden durch den unautorisierten Aktienverkauf selbst kann die verschuldensunabhängige Erstattung nach § 675u BGB deshalb nicht unmittelbar herangezogen werden – eine 1:1-Übertragung der zahlungsdiensterechtlichen Erstattungslogik auf den Depotbereich scheidet aus. Erst der zweite Schritt, die anschließende Auszahlung des Verkaufserlöses vom Verrechnungskonto, unterliegt wieder dem klassischen Zahlungsdiensterecht mit der 13-Monats-Ausschlussfrist aus § 676b Abs. 2 BGB.

Diese Unterscheidung ist für Betroffene keineswegs nur akademisch: Sie bestimmt, welche Anspruchsgrundlage für den eigentlichen Kernschaden – den Verlust der Aktienpositionen – überhaupt in Betracht kommt, und sie zeigt, warum ein Depot gehackt Aktien-Vorfall eine differenziertere rechtliche Prüfung erfordert als eine reine Phishing-Überweisung.

Haftung der Bank aus dem Depot- und Effektenvertrag

Die zentrale Anspruchsgrundlage bei einem Depot gehackt Aktien-Vorfall ist der Depot- und Effektenvertrag zwischen Kunde und Bank in Verbindung mit § 280 Abs. 1 BGB. Die Bank verpflichtet sich in diesem Vertragsverhältnis, Wertpapiere nur auf wirksame Weisung des Kunden zu verwalten und zu veräußern. Wird eine Verkaufsorder erteilt, die nicht vom Kunden selbst, sondern von einem unbefugten Dritten stammt, fehlt es an einer wirksamen Weisung – die Bank hat dann grundsätzlich vertragswidrig gehandelt, wenn sie den Verkauf dennoch ausführt.

Ob die Bank für den entstandenen Schaden haftet, hängt maßgeblich davon ab, ob sie ihre Sicherungs- und Prüfpflichten verletzt hat. Banken sind gehalten, Verkaufsaufträge nur nach ordnungsgemäßer Authentifizierung auszuführen und auffällige Transaktionsmuster – etwa den plötzlichen Komplettverkauf sämtlicher Depotpositionen kurz nach einer ungewöhnlichen Anmeldung – durch Betrugserkennungssysteme zu erfassen. Unterbleibt eine solche Prüfung, kann darin ein Organisationsverschulden liegen, das eine Schadensersatzpflicht der Bank begründet.

Anders als beim reinen Phishing im Zahlungsverkehr, wo die Beweislast für grobe Fahrlässigkeit klar der Bank auferlegt ist, existiert für den Depotbereich keine ebenso klare gesetzliche Beweislastregel. In der Praxis kommt es deshalb entscheidend darauf an, wie detailliert die Umstände der Anmeldung, der Auftragserteilung und der anschließenden Auszahlung rekonstruiert und dokumentiert werden können.

Organisationspflichten der Bank und die Frage der Autorisierung

Kreditinstitute unterliegen aufsichtsrechtlichen Organisationspflichten, die auch die IT-Sicherheit und den Schutz vor unbefugtem Depotzugriff umfassen. Dazu gehören mehrstufige Authentifizierungsverfahren, die laufende Überwachung ungewöhnlicher Transaktionsmuster sowie klare interne Prozesse für den Verdachtsfall. Werden diese Vorgaben nicht eingehalten, kann dies als Verletzung der aus dem Depotvertrag folgenden Sorgfaltspflichten gewertet werden und die Haftung der Bank für den Aktienverkauf begründen.

Die Autorisierung selbst ist bei Depot gehackt Aktien-Fällen differenziert zu betrachten: Die bloße Eingabe korrekter TAN oder Zugangsdaten durch einen Dritten stellt – ähnlich wie in der höchstrichterlichen Rechtsprechung zu klassischem Phishing anerkannt – keine wirksame Autorisierung durch den Kontoinhaber dar. Auf den Depotbereich übertragen bedeutet das: Wer nachweisen kann, dass er die Verkaufsorder nicht selbst erteilt hat, hat einen wichtigen ersten Baustein für die eigene Argumentation gewonnen, muss aber zusätzlich das Fehlverhalten der Bank auf Ebene der Vertragsverletzung darlegen.

Auch die Frage eines Mitverschuldens des Kunden spielt eine Rolle, etwa wenn TAN-Codes leichtfertig weitergegeben oder offensichtliche Warnhinweise ignoriert wurden. Wie stark ein solches Mitverschulden die Haftung der Bank mindert, hängt stets vom konkreten Einzelfall ab und erfordert eine sorgfältige Aufarbeitung des Geschehensablaufs.

Erste Schritte nach dem Hack: Sofortmaßnahmen und Beweissicherung

Wer feststellt, dass sein Depot gehackt wurde und Aktien ohne Zustimmung verkauft wurden, sollte umgehend handeln, um weiteren Schaden zu begrenzen und die eigene Beweisposition zu sichern. Zeitverzögerungen erschweren später die Rekonstruktion des Geschehens und können sich negativ auf die Erfolgsaussichten auswirken.

• Sofortige telefonische Sperrung des Depot- und Verrechnungskontos bei der Bank oder dem Broker
• Änderung sämtlicher Zugangsdaten, auch für verknüpfte E-Mail-Konten und Zwei-Faktor-Verfahren
• Sicherung von Transaktionshistorie, Login-Protokollen und Bestätigungs-E-Mails als Screenshot oder PDF
• Schriftliche Aufforderung an die Bank, die Vorgänge unverzüglich zu prüfen und den Schaden anzuerkennen
• Dokumentation des zeitlichen Ablaufs, insbesondere des Zeitpunkts der Entdeckung des unautorisierten Zugriffs

Betroffene sollten zudem vermeiden, vorschnelle Erklärungen gegenüber der Bank abzugeben, ohne zuvor rechtlichen Rat eingeholt zu haben. Formulierungen, die ein eigenes Verschulden nahelegen könnten, werden in der späteren Auseinandersetzung häufig gegen den Kunden verwendet – auch das ist ein Muster, das aus vergleichbaren Fällen des Hanseatic Bank Phishing bekannt ist.

Strafanzeige und Akteneinsicht als Geschädigter

Neben der zivilrechtlichen Auseinandersetzung mit der Bank sollten Betroffene eines gehackten Depots mit verkauften Aktien stets auch Strafanzeige erstatten. Der unbefugte Zugriff und die anschließende Verfügung über fremdes Vermögen erfüllen regelmäßig den Tatbestand des Computerbetrugs nach § 263a StGB, weil die Täter die erlangten Zugangsdaten unbefugt verwenden und dadurch unmittelbar den Datenverarbeitungsvorgang der Bank beeinflussen; der vorgelagerte Datenabgriff beim Kunden kann daneben als Betrug nach § 263 StGB oder als Ausspähen von Daten nach § 202a StGB zu bewerten sein.

Als Verletzte im strafrechtlichen Sinne steht Geschädigten ein Akteneinsichtsrecht nach § 406e StPO zu, das üblicherweise über einen Rechtsanwalt bei Darlegung eines berechtigten Interesses ausgeübt wird. Die aus den Ermittlungsakten gewonnenen Informationen – etwa zu IP-Adressen, verwendeten Empfängerkonten oder dem technischen Tathergang – sind häufig entscheidend, um die eigene zivilrechtliche Position gegenüber der Bank zu untermauern und ein mögliches Organisationsverschulden konkret zu belegen.

Wurde der Verkaufserlös anschließend über ein Konto eines sogenannten Finanzagenten weitergeleitet, sollten Geschädigte zudem wissen, dass unbeteiligte Dritte, die für eine solche Weiterleitung angeworben wurden, sich unter Umständen selbst nach dem Beitrag Finanzagent Geldwäsche strafbar wegen Geldwäsche verantworten müssen – für die eigene Beweisführung kann die Identifikation solcher Zwischenstationen wertvoll sein.

Verjährung: Wie lange können Sie Ansprüche geltend machen?

Für vertragliche Schadensersatzansprüche gegen die Bank aus § 280 Abs. 1 BGB gilt die regelmäßige Verjährungsfrist von drei Jahren gemäß §§ 195, 199 BGB. Diese Frist beginnt mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Geschädigte von den anspruchsbegründenden Umständen sowie der Person des Schuldners Kenntnis erlangt hat oder ohne grobe Fahrlässigkeit hätte erlangen müssen.

Unabhängig von dieser Kenntnis gilt zusätzlich eine kenntnisunabhängige Höchstfrist aus § 199 Abs. 3 BGB: zehn Jahre ab Entstehung des Anspruchs beziehungsweise dreißig Jahre ab dem schädigenden Ereignis, wobei jeweils die früher endende Frist maßgeblich ist. Wer den Verdacht hegt, dass sein Depot gehackt und Aktien unautorisiert verkauft wurden, sollte diese Fristen nicht auf die lange Bank schieben, sondern zeitnah anwaltlich prüfen lassen, welche Ansprüche bestehen.

Auch wenn strafrechtliche Ermittlungen noch laufen, hemmt dies die zivilrechtliche Verjährungsfrist gegenüber der Bank grundsätzlich nicht automatisch – ein zusätzlicher Grund, die eigenen Ansprüche parallel und unabhängig vom Fortgang des Strafverfahrens zu verfolgen.

Cybersicherheit der Bank: DORA, NIS-2 und aufsichtsrechtliche Pflichten

Seit dem 17. Januar 2025 gilt für Banken und andere Finanzunternehmen unmittelbar die Verordnung über digitale operationale Resilienz (DORA). Sie verpflichtet Institute zu einem strukturierten IKT-Risikomanagement, zur zeitnahen Meldung erheblicher IKT-Vorfälle sowie zu einem geordneten Umgang mit IT-Drittanbietern. Ein gehacktes Depot mit massenhaft verkauften Aktien kann, je nach Ausmaß, als meldepflichtiger Sicherheitsvorfall im Sinne dieser Verordnung einzustufen sein.

Für Banken gilt DORA nach Art. 4 der NIS-2-Richtlinie als lex specialis: Nach § 28 Abs. 6 BSIG sind DORA-regulierte Finanzunternehmen von den Vorschriften über IKT-Risikomanagement, Meldepflichten und Geschäftsleitungspflichten des BSIG ausdrücklich ausgenommen. Aus NIS-2 verbleiben für Institute im Wesentlichen formale Pflichten wie die Registrierung beim BSI; die Verantwortung der Geschäftsleitung folgt insoweit aus Art. 5 und 6 DORA.
Diese regulatorischen Vorgaben ersetzen zwar keine eigenständige zivilrechtliche Anspruchsgrundlage, liefern Betroffenen aber wichtige Anhaltspunkte dafür, welchen Sicherheitsstandard eine Bank im Depotgeschäft einzuhalten hat – und damit ein Argument, wenn es um die Frage eines Organisationsverschuldens geht.

Auch beim Umgang mit personenbezogenen Daten, die im Zuge des Hacks kompromittiert wurden, kann ein eigenständiger Anspruch entstehen: Nach der Rechtsprechung des Bundesgerichtshofs ist bereits der bloße Kontrollverlust über personenbezogene Daten infolge eines DSGVO-Verstoßes ein ersatzfähiger immaterieller Schaden nach Art. 82 DSGVO, mit einer Orientierungsgröße von etwa 100 Euro für reinen Kontrollverlust – bei nachgewiesenen zusätzlichen Ängsten und Sorgen kann der Betrag höher liegen.

Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht

Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.

FAQs – Häufig gestellte Fragen zu Depot gehackt Aktien