Fake-Klimabeihilfe: Phishing mit angeblichen Staatszahlungen
Eine angebliche staatliche Sonderzahlung, ein Link zum Datenabgleich, und schon sind Bankdaten in fremden Händen: So funktioniert die neue Betrugsmasche.
Eine SMS oder E-Mail verspricht eine einmalige staatliche Klimabeihilfe von einigen hundert Euro, angeblich zur Entlastung bei steigenden Energiekosten. Um die Zahlung zu erhalten, soll ein Link angeklickt und dort ein Datenabgleich mit Kontodaten durchgeführt werden. Was nach einer plausiblen Verwaltungsleistung klingt, ist in Wahrheit eine gezielte Klimabeihilfe Phishing Staatszahlung Masche, mit der Betrüger an Zugangsdaten, TAN-Nummern und persönliche Informationen gelangen wollen.
Die Täuschung wirkt deshalb so überzeugend, weil sie an reale politische Debatten über Energiepreis- und Klimahilfen anknüpft und den Absender einer Behörde oder Bank imitiert. Wer dem Link folgt und Daten eingibt, riskiert nicht nur den Verlust von Geld, sondern auch einen Kontrollverlust über personenbezogene Daten mit eigenständigen rechtlichen Folgen.
Dieser Beitrag ordnet die Masche rechtlich ein: von der strafrechtlichen Bewertung über die Erstattungsansprüche gegenüber der Bank bis zu den Rechten, die Betroffenen bei einem Datenleck zustehen.
Wenn Sie eine Nachricht zur angeblichen Klimabeihilfe erhalten und bereits auf einen Link geklickt haben, zählt jede Stunde. Jetzt unverbindlich Kontakt aufnehmen.
Die Masche im Überblick: Wie die Klimabeihilfe Phishing Staatszahlung abläuft
Der Ablauf folgt einem festen Muster. Eine Nachricht, formal gehalten und mit Behörden- oder Banklogo versehen, kündigt eine bewilligte Klimabeihilfe an. Um die Auszahlung anzustoßen, müsse innerhalb kurzer Frist ein Datenabgleich über einen beigefügten Link erfolgen. Die verlinkte Seite ist täuschend echt gestaltet und fragt Name, Geburtsdatum, IBAN, Online-Banking-Zugangsdaten und teilweise sogar eine TAN ab. Wer diese Angaben macht, übermittelt sie direkt an die Täter.
- Absenderadresse imitiert eine Behörde, Bank oder ein Ministerium, weicht bei genauem Hinsehen aber von der echten Domain ab
- Formulierungen erzeugen Zeitdruck, etwa eine Frist von 24 bis 48 Stunden für den Datenabgleich
- Der Link führt auf eine gefälschte Seite außerhalb der offiziellen Behörden- oder Bank-Domain
- Es werden Zugangsdaten, PIN oder TAN abgefragt, die eine echte Behörde niemals verlangt
Warum diese Betrugsmasche so wirksam ist
Die Täter setzen auf das Vertrauen, das Bürgerinnen und Bürger staatlichen Institutionen entgegenbringen. Eine vermeintliche Klimabeihilfe knüpft an reale politische Diskussionen über Energiepreis- und Entlastungspakete an und wirkt dadurch plausibel. Ähnliche Mechanismen kennt man bereits aus anderen Bereichen, etwa bei Betrugsversuchen über Messenger-Dienste oder bei Phishing im Namen bekannter Banken: Der vertraute Absender senkt die Wachsamkeit, und der künstliche Zeitdruck verhindert eine ruhige Prüfung.
Zunehmend wird die Nachricht auch als Brief mit aufgedrucktem QR-Code verschickt, ein Vorgehen, das als Quishing bezeichnet wird. Der QR-Code führt auf dieselbe gefälschte Datenabgleich-Seite, umgeht dabei aber Spamfilter, die klassische Phishing-Links in E-Mails erkennen würden.
Rechtliche Einordnung: Betrug nach § 263 StGB
Strafrechtlich handelt es sich bei dieser Masche in erster Linie um einen Betrug nach § 263 StGB. Getäuscht wird ein Mensch, der auf der gefälschten Seite freiwillig Daten eingibt; § 263a StGB (Computerbetrug) betrifft dagegen die Manipulation eines Datenverarbeitungsvorgangs und ist allenfalls ergänzend heranzuziehen, nicht als Hauptnorm.
Ähnlich täuschend agieren Betrüger bei gefälschten Jobangeboten, bei denen ebenfalls ein amtlich wirkender Rahmen genutzt wird, um an Daten oder Vorabzahlungen zu gelangen. Wird die Klimabeihilfe-Nachricht zusätzlich telefonisch nachgefasst, etwa mit einer gefälschten Bank- oder Behördennummer, kommt strafrechtlich auch ein Verstoß gegen § 120 TKG (Call-ID-Spoofing) hinzu, verfolgt durch die Bundesnetzagentur.
Erstattungsanspruch nach § 675u BGB, wenn Bankdaten missbraucht werden
Nutzen die Täter erbeutete Zugangsdaten oder eine TAN, um eine Überweisung auszulösen, handelt es sich um eine nicht autorisierte Zahlung. Die Weitergabe der TAN auf der gefälschten Seite ist keine wirksame Autorisierung. Dem Grunde nach besteht deshalb ein Erstattungsanspruch nach § 675u BGB gegenüber der eigenen Bank, vergleichbar mit den Fällen, die auch bei Betrugsfällen bei Neobanken oder bei Phishing gegenüber klassischen Filialbanken auftreten.
Die Bank kann dem Erstattungsanspruch entgegenhalten, dass grobe Fahrlässigkeit nach § 675v BGB vorliegt; die Beweislast dafür trägt jedoch die Bank, nicht der Kunde. Bereits ausgeführte Überweisungen sind nach § 675p BGB grundsätzlich unwiderruflich, sodass die zivilrechtliche Erstattung über § 675u BGB der zentrale Hebel bleibt.
Wichtig ist die 13-Monats-Ausschlussfrist aus § 676b Abs. 2 BGB: Wird die nicht autorisierte Verfügung nicht innerhalb dieser Frist gegenüber der Bank angezeigt, kann der Erstattungsanspruch verloren gehen. Betroffene sollten die vermeintliche Klimabeihilfe-Nachricht daher unverzüglich der Bank melden, sobald ein Missbrauch bemerkt wird.
Als erfahrene Anwälte im Bank- und Kapitalmarktrecht helfen wir Ihnen, die Vorgehensweise der Betrüger rechtlich einzuordnen und konkrete Schritte zur Rückforderung Ihrer Gelder einzuleiten. Kontaktieren Sie uns jederzeit für ein unverbindliches Erstgespräch.
Augenblicksversagen oder grobe Fahrlässigkeit? Die Linie des BGH
Der Bundesgerichtshof hat sich mit der Frage befasst, wann die Weitergabe von TAN-Daten als grob fahrlässig gilt (BGH, Urteil vom 22. Juli 2025, Az. XI ZR 107/24). In dem entschiedenen Fall unterlag die Kundin, weil sie an einem Folgetag – nach ausreichender Bedenkzeit – erneut TANs preisgab. Der BGH bewertete dies als grobe Fahrlässigkeit, die dem Erstattungsanspruch entgegensteht.
Zugleich stellte der BGH klar, dass ein Augenblicksversagen für sich allein die grobe Fahrlässigkeit zwar nicht ausschließt, im Einzelfall aber zusammen mit weiteren Umständen dazu führen kann, dass der Schuldvorwurf unterhalb der groben Fahrlässigkeit bewertet wird, etwa wenn die Täuschung überraschend erfolgt und keine Zeit zum Nachdenken bleibt. Die Entscheidung stärkt Betroffene daher nicht pauschal, sondern verlangt eine differenzierte Betrachtung des jeweiligen Einzelfalls – wie sie auch bei anderen Phishing-Konstellationen vorzunehmen ist.
Der Blick nach Europa: PSD3, PSR und die Verification of Payee
Auf europäischer Ebene zeichnet sich eine Verschärfung der Bankenhaftung ab. Nach der politischen Einigung zu PSD3 und der Zahlungsdiensteverordnung PSR soll Art. 59 PSR-E künftig auch eine Haftung der Banken für autorisierte, aber betrügerisch veranlasste Zahlungen vorsehen, insbesondere bei Call-ID-Spoofing. Diese Regelung ist noch nicht in Kraft; nach heutiger Rechtslage gelten weiterhin § 675u BGB und § 675v BGB sowie die Linie des BGH.
Bereits geltendes Recht ist dagegen die Verification of Payee: Seit dem 9. Oktober 2025 ist der IBAN-Namensabgleich für Euro-Instant-Zahlungen verpflichtend. Weicht der eingegebene Name vom Kontoinhaber ab, muss die Bank warnen; unterbleibt die Warnung, kann sie für den daraus entstehenden Schaden haften. Für Betroffene der Klimabeihilfe Phishing Staatszahlung Masche kann dieser Mechanismus relevant werden, wenn eine Überweisung an ein fremdes Konto der Täter ausgelöst wurde.
Wenn persönliche Daten abgeflossen sind: Anspruch nach Art. 82 DSGVO
Wer auf der gefälschten Datenabgleich-Seite Name, Geburtsdatum, Anschrift oder Kontodaten eingegeben hat, hat unabhängig von einem finanziellen Schaden einen Kontrollverlust über personenbezogene Daten erlitten. Nach der Rechtsprechung des BGH ist bereits dieser Kontrollverlust ein ersatzfähiger immaterieller Schaden nach Art. 82 der Datenschutz-Grundverordnung (BGH, Urteil vom 18. November 2024, Az. VI ZR 10/24), mit einer Orientierungsgröße von rund 100 Euro für den reinen Kontrollverlust, mehr bei nachgewiesenen zusätzlichen Beeinträchtigungen.
Zusätzlich steht Betroffenen ein Auskunftsanspruch nach Art. 15 DSGVO zu, mit dem sich klären lässt, welche Stellen die Daten erhalten und weiterverarbeitet haben. Anders als der Erstattungsanspruch aus § 675u BGB betrifft dieser Datenschutzanspruch auch Fälle, in denen es zu keiner Zahlung, aber zu einem Datenabfluss gekommen ist.
Kontosperre und Geldwäscheprüfung nach dem Betrug
Fließt Geld über das eigene Konto oder wird eine verdächtige Transaktion erkannt, kann die Bank die Ausführung vorübergehend verweigern. Rechtsgrundlage dafür ist § 46 GwG, der eine vorübergehende Nichtdurchführung der einzelnen gemeldeten Transaktion erlaubt, keine pauschale Dauersperre des gesamten Kontos. Die zugrundeliegende Verdachtsmeldung erfolgt nach § 43 GwG, eine förmliche Untersagung kann die Zentralstelle für Finanztransaktionsuntersuchungen (FIU) nach § 40 GwG anordnen; das Tipping-off-Verbot aus § 47 GwG untersagt der Bank, Betroffene vorab über eine laufende Meldung zu informieren.
Wird das eigene Konto von den Tätern unwissentlich als Durchlaufstation genutzt, stellt sich zusätzlich die Frage einer Geldwäsche nach § 261 StGB. Der Grundtatbestand setzt Vorsatz voraus, die erweiterte Variante genügt sich bereits mit Leichtfertigkeit; wer selbst Opfer der Klimabeihilfe Phishing Staatszahlung Masche wurde und nicht wusste, dass sein Konto missbraucht wird, trägt damit ein anderes rechtliches Risiko als jemand, der bewusst ein Konto zur Verfügung stellt. Ähnliche Abgrenzungsfragen stellen sich, wenn im Nachgang eine Kontopfändung durch Gläubiger droht, weil Zahlungsflüsse ins Stocken geraten.
So schützen Sie sich vor der Klimabeihilfe Phishing Staatszahlung – und was jetzt zu tun ist
Eine echte staatliche Leistung wird niemals über einen Link mit Aufforderung zur Eingabe von TAN oder Online-Banking-Zugangsdaten ausgezahlt. Wer eine solche Nachricht erhält, sollte grundsätzlich misstrauisch sein und den Absender über einen unabhängig recherchierten Kontaktweg verifizieren, nicht über die in der Nachricht angegebenen Kontaktdaten.
- Links in unerwarteten Nachrichten zu angeblichen Staatszahlungen nicht anklicken
- Bei QR-Codes in Briefen oder Flyern besonders vorsichtig sein, da sie klassische Spamfilter umgehen können
- Niemals TAN, PIN oder Online-Banking-Zugangsdaten auf externen Seiten eingeben
- Absenderadresse und Domain der verlinkten Seite genau prüfen
- Bei Unsicherheit direkt bei der Bank oder Behörde über die offizielle Rufnummer nachfragen
Wer bereits Daten eingegeben oder eine Zahlung ausgelöst hat, sollte die Bank unverzüglich informieren, betroffene Zugänge sperren lassen und Beweise wie Screenshots und die Original-Nachricht sichern. Eine Strafanzeige bei der Polizei ist auch dann sinnvoll, wenn kein Geld abgeflossen ist, denn sie schafft die Grundlage für spätere Akteneinsicht nach § 406e StPO, die als Verletzte oder Verletzter über einen Rechtsanwalt beantragt werden kann.
Zivilrechtliche Ansprüche gegen die Bank oder aus Art. 82 DSGVO unterliegen der regelmäßigen Verjährungsfrist von drei Jahren (§§ 195, 199 BGB); die kenntnisunabhängige Höchstfrist für Schadensersatzansprüche beträgt zehn Jahre ab Entstehung des Anspruchs (§ 199 Abs. 3 S. 1 Nr. 1 BGB). Wer frühzeitig anwaltlich prüfen lässt, welche Ansprüche im konkreten Fall der Klimabeihilfe Phishing Staatszahlung Masche bestehen, sichert sich Beweise und Fristen, bevor Ansprüche verloren gehen.
Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht
Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
FAQs – Häufig gestellte Fragen zu Klimabeihilfe Phishing Staatszahlung
Was ist die Klimabeihilfe Phishing Staatszahlung Masche genau?
Betrüger versenden E-Mails, SMS oder Briefe mit QR-Code, die eine staatliche Klimabeihilfe ankündigen. Über einen Link soll ein angeblicher Datenabgleich erfolgen, bei dem tatsächlich Bankdaten, Zugangsdaten oder eine TAN abgegriffen werden. Es handelt sich um eine klassische Phishing-Variante mit staatlichem Anstrich.
Zahlt der Staat Klimabeihilfen wirklich über einen Link aus?
Nein. Staatliche Leistungen werden nicht über einen per SMS oder E-Mail zugesandten Link mit Aufforderung zur Eingabe von TAN oder Online-Banking-Zugangsdaten ausgezahlt. Jede Nachricht, die dies verlangt, ist als Betrugsversuch einzustufen.
Welche Straftat begeht, wer die Klimabeihilfe-Nachricht verschickt?
In erster Linie handelt es sich um Betrug nach § 263 StGB, weil ein Mensch getäuscht wird und Daten preisgibt. § 263a StGB kann ergänzend hinzukommen, ist aber nicht die zentrale Norm. Bei Anrufen mit gefälschter Rufnummer kommt zusätzlich ein Verstoß gegen § 120 TKG in Betracht.
Habe ich Anspruch auf Erstattung, wenn eine Zahlung ausgelöst wurde?
Dem Grunde nach besteht ein Erstattungsanspruch nach § 675u BGB, da die Weitergabe der TAN keine wirksame Autorisierung darstellt. Die Bank kann grobe Fahrlässigkeit nach § 675v BGB einwenden, muss diese aber beweisen. Ein Augenblicksversagen kann grobe Fahrlässigkeit im Einzelfall ausschließen.
Wie lange habe ich Zeit, die Bank über den Betrug zu informieren?
Die nicht autorisierte Verfügung muss innerhalb von 13 Monaten nach § 676b Abs. 2 BGB gegenüber der Bank angezeigt werden, sonst kann der Erstattungsanspruch entfallen. In der Praxis sollte die Meldung deutlich früher erfolgen, idealerweise sofort nach Entdeckung.
Was bedeutet die Verification of Payee für Betroffene?
Seit dem 9. Oktober 2025 ist der IBAN-Namensabgleich bei Euro-Instant-Zahlungen verpflichtend. Weicht der eingegebene Name vom tatsächlichen Kontoinhaber ab, muss die Bank warnen. Unterlässt sie die Warnung, kann dies für die Haftungsfrage bei einer ausgelösten Betrugsüberweisung relevant werden.
Kann ich Schadensersatz verlangen, wenn nur meine Daten, aber kein Geld abgeflossen ist?
Ja. Bereits der Kontrollverlust über personenbezogene Daten ist nach der Rechtsprechung des BGH ein ersatzfähiger immaterieller Schaden nach Art. 82 DSGVO, mit einer Orientierungsgröße von rund 100 Euro. Zusätzlich besteht ein Auskunftsanspruch nach Art. 15 DSGVO.
Warum wurde mein Konto nach dem Betrugsversuch vorübergehend gesperrt?
Banken können eine einzelne verdächtige Transaktion nach § 46 GwG vorübergehend nicht ausführen, wenn eine Verdachtsmeldung nach § 43 GwG erfolgt ist. Eine dauerhafte Sperre des gesamten Kontos ist darüber allein nicht gedeckt; eine Untersagung kann nur die FIU nach § 40 GwG anordnen.
Sollte ich trotzdem Strafanzeige erstatten, wenn kein finanzieller Schaden entstanden ist?
Ja, eine Strafanzeige ist sinnvoll, weil sie die Grundlage für spätere Akteneinsicht nach § 406e StPO schafft und zur Strafverfolgung der Täter beiträgt. Auch bei reinem Datenabfluss ohne Zahlung dokumentiert die Anzeige den Vorfall rechtssicher.
Wie lange kann ich zivilrechtliche Ansprüche aus der Klimabeihilfe Phishing Staatszahlung Masche geltend machen?
Die regelmäßige Verjährungsfrist beträgt drei Jahre (§§ 195, 199 BGB), beginnend mit dem Schluss des Jahres der Kenntniserlangung. Für Schadensersatzansprüche gilt zusätzlich eine kenntnisunabhängige Höchstfrist von zehn Jahren ab Entstehung des Anspruchs nach § 199 Abs. 3 S. 1 Nr. 1 BGB.
