IBAN-Namens-Check übergangen: Wenn die Bank die Verification of Payee missachtet

Seit Oktober 2025 muss jede Bank bei einer Echtzeitüberweisung den Namen des Empfängers mit der IBAN abgleichen und bei einer Abweichung warnen – tut sie das nicht, kann eine Verification of Payee Bankhaftung entstehen.

Ein Klick, eine Überweisung, und binnen Sekunden ist das Geld auf einem fremden Konto: Echtzeitüberweisungen sind bequem, aber genau diese Geschwindigkeit machen sich Betrüger zunutze. Deshalb hat der europäische Gesetzgeber mit der Instant-Payments-Verordnung ein neues Schutzinstrument eingeführt, den sogenannten IBAN-Namens-Abgleich, auf Englisch Verification of Payee. Seit dem 9. Oktober 2025 muss jede Bank in der Eurozone vor Ausführung einer Echtzeitüberweisung prüfen, ob der eingegebene Empfängername tatsächlich zur eingegebenen IBAN passt, und den Kunden bei einer Abweichung ausdrücklich warnen.

Was aber passiert, wenn die Bank diesen Abgleich schlicht unterlässt oder die Warnung technisch nicht funktioniert – und der Kunde dadurch Geld an Betrüger überweist, die eine fremde IBAN mit einem falschen, vertrauenerweckenden Namen verknüpft haben? In diesem Beitrag ordnen wir ein, unter welchen Voraussetzungen in einem solchen Fall eine Verification of Payee Bankhaftung in Betracht kommt, wie sie sich von der Erstattungspflicht bei klassischen Phishing-Fällen unterscheidet und welche Schritte Betroffene jetzt gehen sollten.

Der Beitrag ordnet die aktuelle Rechtslage ein und grenzt sie bewusst von künftigen, noch nicht geltenden EU-Regelungen ab – Genauigkeit ist bei einem derart neuen Rechtsinstrument entscheidend.

Was ist die Verification of Payee und seit wann gilt sie?

Die Verification of Payee ist Teil der Verordnung (EU) 2024/886 zu Echtzeitüberweisungen (Instant-Payments-Verordnung), mit der die EU sichere und schnelle Euro-Zahlungen fördern wollte. Die Verordnung verpflichtet Banken und andere Kreditinstitute in mehreren Stufen: Seit dem 9. Januar 2025 müssen Banken in der Eurozone eingehende Echtzeitüberweisungen annehmen können, seit dem 9. Oktober 2025 müssen sie solche Zahlungen auch selbst versenden können – und genau zu diesem Stichtag ist auch die Pflicht zum IBAN-Namens-Abgleich verbindlich geworden.

Praktisch bedeutet das: Bevor eine Echtzeitüberweisung ausgeführt wird, vergleicht das System der überweisenden Bank den vom Kunden eingegebenen Empfängernamen mit dem Namen, der bei der Bank des Empfängers zur jeweiligen IBAN hinterlegt ist. Stimmen Name und IBAN nicht oder nur teilweise überein, muss die Bank den Kunden vor der endgültigen Bestätigung der Überweisung ausdrücklich auf die Abweichung hinweisen. Der Kunde entscheidet dann, ob er die Zahlung trotz der Warnung fortsetzt oder abbricht – die Warnung selbst darf aber nicht ausbleiben.

Wie läuft der IBAN-Namens-Abgleich in der Praxis ab?

Der Abgleich läuft im Hintergrund automatisiert zwischen den beteiligten Banken ab und dauert in der Regel nur wenige Sekunden. Grundsätzlich unterscheidet die Praxis drei mögliche Rückmeldungen an den Kunden.

• Übereinstimmung: Name und IBAN passen zusammen, die Überweisung kann ohne besonderen Hinweis ausgeführt werden.
• Nahe Übereinstimmung: Der Name weicht nur geringfügig ab (etwa Tippfehler, abgekürzter Vorname), die Bank zeigt den beim Empfänger tatsächlich hinterlegten Namen zur Kontrolle an.
• Keine Übereinstimmung: Name und IBAN passen erkennbar nicht zusammen, die Bank muss ausdrücklich vor einem möglichen Irrtum oder Betrug warnen.

Genau bei der dritten Konstellation setzt der Schutzzweck der Regelung an: Betrüger, die etwa mit gefälschten Rechnungen oder als vermeintliche Bank- oder Behördenmitarbeiter auftreten, geben häufig eine IBAN an, die auf ein völlig anderes Konto lautet als den vorgegebenen Zahlungsempfänger. Ein funktionierender Abgleich hätte diesen Bruch offengelegt. Verwandte Maschen mit gefälschten Kontodaten haben wir bereits im Beitrag zu einer Rechnung mit gefälschter IBAN eingeordnet.

Wann entsteht eine Verification of Payee Bankhaftung beim übergangenen Namensabgleich?

Eine Verification of Payee Bankhaftung kommt dann in Betracht, wenn die Bank ihrer gesetzlichen Pflicht aus der Instant-Payments-Verordnung nicht nachkommt: Sie unterlässt den Abgleich vollständig, meldet fälschlich eine Übereinstimmung, obwohl technisch keine vorlag, oder zeigt dem Kunden die erforderliche Warnung aufgrund eines Systemfehlers gar nicht erst an. Führt der Kunde die Überweisung daraufhin in dem Glauben aus, an den korrekten Empfänger zu zahlen, und stellt sich später heraus, dass die IBAN einem Betrüger gehörte, liegt die Ursache des Schadens maßgeblich in der Pflichtverletzung der Bank.

Entscheidend ist dabei, dass die Bank die Prüfung und Warnung nachweisbar korrekt durchgeführt hat – oder eben nicht. Betroffene sollten sich daher frühzeitig eine schriftliche Auskunft der Bank über den Ablauf der konkreten Transaktion einholen, einschließlich der Frage, ob und welches Ergebnis der Namensabgleich im Hintergrund tatsächlich geliefert hat. Ähnliche Beweisfragen stellen sich, wenn eine Bank bei einem Online-Trading-Betrug ihre Prüfpflichten verletzt hat.

Autorisierte oder nicht autorisierte Zahlung – warum diese Unterscheidung über die Anspruchsgrundlage entscheidet

Bei klassischen Phishing-Fällen gibt der Kunde eine TAN heraus, ohne den tatsächlichen Überweisungsvorgang bewusst zu kennen oder zu wollen. Solche Zahlungen gelten rechtlich als nicht autorisiert, und der Bankkunde hat dem Grunde nach einen Erstattungsanspruch aus § 675u BGB. Die Bank kann dem allenfalls entgegenhalten, der Kunde habe grob fahrlässig gehandelt (§ 675v BGB) – wobei sie diese grobe Fahrlässigkeit im Streitfall beweisen muss.

Der hier beschriebene Fall liegt anders: Der Kunde gibt selbst und bewusst den Überweisungsauftrag ein, er will genau diese Zahlung ausführen – nur eben in der irrigen Annahme, sein Geld gehe an den vorgesehenen Empfänger. Die Zahlung ist damit rechtlich autorisiert, § 675u BGB greift deshalb nicht unmittelbar. Der Anspruch gegen die Bank stützt sich hier vielmehr auf die Verletzung einer eigenständigen vertraglichen Pflicht aus dem Zahlungsdiensterahmenvertrag, konkretisiert durch die Instant-Payments-Verordnung, über § 280 Abs. 1 BGB. Diese Unterscheidung ist der Kern der Anspruchsprüfung und muss in jedem Schreiben an die Bank sauber herausgearbeitet werden.

Rechtsgrundlagen im Überblick: Vertragspflicht, Beweislast und Verjährung

Da die Haftung aus einer Verletzung des Zahlungsdiensterahmenvertrags folgt und nicht aus § 675u BGB, gilt für die Geltendmachung auch nicht die 13-monatige Ausschlussfrist des § 676b Abs. 2 BGB, die speziell für die Rüge nicht autorisierter oder fehlerhaft ausgeführter Zahlungen konzipiert ist. Stattdessen greift die reguläre Verjährung vertraglicher Schadensersatzansprüche: die dreijährige Regelfrist der §§ 195, 199 BGB und die kenntnisunabhängige Höchstfrist von zehn Jahren ab Entstehung des Anspruchs beziehungsweise dreißig Jahren ab dem schädigenden Ereignis nach § 199 Abs. 3 BGB.

Für den Nachweis der Pflichtverletzung trägt der Kunde grundsätzlich die Beweislast, die Bank ist der Sache nach aber in einer besonderen Position: Sie verfügt über die technischen Protokolle des Namensabgleichs, der Kunde in der Regel nicht. In der Praxis empfiehlt es sich deshalb, die Bank förmlich zur Vorlage der internen Prüfprotokolle aufzufordern, bevor eine gerichtliche Auseinandersetzung erwogen wird. Auf eine ähnliche Verantwortungsverteilung stützt sich auch die Argumentation bei Kryptobetrug und Bankhaftung, wo Banken ebenfalls über bessere Erkenntnismöglichkeiten verfügen als der Geschädigte.

Mitverschulden: Wann eine erfolgte Warnung dem Anspruch entgegensteht

Nicht jede Verification-of-Payee-Bankhaftung ist automatisch gegeben. Hat die Bank ihre Pflicht korrekt erfüllt und den Kunden ausdrücklich vor der Abweichung zwischen Name und IBAN gewarnt, überweist der Kunde die Summe aber dennoch – etwa weil er der Warnung keine Bedeutung beimisst oder von einem Betrüger am Telefon zur Ignoranz der Meldung angeleitet wird –, verschiebt sich die Bewertung erheblich zulasten des Kunden. Ein solches Verhalten kann als Mitverschulden gewertet werden und den Anspruch mindern oder ganz ausschließen.

Die Wertung ähnelt der Rechtsprechung des Bundesgerichtshofs zum sogenannten Augenblicksversagen bei Phishing-Fällen: Reagiert der Kunde unter akutem Zeitdruck und Täuschungsdruck spontan falsch, kann das anders zu bewerten sein als eine bewusste, überlegte Entscheidung gegen eine klare Warnung. Gerade bei Social-Engineering-Maschen setzen Täter gezielt auf psychologischen Druck, um genau diese Warnungen zu entkräften – ein Umstand, der bei der rechtlichen Bewertung des Einzelfalls zu berücksichtigen ist.

Was tun nach einer Betrugsüberweisung mit übergangenem IBAN-Namens-Check?

Wer feststellt, dass eine Überweisung an einen Betrüger ging, obwohl die Bank den Namensabgleich hätte durchführen müssen, sollte zügig und strukturiert vorgehen.

• Bank unverzüglich schriftlich informieren und um sofortige Prüfung eines SEPA Instant Recall bitten – dieser ist ein Kulanzverfahren ohne eigenen Rechtsanspruch auf Rückbuchung, aber der schnellste erste Schritt.
• Schriftliche Auskunft verlangen, ob und mit welchem Ergebnis der IBAN-Namens-Abgleich bei dieser konkreten Transaktion durchgeführt wurde.
• Strafanzeige bei der Polizei stellen, um eine Kontenverfolgung und gegebenenfalls einen Vermögensarrest beim Empfängerkonto zu ermöglichen.
• Sämtliche Kommunikation mit dem vermeintlichen Zahlungsempfänger sichern, insbesondere Rechnungen, E-Mails und Chatverläufe.
• Anwaltlich prüfen lassen, ob ein Schadensersatzanspruch gegen die eigene Bank aus § 280 Abs. 1 BGB wegen Verletzung der Verification-of-Payee-Pflicht besteht.

Ähnliche Sofortmaßnahmen gelten unabhängig davon, ob die gefälschte IBAN über eine manipulierte Rechnung, eine gefälschte Bank-E-Mail wie im Fall des BW-Bank-Phishings oder über eine gefälschte SMS ins Spiel kam.

Ausblick: PSD3, PSR und die künftige Haftung für autorisierte Betrugszahlungen

Der europäische Gesetzgeber hat erkannt, dass Betrugsmaschen zunehmend so gestaltet sind, dass Kunden Überweisungen formal autorisiert selbst auslösen, obwohl sie getäuscht wurden. Mit der Zahlungsdiensterichtlinie PSD3 und der begleitenden Zahlungsdiensteverordnung PSR ist deshalb ein weiterer Paradigmenwechsel vorgesehen: Nach Art. 59 des PSR-Entwurfs sollen Banken künftig auch für autorisierte, aber betrügerisch veranlasste Zahlungen haften können, insbesondere bei Call-ID-Spoofing-Fällen. Rat und Parlament haben sich politisch am 27. November 2025 geeinigt, die endgültigen Kompromisstexte veröffentlichte der Rat der EU am 23. April 2026; die Veröffentlichung im Amtsblatt und die anschließende Übergangsfrist stehen zum jetzigen Zeitpunkt noch aus.

Wichtig für Betroffene heute: Diese künftige, weitreichendere Haftung gilt noch nicht. Wer aktuell Opfer einer Betrugsüberweisung mit übergangenem IBAN-Namens-Check wird, muss seinen Anspruch nach geltendem Recht über § 280 Abs. 1 BGB in Verbindung mit der bereits geltenden Instant-Payments-Verordnung geltend machen – die zusätzliche Schutzwirkung der PSD3/PSR-Reform kommt frühestens für künftige Fälle nach deren Inkrafttreten zum Tragen. Auch bei vermeintlich ähnlichen Fällen wie einem Hanseatic-Bank-Phishing lohnt daher stets eine genaue Prüfung, welche Rechtsgrundlage im konkreten Einzelfall tatsächlich greift.

Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht

Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.

FAQs – Häufig gestellte Fragen zu dem übergangenen IBAN-Namens-Check