MFA-Fatigue: Wenn die Flut an Freigabe-Anfragen zur Falle wird

Wer nachts von Dutzenden Push-Anfragen geweckt wird, tippt irgendwann aus reiner Erschöpfung auf „Bestätigen” – genau darauf setzen die Täter beim Online-Banking-Betrug per MFA-Fatigue.

Die Mehrfaktor-Authentifizierung sollte Konten eigentlich sicherer machen. Genau dieses Prinzip drehen Kriminelle inzwischen um: Beim MFA Fatigue Push Betrug lösen Täter, die bereits Benutzername und Passwort erbeutet haben, in kurzer Folge zehn, zwanzig oder mehr Push-Freigaben auf dem Smartphone des Opfers aus. Wer um Mitternacht wiederholt aus dem Schlaf gerissen wird, verliert irgendwann die Geduld – und tippt auf „Zulassen”, nur um endlich Ruhe zu haben.

Genau dieser Moment der Erschöpfung ist der Angriffspunkt. Die Täter setzen nicht auf technische Raffinesse, sondern auf ein psychologisches Muster: Reizüberflutung, Ermüdung und die Hoffnung, die Störung möge einfach aufhören. In der IT-Sicherheitsbranche hat sich dafür der Begriff „Push-Bombing” etabliert, bei Betroffenen in Deutschland spricht man inzwischen von genau dieser Masche der Push-Freigabe-Ermüdung.

Für die Rechtslage ist entscheidend, dass eine erschöpfungsbedingte Freigabe rechtlich etwas völlig anderes ist als eine bewusste, informierte Autorisierung. Wir ordnen im Folgenden ein, welche Ansprüche bestehen, wie die aktuelle Rechtsprechung mit solchen Fällen umgeht und welche Schritte Betroffene nach einem erfolgreichen Angriff einleiten sollten.

Was ist MFA-Fatigue? Die Masche im Detail

Der klassische Ablauf beginnt meist nicht mit der Push-Flut selbst, sondern mit einem vorgelagerten Datendiebstahl. Zugangsdaten stammen aus geleakten Datenbanken, aus klassischem Phishing – wie es Betroffene etwa vom Commerzbank-Phishing kennen – oder aus Malware auf einem kompromittierten Gerät. Sobald die Täter Benutzername und Passwort besitzen, scheitern sie zunächst an der zweiten Sicherheitsstufe – der Push-Bestätigung auf dem Smartphone des Opfers.

Statt aufzugeben, lösen die Angreifer die Anmeldung erneut aus, wieder und wieder, oft automatisiert über Skripte oder ferngesteuerte Botnetz-Infrastruktur. Das Ergebnis ist eine Flut an Freigabe-Anfragen, die auf dem Sperrbildschirm des Opfers erscheint – oft nachts, oft im Minutentakt. Manche Täter kombinieren die Flut mit einem gefälschten Support-Anruf, in dem sie sich als IT-Abteilung der Bank ausgeben und um „einmalige Bestätigung zur Kontoprüfung” bitten.

Der eigentliche MFA Fatigue Push Betrug entsteht in dem Moment, in dem das Opfer eine der Anfragen bestätigt – sei es aus Erschöpfung, aus Verwirrung oder weil eine social-engineered Anfrage plausibel klang. Ab diesem Zeitpunkt haben die Täter vollen Zugriff auf Online-Banking, Broker-Depot oder Krypto-Wallet.

Warum Push-Fatigue so gut funktioniert

Sicherheitsforscher beschreiben das Prinzip als gezielte Ausnutzung menschlicher Aufmerksamkeitsgrenzen. Anders als bei einer klassischen Phishing-Mail, bei der ein Klick reicht, erfordert MFA-Fatigue keine gefälschte Website und keine perfekte Optik – nur Ausdauer. Studien zu Alarmmüdigkeit zeigen: Je häufiger ein Warnsignal wiederholt wird, desto schneller sinkt die Bereitschaft, es kritisch zu hinterfragen.

• Nächtliche Angriffszeiten erhöhen die Erschöpfung des Opfers zusätzlich.
• Kombination mit gefälschten Support-Anrufen erhöht die Plausibilität.
• Automatisierte Wiederholung macht die Masche für Täter praktisch kostenlos.
• Betroffen sind Online-Banking, Broker-Depots und Krypto-Exchanges gleichermaßen.

Für Betroffene fühlt sich die versehentliche Bestätigung im Nachhinein wie ein eigenes Versäumnis an. Rechtlich ist das jedoch nur die halbe Wahrheit – entscheidend ist, wie das Recht eine unter Erschöpfung erteilte Freigabe bewertet.

Push-Freigabe ist keine automatische Autorisierung – die Rechtslage nach § 675u BGB

Zentraler Ausgangspunkt für die zivilrechtliche Bewertung ist § 675u BGB. Danach hat der Zahlungsdienstleister bei einer nicht autorisierten Zahlung keinen Anspruch auf Erstattung seiner Aufwendungen gegen den Zahler und ist verpflichtet, den Zahlungsbetrag unverzüglich zu erstatten und das Konto wieder auf den Stand zu bringen, auf dem es sich ohne die Belastung befunden hätte. Die Kernfrage lautet also: War die Push-Bestätigung eine wirksame Autorisierung der Zahlung – oder nicht?

Nach der Rechtsprechung zu vergleichbaren TAN-Fällen ist die bloße technische Bestätigung eines Freigabe-Vorgangs allein noch keine wirksame Autorisierung im rechtlichen Sinne. Entscheidend ist, ob der Kontoinhaber tatsächlich eine bewusste, auf den konkreten Zahlungsvorgang bezogene Willenserklärung abgegeben hat. Bei einer aus Erschöpfung erteilten Push-Freigabe fehlt es häufig genau an diesem bewussten Bezug zur konkreten Transaktion.

Gegenüber steht der Bank die Möglichkeit, sich auf grobe Fahrlässigkeit des Kunden nach § 675v BGB zu berufen – mit der Folge, dass der Kunde den Schaden ganz oder teilweise selbst tragen muss. Die Beweislast für die grobe Fahrlässigkeit trägt dabei die Bank, nicht der Kunde.

Grobe Fahrlässigkeit und das Augenblicksversagen: die Lehren aus BGH XI ZR 107/24

Wie schmal der Grat zwischen entschuldbarem Fehlverhalten und grober Fahrlässigkeit sein kann, zeigt das Urteil des Bundesgerichtshofs vom 22.07.2025 (Az. XI ZR 107/24). In dem Fall hatte eine Kundin nach einem gefälschten Bank-Anruf (Call-ID-Spoofing) TANs für eine Echtzeitüberweisung über 35.555 Euro herausgegeben. Der BGH bestätigte zwar den Grundsatz, dass die TAN-Weitergabe keine wirksame Autorisierung darstellt – sah im konkreten Fall jedoch grobe Fahrlässigkeit als erwiesen an, weil die Kundin am Folgetag erneut TANs preisgab, also nach einer Bedenkzeit.

Für den MFA Fatigue Push Betrug ist diese Nuance entscheidend: Der BGH erkennt an, dass ein sogenanntes Augenblicksversagen – eine kurzfristige, überraschungsbedingte Fehlreaktion ohne echtes Reflexionszeitfenster – im Einzelfall grobe Fahrlässigkeit ausschließen kann. Wer um drei Uhr nachts nach der zwanzigsten Push-Anfrage in einem Zustand der Übermüdung bestätigt, befindet sich in einer völlig anderen Lage als jemand, der nach einer Nacht Bedenkzeit erneut kooperiert.

Die genaue zeitliche und situative Rekonstruktion des Vorfalls – wie viele Anfragen, über welchen Zeitraum, in welcher Verfassung – wird damit zum entscheidenden Faktor für den Ausgang eines Erstattungsstreits.

Der Blick nach Europa: EuGH-Verfahren C-70/25 und die geplante PSD3/PSR-Reform

Auch auf europäischer Ebene bewegt sich das Zahlungsdiensterecht in eine für Betroffene günstigere Richtung. Im Verfahren C-70/25 hat der Generalanwalt am 05.03.2026 seine Schlussanträge vorgelegt – noch kein Endurteil des EuGH, aber eine deutliche Tendenz: Die Bank soll bei einer nicht autorisierten Zahlung zunächst unverzüglich erstatten müssen; die Berufung auf grobe Fahrlässigkeit soll erst nachgelagert im Rahmen einer Rückforderung möglich sein, und auch dann nur bei begründetem Betrugsverdacht mit schriftlicher Meldung an die zuständige Behörde.

Parallel dazu haben sich Rat und Parlament am 27.11.2025 im Trilog politisch auf die neue PSD3-Richtlinie und die begleitende Zahlungsdiensteverordnung (PSR) geeinigt; die endgültigen Kompromisstexte veröffentlichte der Rat am 23.04.2026. Besonders relevant ist der geplante Art. 59 PSR-E: Er sieht erstmals eine Bankhaftung auch für autorisierte, aber betrügerisch veranlasste Zahlungen vor – etwa bei Call-ID-Spoofing. Wichtig für Betroffene heute: Diese künftige Regel gilt noch nicht unmittelbar, sondern erst nach Veröffentlichung im Amtsblatt und Ablauf der Übergangsfrist. Bis dahin bleibt die heutige Rechtslage aus §§ 675u, 675v BGB und der BGH-Rechtsprechung maßgeblich.

Verification of Payee und Instant Payments: neue Schutzmechanismen mit Tücken

Seit dem 09.10.2025 ist die Verification of Payee (VoP, IBAN-Namensabgleich) für Euro-Instant-Zahlungen EU-weit verpflichtend – ein Schutzmechanismus, der auch Kundinnen und Kunden von Fintech-Konten wie jenen hinter der Solaris-Banking-Plattform zugutekommen soll. Weicht der eingegebene Name vom tatsächlichen Kontoinhaber ab, muss die Bank den Zahler warnen. Unterlässt sie diese Warnung, kann sie für den daraus entstehenden Schaden haften – ein Argument, das bei einer über eine MFA-Fatigue-Freigabe ausgelösten Überweisung an ein Betrüger-Konto zusätzliches Gewicht haben kann.

Gleichzeitig gilt seit dem 09.10.2025 auch die Sendepflicht für Echtzeitüberweisungen. Das erhöht das Risiko für Opfer erheblich: Ist eine Push-Freigabe erst einmal erteilt, kann das Geld binnen Sekunden unwiederbringlich beim Empfänger sein. Der sogenannte SEPA Instant Recall ist lediglich ein Kulanz- und Mitwirkungsverfahren zwischen den beteiligten Banken – ein rechtlicher Anspruch auf Rückbuchung besteht dadurch nicht. Umso wichtiger ist die parallele zivilrechtliche Geltendmachung der Erstattungsansprüche.

Wenn das Geld weiterwandert: Geldwäsche, Finanzagenten und § 261 StGB

Nach einer erfolgreichen Freigabe fließt das Geld selten direkt zum Haupttäter, sondern zunächst über sogenannte Finanzagenten oder „Money Mules” – häufig selbst getäuschte Personen, die ihr Konto unwissentlich zur Verfügung stellen. Wer wissentlich oder leichtfertig ein Konto für solche Transaktionen bereitstellt, macht sich nach § 261 StGB der Geldwäsche strafbar; der Grundtatbestand erfordert Vorsatz, für die Variante nach § 261 Abs. 6 StGB genügt bereits Leichtfertigkeit.

Für Betroffene eines solchen Push-Bombing-Angriffs ist die Kontonachverfolgung ein zentraler Baustein der Rückforderung: Je schneller die Bank informiert wird, desto eher lässt sich eine Weiterleitung stoppen oder zumindest dokumentieren. Wurde die Sache bereits an spezialisierte vermeintliche „Recovery-Dienste” weitergereicht, drohen zudem sekundäre Betrugsversuche – seriöse Rückholung erfolgt ausschließlich über Bank, Strafverfolgung und anwaltliche Vertretung.

Strafanzeige, Akteneinsicht und Beweissicherung nach dem Angriff

Nach der Feststellung des unautorisierten Zugriffs sollte umgehend Strafanzeige wegen Betrugs (§ 263 StGB) gestellt werden – die Täuschung richtet sich in aller Regel an einen Menschen, nicht primär an ein Datenverarbeitungssystem, weshalb § 263 StGB und nicht § 263a StGB im Vordergrund steht. Parallel sollten sämtliche Push-Benachrichtigungen, Login-Protokolle und Kontobewegungen gesichert werden, bevor Apps zurückgesetzt oder Geräte neu eingerichtet werden.

Als Geschädigte oder Geschädigter steht Ihnen nach § 406e StPO ein Recht auf Akteneinsicht zu, in der Praxis meist über einen Rechtsanwalt bei Darlegung eines berechtigten Interesses. Für ergänzende Auskünfte gilt zudem § 475 StPO. Die Akteneinsicht liefert häufig wichtige Informationen zu den Empfängerkonten und dem weiteren Geldfluss, die für die zivilrechtliche Rückforderung gegenüber der eigenen Bank oder gegenüber Dritten von Bedeutung sind.

Verjährung: Wie viel Zeit bleibt für die Geltendmachung?

Für die Anzeige einer nicht autorisierten Zahlung gegenüber der Bank gilt eine 13-monatige Ausschlussfrist nach § 676b Abs. 2 BGB – wird sie versäumt, ist der Erstattungsanspruch grundsätzlich ausgeschlossen. Für zivilrechtliche Schadensersatzansprüche gegen den eigentlichen Täter gilt die regelmäßige Verjährungsfrist von drei Jahren nach § 195 BGB in Verbindung mit § 199 BGB, beginnend mit dem Schluss des Jahres der Kenntniserlangung. Unabhängig von der Kenntnis greift die kenntnisunabhängige Höchstfrist des § 199 Abs. 3 BGB: zehn Jahre ab Entstehung des Anspruchs beziehungsweise dreißig Jahre ab dem schädigenden Ereignis, je nachdem, welche Frist früher endet.

Wer nach einem solchen Vorfall zu lange abwartet, riskiert also gleich zwei Fristen gleichzeitig zu versäumen – die kurze Anzeigefrist gegenüber der Bank und im schlimmsten Fall auch Beweismittel, die mit der Zeit verloren gehen.

Was Betroffene jetzt konkret tun sollten

• Betroffenes Konto, Depot oder Wallet sofort sperren lassen und die Bank schriftlich über die nicht autorisierte Zahlung informieren.
• Push-Benachrichtigungen, Login-Historie, Zeitstempel und etwaige Anrufprotokolle als Beweise sichern.
• Strafanzeige bei der Polizei erstatten und um eine Bearbeitungsnummer für die spätere Akteneinsicht bitten.
• Passwörter und Zugangsdaten für alle betroffenen Dienste unverzüglich ändern und die MFA-Methode auf eine phishing-resistente Variante umstellen.
• Fristen im Blick behalten: die 13-Monats-Frist nach § 676b Abs. 2 BGB läuft unabhängig vom Fortgang des Strafverfahrens.

Gerade in der ersten Phase nach dem Vorfall entscheidet sich häufig, ob eine Erstattung gelingt oder ob die Bank erfolgreich grobe Fahrlässigkeit einwenden kann. Eine frühzeitige anwaltliche Einordnung des konkreten Geschehensablaufs – Anzahl der Anfragen, Tageszeit, begleitende Täuschungshandlungen – ist für die Erfolgsaussichten entscheidend.

Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht

Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.

FAQs – Häufig gestellte Fragen zu MFA Fatigue Push Betrug