Session-Hijacking im Online-Banking: Wenn Angreifer die Sitzung kapern
Wenn ein Angriff auf das Session Hijacking Online-Banking gelingt, ist die Zwei-Faktor-Sicherung längst umgangen, bevor die Bank überhaupt etwas bemerkt.
Beim Session Hijacking Online-Banking übernehmen Angreifer keine Zugangsdaten, sondern eine bereits authentifizierte Sitzung. Die Kundin oder der Kunde hat sich korrekt eingeloggt, die Zwei-Faktor-Authentifizierung erfolgreich durchlaufen – und trotzdem verschieben Kriminelle im Hintergrund Geld vom Konto. Für Betroffene fühlt sich das oft wie ein Widerspruch an: Alle Sicherheitsschritte wurden befolgt, und dennoch ist das Konto leer.
Zu diesem Thema haben wir bereits in einem früheren Beitrag zum Session-Hijacking im Online-Banking die technischen Grundlagen erläutert. Dieser Beitrag setzt den Schwerpunkt anders: Wir ordnen den Angriff in die Rechtslage des Jahres 2026 ein, differenzieren zwischen dem heute geltenden Recht nach §§ 675u, 675v BGB und den erst künftig greifenden Regeln aus PSD3 und PSR, und zeigen, welche Beweise nach einem Session Hijacking Online-Banking Vorfall zählen.
Sie erfahren, wie der Angriff technisch abläuft, warum die Zwei-Faktor-Authentifizierung ihn nicht verhindert, wie die Beweislast zwischen Bank und Kundschaft verteilt ist und welche neuen Schutzmechanismen wie die Verification of Payee bereits heute greifen.
Wir prüfen, ob die gekaperte Sitzung eine nicht autorisierte Zahlung begründet und welche Erstattung Ihnen zusteht. Jetzt unverbindlich Kontakt aufnehmen.
Was Session-Hijacking beim Online-Banking bedeutet
Session-Hijacking beschreibt die Übernahme einer bereits laufenden, authentifizierten Sitzung – nicht den Diebstahl von Passwort oder TAN. Der Angreifer erbeutet das Session-Token, also den digitalen Schlüssel, den der Browser nach erfolgreichem Login und erfolgreicher Zwei-Faktor-Prüfung erhält. Mit diesem Token kann er sich als die legitime Nutzerin oder der legitime Nutzer ausgeben, ohne selbst Zugangsdaten zu kennen. Diese Angriffsform unterscheidet sich vom klassischen Account Takeover beim Online-Banking, bei dem meist vollständige Zugangsdaten gestohlen und für einen eigenständigen Login missbraucht werden.
Der entscheidende Unterschied zum klassischen Phishing liegt im Zeitpunkt des Zugriffs: Beim Session Hijacking Online-Banking greift der Täter erst zu, nachdem die Authentifizierung bereits abgeschlossen ist. Die Bank sieht technisch eine gültige, bereits geprüfte Sitzung – und genau das macht die zivilrechtliche Bewertung anspruchsvoll.
Der technische Ablauf eines Angriffs
Typischerweise beginnt der Angriff mit einer Phishing-Seite, die als Reverse-Proxy zwischen Kundin oder Kunde und der echten Banking-Plattform geschaltet ist (Adversary-in-the-Middle). Während die Nutzerin sich ganz normal einloggt und die Zwei-Faktor-Abfrage bestätigt, leitet der Proxy sämtliche Daten in Echtzeit weiter und fängt dabei das ausgestellte Session-Cookie ab. Alternativ gelangt Infostealer-Malware auf das Endgerät und liest gespeicherte Session-Token direkt aus dem Browser aus.
- Reverse-Proxy-Phishing-Kits, die Login und Zwei-Faktor-Bestätigung live durchreichen
- Infostealer-Malware, die Session-Cookies aus dem Browser-Speicher ausliest
- Bösartige Browser-Erweiterungen mit Zugriff auf aktive Sitzungen
- Manipulierte öffentliche WLAN-Netze zum Abfangen des Datenverkehrs
Warum die Zwei-Faktor-Authentifizierung den Angriff nicht verhindert
Die Zwei-Faktor-Authentifizierung sichert den Moment des Logins ab, nicht die gesamte anschließende Sitzung. Ist das Session-Token einmal in fremden Händen, benötigt der Angreifer keine weitere TAN mehr – er handelt innerhalb der bereits freigegebenen Sitzung. Banken versuchen dem mit kürzeren Sitzungsdauern, Geräte-Fingerprinting und erneuter Transaktionsfreigabe bei ungewöhnlichen Überweisungen zu begegnen, doch technisch versierte Angreifer passen ihre Methoden entsprechend an.
Eng verwandt ist die sogenannte MFA-Fatigue, bei der Opfer mit wiederholten Push-Benachrichtigungen so lange bombardiert werden, bis eine versehentlich bestätigt wird. Über die technischen und psychologischen Muster dahinter berichten wir ausführlich in unserem Beitrag zu den KI-gestützten Betrugsmaschen im Online-Banking.
Die heute geltende Rechtslage: §§ 675u und 675v BGB
Wird eine Überweisung durch eine gekaperte Sitzung ausgelöst, hat die Kundin oder der Kunde die Zahlung selbst nicht autorisiert. Der Erstattungsanspruch dem Grunde nach ergibt sich aus § 675u BGB (Gesetzestext): Die Bank muss den Betrag grundsätzlich unverzüglich erstatten. Session-Hijacking ändert daran nichts, denn eine Autorisierung setzt eine bewusste Freigabe durch die berechtigte Person voraus, und die fehlt bei einem gekaperten Token.
Die Bank kann sich dem Erstattungsanspruch nur entgegenstellen, wenn sie grobe Fahrlässigkeit nach § 675v BGB (Gesetzestext) nachweist – etwa unzureichend gesicherte Endgeräte oder ein sorgloser Umgang mit offensichtlich verdächtigen Links. Die Beweislast für diese grobe Fahrlässigkeit trägt die Bank, nicht die geschädigte Person. Eine pauschale Verweigerung der Erstattung mit dem Argument, die Zwei-Faktor-Authentifizierung sei ja durchlaufen worden, genügt dafür nicht.
Als erfahrene Anwälte im Bank- und Kapitalmarktrecht helfen wir Ihnen, die Vorgehensweise der Betrüger rechtlich einzuordnen und konkrete Schritte zur Rückforderung Ihrer Gelder einzuleiten. Kontaktieren Sie uns jederzeit für ein unverbindliches Erstgespräch.
BGH XI ZR 107/24: Wann grobe Fahrlässigkeit tatsächlich vorliegt
Der BGH XI ZR 107/24 (Urteil vom 22.07.2025) betraf zwar einen klassischen Phishing-Fall mit Call-ID-Spoofing und nicht unmittelbar Session-Hijacking, ist für die Bewertung der groben Fahrlässigkeit aber richtungsweisend. Die Klägerin hatte TANs preisgegeben, verlor den Prozess jedoch, weil sie am Folgetag – nach ausreichend Bedenkzeit – erneut TANs herausgab. Der BGH bejahte grobe Fahrlässigkeit gerade wegen dieser wiederholten Freigabe ohne erkennbaren Zeitdruck. Umgekehrt kann ein sogenanntes Augenblicksversagen im Einzelfall grobe Fahrlässigkeit ausschließen, wenn die Situation überraschend kam und keine Zeit zum Nachdenken blieb. Näheres zur Verteilung der Beweislast lesen Sie in unserem Beitrag zur Beweislast beim Online-Banking-Missbrauch.
Wichtig ist zudem die Frist für die Geltendmachung: Nicht autorisierte Zahlungen müssen innerhalb der 13-monatigen Ausschlussfrist des § 676b Abs. 2 BGB gerügt werden. Wer den Vorfall zu spät meldet, verliert seinen Erstattungsanspruch unabhängig davon, wie eindeutig das Session-Hijacking belegt ist.
Verification of Payee und Instant Payments als neue Schutzmechanismen
Seit dem 09.10.2025 ist der Verification of Payee-Abgleich (IBAN-Namensprüfung) für Euro-Echtzeitüberweisungen in der EU verpflichtend, geregelt in der Verordnung (EU) 2024/886 zu Instant Payments. Weicht der eingegebene Empfängername vom tatsächlichen Kontoinhaber ab, muss die Bank vor Ausführung warnen. Unterlässt sie diese Warnung und wird der Auftrag – etwa durch eine über die gekaperte Sitzung manipulierte Überweisungsmaske – dennoch ausgeführt, kommt eine eigene Haftung der Bank für den entstandenen Schaden in Betracht.
Die Kehrseite: Seit dem 09.10.2025 besteht auch die Pflicht der Banken, Echtzeitüberweisungen zu versenden, sodass Gelder aus einem Session Hijacking Online-Banking Angriff oft binnen Sekunden unwiederbringlich beim Empfänger landen. Eine Rückholung ist dann nur über den SEPA Instant Recall möglich – ein Kulanz- und Mitwirkungsverfahren zwischen den beteiligten Banken, auf das kein Rechtsanspruch besteht.
PSD3 und PSR: Die künftige Bankhaftung bei betrügerisch veranlassten Zahlungen
Auf EU-Ebene zeichnet sich mit PSD3 und der begleitenden PSR (Payment Services Regulation) ein Paradigmenwechsel ab. Nach der politischen Einigung von Rat und Parlament am 27.11.2025 und der finalen Trilog-Einigung vom 23.04.2026 sieht Art. 59 PSR-Entwurf vor, dass Banken und Zahlungsinstitute künftig auch für autorisierte, aber durch Täuschung veranlasste Zahlungen haften sollen – insbesondere bei Call-ID-Spoofing. Für das eigentliche Session-Hijacking, bei dem ohnehin schon keine wirksame Autorisierung vorliegt, bleibt die heutige Erstattungspflicht nach § 675u BGB der zentrale Ansatzpunkt; die künftigen PSR-Regeln würden vor allem die davon zu unterscheidenden Fälle einer täuschungsbedingt selbst ausgeführten Überweisung betreffen. Details zum aktuellen Stand der Bankenhaftung finden Sie in unserem Beitrag zu den PSD2-Haftungsregeln für Bankkunden.
Wichtig für Betroffene: PSD3 und PSR sind nach der Trilog-Einigung noch nicht in Kraft, die Veröffentlichung im Amtsblatt und die anschließende Übergangsfrist stehen noch aus. Wer heute Opfer eines Session Hijacking Online-Banking Angriffs wird, muss seinen Anspruch auf Grundlage der geltenden §§ 675u, 675v BGB durchsetzen – nicht auf Basis einer erst künftig geltenden Regelung.
Beweissicherung und richtiges Vorgehen nach dem Angriff
Nach der Feststellung unautorisierter Abbuchungen zählt jede Stunde. Die Bank ist unverzüglich zu informieren, damit sie den Zugang sperrt und – soweit möglich – die Ausführung weiterer Aufträge stoppt. Parallel sollten Screenshots der Kontobewegungen, eingehende Benachrichtigungen und verdächtige E-Mails oder SMS gesichert werden, bevor Geräte bereinigt oder zurückgesetzt werden. Konkrete Sofortmaßnahmen haben wir in unserem Beitrag Online-Banking gehackt – was tun? zusammengestellt.
- Bank telefonisch und schriftlich über den Vorfall informieren, Konto sperren lassen
- Beweise sichern: Screenshots, Log-Dateien, E-Mail-Header, betroffene Endgeräte nicht sofort löschen
- Strafanzeige bei der Polizei erstatten, Aktenzeichen notieren
- Anwaltliche Vertretung einschalten, bevor die 13-Monats-Frist des § 676b Abs. 2 BGB läuft
Strafanzeige, Akteneinsicht und Rückforderung der Gelder
Strafrechtlich kommt bei Session-Hijacking regelmäßig ein Zusammenspiel aus § 263 StGB (Betrug gegenüber der ausführenden Bank) und § 263a StGB (Computerbetrug durch Manipulation der Sitzungsdaten) in Betracht. Als Verletzte oder Verletzter steht Ihnen über einen Rechtsanwalt Akteneinsicht nach § 406e StPO zu, um die Kontobewegungen der Täter, Empfängerkonten und mögliche Finanzagenten nachzuverfolgen. Diese Informationen sind für die zivilrechtliche Rückforderung oft entscheidend. Wie Betroffene ihre Rechte nach Phishing- und Übernahmeangriffen durchsetzen, erläutern wir in unserem Beitrag zu den Rechten von Phishing-Opfern.
Wer nach einem Session Hijacking Online-Banking Vorfall unsicher ist, ob die Bank zu Recht die Erstattung verweigert, sollte die Ablehnung nicht kommentarlos hinnehmen. Zwischen einer berechtigten Berufung auf grobe Fahrlässigkeit und einer pauschalen, rechtlich nicht haltbaren Zurückweisung liegt in der Praxis oft nur eine genaue Prüfung der Kontobewegungen und der technischen Angriffsspuren. In unserem früheren Beitrag zum Session-Hijacking im Online-Banking finden Sie ergänzend die technischen Grundlagen zu Session-Cookies und Reverse-Proxy-Angriffen.
Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht
Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
FAQs – Häufig gestellte Fragen zu Session Hijacking Online-Banking
Was unterscheidet Session-Hijacking von klassischem Phishing?
Beim klassischen Phishing erbeuten Täter Zugangsdaten oder TANs, um sich selbst einzuloggen. Beim Session-Hijacking übernehmen sie eine bereits authentifizierte, laufende Sitzung über ein gestohlenes Session-Token – die Zwei-Faktor-Prüfung wurde bereits erfolgreich durchlaufen, bevor der Angriff greift.
Haftet meine Bank auch, wenn ich die Zwei-Faktor-Authentifizierung korrekt durchgeführt habe?
Ja. Die Autorisierung einer Zahlung setzt eine bewusste Freigabe durch die berechtigte Person voraus. Wurde die Sitzung nach erfolgreicher Zwei-Faktor-Prüfung gekapert, liegt eine nicht autorisierte Zahlung nach § 675u BGB vor, für die die Bank grundsätzlich erstattungspflichtig ist.
Wann kann die Bank die Erstattung wegen grober Fahrlässigkeit verweigern?
Nur wenn sie konkret nachweist, dass Sie erkennbar sorglos gehandelt haben – etwa durch wiederholte Preisgabe sensibler Daten trotz ausreichender Bedenkzeit. Die Beweislast dafür trägt die Bank, nicht die geschädigte Person.
Was bedeutet Verification of Payee für den Fall eines Session-Hijacking-Angriffs?
Seit 09.10.2025 muss die Bank bei Euro-Echtzeitüberweisungen den Empfängernamen mit der IBAN abgleichen. Weicht der Name ab und wird die Warnung ignoriert oder unterlassen, kann dies eine eigene Haftung der Bank für den entstandenen Schaden begründen.
Gilt die neue PSD3-Bankhaftung schon heute für Session-Hijacking-Fälle?
Nein. PSD3 und die PSR sind nach der Trilog-Einigung noch nicht in Kraft und stehen vor der Veröffentlichung im Amtsblatt samt Übergangsfrist. Aktuell gilt für nicht autorisierte Zahlungen weiterhin die Erstattungspflicht aus §§ 675u, 675v BGB.
Wie viel Zeit habe ich, um eine unautorisierte Abbuchung zu melden?
Die Ausschlussfrist beträgt 13 Monate ab Belastung des Kontos, geregelt in § 676b Abs. 2 BGB. Wird diese Frist versäumt, erlischt der Erstattungsanspruch unabhängig davon, wie eindeutig das Session-Hijacking nachweisbar ist.
Kann ich das Geld über eine Instant-Payment-Rückholung zurückerhalten?
Eine Rückholung ist über den SEPA Instant Recall möglich, jedoch nur als Kulanz- und Mitwirkungsverfahren zwischen den beteiligten Banken. Ein durchsetzbarer Rechtsanspruch auf Rückbuchung besteht dabei nicht, weshalb die zivilrechtliche Erstattung parallel verfolgt werden sollte.
Welche Straftatbestände sind bei Session-Hijacking einschlägig?
In Betracht kommen insbesondere Betrug nach § 263 StGB und Computerbetrug nach § 263a StGB, da die manipulierte Sitzungsdaten-Verarbeitung im Vordergrund steht. Die konkrete Einordnung hängt von der technischen Ausgestaltung des jeweiligen Angriffs ab.
Wie erhalte ich Einsicht in die Ermittlungsakte als Geschädigter?
Als Verletzte oder Verletzter können Sie über einen Rechtsanwalt Akteneinsicht nach § 406e StPO beantragen. Das ist wichtig, um Empfängerkonten, mögliche Finanzagenten und den Ablauf des Angriffs für die zivilrechtliche Rückforderung nachzuvollziehen.
Was sollte ich unmittelbar nach der Entdeckung eines Session-Hijacking-Angriffs tun?
Informieren Sie sofort Ihre Bank, lassen Sie den Zugang sperren und sichern Sie Beweise wie Screenshots, Log-Dateien und verdächtige Nachrichten. Erstatten Sie zeitnah Strafanzeige und lassen Sie die Erfolgsaussichten der Erstattung anwaltlich prüfen.
