Social Engineering Betrug: Manipulation und Bankenhaftung

Wie Täter psychologische Manipulationstechniken einsetzen, um Bankkunden zu Zahlungen zu verleiten – und wann Banken für den Schaden haften müssen

Ein Anruf von einem angeblichen Bankmitarbeiter, der überzeugend von einer Sicherheitsgefährdung berichtet und darum bittet, schnell zu handeln. Ein fingierter IT-Techniker, der sich Zugang zum Computer verschafft, um „Viren zu entfernen“ – und dabei still das Online-Banking übernimmt. Eine E-Mail, die vorgibt, von der Geschäftsführung zu stammen, und den Buchhaltungsleiter zur sofortigen Ausführung einer Auslandszahlung anweist. Social Engineering Betrug ist kein technischer Angriff auf Software oder Systeme, sondern ein psychologischer Angriff auf Menschen. Und die Bankenhaftung in diesen Fällen ist ein Thema, das die Gerichte seit Jahren intensiv beschäftigt

Was ist Social Engineering Betrug? Grundprinzip und Psychologie

Social Engineering bezeichnet im Kontext des Betrugs den Einsatz psychologischer Manipulationsmethoden, um Personen dazu zu bringen, vertrauliche Informationen preiszugeben, Transaktionen auszuführen oder Zugangsdaten zu übermitteln. Im Unterschied zu technischen Angriffen setzt Social Engineering nicht auf Softwareschächen, sondern auf menschliche Verhaltensmuster.

Die Wirksamkeit dieser Methoden beruht auf wenigen psychologischen Grundprinzipien, die in der Verhaltenswissenschaft gut dokumentiert sind. Autorität wirkt, weil Menschen Anweisungen von scheinbaren Autoritäten – Bankmitarbeitenden, Polizeibeamten, IT-Technikern, Geschäftsführern – reflexartig Folge leisten. Zeitdruck wirkt, weil er kritisches Nachdenken unterbindet und die Tendenz fördert, schnell zu handeln, ohne die Situation vollständig zu analysieren. Vertraulichkeit wirkt, weil die Bitte, einen Vorgang geheimzuhalten, das Opfer daran hindert, andere um Rat zu fragen.

Täter trainieren diese Methoden systematisch und setzen sie in Kombination ein. Ein erfahrener Social Engineer kann in einem einzigen Telefongespräch mehrere dieser Mechanismen aktivieren und damit selbst skeptische Personen zu Handlungen bringen, die sie im normalen Kontext nie vornehmen würden.

Typische Social-Engineering-Maschen im Bankenbereich

Social Engineering tritt in vielen Varianten auf, die sich in ihrer Ausführung unterscheiden, aber alle dasselbe Ziel verfolgen: eine Zahlung zu veranlassen oder Zugangsdaten zu erlangen, mit denen anschließend Zahlungen ausgelöst werden können.

Falscher Bankmitarbeiter – Täter rufen als angebliche Sicherheitsmitarbeitende der Bank an und berichten von einer verdächtigen Transaktion oder einer Kontokompromittierung. Um das Konto zu sichern, soll das Opfer eine Testbuchung vornehmen, einen TAN-Code nennen oder Geld auf ein „sicheres“ Konto transferieren. Echte Bankmitarbeitende fragen niemals telefonisch nach TAN-Codes oder bitten um Überweisungen auf unbekannte Konten.

CEO-Fraud – In Unternehmen werden Mitarbeitende im Finanzbereich per E-Mail kontaktiert, die vorgibt, von der Geschäftsführung zu stammen. Die Nachricht enthält eine dringende Zahlungsanweisung – häufig im Zusammenhang mit einer angeblichen M&A-Transaktion, einer steuerlichen Angelegenheit oder einem Auftrag, der geheim bleiben müsse. Diese Masche richtet sich an Unternehmen jeder Größe und verursacht regelmäßig Schäden in sechsstelliger Höhe.

Falscher Polizeibeamter – Besonders ältere Menschen werden von angeblichen Kriminalbeamten angerufen, die behaupten, eine Einbrecherbande sei auf das Konto des Opfers aufmerksam geworden. Zur Sicherung der Gelder solle das Bargeld an einen „Vertrauensbeamten“ übergeben werden. Diese Masche ist trotz weitverbreiteter öffentlicher Aufklärung nach wie vor eine der ertragreichsten für organisierte Tätergruppen.

Remote-Access-Betrug – Täter geben sich als IT-Techniker aus, die auf dem Computer des Opfers Probleme festgestellt hätten. Sie bringen das Opfer dazu, ein Fernzugriffsprogramm zu installieren, und übernehmen dann die Kontrolle über den Browser. Mit dem nun sichtbaren Online-Banking lösen sie eigenständig Transaktionen aus, während sie das Opfer mit einem harmlosen Gespräch ablenken.

Alle diese Maschen haben eines gemeinsam: Das Opfer handelt in dem Glauben, das Richtige zu tun. Das unterscheidet Social Engineering fundamental von einer einfachen Unachtsamkeit und ist für die Haftungsfrage gegenüber der Bank entscheidend. Ausführliche Informationen zu den rechtlichen Wegen bei Internetbetrug und Bankenhaftung finden Sie in einem eigenen Beitrag unserer Kanzlei.

Bankenhaftung bei Social Engineering: Was die Rechtsprechung sagt

Die Frage, wann eine Bank für Social-Engineering-Schäden haftet, ist in den vergangenen Jahren von mehreren Gerichten beurteilt worden. Die Rechtsprechung hat sich dabei in eine Richtung entwickelt, die für geschädigte Bankkunden deutlich günstiger ist, als viele vermuten.

Ausgangspunkt ist die gesetzliche Erstattungspflicht nach § 675u BGB: Banken müssen nicht autorisierte Zahlungsvorgänge unverzüglich erstatten. Bei Social Engineering ist die Abgrenzung zwischen autorisiertem und nicht autorisiertem Zahlungsvorgang besonders komplex – denn das Opfer hat technisch selbst überwiesen, jedoch unter dem Einfluss einer gezielten Täuschung über Identität und Zweck des Vorgangs. Der Bundesgerichtshof und nachgeordnete Instanzen haben in mehreren Entscheidungen klargestellt, dass eine durch arglistige Täuschung erschlichene Zustimmung keine wirksame Autorisierung im Sinne des Zahlungsdiensterechts darstellt.

Die Bank kann die Erstattung nur dann verweigern oder kürzen, wenn dem Kunden grobe Fahrlässigkeit nach § 675v BGB nachgewiesen werden kann. Gerichte haben die Schwelle zur groben Fahrlässigkeit bei professionell durchgeführten Social-Engineering-Angriffen regelmäßig nicht als erreicht angesehen. Wer einem kompetent agierenden „Bankmitarbeiter“ am Telefon TAN-Codes übermittelt, weil er unter Zeitdruck glaubt, sein Konto zu sichern, handelt nicht grob fahrlässig im Rechtssinne – er wird Opfer einer professionellen Täuschung.

Besonders bedeutsam ist die Frage der Warnpflicht der Bank. Gerichte haben in mehreren Entscheidungen festgestellt, dass Banken verpflichtet sind, ihre Kunden aktiv vor bekannten Betrugsmaschen zu warnen. Wenn eine Bank weiß, dass Social-Engineering-Angriffe in bestimmter Form aktiv stattfinden, und dennoch keine Warnhinweise ausgibt oder ihre Kunden nicht aktiv informiert, kann das ihre Haftungsposition erheblich verschlechtern. Ebenso kann eine Bank haften, wenn sie auffällige Transaktionsmuster hätte erkennen müssen – ungewöhnliche Auslandsüberweisungen, atypische Beträge oder verdächtige Kontobewegungen – und dennoch ohne Rückfrage ausgeführt hat.

CEO-Fraud im Unternehmen: Besonderheiten und Haftungsfragen

CEO-Fraud – die Variante des Social Engineerings, bei der Unternehmensmitarbeitende per gefälschter Geschäftsführer-E-Mail zu Zahlungen veranlasst werden – stellt Haftungsfragen, die sich in einigen Aspekten von den klassischen Privatkunden-Konstellationen unterscheiden.

Im Unternehmenskontext stellt sich zunächst die Frage der internen Sorgfaltspflichten. Hatte das Unternehmen Prozesse implementiert, die eine zweite Prüfinstanz für große Auslandszahlungen vorsehen? Wurden Mitarbeitende über CEO-Fraud aufgeklärt? Diese Fragen sind relevant, weil sie die Mitverantwortung des Unternehmens an der Entstehung des Schadens beinflussen können.

Gegenüber der Bank stellen sich die folgenden Fragen wie im Privatkundensegment: Hätte die Bank die Zahlung aufgrund auffälliger Merkmale stoppen müssen? Entspricht die angewiesene Summe dem typischen Transaktionsprofil des Unternehmens? Wurde auf ein erstmalig genutztes Konto in einem Hochrisikoland überwiesen? Je stärker diese Auffälligkeiten ausgeprägt waren, desto eher kommt eine Bankhaftung wegen Verletzung von Überwachungspflichten in Betracht.

Parallel zur Inanspruchnahme der Bank können Unternehmen Ansprüche gegen die Täter geltend machen – soweit diese identifiziert werden können. In der Praxis sind die Hinterleute häufig im Ausland, aber die Geldflüsse über Inlandskonten und Mittelspersonen können über Ermittlungen nachvollzogen werden.

Social Engineering und Remote Access: Wenn Täter selbst die Maus steuern

Eine besonders komplexe Konstellation liegt vor, wenn Täter über Fernzugriffsprogramme die vollständige Kontrolle über den Computer des Opfers übernehmen und eigenständig Transaktionen im Online-Banking ausführen. Das Opfer sieht auf seinem Bildschirm, was die Täter tun, kann es aber nicht verhindern, weil die Maussteuerung übernommen wurde.

In dieser Konstellation hat das Opfer die Transaktion nicht selbst ausgeführt. Täter haben die Zahlungen ohne Wissen oder Zustimmung des Kontoinhabers vorgenommen, auch wenn das Opfer zuvor – unter Täuschung – das Fernzugriffsprogramm installiert hat. Die Installation des Programms aufgrund einer Täuschung stellt keine Autorisierung späterer Transaktionen dar. Gerichte haben in solchen Konstellationen regelmäßig nicht autorisierte Zahlungsvorgänge angenommen und entsprechende Erstattungspflichten der Banken bejaht.

Die Bank hätte in vielen dieser Fälle die auffälligen Transaktionsmuster erkennen können: plötzliche, ungewöhnliche Mehrfachüberweisungen in kurzer Zeit, Zahlungen an bisher nicht genutzte Empfängerkonten, Abweichungen vom normalen Transaktionsprofil. Wenn sie das nicht getan hat, ist das ein Argument für eine Haftung wegen unzureichender Transaktionsüberwachung.

Sofortmaßnahmen nach einem Social-Engineering-Angriff

Wer erkennt, dass er Opfer eines Social-Engineering-Angriffs geworden ist, muss schnell und strukturiert handeln, weil zeitkritische Möglichkeiten – wie der Stopp einer Überweisung – nur in einem engen Zeitfenster bestehen.

Der erste Schritt ist die sofortige Kontaktaufnahme mit der Bank. Eine ausgeführte Überweisung ist nach § 675p BGB grundsätzlich unwiderruflich, sobald die Bank sie entgegengenommen hat. In einem kurzen Zeitfenster unmittelbar nach der Beauftragung kann die Bank jedoch noch eingreifen. Ausführliche Informationen zum Timing und Ablauf finden Sie in unserem Beitrag zu Überweisungen zurückfordern.

Im nächsten Schritt müssen alle Zugangsdaten geändert, das Online-Banking gesperrt und im Fall eines Remote-Access-Angriffs der Fernzugriff sofort beendet werden. Das Gerät, auf dem das Fernzugriffsprogramm installiert wurde, sollte bis zur IT-forensischen Untersuchung vom Netz getrennt werden.

Alle Beweismittel müssen gesichert werden: Anrufprotokolle, E-Mails, Nachrichten, Screenshots des Dashboards, Transaktionsnachweise und Kontoauszüge. Im Fall von Remote Access sollten Protokolldateien des Fernzugriffsprogramms gesichert werden, bevor es deinstalliert wird.

Anschließend sollte eine Strafanzeige bei der Polizei oder dem Landeskriminalamt erstattet werden. Das Aktenzeichen ist für alle weiteren Schritte relevant – auch für die Korrespondenz mit der Bank.

Wann lohnt sich anwaltliche Beratung bei Social Engineering Betrug?

Anwaltliche Beratung lohnt sich so früh wie möglich – insbesondere dann, wenn die Bank eine Erstattung abgelehnt hat oder auf grobe Fahrlässigkeit des Kunden verweist. Diese Einschätzung ist nicht das letzte Wort. Ein Anwalt für Bankrecht prüft die konkrete Masche, bewertet, ob die Bank ihrer Warnpflicht nachgekommen ist, und beurteilt, ob die Transaktionsüberwachung den gesetzlichen Anforderungen entsprach. Wenn auffällige Merkmale der Transaktion – Betrag, Empfängerkonto, Zeitpunkt – hätten Alarm auslösen müssen, ist das ein zentrales Argument für eine Haftung der Bank.

Die Kanzlei übernimmt die Kommunikation mit der Bank, begleitet die Strafanzeige und klärt, ob neben dem Erstattungsanspruch weitere Schadensersatzansprüche bestehen. Gerade bei CEO-Fraud in Unternehmen ist die koordinierte Strategie aus Bankinanspruchnahme, strafrechtlicher Verfolgung und interner Aufarbeitung entscheidend für den Erfolg.

Einen weiteren Überblick über alle Formen organisierten Finanzbetrugs und die Möglichkeiten der Rechtsverfolgung finden Sie in unserem Beitrag zum Thema Anwalt für Finanzbetrug.

Fazit: Social Engineering Betrug – Psychologie überwindet Technik, Recht gibt Betroffenen Schutz

Social Engineering Betrug nutzt menschliche Verhaltensweisen – Vertrauen, Zeitdruck, Autoritätshörigkeit – so gezielt aus, dass selbst erfahrene und kritische Personen Opfer werden können. Wer unter dem Einfluss einer professionellen Täuschung handelt, handelt in der Rechtsprechung regelmäßig nicht grob fahrlässig.

Die Bankenhaftung in diesen Fällen ist real und wird von der Rechtsprechung zunehmend anerkannt. Wer schnell handelt, Beweise sichert, Strafanzeige erstattet und anwaltliche Unterstützung in Anspruch nimmt, hat realistische Chancen auf Erstattung – auch wenn die Bank diese zunächst abgelehnt hat.

Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht

Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken bis zur Durchsetzung von Erstattungs- und Schadensersatzansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.

FAQs – Häufig gestellte Fragen zu Social Engineering Betrug