SumUp- und Händler-Phishing: Betrug gegen Selbstständige
Immer mehr Selbstständige erhalten E-Mails, die eine angeblich gesetzlich vorgeschriebene Kontoverifizierung vortäuschen und gezielt auf Zugangsdaten zum Kartenterminal-Konto abzielen.
Ein Muster aus SumUp Phishing Händler-Fällen beschäftigt derzeit zunehmend Kleinunternehmerinnen und Kleinunternehmer: Im Postfach landet eine E-Mail, die im Namen des Anbieters SumUp eine angeblich gesetzlich vorgeschriebene Kontoverifizierung fordert. Wer nicht binnen weniger Tage reagiere, so die Drohkulisse, verliere den Zugriff auf sein Kartenterminal und damit die Fähigkeit, überhaupt noch Kartenzahlungen entgegenzunehmen.
Für Selbstständige, die auf funktionierende Kartenzahlungen angewiesen sind, ist diese Drohung wirksam – und genau darauf spekulieren die Täter. Wer dem Link in der Mail folgt, landet auf einer täuschend echt nachgebauten Anmeldeseite und gibt dort Zugangsdaten, Bankverbindung oder sogar TAN-Codes preis, die anschließend für Abbuchungen vom Geschäftskonto missbraucht werden.
Dieser Beitrag ordnet die Betrugsmasche rechtlich ein, erklärt, welche Ansprüche betroffenen Händlerinnen und Händlern gegen Bank und Täter zustehen, und zeigt, welche Sofortmaßnahmen nach einem Datenabgriff sinnvoll sind.
Wenn Sie eine solche Mail erhalten oder bereits Daten preisgegeben haben, sollten Sie umgehend rechtlichen Rat einholen und Ihre Bank informieren. Jetzt unverbindlich Kontakt aufnehmen.
Die Masche im Überblick: Gefälschte Kontoverifizierung im Namen von SumUp
Der Aufbau der Mails, die unter dem Stichwort SumUp Phishing Händler kursieren, folgt einem wiederkehrenden Muster. Absenderadresse und Logo imitieren den echten Anbieter, der Betreff verweist auf eine gesetzliche Verifizierungspflicht, und ein Countdown suggeriert akute Dringlichkeit. Tatsächlich existiert keine derartige Einzelfrist im Zahlungsdiensterecht – die angebliche Rechtsgrundlage ist frei erfunden und dient allein dazu, überlegtes Handeln zu verhindern.
Der in der Mail hinterlegte Link führt auf eine Kopie des echten Händler-Dashboards. Dort werden Zugangsdaten, teils auch Ausweisdaten und Bankverbindungen abgefragt. In manchen Varianten wird zusätzlich ein TAN-Code verlangt, angeblich zur Bestätigung der Identität – tatsächlich autorisiert dieser Code im Hintergrund eine Überweisung oder eine Änderung der beim Kartenanbieter hinterlegten Auszahlungs-IBAN.
Warum Selbstständige und Kleinunternehmer besonders im Visier stehen
Fälle mit dem Muster SumUp Phishing Händler richten sich bewusst gegen Selbstständige, weil deren Geschäftskonten oft weniger streng überwacht werden als private Konten und weil ein kurzfristiger Ausfall des Kartenterminals unmittelbar den Umsatz gefährdet. Marktstände, kleine Gastronomiebetriebe, Friseursalons oder Handwerksbetriebe, die auf mobile Kartenterminals angewiesen sind, reagieren unter diesem Druck häufiger unüberlegt als größere Unternehmen mit eigener Buchhaltungsabteilung.
- Geschäftskonten weisen oft höhere Tagesumsätze auf als Privatkonten – ein einzelner Abgriff verursacht größeren Schaden.
- Kleinunternehmer prüfen Absenderdomains seltener technisch, weil im Alltag wenig Zeit für IT-Sicherheit bleibt.
- Der angedrohte Verlust der Kartenzahlungsfähigkeit trifft die Existenzgrundlage direkt und erzeugt hohen Handlungsdruck.
- Mehrere angeschlossene Kartenanbieter und Konten pro Betrieb erhöhen die Angriffsfläche zusätzlich.
Rechtliche Einordnung: Betrug nach § 263 StGB
Strafrechtlich ist die Vorgehensweise als Betrug gemäß § 263 StGB zu qualifizieren, da ein Mensch – nicht ein Computersystem – über die angebliche Verifizierungspflicht getäuscht wird und dadurch zu einer vermögensschädigenden Handlung veranlasst wird. Der Nachbau der Verifizierungsseite dient lediglich der Täuschung, ändert aber nichts daran, dass die Willensbildung des Opfers im Mittelpunkt steht; eine primäre Einordnung als Computerbetrug nach § 263a StGB greift hier zu kurz.
Für Betroffene relevant ist außerdem, dass Betrugstaten dieser Art häufig arbeitsteilig organisiert sind: Wer die Mails versendet, ist selten identisch mit denjenigen, die abgeflossene Gelder auf sogenannte Finanzagentenkonten weiterleiten. Das erschwert die zivilrechtliche Rückforderung gegenüber den unmittelbaren Tätern erheblich und rückt die Auseinandersetzung mit der eigenen Bank in den Vordergrund. Ähnliche Konstellationen bei gefälschten Bestellbestätigungen großer Plattformen zeigen, dass Täter Marken- und Vertrauenssignale gezielt kopieren, um genau diesen Zeitdruck zu erzeugen.
Nicht autorisierte Zahlungen: Ansprüche nach § 675u BGB
Wurden über eine Phishing-Seite TANs oder Zugangsdaten abgegriffen und in der Folge Beträge vom Geschäftskonto abgebucht, handelt es sich rechtlich um eine nicht autorisierte Zahlung. Die bloße Preisgabe der TAN stellt keine wirksame Zustimmung des Kontoinhabers dar, weil dieser über den tatsächlichen Zweck der Eingabe getäuscht wurde. Grundlage für die Rückabwicklung ist § 675u BGB, wonach der Anbieter im Grundsatz verschuldensunabhängig zur Erstattung verpflichtet ist.
Wichtig für Selbstständige mit einem SumUp Phishing Händler-Fall ist, die Rüge fristgerecht zu erklären. Nicht autorisierte oder fehlerhafte Zahlungen müssen dem Anbieter nach § 676b Abs. 2 BGB spätestens 13 Monate nach der Belastung angezeigt werden, sonst erlischt der Anspruch. In der Praxis empfiehlt sich eine deutlich schnellere, schriftliche Reklamation, schon um Beweise zu sichern und weiteren Schaden zu verhindern.
Als erfahrene Anwälte im Bank- und Kapitalmarktrecht helfen wir Ihnen, die Vorgehensweise der Betrüger rechtlich einzuordnen und konkrete Schritte zur Rückforderung Ihrer Gelder einzuleiten. Kontaktieren Sie uns jederzeit für ein unverbindliches Erstgespräch.
Grobe Fahrlässigkeit und die Grenzen der Erstattung
Der Erstattungsanspruch aus § 675u BGB kann eingeschränkt sein, wenn dem Anbieter der Nachweis grober Fahrlässigkeit nach § 675v BGB gelingt – die Beweislast dafür trägt die Bank, nicht der Kunde. Der Bundesgerichtshof hat dazu in seinem Urteil vom 22. Juli 2025 (XI ZR 107/24) klargestellt, dass ein Augenblicksversagen für sich allein die grobe Fahrlässigkeit zwar nicht ausschließt, im Einzelfall aber zusammen mit weiteren Umständen dazu führen kann, dass der Schuldvorwurf unterhalb der groben Fahrlässigkeit einzuordnen ist.
Wird die TAN hingegen erst nach einer Bedenkzeit erneut herausgegeben, wertete der Bundesgerichtshof dies im entschiedenen Fall als grob fahrlässig, sodass die Erstattung entfiel.
Für die rechtliche Bewertung kommt es also entscheidend auf den zeitlichen Ablauf, die konkrete Gestaltung der Phishing-Seite und das Verhalten des Betroffenen nach dem ersten Kontakt an. Vergleichbare Bewertungsfragen stellten sich bereits bei gefälschten Mails, die angebliche Sicherheitswarnungen von Banken nutzten, etwa im Zusammenhang mit gefälschten Comdirect-Benachrichtigungen oder mit gefälschten Mails an Kreditkartenkunden.
Neue Schutzmechanismen: Verification of Payee und Instant Payments
Seit dem 9. Oktober 2025 ist der sogenannte Verification of Payee-Abgleich für Euro-Instant-Zahlungen europaweit verpflichtend: Banken müssen Name und IBAN des Empfängers automatisiert abgleichen und bei Abweichungen warnen. Unterlässt eine Bank diese Warnpflicht, kann sich daraus eine eigene Haftung für den entstandenen Schaden ergeben – ein Ansatzpunkt, der bei Fällen mit dem Muster SumUp Phishing Händler zunehmend an Bedeutung gewinnt, wenn Betrüger die hinterlegte Auszahlungs-IBAN eines Händlerkontos manipulieren.
Gleichzeitig hat die Einführung verpflichtender Echtzeitüberweisungen die Reaktionszeit für Betroffene verkürzt: Geld, das per Instant Payment abfließt, ist innerhalb von Sekunden beim Empfänger. Eine Rückholung über den sogenannten SEPA-Instant-Recall ist danach nur noch ein Kulanz- und Mitwirkungsverfahren zwischen den beteiligten Banken, kein durchsetzbarer Rechtsanspruch. Umso wichtiger ist es, verdächtige Mails frühzeitig zu erkennen, bevor überhaupt eine Zahlung ausgelöst wird.
Wenn die eigene Bank misstrauisch wird: Kontoprüfung nach dem Geldwäschegesetz
Nach einem erkannten Datenabgriff kommt es nicht selten vor, dass die kontoführende Bank verdächtige Bewegungen selbst meldet und einzelne Transaktionen vorübergehend nicht ausführt. Grundlage dafür ist die Verdachtsmeldepflicht nach § 43 GwG; die kurzfristige Nichtdurchführung einzelner gemeldeter Zahlungen stützt sich auf § 46 GwG. Eine darüberhinausgehende Untersagung der Transaktion durch die Zentralstelle für Finanztransaktionsuntersuchungen erfolgt über § 40 GwG, während die Bank selbst kein pauschales, dauerhaftes Zugriffsverbot auf das gesamte Geschäftskonto verhängen darf.
Für betroffene Händler bedeutet das: Eine vorübergehende Verzögerung einzelner Buchungen nach einer Betrugsanzeige ist normal und dient dem eigenen Schutz. Bleibt das gesamte Konto über die einzelne Transaktion hinaus blockiert, sollte anwaltlich geprüft werden, ob die Bank ihre gesetzlichen Befugnisse überschreitet.
Datenschutzrechtliche Folgen eines Datenabgriffs
Neben dem finanziellen Schaden hat ein SumUp Phishing Händler-Vorfall regelmäßig eine datenschutzrechtliche Dimension, sobald personenbezogene Daten wie Ausweiskopien, Kontodaten oder Kundendaten aus dem Händler-Dashboard betroffen sind. Der Bundesgerichtshof hat in seiner Leitentscheidung vom 18. November 2024 (VI ZR 10/24) klargestellt, dass bereits der bloße Kontrollverlust über personenbezogene Daten ein ersatzfähiger immaterieller Schaden nach Art. 82 DSGVO sein kann, ohne dass ein konkreter Missbrauch nachgewiesen werden muss. Als Orientierungsgröße für reinen Kontrollverlust nannte der Bundesgerichtshof einen Betrag im Bereich von rund 100 Euro; bei nachgewiesenen Ängsten oder Folgeschäden kann mehr angemessen sein.
Sind auch Kundendaten des eigenen Betriebs betroffen, etwa weil im kompromittierten Dashboard Bestell- oder Zahlungsdaten von Endkunden gespeichert waren, kann zusätzlich eine Meldepflicht gegenüber der zuständigen Aufsichtsbehörde bestehen. Wer hier zögert, riskiert eigene Bußgelder – unabhängig davon, dass der Betrieb selbst Opfer des Angriffs war.
Sofortmaßnahmen nach einem Angriff auf das Geschäftskonto
Wer den Verdacht hat, in eine Mail aus dem Umfeld SumUp Phishing Händler geklickt oder sogar Daten eingegeben zu haben, sollte in klarer Reihenfolge handeln, statt in Panik verschiedene Schritte parallel zu versuchen.
- Sofort telefonisch beim Kartenanbieter und bei der kontoführenden Bank melden und Kartenterminal beziehungsweise Online-Zugang sperren lassen.
- Passwörter für Dashboard, E-Mail-Postfach und verknüpfte Konten ändern, insbesondere wenn dieselben Zugangsdaten mehrfach verwendet wurden.
- Die Phishing-Mail samt Kopfzeilen sichern und nicht löschen – sie ist zentrales Beweismittel für Strafanzeige und Erstattungsantrag.
- Alle Kontobewegungen der letzten Tage dokumentieren und ungewöhnliche Abbuchungen schriftlich gegenüber der Bank reklamieren.
- Die nicht autorisierte Zahlung schriftlich gegenüber der Bank rügen, um die 13-Monats-Frist des § 676b Abs. 2 BGB zu wahren, und zusätzlich Strafanzeige bei der Polizei erstatten.
Strafanzeige, Akteneinsicht und der Weg zur Rückforderung
Eine Strafanzeige nach § 263 StGB dient nicht nur der Strafverfolgung, sondern schafft auch die Grundlage für die zivilrechtliche Aufarbeitung. Als Geschädigte oder Geschädigter steht Betroffenen ein Akteneinsichtsrecht nach § 406e StPO zu, das in der Praxis meist über eine anwaltliche Vertretung ausgeübt wird, weil die Staatsanwaltschaft dann Kopien der relevanten Aktenteile übersendet. Aus diesen Unterlagen ergeben sich häufig wichtige Informationen zu den Empfängerkonten, die für die Rückforderung gegenüber der eigenen Bank oder gegenüber Finanzagenten von Bedeutung sind.
Parallel dazu lohnt der Blick auf vergleichbare, bereits rechtlich aufgearbeitete Fälle: Bei Kartenservice-Phishing gegen Karteninhaber, bei Phishing gegen Fintech-Konten hinter Banking-as-a-Service-Plattformen und bei gefälschten Mails im Namen genossenschaftlicher Banken zeigt sich ein ähnliches Muster aus gefälschter Dringlichkeit und nachgebauten Anmeldeseiten. Wer die Erfahrungswerte aus solchen Fällen kennt, kann die eigene Erstattungsforderung gezielter begründen. Ergänzend fasst unser Beitrag zu Anlaufstellen für Cybercrime-Opfer zusammen, welche Behörden neben der Polizei tatsächlich weiterhelfen.
Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht
Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
FAQs – Häufig gestellte Fragen zu SumUp Phishing Händler
Was bedeutet die Betrugsmasche SumUp Phishing Händler konkret?
Betrüger versenden E-Mails im Namen von SumUp, die eine angeblich gesetzlich vorgeschriebene Kontoverifizierung fordern. Der enthaltene Link führt auf eine gefälschte Anmeldeseite, über die Zugangsdaten, Bankverbindungen oder TAN-Codes von Händlerinnen und Händlern abgegriffen werden.
Gibt es tatsächlich eine gesetzliche Pflicht zur Kontoverifizierung bei SumUp?
Nein. Eine solche einzelne, mit Fristsetzung verbundene gesetzliche Verifizierungspflicht existiert in dieser Form nicht. Die Formulierung dient allein dazu, Druck zu erzeugen und ein überlegtes Prüfen der Absenderadresse zu verhindern.
Bin ich als Geschäftskontoinhaber genauso geschützt wie Privatkunden?
Die Erstattungsregeln der §§ 675u, 675v BGB gelten grundsätzlich auch für Geschäftskonten, sofern der Zahlungsdienstevertrag nicht wirksam abweichende Regelungen für Unternehmer vorsieht. Diese vertraglichen Abweichungen sollten im Einzelfall geprüft werden.
Muss meine Bank mir das abgebuchte Geld erstatten?
Bei einer nicht autorisierten Zahlung besteht grundsätzlich ein Erstattungsanspruch nach § 675u BGB. Der Anspruch kann eingeschränkt sein, wenn die Bank grobe Fahrlässigkeit nachweist – die Beweislast dafür liegt bei der Bank, nicht beim Kontoinhaber.
Was ist ein Augenblicksversagen und wann hilft es mir?
Als Augenblicksversagen bezeichnet die Rechtsprechung eine kurzzeitige, situative Fehlreaktion ohne Bedenkzeit. Der Bundesgerichtshof erkennt dies im Einzelfall an, um grobe Fahrlässigkeit auszuschließen – erneutes Handeln nach einer Bedenkzeit wird dagegen strenger bewertet.
Wie lange habe ich Zeit, eine falsche Abbuchung zu reklamieren?
Die gesetzliche Ausschlussfrist beträgt 13 Monate nach der Belastung (§ 676b Abs. 2 BGB). In der Praxis sollte die Reklamation deutlich früher, am besten sofort nach Entdeckung, schriftlich erfolgen.
Darf meine Bank nach einem Phishing-Vorfall einfach mein Konto komplett sperren?
Eine dauerhafte, pauschale Sperrung des gesamten Geschäftskontos ist über § 46 GwG nicht gedeckt; die Norm erlaubt nur die kurzfristige Nichtdurchführung einzelner gemeldeter Transaktionen. Bei umfassenderen Sperren sollte die Rechtsgrundlage anwaltlich geprüft werden.
Habe ich Anspruch auf Schadensersatz wegen des Datenverlusts selbst?
Ja, unabhängig vom finanziellen Schaden kann bereits der Kontrollverlust über personenbezogene Daten einen immateriellen Schadensersatzanspruch nach Art. 82 DSGVO begründen, wie der Bundesgerichtshof am 18. November 2024 entschieden hat.
Sollte ich Strafanzeige erstatten, auch wenn eine Aufklärung unsicher ist?
Ja. Die Strafanzeige sichert Fristen, ermöglicht Akteneinsicht nach § 406e StPO und liefert häufig Informationen zu Empfängerkonten, die für die zivilrechtliche Rückforderung wichtig sind – unabhängig vom Ausgang des Strafverfahrens.
Wie erkenne ich künftig ähnliche Phishing-Mails frühzeitig?
Prüfen Sie die tatsächliche Absenderdomain, nicht nur den angezeigten Namen, misstrauen Sie jeder Fristsetzung mit Kontoverlust-Drohung und geben Sie niemals eine TAN für einen angeblichen Verifizierungsvorgang ein, den Sie nicht selbst aktiv ausgelöst haben.
