Phishing: Bekomme ich mein Geld von der Bank zurück?

Haben Betrüger nach einem Phishing-Angriff ohne deine Zustimmung Geld von deinem Konto überwiesen, muss deine Bank den Betrag grundsätzlich erstatten – spätestens bis zum Ende des Geschäftstags nach deiner Meldung (§ 675u BGB). Sie darf die Erstattung nur verweigern, wenn sie dir nachweist, dass du betrügerisch, vorsätzlich oder grob fahrlässig gehandelt hast (§ 675v Abs. 3 BGB). Genau daran scheitern aber viele Betroffene: Wer TANs am Telefon an einen angeblichen Bankmitarbeiter weitergibt, handelt nach der Rechtsprechung des Bundesgerichtshofs in der Regel grob fahrlässig. Hast du die Überweisung selbst ausgelöst, etwa an einen Fake-Shop, gibt es keinen gesetzlichen Erstattungsanspruch.

Sofort tun: die ersten Stunden

1. Konto und Karten sperren: über deine Bank oder den zentralen Sperr-Notruf 116 116 (aus dem Ausland +49 116 116 oder +49 30 4050 4050). Nach der Sperranzeige haftest du für weitere Missbräuche nicht mehr (§ 675v Abs. 5 BGB).
2. Strafanzeige erstatten: am schnellsten über die Onlinewache der Polizei deines Bundeslands. Screenshots, E-Mails, SMS und Anruflisten sichern. Das Aktenzeichen gibst du an die Bank weiter.
3. Bei Überweisungen die Empfängerbank informieren: Über die IBAN lässt sich die Bank des Empfängers ermitteln. Mit Aktenzeichen und Überweisungsdaten kann sie das Konto prüfen. Ein Stopp gelingt nur ausnahmsweise und nur bei sehr schnellem Handeln.
4. Erstattung schriftlich verlangen: per Brief oder E-Mail, nicht nur am Telefon. Nenne jede Buchung, die du nicht veranlasst hast, und verlange die Gutschrift mit Wertstellung zum Belastungstag.
5. Zugangsdaten ändern: Passwörter für Onlinebanking und E-Mail ändern, Geräte auf Schadsoftware prüfen, verknüpfte Push-TAN-Geräte von der Bank entfernen lassen.

Die Pflicht, einen Missbrauch unverzüglich zu melden, steht im Gesetz (§ 675l Abs. 1 BGB). Spätestens nach 13 Monaten ab Belastung sind Ansprüche ausgeschlossen (§ 676b Abs. 2 BGB).

Wann die Bank zahlen muss

Entscheidend ist, ob du die Zahlung autorisiert hast, also ihr zugestimmt hast (§ 675j BGB). Haben Betrüger mit deinen Zugangsdaten selbst Überweisungen angelegt, ist die Zahlung nicht autorisiert – selbst wenn du ihnen unwissentlich eine TAN dafür gegeben hast. Dann gilt:

Beweislast: Bestreitest du die Autorisierung, muss die Bank nachweisen, dass die Zahlung ordnungsgemäß authentifiziert und verbucht wurde. Dass PIN und TAN korrekt verwendet wurden, beweist für sich genommen weder deine Zustimmung noch grobe Fahrlässigkeit; die Bank muss unterstützende Beweismittel vorlegen (§ 675w BGB).

Grobe Fahrlässigkeit: das BGH-Urteil vom 3. März 2026

Grob fahrlässig handelt, wer die im Verkehr erforderliche Sorgfalt objektiv schwer und subjektiv nicht entschuldbar verletzt. Ob das so ist, entscheiden die Gerichte im Einzelfall. Ein aktuelles Urteil des Bundesgerichtshofs zeigt, wie streng der Maßstab bei TAN-Weitergabe ist (BGH, Urteil vom 3. März 2026, XI ZR 20/24):

• Der Fall: Nach einer gefälschten Sparkassen-E-Mail rief ein angeblicher Mitarbeiter an einem Wochenende an – die Anzeige zeigte sogar die Telefonnummer der Sparkasse. Auf seine Anweisung erzeugte die Kontoinhaberin mit dem TAN-Generator mehrere TANs und nannte sie ihm. Die Täter erhöhten damit das Limit und überwiesen in Echtzeit insgesamt 39.454 €.
• Ergebnis: Die Überweisungen waren zwar nicht autorisiert, die Sparkasse musste also grundsätzlich erstatten. Sie durfte dem aber einen gleich hohen Schadensersatzanspruch entgegenhalten, weil die Weitergabe der TANs am Telefon gegen die Bedingungen für das Onlinebanking verstieß und grob fahrlässig war. Der Kunde bekam nichts zurück.
• Starke Kundenauthentifizierung: Das manuelle chipTAN-Verfahren genügt nach dem BGH den Anforderungen, auch wenn der Name des Empfängers nicht im Display des TAN-Generators steht. Der Haftungsausschluss nach § 675v Abs. 4 BGB griff deshalb nicht.

Bereits im Juli 2025 hatte der BGH in einem ähnlichen Fall grobe Fahrlässigkeit bestätigt (Urteil vom 22. Juli 2025, XI ZR 107/24). Das heißt nicht, dass jede Phishing-Täuschung grob fahrlässig ist: Je raffinierter der Angriff und je weniger erkennbar war, was du freigibst, desto besser stehen deine Chancen. Lass dir die Ablehnung der Bank begründen und prüfe sie.

Überweisung selbst ausgelöst: Was dann noch geht

Hast du die Überweisung selbst in Auftrag gegeben – an einen Fake-Shop, einen angeblichen Enkel oder eine betrügerische Trading-Plattform –, ist sie autorisiert. Einen gesetzlichen Erstattungsanspruch gegen deine Bank hast du dann nicht. Möglich sind nur:

• ein Rückruf über deine Bank, der aber in der Regel nur mit Zustimmung des Empfängers gelingt,
• Ansprüche gegen die Täter, die meist nicht greifbar sind,
• bei Kreditkartenzahlungen ein Rückbuchungsverfahren (Chargeback) nach den Regeln des Kartenanbieters. Unterschiede zwischen den Karten erklärt der Ratgeber Kreditkarte, Debitkarte, Girocard.

Seit dem 9. Oktober 2025 müssen Banken im Euroraum vor jeder Überweisung prüfen, ob Name und IBAN des Empfängers zusammenpassen (Empfängerüberprüfung), und dich bei Abweichungen warnen. Nimm diese Warnung ernst. Ein Sonderfall sind Betrügereien mit angeblichen Kryptoplattformen – siehe Krypto-Betrug.

Abbuchungen per Lastschrift ohne deine Erlaubnis kannst du übrigens 13 Monate lang zurückholen – mehr im Ratgeber Lastschrift zurückbuchen.

Wenn die Bank ablehnt

1. Begründung und Belege verlangen: Welche Authentifizierung wurde wann genutzt? Woraus leitet die Bank grobe Fahrlässigkeit ab?
2. Schlichtungsstelle: Die zuständige Ombudsstelle (privater Banken, Sparkassen oder Genossenschaftsbanken) nennt deine Bank im Impressum oder in ihren Bedingungen; eine Übersicht bietet die BaFin.
3. Beschwerde bei der BaFin: Sie entscheidet keine Einzelfälle, prüft aber, ob die Bank ihre Pflichten einhält – etwa, wenn ungewöhnliche Transaktionen nachts oder in schneller Folge nicht auffielen.
4. Beratung: Verbraucherzentrale oder ein auf Bankrecht spezialisierter Anwalt; eine Rechtsschutzversicherung kann die Kosten übernehmen.

Fordert ein Inkassounternehmen Geld für eine bestrittene Buchung, widersprich schriftlich und verweise auf den Streit mit der Bank.

So schützt du dich

• Banken fragen niemals am Telefon, per E-Mail oder SMS nach PIN, TAN oder Zugangsdaten und verlangen keine „Neukonfiguration“ des TAN-Generators.
• Eine angezeigte Telefonnummer beweist nichts – sie lässt sich fälschen. Leg auf und ruf selbst die Nummer von der Karte oder Website der Bank an.
• Vor jeder Freigabe in der App oder am TAN-Generator prüfen, was du bestätigst: Betrag, IBAN, Auftragsart.
• Niemals Links aus E-Mails oder SMS zum Login benutzen.

Häufige Fragen

Muss die Bank bei Phishing das Geld erstatten?

Bei nicht autorisierten Zahlungen grundsätzlich ja, spätestens am Ende des Geschäftstags nach deiner Meldung. Sie kann die Erstattung nur verweigern, wenn sie dir Betrug, Vorsatz oder grobe Fahrlässigkeit nachweist.

Ist das Weitergeben einer TAN immer grob fahrlässig?

Nicht automatisch, die Gerichte prüfen jeden Einzelfall. In den vom BGH entschiedenen Fällen (2025 und März 2026) wurde die telefonische Weitergabe von TANs an angebliche Bankmitarbeiter aber als grob fahrlässig gewertet.

Wie viel muss ich selbst zahlen?

Ohne grobes Verschulden höchstens 50 €, in bestimmten Fällen gar nichts. Bei grober Fahrlässigkeit den gesamten Schaden.

Was ist, wenn ich die Überweisung selbst gemacht habe?

Dann ist sie autorisiert und die Bank muss nicht erstatten. Melde den Betrug sofort, damit die Bank einen Rückruf versuchen und die Empfängerbank das Konto prüfen kann.

Wie lange habe ich Zeit, einen Missbrauch zu melden?

Du musst unverzüglich melden, sobald du ihn bemerkst. Spätestens 13 Monate nach der Belastung sind Ansprüche ausgeschlossen.