Wer auf dem Girokonto oder Tagesgeldkonto Verwahrentgelt gezahlt hat, sollte prüfen, ob die zugrunde liegende Klausel überhaupt wirksam vereinbart wurde.
Zwischen 2019 und 2022 haben zahlreiche deutsche Banken und Sparkassen von ihren Kunden ein sogenanntes Verwahrentgelt verlangt – umgangssprachlich auch Negativzins genannt – sobald das Guthaben auf dem Girokonto oder Tagesgeldkonto einen bestimmten Freibetrag überschritt. Was viele Betroffene bis heute nicht wissen: In einer erheblichen Zahl der Fälle war diese Belastung gar nicht wirksam vereinbart. Wer heute Verwahrentgelt zurückfordern möchte, hat dafür oft bessere Karten, als die Kontoauszüge auf den ersten Blick vermuten lassen.
Der Grund liegt selten im Verwahrentgelt selbst, sondern in der Art, wie Banken es eingeführt haben: über eine bloße Änderungsmitteilung, verbunden mit der Ankündigung, das Schweigen des Kunden gelte als Zustimmung. Genau diese sogenannte Zustimmungsfiktion hat der Bundesgerichtshof für Bestandsverträge kassiert – mit unmittelbaren Folgen für alle auf diesem Weg eingeführten Entgelte, also auch für viele Verwahrentgelt-Klauseln.
Dieser Beitrag ordnet ein, wann sich Verwahrentgelt zurückfordern lässt, welche Rolle § 307 BGB und § 812 BGB dabei spielen, wie die Verjährung zu berechnen ist und was der Bundesgerichtshof in seinen Urteilen vom 4. Februar 2025 entschieden hat.
Als die Europäische Zentralbank ihren Einlagenzins über Jahre im negativen Bereich hielt, gaben viele Institute diese Kosten in Form eines Verwahrentgelts an ihre Kunden weiter. Üblich waren Sätze zwischen 0,4 und 0,7 Prozent pro Jahr, meist ab einem bestimmten Freibetrag auf dem Guthaben, sowohl bei klassischen Girokonten als auch bei Tagesgeldkonten und Sparkonten. Für Bestandskunden bedeutete das eine nachträgliche Änderung der bestehenden Kontobedingungen – und genau an dieser Stelle setzt die rechtliche Prüfung an, wenn Betroffene heute Verwahrentgelt zurückfordern wollen. Ähnlich wie bei unberechtigten Abbuchungen durch SEPA-Lastschrift lohnt sich auch hier zunächst der nüchterne Blick auf die eigenen Kontoauszüge.
Rechtlich handelt es sich beim Verwahrentgelt um ein zusätzliches Entgelt für die Verwahrung von Guthaben auf dem Konto, das über die eigentliche Kontoführungsgebühr hinausgeht. Ob ein solches Entgelt überhaupt wirksam erhoben werden durfte, hat der Bundesgerichtshof mit Urteilen vom 4. Februar 2025 (XI ZR 61/23 u. a.) für die dort geprüften Klauseln verneint. Für die Praxis entscheidend ist jedoch häufig eine andere, klarer zu beantwortende Frage: War die Vereinbarung, mit der die Bank das Verwahrentgelt eingeführt hat, formal überhaupt wirksam?
Betroffen waren dabei keineswegs nur vermögende Privatkunden mit sechsstelligen Guthaben. Auch Vereine, kleine Unternehmen und Selbstständige mit betrieblichen Rücklagen auf dem Geschäftskonto erhielten entsprechende Ankündigungsschreiben, oft mit vergleichsweise niedrigen Freibeträgen ab 25.000 oder 50.000 Euro. Wer über mehrere Jahre hinweg Verwahrentgelt gezahlt hat, kommt dabei nicht selten auf einen dreistelligen oder sogar vierstelligen Gesamtbetrag – ein Betrag, der eine nähere rechtliche Prüfung in aller Regel lohnt.
Der Bundesgerichtshof hat mit Urteil vom 27. April 2021 (BGH XI ZR 26/20) entschieden, dass AGB-Klauseln, die eine Zustimmung des Kunden zu künftigen Vertragsänderungen fingieren – also das bloße Schweigen auf ein Ankündigungsschreiben als Zustimmung werten –, gegenüber Bestandskunden unwirksam sind. Eine solche Zustimmungsfiktion verstößt gegen das gesetzliche Leitbild der Vertragsänderung und benachteiligt Kunden unangemessen im Sinne von § 307 BGB.
Viele Institute haben ihr Verwahrentgelt genau auf diesem Weg eingeführt: mit einem Schreiben, das die neue Bedingung ankündigte und dem Kunden eine Frist setzte, innerhalb derer er widersprechen konnte – ohne Widerspruch, so die AGB, gelte die Änderung als angenommen. Wurde ein Bestandsvertrag auf diese Weise um das Verwahrentgelt ergänzt, fehlt es an einer wirksamen rechtsgeschäftlichen Grundlage für die spätere Belastung. In diesen Konstellationen lässt sich Verwahrentgelt zurückfordern, weil die Bank das Entgelt ohne wirksame vertragliche Basis einbehalten hat.
Neben der Zustimmungsfiktion kann auch die Verwahrentgelt-Klausel selbst der Inhaltskontrolle nach § 307 BGB nicht standhalten. Maßstab ist, ob die Klausel den Kunden entgegen den Geboten von Treu und Glauben unangemessen benachteiligt – etwa weil sie intransparent formuliert ist, weil sie bei Tagesgeld- und Sparkonten den Spar- und Anlagezweck aushöhlt, oder weil der Freibetrag im Vertragsverlauf einseitig und ohne nachvollziehbare Berechnungsgrundlage abgesenkt wurde.
Ob eine konkrete Klausel unwirksam ist, hängt stark vom Wortlaut des einzelnen Vertrags und den Umständen der Einführung ab. Pauschal lässt sich nicht sagen, dass jedes Verwahrentgelt automatisch unzulässig war – aber in vielen dokumentierten Konstellationen, insbesondere bei Bestandskunden, deren Zustimmung nur fingiert wurde, überwiegen die Argumente für eine unangemessene Benachteiligung. Für Betroffene lohnt sich deshalb der Blick in die ursprünglichen Vertragsunterlagen und das konkrete Ankündigungsschreiben der Bank.
Diese sogenannte AGB-Kontrolle unterscheidet sich bewusst von einer reinen Preiskontrolle: Über den eigentlichen Preis, also die Höhe des Verwahrentgelts, entscheiden Banken innerhalb des Marktes grundsätzlich frei. Kontrolliert wird stattdessen, ob die Klausel verständlich formuliert wurde, ob sie eine echte Gegenleistung beschreibt und ob sie im Vergleich zu den gesetzlichen Regelungen des Kontovertrags eine unangemessene Schieflage zulasten des Kunden schafft. Beim Girokonto hat der Bundesgerichtshof das Verwahrentgelt als Preis für die Hauptleistung eingeordnet. Die Klauseln scheiterten dort an der Intransparenz, weil unklar blieb, auf welches Guthaben sich das Entgelt bezieht. Bei Tagesgeld- und Sparkonten benachteiligen sie die Kunden dagegen unangemessen.
War die Erhebung des Verwahrentgelts mangels wirksamer Vereinbarung ohne Rechtsgrund, steht Betroffenen ein Rückforderungsanspruch aus § 812 BGB zu. Die Bank hat das einbehaltene Entgelt dann ohne rechtlichen Grund erlangt und muss es zurückzahlen. Ein guter Ausgangspunkt für die Berechnung sind die eigenen Kontoauszüge: Dort lässt sich in der Regel Monat für Monat nachvollziehen, in welcher Höhe Verwahrentgelt tatsächlich abgebucht wurde.
Anders als bei einer überhöhten Dispozins-Belastung, bei der meist die Wirksamkeit einer Zinsanpassungsklausel im Streit steht, steht bei der Rückforderung von Verwahrentgelt in erster Linie die formale Wirksamkeit der Einführung im Mittelpunkt. Wer Verwahrentgelt zurückfordern möchte, sollte deshalb zunächst das Ankündigungsschreiben der Bank aus dem eigenen Vertragsordner heraussuchen oder bei der Bank anfordern – es ist häufig der entscheidende Beleg für die Zustimmungsfiktion.
Rückforderungsansprüche aus § 812 BGB unterliegen der regelmäßigen Verjährungsfrist von drei Jahren nach § 195 BGB. Der Beginn dieser Frist richtet sich nach § 199 BGB: Sie beginnt mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Kunde von den anspruchsbegründenden Umständen Kenntnis erlangt hat oder ohne grobe Fahrlässigkeit hätte erlangen müssen.
Für Entgelte, die über eine Zustimmungsfiktion eingeführt wurden, hat der Bundesgerichtshof diese Frage geklärt (XI ZR 139/23; XI ZR 45/24): Der Anspruch entsteht mit der Anerkennung des jeweiligen Rechnungsabschlusses, und die Kenntnis der Tatsachen genügt. Die Unkenntnis der Rechtslage schiebt den Verjährungsbeginn nicht hinaus. Diese Frage entscheidet maßgeblich darüber, für welche Zeiträume ein Betroffener sein Verwahrentgelt tatsächlich noch zurückfordern kann. Wer sich hier nicht auf eine pauschale Frist ab Zahlung verlässt, sondern den konkreten Kenntnisstand dokumentiert, sichert sich die besseren Erfolgsaussichten. Wie stark die Verjährungsberechnung im Einzelfall über Erfolg oder Misserfolg entscheidet, zeigt sich auch bei der Verjährung bei Anlagebetrug.
Mit Urteilen vom 4. Februar 2025 (XI ZR 61/23, XI ZR 65/23, XI ZR 161/23, XI ZR 183/23) hat der Bundesgerichtshof Verwahrentgelt-Klauseln für unwirksam erklärt. Bei Girokonten waren die Klauseln intransparent, weil nicht klar war, auf welches Guthaben sich das Entgelt bezieht. Bei Tagesgeld- und Sparkonten benachteiligen sie die Kunden unangemessen, weil sie den Spar- und Anlagezweck aushöhlen. Die negativen Leitzinsen der EZB rechtfertigen das nach Auffassung des Gerichts nicht.
Wo Verbraucher Geld zurückfordern wollen, treten regelmäßig auch fragwürdige Anbieter auf den Plan, die eine schnelle, provisionsbasierte Rückholung versprechen. Solche Dienste verlangen häufig Vorabgebühren oder hohe Erfolgsprovisionen, ohne die zugrunde liegende Vertragsklausel tatsächlich rechtlich zu prüfen. Wer sich vor einer Beauftragung informieren möchte, findet in unserem Beitrag zu unseriösen Rückholdiensten eine Einordnung, woran sich seriöse Angebote von reinen Abzockversuchen unterscheiden lassen.
Wer Verwahrentgelt zurückfordern möchte, sollte deshalb auf eine anwaltliche Prüfung setzen, die konkret am eigenen Kontovertrag ansetzt – nicht auf pauschale Versprechen einer garantierten Rückzahlung. Auch bei anderen bankrechtlichen Ansprüchen, etwa der Rückabwicklung einer Restschuldversicherung, zeigt sich: Eine individuelle Prüfung der Vertragsunterlagen ersetzt kein Massenverfahren mit pauschalem Erfolgsversprechen.
Folgende Schritte helfen dabei, die eigene Ausgangsposition zu klären und einen Rückforderungsanspruch vorzubereiten:
Eine schriftliche Fristsetzung sollte dabei stets mit einer klaren Zahlungsaufforderung samt Verzugszinsen nach § 288 BGB verbunden werden. Wer parallel weitere Ansprüche gegen seine Bank prüft, etwa im Zusammenhang mit einer nicht autorisierten Echtzeitüberweisung, sollte die Fristen für jeden Anspruch getrennt im Blick behalten.
Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
In vielen Fällen ja, sofern die zugrunde liegende Klausel nicht wirksam vereinbart wurde – etwa weil sie über eine unzulässige Zustimmungsfiktion eingeführt wurde. Maßgeblich sind der konkrete Vertragstext und die Verjährungsfrist für die einzelnen Zeiträume.
Die Zustimmungsfiktion bezeichnet eine AGB-Klausel, wonach das Schweigen des Kunden auf ein Änderungsschreiben als Zustimmung gilt. Der Bundesgerichtshof hat diese Praxis mit Urteil XI ZR 26/20 vom 27. April 2021 gegenüber Bestandskunden für unwirksam erklärt.
Grundlage ist regelmäßig § 812 BGB, wenn die Bank das Entgelt ohne wirksame vertragliche Vereinbarung erhoben hat. Zusätzlich kann die Klausel selbst nach § 307 BGB der Inhaltskontrolle nicht standhalten.
Der Bundesgerichtshof hat am 4. Februar 2025 Verwahrentgelt-Klauseln auf Giro-, Tagesgeld- und Sparkonten für unwirksam erklärt. Ob die Klausel Ihrer Bank betroffen ist, hängt vom konkreten Wortlaut ab.
Es gilt die regelmäßige Verjährungsfrist von drei Jahren nach §§ 195, 199 BGB. Der genaue Beginn hängt vom Zeitpunkt der Kenntnis der anspruchsbegründenden Umstände ab, weshalb frühzeitiges Handeln ratsam ist.
Wichtig sind vor allem die Kontoauszüge mit den abgebuchten Beträgen sowie das ursprüngliche Ankündigungsschreiben der Bank zur Einführung des Verwahrentgelts. Beide Dokumente lassen sich bei der Bank anfordern, falls sie nicht mehr vorliegen.
Ja, und hier ist die Rechtslage für Kunden sogar günstiger: Der Bundesgerichtshof hat Verwahrentgelte auf Tagesgeld- und Sparkonten als unangemessene Benachteiligung eingestuft, beim Girokonto dagegen nur wegen Intransparenz. Entscheidend ist auch hier, wie die Verwahrentgelt-Klausel in den jeweiligen Vertrag eingeführt wurde.
Nach einer schriftlichen Zahlungsaufforderung mit angemessener Frist sollte bei Ablehnung anwaltlicher Rat eingeholt werden, um die Erfolgsaussichten zu prüfen und drohende Verjährungsfristen im Blick zu behalten.
Nicht ohne Weiteres. Viele solcher Anbieter versprechen schnelle Erfolge gegen hohe Provisionen, ohne die konkrete Vertragsklausel individuell zu prüfen. Eine anwaltliche Einzelfallprüfung bietet mehr Sicherheit.
Ja, das Urteil XI ZR 26/20 betrifft grundsätzlich alle Entgelterhöhungen, die auf einer unwirksamen Zustimmungsfiktion beruhen, nicht nur das Verwahrentgelt. Auch andere Gebührenerhöhungen lassen sich unter Umständen zurückfordern.
Wer jahrelang stillschweigend höhere Kontoführungsgebühren hinnahm, kann diese Bankgebühren zurückfordern, wenn die Erhöhung auf einer unwirksamen Zustimmungsfiktion beruhte.
Millionen Bankkunden haben in den vergangenen Jahren höhere Kontoführungsgebühren, Kartenentgelte oder Verwahrentgelte gezahlt, ohne dieser Erhöhung jemals ausdrücklich zugestimmt zu haben. Möglich machte das eine Klausel in den Allgemeinen Geschäftsbedingungen vieler Institute, die sogenannte Zustimmungsfiktion: Wer auf ein Änderungsschreiben nicht widersprach, galt automatisch als einverstanden. Der Bundesgerichtshof hat dieser Praxis mit dem Urteil XI ZR 26/20 vom 27. April 2021 eine klare Absage erteilt und entsprechende Klauseln für unwirksam erklärt.
Seither können Betroffene ihre zu Unrecht erhobenen Bankgebühren zurückfordern – vorausgesetzt, sie kennen ihre Rechte, die maßgeblichen Fristen und den richtigen Weg zur Bezifferung des Anspruchs. Genau hier setzen wir als Kanzlei für Bank- und Kapitalmarktrecht an.
Dieser Beitrag ordnet die Rechtslage ein, erklärt, welche Entgelte konkret betroffen sind, wie weit die Rückforderung zeitlich zurückreicht und welche Schritte auf dem Weg zur Erstattung notwendig sind. Ergänzend gehen wir auf verwandte Themen wie Verwahrentgelte, Prämiensparverträge und weitere Ansprüche im Bank- und Kapitalmarktrecht ein.
Die Zustimmungsfiktion war eine in Banken-AGB weit verbreitete Klausel: Kündigte ein Institut eine Änderung des Preis- und Leistungsverzeichnisses an, galt das Schweigen des Kunden nach Ablauf einer Frist als Zustimmung. Auf dieser Grundlage erhöhten zahlreiche Banken über Jahre hinweg Kontoführungsgebühren, Kartenentgelte und weitere Posten, ohne dass die Kunden aktiv zugestimmt hatten. Der Bundesgerichtshof hat diese Praxis in seinem Urteil BGH XI ZR 26/20 vom 27. April 2021 für unzulässig erklärt: Eine solche Klausel benachteiligt Verbraucher unangemessen und ist nach § 307 BGB unwirksam, weil sie im Kern eine einseitige Preisänderung durch die Bank ohne echte Willenserklärung des Kunden ermöglicht.
Konsequenz der Unwirksamkeit ist, dass die Preisänderungen von Anfang an nicht wirksam vereinbart wurden; der Kontovertrag bleibt im Übrigen bestehen (§ 306 Abs. 1 BGB). Wer also auf Basis einer solchen fingierten Zustimmung höhere Entgelte gezahlt hat, kann diese Bankgebühren zurückfordern, weil es für die Zahlung von Anfang an keinen wirksamen Rechtsgrund gab.
Nicht jede Gebührenerhöhung ist automatisch unwirksam – entscheidend ist, ob sie über eine Zustimmungsfiktion oder eine vergleichbare, den Kunden unangemessen benachteiligende Klausel eingeführt wurde. Betroffen sind in der Praxis vor allem laufende Kontoführungsgebühren für Giro- und Tagesgeldkonten, Entgelte für Debit- und Kreditkarten, Gebühren für Kontoauszüge in Papierform sowie Verwahrentgelte auf Guthaben. Auch ältere Kontoführungsgebühren-Erhöhungen, die lange vor dem BGH-Urteil erfolgten, können betroffen sein, wenn die zugrunde liegende Klausel dieselbe Struktur aufwies.
Um Bankgebühren zurückfordern zu können, muss der Kunde zunächst nachweisen, welche Entgelte auf Basis der unwirksamen Klausel erhoben wurden. Dafür eignen sich die Kontoauszüge und, falls vorhanden, die Änderungsschreiben der Bank mit dem jeweiligen Datum der angekündigten Erhöhung.
Der Bundesgerichtshof hatte über eine Klausel zu entscheiden, nach der Änderungen des Preis- und Leistungsverzeichnisses als genehmigt galten, wenn der Kunde nicht innerhalb einer bestimmten Frist widersprach. Die Karlsruher Richter stellten klar, dass eine solche Zustimmungsfiktion mit dem gesetzlichen Leitbild der Vertragsänderung nicht vereinbar ist: Eine echte Vertragsanpassung setzt eine positive Erklärung beider Seiten voraus, nicht nur das Ausbleiben eines Widerspruchs. Rechtsgrundlage für die Unwirksamkeit ist die AGB-Inhaltskontrolle nach § 307 BGB.
Für betroffene Kunden folgt daraus ein Rückforderungsanspruch aus § 812 BGB: Die Bank hat die Entgelte ohne Rechtsgrund erlangt und muss sie herausgeben. Wer seine Bankgebühren zurückfordern möchte, stützt den Anspruch also nicht auf Schadensersatz, sondern auf das Bereicherungsrecht – ein wichtiger Unterschied für die Berechnung von Verjährung und Zinsen.
Die Unwirksamkeit einer einzelnen Klausel führt gemäß § 306 BGB nicht zur Unwirksamkeit des gesamten Kontovertrags. Der Vertrag bleibt im Übrigen bestehen, lediglich die unwirksame Preisänderung entfällt und der vorherige, zuletzt wirksam vereinbarte Gebührenstand lebt wieder auf.
Bedeutsam ist außerdem, dass sich das Urteil nicht auf eine einzelne Bank beschränkt, sondern die grundsätzliche Struktur der Zustimmungsfiktion betrifft. Da vergleichbare Klauseln über Jahre hinweg branchenweit in Preis- und Leistungsverzeichnissen verwendet wurden, betrifft die Möglichkeit, Bankgebühren zurückzufordern, potenziell Kunden nahezu aller Institute mit Girokonten, nicht nur eines einzelnen Anbieters. Ob im Einzelfall tatsächlich ein Anspruch besteht, hängt jedoch stets davon ab, wie die jeweilige Bank die Erhöhung konkret kommuniziert und in ihren Geschäftsbedingungen umgesetzt hat.
Für die Verjährung des Rückforderungsanspruchs gilt die regelmäßige Frist von drei Jahren nach § 195 BGB. Der Beginn der Frist richtet sich nach § 199 BGB: Sie beginnt mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Kunde von den anspruchsbegründenden Umständen Kenntnis erlangt hat oder ohne grobe Fahrlässigkeit hätte erlangen müssen.
Diese Frage hat der Bundesgerichtshof mit Urteilen vom 19. November 2024 (XI ZR 139/23) und vom 3. Juni 2025 (XI ZR 45/24) geklärt. Der Rückforderungsanspruch entsteht nicht bereits mit der Abbuchung des Entgelts, sondern erst mit der Anerkennung des betreffenden Rechnungsabschlusses. Erhebt der Kunde innerhalb der vorgesehenen Frist keine Einwendungen, gilt der Abschluss nach Fristablauf als anerkannt. Die regelmäßige Verjährungsfrist von drei Jahren beginnt mit dem Schluss dieses Jahres. Auf das Urteil von 2021 kommt es nicht an: Nach Auffassung des Bundesgerichtshofs bestand zuvor keine unsichere Rechtslage, die den Verjährungsbeginn hinausgeschoben hätte. Ältere Entgelte sind daher in der Regel verjährt, sofern die Verjährung nicht rechtzeitig gehemmt wurde. Wer Bankgebühren zurückfordern will, sollte deshalb schnell handeln.
Zusätzlich zur regelmäßigen Frist ist die kenntnisunabhängige Höchstfrist relevant: Bereicherungsansprüche wie der hier einschlägige verjähren spätestens zehn Jahre nach ihrer Entstehung. Diese Höchstfrist hilft in der Praxis jedoch kaum weiter, weil der Bundesgerichtshof die Kenntnis regelmäßig bereits im Jahr der Belastung annimmt.
Bevor Sie Ihre Bankgebühren zurückfordern, sollten Sie den Anspruch möglichst genau beziffern. Die Bank ist grundsätzlich verpflichtet, auf Anfrage Auskunft über die erhobenen Entgelte zu erteilen; zusätzlich helfen die eigenen Kontoauszüge und Änderungsschreiben.
Reagiert die Bank nicht oder verweigert sie die Rückzahlung, lässt sich der Anspruch außergerichtlich mit anwaltlichem Nachdruck oder notfalls gerichtlich durchsetzen. Wer seine Bankgebühren zurückfordern will, sollte dabei nicht nur die reine Differenz, sondern auch mögliche Zinsen ab Verzugseintritt berücksichtigen.
In der Praxis empfiehlt es sich, Kontoauszüge mindestens für die noch nicht verjährten Jahre aufzubewahren oder bei der Bank nachträglich anzufordern. Fehlen einzelne Unterlagen, lassen sich diese in der Regel über die depotführende oder kontoführende Bank auch rückwirkend beschaffen, was die spätere Bezifferung erheblich erleichtert.
Ein eigener Themenkreis ist das Verwahrentgelt, das viele Banken in der Niedrigzinsphase auf Guthaben oberhalb bestimmter Freibeträge erhoben haben. Der Bundesgerichtshof hat mit Urteilen vom 4. Februar 2025 (XI ZR 61/23 u. a.) Klauseln über Verwahrentgelte für unwirksam erklärt: bei Girokonten wegen Intransparenz, bei Tagesgeld- und Sparkonten wegen unangemessener Benachteiligung. Wurde das Verwahrentgelt bei Bestandskunden zudem über eine Zustimmungsfiktion eingeführt, greift auch dieselbe Argumentation wie bei sonstigen Gebührenerhöhungen.
Für Betroffene bedeutet das: In vielen Konstellationen lassen sich auch Verwahrentgelte über § 812 BGB zurückfordern, wenn die zugrunde liegende Vereinbarung unwirksam zustande kam. Eine pauschale Aussage, dass sämtliche Verwahrentgelte automatisch rückforderbar sind, lässt sich daraus jedoch nicht ableiten – die konkrete Vertragshistorie entscheidet.
Verwandt, aber rechtlich eigenständig zu behandeln sind Prämiensparverträge mit variabler Verzinsung. Der Bundesgerichtshof hat in mehreren Entscheidungen, unter anderem in der Sache XI ZR 234/20, Zinsanpassungsklauseln beanstandet, die der Bank einen zu großen Ermessensspielraum einräumten. In solchen Fällen erfolgt regelmäßig eine ergänzende Vertragsauslegung mit einer Nachberechnung der Zinsen für die gesamte Vertragslaufzeit.
Ein wesentlicher Unterschied zur klassischen Zustimmungsfiktion bei Kontoführungsgebühren: Bei Prämiensparverträgen beginnt die Verjährung des Nachzahlungsanspruchs nach der Rechtsprechung regelmäßig erst mit Beendigung des Sparvertrags, nicht bereits während der laufenden Zinsperioden. Wer neben Kontogebühren auch einen älteren Prämiensparvertrag besitzt, sollte beide Ansprüche getrennt prüfen lassen.
Der erste Schritt ist in der Regel ein anwaltliches Aufforderungsschreiben, mit dem die konkret bezifferte Rückforderung geltend gemacht und eine Zahlungsfrist gesetzt wird. Viele Institute reagieren bereits auf ein solches Schreiben mit einer außergerichtlichen Einigung, um ein Verfahren zu vermeiden. Bleibt die Bank untätig oder lehnt sie die Rückzahlung ab, lässt sich der Anspruch im Klagewege durchsetzen.
Neben der Rückforderung von Kontoführungsgebühren berühren viele Mandate weitere Themenfelder des Bank- und Kapitalmarktrechts. Wer beispielsweise zusätzlich mit überhöhten Dispozinsen konfrontiert ist, mit abgelehnten oder zurückgeforderten Fördermitteln, mit einem Schaden aus nicht autorisierten Echtzeitüberweisungen, mit gezieltem KI-Phishing im Online-Banking, mit Verlusten aus Peer-to-Peer-Plattformen oder mit Fragen rund um den Cum-Ex-Komplex zu tun hat, kann diese Ansprüche im selben Mandat einordnen lassen.
Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
Ja. Beruhte die Erhöhung auf einer Zustimmungsfiktion, also auf bloßem Schweigen nach einem Ankündigungsschreiben, ist die Klausel nach § 307 BGB unwirksam. Die auf dieser Grundlage gezahlten Beträge lassen sich über § 812 BGB zurückfordern.
Maßgeblich ist das Urteil des Bundesgerichtshofs XI ZR 26/20 vom 27. April 2021. Der BGH erklärte darin AGB-Klauseln für unwirksam, die eine Zustimmung des Kunden zu Entgelterhöhungen bei bloßem Schweigen fingieren.
Es gilt die regelmäßige Verjährungsfrist von drei Jahren ab Kenntnis der anspruchsbegründenden Umstände sowie eine kenntnisunabhängige Höchstfrist von zehn Jahren ab Entstehung des Anspruchs. Der genaue Beginn der Kenntnis ist im Einzelfall zu prüfen.
Infrage kommen unter anderem erhöhte Kontoführungsgebühren, Kartenentgelte, Kontoauszugsgebühren und teilweise auch Verwahrentgelte, sofern sie über eine unwirksame Zustimmungsfiktion eingeführt wurden. Entscheidend ist die konkrete Vertragshistorie.
Im Streitfall müssen Sie die Erhöhung und deren Grundlage darlegen, üblicherweise anhand von Kontoauszügen und Änderungsschreiben. Ihre Bank ist zudem zur Auskunft über die erhobenen Entgelte verpflichtet.
Reagiert die Bank auf ein anwaltliches Aufforderungsschreiben nicht oder lehnt sie ab, lässt sich der Anspruch gerichtlich geltend machen. Viele Institute zahlen jedoch bereits nach einer fundierten außergerichtlichen Aufforderung.
In vielen Konstellationen ja, wenn das Verwahrentgelt bei Bestandskunden über dieselbe unwirksame Zustimmungsfiktion eingeführt wurde. Eine pauschale Aussage für alle Fälle ist wegen der uneinheitlichen Rechtsprechung nicht möglich, eine Einzelfallprüfung ist notwendig.
Prämiensparverträge sind rechtlich gesondert zu behandeln. Hier geht es um unwirksame Zinsanpassungsklauseln, zu denen der BGH unter anderem in der Sache XI ZR 234/20 entschieden hat; die Verjährung beginnt dort regelmäßig erst mit Vertragsende.
Da die Erhöhung oft über mehrere Jahre monatlich anfiel, summieren sich selbst kleine Differenzbeträge häufig zu einem spürbaren Gesamtbetrag. Eine Prüfung der eigenen Kontoauszüge lohnt sich daher in der Regel.
Nach Sichtung der Kontoauszüge und Änderungsschreiben ermitteln wir die konkret erhobenen Mehrbeträge, prüfen die Verjährung und fordern die Summe anschließend schriftlich bei Ihrer Bank ein. Kontaktieren Sie uns für ein unverbindliches Erstgespräch.
Ein überklebter QR-Code am Parkschein-Automaten genügt, damit aus einer Zehn-Minuten-Parkgebühr ein Quishing QR-Code Betrug mit leergeräumtem Konto wird – dieser Satz zeigt, wie schnell aus Bequemlichkeit ein Schaden entsteht.
Am Parkautomaten klebt ein kleines, sauber gedrucktes Quadrat über dem Originalcode – kaum jemand bemerkt den Unterschied, bevor die Handykamera schon längst geöffnet ist. Wer den vermeintlichen Bezahl-Link scannt, landet nicht auf der Seite des Parkraumbewirtschafters, sondern auf einer täuschend echten Nachbildung, die Kartendaten, Zugangsdaten fürs Online-Banking oder eine Push-TAN-Bestätigung abgreift. Genau darin liegt die Masche, die sich hinter dem Quishing QR-Code Betrug verbirgt: Aus einer alltäglichen Situation wird binnen Sekunden ein finanzieller Ernstfall.
Das Bundesamt für Sicherheit in der Informationstechnik nennt manipulierte QR-Codes als einen zunehmend relevanten Angriffsvektor, weil sie klassische Schutzmechanismen elegant umgehen. Ein QR-Code ist für Spamfilter und Antivirenprogramme zunächst nur ein Bild – die dahinterliegende URL wird erst beim Scannen sichtbar, wenn die Nutzerin oder der Nutzer längst im Browser des Smartphones gelandet ist. Der klassische Quishing QR-Code Betrug findet sich deshalb nicht nur an Parkautomaten, sondern zunehmend auch an Ladesäulen, in gefälschten Paketbenachrichtigungen, auf unterschobenen Rechnungen und sogar auf Plakaten im öffentlichen Raum.
Dieser Beitrag ordnet ein, wie die Masche technisch funktioniert, warum sie so erfolgreich ist, und vor allem: welche zivilrechtlichen Erstattungsansprüche Betroffenen nach einem Schaden zustehen – von der nicht autorisierten Zahlung über die Rolle der groben Fahrlässigkeit bis zu den Fristen, die zwingend einzuhalten sind.
Die Täter drucken einen eigenen QR-Code, der optisch kaum vom Original zu unterscheiden ist, und kleben ihn über den echten Code auf dem Parkscheinautomaten oder direkt auf den Hinweiszettel daneben. Beim Scannen öffnet sich eine Zahlungsseite, die dem Corporate Design des Parkraumbewirtschafters täuschend ähnlich sieht. Dort werden entweder Kartendaten samt CVV abgefragt, oder es wird über eine gefälschte Banking-App-Weiterleitung eine Push-TAN-Bestätigung für eine ganz andere, deutlich höhere Überweisung erschlichen, als es die angezeigte Parkgebühr vermuten lässt.
Entscheidend ist, dass die Betrüger auf einen Moment der Eile setzen: Wer schnell weiterfahren oder das Elektrofahrzeug laden möchte, prüft die Ziel-URL nach dem Scan selten kritisch. Genau diese Kombination aus Vertrauen in den physischen Ort und Zeitdruck macht den Quishing QR-Code Betrug für die Täter so wirksam.
E-Mail-Phishing wird inzwischen von vielen Spamfiltern zuverlässig erkannt, weil verdächtige Links als Text vorliegen und automatisiert gegen Sperrlisten geprüft werden können. Ein QR-Code besteht dagegen aus einem Bildmuster, das erst nach dem Scan auf dem Gerät der Nutzerin oder des Nutzers in eine URL übersetzt wird – zu diesem Zeitpunkt hat kein Sicherheitssystem des Providers oder der Bank mehr die Möglichkeit einzugreifen. Hinzu kommt, dass viele Menschen im Zusammenhang mit manipulierten Endgeräten und Schadsoftware vor allem an klassische App-Downloads denken, nicht an einen simplen Scan mit der Kamera-App.
Ein weiterer Grund liegt im Vertrauen in den physischen Kontext: Ein QR-Code an einem amtlich wirkenden Parkautomaten wirkt seriöser als ein Link in einer E-Mail von unbekanntem Absender, obwohl das technische Risiko identisch ist. Genau dieser psychologische Effekt erklärt, warum der Quishing QR-Code Betrug in den vergangenen Monaten spürbar häufiger als Angriffsvektor auftaucht.
Zivilrechtlich kommt es maßgeblich darauf an, wie die betrügerische Zahlung technisch ausgelöst wurde. Wurde über die gefälschte Seite lediglich eine Kartenzahlung mit Daten abgebucht, die der Kontoinhaber nie wissentlich für diesen konkreten Betrag freigegeben hat, handelt es sich um eine nicht autorisierte Zahlung im Sinne des § 675u BGB. Die Bank ist dann dem Grunde nach zur unverzüglichen Erstattung verpflichtet, unabhängig davon, ob die Bank oder das Zahlungsinstitut zunächst ein Verschulden des Kunden behauptet.
Anders liegt der Fall, wenn über die gefälschte Bezahlseite eine Push-TAN für eine völlig andere Überweisung freigegeben wurde. Auch hier bleibt die Verfügung eine nicht autorisierte, weil die Willenserklärung durch Täuschung erschlichen wurde – die Bank kann sich aber unter Berufung auf § 675v BGB auf grobe Fahrlässigkeit berufen und die Erstattung verweigern. Die Beweislast für die grobe Fahrlässigkeit trägt dabei die Bank, nicht der Kunde. Wer sich hier unsicher ist, findet einen vertiefenden Überblick zu den Rechten nach einem Online-Banking-Betrug.
Der Bundesgerichtshof hat sich mit der Frage der groben Fahrlässigkeit bei manipulierten Freigaben bereits befasst. Im Urteil zum Aktenzeichen XI ZR 107/24 vom 22. Juli 2025 gab eine Kundin TANs nach einem Anruf mit gefälschter Bank-Rufnummer heraus – die Klage scheiterte, weil sie die TAN am Folgetag erneut preisgab, nachdem sie bereits Bedenkzeit gehabt hatte. Der BGH stellte gleichzeitig klar, dass ein sogenanntes Augenblicksversagen die grobe Fahrlässigkeit im Einzelfall ausschließen kann, wenn die Entscheidung in einer überraschenden Situation ohne echtes Reflexionszeitfenster getroffen wurde.
Diese Nuance ist für Betroffene eines Quishing QR-Code Betrug relevant: Wer am Parkautomaten unter Zeitdruck spontan scannt und im selben Moment eine Bestätigung freigibt, befindet sich in einer strukturell anderen Lage als jemand, der nach einer Bedenkzeit erneut handelt. Ob das im Einzelfall als Augenblicksversagen zu werten ist, muss die konkrete Situation zeigen. Wer bereits ähnliche Erfahrungen mit Anrufen oder SMS gemacht hat, findet Vergleichsfälle im Beitrag zum SMS-Betrug bei ING-Kunden. Ergänzend hat der Generalanwalt beim EuGH in den Schlussanträgen zur Rechtssache C-70/25 vom 5. März 2026 die Auffassung vertreten, dass Banken bei nicht autorisierten Zahlungen zunächst unverzüglich erstatten müssen und sich erst nachgelagert auf grobe Fahrlässigkeit berufen dürfen – ein endgültiges Urteil des EuGH steht in dieser Sache noch aus.
Für die Anzeige einer nicht autorisierten Zahlung gilt eine strenge Ausschlussfrist: Nach § 676b Abs. 2 BGB müssen Betroffene den Widerspruch spätestens 13 Monate nach der Belastungsbuchung gegenüber der Bank geltend machen, sonst erlischt der Erstattungsanspruch unabhängig von seiner ursprünglichen Berechtigung. Wer nach einem Quishing QR-Code Betrug also zunächst zögert, weil der Schaden zunächst gering erscheint, sollte diese Frist nicht unterschätzen.
Landet das erschlichene Geld auf einem fremden Konto, kommt zusätzlich eine bereicherungsrechtliche Rückforderung nach § 812 BGB gegen den Empfänger in Betracht – in der Praxis ist dieses Konto aber häufig ein sogenanntes Finanzagenten-Konto, über das die Täter das Geld binnen Minuten weiterleiten. Ist bereits eine Kontosperre erfolgt, weil die empfangende Bank Verdacht geschöpft hat, ordnet der Beitrag Online-Banking gesperrt nach Betrug die Rechte und Sofortmaßnahmen ein.
Auf europäischer Ebene zeichnet sich mit der geplanten dritten Zahlungsdiensterichtlinie (PSD3) und der begleitenden Zahlungsdiensteverordnung (PSR) ein Paradigmenwechsel ab: Nach der politischen Einigung von Rat und Parlament sowie der finalen Trilog-Einigung im April 2026 sieht Art. 59 des PSR-Entwurfs künftig eine Haftung der Banken und Zahlungsinstitute auch für autorisierte, aber betrügerisch veranlasste Zahlungen vor – insbesondere bei Call-ID-Spoofing. Diese Regelung ist noch nicht in Kraft, sondern durchläuft erst den Weg über das Amtsblatt und eine Übergangsfrist; die heutige Rechtslage richtet sich weiterhin nach §§ 675u und 675v BGB.
Bereits geltendes Recht ist dagegen die Verification of Payee-Pflicht: Seit dem 9. Oktober 2025 müssen Banken bei Euro-Instant-Zahlungen den eingegebenen Namen mit dem tatsächlichen Kontoinhaber abgleichen und bei einer Abweichung warnen. Unterlässt die Bank diese Warnung, kann sie für den daraus entstehenden Schaden haften. Fintech-Konten, die über Banking-as-a-Service-Plattformen laufen, sind von diesen Pflichten nicht ausgenommen, wie der Beitrag zum Phishing bei Fintech-Konten hinter Solaris SE zeigt. Da Instant-Zahlungen in Sekunden ausgeführt werden, bleibt eine Rückholung nach Ausführung praktisch nur über das kulanzbasierte SEPA-Instant-Recall-Verfahren möglich, auf das kein Rechtsanspruch besteht.
Neben der zivilrechtlichen Erstattung sollten Betroffene stets auch strafrechtlich vorgehen: Der klassische Quishing QR-Code Betrug erfüllt den Tatbestand des Betrugs nach § 263 StGB, weil Täter über die Zahlungsseite gezielt einen Menschen täuschen. Eine Strafanzeige bei der Polizei ist unabhängig vom zivilrechtlichen Erstattungsanspruch sinnvoll, da sie die spätere Beweisführung erleichtert und häufig zur Identifizierung von Finanzagenten-Konten beiträgt.
Als Geschädigte oder Geschädigter steht Betroffenen zudem ein Akteneinsichtsrecht nach § 406e StPO zu, das üblicherweise über eine Rechtsanwältin oder einen Rechtsanwalt ausgeübt wird, um die Ermittlungsakte auf verwertbare Hinweise zum Zahlungsweg zu prüfen. Ähnliche Muster zeigt der Vergleich mit gefälschten Amazon-Bestellbestätigungen, bei denen ebenfalls vermeintliche Vertrauensanker missbraucht werden. Zivilrechtliche Ansprüche gegen die eigene Bank verjähren regelmäßig nach drei Jahren gemäß §§ 195, 199 BGB, und wer einen entstandenen Schaden steuerlich geltend machen möchte, findet ergänzende Hinweise im Beitrag zur steuerlichen Absetzbarkeit von Phishing-Schäden.
Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
Quishing ist ein Kunstwort aus QR-Code und Phishing und bezeichnet Betrugsversuche, bei denen manipulierte QR-Codes auf eine gefälschte Zahlungs- oder Login-Seite führen. Häufige Orte sind Parkautomaten, Ladesäulen und gefälschte Paketbenachrichtigungen. Wer den Code scannt, gibt oft unbewusst Karten- oder Bankdaten preis.
Ein QR-Code ist zunächst nur ein Bildmuster, die dahinterliegende Ziel-URL wird erst nach dem Scannen auf dem Endgerät sichtbar. Klassische Filtermechanismen, die Links in E-Mails oder SMS prüfen, greifen deshalb nicht. Erst durch manuelles Prüfen der angezeigten Adresse lässt sich die Fälschung erkennen.
Das hängt vom Einzelfall ab. Wurde lediglich eine Kartenzahlung ausgelöst, greift grundsätzlich § 675u BGB und die Bank muss erstatten. Wurde dagegen eine Push-TAN für eine andere Überweisung freigegeben, prüft die Bank, ob grobe Fahrlässigkeit nach § 675v BGB vorliegt, muss diese aber beweisen.
Zahlungskarte und Online-Banking-Zugang sofort sperren lassen, die Bank schriftlich über die nicht autorisierte Zahlung informieren und eine Strafanzeige bei der Polizei stellen. Screenshots der gefälschten Seite und des QR-Codes sichern, sofern möglich, da sie später als Beweismittel dienen können.
Nach § 676b Abs. 2 BGB gilt eine Ausschlussfrist von 13 Monaten ab der Belastungsbuchung, danach erlischt der Erstattungsanspruch unabhängig von seiner ursprünglichen Berechtigung. In der Praxis sollte die Meldung aber deutlich früher erfolgen, um die Beweislage frisch zu halten.
Ja, der klassische Fall erfüllt den Tatbestand des Betrugs nach § 263 StGB, da die Täter eine Person gezielt über die Zahlungsseite täuschen. Eine Strafanzeige ist neben dem zivilrechtlichen Erstattungsanspruch sinnvoll und unabhängig von diesem zu stellen.
Grundsätzlich besteht ein Rückforderungsanspruch nach § 812 BGB gegen den Kontoinhaber, bei dem das Geld gelandet ist. In der Praxis handelt es sich häufig um kurzfristig genutzte Finanzagenten-Konten, von denen die Beträge bereits weitergeleitet wurden, was die tatsächliche Durchsetzung erschwert.
Nein, die neuen Haftungsregeln für autorisierte, aber betrügerisch veranlasste Zahlungen aus dem PSR-Entwurf sind noch nicht in Kraft. Für aktuelle Schäden gelten weiterhin die §§ 675u und 675v BGB in Verbindung mit der bisherigen BGH-Rechtsprechung.
Seit dem 9. Oktober 2025 müssen Banken bei Euro-Instant-Zahlungen den Empfängernamen mit dem IBAN-Inhaber abgleichen und bei Abweichungen warnen. Unterlässt die Bank diese Warnung, kann sie für einen daraus entstehenden Schaden haftbar sein, was Betroffenen eine zusätzliche Argumentationslinie eröffnet.
Achten Sie auf Aufkleber, die uneben aufgeklebt wirken, leicht über der Originalfläche stehen oder eine abweichende Druckqualität haben. Prüfen Sie nach dem Scan immer die angezeigte Internetadresse, bevor Sie Zahlungs- oder Bankdaten eingeben, und nutzen Sie im Zweifel lieber die offizielle App des Parkraumbewirtschafters.
Quishing – die Kombination aus QR-Code und Phishing – führt Opfer über manipulierte Codes auf gefälschte Bankseiten, wo Login-Daten und TANs abgegriffen werden.
QR-Codes sind praktisch: Ein Scan, und der Browser öffnet eine Webseite. Genau diese Schnelligkeit nutzen Kriminelle beim Quishing QR-Code Betrug aus. Sie kleben gefälschte Codes über echte – auf Parkautomaten, Briefen, Plakaten oder in E-Mails – und leiten Opfer auf professionell gestaltete Phishing-Seiten um.
Das Verhängnis: Während ein verdächtiger Link oft durch die URL erkennbar ist, zeigen QR-Codes die Zieladresse erst nach dem Scan. Klassische Spam-Filter und E-Mail-Sicherheitssysteme erkennen Quishing deutlich schlechter als herkömmliche Phishing-Links, weil der schädliche Inhalt als Bild übermittelt wird.
Wer nach einem Scan Bankdaten eingegeben hat und kurz darauf unberechtigte Abbuchungen feststellt, hat möglicherweise konkrete Erstattungsansprüche gegen seine Bank. Denn nach § 675u BGB müssen Banken nicht autorisierte Zahlungsvorgänge erstatten – es sei denn, sie weisen grobe Fahrlässigkeit des Kunden nach.
Quishing setzt sich aus den Begriffen „QR-Code“ und „Phishing“ zusammen. Es bezeichnet Betrugsversuche, bei denen manipulierte QR-Codes als Einstiegstor dienen, um Opfer auf gefälschte Webseiten zu leiten. Dort werden Zugangsdaten, TANs oder Kreditkartendaten gestohlen.
Der wesentliche Unterschied zu herkömmlichem Phishing: Beim Quishing QR-Code Betrug bleibt die Ziel-URL bis nach dem Scan verborgen. Spam-Filter scannen E-Mail-Texte auf schädliche Links – ein QR-Code als Bild umgeht diese Prüfung in vielen Fällen.
Strafrechtlich erfüllt das Erschleichen von Bankdaten über Quishing typischerweise den Tatbestand des § 263 StGB (Betrug). Wenn automatisierte Datensysteme zur Täuschung missbraucht werden, kommt zusätzlich § 263a StGB (Computerbetrug) in Betracht.
Der Quishing QR-Code Betrug tritt in sehr unterschiedlichen Umgebungen auf. Das macht ihn besonders heimtückisch – Betroffene misstrauen QR-Codes deutlich weniger als unbekannten E-Mail-Links. Typische Angriffsorte:
Besonders gefährlich: QR-Codes aus offiziell wirkenden Briefen. Wer einen Brief von seiner Bank mit dem Hinweis erhält, die Sicherheitseinstellungen zu aktualisieren, ist eher bereit, dem enthaltenen QR-Code zu vertrauen. Diese Variante ist beim Bankbetrug mit BGH-Haftungsfragen bereits Gegenstand gerichtlicher Auseinandersetzungen.
Folgende Merkmale deuten auf einen Quishing-Versuch hin:
Präventiv empfiehlt sich die Nutzung eines QR-Scanners, der die Ziel-URL vor dem Öffnen anzeigt. Viele Smartphone-Kameras öffnen URLs direkt – das lässt keine Kontrolle zu. Apps wie „QR & Barcode Scanner“ (Android) oder die integrierte iOS-Kamera mit URL-Vorschau bieten mehr Transparenz.
Wenn nach einem Quishing-Angriff Geld vom Bankkonto abgebucht wurde, stellt sich die Frage der Bankenhaftung nach PSD2-Recht. Zuständig ist § 675u BGB: Die Bank muss nicht autorisierte Zahlungsvorgänge erstatten. Autorisiert ist eine Transaktion nur, wenn der Zahler tatsächlich und informiert zugestimmt hat.
Der BGH hat in seinem Urteil XI ZR 107/24 vom 22.07.2025 klargestellt: Die Weitergabe einer TAN an Betrüger stellt keine wirksame Autorisierung im Sinne des § 675u Satz 2 BGB dar. Grobe Fahrlässigkeit – die den Erstattungsanspruch nach § 675v BGB ausschließen kann – ist von der Bank zu beweisen.
Ergänzend hat der Generalanwalt des EuGH in den Schlussanträgen zu C-70/25 (05.03.2026) die Auffassung vertreten, dass Banken bei Phishing zunächst erstatten und grobe Fahrlässigkeit nachgelagert prüfen sollen. Ein bindendes EuGH-Endurteil liegt noch nicht vor.
Ob das Scannen eines gefälschten QR-Codes und die anschließende Dateneingabe grobe Fahrlässigkeit begründet, hängt von den Umständen ab: Ein Brief im Corporate Design der Bank, der keinen offensichtlichen Fehler enthält, begründet eher nur leichte Fahrlässigkeit – was den vollen Erstattungsanspruch erhält.
Wenn Sie vermuten, Opfer eines Quishing QR-Code Betrugs geworden zu sein, handeln Sie ohne Verzögerung:
Wer an einem Parkautomaten oder öffentlichen Ort einen gefälschten QR-Code entdeckt, sollte diesen auch dem Betreiber melden. Der Betreiber ist möglicherweise für die Sicherheit seiner Infrastruktur verantwortlich und kann unter Umständen selbst haften. Beim Amazon-Phishing-Betrug zeigen sich ähnliche Haftungskonstellationen bei Plattformanbietern.
Sichern Sie auch das Originalschreiben oder den Ausdruck des gefälschten QR-Codes, falls vorhanden. Ermittler können daraus Rückschlüsse auf die Herkunft ziehen – Papierqualität, Druckbild und Absenderangaben sind forensisch verwertbar. Wer zusätzlich mit Identitätsdiebstahl bei der Bank konfrontiert ist, sollte auch die SCHUFA und andere Auskunfteien über den Vorfall informieren, um einer missbräuchlichen Nutzung personenbezogener Daten vorzubeugen.
Für nicht autorisierte Zahlungsvorgänge gilt die 13-monatige Ausschlussfrist nach § 676b Abs. 2 BGB. Die Frist beginnt mit dem Zeitpunkt der Benachrichtigung durch die Bank – meist der Kontoauszug oder die Transaktionsmitteilung.
Nach Ablauf dieser Frist erlischt der Erstattungsanspruch. Wer also erst später bemerkt, dass eine Abbuchung unberechtigt war, sollte sofort handeln. Die allgemeine Verjährung nach §§ 195, 199 BGB beträgt drei Jahre ab Kenntnis des Schadens.
Die Beweislast liegt bei der Bank: Sie muss nachweisen, dass der Kunde grob fahrlässig gehandelt hat. Eine pauschale Ablehnung mit Hinweis auf die eigene Verantwortung des Kunden ist rechtlich unzureichend. Wer im Bereich Anlagebetrug und Verjährung die Grundlagen versteht, erkennt die Parallelen zu Phishing-Erstattungsfällen.
Quishing-Angriffe richten sich längst nicht mehr nur gegen Privatpersonen. Unternehmen erhalten gefälschte Rechnungen mit QR-Codes, die zu manipulierten Zahlungsportalen führen. Mitarbeiter scannen QR-Codes aus internen Memos – die eigentlich von Angreifern stammen.
Im Unternehmensbereich kommen zusätzliche Haftungsebenen ins Spiel: Hat der Arbeitnehmer grob fahrlässig gehandelt? Hat das Unternehmen ausreichende Sicherheitsschulungen durchgeführt? Haftet möglicherweise ein externer IT-Dienstleister? Diese Fragen sind im Einzelfall zu klären.
Im Unternehmensumfeld sind auch straf- und ordnungswidrigkeitsrechtliche Aspekte relevant: Die Weitergabe von Geschäftsgeheimnissen durch täuschend echte Quishing-Angriffe kann nach dem Geschäftsgeheimnisgesetz (GeschGehG) verfolgt werden – auf Täter- wie auf Opferseite sind Meldepflichten zu beachten.
Grundsätzlich gilt: Je sensibler das Umfeld, desto wichtiger ist die Schulung. Mitarbeiter im Rechnungswesen, im Einkauf oder im HR-Bereich sind besonders exponiert, weil sie regelmäßig mit externen Dokumenten – und damit potenziell gefälschten QR-Codes – umgehen. Regelmäßige Awareness-Maßnahmen und technische Zugangskontrolle reduzieren das Risiko erheblich.
Banken lehnen Quishing-bedingte Erstattungsanträge häufig mit dem Hinweis ab, der Kunde habe seine PIN oder TAN selbst eingegeben. Dieses Argument ist juristisch anfechtbar. Ein Anwalt prüft, ob:
Beim Advanzia-Bank-Phishing und beim Apobank-Phishing zeigen sich ähnliche Argumentationsmuster – und dieselben erfolgreichen Gegenstrategien. Die AK LAW Rechtsanwaltsgesellschaft mbH kennt diese Fälle und weiß, welche Argumente gegen pauschale Ablehnungen der Banken wirksam sind.
Ein anwaltliches Schreiben erhöht den Druck auf die Bank erheblich. Viele Institute erstatten außergerichtlich, wenn die Rechtslage klar dargelegt wird – ohne dass ein Gerichtsverfahren notwendig wird.
Beachten Sie: Beim Quishing QR-Code Betrug, der über einen Parkautomaten-Code funktioniert, kommen neben der Bank auch der Betreiber des Automaten als Haftungsschuldner in Betracht – sofern dieser seine Infrastruktur nicht ausreichend gegen Manipulationen gesichert hat. Solche Mehrfachhaftungskonstellationen sind komplex und erfordern anwaltliche Koordination.
Quishing ist keine Randerscheinung: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt regelmäßig vor dieser Betrugsform. Die Dunkelziffer ist hoch, weil viele Opfer glauben, selbst schuld zu sein, und keine Erstattung fordern.
Das Gesetz sieht das anders: Die Bank trägt die Beweislast für grobe Fahrlässigkeit. Wer einen gefälschten Brief oder Code nicht auf den ersten Blick als Betrug erkennen konnte, handelt möglicherweise nur leicht fahrlässig – und behält seinen Erstattungsanspruch nach § 675u BGB.
Die 13-Monats-Ausschlussfrist nach § 676b BGB macht schnelles Handeln unumgänglich. Wer die richtigen Schritte einleitet – Sperre, Strafanzeige, schriftliche Erstattungsforderung – und sich bei Bedarf anwaltliche Unterstützung holt, hat gute Chancen auf Schadensbegrenzung oder vollständige Erstattung.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
Quishing ist die Kombination aus QR-Code und Phishing. Angreifer ersetzen echte QR-Codes durch gefälschte, die auf Phishing-Seiten führen. Wer dort Bankdaten oder TANs eingibt, ermöglicht den Betrügern Zugriff auf das Konto.
Quishing tritt an Parkautomaten, in Briefen, E-Mails, auf Plakaten und in Restaurant-Menüs auf. Besonders gefährlich sind gefälschte Bankbriefe, die im Corporate Design der jeweiligen Bank gestaltet sind.
Grundsätzlich ja. Nach § 675u BGB müssen Banken nicht autorisierte Zahlungsvorgänge erstatten. Die Bank muss beweisen, dass Sie grob fahrlässig gehandelt haben. Wer einen täuschend echten Quishing-Angriff nicht sofort erkennen konnte, handelt oft nur leicht fahrlässig.
Die Ausschlussfrist nach § 676b Abs. 2 BGB beträgt 13 Monate ab der Transaktionsbenachrichtigung. Danach erlischt der Erstattungsanspruch. Handeln Sie daher so schnell wie möglich.
Nicht automatisch. Der BGH stellte in XI ZR 107/24 (22.07.2025) klar, dass ein kurzes Augenblicksversagen grobe Fahrlässigkeit ausschließen kann. Ob grobe Fahrlässigkeit vorliegt, hängt von der Qualität der Täuschung und den Umständen des Einzelfalls ab.
Scannen Sie ihn nicht. Melden Sie ihn dem Betreiber des Standorts (Parkautomaten-Betreiber, Restaurant, etc.) und der Bundesnetzagentur. Falls Sie den Code bereits gescannt und Daten eingegeben haben: sofort Online-Banking sperren und Bank kontaktieren.
Ja. Quishing erfüllt typischerweise die Tatbestände von § 263 StGB (Betrug) und § 263a StGB (Computerbetrug). Eine Strafanzeige bei der Polizei ist sinnvoll und sichert Beweise für das zivilrechtliche Erstattungsverfahren.
Prüfen Sie, ob der Code physisch aufgeklebt wirkt oder aufgewellt ist. Nutzen Sie einen QR-Scanner, der die URL vor dem Öffnen anzeigt. Misstrauen Sie QR-Codes in E-Mails, die zu sofortigem Handeln auffordern.
Ja. Gefälschte Rechnungen mit QR-Codes führen Mitarbeiter auf manipulierte Zahlungsportale. Unternehmen sollten Mitarbeiter schulen, QR-Codes in Rechnungen immer zu verifizieren, und Zahlungsfreigaben unter einem Vier-Augen-Prinzip durchführen.
Wenn die Bank die Erstattung verweigert, der Schaden erheblich ist oder die Umstände unklar sind, empfiehlt sich anwaltliche Hilfe. Ein Anwalt für Bankrecht prüft, ob grobe Fahrlässigkeit wirklich vorlag, und formuliert die Erstattungsforderung rechtssicher.
Wer in der Kryptowelt eine unbekannte Transaktion unterschreibt, riskiert alles: Wallet Drainer nutzen legitime Blockchain-Mechanismen, um Token-Freigaben zu erschleichen und Wallets innerhalb von Sekunden leerzuräumen.
Ein einziger Klick auf einen präparierten Link, eine harmlos wirkende Schaltfläche „Approve" – und das Guthaben einer MetaMask-Wallet ist weg. Hinter dieser Masche steckt ein Angriffsmuster, das als Ice Phishing oder Approval-Phishing bekannt ist. Der Angreifer bringt das Opfer nicht dazu, den privaten Schlüssel preiszugeben, sondern eine Token-Freigabe (Approval) zu unterschreiben.
Ein MetaMask Wallet Drainer ist ein speziell präparierter Smart Contract oder eine schadhafte DApp, die nach dem Erhalt einer Freigabe alle oder ausgewählte Token aus der Wallet abzieht. Die Transaktion selbst ist technisch legitim – das Opfer hat sie ja unterschrieben. Das macht Rückforderungen so schwierig.
Rechtlich bewegt sich das Feld zwischen § 263 StGB (Betrug), § 263a StGB (Computerbetrug) und den Besonderheiten dezentraler Blockchain-Architekturen. Ein Erstattungsanspruch gegen eine Bank besteht mangels Zahlungsdienstleisterbeziehung meist nicht – der Fokus liegt auf Strafverfolgung und Rückverfolgung der Kryptowerte.
Beim klassischen Phishing werden Passwort oder Seed Phrase gestohlen. Der Angreifer braucht dann direkten Zugriff auf das Konto. Beim MetaMask Wallet Drainer – auch Approval-Phishing oder Ice Phishing genannt – läuft es anders: Das Opfer behält seine Anmeldedaten, unterschreibt aber unwissentlich einen Smart Contract, der dem Angreifer das Recht gibt, Token aus der Wallet zu transferieren.
Diese Genehmigung nennt sich ERC-20 Approval. Sie ist ein legitimer Mechanismus, den dezentrale Protokolle (DEX, Lending, NFT-Marktplätze) benötigen, um auf Token zugreifen zu können. Betrüger missbrauchen diesen Mechanismus, indem sie gefälschte DApps oder manipulierte Transaktionen einsetzen, die eine unbegrenzte Freigabe für ihre eigene Wallet-Adresse verlangen.
Das Ergebnis: Der Drainer-Contract kann jederzeit – auch Stunden oder Tage später – alle freigegebenen Token abziehen. Die Transaktion erscheint in der Blockchain als freiwillige Bewegung, weil das Opfer sie technisch autorisiert hat.
Ein typischer Angriff beginnt auf Social Media: Discord-Server, Twitter/X oder Telegram-Gruppen. Betrüger verschicken Links zu gefälschten NFT-Mint-Seiten, DeFi-Protokollen oder exklusiven Token-Sales. Wer auf den Link klickt und seine MetaMask verbindet, landet auf einer Seite, die optisch kaum vom Original zu unterscheiden ist.
Anschließend erscheint in MetaMask eine Transaktion zur Bestätigung. Die entscheidenden Details – Empfänger-Adresse, Betrag der Freigabe, Art des Contracts – werden entweder verschleiert oder in der Hektik übersehen. Das Opfer klickt auf „Confirm" und glaubt, eine normale Interaktion mit einem legitimen Protokoll vorgenommen zu haben.
Typische Einstiegskanäle:
Der Deepfake-Kryptobetrug mit KI-generierten Promi-Empfehlungen nutzt ähnliche Vertrauensmanipulationen – der technische Endpunkt ist jedoch meist ein Wallet Drainer.
Bevor Sie eine Transaktion in MetaMask bestätigen, prüfen Sie folgende Punkte:
Wer eine verdächtige Transaktion bereits bestätigt hat, aber noch kein Abzug stattgefunden hat: Sofort zu revoke.cash oder approved.zone und die Freigabe widerrufen – dazu ist eine eigene Transaktion nötig.
Der Einsatz eines MetaMask Wallet Drainer erfüllt in Deutschland üblicherweise den Tatbestand von § 263 StGB (Betrug): Wird ein Mensch getäuscht und unterschreibt dadurch selbst die Approval, ist § 263 die einschlägige Hauptnorm. § 263a StGB (Computerbetrug) kann ergänzend in Betracht kommen, ist aber nicht der tragende Tatbestand, da das Opfer durch Täuschung selbst handelt.
Zusätzlich kann § 261 StGB (Geldwäsche) relevant werden: Wenn die abgezogenen Token über Mixer oder Chain-Hopping verschleiert werden, kann sich auch der Empfänger strafbar machen. Das BKA und Eurojust verfolgen international agierende Drainer-Gruppen aktiv.
Die praktische Hürde ist die Anonymität der Täter. Blockchain-Transaktionen sind öffentlich – aber die Identität hinter einer Wallet-Adresse ist ohne Mitwirkung einer Kryptobörse kaum feststellbar. Hier setzt Crypto Tracing an, wie es Crypto-Tracing bei Kryptobetrug beschreibt.
Wenn Ihre MetaMask-Wallet durch einen Drainer geschädigt wurde, gehen Sie strukturiert vor:
Wichtig: Seed Phrase niemals eingeben – auch nicht auf Seiten, die vorgeben, Ihnen bei der Schadensabwicklung zu helfen. Ein zweiter Angriff folgt oft dem ersten. Wer ähnliche Erfahrungen mit dem Advance-Fee-Scam bei Krypto gemacht hat, weiß: Betrug folgt auf Betrug.
Die Blockchain ist unveränderlich – eine autorisierte Transaktion lässt sich nicht rückgängig machen. Dennoch gibt es Wege, Verluste einzudämmen oder zu ersetzen:
Die Verjährung zivilrechtlicher Ansprüche richtet sich nach §§ 195, 199 BGB: Die dreijährige Frist beginnt mit dem Jahresende, in dem Sie Kenntnis vom Täter erlangt haben – was bei anonymen Blockchain-Tätern den Fristbeginn verschieben kann. Eine frühzeitige Strafanzeige unterbricht den Lauf der zivilrechtlichen Verjährung nicht, sichert aber Beweise.
Der wirksamste Schutz gegen einen MetaMask Wallet Drainer ist eine konsequente Approval-Hygiene: Geben Sie niemals unbegrenzte Token-Freigaben. Widerrufen Sie nach jeder DApp-Interaktion die erteilten Freigaben. Prüfen Sie monatlich auf revoke.cash, welche aktiven Approvals noch bestehen.
Zusätzliche Schutzschichten:
Wer Kryptowerte langfristig sicher aufbewahren und handeln möchte, findet beim Handel mit Kryptowährungen wichtige Hinweise zu sicheren Verwahrungsmodellen.
Bei kleinen Beträgen unter 500 € oder USD-Äquivalent übersteigen die Kosten des Crypto Tracings oft den Schaden. Ab einem Verlust von einigen Tausend Euro ändert sich die Rechnung. Ein Anwalt für Kapitalmarktrecht und Blockchain-Recht kann einschätzen, ob Tracing-Maßnahmen Aussicht auf Erfolg haben.
Anwaltliche Hilfe ist sinnvoll, wenn:
Beim Krypto-Betrug und dem Weg zurück zum Geld finden Sie einen Überblick über die rechtlichen Möglichkeiten, die auch bei Wallet-Drainer-Angriffen anwendbar sind. Ebenfalls relevant: der Anwalt für Finanzbetrug bei Kryptowerten.
Ein MetaMask Wallet Drainer nutzt legitime Blockchain-Mechanismen und die Sorglosigkeit beim Unterzeichnen von Transaktionen aus. Die technische Unwiderruflichkeit einer Blockchain-Transaktion macht Rückforderungen schwieriger als bei klassischem Bankbetrug – aber nicht unmöglich.
Prävention kommt vor Reaktion: Hardware Wallets, Approval-Hygiene und kritisches Hinterfragen jeder Transaktion sind die wirksamsten Maßnahmen. Wer dennoch Opfer wird, sollte sofort verbleibende Token sichern, Approvals widerrufen, Strafanzeige erstatten und – bei nennenswerten Schäden – einen auf Kryptobetrug spezialisierten Anwalt aufsuchen.
Zentralisierte Börsen als Endpunkte gestohlener Funds bieten eine realistische Chance auf Einfrierung. Je schneller gehandelt wird, desto höher ist die Wahrscheinlichkeit, dass die Gelder noch nicht weitergeleitet wurden. Beim Binance-Phishing und anderen Exchanges-Betrugsfällen haben gerichtlich erzwungene Einfrierungen bereits funktioniert.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
Ein Wallet Drainer ist ein bösartiger Smart Contract oder eine präparierte DApp, die nach Erhalt einer Token-Freigabe (Approval) alle oder ausgewählte Token aus einer Krypto-Wallet abzieht. Das Opfer hat die Freigabe unwissentlich selbst unterschrieben.
Bei Ice Phishing wird die Seed Phrase nicht gestohlen. Stattdessen erschleichen Angreifer eine ERC-20 Approval – eine Genehmigung, Token im Namen des Opfers zu transferieren. Der Angriff ist technisch unauffälliger und wird oft spät bemerkt.
Besuchen Sie revoke.cash oder approved.zone, verbinden Sie Ihre kompromittierte Wallet und widerrufen Sie alle verdächtigen Freigaben. Der Widerruf ist selbst eine Blockchain-Transaktion und kostet eine kleine Gas-Gebühr.
Blockchain-Transaktionen sind unwiderruflich. Wenn die gestohlenen Token jedoch an eine regulierte Börse übertragen wurden, kann ein Gerichtsbeschluss die Einfrierung erzwingen. Crypto Tracing erhöht die Chance, den Geldfluss nachzuverfolgen.
Ja. Approval-Phishing erfüllt typischerweise den Tatbestand von § 263 StGB (Betrug) als Hauptnorm, da das Opfer durch Täuschung selbst handelt. § 263a StGB (Computerbetrug) kann ergänzend in Betracht kommen. Zusätzlich kann § 261 StGB (Geldwäsche) relevant sein, wenn gestohlene Funds verschleiert werden.
Verwenden Sie ein Hardware Wallet (Ledger, Trezor) für höhere Bestände. Erteilen Sie niemals unbegrenzte Token-Freigaben. Widerrufen Sie Approvals nach jeder DApp-Interaktion. Nutzen Sie Simulations-Tools wie Pocket Universe, bevor Sie eine Transaktion bestätigen.
Ab einem Schaden von etwa 1.000 € ist anwaltliche Unterstützung sinnvoll. Ein Anwalt kann Crypto-Tracing-Maßnahmen koordinieren, Strafanzeigen fachkundig formulieren und rechtliche Schritte zur Einfrierung bei Börsen einleiten.
Sofort alle verbleibenden Token an eine neue, sichere Wallet transferieren. Danach auf revoke.cash die erteilte Freigabe widerrufen. Den Transaktions-Hash auf Etherscan dokumentieren und Strafanzeige erstatten.
Da beim Drainer-Angriff kein Veräußerungsgeschäft vorliegt (die Token werden gestohlen, nicht veräußert), scheidet ein Verlustabzug nach § 23 EStG in der Regel aus. Die steuerliche Behandlung von Krypto-Diebstahlsverlusten ist umstritten und nicht als gesicherter Verlustabzug darstellbar – steuerrechtliche Beratung empfiehlt sich.
Prüfen Sie die URL sorgfältig auf Tippfehler oder zusätzliche Zeichen. Verifizieren Sie die offizielle Domain des Protokolls auf deren Twitter/X-Profil oder GitHub. Nutzen Sie Browserwarnungen und misstrauen Sie Links aus Discord-Nachrichten oder DMs.
Trade Republic Phishing richtet sich gegen Neobroker-Kunden, die Aktien, ETFs und Kryptowerte handeln – Betrüger kombinieren gefälschte Login-Seiten mit gezielter Manipulation, um Depot und Verrechnungskonto leerzuräumen.
Trade Republic ist mit über acht Millionen Kunden der größte Neobroker in Deutschland. Diese Reichweite macht die Plattform zu einem attraktiven Ziel für Phishing-Angriffe. Kriminelle versenden gefälschte E-Mails, erstellen täuschend echte Login-Seiten und nutzen Social Engineering, um Zugangsdaten und TANs abzugreifen.
Das Besondere beim Trade Republic Phishing: Im Gegensatz zu klassischem Bankkonto-Phishing ermöglicht ein erfolgreicher Angriff nicht nur den Zugriff auf das Verrechnungskonto, sondern auch auf das gesamte Wertpapierdepot. Aktien und ETFs können innerhalb von Minuten verkauft und der Erlös abgezogen werden.
Rechtlich gelten für Trade Republic dieselben Regeln wie für klassische Banken: Als BaFin-reguliertes Institut unterliegt Trade Republic den Vorschriften der Zahlungsdiensterichtlinie PSD2. Das bedeutet: Bei nicht autorisierten Transaktionen greift § 675u BGB – mit erheblichen Konsequenzen für die Erstattungspflicht.
Trade Republic Bank GmbH besitzt eine von der BaFin erteilte Vollbanklizenz und untersteht der BaFin-Aufsicht.Als Zahlungsvermittler im Sinne des Zahlungsdiensteaufsichtsgesetzes (ZAG) und des BGB gilt für Trade Republic dasselbe Haftungsregime wie für jede Hausbank.
Das bedeutet: Wer durch Phishing Geld verliert, hat grundsätzlich einen Erstattungsanspruch nach § 675u BGB. Der Anbieter muss unautorisierte Zahlungsvorgänge erstatten – es sei denn, er kann grobe Fahrlässigkeit oder Vorsatz des Kontoinhabers nachweisen.
Dieser Nachweis ist Sache der Bank, nicht des Kunden. Die Beweislastumkehr ist ein zentrales Element des PSD2-Haftungsrahmens und schützt Verbraucher vor einer pauschalen Ablehnung nach einem Phishing-Vorfall.
Die häufigsten Angriffsvektoren beim Trade Republic Phishing sind:
Besonders riskant: Trade Republic nutzt eine Single-App-Architektur ohne separates Browser-Banking. Betroffene werden dazu gebracht, ihre Anmeldedaten in einer gefälschten Webansicht einzutragen, die sie für die offizielle App halten.
Folgende Merkmale weisen auf einen Phishing-Angriff gegen Trade Republic hin:
Fällt Ihnen eine verdächtige Nachricht auf, leiten Sie diese an security@traderepublic.com weiter und löschen Sie sie anschließend. Klicken Sie unter keinen Umständen auf enthaltene Links. Wer ähnliche Maschen bei anderen Banken kennt, findet beim Comdirect-Phishing oder DKB-Phishing vergleichbare Vorgehensweisen.
Das Haftungsregime der PSD2 unterscheidet drei Szenarien. Erstens: Der Zahlungsvorgang war überhaupt nicht autorisiert – dann muss Trade Republic nach § 675u BGB sofort erstatten. Zweitens: Der Kunde war leicht fahrlässig – dann besteht dennoch ein Erstattungsanspruch, der Selbstbehalt ist auf 50 € begrenzt. Drittens: Der Kunde handelte grob fahrlässig – dann kann Trade Republic die Erstattung nach § 675v BGB verweigern.
Der BGH hat in seinem Urteil vom 22.07.2025 (XI ZR 107/24) klargestellt, was grobe Fahrlässigkeit bedeutet: Eine Kundin, die am Tag nach einem Phishing-Anruf eine TAN weitergab, verlor ihren Erstattungsanspruch. Das Gericht bewertete dies als grob fahrlässig. Allerdings hielt der BGH gleichzeitig fest: Die Weitergabe einer TAN ist keine Autorisierung des Zahlungsvorgangs nach § 675u Satz 2 BGB.
Das bedeutet für Betroffene: Auch wenn Sie eine TAN weitergegeben haben, ist Ihr Erstattungsanspruch nicht automatisch erloschen. Entscheidend ist, ob im konkreten Fall wirklich grobe Fahrlässigkeit vorlag – oder ob ein „Augenblicksversagen“ vorlag, das nach BGH-Rechtsprechung grobe Fahrlässigkeit ausschließen kann.
Ergänzend dazu hat der Generalanwalt beim EuGH in den Schlussanträgen zu EuGH C-70/25 (05.03.2026) die Auffassung vertreten, dass Banken zunächst erstatten und grobe Fahrlässigkeit nachgelagert prüfen sollen – ein Endurteil liegt noch nicht vor.
Für unautorisierte Zahlungsvorgänge gilt eine 13-monatige Ausschlussfrist nach § 676b Abs. 2 BGB. Die Frist beginnt mit dem Zeitpunkt, zu dem Trade Republic Sie über den Zahlungsvorgang informiert hat – typischerweise durch die Transaktionsbenachrichtigung in der App.
Wer die Buchung also erst spät bemerkt, hat ab dem Zeitpunkt der Benachrichtigung 13 Monate Zeit, Ansprüche geltend zu machen. Nach Ablauf dieser Frist erlischt der Anspruch – unabhängig davon, ob Betrug vorlag.
Depot-Schäden – also der Verlust durch Zwangsverkauf von Wertpapieren – sind komplexer zu berechnen. Hier kann zusätzlich ein Schadensersatzanspruch nach § 823 BGB bestehen, wenn Trade Republic Sicherheitspflichten verletzt hat. Die allgemeine Verjährungsfrist nach §§ 195, 199 BGB beträgt drei Jahre ab Kenntnis des Schadens.
Wenn Sie vermuten, dass Ihr Trade Republic Konto kompromittiert wurde, zählt jede Minute:
Informieren Sie auch Ihre Hausbank, falls das Trade Republic Verrechnungskonto mit einem externen Konto verknüpft ist. Dort könnte eine zusätzliche Absicherung möglich sein. Wer auch über Hacking des Bankkontos informiert sein möchte, findet dort weitere Handlungsoptionen.
Nach dem Soforttätigwerden folgt der formelle Erstattungsprozess. Reichen Sie bei Trade Republic eine schriftliche Erstattungsforderung ein, die folgende Elemente enthält: genaue Transaktionsdaten, Beschreibung des Phishing-Vorgangs, Verweis auf § 675u BGB und die Aufforderung zur Erstattung binnen 14 Tagen.
Trade Republic ist verpflichtet, den Vorgang zu prüfen und Stellung zu nehmen. Verweigert das Unternehmen die Erstattung, stehen folgende rechtliche Wege offen:
Wer den EuGH-Entscheid zum Phishing 2026 im Blick behält, erkennt: Die europäische Rechtsprechung tendiert dazu, Banken härter in die Pflicht zu nehmen. Der Generalanwalt sprach sich in C-70/25 für eine vorläufige Erstattungspflicht aus.
Trade Republic lehnt viele Erstattungsanträge zunächst mit dem Hinweis auf grobe Fahrlässigkeit des Kunden ab. Ob dieser Vorwurf tatsächlich trägt, hängt von den Umständen des Einzelfalls ab. Genau diese Analyse ist die Aufgabe eines Anwalts.
Ein Anwalt für Bank- und Kapitalmarktrecht prüft, ob die Sicherheitssysteme von Trade Republic den Anforderungen der Starken Kundenauthentifizierung (SCA) nach PSD2 entsprochen haben. Falls nicht, kann dies zu einer eigenen Haftung führen – unabhängig von der Frage der Fahrlässigkeit des Kunden. Die Parallelen zu anderen Instituten – etwa beim Commerzbank-Phishing oder beim Advanzia-Phishing – zeigen: Anwaltliche Unterstützung erhöht die Erfolgsaussichten erheblich.
Bei Depot-Schäden kommt hinzu, dass Wertpapiergewinne möglicherweise nachzuversteuern sind. Hier empfiehlt sich die Abstimmung zwischen Anwalt und Steuerberater, um den Gesamtschaden zutreffend zu berechnen.
Ein Phishing-Angriff auf das Trade Republic Konto ist kein schicksalhafter Schaden, den man einfach hinnehmen muss. Das Gesetz gibt Betroffenen konkrete Werkzeuge an die Hand: Erstattungsanspruch nach § 675u BGB, 13-Monats-Frist nach § 676b BGB und eine Beweislast, die bei Trade Republic und nicht beim Kunden liegt.
Der BGH-Entscheid XI ZR 107/24 vom 22.07.2025 mahnt zur Sorgfalt beim Umgang mit TANs – schließt einen Erstattungsanspruch aber nicht kategorisch aus. Augenblicksversagen kann grobe Fahrlässigkeit ausschließen, und die TAN-Weitergabe allein bedeutet keine Autorisierung des Zahlungsvorgangs.
Wer nach einem Trade Republic Phishing-Vorfall die richtigen Schritte einleitet, die Fristen beachtet und sich rechtzeitig rechtliche Unterstützung holt, hat gute Chancen auf vollständige oder teilweise Erstattung. Der Weg dorthin führt über eine saubere Dokumentation, eine formelle Erstattungsforderung und – bei Weigerung – den Rechtsweg.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
Grundsätzlich ja. Wer von Trade Republic Phishing betroffen ist, hat als Kunde eines regulierten Kreditinstituts nach § 675u BGB Anspruch auf Erstattung nicht autorisierter Zahlungsvorgänge. Die Bank muss nachweisen, dass der Kunde grob fahrlässig gehandelt hat – eine pauschale Ablehnung reicht nicht.
Grobe Fahrlässigkeit liegt vor, wenn jemand die im Verkehr erforderliche Sorgfalt in besonders grobem Maße missachtet. Der BGH entschied in XI ZR 107/24 (22.07.2025), dass die TAN-Weitergabe am Tag nach einem Phishing-Anruf grob fahrlässig sein kann. Ein kurzes Augenblicksversagen kann dagegen grobe Fahrlässigkeit ausschließen.
Die Ausschlussfrist nach § 676b Abs. 2 BGB beträgt 13 Monate ab dem Zeitpunkt der Benachrichtigung über den Zahlungsvorgang. Warten Sie nicht zu lange: Je früher die Meldung erfolgt, desto besser stehen die Chancen auf Erstattung.
Ja. Wenn Wertpapiere durch Betrüger zwangsverkauft wurden, besteht neben dem Erstattungsanspruch möglicherweise ein Schadensersatzanspruch nach § 823 BGB. Die Berechnung des genauen Schadens sollte anwaltlich begleitet werden.
Sofort die Trade Republic Hotline anrufen und das Konto sperren lassen, das Passwort ändern, alle verdächtigen Transaktionen dokumentieren und Strafanzeige wegen Betrugs nach § 263 StGB (ggf. ergänzend § 263a StGB) erstatten. Bewahren Sie die Phishing-Nachricht als Beweis auf.
Ja. Trade Republic Bank GmbH besitzt eine von der BaFin erteilte Vollbanklizenz und untersteht der BaFin. Damit gelten dieselben PSD2-Haftungsregeln wie für jedes andere Kreditinstitut – einschließlich der Erstattungspflicht nach § 675u BGB.
Ja. Die BaFin nimmt Beschwerden über beaufsichtigte Institute entgegen. Eine Beschwerde ist kein Ersatz für eine zivilrechtliche Forderung, erhöht aber den Druck auf das Institut und kann Aufsichtsmaßnahmen auslösen.
Nein. Der BGH stellte in XI ZR 107/24 klar, dass die TAN-Weitergabe an Betrüger keine Autorisierung im Sinne des § 675u Satz 2 BGB darstellt. Der Erstattungsanspruch besteht dem Grunde nach – er kann aber durch grobe Fahrlässigkeit eingeschränkt werden.
Bei einfacher Fahrlässigkeit bleibt der Erstattungsanspruch bestehen, der Selbstbehalt ist auf 50 € begrenzt. Grobe Fahrlässigkeit – also besonders schwerwiegende Sorgfaltsverletzungen – kann den Anspruch nach § 675v BGB vollständig ausschließen.
Der wesentliche Unterschied liegt im Angriffsziel: Beim Neobroker-Phishing können nicht nur Kontobeträge, sondern auch das gesamte Wertpapierdepot durch Zwangsverkauf geschädigt werden. Der rechtliche Rahmen ist identisch, der potenzielle Schaden jedoch oft deutlich höher.
Wer plötzlich unbekannte Posten auf der Mobilfunkrechnung entdeckt, ist möglicherweise Opfer von Drittanbieter-Betrug per WAP-Billing – einem Abrechnungsverfahren, das Betrüger gezielt missbrauchen.
Auf der monatlichen Mobilfunkrechnung taucht ein Betrag auf, den Sie nie bestellt haben. Hinter Begriffen wie "Infodienst", "Spieleabo" oder "Premium-Content" verbergen sich Drittanbieter-Dienste, die über Ihren Mobilfunkanbieter abgerechnet werden – oft ohne dass Sie aktiv zugestimmt haben. Dieses Verfahren heißt WAP-Billing.
Der Drittanbieter Handyrechnung Betrug funktioniert technisch so: Beim Besuch einer manipulierten Webseite wird über das Mobilfunknetz automatisch eine Bestellung ausgelöst. Eine Zahlungsbestätigung per Klick oder PIN fehlt in vielen Fällen völlig. Das Geld fließt trotzdem.
Rechtlich bewegen sich solche Maschen im Grenzbereich zwischen § 263 StGB (Betrug) und zivilrechtlichen Rückforderungsansprüchen. Wer die Fristen kennt und richtig vorgeht, hat gute Chancen, das Geld zurückzubekommen.
WAP-Billing steht für „Wireless Application Protocol Billing" – eine Abrechnungsmethode, bei der Drittanbieter Kosten direkt über die Mobilfunkrechnung einziehen dürfen. Der Mobilfunkanbieter fungiert dabei als Inkassostelle und leitet Zahlungen an den Drittanbieter weiter.
Das Problem: Ein einfacher Klick auf einen präparierten Link, ein Werbebanner oder das versehentliche Tippen auf eine unseriöse Seite kann genügen, um ein Abonnement auszulösen. Die technische Einwilligung wird dabei oft konstruiert – etwa durch eine vorausgefüllte Checkbox, die man übersehen hat.
Bundesnetzagentur und Verbraucherzentralen warnen seit Jahren vor diesen Maschen. Trotzdem bleibt WAP-Billing eine legale Schnittstelle im Mobilfunknetz – die Verantwortung liegt oft beim Drittanbieter, nicht beim Netzbetreiber.
Der typische Ablauf beginnt auf einer Webseite, die über das Mobilfunknetz – nicht über WLAN – aufgerufen wird. Nur so funktioniert WAP-Billing, weil dabei die Handynummer automatisch übermittelt wird. Betrüger achten darauf, dass Opfer über mobile Daten surfen.
Häufige Einstiegspunkte beim Drittanbieter Handyrechnung Betrug sind:
Das eigentliche Abo-Modell läuft meist über einen zwischengeschalteten Aggregator, der den Drittanbieter mit dem Mobilfunknetz verbindet. Diese Struktur macht es schwieriger, direkt gegen den Urheber vorzugehen – erleichtert aber gleichzeitig Rückforderungen über den Mobilfunkanbieter.
Viele Betroffene bemerken den Drittanbieter Handyrechnung Betrug erst nach mehreren Monaten. Prüfen Sie Ihre Rechnung daher monatlich auf folgende Merkmale:
Vergleichen Sie auch Ihre bisherigen Rechnungen, falls Sie ältere Abrechnungen noch besitzen. Manchmal läuft ein solches Abo monatelang, bevor man es bemerkt.
Aus strafrechtlicher Sicht erfüllt eine heimliche Abo-Aktivierung ohne echte Einwilligung die Voraussetzungen von § 263 StGB (Betrug) oder ergänzend § 263a StGB (Computerbetrug) – letzteres erfasst Manipulationen automatischer Datenverarbeitungsvorgänge.
Zivilrechtlich gilt: Ein Vertrag kommt nur durch zwei übereinstimmende Willenserklärungen zustande. Wenn die angebliche Zustimmung durch ein irreführendes Interface erschlichen wurde, ist sie anfechtbar wegen arglistiger Täuschung. Die Forderung des Drittanbieters besteht dann nicht wirksam.
Hinzu kommt: Die primäre Grundlage für die Rückforderung bereits gezahlter Beträge ist § 812 BGB (ungerechtfertigte Bereicherung), da mangels wirksamen Vertrags kein Rechtsgrund für die Zahlung bestand. Der Mobilfunkanbieter, der als Inkassostelle fungiert, kann unter Umständen zusätzlich nach § 826 BGB (sittenwidrige vorsätzliche Schädigung) zur Verantwortung gezogen werden, wenn er trotz Kenntnis von betrügerischen Drittanbietern weiterhin deren Forderungen einzieht. Entsprechende Fälle wurden bereits gerichtlich entschieden.
Alle großen deutschen Mobilfunkanbieter sind verpflichtet, auf Anfrage eine Drittanbietersperre einzurichten. Diese unterbindet zukünftige WAP-Billing-Abonnements vollständig. Die Sperre ist kostenlos und sollte sofort beantragt werden – unabhängig davon, ob bereits ein Schaden entstanden ist.
So beantragen Sie die Sperre:
Die Sperre gilt für neue Abonnements – bereits laufende müssen separat gekündigt werden. Rückforderungen bereits gebuchter Beträge sind davon unabhängig möglich.
Wichtig: Die Drittanbietersperre betrifft ausschließlich WAP-Billing-Dienste. Andere kostenpflichtige Dienste – etwa Premium-SMS oder Roaming-Zusatzkosten – werden davon nicht erfasst. Sprechen Sie Ihren Anbieter gezielt auf die verschiedenen Sperrkategorien an, damit keine Lücke entsteht. Einige Anbieter unterscheiden außerdem zwischen einer Sperre für Neuabonnements und einer vollständigen Abräumsperre – letztere ist die sicherere Option.
Für die Rückforderung unberechtigter Drittanbieter-Beträge gelten zwei wesentliche Fristen. Die erste ist die 8-Wochen-Frist für SEPA-Lastschriften: Wenn der Mobilfunkanbieter per Lastschrift einzieht, kann die Abbuchung binnen acht Wochen ohne Angabe von Gründen durch Ihre Bank zurückgebucht werden.
Darüber hinaus existiert für unautorisierte Zahlungsvorgänge die 13-Monats-Frist nach § 676b Abs. 2 BGB. Diese ermöglicht auch dann eine Rückforderung, wenn die reguläre Lastschrift-Frist bereits abgelaufen ist – allerdings nur bei tatsächlich nicht autorisierten Transaktionen.
Parallel dazu beginnt die reguläre Verjährungsfrist nach §§ 195, 199 BGB am Ende des Jahres, in dem Sie Kenntnis vom Schaden erlangt haben. Sie beträgt drei Jahre – was in vielen Fällen noch Spielraum lässt.
Beim Bankbetrug und der Haftung nach BGH-Rechtsprechung sind die Grundsätze ähnlich gelagert: Entscheidend ist, wann der Geschädigte von der unberechtigten Buchung Kenntnis erlangt hat.
Sobald Sie einen unberechtigten Drittanbieter-Posten entdecken, sollten Sie folgende Schritte einleiten:
Wer mehrere Monate betroffen war, sollte alle Rechnungen der vergangenen 13 Monate prüfen und gebündelt zurückfordern. Ähnliche Muster finden sich beim App-Store-Betrug, wo ebenfalls unberechtigte Abos über Plattform-Abrechnungen laufen.
Zusätzlich ist es sinnvoll, Ihren Browser auf einem mobilen Gerät über WLAN statt über das Mobilfunknetz zu nutzen, solange die Sperre noch nicht aktiv ist. WAP-Billing funktioniert nur über die Mobilfunkverbindung – über WLAN kann keine automatische Identifikation Ihrer Rufnummer stattfinden. Das reduziert das Risiko einer erneuten Abo-Aktivierung erheblich, bis die Drittanbietersperre beim Anbieter technisch eingerichtet ist.
In der Praxis weigern sich manche Mobilfunkanbieter zunächst, bereits weitergereichte Beträge zu erstatten – mit dem Argument, der Vertrag sei mit dem Drittanbieter zustande gekommen. Diese Haltung ist rechtlich angreifbar.
Der BGH hat in mehreren Entscheidungen klargestellt, dass Mobilfunkanbieter, die als Zahlungsvermittler agieren, eine eigene Verantwortung tragen. Wer systematisch Forderungen dubiöser Drittanbieter einzieht, kann nach § 826 BGB (sittenwidrige Schädigung) zur Verantwortung gezogen werden.
Hartnäckigen Fällen ist mit einer anwaltlichen Abmahnung beizukommen, die den Mobilfunkanbieter direkt in die Pflicht nimmt. Gleichzeitig können Sie den Drittanbieter auf Rückzahlung verklagen – notfalls im Mahnverfahren. Verbraucherschlichtungsstellen bieten zudem kostenlose Mediation an. Zum Vergleich lohnt der Blick auf Betrug durch Finanzberater, wo ähnliche Haftungskonstellationen entstehen.
Bei einem einzelnen Betrag unter 10 € lohnt sich der Rechtsweg selten – die Hürde liegt woanders: Wenn die Rückforderung abgelehnt wird, Beträge über mehrere Monate auflaufen oder der Drittanbieter nicht reagiert, verändert sich die Kosten-Nutzen-Rechnung grundlegend.
Anwaltliche Unterstützung ist sinnvoll, wenn:
Ein Anwalt für Bank- und Kapitalmarktrecht kennt die relevante Rechtsprechung, formuliert die Rückforderung rechtssicher und kann – falls nötig – sofort klagweise vorgehen. Ähnliche Beratungsleistungen sind beim Arbitrage-Bot-Betrug und beim Amazon-Phishing-Betrug erfällig.
WAP-Billing-Missbrauch trifft jährlich Hunderttausende Verbraucher. Die technische Intransparenz dieser Abrechnungsmethode macht es für Laien schwer, sofort zu reagieren. Wer aber die richtigen Schritte kennt – Drittanbietersperre, schriftliche Kündigung, Rückbuchung und ggf. Strafanzeige –, hat gute Aussichten auf Rückerstattung.
Entscheidend ist das schnelle Handeln innerhalb der Fristen. Die 8-Wochen-Frist für SEPA-Lastschriften läuft ab Buchungsdatum. Die 13-Monats-Frist nach § 676b BGB gibt mehr Zeit – setzt aber voraus, dass der Zahlungsvorgang tatsächlich nicht autorisiert war.
Komplexere Fälle – mit hartnäckigen Anbietern oder größerem Schadensumfang – sollten anwaltlich begleitet werden. Auch bei ähnlichen Maschen wie dem Anlagebetrug aus dem Ausland gilt: Je früher rechtliche Hilfe eingeholt wird, desto besser stehen die Chancen. Wer die Verjährungsfristen beim Anlagebetrug kennt, findet übrigens ähnliche Grundsätze wie beim Drittanbieter Handyrechnung Betrug.
Wer nach einem Drittanbieter Handyrechnung Betrug rechtliche Unterstützung benötigt, findet in der AK LAW Rechtsanwaltsgesellschaft mbH einen erfahrenen Partner. Die Kanzlei ist auf Bank- und Kapitalmarktrecht spezialisiert und kennt die spezifischen Haftungskonstellationen zwischen Mobilfunkanbietern, Aggregatoren und Drittanbietern. Ein erstes Gespräch klärt, welche Ansprüche in Ihrem konkreten Fall bestehen und wie diese durchgesetzt werden können.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
WAP-Billing ist ein Abrechnungsverfahren, bei dem Drittanbieter Kosten direkt über den Mobilfunkanbieter einziehen. Ein Klick auf eine präparierte Seite kann genügen, um ein Abo auszulösen – die echte Einwilligung fehlt dabei oft vollständig.
Achten Sie auf unbekannte Positionen mit Begriffen wie "Infodienst", "Premium-Content" oder "Medienabo". Kleinstbeträge unter 5 €, die monatlich wiederkehren, und unbekannte Firmenbezeichnungen sind typische Merkmale.
Ja. Per SEPA-Lastschrift-Rückbuchung (8 Wochen), über die 13-Monats-Frist nach § 676b BGB bei nicht autorisierten Zahlungen oder über zivilrechtliche Rückforderung nach § 812 BGB (ungerechtfertigte Bereicherung) bei fehlendem wirksamen Vertrag.
Eine Drittanbietersperre verhindert, dass zukünftige WAP-Billing-Abonnements über Ihren Mobilfunkvertrag abgerechnet werden. Sie beantragen sie kostenlos per Hotline oder im Online-Kundenkonto Ihres Mobilfunkanbieters.
Unter Umständen ja. Wer systematisch Forderungen dubiöser Drittanbieter einzieht, kann nach § 826 BGB wegen sittenwidriger Schädigung haften. Im Einzelfall prüft dies ein Anwalt für Bankrecht.
Schreiben Sie dem Drittanbieter per E-Mail oder Einschreiben und verlangen Sie sofortige Kündigung sowie Rückerstattung bereits bezahlter Beträge. Widerrufen Sie außerdem die Einwilligung und informieren Sie Ihren Mobilfunkanbieter schriftlich.
Bei SEPA-Lastschriften besteht eine 8-Wochen-Frist ab Buchungsdatum. Für nicht autorisierte Zahlungsvorgänge gilt zusätzlich die 13-Monats-Ausschlussfrist nach § 676b Abs. 2 BGB. Die allgemeine Verjährung beträgt drei Jahre ab Kenntnis des Schadens.
Ja. Wenn die Abo-Aktivierung durch eine täuschende Oberfläche erfolgte, kommt § 263 StGB (Betrug) oder § 263a StGB (Computerbetrug) in Betracht. Eine Strafanzeige bei der Polizei erhöht den Druck auf den Drittanbieter.
Wenden Sie sich an Ihren Mobilfunkanbieter und verlangen Sie, die Weiterleitung der Zahlung zu stoppen. Zusätzlich können Sie die Bundesnetzagentur informieren und anwaltliche Hilfe in Anspruch nehmen, um den Drittanbieter zu identifizieren und rechtlich zu belangen.
Wenn der Mobilfunkanbieter die Erstattung verweigert, mehrere Monate betroffen sind oder der Gesamtschaden 50 € übersteigt, ist anwaltliche Unterstützung sinnvoll. Ein Anwalt für Bankrecht kennt die relevante Rechtsprechung und kann schnell handeln.
Krypto-Unternehmen unterliegen 2026 verschärften Pflichten – von der CASP-Lizenz nach MiCAR bis zur Travel Rule: Wer Geldwäsche-Compliance vernachlässigt, riskiert empfindliche BaFin-Sanktionen und persönliche Geschäftsführerhaftung.
Die Krypto-Branche steht vor einem regulatorischen Wendepunkt. Mit der MiCAR VO (EU) 2023/1114 und dem novellierten Geldwäschegesetz (GwG) gelten ab 2026 für Krypto-Dienste-Anbieter (CASPs) verbindliche Compliance-Standards, die bisher nur Banken und Finanzdienstleistern bekannt waren. Die Übergangsfrist endet auf EU-Ebene am 01.07.2026; in Deutschland endete die nationale Übergangsfrist nach KMAG bereits früher (ca. Ende Dezember 2025).
Wer eine Krypto-Börse, einen Wallet-Dienst oder einen Token-Emittenten betreibt, muss jetzt prüfen: Bin ich als CASP zulassungspflichtig? Erfüllt mein KYC-Prozess die gesetzlichen Anforderungen? Habe ich die Travel Rule vollständig technisch umgesetzt? Die Antworten auf diese Fragen entscheiden darüber, ob das Unternehmen nach dem Stichtag 01.07.2026 weiterhin operieren darf oder gezwungen ist, den Betrieb einzustellen.
Dieser Beitrag erklärt die wichtigsten Anforderungen der Geldwäsche Compliance Krypto, die Haftungsrisiken für Geschäftsführer nach § 261 StGB und wie ein prüfsicheres Compliance-System aussieht.
Geldwäsche nach § 261 StGB bezeichnet das Einschleusen von Geldern aus strafbaren Handlungen in den regulären Wirtschaftskreislauf. Krypto-Werte sind aufgrund ihrer Pseudonymität besonders attraktiv für diesen Zweck. Der Gesetzgeber reagiert darauf mit einer schrittweise erweiterten Regulierung.
Das Geldwäschegesetz (GwG) verpflichtet Krypto-Unternehmen bereits heute zu umfassenden Sorgfaltspflichten. Zentrales Element ist die Identifizierung von Kunden (KYC – Know Your Customer), das laufende Transaktionsmonitoring sowie die Meldung verdächtiger Transaktionen an die Financial Intelligence Unit (FIU). Wer diese Pflichten nicht erfüllt, riskiert hohe Bußgelder.
Ab dem 01.07.2026 gelten mit MiCAR zusätzlich europaweit einheitliche Anforderungen. Die BaFin führt ein öffentliches CASP-Register, in dem alle zugelassenen Krypto-Dienste-Anbieter gelistet sind. Kunden und Behörden können so einfach prüfen, ob ein Anbieter reguliert ist. Wer ohne CASP-Zulassung nach MiCAR Krypto-Dienste erbringt, macht sich strafbar (für Bankgeschäfte/Finanzdienstleistungen: § 54 KWG i. V. m. § 32 KWG; für reine Krypto-Dienste über MiCAR/KMAG) und riskiert die sofortige Einstellung des Betriebs sowie strafrechtliche Ermittlungen.
Für bestehende Krypto-Unternehmen, die bisher nach deutschem GwG tätig waren, greift eine Übergangsregelung: Sie dürfen bis zum 01.07.2026 weiteroperieren, müssen dann aber eine vollständige MiCAR-Zulassung vorweisen oder den Betrieb einstellen. Wer rechtzeitig einen vollständigen Antrag bei der BaFin eingereicht hat, kann unter Umständen eine verlängerte Übergangszeit in Anspruch nehmen – jedoch ist diese nicht automatisch.
KYC (Know Your Customer) ist das Herzstück jeder GwG-Compliance. Krypto-Unternehmen müssen vor der Aufnahme einer Geschäftsbeziehung die Identität des Kunden feststellen – durch Ausweisdokumente und Lichtbild-Vergleich oder zertifizierte Video-Ident-Verfahren. Bei juristischen Personen kommt die Feststellung des wirtschaftlich Berechtigten hinzu. Wie Krypto-Unternehmen dabei praxisgerecht vorgehen, zeigt auch der Beitrag zum Identifizieren von Kryptobetrug-Tätern.
Die Pflichten teilen sich in vereinfachte, standardisierte und verstärkte Sorgfaltspflichten. Verstärkte Sorgfaltspflichten greifen bei Kunden aus Hochrisiko-Ländern, bei politisch exponierten Personen (PEPs) und bei ungewöhnlich hohen oder strukturierten Transaktionen. In diesen Fällen ist ein zusätzliches Management-Approval erforderlich.
Besonders praxisrelevant: Die BaFin erwartet ein risikobasiertes Vorgehen. Das bedeutet nicht, dass jeder Kunde gleich behandelt wird – sondern dass das Risiko-Profil des Kunden die Tiefe der Prüfung bestimmt. Wer hier mit einem Einheits-Prozess arbeitet, verstößt gegen das GwG und riskiert bei einer BaFin-Prüfung erhebliche Bußgelder. Unternehmen sollten ihre Risikoklassifizierung mindestens jährlich aktualisieren und die Aktualisierung dokumentieren.
Ein häufiger Fehler: Das Onboarding wird sorgfältig durchgeführt, aber die laufende Aktualisierung der Kundendaten – der sogenannte Perpetual KYC-Ansatz – fehlt. Kunden, deren Risikoprofil sich ändert (neue PEP-Eigenschaft, auffällige Transaktionsmuster, Sanktionslisten-Treffer), müssen erneut überprüft werden. Ein automatisiertes Monitoring-System ist hierfür unverzichtbar.
Die Travel Rule – im EU-Recht durch die Verordnung (EU) 2023/1113 umgesetzt – verpflichtet Krypto-Dienste-Anbieter, bei Transfers bestimmte Angaben über Auftraggeber und Begünstigten mitzuschicken. Bei Krypto-Transfers zwischen Krypto-Dienste-Anbietern gelten die vollständigen Angabepflichten unabhängig vom Betrag, also bereits ab dem ersten Euro. Die 1.000-Euro-Schwelle betrifft lediglich zusätzliche Prüf- und Verifizierungspflichten bei Transfers von oder zu selbst-gehosteten („un-hosted") Wallets.
Technisch bedeutet das: CASPs müssen mit Gegenstellen kommunizieren, die dieselben Protokolle (z.B. TRISA, TRUST oder OpenVASP) nutzen. Ist der Empfänger eine nicht regulierte Self-Hosted-Wallet, sind besondere Prüfpflichten einzuhalten – etwa die Bestätigung, dass die Wallet tatsächlich dem eigenen Kunden gehört. Fehlende Travel-Rule-Infrastruktur ist aktuell eines der häufigsten Compliance-Defizite, das die BaFin bei Prüfungen beanstandet.
Für Krypto-Unternehmen bedeutet das einen erheblichen technischen Investitionsaufwand. Wer die Travel Rule nicht umgesetzt hat, kann nach dem 01.07.2026 keine compliant betriebenen Transfers mehr abwickeln – und riskiert BaFin-Sanktionen. Ein frühzeitiger Check des eigenen Tech-Stacks ist deshalb dringend empfehlenswert.
Die MiCAR VO (EU) 2023/1114 bringt eine vollständige Harmonisierung des Krypto-Rechts in der EU. Alle Unternehmen, die Krypto-Dienste wie Verwahrung, Tausch oder Orderabwicklung anbieten, benötigen ab dem 01.07.2026 eine CASP-Zulassung – in Deutschland erteilt von der BaFin.
Die Zulassung erfordert unter anderem: ausreichende Eigenmittel, einen Geschäftsplan, interne Kontrollsysteme, einen Compliance-Beauftragten und ein AML/CFT-Programm. Unternehmen, die bis zum Stichtag keine Zulassung beantragt haben oder deren Antrag abgelehnt wurde, müssen den Betrieb einstellen.
MiCAR Art. 70 sieht außerdem eine Vermögenstrennung vor: Kundenvermögen muss strikt vom Unternehmensvermögen getrennt werden. Bei Insolvenz des CASPs sind Kunden vorrangige Gläubiger. Diese Regelung schützt Nutzer regulierter Plattformen und unterscheidet sie von unregulierten Diensten. Beim Betrug auf Krypto-Börsen fehlt dieser Schutz oft.
Ein vollständiges Compliance-System geht über KYC hinaus. Transaction Monitoring bezeichnet die laufende Überwachung von Transaktionen auf Auffälligkeiten – strukturierte Beträge, ungewöhnliche Transaktionsfrequenz, Verbindungen zu bekannten Risiko-Wallets oder -Adressen.
Spezialisierte Blockchain-Analyse-Tools (z.B. Chainalysis, Elliptic) ermöglichen die automatische Verknüpfung von Wallet-Adressen mit bekannten Betrugs- oder Geldwäsche-Fällen. Verdächtige Transaktionen müssen innerhalb von 24 Stunden an die FIU gemeldet werden. Wer zögert oder intern zu lange diskutiert, riskiert eine eigene Strafbarkeit.
Prüfsichere Systeme dokumentieren jeden Schritt: die Risikobewertung des Kunden, die Überprüfungsergebnisse, die Entscheidung und deren Begründung. Im Fall einer BaFin-Prüfung oder einer staatsanwaltschaftlichen Ermittlung – z.B. nach § 111e StPO über Vermögensarrest – entscheiden diese Dokumentationen über Haftung und Strafbarkeit.
GwG-Verstöße treffen nicht nur das Unternehmen, sondern auch persönlich die Verantwortlichen. Geschäftsführer und Compliance-Beauftragte können sich nach § 261 StGB wegen Geldwäsche persönlich strafbar machen, wobei der Grundtatbestand Vorsatz verlangt; bei bloßer Leichtfertigkeit greift die mildere leichtfertige Geldwäsche nach § 261 Abs. 6 StGB.
Das Bußgeldregime des GwG sieht bei schwerwiegenden Verstößen Geldbußen von bis zu 5 Millionen Euro oder 10 Prozent des Jahresumsatzes vor. Hinzu kommen mögliche BaFin-Maßnahmen wie Tätigkeitsverbote, Abberufung des Managements oder der Entzug der Zulassung. Die persönliche Haftung des Geschäftsführers aus § 823 BGB und § 826 BGB kommt hinzu.
Besonders riskant: Der BaFin-Bußgeldbescheid kann auch veröffentlicht werden. Das sogenannte "Naming and Shaming" schädigt die Reputation dauerhaft. Wer Kunden aus dem Bereich des Kryptobetrugs mit Blockchain-Forensik oder des Advance-Fee-Scams im Kryptohandel an Bord hat, ohne die nötigen Prüfungen durchzuführen, gefährdet die gesamte Zulassung.
Ein prüfsicheres Compliance-System für Krypto-Unternehmen besteht aus mehreren Bausteinen:
Krypto-Unternehmen, die noch keine CASP-Zulassung beantragt haben, sollten jetzt handeln – die BaFin prüft Anträge nicht über Nacht, und eine vollständige Unterlagensammlung dauert oft mehrere Monate. Anwaltliche Unterstützung ist beim Zulassungsantrag, bei der Gestaltung interner Compliance-Richtlinien und bei der Verteidigung gegen BaFin-Maßnahmen unerlässlich.
Ein auf Kapitalmarktrecht spezialisierter Anwalt kennt die aktuelle Auslegungs-Praxis der BaFin und kann Risiken frühzeitig identifizieren. Das gilt besonders für Startup-Umgebungen, in denen Compliance oft als Bremse wahrgenommen wird – dabei entscheidet sie über die Zulassungsfähigkeit und damit über die Zukunft des Unternehmens. Wer Fragen zur Strafanzeige bei Kryptobetrug hat, findet dort Anknüpfungspunkte zu den strafrechtlichen Risiken, die auch Compliance-Verantwortliche betreffen.
Geldwäsche Compliance Krypto ist kein einmaliges Projekt, sondern ein laufender Prozess. Regulatorik ändert sich, BaFin-Anforderungen werden präzisiert, neue Technologien müssen in bestehende Prozesse integriert werden. Eine dauerhafte anwaltliche Begleitung sichert den Betrieb – und schützt Geschäftsführer persönlich vor strafrechtlichen Risiken. Ähnliches gilt für den Bereich des Fake-Exchange-Betrugs, bei dem regulierungsfeindliche Anbieter Opfern gegenüberstehen, die sich auf seriöse Zulassungen verlassen hatten.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
Geldwäsche Compliance Krypto bezeichnet alle organisatorischen und technischen Maßnahmen, die Krypto-Unternehmen nach dem GwG und MiCAR ergreifen müssen, um die Einschleusung von Verbrechenserträgen zu verhindern. Die Compliance-Pflichten ergeben sich aus dem GwG; § 261 StGB ist die korrespondierende Strafnorm der Geldwäsche.
Die CASP-Lizenz (Crypto-Asset Service Provider) ist ab 01.07.2026 Pflicht für alle Unternehmen, die in der EU Krypto-Dienste wie Verwahrung, Tausch oder Orderabwicklung anbieten. In Deutschland erteilt die BaFin die Zulassung. Ohne Lizenz muss der Betrieb eingestellt werden.
Die Travel Rule verpflichtet Krypto-Dienste-Anbieter, bei Transfers Angaben zu Auftraggeber und Begünstigtem zu übermitteln. Die vollständigen Angabepflichten gelten bei Krypto-Transfers unabhängig vom Betrag; die 1.000-Euro-Schwelle betrifft nur zusätzliche Prüfpflichten bei selbst-gehosteten Wallets. Technisch erfordert das ein kompatibles Protokoll wie TRISA oder TRUST.
Geschäftsführer können sich nach § 261 StGB wegen Geldwäsche persönlich strafbar machen, wobei der Grundtatbestand Vorsatz voraussetzt; bei bloßer Leichtfertigkeit greift die leichtfertige Geldwäsche nach § 261 Abs. 6 StGB. Hinzu kommen Bußgelder bis 5 Millionen Euro, Tätigkeitsverbote und zivilrechtliche Haftung nach §§ 823, 826 BGB.
Verstärkte Sorgfaltspflichten greifen bei politisch exponierten Personen (PEPs), Kunden aus Hochrisiko-Ländern oder ungewöhnlich hohen Transaktionen. Neben erweiterter Dokumentation ist ein zusätzliches Management-Approval erforderlich.
Transaction Monitoring ist die laufende automatische Überwachung von Krypto-Transaktionen auf Geldwäsche-Indikatoren wie strukturierte Beträge oder Verbindungen zu Risiko-Wallets. Verdächtige Vorgänge müssen innerhalb von 24 Stunden an die FIU gemeldet werden. Ohne dieses System riskiert das Unternehmen erhebliche BaFin-Sanktionen und persönliche Strafbarkeit des Compliance-Beauftragten.
MiCAR Art. 70 verpflichtet CASPs, Kundenvermögen strikt vom eigenen Unternehmensvermögen zu trennen. Bei Insolvenz des Anbieters gelten Kunden als vorrangige Gläubiger. Das schützt Nutzer regulierter Plattformen gegenüber nicht zugelassenen Diensten.
Das GwG schreibt eine Aufbewahrungsfrist von mindestens fünf Jahren nach Beendigung der Geschäftsbeziehung vor. Die Unterlagen müssen vollständig, strukturiert und so zugänglich sein, dass sie im Prüffall der BaFin oder der FIU ohne Verzögerung vollständig vorgelegt werden können.
Ohne CASP-Zulassung nach MiCAR ist der Betrieb nach dem 01.07.2026 illegal. Die BaFin kann den Betrieb untersagen, Bußgelder verhängen und strafrechtliche Ermittlungen wegen unerlaubter Tätigkeit einleiten (Strafnorm: § 54 KWG, nicht § 32 KWG). Kunden und Anleger können in diesem Fall Schadensersatz geltend machen.
Nein. Die CASP-Zulassung und die laufende GwG-Compliance erfordern ein dauerhaftes, vollständig dokumentiertes AML-Programm. Regelmäßige externe Audits – mindestens einmal jährlich – werden von der BaFin erwartet und stärken die Verteidigungsposition im Fall von Prüfungen oder Sanktionsverfahren erheblich.
Die 1822direkt – Direktbank der Frankfurter Sparkasse – wird regelmäßig Ziel von Phishing-Kampagnen: Wer die Maschen kennt und die Fristen nach § 676b BGB beachtet, kann seinen Schaden erstattet bekommen.
Die 1822direkt GmbH ist eine Tochtergesellschaft der Frankfurter Sparkasse und damit eine vollständig BaFin-regulierte Direktbank. Das macht sie – aus Sicht der Täter – zu einem besonders attraktiven Angriffsziel: ein bekanntes Institut mit Millionen Kunden und einem vertrauten Markenauftritt, dem viele blind vertrauen. Phishing-Angreifer kopieren das Design der 1822direkt täuschend genau, um Zugangsdaten und TANs zu erschleichen.
Betroffene berichten von E-Mails, in denen sie aufgefordert werden, ihr Konto zu verifizieren, eine angeblich eingerichtete Überweisung zu stoppen oder ihre Zwei-Faktor-Authentifizierung zu aktualisieren. Hinter jedem dieser Szenarien steckt ein Link auf eine gefälschte Website, die Eingaben direkt an die Täter weiterleitet.
Dieser Beitrag erklärt, wie 1822direkt Phishing konkret funktioniert, welche Rechte nach § 675u BGB und § 675v BGB bestehen und welche Besonderheiten sich daraus ergeben, dass die 1822direkt eine Sparkassen-Tochter ist.
Phishing-Kampagnen gegen 1822direkt-Kunden folgen einem etablierten Muster. Die gefälschten E-Mails kommen angeblich vom "Sicherheitsteam der 1822direkt" und verwenden das echte Logo sowie bekannte Formatierungsmerkmale. Inhaltlich geht es fast immer um dringende Handlungsaufforderungen: ein angeblich gesperrtes Konto, eine unbekannte Anmeldung aus dem Ausland oder eine angeblich notwendige Sicherheitsprüfung.
Der enthaltene Link führt auf eine Kopie der echten Login-Seite. Wer dort Benutzername und Passwort eingibt, übergibt diese Daten sofort an die Täter. Im nächsten Schritt folgt häufig eine Push-TAN-Abfrage: Die Täter starten parallel im echten Online-Banking eine Überweisung und bitten das Opfer auf der Fake-Seite, die echte TAN einzugeben – ohne dass das Opfer die konkrete Transaktion sieht.
Eine weitere Variante ist das Call-ID-Spoofing: Ein Anruf mit der echten Servicenummer der 1822direkt, bei dem angebliche Sicherheitsexperten die TAN telefonisch erfragen. Der BGH hat im Urteil XI ZR 107/24 vom 22.07.2025 festgestellt, dass die Weitergabe einer TAN – selbst erschlichen – grundsätzlich keine wirksame Autorisierung nach dem Zahlungsdiensterecht darstellt. Der Erstattungsanspruch bleibt dem Grunde nach bestehen.
Die 1822direkt ist zwar organisatorisch mit der Frankfurter Sparkasse verbunden, agiert aber als eigenständige GmbH mit eigenem BaFin-Status. Das ist für Haftungsfragen relevant: Ansprüche richten sich gegen die 1822direkt GmbH selbst – nicht gegen die Frankfurter Sparkasse oder den Sparkassen-Verbund.
Gleichzeitig bedeutet der BaFin-Status, dass die 1822direkt als regulierter Zahlungsdienst-Anbieter allen Anforderungen der PSD2-Richtlinie unterliegt. Diese Anforderungen sind in den §§ 675u ff. BGB umgesetzt. Das ist für Kunden günstig: Die Beweislast bei nicht autorisierten Zahlungen liegt grundsätzlich bei der Bank – nicht beim Kontoinhaber. Wer dokumentiert und fristgerecht handelt, nutzt diesen rechtlichen Vorteil voll aus.
Anders verhält es sich mit einer klassischen Sparkasse, die dem Deutschen Sparkassen-Giroverband angehört und deren AGB teils abweichen. Beim Comdirect-Phishing und anderen Direktbanken zeigt sich, dass Direktbanken oft schneller auf Phishing-Meldungen reagieren – was aber nicht automatisch zur Erstattung führt, sondern eine formelle Geltendmachung erfordert.
Nach § 675u Satz 2 BGB ist der Zahlungsdienst-Anbieter verpflichtet, den Betrag einer nicht autorisierten Zahlung unverzüglich zu erstatten und das Konto auf den Stand vor der Belastung zurückzusetzen. Das ist der gesetzliche Ausgangspunkt für alle Phishing-Opfer.
Die Einschränkung kommt aus § 675v BGB: Hat der Zahler durch grobe Fahrlässigkeit dazu beigetragen, entfällt die Erstattungspflicht ganz oder teilweise. Grobe Fahrlässigkeit liegt vor, wenn jemand die im Verkehr erforderliche Sorgfalt in besonders schwerem Maß außer Acht lässt.
Der BGH hat in seiner Entscheidung XI ZR 107/24 (Urteil vom 22.07.2025) klargestellt, dass eine TAN-Weitergabe am Folgetag eines Phishing-Anrufs als grob fahrlässig eingestuft werden kann – die betroffene Kundin verlor ihren Anspruch. Gleichzeitig hat das Gericht präzisiert, dass ein Augenblicksversagen im Moment des Anrufs grobe Fahrlässigkeit ausschließen kann. Eine genaue Einzelfallprüfung ist deshalb unverzichtbar.
Positiv für Betroffene: Der Generalanwalt beim EuGH hat in seinen Schlussanträgen vom 05.03.2026 (Az. C-70/25) signalisiert, dass Banken nach EU-Recht zunächst erstatten und Gegenansprüche erst danach geltend machen sollen. Ein bindendes Urteil des EuGH steht noch aus. Die Schlussanträge des Generalanwalts sind dennoch ein starkes Signal für eine kundenfreundlichere Auslegung.
Eine der häufigsten Fallen für Phishing-Opfer ist die gesetzliche Ausschlussfrist nach § 676b Abs. 2 BGB: 13 Monate nach dem Belastungsdatum erlischt der Erstattungsanspruch – unabhängig davon, wann Sie den Schaden bemerkt haben. Wer seinen Kontoauszug nicht regelmäßig prüft, verliert damit unwiederbringlich seinen Anspruch.
Für weitergehende Schadensersatzansprüche aus § 823 BGB oder § 826 BGB gilt die Regelverjährung nach §§ 195, 199 BGB: drei Jahre ab dem Jahr der Kenntniserlangung, höchstens zehn Jahre ab Entstehung des Anspruchs (bzw. 30 Jahre ab dem schädigenden Ereignis; maßgeblich ist die früher endende Frist).
Praxis-Tipp: Melden Sie den Vorfall sofort schriftlich per Einschreiben an die 1822direkt. Damit ist die Frist gewahrt und Sie haben einen Nachweis über den Zugang der Meldung. Ähnliche Fristenkonstellationen kennen Betroffene aus dem Beitrag zum Phishing bei der Advanzia Bank.
Schnelles Handeln kann den Schaden erheblich begrenzen. Betrüger testen gestohlene Zugangsdaten oft sofort nach dem Angriff.
Nach der Sperrung folgt der formale Erstattungsantrag. Formulieren Sie diesen schriftlich, nennen Sie exakt die betroffene Transaktion und berufen Sie sich ausdrücklich auf § 675u Satz 2 BGB. Fügen Sie die Strafanzeigenummer bei, sobald Sie diese haben.
Lehnt die 1822direkt ab oder macht sie grobe Fahrlässigkeit geltend, stehen zwei Wege offen: Erstens die kostenlose Schlichtung beim Ombudsmann der privaten Banken. Zweitens die gerichtliche Durchsetzung mit anwaltlicher Unterstützung. Erfahrungen aus vergleichbaren Direktbank-Fällen – etwa beim KfW-Phishing – zeigen, dass gut dokumentierte Ansprüche auch gerichtlich durchgesetzt werden können.
Beim EuGH-Phishing-Verfahren 2026 und seiner Vorgeschichte zeigt sich, dass europäische Gerichte zunehmend die Beweislastverteilung zugunsten der Kunden stärken. Kunden der 1822direkt sollten diese Entwicklung bei der Entscheidung für oder gegen einen Rechtsweg berücksichtigen.
Wichtig: Formulieren Sie den Erstattungsantrag präzise und vermeiden Sie vage Formulierungen. Nennen Sie Datum, Uhrzeit, Betrag und IBAN der Belastung. Die Erfahrungen beim Barclays-Phishing zeigen, dass Banken bei präziser Antragstellung deutlich seltener pauschal ablehnen. Legen Sie stets eine Kopie der Strafanzeige bei.
Die echte 1822direkt kommuniziert niemals per E-Mail oder SMS mit der Aufforderung, TANs einzugeben oder Passwörter zu bestätigen. Dennoch wirken die gefälschten Nachrichten oft täuschend echt.
Wenn die 1822direkt die Erstattung verweigert oder grobe Fahrlässigkeit behauptet, ohne konkrete Belege zu liefern, sollten Sie anwaltliche Unterstützung in Anspruch nehmen. Die Bank trägt die Beweislast – das ist ein erheblicher Vorteil, den ein Anwalt gezielt nutzen kann.
Beim HypoVereinsbank-Phishing und ähnlichen Bankphishing-Fällen hat sich gezeigt, dass ein frühzeitig eingeschalteter Rechtsanwalt die Erfolgsquote deutlich erhöht – besonders dann, wenn die Spontanreaktion des Kunden als Augenblicksversagen einzuordnen ist. Das Vorgehen bei gestohlenen Bankdaten verdeutlicht, wie umfassend rechtliche Schritte ausgerichtet sein müssen.
Bevor Sie einen Anwalt mandatieren, prüfen Sie, ob Ihre Rechtsschutzversicherung die Kosten übernimmt. Bei Phishing mit Bankbezug ist das häufig der Fall. Stellen Sie den Deckungsantrag vor dem ersten anwaltlichen Kontakt, um den Versicherungsschutz zu sichern. Die 1822direkt ist dazu verpflichtet, etwaige Ablehnungsgründe transparent zu machen – ein Anwalt kann prüfen, ob diese rechtlich tragfähig sind.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
1822direkt Phishing bezeichnet gefälschte E-Mails, SMS oder Anrufe im Namen der 1822direkt GmbH. Ziel ist das Erschleichen von Zugangsdaten und TANs. Echte Nachrichten kommen nur von @1822direkt.de und fordern niemals eine TAN per E-Mail an.
Grundsätzlich ja. Nach § 675u Satz 2 BGB muss der Zahlungsdienst-Anbieter nicht autorisierte Zahlungen unverzüglich erstatten. Ausnahme: grobe Fahrlässigkeit des Kunden nach § 675v BGB. Die Beweislast für grobe Fahrlässigkeit liegt dabei bei der Bank, nicht beim Kunden.
Das Urteil vom 22.07.2025 zeigt, dass TAN-Weitergabe am Folgetag eines Phishing-Anrufs grob fahrlässig sein kann. Gleichzeitig hat der BGH klargestellt, dass ein kurzfristiges Augenblicksversagen grobe Fahrlässigkeit ausschließen kann. Eine Einzelfallprüfung ist deshalb entscheidend.
Die gesetzliche Ausschlussfrist nach § 676b Abs. 2 BGB beträgt genau 13 Monate ab dem Belastungsdatum. Nach Ablauf dieser Frist erlischt der Erstattungsanspruch vollständig, unabhängig davon, wann Sie den Schaden entdeckt haben.
Ja, sofern die TAN durch Täuschung erschlichen wurde und keine grobe Fahrlässigkeit vorliegt. Die TAN-Weitergabe allein begründet noch keine wirksame Autorisierung nach § 675u BGB. Entscheidend ist die Intensität des Irrtums und die Zumutbarkeit der Prüfung.
Bei verweigerten Erstattungen nach einem 1822direkt Phishing-Angriff können Sie beim Ombudsmann der privaten Banken eine kostenlose außergerichtliche Schlichtung beantragen. Alternativ ist mit anwaltlicher Unterstützung eine Zivilklage möglich. Die Bank muss grobe Fahrlässigkeit konkret nachweisen.
Nein. Der Generalanwalt beim EuGH hat am 05.03.2026 Schlussanträge in der Rechtssache C-70/25 vorgelegt und plädiert für eine vorrangige Erstattungspflicht der Banken. Ein bindendes Endurteil des EuGH steht noch aus.
Die 1822direkt ist eine eigenständige GmbH und Tochter der Frankfurter Sparkasse, aber kein Mitglied des Sparkassen-Giroverband-Systems. Ansprüche richten sich gegen die 1822direkt GmbH direkt. Sie unterliegt als BaFin-regulierte Bank vollständig den PSD2-Regelungen der §§ 675u ff. BGB.
Ja. Erstatten Sie Strafanzeige wegen § 263 StGB (Betrug) und § 263a StGB (Computerbetrug). Das Fälschen der angezeigten Rufnummer (Call-ID-Spoofing) ist zudem nach dem Telekommunikationsgesetz (§ 120 TKG) unzulässig und kann von der Bundesnetzagentur verfolgt werden. Sichern Sie die Anruf-Details als Beweismittel.
Beim ersten Verdacht auf 1822direkt Phishing sperren Sie sofort Konto und Zugang über den Sperr-Notruf 116 116. Sichern Sie die Phishing-Nachricht als Beweismittel und melden Sie den Vorfall schriftlich per Einschreiben an die 1822direkt, um die 13-Monats-Frist zu wahren.
Beim Airdrop Betrug Krypto geben Angreifer vor, kostenlose Token zu verschenken – tatsächlich erbeuten sie per Drainer-Contract den gesamten Wallet-Inhalt in Sekunden.
Kostenlose Token klingen verlockend. Beim sogenannten Airdrop Betrug Krypto versprechen Betrüger, bekannte Blockchain-Projekte wie Uniswap, Arbitrum oder Solana verschenkten neue Token an bestehende Wallet-Inhaber. Wer auf den angeblichen "Claim"-Link klickt, landet auf einer täuschend echt gestalteten Website – und gibt dort unbewusst einer schädlichen Smart-Contract-Funktion Zugriff auf sein gesamtes Guthaben.
Tückisch an dieser Masche ist, dass der Verlust oft in Sekunden eintritt, nachdem die Transaktion bestätigt wurde. Der Wallet-Inhaber hat selbst unterschrieben – scheinbar freiwillig. Das macht die rechtliche Aufarbeitung schwieriger als bei klassischem Bankphishing, ist aber keineswegs aussichtslos.
Dieser Beitrag erklärt, wie Airdrop-Betrug technisch funktioniert, welche Straftatbestände nach deutschem Recht greifen und welche zivilrechtlichen Ansprüche nach §§ 195, 199 BGB noch verfolgt werden können.
Ein legitimer Airdrop ist eine Marketingmaßnahme von Krypto-Projekten: Token werden an bestehende Wallet-Adressen verteilt, ohne dass der Empfänger aktiv handeln muss. Beim betrügerischen Pendant wird stattdessen eine Claim-Seite präsentiert, auf der Nutzer ihre Wallet verbinden und eine Transaktion signieren sollen.
Mit dieser Signatur erteilen sie dem hinterlegten Smart Contract eine Vollmacht – vergleichbar mit einem unterschriebenen Blanko-Scheck. Der sogenannte Wallet-Drainer nutzt diese Erlaubnis, um alle Token und Coins in Millisekunden auf eine Adresse der Täter zu übertragen. Auf der Blockchain ist die Transaktion anschließend unveränderlich gespeichert.
Strafrechtlich erfüllt dies in erster Linie den Tatbestand des § 263 StGB (Betrug), da das Opfer durch Täuschung zu einer eigenen Vermögensverfügung verleitet wird; ergänzend kann § 263a StGB (Computerbetrug) in Betracht kommen, soweit der Drainer-Contract einen Datenverarbeitungsvorgang manipuliert. Im Sonderfall, dass falsche Prospektangaben über als Kapitalanlage beworbene Token verbreitet werden, kann zudem § 264a StGB in Betracht kommen; für das typische Drainer-Szenario greift diese Norm jedoch regelmäßig nicht. Wer solche Maschen aus dem Bereich des Anlagebetrugs kennt und die zehn wichtigsten Warnsignale versteht, ist besser geschützt.
Die Angreifer klonen die offizielle Website eines bekannten Projekts oder schalten gezielte Werbung in sozialen Netzwerken. Der einzige Unterschied zur echten Domain ist häufig ein einzelner vertauschter Buchstabe oder eine andere Top-Level-Domain. Betroffene finden solche Seiten oft als gesponserte Suchergebnisse oder über kompromittierte Social-Media-Konten.
Auf der Seite werden Nutzer gebeten, ihr Wallet (MetaMask, Phantom, Ledger) zu verbinden. Danach öffnet sich ein Signatur-Dialog, der technisch nach einer harmlosen Bestätigung aussieht. Tatsächlich verbirgt sich dahinter ein "Approve"-Aufruf nach dem ERC-20-Standard: Der Nutzer erteilt dem Drainer-Contract eine unbegrenzte Ausgabeerlaubnis.
Innerhalb weniger Sekunden nach Bestätigung leert der Contract das Wallet. Die Transaktion erscheint im Blockchain-Explorer als reguläre Übertragung. Ohne technische Forensik ist nicht sofort erkennbar, dass es sich um einen Betrug handelt. Wer nach einem solchen Angriff die richtigen Sofortmaßnahmen bei einem Wallet-Hack kennt, kann zumindest weitere Verluste begrenzen.
Folgende Merkmale deuten auf einen betrügerischen Airdrop hin:
Anders als beim klassischen Bankphishing gibt es hier keinen regulierten Zahlungsdienst-Anbieter, der nach § 675u BGB zur Erstattung verpflichtet wäre. Krypto-Wallets sind selbstverwaltete Software-Tools ohne gesetzlichen Einlagenschutz. Der Erstattungsanspruch richtet sich daher in erster Linie gegen die Täter selbst.
Schadensersatzansprüche können sich aus § 823 Abs. 2 BGB (Schutzgesetz-Verletzung, da §§ 263/263a StGB als Schutzgesetze gelten) sowie aus § 826 BGB (vorsätzliche sittenwidrige Schädigung) ergeben. Für die Durchsetzung müssen die Täter identifiziert werden – was ohne Blockchain-Forensik kaum gelingt.
Nutzt das Airdrop-Betrug-Projekt eine Plattform, die nach der MiCAR VO (EU) 2023/1114 als Krypto-Dienst-Anbieter (CASP) reguliert ist, entstehen zusätzliche Sorgfaltspflichten. Die EU-weite Übergangsfrist für CASP-Lizenzen endet am 01.07.2026; in Deutschland gilt nach dem KMAG eine kürzere Frist (bis Ende 2025). BaFin-regulierte Plattformen haben strengere Pflichten zur Kundenaufklärung – ein Unterlassen kann eigene Haftungsansprüche begründen.
Nach dem Erkennen des Angriffs gilt: Schaden begrenzen und Beweise sichern. Handeln Sie systematisch – jede nicht gesicherte Spur kann später fehlen. Gerade bei Blockchain-Transaktionen sind Zeitstempel und Hash-Werte unverzichtbar, da Gerichte und Behörden diese Informationen zur Rekonstruktion des Sachverhalts benötigen.
Die Verjährungsfrist für Schadensersatzansprüche richtet sich nach §§ 195, 199 BGB: Die kenntnisabhängige Regelverjährung beträgt drei Jahre ab dem Schluss des Jahres, in dem Sie den Schaden und den Schädiger kannten oder grob fahrlässig nicht kannten. Die absolute Verjährungsfrist beträgt zehn Jahre ab Entstehung des Anspruchs (daneben 30 Jahre ab dem schädigenden Ereignis; maßgeblich ist die früher endende Frist). Opfer sollten diese Fristen unbedingt im Auge behalten und nicht auf eine außergerichtliche Klärung warten, die die Verjährung nicht hemmt.
Gelingt es mithilfe von Crypto-Tracing und Blockchain-Forensik, die Täter-Wallet einer Person oder einem Dienst zuzuordnen – etwa weil sie Gelder auf eine regulierte Börse eingezahlt haben –, können Herausgabeansprüche entstehen. Dort greifen ggf. der strafprozessuale Vermögensarrest (§ 111e StPO) bzw. die Beschlagnahme (§ 111c StPO).
Bei internationalem Bezug – was bei Krypto-Betrug häufig der Fall ist – ist anwaltliche Unterstützung besonders wertvoll. Erfahrungen aus dem Bereich Anlagebetrug im Ausland zeigen, dass frühzeitiges Handeln und lückenlose Dokumentation die Erfolgschancen erheblich steigern.
Die MiCAR VO (EU) 2023/1114 bringt erstmals einen einheitlichen EU-Rahmen für Krypto-Dienste. Plattformen, die Wallets verwalten oder Token ausgeben, benötigen EU-weit längstens bis zum 01.07.2026 eine CASP-Lizenz; in Deutschland läuft die nationale Übergangsfrist nach dem KMAG bereits Ende 2025 ab.
Was bedeutet das für Airdrop-Betrug? Wer ohne die erforderliche MiCAR-CASP-Lizenz erlaubnispflichtige Krypto-Dienstleistungen erbringt, verstößt gegen das CASP-Lizenzregime der MiCAR und macht sich nach den Sanktionsvorschriften der MiCAR bzw. des KMAG strafbar – ein weiterer Straftatbestand neben § 263 StGB. Opfer können die BaFin über solche Plattformen informieren und damit zu einer schnelleren Abschaltung beitragen.
Darüber hinaus sieht MiCAR Art. 70 eine Vermögenstrennung vor: Kunden regulierter Plattformen gelten bei Insolvenz als vorrangige Gläubiger. Das schützt zwar nicht vor Drainer-Angriffen, ist aber relevant, wenn eine Plattform selbst in finanzielle Schieflage gerät und Kundenvermögen vermischt hat. Wer auf einer nicht lizenzierten Plattform gehandelt hat, sollte auch prüfen, ob Ansprüche wegen des Betrugs auf Krypto-Börsen geltend gemacht werden können.
Eine anwaltliche Beratung ist empfehlenswert, sobald der Schaden mehrere Hundert Euro übersteigt. Ein Rechtsanwalt koordiniert Strafanzeige, Blockchain-Forensik und mögliche Zivilklage – und prüft, ob Plattform-Betreiber oder Werbetreibende (z.B. Social-Media-Netzwerke) Mitverantwortung tragen. Dabei geht es auch darum, zivilrechtliche Sicherungsmaßnahmen wie Arrest oder Kontensperrung so früh wie möglich zu beantragen.
Beim Krypto-Betrug und den Wegen zur Rückforderung ist frühzeitiges Handeln entscheidend: Täter-Wallets werden häufig rasch geleert und Gelder durch Mixer-Dienste anonymisiert. Wer wartet, verliert wertvolle Spuren. Ähnliche Dynamiken kennen Betroffene des Krypto-Giveaway-Scam, der nach demselben Muster der falschen Versprechen operiert.
Auch eine datenschutzrechtliche Dimension ist nicht ausgeschlossen: Wenn bei der Fake-Claim-Seite personenbezogene Daten – E-Mail-Adresse, IP, Wallet-Adresse – gesammelt wurden, kann nach Art. 82 DSGVO ein Schadensersatzanspruch entstehen – ähnlich wie in Fällen, in denen der BGH (Urteil VI ZR 10/24 vom 18.11.2024) einen Kontrollverlust über persönliche Daten bereits als ausreichenden Schaden gewertet hat.
Ein spezialisierter Rechtsanwalt für Bank- und Kapitalmarktrecht kennt die besonderen Anforderungen an die Beweissicherung in Krypto-Fällen. Er koordiniert das Zusammenspiel zwischen strafrechtlicher Anzeige, forensischer Analyse und zivilrechtlicher Klage. Wer die Schritte zur Strafanzeige bei Kryptobetrug kennt, sichert sich entscheidende Vorteile für das weitere Vorgehen.
Erfahrungen aus vergleichbaren Fällen – etwa dem Fake-Exchange-Betrug im Krypto-Bereich oder manipulierten Wallet-Apps – zeigen: Je früher professionelle Forensiker die Blockchain-Spur sichern, desto größer ist die Chance, Gelder auf einer regulierten Plattform einzufrieren und rechtlich zu pfänden. Wer wartet, bis Täter die Mittel durch Mixer-Dienste anonymisiert haben, verliert diese Möglichkeit unwiederbringlich.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
Beim Airdrop Betrug Krypto täuschen Betrüger einen kostenlosen Token-Drop nach und leiten Nutzer auf eine Fake-Claim-Seite. Dort wird ein schädlicher Smart Contract unterzeichnet, der das gesamte Wallet-Guthaben in Sekunden auf die Täter-Adresse überträgt.
Ein Wallet-Drainer ist ein Smart Contract, der durch eine vom Opfer erteilte Token-Genehmigung ("Approve") den kompletten Wallet-Inhalt abzieht. Erkennbar ist er an ungewöhnlich hohen oder unbegrenzten Genehmigungsbeträgen im Signatur-Dialog der Wallet.
Ja. Schadensersatzansprüche bestehen gegenüber den Tätern aus § 823 Abs. 2 BGB i.V.m. § 263 StGB und § 826 BGB. Die Durchsetzung setzt voraus, dass die Täter mithilfe von Blockchain-Forensik identifiziert werden können.
Die kenntnisabhängige Regelverjährung beträgt nach §§ 195, 199 BGB drei Jahre ab Jahresende des Jahres, in dem Schaden und Schädiger bekannt wurden. Die absolute Frist liegt bei zehn Jahren ab Entstehung des Anspruchs (daneben 30 Jahre ab dem schädigenden Ereignis).
Nein. Blockchain-Transaktionen sind nach Bestätigung unveränderlich. Möglich ist jedoch, durch rechtliche Schritte und Blockchain-Forensik Gelder zurückzuverfolgen, wenn sie auf eine regulierte Börse eingezahlt wurden.
In der Regel § 263 StGB (Betrug), ergänzend § 263a StGB (Computerbetrug). Im Sonderfall falscher Prospektangaben über als Kapitalanlage beworbene Token kann § 264a StGB hinzukommen. Auf Krypto-Plattformen ohne MiCAR-CASP-Lizenz greifen die Sanktionsvorschriften der MiCAR bzw. des KMAG.
MiCAR schützt nicht direkt vor Fake-Airdrops. Die Verordnung verpflichtet aber regulierte Krypto-Plattformen EU-weit längstens bis 01.07.2026 zu einer CASP-Lizenz und Aufklärungspflichten; in Deutschland gilt die kürzere KMAG-Frist (Ende 2025). Wer ohne die erforderliche MiCAR-CASP-Lizenz erlaubnispflichtige Krypto-Dienste erbringt, macht sich nach den Sanktionsvorschriften der MiCAR bzw. des KMAG strafbar.
Trennen Sie die Wallet von der Fake-Site und widerrufen Sie alle Token-Genehmigungen über Tools wie Revoke.cash. Sichern Sie den Transaktions-Hash als Beweismittel und erstatten Sie sofort Strafanzeige bei der Polizei.
Die Forensik verfolgt Geldflüsse auf der Blockchain und kann Täter-Adressen mit realen Identitäten verknüpfen, etwa wenn Gelder auf eine KYC-pflichtige Börse eingezahlt werden. Ohne diese Analyse ist eine zivilrechtliche Durchsetzung kaum möglich.
Ja. Die BaFin nimmt Hinweise zu unlizenzierten Krypto-Diensten und Betrugsseiten entgegen. Eine Meldung hilft, die Fake-Seite schneller abschalten zu lassen, schützt andere potenzielle Opfer und stärkt parallel Ihre Strafanzeige bei der Polizei. Zusätzlich sollten Sie den Incident bei der zuständigen Zentralstelle Cybercrime des jeweiligen Bundeslandes melden.
Liquidity Mining und Yield Farming versprechen zweistellige Jahresrenditen – doch hinter vielen Protokollen stecken Rug Pulls, manipulierte Smart Contracts und organisierter Betrug.
Wer in DeFi-Protokolle investiert, stellt sein Kapital Liquiditätspools zur Verfügung und erhält dafür Rewards – sogenannte Liquidity-Provider-Token oder native Protokolltoken. Die Idee klingt elegant. Der Haken liegt im Detail: Ein erheblicher Teil der als Yield-Farming oder Liquidity Mining beworbenen Angebote ist darauf ausgelegt, Anleger systematisch zu schädigen.
Liquidity Mining Betrug bezeichnet die gezielte Täuschung von Anlegern über die Funktionsweise, Sicherheit oder Rentabilität eines DeFi-Protokolls. Die Bandbreite reicht vom klassischen Rug Pull – Entwickler ziehen das Kapital ab und verschwinden – bis zu bösartigen Smart Contracts, die Anlegergelder einfrieren oder umleiten.
Dieser Beitrag erklärt, wie solche Maschen technisch funktionieren, welche Warnsignale zuverlässig auf Betrug hinweisen und welche rechtlichen Möglichkeiten nach einem Verlust bestehen. MiCAR, das neue europäische Kryptomarktrecht, verändert die Haftungslandschaft ab 2026 grundlegend.
Beim Liquidity Mining stellen Anleger zwei Token-Paare in einen automatisierten Marktmacher (AMM) ein – etwa Ethereum und einen Stablecoin. Das Protokoll nutzt diese Liquidität für Handelstransaktionen und gibt Teile der Handelsgebühren als Reward an die Liquiditätsgeber zurück. Zusätzliche Protokolltoken erhöhen die ausgewiesene APY – Annual Percentage Yield.
Yield Farming ist die aktive Strategie, solche Rewards zu maximieren: Anleger verschieben ihr Kapital von Pool zu Pool, um die jeweils höchste Rendite zu erzielen. Das klingt nach risikolosem Zinsertrag. Tatsächlich tragen Anleger Impermanent Loss – Wertverluste durch Kursverschiebungen innerhalb des Pools – sowie Smart-Contract-Risiken und Kontrahentenrisiken.
Seriöse DeFi-Protokolle sind Open-Source, haben externe Sicherheitsaudits und veröffentlichen Tokenomics-Dokumentation. Beim Liquidity Mining Betrug fehlt mindestens eine dieser Eigenschaften – oft alle drei. Wer auf Arbitrage-Bot-Betrug gestoßen ist, kennt verwandte Muster: versprochene Automatik, keine Transparenz, Geld weg.
Betrügerische DeFi-Protokolle treten in verschiedenen Formen auf. Die häufigsten sind:
Gemeinsam ist all diesen Varianten: Das Kapital der Anleger fließt in Strukturen, über die nur die Täter Kontrolle haben. Das begründet den Straftatbestand des Betrugs nach § 263 StGB – und bei manipulierten Datenprozessen auch Computerbetrug nach § 263a StGB.
Wer vor einer Investition in ein DeFi-Protokoll steht, sollte folgende Warnsignale systematisch prüfen:
Seit dem 30. Dezember 2024 gilt MiCAR (VO EU 2023/1114) vollständig für Krypto-Assets in der EU. Für DeFi-Protokolle, die als Dienstleistungsanbieter einzustufen sind, endet die Übergangsfrist nach Art. 143 MiCAR am 1. Juli 2026. Wer danach ohne CASP-Lizenz – Crypto Asset Service Provider – Anlageprodukte anbietet, handelt rechtswidrig.
Das ist für Geschädigte relevant: MiCAR Art. 70 schreibt Vermögenstrennung vor – Kundengelder dürfen nicht mit Betriebsmitteln vermischt werden, Kunden sind vorrangige Gläubiger. Protokolle, die das missachten, verstoßen nicht nur strafrechtlich, sondern auch regulatorisch. Das Erbringen erlaubnispflichtiger Krypto-Dienstleistungen ohne CASP-Zulassung ist nach MiCAR i.V.m. dem Kryptomärkteaufsichtsgesetz (KMAG) sanktionierbar.
Zivilrechtlich greifen § 823 BGB und § 826 BGB – vorsätzliche sittenwidrige Schädigung. Gegen Hintermänner, die identifizierbar sind, können Schadensersatzansprüche geltend gemacht werden. Die Verjährung beginnt nach § 199 BGB mit dem Jahresschluss des Jahres, in dem der Geschädigte Kenntnis erlangt.
Sobald Sie einen Betrug vermuten oder einen Verlust festgestellt haben, sollten Sie strukturiert vorgehen:
Je mehr Transaktionsnachweise Sie sichern, desto besser stehen Ihre Chancen im Strafverfahren und bei einer möglichen zivilrechtlichen Durchsetzung. Exportieren Sie Transaktionslisten als CSV, machen Sie Screenshots von Pool-Einlagenwerten zum Zeitpunkt der Investition und sichern Sie alle Kommunikation mit Projektbetreibern. Anzeige bei Anlagebetrug stellt einen wichtigen Beitrag zur Strafverfolgung dar – und ist die Basis für alle weiteren rechtlichen Schritte.
Die Rückforderung bei DeFi-Betrug ist schwieriger als bei klassischen Banktransaktionen, weil Blockchain-Transaktionen technisch irreversibel sind und kein zentraler Ansprechpartner existiert. Dennoch gibt es konkrete Ansatzpunkte. Crypto-Tracing – die systematische Analyse von On-Chain-Transaktionen – kann Mittelflüsse zu Krypto-Börsen nachverfolgen, wo KYC-Identifizierungspflichten gelten.
Zentralisierte Börsen wie Binance oder Bitget sind auf Anordnung von Behörden oder Gerichten verpflichtet, Konten einzufrieren. Über § 111e StPO (Vermögensarrest) können sichergestellte Kryptoassets im Rahmen der Rückgewinnungshilfe zurückgegeben werden. Das setzt voraus, dass Ermittlungsbehörden die Mittel einfrieren konnten, bevor die Täter sie abgezogen haben.
Bei Verlusten auf Plattformen, die in der EU reguliert sind oder waren, können auch regulatorische Beschwerden helfen. Wer auf Anlagebetrug aus dem Ausland gestoßen ist, kennt das Problem: Zuständigkeit und Vollstreckung über Grenzen hinweg sind komplex, aber nicht aussichtslos. Erfahrungen zeigen, dass die Kombination aus Strafanzeige, Crypto-Tracing und anwaltlichem Druck auf involvierte Plattformen die besten Ergebnisse liefert.
Die BaFin führt eine öffentliche Warnliste mit Anbietern, die ohne Erlaubnis in Deutschland tätig sind. Diese Liste ist unter bafin.de abrufbar und wird regelmäßig aktualisiert. Bevor Sie in ein DeFi-Protokoll oder Yield-Farming-Angebot investieren, lohnt ein Abgleich mit dieser Liste.
EU-weit gilt als Maximalfrist für die CASP-Lizenzpflicht nach MiCAR der 1. Juli 2026. In Deutschland hat der Gesetzgeber über das Kryptomärkteaufsichtsgesetz (KMAG) eine kürzere nationale Übergangsfrist genutzt (ca. Ende Dezember 2025); für deutsche Anbieter ist diese Frist maßgeblich. Fehlt die CASP-Zulassung, ist das Angebot rechtswidrig. Das vereinfacht die Anzeigenerstattung und stärkt zivilrechtliche Ansprüche, weil der Betreiber sich nicht mehr auf fehlende Regulierung berufen kann. Hinweise zu BaFin-Warnungen und deren Folgen helfen bei der Einordnung.
Wer zudem in Kryptowährungen investiert, sollte die steuerlichen Konsequenzen beachten: Der BFH hat am 14. Februar 2023 (IX R 3/22) entschieden, dass Krypto-Gewinne als private Veräußerungsgeschäfte nach § 23 EStG mit einjähriger Haltefrist steuerpflichtig sind. Verluste aus Betrug sind steuerlich gesondert zu behandeln.
Anwaltliche Hilfe lohnt sich immer dann, wenn der Schaden erheblich ist, Crypto-Tracing Verbindungen zu identifizierbaren Plattformen aufgedeckt hat oder eine beteiligte Börse in der EU reguliert ist und auf Auskunft in Anspruch genommen werden kann. Gerade bei organisiertem DeFi-Betrug agieren Täter oft über verschachtelte Firmenkonstrukte – was konkrete Klageadressen erschließen kann.
Ein auf Krypto-Recht spezialisierter Anwalt koordiniert Strafanzeige, Behördenkontakt und zivilrechtliche Schritte. Er kann auf Grundlage der On-Chain-Daten Schadensersatzansprüche formulieren und über einstweiligen Rechtsschutz Vermögenswerte sichern. Für einen ersten Überblick empfehlen sich die Beiträge zu gefälschten Trading-Plattformen und zu Warnsignalen bei dubiosen Investmentangeboten.
Handeln Sie nicht zu spät: Die Verjährung nach § 199 BGB beginnt mit Kenntnis des Schadens. Blockchain-Transaktionen bleiben zwar dauerhaft nachverfolgbar – Täterstrukturen lösen sich aber mit der Zeit auf, und involvierte Plattformen schließen oder verlagern sich. Je früher konkrete Schritte eingeleitet werden, desto größer ist die Chance, Geld zurückzubekommen und weitere Opfer zu verhindern.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
Beim Liquidity Mining Betrug täuschen Betreiber über Sicherheit, Funktionsweise oder Rentabilität eines Protokolls. Seriöse Protokolle sind Open-Source, extern auditiert und haben ein identifizierbares Team. Fehlen diese Merkmale, ist erhöhte Vorsicht geboten.
Bei einem Rug Pull legen Entwickler einen Liquiditätspool mit hoher APY an, locken Anlegerkapital und ziehen dann über eine Entwickler-Wallet-Funktion alle Mittel ab. Der Pool kollabiert wertlos. Oft ist die Abzugsfunktion im Smart Contract versteckt und bei der Prüfung als Admin-Funktion deklariert.
Ja. Deutsche Behörden ermitteln auch bei grenzüberschreitenden Krypto-Betrügereien. Die Strafanzeige öffnet den Weg zu internationalem Datenaustausch und kann Maßnahmen gegen involvierte, in der EU regulierte Plattformen ermöglichen.
MiCAR verpflichtet alle Krypto-Dienstleister in der EU ab 1. Juli 2026 zur CASP-Lizenz. Ohne Lizenz ist der Betrieb illegal. Art. 70 schreibt Vermögenstrennung vor – Kundengelder sind Sondervermögen. Das stärkt Ansprüche von Geschädigten gegen regulierte Anbieter.
Prüfen Sie: externes Sicherheitsaudit auf der Webseite der Audit-Firma verifizierbar, Open-Source-Code auf GitHub, identifizierbares Team, realistische APY unter 30–50 %, keine Sell-Tax im Contract, Liquiditäts-Locking nachweisbar auf der Chain.
Impermanent Loss entsteht durch Kursschwankungen innerhalb eines Liquiditätspools und ist ein strukturelles, legitimes Risiko. Er ist kein Betrug, muss aber beim Vergleich mit beworbenen APY-Zahlen berücksichtigt werden. Wenn ein Protokoll Impermanent Loss verschweigt, ist das ein Transparenzverstoß.
Eine direkte Rückbuchung auf der Blockchain ist nicht möglich. Jedoch können On-Chain-Analysen Geldflüsse zu zentralisierten Börsen verfolgen. Über Behörden und gerichtliche Verfügungen können dort Konten eingefroren werden. Frühes Handeln ist entscheidend.
Die reguläre zivilrechtliche Verjährung nach §§ 195, 199 BGB beträgt drei Jahre ab Kenntnis des Schadens und beginnt zum Jahresschluss. Strafrechtlich verjähren schwere Betrugsdelikte nach § 263 StGB in fünf Jahren. Handeln Sie möglichst zeitnah nach Entdeckung des Schadens.
Token-Approvals erlauben einem Smart Contract, aus Ihrer Wallet auf Token zuzugreifen. Unbegrenzte Approvals ermöglichen es bösartigen Contracts, alle Ihre Token ohne weitere Zustimmung abzuziehen. Prüfen und widerrufen Sie Approvals regelmäßig über Tools wie Revoke.cash.
Das ist eine weitere Betrugsmasche – sogenannte Advance-Fee-Fraud. Keine seriöse Plattform verlangt eine Gebühr, bevor Gelder freigegeben werden. Leisten Sie keine weiteren Zahlungen und erstatten Sie sofort Strafanzeige.
Online-Abofallen arbeiten mit versteckten Kosten, täuschenden Schaltflächen und Inkasso-Drohungen – doch das deutsche Vertragsrecht bietet klare Schutzregeln, die viele Forderungen von Grund auf unwirksam machen.
Sie klicken auf einen scheinbar kostenlosen Download, registrieren sich auf einer Plattform oder buchen eine einmalige Leistung – und wenige Tage später trudeln Mahnungen mit Beträgen zwischen 49 und 399 Euro ein. Das Muster ist beim Abofalle Internet kündigen-Thema klassisch: Nutzer haben ein Abo abgeschlossen, ohne es zu wissen oder zu wollen.
Solche Angebote nutzen bewusst irreführende Gestaltung: Kleine Schrifttypen, vorausgewählte Checkboxen, Schaltflächen ohne klare Kostenpflicht-Angabe. Das Bundeskabinett hat mit der sogenannten Button-Lösung (§ 312j BGB) bereits 2012 Abhilfe geschaffen – aber die Realität zeigt, dass viele Anbieter diese Regeln systematisch umgehen und Verbraucher trotzdem in Kostenfallen geraten.
Dieser Beitrag zeigt, wann eine Abofalle Internet kündigen-Situation vorliegt, wie Sie sich rechtssicher gegen Forderungen wehren und welche Fristen und Normen dabei eine Rolle spielen.
Eine Abofalle liegt vor, wenn ein entgeltlicher Dauerschuldvertrag durch Täuschung oder Vertuschung zustande kommt. Typische Mittel: Die kostenpflichtige Seite ist als kostenloser Dienst beworben, die Zahlungspflicht ist nur im Kleingedruckten versteckt, oder die Schaltfläche, die den Vertrag auslöst, trägt keinen klaren Hinweis auf die Entgeltpflicht.
Für Verbraucher-Fernabsatzverträge gilt § 312j Abs. 3 BGB: Der Unternehmer muss unmittelbar vor der Bestellbestätigung klar darauf hinweisen, dass der Klick eine Zahlungspflicht auslöst – mit einer Schaltfläche, die deutlich mit 'Zahlungspflichtig bestellen' oder gleichbedeutend beschriftet ist. Fehlt das, ist gemäß § 312j Abs. 4 BGB kein Vertrag zustande gekommen. Die Forderung ist von Anfang an unbegründet.
Hinzu kommt: Wer durch Täuschung über die Kostenpflicht zur Eingabe von Daten verleitet wird, kann den Vertrag wegen arglistiger Täuschung nach § 123 BGB anfechten; daneben kann der Vertrag nach § 138 BGB sittenwidrig und damit nichtig sein. Das schließt die Zahlungspflicht rückwirkend aus.
Die Gestaltung von Abofallen folgt bekannten Mustern. Das Wissen darum hilft, sie zu erkennen:
In schweren Fällen kann das Vorgehen der Anbieter § 263 StGB (Betrug) erfüllen. Wenn der Anbieter mit Inkasso arbeitet und weiß, dass keine wirksame Forderung besteht, kann zudem (versuchter) Betrug nach § 263 StGB vorliegen.
Bei im Internet geschlossenen Verbraucherverträgen gilt grundsätzlich das Fernabsatz-Widerrufsrecht nach § 355 BGB: 14 Tage Widerrufsfrist, die mit Erhalt der Widerrufsbelehrung beginnt. Fehlt die Belehrung – was bei Abofallen häufig der Fall ist –, verlängert sich die Frist auf 12 Monate und 14 Tage nach § 356 Abs. 3 BGB.
Parallel dazu können Sie den Vertrag wegen arglistiger Täuschung nach § 123 BGB anfechten; bei fehlender Button-Beschriftung kommt nach § 312j Abs. 4 BGB ohnehin kein Vertrag zustande. Besonders stark ist die Position bei fehlender § 312j-Beschriftung: Kein Vertrag – keine Forderung. Das Inkasso ist dann vollständig grundlos.
Für laufende Abo-Verträge gilt das ordentliche Kündigungsrecht. Bei solchen Dauerschuldverhältnissen gelten die vertraglich vereinbarten Fristen. Fehlen diese oder sind sie unangemessen lang, können sie nach AGB-Recht unwirksam sein – oft dürfen solche Verträge dann jederzeit mit kurzer Frist gekündigt werden.
Sobald Sie eine Abofallen-Forderung erhalten, handeln Sie strukturiert:
Wichtig: Dokumentieren Sie alle Schritte. Screenshots der Webseite zum Zeitpunkt der Anmeldung, die ursprüngliche Bestätigungs-E-Mail und alle Mahnungen sind Ihre Beweismittel. Einige Cybercrime-Opfer berichten, dass die Anbieter die Webseite nach Beschwerden schnell anpassen – sichern Sie Beweise sofort.
Viele Abofallen-Anbieter arbeiten mit Inkasso-Büros zusammen. Das soll Druck erzeugen und Zahlungen ohne gerichtliche Auseinandersetzung erzwingen. Wichtig zu wissen: Ein Inkasso-Schreiben ist kein Gerichtsbescheid. Es hat keine unmittelbare Rechtswirkung und verpflichtet Sie zu nichts, wenn die zugrundeliegende Forderung ungültig ist.
Inkasso-Dienstleister sind nach dem Rechtsdienstleistungsgesetz (RDG) zur neutralen Prüfung der Forderung verpflichtet – sie dürfen keine Forderungen betreiben, die sie als unbegründet erkennen müssen. Sie können die Inkasso-Forderung schriftlich bestreiten und den Nachweis eines wirksamen Vertrags einschließlich Nachweise zur § 312j-konformen Schaltfläche fordern. Beantworten Sie das Schreiben sachlich und setzen Sie dem Inkasso eine Frist von 14 Tagen zur Forderungsrücknahme.
Erstattet der Anbieter trotz klarer Rechtslage nicht und verfolgt die Forderung weiter, können Sie über Gebührenfallen-Muster und online-gestützte Geldfallen weitere Einblicke gewinnen – die Mechaniken überschneiden sich bei der psychologischen Druckstrategie.
Haben Sie bereits Beträge gezahlt, die aufgrund einer unwirksamen Abofalle nicht geschuldet waren, stehen Ihnen Rückforderungsansprüche zu. Grundlage ist der bereicherungsrechtliche Rückforderungsanspruch nach § 812 BGB. Wer aufgrund eines nichtigen Vertrags gezahlt hat, kann das Geleistete zurückfordern.
Die Verjährungsfrist für solche Ansprüche beträgt drei Jahre nach §§ 195, 199 BGB – sie beginnt am Ende des Jahres, in dem Sie Kenntnis vom Sachverhalt erlangt haben. Bei versteckten Abos, die Sie erst durch Mahnschreiben entdecken, beginnt die Frist entsprechend später.
Wenn der Anbieter Kenntnis von der Unwirksamkeit seiner Forderung hatte und trotzdem mit Inkasso vorging, kann das vorsätzliche sittenwidrige Schädigung nach § 826 BGB begründen – mit der Folge eines eigenen Schadensersatzanspruchs, der über den gezahlten Betrag hinausgehen kann.
Wer regelmäßig mit dem Thema Abofalle Internet kündigen konfrontiert ist, sollte die Rechtsschutzversicherung prüfen. Viele Policen decken Vertragsstreitigkeiten ab – gerade wenn Inkasso involviert ist. Das Prozesskostenrisiko sinkt erheblich, was die Bereitschaft erhöht, begründete Ansprüche auch gerichtlich durchzusetzen.
Wenn eine Abofallen-Zahlung per SEPA-Lastschrift erfolgte, können Sie diese innerhalb von acht Wochen ohne Begründung über Ihre Bank zurückbuchen. Das gilt unabhängig davon, ob der Vertrag wirksam war. Informieren Sie Ihre Bank über den Sachverhalt und bitten Sie um Sperrung weiterer Abbuchungen dieses Gläubigers.
Wurde Ihre Karte für Kartenzahlungen an eine Abofalle-Plattform belastet, prüfen Sie den Chargeback-Weg über das Kartennetz. Bei betrügerischen Transaktionen greift das auch bei Abofallen, wenn keine wirksame Autorisierung vorlag – ähnlich wie bei Account-Takeover-Betrug.
Für alle weiteren Zahlungsstreitigkeiten können Sie den Ombudsmann Ihres Bankenverbandes einschalten – das Verfahren ist kostenlos und häufig effektiver als der direkte Rechtsweg. Informationen zu ähnlichen Fallkonstellationen finden Sie unter Advanzia-Bank-Phishing und Amazon-Phishing-Betrug.
Abofallen im Internet sind ein massenweises Problem – und gleichzeitig eines, das das Recht klar adressiert. Die Button-Lösung nach § 312j BGB macht Verträge ohne klare Kostenpflichthinweise unwirksam. Das Widerrufsrecht schützt Verbraucher auch bei fehlerhafter oder fehlender Belehrung. Inkasso-Schreiben entfalten keine rechtliche Wirkung, wenn die Forderung unbegründet ist.
Wer sich mit dem Thema Abofalle Internet kündigen konfrontiert sieht, sollte nicht zahlen, bevor die Rechtslage vollständig geklärt ist. Viele Forderungen aus der Abofalle Internet kündigen-Konstellation sind rechtlich von Anfang an haltlos – wegen § 312j BGB, wegen fehlender Widerrufsbelehrung oder wegen arglistiger Täuschung. Bestreiten Sie die Forderung sofort schriftlich, sichern Sie Beweise und prüfen Sie Ihre Rechte auf Widerruf und Rückforderung. Bei hartnäckigen Anbietern und höheren Beträgen ist anwaltliche Unterstützung sinnvoll.
Versteckte Abos und Inkasso-Druck sind ein etabliertes Geschäftsmodell – das Recht stellt klare Grenzen auf. Nutzen Sie diese Grenzen konsequent: Widersprechen Sie schriftlich, buchen Sie Lastschriften zurück und erklären Sie den Widerruf. Haben Sie bereits gezahlt, prüfen Sie Rückforderungsansprüche nach § 812 BGB. Lassen Sie sich nicht durch Drohschreiben einschüchtern, deren Forderungen rechtlich nicht haltbar sind.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
Eine Abofalle liegt vor, wenn ein kostenpflichtiger Dauervertrag durch Täuschung oder verdeckte Kostenpflicht-Angaben abgeschlossen wird. Typisch: kein klarer Kostenpflicht-Hinweis auf der Schaltfläche, vorausgefüllte Einwilligungen oder irreführende 'Gratis'-Versprechen.
Nach § 312j Abs. 3 und 4 BGB ist ein Vertrag unwirksam, wenn der Bestellbutton keine deutliche Angabe der Zahlungspflicht trägt. Auch Verträge durch arglistige Täuschung können rückwirkend angefochten werden. In diesen Fällen besteht keinerlei Zahlungspflicht.
Die gesetzliche Widerrufsfrist beträgt 14 Tage nach § 355 BGB. Wurde keine Widerrufsbelehrung erteilt – bei Abofallen häufig –, verlängert sich die Frist auf 12 Monate und 14 Tage. Prüfen Sie, ob Sie überhaupt eine Belehrung erhalten haben.
Nicht zahlen, sondern schriftlich widersprechen. Bestreiten Sie die Forderung dem Grunde nach und fordern Sie den Nachweis eines wirksamen Vertrags. Ein Inkasso-Schreiben ist kein Gerichtsbescheid und entfaltet keine unmittelbare Rechtswirkung.
Ja. SEPA-Lastschriften können innerhalb von acht Wochen ohne Angabe von Gründen zurückgebucht werden. Wenden Sie sich an Ihre Bank und veranlassen Sie die Rückbuchung. Zusätzlich können Sie Ihren Gläubiger bei Ihrer Bank sperren lassen.
Nein. Wenn der Vertrag wegen fehlender Kostenpflicht-Angabe nach § 312j BGB oder wegen Täuschung nie wirksam zustande gekommen ist, bedarf es keiner Kündigung. Sie können die Zahlungspflicht vollständig bestreiten und alle bereits gezahlten Beträge zurückfordern.
Die Button-Lösung (§ 312j Abs. 3 BGB) verpflichtet Anbieter, unmittelbar vor der Bestellung auf die Zahlungspflicht hinzuweisen – mit eindeutiger Schaltflächenbeschriftung. Fehlt das, kommt kein Vertrag zustande. Das macht viele Abofallen-Forderungen rechtlich wertlos.
Ja. Wenn Sie aufgrund eines unwirksamen Vertrags gezahlt haben, steht Ihnen ein bereicherungsrechtlicher Rückforderungsanspruch zu. Die Verjährungsfrist beträgt drei Jahre (§§ 195, 199 BGB), beginnend am Jahresende des Jahres, in dem Sie Kenntnis erlangt haben.
Bei einem regulären Abo sind Kosten, Laufzeit und Kündigungsmodalitäten klar kommuniziert, der Abschluss erfolgt informiert. Bei einer Abofalle ist die Kostenpflicht verdeckt oder die Einwilligung erschlichen. Letzteres ist rechtlich anfechtbar oder von Anfang an unwirksam.
Setzen Sie dem Anbieter eine schriftliche Frist von 14 Tagen zur Bestätigung der Kündigung und Einstellung der Zahlungsaufforderungen. Verstreicht die Frist, können Sie den Verbraucherschutz, die Verbraucherzentrale oder einen Anwalt einschalten.
Gefälschte Nachrichten im Namen der Volkswagen Bank erschleichen Zugangsdaten und TANs – die Haftungsfrage entscheidet sich nach § 675u BGB und dem BGH-Urteil XI ZR 107/24.
Die Volkswagen Bank GmbH ist eine BaFin-regulierte Autobank mit Millionen Kunden in Deutschland – und damit ein lohnendes Ziel für Phishing-Angriffe. Betrüger nutzen das bekannte VW-Markenlogo und vertraute Begriffe wie "VW FS", "CarPay" oder "AutoCredit", um gefälschte E-Mails und SMS-Nachrichten täuschend echt wirken zu lassen. Wer auf solche Nachrichten hereinfällt, riskiert den Verlust von Ersparnissen oder Kreditlinienzugängen.
Betroffene stehen danach häufig vor derselben Frage: Muss die Bank den Schaden erstatten? Die Antwort hängt von mehreren rechtlichen Faktoren ab – darunter, ob die Transaktion als autorisiert gilt, ob Sie die Tat zeitnah angezeigt haben und ob der Bank grobe Fahrlässigkeit Ihrerseits vorgeworfen werden kann. Diese Faktoren lassen sich ohne anwaltliche Einordnung kaum sicher beurteilen.
Der folgende Beitrag erklärt, wie der Angriff auf Kunden der Volkswagen Bank konkret abläuft, welche Rechte nach § 675u BGB und § 675v BGB bestehen und welche Frist nach § 676b BGB Sie unbedingt einhalten müssen.
Angreifer imitieren den Kommunikationsstil der Volkswagen Bank mit großer Sorgfalt. Sie versenden E-Mails mit dem VW-Logo, gefälschten Absenderadressen und Links auf Domains, die sich von der echten URL nur geringfügig unterscheiden – etwa "volkswagenbank-sicherheit.de" statt "volkswagenbank.de". Auch SMS-Nachrichten, die angeblich von der Betrugsabteilung stammen, sind verbreitet.
Das häufigste Szenario: Eine Nachricht behauptet, auf dem Konto sei eine verdächtige Zahlung festgestellt worden. Sie werden gebeten, sich über einen Link anzumelden, um die Transaktion zu bestätigen oder zu blockieren. Die verlinkte Seite sieht der echten Volkswagen-Bank-Loginmaske zum Verwechseln ähnlich. Wer dort Zugangsdaten und eine TAN eingibt, übergibt beides direkt an die Betrüger.
Eine besonders häufige Variante ist das sogenannte Call-ID-Spoofing: Betrüger rufen an, die angezeigte Nummer ähnelt der echten Bank-Hotline. Sie geben sich als Sicherheitsabteilung aus und bitten um die Durchsage einer TAN, um angeblich eine betrügerische Transaktion zu stoppen. Der BGH hat in seinem Urteil vom 22.07.2025 (Az. XI ZR 107/24) festgestellt, dass die TAN-Weitergabe – selbst auf diese Weise erschlichen – grundsätzlich keine wirksame Autorisierung im Sinne des Zahlungsdiensterechts darstellt.
Nach § 675u Satz 2 BGB hat der Zahlungsdienst-Anbieter dem Kunden den Betrag einer nicht autorisierten Zahlung unverzüglich zu erstatten. Das ist der gesetzliche Ausgangspunkt: Solange Sie die Transaktion nicht selbst freigegeben haben, trägt die Bank das Risiko.
Die entscheidende Gegennorm findet sich in § 675v BGB: Hat der Zahler durch grobe Fahrlässigkeit zur nicht autorisierten Zahlung beigetragen, kann die Bank die Haftung auf den Kunden abwälzen. Grobe Fahrlässigkeit liegt vor, wenn jemand die im Verkehr erforderliche Sorgfalt in ungewöhnlich hohem Maße außer Acht lässt.
Der BGH hat im Urteil XI ZR 107/24 vom 22.07.2025 klargestellt, dass eine TAN-Weitergabe am Folgetag eines Phishing-Anrufs als grob fahrlässig gewertet werden kann – die betroffene Kundin verlor deshalb ihren Anspruch. Handelt es sich dagegen um ein kurzfristiges, situationsgebundenes Versagen ohne erkennbare Sorgfaltspflichtverletzung, kann das sogenannte Augenblicksversagen grobe Fahrlässigkeit ausschließen. Ob das in Ihrem Fall so liegt, erfordert eine genaue Prüfung.
Die Beweislast liegt grundsätzlich bei der Bank. Sie muss darlegen, dass Sie grob fahrlässig gehandelt haben – nicht umgekehrt. Diesen Vorteil sollten Betroffene nutzen.
Viele Betroffene wissen nicht, dass für Erstattungsansprüche nach einem Phishing-Angriff eine gesetzliche Ausschlussfrist gilt. § 676b Abs. 2 BGB sieht vor, dass Ansprüche auf Erstattung nicht autorisierter Zahlungen nach 13 Monaten ab dem Belastungstag ausgeschlossen sind.
Diese Frist gilt unabhängig davon, ob Sie den Angriff sofort bemerkt haben oder erst später. Wer den Kontoauszug nicht regelmäßig prüft und erst nach über einem Jahr auf den Schaden aufmerksam wird, verliert seinen Erstattungsanspruch. Die Meldung an die Bank muss innerhalb dieser Frist erfolgen – schriftlich und möglichst per Einschreiben, um den Zugang nachweisen zu können.
Ergänzend ist § 199 BGB zu beachten: Bei weitergehenden Schadensersatzansprüchen, etwa aus § 823 BGB oder § 826 BGB, beginnt die Verjährung erst mit Kenntnis des Schadens und des Schädigers, spätestens aber kenntnisunabhängig zehn Jahre ab Entstehung des Anspruchs (§ 199 Abs. 3 S. 1 Nr. 1 BGB), längstens dreißig Jahre ab dem schädigenden Ereignis (§ 199 Abs. 3 S. 1 Nr. 2 BGB); maßgeblich ist die früher endende Frist.
Sobald Sie einen Angriff bemerken oder vermuten, sollten Sie sofort handeln. Jede Stunde zählt, da Betrüger gestohlene Zugangsdaten schnell einsetzen.
Zuerst sollten Sie bei der Volkswagen Bank formell Widerspruch einlegen und die Rückbuchung der nicht autorisierten Zahlung verlangen. Berufen Sie sich dabei ausdrücklich auf § 675u BGB. Die Bank ist verpflichtet, den Anspruch zu prüfen und – sofern keine grobe Fahrlässigkeit vorliegt – zu erstatten.
Lehnt die Bank ab, stehen zwei Wege offen. Erstens die außergerichtliche Schlichtung beim Ombudsmann der privaten Banken oder der zuständigen Schlichtungsstelle – kostenlos und oft schnell. Zweitens die gerichtliche Durchsetzung, bei der ein auf Bankrecht spezialisierter Anwalt den Anspruch für Sie geltend macht. Ähnliche Konstellationen zu Bankphishing und Bankbetrug und BGH-Haftungsregeln zeigen, dass gut vorbereitete Klagen regelmäßig erfolgreich sind.
Parallel gibt es seit Schlussanträgen des Generalanwalts beim EuGH vom 05.03.2026 (Az. C-70/25) Signale, dass Banken nach EU-Recht zunächst erstatten und erst dann etwaige Gegenansprüche geltend machen sollen. Dabei handelt es sich ausdrücklich um Schlussanträge – ein Endurteil liegt noch nicht vor. Die Entwicklung ist dennoch relevant, da sie die Beweislastverteilung zugunsten der Kunden stärkt.
Wer die typischen Merkmale kennt, kann Phishing-Angriffe auf sein Konto frühzeitig erkennen und den Schaden verhindern.
Nicht immer sind Phishing-Opfer nur Geschädigte. Manchmal werden Kontoinhaber als sogenannte Money Mules missbraucht: Sie erhalten angebliche Gewinne oder Rückzahlungen auf ihr Konto und werden gebeten, den Betrag weiterzuleiten. Das erfüllt den Tatbestand der Geldwäsche nach § 261 StGB – selbst wenn man von der Herkunft der Mittel nichts wusste.
Falls Ihnen nach einem Phishing-Vorfall unklar ist, ob solche Transaktionen über Ihr Konto gelaufen sind, sollten Sie umgehend rechtliche Beratung suchen. Der Grundtatbestand des § 261 StGB setzt Vorsatz voraus; bereits leichtfertige Unkenntnis der Herkunft genügt jedoch für die leichtfertige Geldwäsche nach § 261 Abs. 6 StGB. Wer zeitnah handelt und kooperiert, kann strafrechtliche Risiken erheblich reduzieren. Ähnliche Probleme entstehen häufig beim Einsatz von Banking-Trojanern und Schadsoftware.
Die Volkswagen Bank ist ein professioneller Zahlungsdienst-Anbieter mit erfahrenen Rechtsabteilungen. Wenn die Bank eine Erstattung ablehnt oder grobe Fahrlässigkeit behauptet, stehen Sie ohne anwaltliche Unterstützung häufig auf verlorenem Posten. Wer seinen Fall im Blick behalten möchte, findet beim Comdirect-Phishing-Verfahren vergleichbare Haftungsargumente, die auf VW-Bank-Fälle übertragbar sind.
Ein auf Bankrecht spezialisierter Anwalt prüft, ob die Bank die Beweislast korrekt trägt, ob eine Spontanreaktion als Augenblicksversagen einzuordnen ist und ob Fristen nach § 676b BGB noch laufen. Er begleitet das Schlichtungsverfahren oder leitet unmittelbar rechtliche Schritte ein. Wer bereits bei der Account Takeover im Banking oder ähnlichen Konstellationen Schaden erlitten hat, kennt die Bedeutung frühzeitiger rechtlicher Begleitung.
Beauftragen Sie Ihre Rechtsschutzversicherung so früh wie möglich. Bei Phishing-Fällen mit Bankbeteiligung sind die Anwaltskosten oft gedeckt. Das Vorgehen bei gestohlenen Bankdaten und Identitätsdiebstahl folgt ähnlichen Grundsätzen und verdeutlicht, warum schnelle Reaktion entscheidend ist. Einen vergleichbaren Überblick zu Ansprüchen und Fristen bietet der Beitrag zum BW-Bank-Phishing-Überblick.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
Volkswagen Bank Phishing bezeichnet gefälschte E-Mails, SMS oder Anrufe, die im Namen der Volkswagen Bank GmbH Zugangsdaten und TANs erschleichen. Typische Merkmale sind manipulierte Absenderadressen, dringende Handlungsaufforderungen und Links auf täuschend ähnliche Fake-Seiten.
Nach § 675u Satz 2 BGB ist die Bank grundsätzlich erstattungspflichtig bei nicht autorisierten Zahlungen. Eine Ausnahme gilt, wenn Ihnen grobe Fahrlässigkeit nach § 675v BGB nachgewiesen wird, etwa durch die wissentliche Weitergabe einer TAN.
Grobe Fahrlässigkeit liegt vor, wenn jemand grundlegende Sorgfaltspflichten in ungewöhnlichem Maß verletzt. Der BGH hat im Urteil XI ZR 107/24 vom 22.07.2025 eine TAN-Weitergabe am Folgetag als grob fahrlässig eingestuft. Ein kurzfristiges Augenblicksversagen kann jedoch anders zu werten sein.
Die gesetzliche Ausschlussfrist nach § 676b Abs. 2 BGB beträgt 13 Monate ab dem Belastungsdatum. Nach Ablauf dieser Frist sind Erstattungsansprüche ausgeschlossen, unabhängig davon, wann Sie den Schaden entdeckt haben.
Sie können zunächst den Ombudsmann der privaten Banken einschalten, der kostenlos schlichtet. Alternativ können Sie mit anwaltlicher Unterstützung zivilrechtlich vorgehen. Die Bank trägt die Beweislast für Ihre grobe Fahrlässigkeit – diesen Vorteil sollten Sie nutzen.
Nein. Der Generalanwalt beim EuGH hat am 05.03.2026 Schlussanträge in der Rechtssache C-70/25 vorgelegt, in denen er für eine vorrangige Erstattungspflicht der Bank eintritt. Ein bindendes Endurteil des EuGH steht noch aus.
Ja, unbedingt. Erstatten Sie Anzeige bei der Polizei wegen Betrugs nach § 263 StGB (ggf. ergänzend Computerbetrug nach § 263a StGB). Das Aktenzeichen dient später als Nachweis und kann in zivilrechtlichen Verfahren hilfreich sein.
Call-ID-Spoofing bedeutet, dass Betrüger die angezeigte Anrufernummer fälschen und so die echte Bank-Hotline imitieren. Schutz bietet nur eine einfache Regel: Die Volkswagen Bank fordert niemals telefonisch TANs oder Passwörter an.
Wenn Betrüger Ihr Konto als Transitkonto für Zahlungen genutzt und Sie Beträge weitergeleitet haben, kann § 261 StGB greifen – auch ohne Kenntnis der Herkunft. Wer sofort handelt, Strafanzeige erstattet und kooperiert, reduziert das Risiko erheblich.
Bei Phishing-Fällen mit Bankbeteiligung ist der Rechtsschutz häufig eingeschlossen. Fragen Sie Ihre Versicherung frühzeitig und lassen Sie den Deckungsantrag vor der Mandatierung stellen, um spätere Streitigkeiten über die Kostenübernahme zu vermeiden.
Norisbank-Kunden werden mit täuschend echten Phishing-Mails und gefälschten SMS angegriffen – wer nach einem Datenverlust schnell handelt, kann Erstattungsansprüche gegenüber der Bank durchsetzen.
Die Norisbank – eine Direktbank und Tochter der Deutschen Bank, beaufsichtigt durch die BaFin – bietet ausschließlich digitale Kontoführung an. Das macht ihr Klientel für Angreifer besonders interessant: Wer kein Filialgeschäft kennt, ist es gewohnt, Bankangelegenheiten vollständig online zu erledigen. Genau hier setzen Norisbank Phishing-Kampagnen an.
Kriminelle verschicken täuschend echte E-Mails oder SMS im Norisbank-Design, fordern zur Verifizierung von TAN-Nummern auf oder leiten auf gefälschte Login-Seiten weiter. Wer dort Zugangsdaten eingibt, gibt Betrügern direkten Zugriff auf sein Konto. Die Schäden reichen von wenigen hundert bis zu mehreren tausend Euro – und häufen sich, weil digitale Konten rund um die Uhr erreichbar sind.
Dieser Beitrag erklärt die aktuell kursierenden Norisbank Phishing-Maschen, zeigt, welche Sofortmaßnahmen jetzt zählen, und legt dar, unter welchen gesetzlichen Voraussetzungen die Bank für entstandene Schäden haften muss. Betroffene sind nicht schutzlos – das Bankrecht stellt klare Regeln auf, die auch gegenüber Direktbanken durchsetzbar sind.
Direktbanken wie die Norisbank führen ihre Kundenkommunikation ausschließlich digital – per App, E-Mail oder SMS. Das schafft eine Gewöhnung: Kunden erwarten Bankbenachrichtigungen im digitalen Kanal und klicken auf Links, die in offiziellem Design erscheinen. Diese Erwartungshaltung nutzen Täter gezielt aus.
Hinzu kommt: Die Norisbank ist als Tochter der Deutschen Bank bei einem breiten Publikum bekannt. Ihr Brand hat Vertrauenswert – den Betrüger durch nahezu identische Logos, Farbgebung und Formulierungen gezielt simulieren. Das Ergebnis sind Phishing-Nachrichten, die selbst bei sorgfältiger Betrachtung und ohne tiefes technisches Vorwissen kaum von echten Norisbank-Mails zu unterscheiden sind.
Norisbank Phishing ist kein Bagatellproblem. Die BaFin registriert regelmäßig Warnmeldungen zu gefälschten Bankseiten und -mails. Wer ähnliche Erfahrungen mit anderen Direktbanken gemacht hat, findet unter DKB-Phishing oder Commerzbank-Phishing weiterführende Informationen.
Die Täter nutzen verschiedene Kanäle und Szenarien. Die häufigsten sind:
Jede dieser Varianten führt letztlich zum gleichen Ziel: Den Tätern Zugang zu Kontonummer, Passwort und Transaktionsautorisierungsmitteln zu verschaffen. Das anschließende Tätigen von Verfügungen ist primär als Betrug (§ 263 StGB) einzuordnen, da ein Mensch getäuscht wird; § 263a StGB (Computerbetrug) kommt nur ergänzend in Betracht. Das Erlangen der Zugangsdaten selbst kann § 202a StGB erfüllen.
Die rechtliche Grundlage für Erstattungsansprüche nach einem Phishing-Angriff bilden die §§ 675u und 675v BGB, die auf der europäischen Zahlungsdiensterichtlinie PSD2 basieren. § 675u BGB verpflichtet die Bank, bei unautorisierter Zahlung das Konto unverzüglich wieder auf den Stand vor der Buchung zu bringen.
Der Schlüssel liegt im Begriff 'unautorisiert'. Eine Zahlung gilt dann als unautorisiert, wenn der Kontoinhaber sie nicht genehmigt hat – auch nicht durch Social Engineering herbeigeführte Freigaben, sofern die Bank den Authentifizierungsvorgang nicht korrekt abgesichert hat. Die Beweislast liegt bei der Bank als kontoführendem Institut: Die Norisbank muss nachweisen, dass die Zahlung korrekt authentifiziert, aufgezeichnet und nicht von technischen Fehlfunktionen beeinträchtigt wurde.
Relevant ist auch das BGH-Urteil vom 22. Juli 2025 (Az. XI ZR 107/24): Der BGH stellte klar, dass eine TAN-Weitergabe durch den Kunden keine gültige Autorisierung begründet. Grobe Fahrlässigkeit nach § 675v BGB kann aber vorliegen und die Erstattung ausschließen – sofern die Bank dies nachweist. Dabei gilt: Ein Augenblicksversagen in einer täuschend realen Phishing-Situation schließt grobe Fahrlässigkeit nicht zwingend ein.
Wer einen Schaden durch Norisbank Phishing feststellt, muss schnell handeln. § 676b Abs. 2 BGB regelt eine Ausschlussfrist von 13 Monaten ab der Kontobelastung. Wer diese Frist versäumt, verliert seinen gesetzlichen Erstattungsanspruch – unabhängig davon, ob die Bank fehlerhaft handelte.
Prüfen Sie Ihre Kontoauszüge daher regelmäßig. Norisbank-Kunden können über das Online-Banking jederzeit Buchungshistorien einsehen. Unbekannte Abbuchungen sollten sofort reklamiert werden – zunächst formlos, dann schriftlich mit Fristsetzung an die Bank.
Die allgemeine Verjährungsfrist für zivilrechtliche Schadensersatzansprüche nach §§ 195, 199 BGB beträgt drei Jahre ab Kenntnis des Schadens und beginnt zum Jahresschluss. Sie gilt parallel – etwa für Ansprüche gegen Dritte oder Schadensersatz über § 823 BGB.
Jede Minute zählt. Handeln Sie sofort, wenn Sie vermuten, Zugangsdaten preisgegeben zu haben oder unautorisierte Buchungen festgestellt zu haben:
Verweigert die Norisbank die Erstattung, haben Sie mehrere Möglichkeiten. Zunächst sollten Sie das interne Beschwerdeverfahren der Bank schriftlich anstoßen und dabei die genaue Transaktionsnummer, das Datum und den Betrag nennen. Danach können Sie die BaFin-Beschwerdestelle einschalten oder den Ombudsmann des Bundesverbands deutscher Banken anrufen – der Schlichtungsweg ist für Verbraucher kostenlos und in vielen Fällen wirksam.
Führt auch das nicht zum Erfolg, bleibt der Rechtsweg. Eine Klage auf Grundlage von § 675u BGB kann vor dem zuständigen Amts- oder Landgericht erhoben werden. Wer als Phishing-Opfer Schwierigkeiten hatte, sein Geld von der Bank zurückzubekommen, findet in Bankbetrug und BGH-Haftung einen nützlichen Überblick über die Rechtsprechung.
Ein Hinweis zur aktuellen europäischen Rechtsentwicklung: Der Generalanwalt am EuGH hat in den Schlussanträgen vom 5. März 2026 in der Rechtssache C-70/25 die Auffassung vertreten, dass Banken bei Phishing-Fällen zunächst erstatten und die Verschuldensfrage nachgelagert klären sollen. Ein verbindliches Endurteil des EuGH steht noch aus. Diese Schlussanträge stärken die Position von Geschädigten in laufenden Verfahren.
Die Norisbank ist eine 100-prozentige Tochtergesellschaft der Deutschen Bank und als eigenständiges Institut bei der BaFin lizenziert. Sie unterliegt denselben regulatorischen Anforderungen wie jede andere deutsche Bank – einschließlich der PSD2-Umsetzung im BGB. Für Haftungsfragen ist ausschließlich die Norisbank selbst verantwortlich, nicht die Muttergesellschaft Deutsche Bank.
Das ist praxisrelevant: Phishing-Schäden sind gegenüber der Norisbank GmbH geltend zu machen. Adresse und Beschwerdewege finden sich im Impressum der Norisbank. Wer vermutet, dass das Phishing auf einem Datenleck basiert, kann über Art. 82 DSGVO zusätzlich Schadensersatz wegen Datenschutzverletzung beanspruchen – der BGH hat dazu in einem Urteil vom 18. November 2024 (Az. VI ZR 10/24) festgehalten, dass bereits der Kontrollverlust über Daten einen ersatzfähigen Schaden begründen kann.
Vergleichbare Probleme bei anderen Direktbanken zeigt der Überblick zu Comdirect-Phishing und Consorsbank-Phishing. Die rechtliche Ausgangslage ist in all diesen Fällen identisch, da das BGB-Zahlungsdienstrecht einheitlich gilt.
Sobald die Norisbank die Erstattung verweigert oder Ihnen grobe Fahrlässigkeit vorwirft, empfiehlt sich anwaltliche Begleitung. Ein auf Bankrecht spezialisierter Anwalt prüft, ob die Bank die Beweislast für Ihre Authentifizierung tragen kann und ob das Vorgehen der Bank den gesetzlichen Anforderungen entspricht. Diese Prüfung ist oft kein simples Ja oder Nein, sondern erfordert eine Analyse der Transaktionsprotokolle, Serverlogfiles und der genauen Authentifizierungssequenz.
Besonders bei höheren Schadensbeträgen ist die anwaltliche Durchsetzung sinnvoll. In vielen Fällen lenken Banken bereits nach einer fundierten schriftlichen Forderung ein – ohne dass eine Klage nötig wird. Die Erfahrung zeigt: Wer präzise auf § 675u BGB und die konkrete Buchung verweist, erhält häufig eine andere Antwort als jemand, der nur pauschal widerspricht. Hinweise auf weiterführende Themen finden Sie unter EuGH-Urteil Phishing 2026 und dem allgemeinen Beitrag zu Deepfake-Betrug und digitaler Identitätstäuschung.
Beachten Sie die 13-Monats-Frist nach § 676b BGB streng: Wer zu lange wartet, verliert seinen Anspruch kraft Gesetzes – unabhängig davon, wie klar der Betrug war. Reagieren Sie daher bereits beim ersten Verdacht, nicht erst nach mehrfacher Ablehnung durch die Bank.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
Beim Norisbank Phishing versenden Täter gefälschte E-Mails oder SMS im Norisbank-Design, die auf betrügerische Login-Seiten führen oder zur TAN-Freigabe auffordern. Erkennungsmerkmale: Druck, externe Links, unbekannte Absenderdomänen.
Bei unautorisierten Zahlungen – also Buchungen, die ohne Ihre Genehmigung erfolgten – muss die Bank nach § 675u BGB erstatten. Die Bank muss beweisen, dass Sie die Zahlung selbst autorisiert haben. Verweigert sie das, kann anwaltlich vorgegangen werden.
Grobe Fahrlässigkeit nach § 675v BGB liegt vor, wenn Sie die im Verkehr erforderliche Sorgfalt in ungewöhnlichem Maße verletzt haben – etwa durch die Weitergabe einer TAN trotz deutlicher Warnung. Der BGH hat 2025 (XI ZR 107/24) klargestellt, dass auch ein Augenblicksversagen diese Wertung ausschließen kann.
§ 676b Abs. 2 BGB setzt eine Ausschlussfrist von 13 Monaten ab der Kontobelastung. Diese Frist gilt absolut und wird nicht durch Unkenntnis verlängert. Prüfen Sie Ihre Auszüge regelmäßig und widersprechen Sie unbekannten Buchungen sofort.
Sofort die Norisbank-Hotline anrufen und Online-Banking sowie Karte sperren lassen. Dann Strafanzeige erstatten, Phishing-Mail sichern und schriftlich gegenüber der Bank widersprechen – mit Fristsetzung für die Erstattung.
Ja, die Strafverfolgungsbehörden ermitteln bei Phishing systematisch – oft in Kooperation mit Europol. Der Erfolg hängt vom Einzelfall ab. Die Strafanzeige ist dennoch Pflicht: Sie sichert Ihre Stellung als Geschädigter im Strafverfahren und öffnet den Weg zur Opferentschädigung.
Ein Recall ist ein Rückruf einer Überweisung, den die Bank im Auftrag des Geschädigten beim Empfängerinstitut anfordert. Er muss innerhalb weniger Stunden eingeleitet werden, da Empfängerkonten bei Phishing-Fällen häufig schnell geleert werden.
Ja. §§ 675u, 675v und 676b BGB gelten für alle in Deutschland lizenzierten Banken einheitlich. Die spezifischen Maschen unterscheiden sich, die Rechtslage ist identisch. Informationen zu anderen Instituten finden Sie unter den jeweiligen Phishing-Beiträgen auf dieser Seite.
Wenn das Phishing auf einem Datenleck der Bank beruht, können Sie Schadensersatz nach Art. 82 DSGVO beanspruchen. Der BGH hat 2024 (VI ZR 10/24) festgehalten, dass bereits der Kontrollverlust über persönliche Daten einen ersatzfähigen immateriellen Schaden begründen kann; als Orientierungsgröße nannte der BGH einen Betrag in der Größenordnung von rund 100 Euro.
Der Generalanwalt hat in der Rechtssache C-70/25 am 5. März 2026 die Auffassung geäußert, dass Banken bei Phishing zunächst erstatten und Verschuldensfragen nachgelagert klären sollen. Ein verbindliches Urteil des EuGH steht noch aus – die Schlussanträge stärken aber die Position von Geschädigten.
Gefälschte Amtsschreiben von BaFin, Finanzamt oder Europol drängen Betroffene zu Sofortzahlungen – doch hinter diesen Mails stecken organisierte Betrugsringe, keine echten Behörden.
Wer eine E-Mail mit offiziellem Briefkopf der BaFin oder Europols erhält und darin zur Zahlung aufgefordert wird, ist verständlicherweise verunsichert. Behördenpost löst Unbehagen aus – genau das nutzen Betrüger gezielt aus. Der Fake Behörden E-Mail Betrug zählt zu den wirksamsten Social-Engineering-Methoden, weil er staatliche Autorität täuscht.
Solche E-Mails enthalten häufig echt wirkende Logos, Aktenzeichen und Fristsetzungen. Sie drohen mit Kontopfändungen, Strafanzeigen oder dem Einfrieren von Vermögenswerten. Wer unter Druck zahlt oder Zugangsdaten preisgibt, verliert oft erhebliche Beträge – an Täter, die im Ausland sitzen und schwer greifbar sind.
Dieser Beitrag zeigt, wie der Fake Behörden E-Mail Betrug im Detail funktioniert, welche rechtlichen Normen greifen und welche konkreten Schritte nach einem Vorfall notwendig sind. Betroffene sind keineswegs schutzlos: Das deutsche Recht stellt wirksame Instrumente bereit.
Beim Fake Behörden E-Mail Betrug versenden Täter E-Mails, die auf den ersten Blick von BaFin, Bundeszentralamt für Steuern, Europol, Interpol oder dem örtlichen Finanzamt zu stammen scheinen. Technisch möglich macht das E-Mail-Spoofing – das Fälschen des Absenderfeldes, sodass eine seriöse Behördenadresse angezeigt wird, obwohl die Mail von einem anderen Server kommt.
Rechtlich handelt es sich typischerweise um § 263 StGB (Betrug): Wer durch Täuschung über Tatsachen – hier: die vorgetäuschte Behördeneigenschaft – eine Vermögensverfügung herbeiführt und dadurch Schaden verursacht, macht sich strafbar. Nutzen Täter anschließend erbeutete Zugangsdaten, um selbst automatisierte Überweisungen auszulösen, kann ergänzend § 263a StGB (Computerbetrug) in Betracht kommen. Die Strafe beträgt bis zu fünf Jahre Freiheitsstrafe, in besonders schweren Fällen bis zu zehn Jahre.
Behörden wie die BaFin, das Finanzamt oder Europol fordern Bürger grundsätzlich nicht per E-Mail zu Direktzahlungen auf – weder auf private Konten noch über Kryptowährungen oder Prepaid-Karten. Wer eine solche Aufforderung erhält, hat es fast sicher mit einem Fake Behörden E-Mail Betrug zu tun.
Der Ablauf folgt einem klaren Schema. Zunächst recherchieren Täter Zielpersonen über soziale Netzwerke, Datenlecks oder den Kauf gestohlener Datensätze. Dann landet eine E-Mail im Postfach – verfasst in formeller Amtssprache, mit korrekten Anredeformulierungen und gefälschten Dienstnummern.
Der Inhalt variiert: Mal behaupten die Täter, das Konto der Zielperson stehe im Zusammenhang mit § 261 StGB (Geldwäsche). Mal wird eine angebliche Steuerschuld geltend gemacht oder behauptet, die IP-Adresse der Zielperson sei bei illegalen Aktivitäten aufgetaucht. Die Drohkulisse soll verhindern, dass Betroffene innehalten und Rückfragen stellen.
Am Ende des Druckaufbaus steht eine Zahlungsaufforderung oder die Bitte, Zugangsdaten zu bestätigen. Wer zahlt, verliert das Geld. Wer Zugangsdaten angibt, ermöglicht es den Tätern, das Konto zu leeren. Beides löst – aus Bankensicht – möglicherweise die Frage aus, ob eine autorisierte oder unautorisierte Transaktion vorliegt.
Fake-Behörden-Mails lassen sich bei genauer Betrachtung oft erkennen. Folgende Merkmale sind charakteristisch:
Wenn Sie durch eine solche betrügerische Behördenfälschung eine Überweisung auslösen, stellt sich die Haftungsfrage auf zwei Ebenen. Strafrechtlich verantwortlich sind ausschließlich die Täter. Zivilrechtlich begründen § 823 BGB und § 826 BGB Schadensersatzansprüche gegen sie, deren Durchsetzung aber oft schwierig ist, wenn die Täter anonym im Ausland sitzen.
Auf Bankebene entscheidet, ob die Transaktion autorisiert war. Eine Überweisung, die Sie selbst angewiesen haben – auch wenn durch Täuschung veranlasst –, gilt zivilrechtlich zunächst als autorisiert. Das schränkt den Erstattungsanspruch nach § 675u BGB ein, der unautorisierte Transaktionen betrifft. Wurden hingegen Ihre Online-Banking-Zugangsdaten gestohlen und die Bank hat die Transaktion ohne Ihre Freigabe ausgeführt, liegt eine unautorisierte Verfügung vor.
Entscheidend ist auch, ob die Bank ihre Sicherheitspflichten verletzt hat. Übertrug die Bank trotz Warnzeichen – etwa ungewöhnlicher Transaktionshöhe oder auffälliger Empfängerkonten – ohne Rückfrage, können sich Mitverschulden und Schadensersatzpflichten der Bank nach § 675v BGB ergeben. Die Frist zur Geltendmachung von Ansprüchen beträgt 13 Monate ab Kontobelastung gemäß § 676b Abs. 2 BGB.
Handeln Sie schnell, wenn Sie bemerken, dass Sie Opfer einer solchen Betrugsmasche geworden sind. Jede Stunde kann darüber entscheiden, ob eine Rückbuchung noch möglich ist.
Die Chancen auf Rückforderung hängen vom Einzelfall ab. Wurden Ihre Zugangsdaten gestohlen und die Buchung von Dritten ausgelöst, greift § 675u BGB unmittelbar: Die Bank muss den Betrag erstatten. Dieser Anspruch besteht unabhängig von einem Verschulden der Bank.
Haben Sie die Überweisung selbst getätigt – weil Sie die Täuschung nicht durchschauten –, ist der Erstattungsweg schwieriger. Dennoch sollten Sie prüfen, ob die Bank Sorgfaltspflichten verletzt hat. Entsprechende Verfahren haben insbesondere dann Erfolg, wenn die Bank Auffälligkeiten hätte erkennen müssen. Die Verjährungsfrist nach § 199 BGB beginnt mit dem Schluss des Jahres, in dem Sie Kenntnis vom Schaden erlangen. Hinweise zu Verjährungsfristen bei Anlagebetrug gelten dabei sinngemäß.
Parallel dazu können Sie sich als Geschädigter im Strafverfahren an die Ermittlungsbehörden wenden. Über § 111e StPO (Vermögensarrest) kann sichergestelltes Geld im Wege der Rückgewinnungshilfe erstattet werden. Das setzt voraus, dass die Strafverfolgungsbehörden Taterlöse einfrieren konnten. Erfahrungen zeigen, dass Schnelligkeit hier entscheidend ist.
Wenn Betrüger sich Zugang zu Ihrem Konto verschaffen – etwa durch das Abgreifen von TANs oder Zugangsdaten –, liegt aus Bankensicht eine unautorisierte Zahlung vor. Der Erstattungsanspruch nach § 675u Satz 2 BGB entsteht dann kraft Gesetzes. Die Bank trägt die Beweislast dafür, dass Sie die Zahlung selbst autorisiert haben.
Wichtig: Auch wenn Ihnen ein Vorwurf grober Fahrlässigkeit nach § 675v BGB droht, ist das keine automatische Haftungszuweisung an Sie. Der BGH hat in seinem Urteil vom 22. Juli 2025 (Az. XI ZR 107/24) klargestellt, dass die Weitergabe einer TAN zwar keine Autorisierung begründet, aber grobe Fahrlässigkeit darstellen kann. Gleichzeitig kann ein sogenanntes Augenblicksversagen diese Wertung ausschließen, wenn die Situation für Betroffene kaum erkennbar war.
Gut zu wissen: Der Generalanwalt am EuGH hat in seinen Schlussanträgen vom 5. März 2026 in der Rechtssache C-70/25 die Auffassung geäußert, dass Banken zunächst erstatten und die Frage des Verschuldens danach klären sollen. Ein Endurteil des EuGH steht noch aus – diese Schlussanträge sind jedoch ein starkes Signal für künftige Entscheidungen.
Anwaltliche Unterstützung empfiehlt sich sobald die Bank eine Erstattung verweigert, Ihnen grobe Fahrlässigkeit vorwirft oder Sie unsicher sind, wie Sie gegenüber den Ermittlungsbehörden vorgehen sollen. Gerade bei diesen Fällen sind die Sachverhalte oft komplex: Wer hat welche Daten wann abgegriffen, liegt eine unautorisierte Buchung vor, hat die Bank Warnsignale ignoriert?
Ein auf Bankrecht spezialisierter Anwalt prüft den Sachverhalt anhand der Kontoauszüge, der Kommunikation mit der Bank und der Strafanzeige. Er formuliert Ansprüche gegenüber dem Institut und begleitet Sie durch Widerspruchs- und gegebenenfalls Klageverfahren. Besonders bei höheren Schadenssummen lohnt sich diese Begleitung regelmäßig.
Wer von einem Anlagebetrüger oder im Rahmen eines Phishing-Angriffs geschädigt wurde, kennt das Grundproblem: Die Bank verweist auf eigene Sicherheitssysteme und sieht keine Erstattungspflicht. Dagegen lässt sich rechtlich vorgehen.
Fake-Behörden-Mails sind kein Kavaliersdelikt – sie sind schwerer Betrug nach § 263 StGB und richten erhebliche finanzielle Schäden an. Wer die Warnsignale kennt, schützt sich wirksam. Wer dennoch Opfer wird, hat rechtliche Möglichkeiten: von der Strafanzeige über den Bank-Recall bis zum zivilrechtlichen Anspruch.
Entscheidend ist Schnelligkeit. Je früher Sie Ihre Bank informieren und Anzeige erstatten, desto besser stehen die Chancen auf zumindest teilweise Rückforderung. Auf BaFin-Warnungen und Bankenhaftung sowie die Rolle des Verjährungsrechts sollten Betroffene frühzeitig achten. Wer auf eine Rechtsberatung verzichtet, riskiert, Ansprüche zu verschenken.
Haben Sie eine verdächtige E-Mail erhalten oder wurde Ihr Konto durch einen Fake Behörden E-Mail Betrug geschädigt? Sichern Sie alle Unterlagen und holen Sie sich juristischen Rat – noch bevor die 13-Monats-Frist nach § 676b Abs. 2 BGB abläuft.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
Nein. Keine deutsche oder europäische Behörde fordert Bürger per E-Mail zur Direktzahlung auf – weder auf Privatkonten noch über Krypto oder Gutscheinkarten. Solche Mails sind immer Betrug.
Beim E-Mail-Spoofing fälschen Täter das Absenderfeld, sodass eine offizielle Adresse angezeigt wird. Den tatsächlichen Versandserver sehen Sie im vollständigen E-Mail-Header – meist unter 'Quelltext anzeigen' in Ihrem Mailprogramm.
Wenn Sie die Überweisung selbst ausgelöst haben, gilt sie zunächst als autorisiert. Ein Erstattungsanspruch nach § 675u BGB besteht nur bei unautorisierter Zahlung. Wurde Ihr Konto durch gestohlene Zugangsdaten missbraucht, muss die Bank erstatten.
Für Ansprüche wegen unautorisierter Zahlungen gilt die 13-Monats-Ausschlussfrist des § 676b Abs. 2 BGB ab dem Zeitpunkt der Kontobelastung. Zivilrechtliche Ansprüche verjähren nach §§ 195, 199 BGB in drei Jahren ab Kenntnis des Schadens.
Erstatten Sie Anzeige bei der Polizei – entweder online über das Strafanzeigenportal Ihres Bundeslandes oder persönlich. Sichern Sie zuvor die E-Mail inklusive vollständigem Header als Beweismittel.
Ein Recall ist die Rückrufaufforderung einer Überweisung. Er muss unmittelbar nach Entdeckung des Betrugs angestoßen werden. Je nach Zielbank und Land ist ein Recall binnen weniger Stunden bis Tage möglich – danach ist das Geld oft weg.
Ja. Über § 406e StPO können Sie Akteneinsicht beantragen und im Wege des Adhäsionsverfahrens Schadensersatzansprüche direkt im Strafprozess geltend machen. Bei sichergestellten Vermögenswerten hilft § 111e StPO.
Internationale Strafverfolgung ist möglich über Europol und Interpol, aber langwierig. Wichtiger ist der parallele zivilrechtliche Weg gegen die Bank sowie die schnelle Rückrufaktion der Überweisung über das empfangende Kreditinstitut.
§ 263 StGB erfordert eine Täuschungshandlung gegenüber Menschen. § 263a StGB greift, wenn der Täter unbefugt Daten in Datenverarbeitungsvorgänge einfügt – also etwa Zugangsdaten nutzt, um automatisierte Überweisungen auszulösen.
Die BaFin kommuniziert offiziell über @bafin.de-Adressen und versendet keine Zahlungsaufforderungen per E-Mail. Bei Zweifeln rufen Sie die BaFin direkt unter der auf der offiziellen Webseite bafin.de veröffentlichten Nummer an.
Wenn eine Staking-Plattform insolvent wird, ist nicht nur das Guthaben blockiert – die Frage, ob Ihre Coins aussonderungsfähig sind oder in die Insolvenzmasse fallen, entscheidet über alles.
Staking und Lending auf Kryptoplattformen klangen lange wie eine risikoarme Methode, aus ruhenden Coins Erträge zu erwirtschaften. Nutzer übergaben ihre Bitcoin, Ethereum oder Stablecoins an Plattformen wie Celsius Network, Nexo, BlockFi oder Voyager - und erhielten im Gegenzug Zinszahlungen. Was kaum jemand las: das Kleingedruckte, das das Eigentum an den Coins auf die Plattform übertrug. Als die Plattformen 2022 und 2023 reihenweise zahlungsunfähig wurden, sahen sich Nutzer nicht als Eigentümer, sondern als ungesicherte Gläubiger in der Insolvenzmasse.
Eine Staking Plattform insolvent zu erleben bedeutet in der Praxis: Guthaben ist gesperrt, Auszahlungen sind eingestellt, der Insolvenzverwalter bestimmt den weiteren Ablauf. Wie viel Nutzer letztlich zurückerhalten, hängt von ihrer rechtlichen Stellung - Eigentümer oder Gläubiger - sowie von der Qualität der Insolvenzmasse ab. Diese Frage ist komplex, unterscheidet sich je nach Jurisdiktion und Vertragsgestaltung.
Dieser Beitrag erklärt, welche Rechte Betroffene haben, wie die MiCAR-Verordnung ab Juli 2026 die Situation verbessert und welche konkreten Schritte jetzt helfen können.
Staking bezeichnet das Einsetzen von Kryptowährungen zur Sicherung eines Blockchain-Netzwerks (Proof-of-Stake). Lending dagegen bedeutet das Verleihen von Coins an andere Nutzer oder institutionelle Kreditnehmer gegen Zinsen. Viele Plattformen boten beides unter demselben Label 'Staking' an – rechtlich und wirtschaftlich aber fundamental verschieden.
Entscheidend ist die vertragliche Eigentumsstruktur. Bei echtem Staking über eine eigene Wallet behält der Nutzer die Verfügungsgewalt – seine Coins sind klar zuordenbar und aussonderungsfähig. Bei Plattform-basiertem 'Staking' übereignete der Nutzer in vielen Fällen seine Coins an die Plattform, die damit nach eigenem Ermessen verfügte. Was im Prospekt wie Staking aussah, war rechtlich oft ein ungesichertes Darlehen nach § 488 BGB.
Das hat gravierende Folgen, wenn eine Staking Plattform insolvent wird: Wer der Plattform seine Coins als Darlehen überlassen hat, ist nur Gläubiger – kein Eigentümer. Das bedeutet: keine vorrangige Herausgabe, keine Aussonderung, sondern anteilige Beteiligung an der Insolvenzmasse – oft für Cents auf den Euro.
Das Vorbild Celsius Network ist lehrreich: Das Unternehmen stellte im Juni 2022 Auszahlungen ein, meldete im Juli Insolvenz nach US-amerikanischem Chapter 11 an. Nutzer wurden zu ungesicherten Gläubigern – ein Prozess, der über zwei Jahre dauerte. Die meisten erhielten weniger als die Hälfte ihres ursprünglichen Kryptovermögens zurück, zuzüglich erheblicher anwaltlicher und Verwalterkosten.
Ablauf einer typischen Kryptoplattform-Insolvenz: Die Plattform friert zunächst Auszahlungen ein. Dann folgt die Insolvenzanmeldung – in den USA häufig Chapter 11 (Restrukturierung) oder Chapter 7 (Liquidation), in Europa nach nationalem Insolvenzrecht. Ein Insolvenzverwalter wird bestellt, der die Insolvenzmasse sichert, bewertet und unter Gläubigern aufteilt.
Kryptowährungs-Guthaben auf einer insolvent gegangenen Staking Plattform sind dabei nicht automatisch gesperrt, weil jemand böswillig handelt – sondern weil der Verwalter sie im Interesse aller Gläubiger sichert. Als Betroffener müssen Sie Ihre Forderungen im Insolvenzverfahren anmelden, um überhaupt beteiligt zu werden. Das Versäumen dieser Frist schließt Sie aus.
Die wichtigste Frage für jeden Betroffenen ist: Bin ich Eigentümer der hinterlegten Coins (Aussonderungsrecht) oder Gläubiger (Forderung in der Insolvenzmasse)? Die Antwort hängt vom Vertrag ab.
Aussonderungsrecht (Eigentum bleibt beim Nutzer) besteht, wenn: Die Plattform Coins nur verwaltete, nicht übereignet bekam – also eine treuhänderische Verwahrung vorlag. In diesem Fall sind die Coins klar dem Nutzer zuzuordnen und können aus der Insolvenzmasse herausverlangt werden. Das erfordert jedoch, dass die Coins tatsächlich noch vorhanden und individuell zuordenbar sind.
Gläubigerposition (Forderung in der Insolvenzmasse) liegt vor, wenn: Coins übereignet wurden – typisch beim Lending-Modell. Hier ist der Nutzer nur ungesicherter Gläubiger. Er erhält einen Anteil an der Insolvenzmasse – falls überhaupt eine solche vorhanden ist. Ein Schadensersatzanspruch aus § 823 BGB oder § 826 BGB gegen verantwortliche Geschäftsführer kann daneben bestehen.
Nicht jede Plattform kündigt ihre Zahlungsunfähigkeit vorher an – aber diese Warnsignale deuten auf ein erhöhtes Insolvenzrisiko hin:
Die MiCAR-Verordnung (EU) 2023/1114 gilt seit dem 30. Dezember 2024; die EU-Übergangsfrist für CASP (Crypto-Asset Service Provider) läuft maximal bis zum 1. Juli 2026, in Deutschland endete die nationale Übergangsfrist jedoch bereits früher (Ende 2025). Für Staking- und Lending-Plattformen bedeutet das: Sie müssen als CASP bei der BaFin registriert sein. Ohne CASP-Zulassung ist das Anbieten dieser Dienste in der EU bereits seit Ende 2025 (DE) bzw. spätestens ab 1. Juli 2026 (EU) illegal.
Besonders relevant: Art. 70 MiCAR schreibt eine strikte Vermögenstrennung vor. Kryptovermögen der Kunden muss getrennt vom Eigenvermögen des Anbieters gehalten werden. Kunden sind im Insolvenzfall als bevorzugte Gläubiger eingestuft – ihre Vermögenswerte sollen vor anderen Gläubigern des Anbieters geschützt sein.
Für Betroffene einer vor dem 01. Juli 2026 insolventen Plattform gilt MiCAR nicht rückwirkend. Aber: Hat eine Plattform ohne CASP-Zulassung nach MiCAR (bzw. vor MiCAR ohne erforderliche Erlaubnis) in Deutschland operiert, kommen Ansprüche wegen unerlaubter Finanzdienstleistung in Betracht – auch strafrechtliche Konsequenzen für die Geschäftsführer nach § 54 KWG bzw. den entsprechenden MiCAR/KMAG-Sanktionsnormen (unerlaubtes Erbringen von Dienstleistungen). § 264a StGB (Kapitalanlagebetrug) kommt zusätzlich in Betracht, wenn nachweislich falsche oder unvollständige Angaben über die Kapitalanlage gemacht wurden.
Wenn eine Staking Plattform insolvent wird oder Auszahlungen einstellt, gilt:
Für Betroffene von gefälschten Krypto-Handelsplattformen gelten ähnliche Schritte – dazu erklärt der Beitrag zu Fake Exchange Betrug Krypto die wichtigsten Maßnahmen.
Neben den Ansprüchen im Insolvenzverfahren gibt es häufig einen weiteren Anspruchsgegner: die Geschäftsführer und Gründer der insolventen Plattform. Haben diese über die finanzielle Lage getäuscht, Gelder zweckwidrig verwendet oder die Insolvenz verschleppt, haften sie persönlich nach § 823 BGB und § 826 BGB (vorsätzliche sittenwidrige Schädigung).
Strafrechtlich kommen Untreue (§ 266 StGB), Betrug (§ 263 StGB) und § 261 StGB (Geldwäsche) in Betracht, wenn Gelder veruntreut oder verschleiert wurden. Die Akteneinsicht über § 406e StPO eröffnet Zugang zu Ermittlungsergebnissen, die im Zivilprozess nutzbar sind.
Die Verjährung dieser Ansprüche richtet sich nach §§ 195, 199 BGB: Drei Jahre ab dem Jahresende der Kenntnisnahme von Schaden und Schädiger. Das Insolvenzverfahren hemmt die Verjährung grundsätzlich nicht – handeln Sie daher parallel zum Insolvenzprozess.
Viele insolvente Staking-Plattformen sind oder waren in Jurisdiktionen wie den USA, den British Virgin Islands oder anderen Offshore-Standorten registriert. Für Betroffene einer Staking Plattform insolvent außerhalb der EU erschwert das die Durchsetzung von Ansprüchen. Dennoch gibt es Möglichkeiten: Die EU-Insolvenzverordnung (EuInsVO) regelt die grenzüberschreitende Anerkennung von Insolvenzverfahren innerhalb der EU. Für US-Verfahren können sich deutsche Anleger beim US-amerikanischen Insolvenzgericht als Gläubiger anmelden.
Wichtig: Auch wenn das Verfahren im Ausland geführt wird, können in Deutschland zivilrechtliche Klagen gegen hiesige Verantwortliche oder gegen Banken eingereicht werden, die Zahlungsverkehr für die Plattform abgewickelt haben. Hat eine deutsche Bank Einzahlungen auf ein Plattform-Konto ermöglicht, ohne auf BaFin-Warnungen zu reagieren, kommt Bankenhaftung nach § 826 BGB in Betracht.
Details zur Bankenhaftung bei Krypto-Betrugsfällen erklärt der Beitrag zu Kryptobetrug Bankhaftung. Wer bereits Kryptowährungen auf eine insolvent gewordene Plattform überwiesen hat, findet weitere Hinweise im Beitrag Kryptobetrug Anzeige erstatten.
Die Anmeldung einer Forderung im Insolvenzverfahren einer Staking Plattform insolvent klingt nach einem Formularschritt – ist es aber nicht. Die rechtliche Qualifikation Ihrer Stellung (Eigentümer oder Gläubiger), die korrekte Bezifferung der Forderung inklusive entgangener Zinsen und die Entscheidung, ob eine separate Klage gegen Geschäftsführer sinnvoll ist, erfordern spezifisches Fachwissen.
Ein Anwalt für Bankrecht und Kapitalmarktrecht kann die Vertragsbedingungen der Plattform analysieren, Ihre Gläubigerposition einschätzen und die Insolvenzforderung optimal formulieren. Gerade bei erheblichen Verlusten macht diese Differenz oft den entscheidenden Unterschied zwischen Quote und Totalverlust.
Informieren Sie sich außerdem über verwandte Risiken beim Krypto-Betrug Geld zurück-Verfahren sowie über das Anwalt für Finanzbetrug-Angebot.
Wenn eine Staking Plattform insolvent wird, sind passive Betroffene die Verlierer. Wer seine Forderung nicht anmeldet, nimmt am Verfahren nicht teil. Wer die Vertragsstruktur nicht analysiert, weiß nicht, ob ein Aussonderungsrecht besteht. Wer nicht parallel gegen Geschäftsführer vorgeht, verschenkt möglicherweise eine wichtige Anspruchsgrundlage.
Ab Juli 2026 schafft MiCAR Art. 70 strukturell bessere Bedingungen durch Vermögenstrennung und Vorrangsstellung der Kunden. Für Altfälle bleibt der rechtliche Weg der einzige Ausweg: Insolvenzforderung anmelden, Schadensersatzklage gegen Verantwortliche prüfen, strafrechtliche Ermittlungen anstoßen. Die Verjährung nach §§ 195, 199 BGB läuft – und Insolvenzverwalter agieren im Interesse der Gesamtgläubigerschaft, nicht in Ihrem.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
Das hängt von der Vertragsstruktur ab. Haben Sie Coins nur verwahrt (Treuhand), können Sie diese als Eigentümer aussondern. Haben Sie sie der Plattform übereignet (Darlehen), sind Sie ungesicherter Gläubiger – Ihre Forderung nimmt dann anteilig an der Insolvenzmasse teil.
Aussonderungsrecht bedeutet: Ihre Coins sind Ihrem Eigentum zuzuordnen und müssen aus der Insolvenzmasse herausgegeben werden. Das setzt voraus, dass die Plattform Ihre Coins separat verwahrt hat und diese noch identifizierbar sind – was bei Pool-Modellen oft nicht der Fall ist.
Ja. Das Versäumen der Anmeldefrist schließt Sie vom Verfahren aus. Der Insolvenzverwalter setzt eine Frist – prüfen Sie öffentliche Bekanntmachungen und handeln Sie rechtzeitig. Ein Anwalt hilft bei korrekter Formulierung und Bezifferung der Forderung.
MiCAR gilt seit dem 30. Dezember 2024; in Deutschland endete die nationale Übergangsfrist bereits Ende 2025, die EU-Maximalfrist läuft bis zum 1. Juli 2026. Alle Kryptowerte-Dienstleister müssen als CASP lizenziert sein. Art. 70 MiCAR schreibt Vermögenstrennung vor – Kundenvermögen muss vom Eigenvermögen der Plattform getrennt gehalten werden. Kunden sind im Insolvenzfall bevorzugte Gläubiger.
Ja, wenn Geschäftsführer über die finanzielle Lage getäuscht, Gelder zweckwidrig verwendet oder die Insolvenz verschleppt haben. Anspruchsgrundlagen sind § 823 BGB und § 826 BGB (vorsätzliche sittenwidrige Schädigung). Strafrechtlich kommt Betrug nach § 263 StGB in Betracht.
Zivilrechtliche Ansprüche verjähren nach §§ 195, 199 BGB in drei Jahren ab dem Jahresende der Kenntnisnahme. Das Insolvenzverfahren hemmt die Verjährung nicht automatisch. Handeln Sie daher parallel zum Insolvenzprozess und warten Sie nicht auf den Abschluss des Verfahrens.
Als Double Dipping bezeichnet man den Versuch, sowohl als Gläubiger im Insolvenzverfahren als auch direkt gegen Geschäftsführer vorzugehen. Das ist zulässig – beide Wege sind parallel möglich und unabhängig voneinander. Doppelbefriedigung ist jedoch ausgeschlossen: Was im Insolvenzverfahren erhalten wird, mindert den separaten Schadensersatz.
Echtes Staking über eine eigene Wallet erhält das Eigentum des Nutzers – Coins sind aussonderungsfähig. Lending übereignet Coins an die Plattform gegen Zinsversprechen – das ist ein Darlehen nach § 488 BGB. Im Insolvenzfall sind Lending-Nutzer nur ungesicherte Gläubiger.
Unter bestimmten Umständen ja. Hat eine deutsche Bank Einzahlungen auf das Konto einer nicht lizenzierten Plattform ermöglicht und dabei BaFin-Warnungen ignoriert, kommen Ansprüche nach § 826 BGB in Betracht. Das ist einzelfallabhängig und sollte anwaltlich geprüft werden.
Kryptowährungen gelten nach BFH IX R 3/22 (14. Februar 2023) als private Veräußerungsgeschäfte nach § 23 EStG. Verluste aus dem Ausfall einer Staking-Plattform können unter Umständen mit anderen Krypto-Gewinnen verrechnet werden. Eine steuerrechtliche Beratung ist hier empfehlenswert.
Ein gekapertes Wertpapierdepot kann binnen Stunden leergeräumt sein – die rechtliche Auseinandersetzung mit der Depotbank beginnt danach oft erst.
Das Wertpapierdepot ist für viele Anleger eine langfristige Vermögensgrundlage. Aktien, ETFs, Anleihen - alles sorgfältig aufgebaut und digital verwahrt. Doch was passiert, wenn Betrüger Zugangsdaten stehlen, das Depot übernehmen und Wertpapiere im eigenen Namen verkaufen? Ein Depot gehackt Betrug läuft erschreckend schnell ab: In wenigen Stunden werden Positionen liquidiert, der Erlös auf fremde Konten geleitet - und der Anleger steht vor dem leeren Depot.
Depot-Hacking ist technisch und rechtlich anspruchsvoller als klassisches Phishing auf Girokonten. Wertpapiergeschäfte lassen sich nicht wie Überweisungen einfach zurückbuchen. Das Wertpapierrecht, das Zahlungsdiensterecht und das allgemeine Deliktsrecht greifen ineinander - und die Depotbank wird die Erstattung regelmäßig verweigern, solange sie glaubt, der Kunde habe grob fahrlässig gehandelt.
Dieser Beitrag erklärt, wie ein Depot-Hacking abläuft, welche Ansprüche nach einem Depot gehackt Betrug bestehen und warum die 13-Monats-Frist nach § 676b BGB auch hier gilt.
Der typische Angriff auf Depots beginnt nicht mit einem technischen Einbruch in die Serversysteme der Depotbank – sondern mit dem Angriff auf den Kunden selbst. Phishing-E-Mails, gefälschte Login-Seiten, Schadsoftware (Keylogger) oder manipulierte App-Versionen stehlen Zugangsdaten zum Online-Depot. Wer dann keine Zwei-Faktor-Authentifizierung aktiviert hat, bietet Angreifern freie Bahn.
Strafrechtlich erfüllt der Zugang zum fremden Depot den Tatbestand des § 263a StGB (Computerbetrug) und § 263 StGB (Betrug). Wer Wertpapiere über ein gekapertes Depot verkauft, erfüllt außerdem § 303a StGB (Datenveränderung) und ggf. Unterschlagungstatbestände. Für den Geschädigten relevant: Diese Tatbestände begründen zivilrechtliche Schadensersatzansprüche nach § 823 BGB.
Komplexer wird der Fall, wenn Angreifer nach dem Ausverkauf von Wertpapieren mit dem Erlös auf dem Cashkonto weiter agieren – etwa durch Überweisungen ins Ausland. In diesem Fall überschneiden sich Depot-Hacking und klassischer Bankbetrug. Zum Hintergrund der BGH-Rechtsprechung zur Bankenhaftung finden Sie einen gesonderten Beitrag.
Ein solcher Depotbetrug wird oft erst bemerkt, wenn die Depotbank eine automatische Transaktionsbenachrichtigung versendet oder der Anleger selbst ins Depot schaut. Die typischen Anzeichen:
Die Haftungsfrage beim Depot gehackt Betrug ist komplexer als bei einem normalen Phishing-Fall auf dem Girokonto. Für Zahlungsvorgänge – also Überweisungen vom Cashkonto des Depots – gelten die §§ 675u BGB und 675v BGB: Nicht autorisierte Zahlungen muss die Bank grundsätzlich erstatten, es sei denn, grobe Fahrlässigkeit des Kunden liegt vor.
Für Wertpapiergeschäfte selbst – den Verkauf von Aktien oder ETFs – gilt nicht unmittelbar das Zahlungsdiensterecht. Hier kommen das Wertpapierhandelsgesetz (WpHG) und die vertragliche Haftung aus dem Depotvertrag zum Tragen. Die Depotbank hat eine Schutzpflicht – sie muss sicherstellen, dass Orders nur von autorisierten Personen erteilt werden. Verletzt sie diese Pflicht, haftet sie nach § 823 BGB und aus dem Vertrag.
Der BGH hat mit Urteil vom 22. Juli 2025 (BGH XI ZR 107/24) zur TAN-Weitergabe klargestellt: TAN-Weitergabe allein ist keine Autorisierung. Das Gericht prüft, ob grobe Fahrlässigkeit nach § 675v BGB vorlag. Augenblicksversagen – situationsbedingte Überforderung ohne Reflektionsmöglichkeit – kann grobe Fahrlässigkeit im Einzelfall ausschließen.
Bei einem gekaperten Depot liegt die Beweislast grundsätzlich bei der Bank: Sie muss nachweisen, dass die Transaktionen autorisiert waren und grobe Fahrlässigkeit des Kunden vorlag. Der Kunde muss den Angriff substantiiert darlegen – also erklären, was passiert ist, welche Zugangsdaten kompromittiert wurden und durch welchen Mechanismus.
Sichern Sie daher sofort: alle E-Mails rund um den Vorfall, Phishing-Nachrichten, Login-Benachrichtigungen, Transaktionshistorie aus dem Depot sowie Bankauszüge. Lassen Sie das betroffene Gerät von einem IT-Forensiker untersuchen – ein forensischer Bericht kann nachweisen, dass Schadsoftware aktiv war, und damit grobe Fahrlässigkeit widerlegen.
Zudem eröffnet eine Strafanzeige den Weg zu Ermittlungsakten über § 406e StPO. Ermittlungsbehörden können IP-Adressen und Transaktionsdaten sichern, die der Anleger selbst nicht abrufen könnte. Das stärkt die zivilrechtliche Position erheblich.
§ 676b Abs. 2 BGB setzt eine Ausschlussfrist von 13 Monaten für nicht autorisierte Zahlungsvorgänge. Diese Frist beginnt mit dem Belastungsdatum der Transaktion – nicht mit dem Zeitpunkt der Entdeckung. Wer die Depotbank nicht innerhalb dieser Frist auf einen nicht autorisierten Vorgang hinweist, verliert seinen Erstattungsanspruch endgültig.
Für Wertpapiergeschäfte selbst greift § 676b BGB nicht direkt – der Anspruch ergibt sich aus dem Depotvertrag und § 823 BGB. Hier gilt die reguläre Verjährungsfrist von drei Jahren nach §§ 195, 199 BGB ab Jahresende der Kenntnis. Dennoch gilt: Früh handeln sichert Beweise und erhöht die Erfolgschancen erheblich.
Zum Vergleich: Der Generalanwalt des EuGH hat in den Schlussanträgen zu EuGH C-70/25 (05. März 2026) die Auffassung vertreten, dass Banken bei nicht autorisierten Zahlungen zunächst erstatten sollen – das ist jedoch ein Schlussantrag, kein bindendes Endurteil. Die abschließende EuGH-Entscheidung steht noch aus.
Handeln Sie sofort – jede Stunde zählt:
Zusätzlich prüfenswert: Wurden auch andere Konten bei derselben Bank oder verknüpfte Dienste kompromittiert? Haben Angreifer die hinterlegte Referenz-IBAN geändert, um spätere Auszahlungen abzufangen? Diese Details sind für das Verfahren gegen die Depotbank entscheidend.
Die Rückabwicklung eines unautorisierten Wertpapierverkaufs ist komplex. Ist das Wertpapier bereits auf dem Markt verkauft, kann die ursprüngliche Position nicht einfach zurückgekauft werden – der Marktpreis hat sich möglicherweise verändert. Der Schadensersatzanspruch umfasst daher: den Verkaufserlös, der abgeflossen ist, plus eventuelle Kursgewinne, die dem Anleger durch den erzwungenen Verkauf entgangen sind.
Rechtlich relevant ist die Frage, ob die Depotbank eine Sorgfaltspflichtverletzung beging – etwa indem sie eine Order von einem unbekannten Gerät oder IP-Adresse ohne zusätzliche Prüfung ausgeführt hat. Derartige Systemmechanismen können die Haftung der Bank begründen. Vergleichbare Situationen beim Phishing bei Advanzia Bank und beim BaFin-Warnungen und Bankenhaftung-Beitrag zeigen ähnliche Konstellationen.
Die außergerichtliche Geltendmachung läuft über ein anwaltliches Schreiben mit konkreter Forderung und Fristsetzung. Verweigert die Depotbank die Erstattung, bleibt der Klageweg – oder die Einschaltung des zuständigen Ombudsmanns (bei Banken: Ombudsmann der privaten Banken oder der Sparkassen-Finanzgruppe).
Ein Depot-Hacking-Angriff ist fast immer auch ein Datenschutzvorfall. Angreifer haben Zugangsdaten, Transaktionshistorien, Personalien und Kontoverbindungen abgegriffen. Nach Art. 82 DSGVO steht jedem Betroffenen Schadensersatz zu, wenn ein Verantwortlicher oder Auftragsverarbeiter gegen die DSGVO verstoßen hat und dadurch Schaden entstanden ist.
Der BGH hat in VI ZR 10/24 (18. November 2024) klargestellt: Der bloße Kontrollverlust über persönliche Daten begründet bereits einen immateriellen Schaden – typischerweise ca. 100 Euro. Das ist nur ein Baustein des Gesamtschadens, sichert aber einen zusätzlichen Anspruch neben dem Hauptanspruch auf Depotersatz.
Nutzen Sie außerdem Ihr Auskunftsrecht nach Art. 15 DSGVO: Fragen Sie die Depotbank, welche Daten verarbeitet wurden, ob eine Datenpanne gemeldet wurde und welche Sicherheitsmaßnahmen zum Zeitpunkt des Angriffs bestanden. Diese Informationen sind für das Verfahren wertvoll.
Bei einem Depot gehackt Betrug mit erheblichem Schadenspotenzial – Verkauf von Wertpapieren im Wert von mehreren Tausend Euro – ist anwaltliche Begleitung keine Frage des Komforts. Die Depotbank wird eine interne Prüfung starten und dabei versuchen, grobe Fahrlässigkeit des Kunden nachzuweisen. Wer ohne anwaltliche Beratung kommuniziert, riskiert unbeabsichtigte Zugeständnisse.
Ein Anwalt für Bankrecht kann die Kommunikation mit der Depotbank übernehmen, IT-Forensik koordinieren, Strafanzeigen optimieren und bei Bedarf den Klageweg einleiten. Erfahrung im Bereich Finanzbetrug und Cybercrime ist dabei entscheidend.
Weitere Informationen zu verwandten Betrugsformen finden Sie in den Beiträgen zu Anlagebetrug erkennen und zum Arbitrage-Bot-Betrug.
Ein Depot gehackt Betrug ist für betroffene Anleger ein schwerer finanzieller und emotionaler Schlag. Das Recht bietet jedoch konkrete Anspruchsgrundlagen: Erstattungsansprüche nach §§ 675u ff. BGB für Zahlungsvorgänge, Schadensersatz nach § 823 BGB und aus dem Depotvertrag für nicht autorisierte Wertpapiergeschäfte, DSGVO-Ansprüche nach Art. 82 DSGVO und strafrechtliche Ermittlungen.
Entscheidend sind die ersten Stunden: Depot sperren, Beweise sichern, Strafanzeige erstatten und die Depotbank schriftlich konfrontieren. Die 13-Monats-Frist nach § 676b BGB gilt für Zahlungsvorgänge – die dreijährige Verjährung nach §§ 195, 199 BGB für Wertpapieransprüche. Wer zu lange wartet, verliert Ansprüche. Informieren Sie sich außerdem über den Krypto-Betrug Geld zurück-Weg.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
Typische Anzeichen: Ihnen unbekannte Wertpapierverkäufe, veränderte Referenz-IBAN, Passwort-Reset-E-Mails ohne eigene Anforderung oder Login-Alerts aus unbekannten Ländern. Prüfen Sie bei Verdacht sofort die Transaktionshistorie und rufen Sie die Depotbank an.
Für Zahlungsvorgänge vom Cashkonto gilt § 675u BGB: nicht autorisierte Transaktionen müssen grundsätzlich erstattet werden, es sei denn, grobe Fahrlässigkeit des Kunden liegt vor. Für Wertpapiergeschäfte ergibt sich die Haftung aus dem Depotvertrag und § 823 BGB – auch hier kann die Bank haften, wenn sie Sorgfaltspflichten verletzt hat.
Grob fahrlässig handelt, wer die im Verkehr erforderliche Sorgfalt in besonders schwerem Maß verletzt – etwa TAN-Weitergabe am Folgetag trotz eindeutiger Phishing-Warnung. Der BGH (XI ZR 107/24) hat klargestellt, dass Augenblicksversagen grobe Fahrlässigkeit im Einzelfall ausschließen kann.
§ 676b Abs. 2 BGB setzt eine Ausschlussfrist von 13 Monaten ab dem Belastungsdatum für nicht autorisierte Zahlungsvorgänge. Wer die Depotbank nicht innerhalb dieser Frist auf eine nicht autorisierte Transaktion hinweist, verliert den Erstattungsanspruch endgültig.
Eine direkte Rückbuchung wie bei Überweisungen ist bei Wertpapiergeschäften nicht möglich. Der Schadensersatzanspruch umfasst jedoch den abgeflossenen Verkaufserlös plus entgangene Kursgewinne. Anspruchsgrundlage ist der Depotvertrag sowie § 823 BGB.
Zivilrechtliche Schadensersatzansprüche aus § 823 BGB und dem Depotvertrag verjähren nach §§ 195, 199 BGB in drei Jahren ab Jahresende der Kenntnisnahme. Die 13-Monats-Ausschlussfrist nach § 676b BGB gilt nur für den spezifischen Zahlungserstattungsanspruch.
Wenden Sie sich an einen Anwalt für Bankrecht. Außergerichtlich: Anwaltliches Schreiben mit Forderung und Fristsetzung. Gerichtlich: Klage auf Schadensersatz. Alternativ: Ombudsmann der privaten Banken oder der Sparkassen-Finanzgruppe einschalten – das Verfahren ist kostenlos.
Ja. Die Strafanzeige eröffnet Ermittlungen und den Zugang zu Ermittlungsakten über § 406e StPO. Ermittler können IP-Adressen und Kontodaten sichern, die als Beweismittel im zivilrechtlichen Verfahren gegen die Depotbank genutzt werden können.
Ja. Der Angriff ist auch ein Datenschutzvorfall. Nach Art. 82 DSGVO steht Betroffenen Schadensersatz zu, wenn der Datenschutzverstoß auf mangelhafte Sicherheit der Depotbank zurückgeht. Der BGH (VI ZR 10/24) hat Kontrollverlust über persönliche Daten als immateriellen Schaden anerkannt.
Aktivieren Sie Zwei-Faktor-Authentifizierung für das Depot-Login. Nutzen Sie ein dediziertes Gerät für Finanzgeschäfte, halten Sie Software aktuell und prüfen Sie Transaktionsbenachrichtigungen täglich. Ändern Sie nie Zugangsdaten auf Anfrage von Anrufern – echte Depotbanken fragen das nicht.
Ein Ransomware-Angriff legt innerhalb von Minuten Daten und Systeme lahm – die juristischen Konsequenzen eines falschen Umgangs damit können jedoch erheblich länger nachwirken.
Ransomware ist eine Form der Schadsoftware, die Daten auf befallenen Systemen verschlüsselt und den Zugang sperrt, bis ein Lösegeld - meist in Kryptowährung - gezahlt wird. Was früher vor allem Unternehmen und Behörden traf, betrifft heute auch Privatpersonen. Ein Klick auf einen manipulierten E-Mail-Anhang, eine kompromittierte Downloadquelle oder eine ungepatchte Sicherheitslücke genügen, um ein System vollständig blockieren.
Ransomware Lösegeld zu zahlen klingt verlockend - der schnelle Weg zurück zu den eigenen Daten. Tatsächlich empfehlen BSI, Europol und Strafverfolgungsbehörden fast einhellig: nicht zahlen. Denn die Zahlung garantiert keine Entschlüsselung, finanziert kriminelle Strukturen und kann unter Umständen selbst strafrechtliche oder sanktionsrechtliche Risikenerzeugen. Dieser Beitrag erklärt, wie Ransomware-Angriffe typischerweise ablaufen, welche rechtlichen Pflichten Privatpersonen und Unternehmen treffen, wie Cyber-Versicherungen greifen und welche Schritte nach einem Angriff rechtlich geboten sind.
Ransomware verbreitet sich typischerweise über drei Wege: Phishing-E-Mails mit manipulierten Anhängen oder Links, kompromittierte Softwaredownloads sowie ungepatchte Schwachstellen in Betriebssystemen und Anwendungen. Sobald die Schadsoftware aktiv ist, verschlüsselt sie Daten auf dem lokalen System und – bei Netzwerkangriff – auch auf verbundenen Laufwerken, Backups und Cloud-Speichern.
Strafrechtlich ist ein Ransomware-Angriff eindeutig einzuordnen: insbesondere § 303a StGB (Datenveränderung), § 303b StGB (Computersabotage) und § 253 StGB (Erpressung) greifen ebenso; § 263a StGB (Computerbetrug) und § 263 StGB (Betrug) greifen, soweit ein Datenverarbeitungsvorgang manipuliert wird. Für Geschädigte bedeutet das: Die Täter machen sich strafbar. Die Frage ist, wie das für Sie als Opfer verwertbar ist.
Wichtig zu unterscheiden: Ransomware Lösegeld-Forderungen kommen manchmal von organisierten Gruppen, die nach tatsächlicher Verschlüsselung handeln – und manchmal von sogenannten Scareware-Tätern, die lediglich eine Warnung einblenden, ohne wirklich Daten gesperrt zu haben. Prüfen Sie mit einem IT-Fachmann, ob die Verschlüsselung real ist, bevor Sie irgendeinen Schritt unternehmen.
Die Empfehlung von BSI und Europol ist klar: Ransomware Lösegeld nicht zahlen. Die Gründe sind praktisch und rechtlich. Praktisch: Studien zeigen, dass nur ein Teil der zahlenden Opfer ihre Daten tatsächlich zurückerhält. Kriminelle liefern nicht zuverlässig Entschlüsselungstools – insbesondere wenn sie ein Unternehmen bereits dauerhaft kompromittiert haben.
Rechtlich: Wer Lösegeld an eine Gruppe zahlt, die auf einer Sanktionsliste der EU oder der USA geführt wird – etwa durch das US-amerikanische OFAC – riskiert selbst Sanktionsverstöße. Das betrifft in erster Linie Unternehmen, aber auch Privatpersonen können in entsprechende Prüfungen geraten. Die rechtliche Bewertung einer Lösegeldzahlung im Einzelfall ist komplex und hängt von den konkreten Umständen ab.
Hat ein Angreifer darüber hinaus Daten gestohlen – sogenanntes Double Extortion – bevor er verschlüsselt, drohen auch bei Zahlung Datenpublizierungen. Die Zahlung kauft keine Sicherheit. Juristisch bleibt zudem die Frage: Wer haftet, wenn trotz Zahlung sensible Kundendaten veröffentlicht werden?
Für Unternehmen, die personenbezogene Daten verarbeiten, greift nach einem Ransomware-Angriff fast immer eine Meldepflicht nach der DSGVO. Art. 33 DSGVO verpflichtet Verantwortliche, eine Datenschutzverletzung innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden – sofern ein Risiko für die betroffenen Personen besteht.
Ransomware gilt fast immer als Datenschutzverletzung, da zumindest die Verfügbarkeit der Daten beeinträchtigt ist. Bei nachgewiesenem Datenabfluss – Double Extortion – müssen unter Umständen auch die Betroffenen (Kunden, Mitarbeiter) informiert werden. Die Nichtmeldung innerhalb der Frist kann zu Bußgeldern der Datenschutzbehörde führen, die bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen können.
Privatpersonen trifft keine DSGVO-Meldepflicht als Verantwortliche. Sie können jedoch nach Art. 82 DSGVO Schadensersatz geltend machen, wenn ein Dienstleister (Cloud-Anbieter, Hosting-Firma) den Angriff durch mangelnde Sicherheit ermöglicht hat. Der BGH hat in VI ZR 10/24 (18. November 2024) bestätigt: Kontrollverlust über persönliche Daten begründet einen immateriellen Schaden.
Nach einem Ransomware-Angriff sollten Betroffene immer Strafanzeige erstatten. Der strafrechtliche Verfolgungsweg dient nicht nur der Täterermittlung – er eröffnet auch den Zugang zu Ermittlungsakten über § 406e StPO (Akteneinsicht für Verletzte). Diese können für Versicherungs- und Schadensersatzverfahren entscheidend sein.
Ransomware-Angriffe werden in Deutschland von spezialisierten Zentralstellen verfolgt – etwa der Zentrale Stelle Cybercrime Bayern (ZCC) oder vergleichbaren Einrichtungen der Landeskriminalämter. Strafanzeige bei der lokalen Polizei ist dennoch der richtige erste Schritt: Das Verfahren wird bei Bedarf weitergeleitet.
Wurden Banküberweisungen infolge eines Ransomware-Angriffs ausgelöst – etwa weil Zugangsdaten gestohlen wurden – kommen zusätzlich Erstattungsansprüche nach § 675u BGB gegen die kontoführende Bank in Betracht. Wie ähnliche Fälle bei Banken verlaufen, erklärt der Beitrag zum Bankbetrug und BGH-Haftung.
Viele Unternehmen und zunehmend auch Privatpersonen haben eine Cyber-Versicherung. Diese deckt im Idealfall: Wiederherstellungskosten nach einem Angriff, Betriebsunterbrechungsschäden, Drittschäden (Kundendaten wurden kompromittiert) und – je nach Police – auch Ransomware-Lösegeld-Zahlungen.
Doch Versicherungen leisten nicht automatisch. Häufige Ausschlussgründe sind: fehlende Grundsicherheitsmaßnahmen (kein regelmäßiges Backup, veraltete Software), Verletzung von Obliegenheiten (Angriff nicht unverzüglich gemeldet), oder der Angreifer steht auf einer Sanktionsliste. Lassen Sie die Police vor dem Angriff von einem Anwalt prüfen – und melden Sie einen Vorfall sofort dem Versicherer.
Verweigert die Cyber-Versicherung die Leistung zu Unrecht, können Ansprüche aus dem Versicherungsvertrag bestehen. Die Verjährungsfrist beträgt drei Jahre (§§ 195, 199 BGB), beginnend mit dem Schluss des Jahres, in dem der Anspruch entstand und Kenntnis erlangt wurde. Handeln Sie daher ohne langen Aufschub.
Die ersten Stunden nach der Entdeckung eines Ransomware-Angriffs sind entscheidend. Folgende Schritte sind rechtlich und technisch geboten:
Auf der Website des BSI (Bundesamt für Sicherheit in der Informationstechnik) sowie bei Europol finden sich Entschlüsselungstools für bekannte Ransomware-Varianten. Das Projekt 'No More Ransom' bietet kostenlose Hilfe an – bevor Sie zahlen, prüfen Sie diese Ressourcen. Weitere Hilfe für Cybercrime-Opfer finden Sie in einem gesonderten Beitrag.
Neben den Tätern selbst kommen mehrere weitere Haftungssubjekte in Betracht. Dienstleister – Cloud-Anbieter, IT-Systemhäuser, Hosting-Firmen – haften, wenn mangelnde Sicherheitsvorkehrungen den Angriff ermöglicht oder begünstigt haben. Anspruchsgrundlage: § 280 Abs. 1 i.V.m. § 241 Abs. 2 BGB (Verletzung vertraglicher Schutzpflichten) bzw. § 823 Abs. 1 BGB (deliktische Haftung) sowie § 826 BGB bei vorsätzlich sittenwidriger Schädigung.
Für die Verjährung gilt: zivilrechtliche Ansprüche verjähren in drei Jahren (§§ 195, 199 BGB), beginnend mit dem Schluss des Jahres der Kenntnis. Die Verjährung richtet sich nach §§ 195, 199 BGB und den Umständen des jeweiligen Einzelfalls. Handeln Sie dennoch früh – Beweise verfallen, Täter werden schwerer greifbar.
Unternehmen, die nach einem Datenleck Schadenersatzansprüche betroffener Kunden fürchten, sollten neben Art. 82 DSGVO auch die produkthaftungsrechtliche Dimension prüfen. Bei Betroffenheit durch Phishing als Einfallstor hilft der Beitrag zu Phishing Geld zurück weiter.
Ransomware-Gruppen, die Double Extortion betreiben, stehlen Daten vor der Verschlüsselung. Das umfasst Passwörter, Zugangsdaten für Bankkonten, Personalausweiskopien oder Kundendaten. Die Folge: Identitätsmissbrauch – Fremde eröffnen Konten, beantragen Kredite oder handeln im Namen des Opfers.
In diesem Fall helfen strafrechtliche Maßnahmen (Anzeige) und zivilrechtliche Schritte gegen Unternehmen, die ohne ausreichende Prüfung auf Basis gestohlener Daten Verträge schließen. Schufaeinträge aus solchen Transaktionen können widerrufen werden. Mehr dazu erklärt der Beitrag zu Bankdaten gestohlen und Identitätsdiebstahl.
Wurden Kryptowährungen infolge eines Ransomware-Angriffs abgeflossen – etwa weil Wallet-Zugangsdaten kompromittiert wurden – empfiehlt sich eine Blockchain-Analyse. Professionelles Crypto-Tracing kann Transaktionspfade nachverfolgen. Mehr dazu in unserem Beitrag Cybercrime-Opfer Hilfe.
Manche Ransomware-Angriffe lassen sich ohne Anwalt bewältigen – wenn der Schaden gering ist, Backups existieren und keine personenbezogenen Daten betroffen sind. Ist jedoch erheblicher Schaden entstanden, drohen DSGVO-Bußgelder, die Cyber-Versicherung verweigert Leistung oder es wurde eine erhebliche Lösegeldsumme gefordert: Dann ist ein Anwalt für Bankrecht und Cybercrime keine Option, sondern Notwendigkeit.
Anwälte mit Erfahrung im Bereich Finanzbetrug und Cybercrime kennen die Ermittlungsstrategien, können Versicherungsansprüche durchsetzen und wissen, wie DSGVO-Meldungen richtig formuliert werden, um Bußgelder zu minimieren. Frühzeitige Einschaltung spart langfristig erhebliche Kosten.
Nehmen Sie niemals Kontakt mit angeblichen Entschlüsselungsdiensten auf, die Ihnen per E-Mail oder über die Erpressungsnote angeboten werden. Diese sind häufig Teil des Angriffs selbst oder ein nachgelagerter Betrug, der auf verzweifelte Opfer spezialisiert ist – vergleichbar dem CEO-Fraud-Schema.
Ransomware Lösegeld zu zahlen löst das Problem in den seltensten Fällen und schafft neue rechtliche Risiken. Der richtige Weg: System isolieren, Strafanzeige erstatten, Versicherung kontaktieren, Anwalt hinzuziehen – und erst dann über technische Wiederherstellung nachdenken.
Das Recht bietet Betroffenen eine Reihe von Instrumenten: Erstattungsansprüche nach § 675u BGB bei Banktransaktionen, Schadensersatz nach Art. 82 DSGVO und § 823 BGB, strafrechtliche Ermittlungen über § 406e StPO. Die regelmäßige dreijährige Verjährung läuft nach §§ 195, 199 BGB – wer zu lange wartet, verliert seine Ansprüche. Informieren Sie sich auch über Identitätsdiebstahl bei der Bank als mögliche Folge.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
BSI, Europol und Strafverfolgungsbehörden empfehlen fast einhellig: nein. Zahlung garantiert keine Entschlüsselung, finanziert kriminelle Strukturen und kann in Ausnahmefällen sanktionsrechtliche oder strafrechtliche Risiken erzeugen. Prüfen Sie zuerst kostenlose Entschlüsselungstools etwa beim Projekt 'No More Ransom'.
Unternehmen, die personenbezogene Daten verarbeiten, müssen Datenschutzverletzungen innerhalb von 72 Stunden nach Art. 33 DSGVO an die Aufsichtsbehörde melden. Privatpersonen trifft keine DSGVO-Meldepflicht als Verantwortliche, können aber Strafanzeige bei der Polizei erstatten.
Prüfen Sie die Police auf Ausschlussgründe – fehlende Sicherheitsmaßnahmen, verspätete Meldung oder Sanktionslistenbezug des Angreifers. Verweigert die Versicherung zu Unrecht, bestehen Ansprüche aus dem Versicherungsvertrag und nach § 823 BGB. Die regelmäßige Verjährungsfrist beträgt drei Jahre (§§ 195, 199 BGB).
Ja, wenn Dritte – Dienstleister, Cloud-Anbieter, IT-Firmen – durch mangelnde Sicherheit den Angriff begünstigt haben, kommen Schadensersatzansprüche nach § 823 BGB in Betracht. Bei Datenabfluss greift Art. 82 DSGVO – der BGH hat in VI ZR 10/24 bestätigt: Kontrollverlust über Daten ist ein immaterieller Schaden.
Grundsätzlich nein – aber in Ausnahmefällen schon. Wenn die Angreifergruppe auf Sanktionslisten der EU oder USA steht, kann eine Zahlung Sanktionsverstöße auslösen. Außerdem kann Beihilfe zur Geldwäsche nach § 261 StGB geprüft werden, wenn die kriminelle Herkunft offensichtlich war.
Zivilrechtliche Ansprüche verjähren in drei Jahren (§§ 195, 199 BGB) ab dem Schluss des Jahres, in dem Sie von Schaden und Verursacher Kenntnis erlangt haben. Bei Datenschutzverletzungen gilt die gleiche Regelfrist. Handeln Sie früh – Beweise verfallen und Täter werden schwerer greifbar.
Wenn durch den Angriff personenbezogene Kundendaten abgeflossen sind oder ein hohes Risiko für Betroffene besteht, müssen Kunden nach Art. 34 DSGVO informiert werden. Die Entscheidung hängt von der Art der betroffenen Daten und dem Risiko ab – anwaltliche Beratung hilft, die Meldepflicht korrekt zu erfüllen.
Bei Double Extortion stehlen Angreifer Daten, bevor sie verschlüsseln. Sie drohen dann mit Veröffentlichung, falls kein Lösegeld gezahlt wird. Auch nach Zahlung gibt es keine Garantie der Datenlöschung. Double Extortion löst fast immer DSGVO-Meldepflichten aus und begründet Schadensersatzrisiken gegenüber Betroffenen.
Scareware zeigt lediglich eine Warnmeldung, ohne Daten tatsächlich zu verschlüsseln – sie soll Opfer zur Zahlung erschrecken. Echter Ransomware-Befall ist durch fehlenden Dateizugang und verschlüsselte Dateiendungen erkennbar. Ein IT-Forensiker kann den Unterschied schnell klären.
Ja. Die Strafanzeige ist Pflichtbaustein: Sie eröffnet Ermittlungen, schafft Zugang zu Ermittlungsakten über § 406e StPO und stärkt zivilrechtliche Ansprüche. Außerdem dient das Aktenzeichen als Nachweis für Cyber-Versicherungen und Datenschutzbehörden.
Bei der App-only-Bank bunq greifen Betrüger gezielt auf digitale Push-Mechanismen zu – die Haftungsfragen zwischen Kunden und Bank sind dabei rechtlich komplex und oft streitig.
bunq ist eine niederländische Neobank mit E-Geld-Lizenz der Niederländischen Nationalbank (DNB), die in Deutschland als vollständig digitale App-only-Lösung positioniert ist. Kein Bankfilial, kein Kundenberater am Telefon - alles läuft über die App. Genau dieses Modell macht bunq attraktiv: wenige Klicks, sofortige Transaktionen, moderne Oberfläche.
Und genau hier setzen Betrüger gezielt an.
bunq Phishing funktioniert anders als klassisches E-Mail-Phishing bei Filialbanken. Täter imitieren App-Benachrichtigungen, täuschen mit gefälschten SMS Push-Anfragen oder nutzen social engineering, um Kunden zur Freigabe von Transaktionen zu bringen - ohne dass diese die Zahlung als solche erkennen. Das Ergebnis: Geld verlassen das Konto in Sekunden, Rückbuchungen sind erschwert.
Dieser Artikel erklärt, wie bunq Phishing technisch abläuft, welche rechtlichen Ansprüche nach einem Schadensfall bestehen und warum die Anzeigepflicht nach § 676b BGB entscheidend ist.
bunq betreibt sein Geschäftsmodell vollständig digital. Kontoeröffnung per App, Authentifizierung per biometrischem Scan, Transaktionsfreigabe per Push-Notification – keine Filiale, kein Telefonservice im klassischen Sinne. Das ist komfortabel, schafft aber eine spezifische Schwachstelle: Wer die App-Benachrichtigungen überlistet, hat direkten Zugang zum Konto.
bunq nutzt die E-Geld-Lizenz der niederländischen Aufsichtsbehörde DNB und ist über das europäische Passporting-Regime auch in Deutschland tätig. Das bedeutet: Im Streitfall mit bunq gilt grundsätzlich europäisches Zahlungsdiensterecht, konkret die PSD2-Richtlinie, die in Deutschland durch die §§ 675u ff. BGB umgesetzt wurde. Welche Rechtsordnung im Einzelfall Anwendung findet, hängt von den vertraglichen Vereinbarungen und den Umständen des jeweiligen Falls ab.
Wichtig ist außerdem die Abgrenzung: Nicht jede Kontosperrung bei bunq ist ein Phishing-Fall. bunq ist für strenge AML-Maßnahmen (Anti-Geldwäsche-Prüfungen) bekannt und sperrt Konten teils ohne ausreichende Kommunikation. Das ist ein anderes Rechtsproblem – hier geht es um berechtigt oder unberechtigt gesperrte Konten, nicht um Phishing. Klären Sie vor rechtlichen Schritten, welcher Fall vorliegt.
Die häufigsten Angriffsvarianten, die Strafverfolgungsbehörden und Anwaltskanzleien bei Neobank-Phishing aktuell begegnen, laufen über folgende Kanäle:
Der technische Rahmen: Wer Zugangsdaten oder TANs weitergibt – auch telefonisch – ermöglicht dem Angreifer eine aus Sicht des Banksystems autorisierte Zahlung. Ob das rechtlich tatsächlich eine Autorisierung darstellt, ist die entscheidende Frage für den Erstattungsanspruch nach § 675u BGB.
Das europäische Zahlungsdiensterecht trifft eine klare Grundaussage: Hat bunq als Zahlungsdienst eine nicht autorisierte Zahlung ausgeführt, muss er den Betrag nach § 675u S. 2 BGB unverzüglich erstatten. Die Beweislast liegt bei der Bank: Sie muss nachweisen, dass die Zahlung vom Kunden autorisiert wurde.
Doch hier liegt die Grauzone: Wer durch Phishing zur Freigabe einer Transaktion gebracht wurde, hat technisch eine Handlung vorgenommen. Das bedeutet allerdings nicht automatisch, dass eine wirksame Autorisierung vorliegt. Ob eine wirksame Autorisierung vorliegt, ist anhand der Umstände des Einzelfalls zu beurteilen.
Hier wird die BGH-Rechtsprechung relevant. Mit Urteil vom 22. Juli 2025 (BGH XI ZR 107/24) hat der Bundesgerichtshof entschieden: Eine Kundin, die ihre TAN am Folgetag telefonisch weitergegeben hatte, verlor den Fall wegen § 675v BGB – grobe Fahrlässigkeit. Das Gericht stellte jedoch auch klar: TAN-Weitergabe allein ist keine Autorisierung nach § 675u S. 2 BGB. Die Beurteilung ob grobe Fahrlässigkeit vorliegt, hängt vom konkreten Einzelfall ab – ein sogenanntes Augenblicksversagen kann grobe Fahrlässigkeit im Einzelfall ausschließen.
§ 675v BGB regelt, wann Kunden ihren Erstattungsanspruch verlieren: bei Vorsatz oder grober Fahrlässigkeit. Grob fahrlässig handelt, wer die im Verkehr erforderliche Sorgfalt in besonders schwerem Maße verletzt. In Neobank-Phishing-Fällen wie diesem sind folgende Konstellationen einschlägig:
Die Grenze ist fließend und wird von Gerichten im Einzelfall bewertet. Vergleichbare Fälle anderer Neobanken zeigen ähnliche Muster – etwa beim N26 Phishing oder C24 Bank Phishing.
Eine für viele Betroffene überraschende Regelung: § 676b Abs. 2 BGB setzt eine Ausschlussfrist von 13 Monaten nach dem Tag der Belastung. Wer seine Bank nicht innerhalb dieser Frist auf eine nicht autorisierte Transaktion hinweist, verliert seinen Erstattungsanspruch – endgültig, auch wenn grobe Fahrlässigkeit gar nicht vorlag.
Diese Frist gilt unabhängig davon, ob Sie den Betrug sofort bemerkt haben oder erst Monate später. Sie beginnt ab dem Belastungsdatum auf dem Kontoauszug. Prüfen Sie daher alle Transaktionen regelmäßig – insbesondere bei App-Banken ohne Papierkontoauszüge ist das aktive Prüfen der Kontohistorie Ihre eigene Aufgabe.
Für laufende EuGH-Verfahren: Der Generalanwalt des EuGH hat in den Schlussanträgen zu EuGH C-70/25 (05. März 2026) die Auffassung vertreten, dass Banken im Phishing-Fall zunächst erstatten sollen – das ist jedoch ein Schlussantrag, kein Endurteil. Die abschließende EuGH-Entscheidung steht aus und könnte die Beweislastverteilung weiter präzisieren.
Bei einem solchen Phishing-Angriff ist schnelles Handeln entscheidend. Folgende Schritte sollten Sie ohne Verzug einleiten:
Wie ähnliche Fälle bei anderen Instituten behandelt werden, zeigt der Beitrag zum Phishing Geld zurück-Verfahren sowie zum Commerzbank Phishing.
bunq bietet einen In-App-Dispute-Prozess an. Betroffene können nicht autorisierte Transaktionen direkt melden. Die Bank prüft intern – lehnt aber häufig mit Verweis auf Kundenverschulden ab. Dann beginnt der rechtliche Weg.
Zivilrechtlich stehen Ansprüche nach § 675u BGB im Vordergrund. Daneben kommen Ansprüche nach § 823 BGB oder § 826 BGB in Betracht, wenn der Zahlungsdienst Sorgfaltspflichten verletzt hat. Für die Verjährung zivilrechtlicher Ansprüche gilt die dreijährige Regelfrist (§§ 195, 199 BGB), die mit dem Schluss des Jahres der Kenntnisnahme beginnt.
Gibt bunq die Erstattung weiterhin nicht, bleibt der Klageweg. Zuständig sind deutsche Gerichte, da der Schadensort Deutschland ist. Alternativ: Die BGH-Rechtsprechung zur Bankenhaftung bietet belastbare Argumente für ein außergerichtliches Schreiben mit konkreter Zahlungsfrist.
Wurde Ihr bunq-Konto durch eine Datenpanne kompromittiert – etwa weil Angreifer auf einem Server gespeicherte Zugangsdaten entwendet haben – kann zusätzlich ein Schadensersatzanspruch nach Art. 82 DSGVO entstehen. Der BGH hat in einem Urteil vom 18. November 2024 (BGH VI ZR 10/24) festgestellt: Allein der Kontrollverlust über persönliche Daten stellt einen immateriellen Schaden im Sinne des Art. 82 DSGVO dar – Die Höhe eines möglichen Schadensersatzanspruchs ist stets anhand der konkreten Umstände des Einzelfalls zu bestimmen.
Das setzt voraus, dass der Datenschutzverstoß bei bunq oder beim Angreifer kausal für den Schaden war. Nutzen Sie Ihr Auskunftsrecht nach Art. 15 DSGVO, um zu erfahren, welche Daten von Ihnen verarbeitet wurden und ob eine Datenpanne gemeldet wurde. bunq muss auf eine solche Anfrage innerhalb eines Monats antworten.
Identitätsmissbrauch nach einem Phishing-Angriff – etwa wenn Betrüger weitere Konten in Ihrem Namen eröffnen – ist ein gesondertes Problem. Der Beitrag zu Identitätsdiebstahl bei Banken zeigt die nächsten Schritte.
bunq agiert als rein digitale Bank mit Sitz in den Niederlanden. Reguläre Schlichtungsverfahren müssen beim zuständigen niederländischen Ombudsmann (Kifid) eingeleitet werden – oder vor deutschen Gerichten, wenn der Schaden in Deutschland eingetreten ist. Das erfordert Kenntnisse im europäischen Zahlungsdiensterecht.
Ein Anwalt für Bankrecht kann die Erfolgsaussichten realistisch einschätzen: War die Zahlung autorisiert? Lag grobe Fahrlässigkeit vor? Ist die 13-Monats-Frist noch nicht abgelaufen? Wurde die Frist versäumt, können Ansprüche aus anderen Rechtsgrundlagen – etwa § 823 BGB oder DSGVO – geprüft werden.
Vorsicht vor angeblichen Rückholservices, die nach einem Phishing-Angriff eine Vorauszahlung verlangen. Das ist ein klassischer Cybercrime-Folgeangriff. Seriöse Anwälte klären den Sachverhalt zunächst und machen Honorar erst nach Fallprüfung geltend.
bunq Phishing ist technisch raffinierter als klassische Bankbetrügereien. Push-Freigaben, gefälschte Support-Anrufe und App-Imitationen nutzen gezielt das Vertrauen in digitale Systeme aus. Der rechtliche Rahmen – PSD2, §§ 675u und 675v BGB, die 13-Monats-Frist des § 676b BGB – bietet Geschädigten dennoch klare Anspruchsgrundlagen.
Entscheidend ist der Nachweis, dass keine wirksame Autorisierung vorlag und keine grobe Fahrlässigkeit des Kunden bestand. Der BGH XI ZR 107/24 hat die Messlatte konkretisiert – aber auch gezeigt, dass es auf den Einzelfall ankommt. Handeln Sie schnell: Meldung bei bunq, Strafanzeige, anwaltliche Beratung. Und prüfen Sie, ob weitere Finanzbetrug-Ansprüche bestehen.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
Bei bunq Phishing imitieren Betrüger App-Benachrichtigungen oder bunq-Supportmitarbeiter, um Kunden zur Freigabe von Transaktionen oder Weitergabe von Zugangsdaten zu bringen. Da bunq komplett digital arbeitet, sind gefälschte Push-Nachrichten und Telefonanrufe besonders wirksam.
Nach § 675u BGB muss bunq bei nicht autorisierten Transaktionen grundsätzlich erstatten. Liegt jedoch grobe Fahrlässigkeit des Kunden vor – etwa TAN-Weitergabe am Folgetag wie im BGH-Urteil XI ZR 107/24 – entfällt der Anspruch nach § 675v BGB. Der Einzelfall ist entscheidend.
§ 676b Abs. 2 BGB setzt eine Ausschlussfrist von 13 Monaten ab dem Belastungsdatum. Wer bunq nicht innerhalb dieser Frist auf eine nicht autorisierte Transaktion hinweist, verliert den Erstattungsanspruch endgültig – unabhängig davon, wie der Betrug ablief.
Grob fahrlässig handelt, wer die verkehrsübliche Sorgfalt in besonders schwerem Maß verletzt. Bei einem solchen Phishing-Angriff ist das etwa die Weitergabe einer TAN an einen angeblichen Support-Mitarbeiter, obwohl klar erkennbar war, dass die Aufforderung verdächtig ist. Augenblicksversagen kann grobe Fahrlässigkeit im Einzelfall ausschließen.
Der Erstattungsanspruch nach §§ 675u ff. BGB gilt für deutsche Kunden in Deutschland. Das europäische Zahlungsdiensterecht (PSD2) ist in beiden Ländern umgesetzt. Für interne Bankverfahren gilt niederländisches Recht – bei Klagen in Deutschland sind deutsche Gerichte zuständig.
Konten werden bei bunq teils aus AML-Gründen gesperrt – das ist ein anderer Rechtsfall als eine nicht autorisierte Transaktion. Beides kann gleichzeitig auftreten. Klären Sie zunächst den Grund der Sperrung per In-App-Support und sichern Sie alle Kommunikation. Dann anwaltliche Beratung einholen.
Wenn ein Phishing-Angriff auf eine Datenpanne bei bunq zurückgeht – also gestohlene Zugangsdaten – kann Art. 82 DSGVO einen Schadensersatz begründen. Der BGH hat sich mit immateriellem Schadensersatz nach Art. 82 DSGVO befasst; die Höhe eines möglichen Anspruchs hängt jedoch stets vom Einzelfall ab.
Beim SIM-Swapping übernehmen Betrüger Ihre Telefonnummer beim Mobilfunkanbieter. Sie erhalten alle SMS-TANs und können damit bunq-Transaktionen freigeben. Schutzmittel: PIN bei Ihrem Mobilfunkanbieter setzen, biometrische Authentifizierung in der bunq-App aktivieren, keine TANs per SMS nutzen wenn alternatives Verfahren verfügbar.
Die zivilrechtliche Verjährungsfrist beträgt drei Jahre (§§ 195, 199 BGB), beginnend mit dem Jahresende der Kenntnisnahme. Die 13-Monats-Frist des § 676b BGB ist dagegen eine Ausschlussfrist für den spezifischen Erstattungsanspruch – beide Fristen laufen parallel und müssen beachtet werden.
Sofort das Konto über die bunq-App sperren, alle Beweise sichern (Screenshots, Anruflogs), Strafanzeige bei der Polizei erstatten und bunq schriftlich auf die nicht autorisierte Transaktion hinweisen. Die 13-Monats-Frist nach § 676b BGB beginnt ab dem Belastungsdatum – nicht ab dem Zeitpunkt der Entdeckung.
Bargeld gegen Kryptowährung über einen Mittelsmann klingt unkompliziert – doch OTC-Transaktionen außerhalb regulierter Börsen tragen erhebliche Betrugs- und Haftungsrisiken.
Der OTC-Krypto-Handel - Over-The-Counter, also der direkte Tausch von Bargeld gegen Kryptowährungen ohne Umweg über eine regulierte Börse - hat in den vergangenen Jahren stark zugenommen. Wer größere Beträge diskret umtauschen möchte oder keinen Zugang zu einem verifizierten Börsenkonto hat, sucht häufig den Weg über private Vermittler. Das Ergebnis: Käufer und Verkäufer treffen sich persönlich oder über Messenger-Dienste, tauschen Bargeld gegen Bitcoin oder andere Coins - und vertrauen dabei einem Menschen, den sie oft kaum kennen.
Genau dieses Vertrauen nutzen Betrüger systematisch aus. Der klassische OTC Krypto Handel Betrug läuft in mehreren Varianten ab: gefälschte Coins, manipulierte Wallets, gefälschte Transaktionsbestätigungen oder schlicht das Verschwinden des Mittelsmanns nach Übergabe des Bargelds. Daneben droht ein weiteres Risiko, das viele Betroffene unterschätzen: Wer unwissentlich Geld wäscht - weil der Mittelsmann Erlöse aus Straftaten verschleiert - kann selbst nach § 261 StGB (Geldwäsche) strafrechtlich verfolgt werden.
Dieser Artikel erklärt, wie OTC-Betrugsmaschen im Detail funktionieren, welche Warnzeichen Sie kennen sollten und welche rechtlichen Schritte nach einem gescheiterten oder betrügerischen OTC-Tausch konkret weiterhelfen.
OTC steht für Over-The-Counter – Transaktionen, die außerhalb einer regulierten Kryptobörse direkt zwischen zwei Parteien stattfinden. Im klassischen Sinne wickeln institutionelle Händler große Volumina so ab, um Marktpreisbewegungen zu vermeiden. Im Privatbereich hat sich daraus ein grauer Markt entwickelt: Vermittler bieten an, Bargeld in Bitcoin oder andere Coins zu tauschen – oft ohne jede Legitimationsprüfung.
Der rechtliche Rahmen hat sich verschärft. Wer gewerbsmäßig Kryptowährungen tauscht oder vermittelt, benötigt eine CASP-Zulassung nach MiCAR (national flankiert durch das KMAG); § 32 KWG kommt daneben allenfalls für klassische Finanz- oder Wertpapierdienstleistungen in Betracht, nicht als Maßstab für den reinen Krypto-Tausch. Die MiCAR-Verordnung (EU) 2023/1114 gilt seit dem 30.12.2024; die EU-weite Übergangsfrist für CASP endet spätestens am 01.07.2026, wobei die deutsche Übergangsfrist (KMAG) bereits Ende 2025 ausgelaufen ist. Wer unregistriert vermittelt, handelt illegal.
Für Kunden bedeutet das: Wer mit einem nicht lizenzierten Vermittler handelt, genießt keinen regulatorischen Schutz. Geht etwas schief, fehlt jede Aufsichtsbehörde, die eingreifen kann. Zudem drohen dem Kunden eigene strafrechtliche Risiken, falls der Mittelsmann kriminell agiert.
Die Spielarten des OTC Krypto Handel Betrug sind vielfältig, laufen aber nach ähnlichen Mustern ab. Am häufigsten sind folgende Szenarien, die Strafverfolgungsbehörden und Anwaltskanzleien regelmäßig begegnen:
Strafrechtlich erfüllen diese Handlungen regelmäßig den Tatbestand des § 263 StGB (Betrug), da ein Mensch getäuscht wird; § 263a StGB (Computerbetrug) kommt ergänzend nur in Betracht, wenn der Täter unmittelbar einen Datenverarbeitungsvorgang manipuliert. Für Geschädigte relevant: Diese Delikte begründen auch zivilrechtliche Schadensersatzansprüche nach § 823 BGB und § 826 BGB.
Besonders gefährlich ist die Konstellation, in der der OTC-Mittelsmann Geldwäsche betreibt. Er nimmt Bargeld an – das aus Drogenhandel, Betrug oder anderen Vortaten stammt – und gibt dafür Kryptowährungen zurück. Der Käufer denkt, er macht ein normales Geschäft. Tatsächlich verschleiert er dabei kriminelle Erlöse.
Der Grundtatbestand des § 261 StGB erfordert Vorsatz; bereits Leichtfertigkeit genügt jedoch in der Variante des § 261 Abs. 6 StGB. Strafbar macht sich also, wer die kriminelle Herkunft vorsätzlich oder zumindest leichtfertig verkennt. Wer bei offensichtlichen Warnsignalen – kein Ausweis, Barzahlung in Tiefgarage, keine Rechnung – nicht nachfragt, riskiert eine eigene Strafverfolgung nach § 261 Abs. 6 StGB.
Daneben droht die Einziehung der erhaltenen Kryptowährungen nach § 111e StPO. Selbst wenn keine Verurteilung erfolgt, können Behörden Vermögenswerte sicherstellen, solange der strafrechtliche Ursprung nicht widerlegt ist. Anwaltliche Beratung sollte daher sofort erfolgen, sobald ein Ermittlungsverfahren eingeleitet wird.
Nicht jeder OTC-Anbieter ist kriminell – aber diese Merkmale sollten Sie vor jeder Transaktion prüfen:
Wer durch OTC Krypto Handel Betrug geschädigt wurde, hat grundsätzlich zivilrechtliche Schadensersatzansprüche. Das Hauptproblem: Der Vermittler ist oft anonym oder nicht greifbar. Dennoch bestehen mehrere Ansatzpunkte für Geschädigte.
Ob Ansprüche gegen eine Bank bestehen, hängt von den konkreten Umständen des Einzelfalls und möglichen Pflichtverletzungen des Kreditinstituts ab. Mehr zur Bankenhaftung bei Betrug finden Sie in einem gesonderten Beitrag.
Waren Plattformen ohne gültige CASP-Zulassung nach MiCAR beteiligt, kann die BaFin auf Hinweis tätig werden. Zwar ersetzen Behörden keinen Schaden, aber eine BaFin-Beschwerde sichert Beweise und kann Ermittlungen beschleunigen. Zudem stärkt ein laufendes Strafverfahren die zivilrechtliche Position des Geschädigten erheblich.
Zeit ist entscheidend. Je schneller Sie handeln, desto größer die Chance, Spuren zu sichern und Vermögen zurückzuverfolgen. Folgende Schritte sollten Sie ohne Verzug einleiten:
Die Verjährung zivilrechtlicher Ansprüche ergibt sich aus §§ 195, 199 BGB. Die regelmäßige Verjährungsfrist von drei Jahren folgt aus § 195 BGB; sie beginnt nach § 199 Abs. 1 BGB mit dem Schluss des Jahres, in dem der Geschädigte von Schaden und Schädiger Kenntnis erlangt hat. Wer also im Jahr 2024 von einem OTC-Betrug erfährt, hat grundsätzlich bis zum 31. Dezember 2027 Zeit, Ansprüche geltend zu machen.
Parallel dazu bietet das Strafverfahren über § 406e StPO (Akteneinsicht) Zugang zu Ermittlungsakten. Diese können Hinweise auf die Identität des Täters liefern, die für eine Zivilklage benötigt werden.
War der Mittelsmann Teil einer Anlagebetrugsstruktur, sind außerdem Ansprüche aus § 823 Abs. 2 BGB i. V. m. § 264a StGB (Kapitalanlagebetrug als Schutzgesetz) prüfenswert – etwa wenn mit versprochenen Renditen geworben wurde. Zum Vergleich: Wie die Verjährung bei verschiedenen Betrugsformen läuft, erklärt der Beitrag zu Anlagebetrug und Verjährung.
Ab dem 01. Juli 2026 gilt die MiCAR-Übergangsfrist als abgelaufen. Alle Anbieter von Kryptowerte-Dienstleistungen in der EU müssen dann eine CASP-Lizenz vorweisen. Art. 70 MiCAR schreibt zudem eine Vermögenstrennung vor: Kundenvermögen muss vom Eigenvermögen des Anbieters getrennt gehalten werden. Kunden sind im Insolvenzfall bevorzugte Gläubiger.
Für Betroffene heißt das: Wer mit einem nicht regulierten OTC-Anbieter handelt, genießt regelmäßig keinen aufsichtsrechtlichen Schutz wie bei regulierten Finanzdienstleistern. Die BaFin führt eine öffentliche CASP-Liste – ein kurzer Check vor jedem OTC-Geschäft sollte Routine werden, genau wie bei einer regulären Kryptowährungstransaktion.
OTC-Geschäfte mit registrierten CASPs unterliegen zudem Geldwäsche-Meldepflichten. Legitimationsprüfung und Herkunftsnachweis sind keine Schikane, sondern gesetzliche Pflicht – und schützen am Ende auch Sie als Kunden.
Nicht jeder Schadensfall muss vor Gericht enden. Manche Zahlungen lassen sich außergerichtlich zurückfordern – etwa wenn eine Bank bei der Weiterleitung Sorgfaltspflichten verletzt hat. Ist Ihnen jedoch ein erheblicher Schaden entstanden oder stehen Sie selbst unter Geldwäscheverdacht, ist juristische Unterstützung durch einen spezialisierten Anwalt für Bankrecht keine Option, sondern Notwendigkeit.
Anwälte mit Erfahrung im Bereich Kryptobetrug und Finanzbetrug kennen die Ermittlungswege, haben Kontakt zu Blockchain-Analyseunternehmen und wissen, welche prozessualen Instrumente kurzfristig greifen. Bei internationalen Täterstrukturen ist frühes Handeln entscheidend – Konten werden gesperrt, Coins bewegt.
Wichtig: Nehmen Sie keine Kontaktaufnahme von angeblichen Rückholservices an, die nach dem OTC-Betrug eine Vorauszahlung verlangen. Das ist häufig ein zweiter Betrug – der sogenannte Advance-Fee-Scam.
Der OTC-Krypto-Markt ist nicht per se kriminell – aber er bietet Betrügern mehr Angriffsfläche als regulierte Börsen. Fehlende Aufsicht, anonyme Akteure und das Fehlen von Rückbuchungsmechanismen machen jeden Fehler kostspielig. Mit der MiCAR-Regulierung und der BaFin-CASP-Pflicht ab Juli 2026 wird die Lage für seriöse Anbieter klarer.
Wer einem OTC Krypto Handel Betrug zum Opfer gefallen ist, sollte ohne Zeitverlust handeln: Beweise sichern, Anzeige erstatten, Blockchain-Analyse anstoßen. Die Verjährungsfrist nach §§ 195, 199 BGB läuft – und Täter verwischen Spuren schnell. Informieren Sie sich auch über den Krypto-Betrug Geld zurück-Weg sowie über das Kryptoinvestment-Recht.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
OTC steht für Over-The-Counter – direkte Kryptowährungstransaktionen zwischen zwei Parteien ohne Börsenvermittlung. Oft läuft das über private Vermittler, die Bargeld gegen Coins tauschen, ohne die Regulierung einer lizenzierten Plattform zu unterliegen.
Nicht generell. Wer jedoch gewerbsmäßig vermittelt, benötigt eine CASP-Zulassung nach MiCAR (national flankiert durch das KMAG). § 32 KWG gilt daneben allenfalls für klassische Finanz- oder Wertpapierdienstleistungen. Ohne Lizenz handelt der Vermittler illegal – das Risiko für den Kunden steigt erheblich.
Seriöse Anbieter weisen sich aus, führen KYC-Prüfungen durch, haben eine Firmenadresse und sind in der BaFin-Datenbank registriert. Ab Juli 2026 ist die CASP-Registrierung nach MiCAR Pflicht. Fehlt beides, ist größte Vorsicht geboten.
Sofort Beweise sichern – Chatlogs, Wallet-Adressen, Transaktionsdetails – und Strafanzeige erstatten. Parallel sollte eine Blockchain-Analyse beauftragt werden, bevor die Täter Coins über Mixer bewegen. Anwaltliche Beratung verhindert Fehler bei der Beweissicherung.
Ja. Der Grundtatbestand des § 261 StGB erfordert Vorsatz; bereits Leichtfertigkeit genügt jedoch in der Variante des § 261 Abs. 6 StGB. Wer bei offensichtlichen Warnsignalen – kein KYC, Barzahlung ohne Quittung, anonymer Treffpunkt – nicht nachfragt, riskiert eine eigene Strafverfolgung nach § 261 Abs. 6 StGB. Anwaltlicher Rat ist in diesem Fall dringend geboten.
Die regelmäßige Verjährungsfrist von drei Jahren ergibt sich aus §§ 195, 199 BGB; sie beginnt nach § 199 Abs. 1 BGB mit dem Schluss des Jahres, in dem Sie von Schaden und Täter erfahren haben. Frühe Akteneinsicht über § 406e StPO hilft, den Täter zu identifizieren.
Unter bestimmten Voraussetzungen ja. Hat die Bank bei offensichtlichen Auffälligkeiten nicht eingegriffen, kommen Ansprüche nach § 826 BGB in Betracht. Das hängt vom Einzelfall ab und sollte anwaltlich geprüft werden.
Ab dem 01. Juli 2026 müssen alle gewerbsmäßigen Kryptowerte-Dienstleister in der EU eine CASP-Lizenz besitzen. Nicht registrierte OTC-Vermittler handeln dann klar illegal. Art. 70 MiCAR schreibt zudem Vermögenstrennung vor.
Direkt nicht immer – aber die Strafanzeige eröffnet den Weg zur Akteneinsicht nach § 406e StPO. Ermittlungsakten liefern Täteridentitäten und Transaktionsdaten, die für eine Zivilklage entscheidend sind. Zudem können Ermittler Vermögenswerte nach § 111e StPO sicherstellen.
Ein häufiger Folgeangriff: Angebliche Rückholservices versprechen, das verlorene Geld zurückzuholen – verlangen aber erst eine Gebühr. Das ist ein zweiter Betrug. Ermittlungsbehörden verlangen keine Vorauszahlung für die Einleitung von Ermittlungsmaßnahmen. Anwälte rechnen ihre Tätigkeit hingegen nach den vereinbarten Vergütungsregelungen oder gesetzlichen Gebühren ab.
Wise Phishing Betrug – wie die Masche läuft, welche Rechte Sie haben und wie Sie nicht autorisierte Zahlungen zurückfordern.
Wise – früher bekannt als TransferWise – ist einer der führenden Zahlungsdienst-Anbieter für internationale Überweisungen. Die Wise Europe SA mit Sitz in Brüssel ist als Zahlungsinstitut von der Belgischen Nationalbank (National Bank of Belgium) zugelassen und unterliegt damit der PSD2-Regulierung; über das EU-Passporting ist Wise im gesamten EWR tätig. Millionen Nutzer überweisen über Wise täglich Geld ins Ausland – günstig, schnell und vermeintlich sicher.
Genau diese Vertrauenswürdigkeit machen sich Betrüger zunutze. Beim Wise Phishing Betrug versenden Täter gefälschte E-Mails, die täuschend echt wirken: Wise-Logo, identisches Farbschema, gefälschte Absenderadressen. Ziel ist es, Nutzer dazu zu bringen, ihre Zugangsdaten preiszugeben – oder direkt auf einen Link zu klicken, der eine nicht autorisierte Transaktion auslöst.
Wer Opfer dieser Masche wird, fragt sich sofort: Wer haftet? Muss Wise das Geld erstatten? Und welche Schritte sind jetzt einzuleiten? Dieser Beitrag liefert die Antworten – rechtlich präzise und praxisorientiert.
Wise Europe SA mit Sitz in Brüssel ist von der Belgischen Nationalbank (NBB) als Zahlungsinstitut zugelassen und unterliegt der PSD2-Regulierung; über EU-Passporting ist Wise im gesamten EWR tätig. Das bedeutet: Die gesetzlichen Haftungsregeln für Zahlungsdienste gelten vollumfänglich – also auch die Rückerstattungspflicht bei nicht autorisierten Zahlungsvorgängen nach § 675u BGB.
Gemäß § 675u Satz 2 BGB hat ein Zahlungsdienst-Anbieter den Betrag unverzüglich zu erstatten, wenn ein Zahlungsvorgang nicht vom Kontoinhaber autorisiert wurde. Die Beweislast, dass eine Autorisierung vorlag, trägt Wise – nicht der Nutzer. Das ist ein zentraler Schutz, der in der Praxis oft verkannt wird.
Wise hat zudem – wie alle lizenzierten Zahlungsdienst-Anbieter – Sorgfaltspflichten bei der Transaktionsüberwachung. Lässt das System eine offensichtlich verdächtige Transaktion durch, ohne geeignete Schutzmaßnahmen zu ergreifen, kann das die Haftung des Anbieters weiter begründen.
Ein weiteres Merkmal: Wise verwendet starke Authentifizierungsverfahren (SCA) nach PSD2-Vorgaben. Wenn ein Angriff diese Mechanismen überwindet – etwa durch Social Engineering – stellt sich die Frage, ob Wise die eigenen Sicherheitsstandards ausreichend durchgesetzt hat. Das ist ein Argument, das Betroffene in einem Dispute nutzen können.
Der Ablauf eines typischen Wise Phishing Betrugs folgt einem klaren Muster. Erste Stufe: Die Täter versenden massenhaft E-Mails, die als offizielle Wise-Kommunikation getarnt sind. Betreffzeilen wie "Ihre Wise-Überweisung wurde blockiert" oder "Verifizieren Sie Ihr Konto jetzt" erzeugen Dringlichkeit.
Zweite Stufe: Der Link in der E-Mail führt auf eine gefälschte Wise-Login-Seite. Wer dort seine Zugangsdaten eingibt, übergibt sie direkt an die Täter. In einigen Varianten wird zusätzlich ein Einmalcode (TAN/OTP) abgefragt – etwa mit dem Hinweis, eine Sicherheitsüberprüfung durchzuführen.
Dritte Stufe: Mit den erbeuteten Zugangsdaten melden sich die Täter beim echten Wise-Konto an und veranlassen eine Auslandsüberweisung. Das Geld landet auf einem Konto der Täter oder wird sofort weitertransferiert. Typische Zielkonten liegen in Drittländern mit schwacher Rückholoption.
Variante: Beim sogenannten Phishing mit gefälschten Bank-Nachrichten können auch direkte SMS-Links (Smishing) oder Telefonanrufe (Vishing) eingesetzt werden, um Vertrauen zu erschleichen. Die Mechanik ist identisch – nur der Kanal variiert.
Der Bundesgerichtshof hat mit Urteil vom 22. Juli 2025 (BGH XI ZR 107/24) wichtige Grundsätze zur Haftungsfrage bei Phishing geklärt. In dem Fall hatte eine Kundin Opfer eines Call-ID-Spoofing-Betrugs und gab TAN-Codes weiter – das Gericht entschied: Die TAN-Weitergabe selbst stellt keine wirksame Autorisierung dar. Ansprüche nach § 675u Satz 2 BGB bleiben dem Grunde nach bestehen.
Allerdings verlor die Klägerin im konkreten Fall, weil das Gericht grobe Fahrlässigkeit feststellte: Die TAN-Codes wurden am Folgetag weitergegeben – nach ausreichend Bedenkzeit. Grobe Fahrlässigkeit nach § 675v BGB schließt den Erstattungsanspruch aus. Hingegen kann ein sogenanntes Augenblicksversagen – eine spontane Fehlhandlung ohne angemessene Reflexionsmöglichkeit – grobe Fahrlässigkeit ausschließen.
Parallel dazu hat der Generalanwalt des EuGH in seinen Schlussanträgen zum Verfahren C-70/25 (05. März 2026) ausgeführt, dass Banken und Zahlungsdienst-Anbieter bei nicht autorisierten Transaktionen grundsätzlich zunächst erstatten müssen – Einwände zur Haftungsreduzierung sind nachgelagert zu prüfen. Achtung: Ein Endurteil des EuGH liegt noch nicht vor; die Schlussanträge geben nur die Einschätzung des Generalanwalts wieder.
Für Betroffene bedeutet das: Der Erstattungsanspruch gegen Wise nach § 675u Satz 2 BGB ist nicht automatisch verwirkt, nur weil Zugangsdaten preisgegeben wurden. Entscheidend ist, ob grob fahrlässiges Verhalten vorlag und ob Wise selbst ihre Sicherheitspflichten erfüllt hat.
Ein häufig übersehenes Risiko: Die Ausschlussfrist des § 676b Abs. 2 BGB. Danach sind Ansprüche auf Erstattung nicht autorisierter Zahlungsvorgänge ausgeschlossen, wenn der Zahlungsdienst-Nutzer die Transaktion nicht innerhalb von 13 Monaten nach dem Belastungstag angezeigt hat.
Wer also Opfer dieser Phishing-Masche wird und monatelang wartet, riskiert den vollständigen Verlust seines Erstattungsanspruchs. Diese Frist läuft auch dann, wenn der Betroffene den Vorfall zunächst nicht als Betrug erkannt hat. Prüfen Sie Ihre Wise-Kontoauszüge regelmäßig und melden Sie Auffälligkeiten unverzüglich.
Die Anzeige muss gegenüber Wise selbst erfolgen – formlos, aber nachweisbar. Am besten schriftlich per E-Mail mit Lese- und Empfangsbestätigung. Nur so läuft die Frist gesichert nicht ab. Wer die BGH-Rechtsprechung zum Bankbetrug und zur Haftung kennt, weiß: Fristen sind im Zahlungsrecht keine Formalie.
Wenn Sie merken, dass Sie Opfer eines Wise Phishing Betrugs geworden sind, zählt jede Stunde. Folgende Schritte sind sofort einzuleiten:
Parallel zur Meldung an Wise empfiehlt sich die Kontaktaufnahme mit einem Rechtsanwalt. Je schneller der rechtliche Rahmen abgesteckt wird, desto besser stehen die Chancen auf Rückerstattung. Ähnliche Muster kennt man vom Amazon-Phishing oder vom ApoBank-Phishing – die Grundsätze der PSD2-Haftung gelten übergreifend.
Der erste Weg zur Rückerstattung ist der sogenannte Dispute-Prozess bei Wise selbst. Die Plattform ist verpflichtet, die Transaktion zu prüfen und bei fehlender Autorisierung zu erstatten. Läuft das interne Verfahren ins Leere oder lehnt Wise ab, steht der Rechtsweg offen.
Bei abgelehnter Erstattung kommt ein zivilrechtlicher Anspruch auf Rückzahlung nach § 675u Satz 2 BGB in Betracht. Wise hat als regulierter Zahlungsdienst-Anbieter einen festen Wohnsitz in der EU – was die gerichtliche Durchsetzung erheblich vereinfacht im Vergleich zu unregulierten Kryptoplattformen.
Ergänzend können Schadensersatzansprüche nach § 823 BGB geprüft werden, wenn Wise eigene Sicherheitspflichten verletzt hat. Auch eine Beschwerde bei der BaFin oder der zuständigen belgischen Aufsichtsbehörde (Belgische Nationalbank) ist möglich.
Wer sich parallel zur Erstattungsforderung auch strafrechtlich absichern will, kann mit § 406e StPO nach Einleitung eines Strafverfahrens Akteneinsicht beantragen. Über § 475 StPO können auch Privatpersonen Auskünfte aus Ermittlungsakten erhalten.
Weitergehend können Opfer des Wise Phishing Betrugs prüfen, ob eine Meldung an die zuständige Datenschutzbehörde sinnvoll ist. Wenn durch den Phishing-Angriff personenbezogene Daten abgegriffen wurden, entsteht möglicherweise ein Schadensersatzanspruch nach Art. 82 DSGVO. Der BGH hat mit Urteil VI ZR 10/24 vom 18. November 2024 festgestellt, dass bereits der Kontrollverlust über Daten ein ersatzfähiger immaterieller Schaden sein kann.
Das Grundprinzip dieser Betrugsform ähnelt zahlreichen anderen Varianten: gefälschte Absenderadressen, nachgebaute Loginseiten, Einmalcode-Abfragen. Unterschiede bestehen in der Zielgruppe: Wise-Nutzer überweisen häufig höhere Beträge ins Ausland – das macht sie für Täter besonders attraktiv.
Ähnliche Maschen kennt man vom Binance-Phishing oder vom N26-Phishing. Immer gilt: Der regulatorische Status des Anbieters entscheidet über den Haftungsrahmen. Wise ist reguliert – das ist ein entscheidender Vorteil gegenüber unregulierten Krypto-Börsen.
Die strafrechtliche Einordnung ist klar: Phishing erfüllt primär den Tatbestand des Betrugs nach § 263 StGB (ein Mensch wird getäuscht); § 263a StGB (Computerbetrug) kann ergänzend einschlägig sein. Die Staatsanwaltschaft ermittelt auf Anzeige. Je mehr Betroffene Anzeige erstatten, desto eher gelingt es Ermittlungsbehörden, die dahinterstehenden Strukturen zu zerschlagen.
Anwaltliche Hilfe ist dann angezeigt, wenn Wise die Erstattung ablehnt oder verzögert, wenn unklar ist, ob grobe Fahrlässigkeit vorliegt, oder wenn der Schaden substanziell ist. Die Bewertung, ob ein Augenblicksversagen oder grobe Fahrlässigkeit vorlag, ist eine Rechtsfrage.
Frühzeitige Beratung verhindert Fehler, die die eigene Rechtsposition schwächen. Wer etwa öffentlich über den Vorfall postet, bevor der Dispute läuft, gibt möglicherweise Argumente preis. Wer die 13-Monats-Frist nach § 676b Abs. 2 BGB versäumt, verliert seinen Anspruch vollständig. Ein Anwalt für Bankrecht kennt diese Fallstricke.
Informieren Sie sich auch über verwandte Themen: Beim PayPal-Phishing gelten ähnliche Erstattungsgrundsätze. Und wer Opfer eines umfassenderen Anlagebetrugs mit Verjährungsrisiko wurde, sollte zusätzlich die Fristen nach § 199 BGB im Blick behalten.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
Bei dieser Masche versenden Täter gefälschte E-Mails im Namen von Wise, um Nutzer zur Eingabe ihrer Zugangsdaten auf einer nachgebauten Login-Seite zu bringen. Mit den erbeuteten Daten lösen die Täter dann nicht autorisierte Überweisungen aus. Die Masche zielt auf die Reputation von Wise als seriösem Zahlungsdienst-Anbieter.
Grundsätzlich ja. Nach § 675u Satz 2 BGB muss ein Zahlungsdienst-Anbieter bei nicht autorisierten Transaktionen unverzüglich erstatten. Ausnahme: grobe Fahrlässigkeit des Nutzers nach § 675v BGB. Ob grobe Fahrlässigkeit vorlag, ist stets eine Einzelfallentscheidung – nicht jeder Phishing-Fehler erfüllt diesen Tatbestand.
Sie müssen den nicht autorisierten Zahlungsvorgang innerhalb von 13 Monaten nach dem Belastungstag gegenüber Wise anzeigen (§ 676b Abs. 2 BGB). Wer diese Frist versäumt, verliert seinen Erstattungsanspruch vollständig. Handeln Sie deshalb sofort, sobald Sie eine verdächtige Transaktion bemerken.
Der BGH hat mit Urteil vom 22. Juli 2025 (XI ZR 107/24) entschieden: TAN-Weitergabe ist keine Autorisierung im Sinne des Zahlungsrechts – Erstattungsansprüche nach § 675u BGB bleiben dem Grunde nach bestehen. Grobe Fahrlässigkeit (§ 675v BGB) kann den Anspruch aber ausschließen – wie im konkreten Fall, wo TANs am Folgetag weitergegeben wurden.
Wise sendet niemals unaufgefordert Links zur Dateneingabe oder fordert Sie auf, TANs oder Passwörter per E-Mail zu bestätigen. Echte Wise-Kommunikation enthält keine Drohungen oder Dringlichkeitsformulierungen. Prüfen Sie stets die Absenderadresse und loggen Sie sich direkt über die offizielle Wise-App ein.
Wenn die Transaktion noch nicht verarbeitet wurde, kann Wise sie im besten Fall stoppen. Bei abgeschlossener Überweisung ist eine Rückbuchung abhängig vom Zielland und Zielinstitut. Deshalb ist schnelles Handeln entscheidend: Melden Sie den Vorfall sofort bei Wise und beantragen Sie einen Dispute.
Ändern Sie sofort alle Zugangsdaten zu Ihrem Wise-Konto und aktivieren Sie die Zwei-Faktor-Authentifizierung. Informieren Sie Wise über den versuchten Zugriff. Überwachen Sie Ihr Konto in den nächsten Tagen engmaschig auf unbekannte Transaktionen. Ein lediglich geklickter Link ohne Dateneingabe führt meist nicht zu unmittelbarem Schaden.
Das europäische Zahlungsdiensterecht (PSD2, umgesetzt in § 675u ff. BGB) gilt für Zahlungsvorgänge innerhalb der EU. Wise-Nutzer mit Wohnsitz in Deutschland und EU-Konten sind grundsätzlich durch PSD2 geschützt – unabhängig vom Empfängerland.
Ja. Phishing erfüllt primär den Tatbestand des Betrugs nach § 263 StGB (ein Mensch wird getäuscht); § 263a StGB (Computerbetrug) kann ergänzend einschlägig sein. Erstatten Sie Anzeige bei der Polizei oder über das Onlineportal des Landeskriminalamts. Die Anzeige ist für spätere zivilrechtliche Verfahren oft hilfreich.
Bei Schäden ab etwa einem vierstelligen Betrag ist anwaltliche Beratung sinnvoll. Ein Rechtsanwalt prüft, ob grobe Fahrlässigkeit vorliegt, ob Wise eigene Sicherheitspflichten verletzt hat, und ob ein Anspruch nach § 675u BGB besteht. Zudem verhindert frühzeitige Beratung Verfahrensfehler, die den Erstattungsanspruch gefährden.
Wenn Betrüger mit gestohlenen Identitätsdaten einen Kredit aufnehmen, landet die Rechnung beim Opfer – doch wer die richtigen Schritte kennt, kann die Forderung erfolgreich abwehren.
Eine Mahnung für einen Kredit, den Sie nie beantragt haben. Ein negativer Schufa-Eintrag für einen Vertrag, dessen Existenz Sie nicht kannten. Was sich nach einem Alptraum anhört, ist für viele Betroffene von Identitätsdiebstahl bittere Realität. Betrüger nutzen gestohlene persönliche Daten, um bei Banken, Fintech-Plattformen oder Online-Kreditanbietern Darlehen zu erschleichen.
Der Kredit im fremden Namen ist eine der häufigsten Erscheinungsformen des digitalen Identitätsbetrugs. Die Täter benötigen dafür nicht viel: Name, Geburtsdatum, Adresse und im schlimmsten Fall eine Kopie des Personalausweises reichen aus, um bei manchen Anbietern einen Kreditantrag zu stellen. Online-Kreditplattformen und Neobanken mit automatisierten Vergabeprozessen sind besonders anfällig.
Das Entscheidende: Sie schulden diesen Kredit nicht. Der Kreditvertrag kommt durch Betrug zustande und ist daher rechtlich unwirksam oder zumindest anfechtbar. Die Herausforderung besteht darin, das gegenüber dem Kreditgeber, Inkassobüros und der Schufa nachzuweisen – und das schnell, bevor weitere rechtliche Folgen eintreten.
Online-Kreditanbieter und Neobanken haben ihre Vergabeprozesse stark automatisiert. Anträge werden algorithmisch geprüft, Identitäten per VideoIdent oder eIDAS-Verfahren verifiziert. Doch diese Systeme haben Schwachstellen: Gestohlene Ausweisdokumente, KI-generierte Deepfakes oder schlicht laxe Sicherheitsstandards ermöglichen es Betrügern, den Kredit im fremden Namen erfolgreich zu beantragen.
Die häufigsten Angriffsszenarien: Ein Datenleck beim Arbeitgeber oder einer Online-Plattform hat Ihre persönlichen Daten offengelegt. Eine Phishing-Mail hat Sie dazu gebracht, Ausweisdokumente hochzuladen. Oder ein früherer Vermieter, ein Bekannter oder ein Jobanbieter hatte Zugriff auf Ihren Personalausweis. Die Täter kombinieren diese Daten und stellen den Kreditantrag online – oft in Minuten.
Rechtlich handelt es sich um § 263 StGB Betrug gegenüber der Bank sowie um § 263a StGB Computerbetrug, wenn automatisierte Vergabeprozesse manipuliert wurden. Für das Opfer entsteht kein wirksamer Kreditvertrag – denn für einen gültigen Vertrag nach § 488 BGB ist die tatsächliche Willensäußerung des Kreditnehmers erforderlich.
In der Praxis schieben Banken und Kreditgeber die Beweislast zunächst auf die Betroffenen ab. Das Argument lautet: Der Kreditantrag wurde ordnungsgemäß eingereicht, die Identitätsprüfung hat stattgefunden. Für das Opfer des Identitätsdiebstahls beginnt dann ein zermürbendes Verfahren.
Doch die Rechtslage ist klar: Die Bank muss beweisen, dass ein wirksamer Vertrag zustande gekommen ist. Für einen Kredit im fremden Namen gilt: Wenn die Bank bei der Identitätsprüfung nicht ausreichend sorgfältig war, verletzt sie ihre Sorgfaltspflichten. Eine Haftung nach § 823 BGB kommt in Betracht, wenn die Bank leichtfertig gehandelt hat. Das gilt insbesondere dann, wenn BaFin-Vorgaben zur Kundenidentifikation nicht eingehalten wurden.
Kommt es zum Rechtsstreit, gilt im Zahlungsrecht die Regelung des § 675u BGB: Nicht autorisierte Zahlungsvorgänge sind vom Institut zu erstatten. Auch wenn es sich hier um einen Kreditvertrag und keine Zahlung handelt, übertragen Gerichte den Grundgedanken – fehlende Autorisierung = kein Anspruch des Kreditgebers – zunehmend auf den Bereich der Online-Kreditvergabe.
Oft bemerken Betroffene den Identitätsbetrug erst, wenn die erste Mahnung ins Haus kommt oder die Schufa-Auskunft einen negativen Eintrag zeigt. Die folgenden Warnsignale sollten Sie hellhörig machen:
Wenn Sie feststellen, dass jemand in Ihrem Namen einen Kredit beantragt oder aufgenommen hat, zählt jede Stunde. Die richtigen Schritte in den ersten 72 Stunden legen die Grundlage für alles Weitere.
Ein falscher Schufa-Eintrag wegen eines Kredits im fremden Namen ist einer der gravierendsten Schäden für die Betroffenen. Er kann dazu führen, dass Sie keinen Mietvertrag mehr abschließen können, Kreditanfragen abgelehnt werden und selbst Mobilfunkverträge scheitern. Die gute Nachricht: Sie haben klare Rechte.
Nach Art. 82 DSGVO haben Sie Anspruch auf Schadensersatz gegen die verantwortliche Stelle, wenn ein falscher Eintrag durch Datenschutzverstöße entstanden ist. Der BGH hat mit Urteil VI ZR 10/24 vom 18. November 2024 klargestellt, dass bereits der Kontrollverlust über persönliche Daten einen immateriellen Schaden darstellt – für den Schadensersatz von rund 100 Euro typischerweise zugesprochen wird.
Der Löschungsanspruch ergibt sich aus Art. 17 DSGVO. Sie können die Schufa direkt auffordern, den falschen Eintrag zu löschen oder zu sperren. Legt die Schufa Widerspruch ein, bleibt der Weg zum Datenschutzbeauftragten oder zu den Zivilgerichten. Eine anwaltliche Unterstützung beschleunigt diesen Prozess erheblich. Zu den rechtlichen Möglichkeiten bei Identitätsdiebstahl und Kontoübernahme gibt es weitergehende Informationen auf dieser Website. Auch der Weg für Cybercrime-Opfer ist auf dieser Website beschrieben.
Wenn der Kreditgeber trotz Widerspruch auf der Forderung besteht, müssen Sie aktiv werden. Zunächst: Zahlen Sie unter keinen Umständen auf eine Forderung, die Sie nicht anerkennen – das könnte als Schuldanerkenntnis interpretiert werden. Stattdessen widersprechen Sie jeder Mahnung schriftlich und dokumentieren diesen Widerspruch.
Falls der Kreditgeber einen Mahnbescheid erwirkt, müssen Sie innerhalb von zwei Wochen Widerspruch einlegen – versäumen Sie diese Frist, wird der Mahnbescheid zum vollstreckbaren Titel. Dann können Gelder gepfändet werden, ohne dass Ihre Argumente noch gehört werden. Lassen Sie diesen Fall nicht eintreten.
Im gerichtlichen Verfahren liegt die Beweislast beim Kreditgeber: Er muss darlegen, dass ein wirksamer Vertragsabschluss – also mit Ihrem echten Willen – zustande gekommen ist. Das gelingt ihm nicht, wenn Sie als Betroffener glaubhaft machen, dass die Identitätsprüfung fehlerhaft war. Zu den Grundlagen des Beweislast beim Online-Banking finden Sie auf dieser Website weitere Informationen.
Wer zu Unrecht mit einer Kreditforderung konfrontiert wird, hat nicht nur ein Abwehrrecht – er hat möglicherweise eigene Ansprüche. Wenn die Bank oder das Fintech-Unternehmen bei der Identitätsprüfung grob fahrlässig gehandelt hat, kommt ein Schadensersatzanspruch nach § 823 BGB in Betracht. Das schließt Kosten für anwaltliche Vertretung, Nachweisbeschaffung und Schufa-Korrekturen ein.
Auch Inkassobüros haften, wenn sie trotz offensichtlicher Hinweise auf einen Betrug weiter Druck ausüben. Belästigende Betreibung einer offensichtlich unberechtigten Forderung kann als unzulässige Rechtsausübung gewertet werden. § 826 BGB – sittenwidrige vorsätzliche Schädigung – greift, wenn das Inkassobüro in Kenntnis der Betrugsanzeige weiter vollstreckt. Weitere Informationen zu Kreditbetrug im Internet finden Sie auf dieser Website.
Strafanzeigen gegen die eigentlichen Täter können zudem dazu führen, dass per Vermögensarrest (§ 111e StPO) gesicherte Gelder für Opfer zur Verfügung stehen. Wenn die Täter identifiziert werden – was bei Kredit-Identitätsbetrug oft gelingt, da eine Kontoverbindung für die Auszahlung benötigt wird – entstehen direkte Schadensersatzansprüche nach § 823 BGB.
Für Schadensersatzansprüche wegen Identitätsbetrug gilt die dreijährige Regelverjährung (§§ 195, 199 BGB). Die Frist beginnt nach § 199 Abs. 1 BGB mit dem Schluss des Jahres, in dem Sie von Schaden und Schädiger Kenntnis erlangt haben. Wer erst nach Jahren bemerkt, dass in seinem Namen ein Kredit aufgenommen wurde, hat meist noch ausreichend Zeit.
Für Datenschutzverletzungen nach DSGVO gelten eigene Fristen. Art. 82 DSGVO sieht keine eigenständige Verjährungsregelung vor – es gilt das nationale Recht, also § 199 BGB. Beschwerden bei der Datenschutzbehörde (dem Landesbeauftragten für den Datenschutz) können ergänzend gestellt werden.
Wichtig: Die Bank kann ihrerseits die Kreditforderung geltend machen – mit einer eigenen Verjährungsfrist. Wenn Sie eine unberechtigte Kreditforderung nicht rechtzeitig abwehren, kann sie durch einen Mahnbescheid oder Vollstreckungstitel zum Problem werden. Handeln Sie daher sofort. Zu den Rechten bei Online-Betrug finden Sie auf dieser Website einen umfassenden Überblick.
Bei einem Kredit im fremden Namen ist anwaltliche Hilfe schon bei den ersten Schritten sinnvoll. Der Widerspruch an den Kreditgeber muss rechtlich korrekt formuliert sein, um nicht als Schuldanerkenntnis missverstanden zu werden. Anwälte kennen die Formulierungen, die Kreditgeber ernst nehmen.
Wenn ein Mahnbescheid vorliegt, ist sofortige Handlung gefragt: Die zweiwöchige Widerspruchsfrist darf nicht verpasst werden. Danach ist auch ein Anwalt in seinen Handlungsmöglichkeiten stark eingeschränkt. Die AK LAW Rechtsanwaltsgesellschaft mbH unterstützt Betroffene bundesweit – von der ersten Einschätzung über den Widerspruch bis zur Schufa-Korrektur. Zu den allgemeinen Fragen des Identitätsdiebstahls und gestohlener Bankdaten gibt es auf dieser Website weitergehende Informationen.
Vertrauen Sie nicht darauf, dass sich das Problem von selbst löst. Inkassobüros gehen auch bei strittigen Forderungen aggressiv vor. Je länger Sie warten, desto mehr Möglichkeiten verlieren Sie. Kontaktieren Sie uns für eine kostenlose Ersteinschätzung – damit aus einer schlechten Situation keine dauerhaft schwierige wird.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Kreditinstituten bis zur Durchsetzung von Schadensersatz- und Abwehransprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
Nein. Ein Kreditvertrag, der durch Identitätsbetrug zustande kommt, ist ohne Ihre Willenserklärung unwirksam. Sie schulden diesen Betrag nicht. Widersprechen Sie schriftlich und erstatten Sie Strafanzeige.
Erstatten Sie sofort Strafanzeige bei der Polizei und widersprechen Sie der Forderung schriftlich per Einschreiben gegenüber dem Kreditgeber. Das Aktenzeichen der Strafanzeige benötigen Sie für alle weiteren Schritte.
Ja. Falsche Schufa-Einträge können nach Art. 17 DSGVO gelöscht werden. Zusätzlich haben Sie nach Art. 82 DSGVO Anspruch auf Schadensersatz gegen die verantwortliche Stelle. Der BGH (VI ZR 10/24) hat den Kontrollverlust über persönliche Daten als eigenständigen Schaden anerkannt.
Wenn Sie innerhalb von zwei Wochen keinen Widerspruch gegen einen Mahnbescheid einlegen, wird dieser zum vollstreckbaren Titel. Dann können Konten gepfändet werden. Handeln Sie sofort, wenn Sie einen Mahnbescheid erhalten.
Ja, möglicherweise. Wenn die Bank bei der Identitätsprüfung grob fahrlässig gehandelt und BaFin-Vorgaben missachtet hat, kommt ein Schadensersatzanspruch nach § 823 BGB in Betracht. Das schließt entstandene Anwaltskosten und den Aufwand für die Schufa-Korrektur ein.
Häufige Wege sind Datenlecks bei Onlinediensten, Phishing-E-Mails, gefälschte Jobangebote oder Vermieter, die Ausweiskopien missbrauchen. Auch der Kauf gestohlener Datensätze im Darknet ist verbreitet.
Identitätsdiebstahl ist der Oberbegriff für den Missbrauch persönlicher Daten. Das betrügerische Aufnehmen eines Darlehens ist eine spezifische Form: Täter nutzen gestohlene Identitätsdaten bei Banken oder Kreditplattformen.
Ja. Wenn ein Inkassobüro trotz Kenntnis des Betrugs weiter Druck ausübt, kann das als sittenwidrige vorsätzliche Schädigung nach § 826 BGB gewertet werden. Auch Unterlassungsansprüche sind möglich, um die Betreibung zu stoppen.
Nach schriftlicher Aufforderung hat die Schufa gesetzlich Fristen zur Prüfung und Korrektur. In eindeutigen Fällen – wenn eine Strafanzeige vorliegt und der Kreditgeber die Forderung aufgibt – kann die Korrektur innerhalb weniger Wochen erfolgen.
Viele Rechtsschutzversicherungen decken Streitigkeiten aus Vertragsrecht und Strafverfolgung ab. Prüfen Sie Ihren Vertrag auf Deckung für Identitätsbetrug und wenden Sie sich an Ihre Versicherung, bevor Sie anwaltliche Hilfe beauftragen.
KuCoin-Konto gesperrt oder Coins blockiert – was rechtlich gilt und wie Sie vorgehen.
KuCoin ist eine der weltweit größten Kryptobörsen mit Sitz auf den Seychellen. Millionen Nutzer handeln dort täglich Bitcoin, Ethereum und hunderte weitere Token. Wer jedoch sein Guthaben abheben möchte und plötzlich auf eine Kontosperre oder eine Auszahlungsblockade stößt, steckt in einer Lage, die rechtlich viele offene Fragen aufwirft – und schnelles Handeln verlangt.
Nicht jede Sperre bedeutet automatisch betrügerisches Vorgehen. Plattformen haben – gerade im Rahmen von Geldwäsche-Compliance und KYC-Prüfungen – das Recht, Konten vorübergehend einzufrieren. Ob eine solche Maßnahme berechtigt ist oder ob dahinter eine unberechtigte Blockade oder tatsächlich ein Krypto-Betrug steckt, lässt sich nur nach genauer Analyse des Einzelfalls beurteilen. Genau diese Unterscheidung ist rechtlich entscheidend.
Dieser Beitrag erklärt, wie KuCoin regulatorisch einzuordnen ist, welche Gründe zu Kontosperren führen, welche Ansprüche Betroffene haben – und wann sich der Gang zum Anwalt für Bankrecht lohnt.
KuCoin wurde 2017 gegründet und hat seinen Hauptsitz auf den Seychellen. Die Plattform richtet sich an Nutzer aus aller Welt – auch aus Deutschland und der EU. Die MiCAR gilt seit dem 30. Dezember 2024; wer EU-Nutzer mit Kryptowerte-Dienstleistungen bedient, braucht seitdem eine CASP-Zulassung. Der 1. Juli 2026 ist nur die EU-Höchstfrist des Grandfathering für Bestandsanbieter (Art. 143 Abs. 3 MiCAR); in Deutschland lief diese Frist bereits zum 31. Dezember 2025 ab (§ 50 KMAG). Auf diesen Bestandsschutz kann sich ein Drittland-Anbieter wie KuCoin ohne nationale Altlizenz ohnehin nicht berufen.
Ob KuCoin in der EU zugelassen ist, lässt sich im EU-weiten CASP-Register der ESMA (Art. 109 MiCAR) prüfen; die in Deutschland zugelassenen Anbieter weist die BaFin in ihrer Unternehmensdatenbank aus. Wer auf einer nicht lizenzierten Plattform handelt, trägt ein erhöhtes Risiko – aber auch das schließt zivilrechtliche Ansprüche gegen die Plattform nicht aus. Entscheidend ist stets, ob ein wirksamer Vertrag zustande gekommen ist und welche Pflichten aus ihm folgen.
Lizenzierte CASP müssen die Kryptowerte ihrer Kunden nach Art. 70 MiCAR getrennt vom eigenen Vermögen verwahren. Bei sauberer Trennung sind die Kunden im Insolvenzfall aussonderungsberechtigt (§ 47 InsO) und kein Gläubiger der Masse – das ist ein wesentlicher Schutz, der auch bei Drittland-Anbietern als Verhandlungsargument genutzt werden kann. Wer Verdacht auf eine unberechtigte Sperre hat, sollte diesen Schutzrahmen kennen.
Kontosperren auf Kryptobörsen entstehen aus zwei grundlegend verschiedenen Gründen. Legitime Sperren gehen auf Anti-Geldwäsche-Prüfungen (AML) oder KYC-Anforderungen zurück – die Plattform verlangt Identitätsnachweise, Herkunftsnachweise für Gelder oder erklärt bestimmte Transaktionsmuster für verdächtig.
Problematisch wird es, wenn Nutzer alle verlangten Nachweise erbracht haben, die Sperre aber ohne nachvollziehbaren Grund aufrechterhalten bleibt. Das gilt erst recht, wenn der Support schlicht nicht reagiert oder Anfragen ins Leere laufen. In diesen Fällen entsteht eine Konstellation, die rechtlich als unberechtigte Einbehaltung von Kundenvermögen zu werten ist.
Ein dritter Fall macht aus Betroffenen Opfer von KuCoin Betrug: Konten werden nach dem Einzahlen von Kapital plötzlich ohne Erklärung eingefroren – kombiniert mit Forderungen nach weiteren Gebühren zur Freischaltung. Das ist ein typisches Muster des Advance-Fee-Scam. Hier geht es nicht um Compliance, sondern um organisierte Täuschung nach § 263 StGB.
Beide Szenarien – berechtigte Compliance-Maßnahme und echtes betrügerisches Vorgehen – verlangen unterschiedliche Reaktionen. Wer fälschlicherweise eine Compliance-Maßnahme als Betrug behandelt, beschädigt seine Verhandlungsposition. Wer umgekehrt Betrug als technischen Fehler abtut, verliert wertvolle Handlungszeit.
Folgende Merkmale sprechen dafür, dass hinter der Kontosperre kein legitimes Compliance-Verfahren steckt:
Keine Warnsignale sind hingegen: mehrtägige Bearbeitungszeiten bei KYC-Upgrades, Sperren nach auffälligen Transaktionen, die KuCoin selbst erklärt und dokumentiert, oder vorübergehende technische Wartungsarbeiten. Wer sich unsicher ist, sollte eine rechtliche Einschätzung einholen – bevor weitere Zahlungen geleistet werden.
Zwischen dem Nutzer und KuCoin besteht ein Vertragsverhältnis. Bei unberechtigter Einbehaltung von Kryptovermögen kommen zivilrechtliche Ansprüche auf Herausgabe und gegebenenfalls Schadensersatz in Betracht. Stützen lassen sich diese auf § 823 BGB (unerlaubte Handlung) oder § 826 BGB (vorsätzliche sittenwidrige Schädigung).
Werden Nutzer durch Täuschung zur Einzahlung weiterer Gelder gebracht, greift § 263 StGB (Betrug). Bei organisierten Strukturen kommt § 261 StGB (Geldwäsche) in Betracht. Diese Normen gelten unabhängig davon, ob der Angriff über die echte Plattform oder über eine Klon-Seite abgewickelt wurde.
Wer ohne die erforderliche CASP-Zulassung nach MiCAR (in Deutschland über das KMAG) Kryptowerte-Dienstleistungen erbringt, handelt aufsichtsrechtlich illegal. Die BaFin kann auf Antrag eingeschaltet werden. Eine Beschwerde führt zwar nicht automatisch zur Rückzahlung, kann aber Ermittlungen anstoßen und Druck auf die Plattform erzeugen. Für Mandanten empfiehlt sich parallel der Weg zur Strafanzeige.
Verjährungsfristen sind zu beachten: Gemäß § 199 BGB beginnt die regelmäßige dreijährige Verjährungsfrist mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Gläubiger Kenntnis erlangte. Wer den Schaden schon länger kennt, sollte zügig handeln – jeder Monat Zuwarten kann die Durchsetzbarkeit erschweren.
Bei Verdacht auf KuCoin Betrug oder bei einer unerwarteten Kontosperre gilt: Ruhe bewahren, keine weiteren Zahlungen leisten und alle verfügbaren Informationen sichern. Konkret bedeutet das:
Blockchain-Daten sind öffentlich und dauerhaft gespeichert. Crypto-Tracing kann Transaktionswege sichtbar machen und für strafrechtliche oder zivilrechtliche Verfahren wertvolle Beweismittel liefern. Diese Belege sind oft entscheidend für das weitere Vorgehen.
Für den zivilrechtlichen Weg gilt: Ein formelles Aufforderungsschreiben mit konkreter Fristsetzung ist der erste Schritt. KuCoin hat – wenn ein Vertragsverhältnis bestand – die Pflicht, das Kunden-Guthaben herauszugeben. Bleibt die Reaktion aus, ist der Klageweg vor einem deutschen Gericht zu prüfen. Da KuCoin auf den Seychellen sitzt, sind internationale Zuständigkeitsfragen zu klären.
Über die BaFin lassen sich Verstöße gegen das KWG oder gegen MiCAR melden. Die Aufsichtsbehörde kann Betrieb und Werbung untersagter Anbieter öffentlich bekannt machen. Das erhöht den Druck auf Plattformen erheblich und stärkt die eigene Verhandlungsposition erheblich.
Parallel dazu stehen strafprozessuale Wege offen. Mit § 406e StPO können Verletzte Akteneinsicht beantragen, sobald ein Strafverfahren läuft. Das liefert Informationen über weitere Geschädigte und den Stand der Ermittlungen. Über § 475 StPO können auch Privatpersonen Auskünfte aus Ermittlungsakten erhalten.
Für Betroffene ist die steuerliche Lage gesondert zu betrachten. Gewinne aus dem Handel mit Kryptowährung unterliegen nach § 23 EStG der Einkommensteuer, sofern die Haltefrist von einem Jahr unterschritten wurde. Verluste durch Betrug können steuerlich relevant sein.
Eine besonders gefährliche Variante des KuCoin Betrugs ist die Klon-Betrugsmasche: Täter bauen eine täuschend echte Kopie der Plattform nach – mit identischem Layout, ähnlichen URLs und gefälschten Profilseiten. Nutzer zahlen ein, sehen auf dem Dashboard wachsende Guthaben – und kommen nie an ihr Geld. Diese Variante des Bitcoin-Betrugs mit gefälschten Trading-Plattformen hat in den letzten Jahren stark zugenommen.
Hier empfiehlt sich neben der Strafanzeige auch die Meldung an Europol (EC3) und das Bundeskriminalamt. International koordinierte Ermittlungen haben in der Vergangenheit zu Vermögenssicherungen nach § 111e StPO geführt. Je früher eine Anzeige erstattet wird, desto besser stehen die Chancen auf Rückverfolgung der Mittel.
Das Muster ähnelt dem Arbitrage-Bot-Betrug: automatisierte Renditeversprechen, die nie eingehalten werden. Ob es über eine gefälschte Plattform oder eine klassische Anlagebetrugs-Struktur im Ausland läuft – das rechtliche Vorgehen folgt in beiden Fällen ähnlichen Schritten.
Ein Anwalt für Finanzbetrug sollte eingeschaltet werden, wenn der eigene Versuch, die Sperre zu klären, mehrfach scheiterte, wenn Forderungen nach weiteren Zahlungen gestellt werden, oder wenn ein substanzieller Schaden droht. Die wirtschaftlich sinnvolle Schwelle liegt typischerweise ab einem vierstelligen Schadensbetrag.
Frühzeitiger anwaltlicher Kontakt ist besonders dann ratsam, wenn Verjährungsfristen drohen oder wenn Beweise verloren gehen könnten. Blockchain-Transaktionen bleiben zwar dauerhaft gespeichert – aber serverseitige Daten bei der Plattform können gelöscht werden. Rechtssicherung beginnt mit konsequenter Dokumentation und schnellem Handeln.
Wer bereits Warnsignale bei dubiosen Investmentangeboten bemerkt hat, aber noch kein Geld verloren hat, kann das Konto und die Kommunikation präventiv anwaltlich bewerten lassen. Das verhindert, dass aus einem Anfangsverdacht ein handfester finanzieller Schaden wird.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
In Deutschland ist die nationale Übergangsfrist bereits zum 31. Dezember 2025 abgelaufen (§ 50 KMAG); der 1. Juli 2026 ist lediglich die EU-weite Höchstfrist (Art. 143 Abs. 3 MiCAR). Auf diesen Bestandsschutz kann sich ein Drittland-Anbieter wie KuCoin ohne nationale Altlizenz ohnehin nicht berufen – für das Deutschland-/EU-Geschäft ist eine CASP-Zulassung erforderlich.
Sichern Sie alle Kontoauszüge, Transaktionshistorien und Support-Protokolle. Stellen Sie eine formelle schriftliche Anfrage an KuCoin mit Fristsetzung. Wenn keine Reaktion erfolgt, kann ein Anwalt ein Aufforderungsschreiben senden und den zivilrechtlichen oder aufsichtsrechtlichen Weg einleiten.
Nein. Forderungen nach Gebühren zur Kontofreischaltung – auch wenn sie als Steuer, Sicherheitsdeposit oder Verifizierungsgebühr bezeichnet werden – sind ein Warnsignal für KuCoin Betrug. Legitime Kryptobörsen verlangen keine Vorauszahlungen zur Herausgabe bestehenden Guthabens.
Grundsätzlich ja, aber internationale Zuständigkeitsfragen sind komplex. Ein auf Kapitalmarktrecht spezialisierter Anwalt prüft, welches Gericht zuständig ist und ob eine einstweilige Verfügung oder Klage in Deutschland aussichtsreich ist. In manchen Fällen sind Beschwerden an die BaFin der effektivere erste Schritt.
Die regelmäßige Verjährungsfrist beträgt drei Jahre ab Ende des Jahres, in dem Sie von Ihrem Schaden und dem Schuldner Kenntnis erlangt haben (§§ 195, 199 BGB). Bei vorsätzlichen Taten kann die Frist länger sein. Warten Sie nicht ab – je früher Sie handeln, desto besser stehen die Chancen auf Beweissicherung.
Crypto-Tracing kann Transaktionswege auf der Blockchain nachverfolgen und die Ziel-Wallet identifizieren. Diese Daten sind für Strafanzeigen und zivilrechtliche Verfahren wichtig. Erstatten Sie umgehend Anzeige und sichern Sie alle Informationen zur beteiligten Wallet-Adresse.
Legitime KYC-Prüfungen verlangen Ausweisdokumente und Herkunftsnachweise, nicht aber Geldzahlungen. Sie erfolgen transparent mit Erklärung und Reaktion auf Rückfragen. KuCoin Betrug liegt vor, wenn alle Nachweise erbracht wurden, die Sperre aber ohne Begründung fortbesteht oder neue Geldforderungen auftauchen.
Ob KuCoin zahlungsfähig ist, lässt sich von außen nicht zuverlässig beurteilen. Bei vertragsgemäßer Trennung des Kundenvermögens nach Art. 70 MiCAR sind die Kunden im Insolvenzfall aussonderungsberechtigt (§ 47 InsO) und damit nicht bloße Insolvenzgläubiger der Masse. Das Recht auf Herausgabe der verwahrten Coins bleibt als schuldrechtlicher Anspruch grundsätzlich bestehen.
Die BaFin kann Untersagungsverfügungen erlassen und Warnungen veröffentlichen, wenn KuCoin ohne die erforderliche Lizenz tätig ist. Eine direkte Erzwingung der Coin-Herausgabe im Einzelfall ist nicht ihr Instrument. Der zivilrechtliche Klageweg bleibt die entscheidende Option für Betroffene.
Ähnliche Muster – Kontosperren, erfundene Gebühren, gefälschte Plattform-Kopien – treten bei verschiedenen Kryptobörsen auf. Die rechtliche Vorgehensweise ähnelt sich stark. Entscheidend ist in jedem Fall, den Sachverhalt genau zu dokumentieren und zwischen berechtigten Compliance-Maßnahmen und unberechtigten Blockaden zu unterscheiden.
Scalable Capital Phishing zielt auf Login-Daten und Depot-Zugang – und trifft Kunden der Neobroker-Plattform mit zunehmender Häufigkeit.
Scalable Capital ist einer der führenden deutschen Neobroker mit BaFin-Erlaubnis und mehreren Millionen Kunden. Die Plattform bietet kostengünstigen ETF-Sparplan-Handel und Depot-Verwaltung über eine App. Genau diese Popularität macht sie zum attraktiven Ziel für Phishing-Angriffe: Betrüger versenden gefälschte E-Mails, SMS oder Push-Nachrichten, die optisch exakt der offiziellen Kommunikation von Scalable Capital ähneln – und versuchen so, Zugangsdaten oder TANs zu stehlen.
Scalable Capital Phishing folgt dabei bewährten Mustern: Eine angebliche Sicherheitswarnung fordert zur Verifizierung des Kontos auf, ein angeblicher Support-Mitarbeiter bittet um Zugangsdaten, oder ein Link führt auf eine täuschend echte Fake-Login-Seite. Wer diese Daten eingibt, ermöglicht den Betrügern den Zugriff auf das Depot – mit teils erheblichen Folgeschäden.
Dieser Beitrag erklärt, wie Scalable Capital Phishing typischerweise abläuft, welche Sofortmaßnahmen Depot und Konto schützen, wann die Plattform oder die Hausbank für Schäden haftet und welche rechtlichen Schritte Betroffene einleiten können. Ähnliche Maschen treffen auch Kunden anderer Neobanken, wie der Beitrag zu N26-Phishing zeigt.
Scalable Capital GmbH ist als Wertpapierinstitut von der BaFin lizenziert – das unterscheidet die Plattform grundlegend von unregulierten Kryptobörsen. Die BaFin-Regulierung bedeutet: Die Plattform unterliegt strikten Pflichten zur sicheren Systemgestaltung, zur Kundenauthentifizierung und zur Reaktion auf Betrugshinweise. Gleichzeitig haftet Scalable Capital für systembezogene Sicherheitslücken – nicht aber automatisch für Schäden, die durch Nutzerfehler entstehen.
Für Phishing-Schäden gilt der Haftungsrahmen der Payment Services Directive 2 (PSD2), umgesetzt in § 675u BGB und § 675v BGB. Danach muss das Institut nicht autorisierte Zahlungen erstatten – es sei denn, den Kunden trifft grobe Fahrlässigkeit oder Vorsatz. Bei Scalable Capital kommt es dabei darauf an, wer die Authentifizierungsdaten preisgegeben hat und unter welchen Umständen.
Die Beweislastverteilung ist dabei für Kunden günstig: Das Institut muss nachweisen, dass die Zahlung korrekt authentifiziert wurde und nicht durch technische Fehler verursacht ist. Kann Scalable Capital das nicht belegen, haftet es nach § 675u BGB. Der BGH hat in XI ZR 107/24 vom 22.07.2025 klargestellt, dass eine TAN-Weitergabe allein keine Autorisierung im rechtlichen Sinne darstellt – wohl aber grobe Fahrlässigkeit begründen kann.
Diese Betrugsform nutzt verschiedene Angriffswege. Die häufigsten Maschen im Überblick:
Scalable Capital kommuniziert nie per E-Mail oder SMS nach Login-Daten oder TANs. Jede Aufforderung dieser Art ist ein Phishing-Versuch. Ähnliche Muster finden sich auch beim Comdirect-Phishing oder bei Angriffen auf andere Broker-Plattformen.
Folgende Merkmale deuten auf einen Phishing-Angriff hin – auch wenn Absender und Design authentisch wirken:
Im Zweifelsfall loggen Sie sich direkt über die offizielle Scalable-Capital-App oder Website ein – nie über einen Link in einer E-Mail. Vertiefende Informationen zu gefälschten Banking-Seiten bietet der Beitrag zu Phishing-Schutz bei Bankseiten.
Die Haftung von Scalable Capital bei Phishing-Schäden richtet sich nach dem PSD2-Rahmen. Grundsatz: Nicht autorisierte Zahlungen muss das Institut erstatten. Wenn Betrüger über gephishte Zugangsdaten ins Depot eindringen und dort eigenmächtig handeln – ohne Wissen und Wollen des Kontoinhabers –, gilt das als nicht autorisierte Transaktion.
Die Haftung entfällt oder mindert sich, wenn den Kunden grobe Fahrlässigkeit trifft. Das ist dann der Fall, wenn grundlegende Sicherheitsregeln missachtet wurden – etwa die freiwillige Weitergabe von Zugangsdaten auf Anforderung. Der BGH hat in XI ZR 107/24 präzisiert: TAN-Weitergabe am Folgetag eines Phishing-Anrufs kann grobe Fahrlässigkeit darstellen. Ein kurzfristiges Augenblicksversagen kann dagegen grobe Fahrlässigkeit ausschließen.
Zusätzlich relevant: Wenn Scalable Capital eigene Sicherheitspflichten verletzt hat – etwa indem kein IBAN-Namensabgleich oder keine anomale Transaktionserkennung implementiert war –, kann das die Haftung des Instituts begründen oder erhöhen. Anwaltliche Prüfung klärt, welche Pflichtverletzungen in Betracht kommen. Mehr zu den aktuellen EuGH-Schlussanträgen zur Bankhaftung beim EuGH-Phishing-Urteil 2026.
Parallel zur Haftungsfrage sollten Betroffene prüfen, ob das Institut seinen Warnpflichten nachgekommen ist. Wenn Scalable Capital von einer aktuellen Phishing-Welle wusste und Kunden nicht rechtzeitig informiert hat, kann das eine eigenständige Pflichtverletzung darstellen. Anwaltliche Prüfung klärt, ob dieser Umstand im konkreten Fall relevant ist.
Wer nach einem Phishing-Angriff auf Scalable Capital zu lange wartet, riskiert den Verlust seiner Ansprüche. § 676b Abs. 2 BGB sieht eine 13-monatige Ausschlussfrist vor: Ansprüche auf Erstattung nicht autorisierter Zahlungen müssen spätestens 13 Monate nach der Kontobelastung gegenüber dem Institut geltend gemacht werden.
Wichtig: Das ist eine Ausschlussfrist, keine Verjährungsfrist. Wer die Frist versäumt, verliert den Anspruch endgültig – auch wenn der Betrug erst später entdeckt wird. Daher sollten Kontobewegungen regelmäßig überprüft werden. Bei Verdacht auf unbefugten Zugriff sofort handeln. Parallel läuft die regelmäßige dreijährige Verjährungsfrist (§ 195 BGB), die nach § 199 Abs. 1 BGB mit dem Ende des Kenntnisjahres beginnt.
Wer seinen Broker bei Scalable Capital auf Erstattung in Anspruch nimmt, muss den Schaden präzise dokumentieren – welche Transaktionen wann stattgefunden haben, welche davon nicht autorisiert waren. Ein Anwalt kann dabei helfen, die Schadensaufstellung korrekt aufzubereiten und fristgerecht einzureichen.
Wenn Sie den Verdacht haben, dass Ihre Scalable-Capital-Zugangsdaten abgefischt wurden oder fremde Transaktionen im Depot erscheinen, handeln Sie sofort:
Wer bereits Geld verloren hat, sollte zudem prüfen, ob das Institut trotz BaFin-Warnung gehandelt hat. Das kann eine weitere Haftungsgrundlage begründen.
Wenn das Depot durch einen Scalable-Capital-Phishing-Angriff geschädigt wurde, bestehen mehrere Anspruchsgrundlagen: Erstattung nicht autorisierter Zahlungen nach § 675u BGB, Schadensersatz nach § 823 BGB bei Verletzung eigener Sicherheitspflichten des Instituts und ggf. Schadensersatz nach § 826 BGB.
Die außergerichtliche Geltendmachung ist oft der erste Weg: Ein anwaltliches Schreiben an Scalable Capital mit Fristsetzung zur Erstattung. Verweigert das Institut die Erstattung, kann die für Scalable Capital zuständige Verbraucherschlichtungsstelle – in der Regel die Schlichtungsstelle bei der BaFin oder eine andere anerkannte Schlichtungsstelle – eingeschaltet werden – kostenfrei und außergerichtlich. Alternativ ist der Klageweg möglich.
Strafrechtlich können Täter wegen § 263a StGB (Computerbetrug) und § 263 StGB (Betrug) verfolgt werden. Bei organisierten Banden kommt auch § 261 StGB (Geldwäsche) in Betracht. Strafanzeigen ermöglichen staatliche Ermittlungen und können die Rückforderung unterstützen. Mehr dazu im Beitrag zu Bankbetrug und BGH-Haftung.
Anwaltliche Unterstützung ist dringend empfehlenswert, wenn:
Ein Rechtsanwalt mit Erfahrung im Bank- und Kapitalmarktrecht kann die Verschuldensfrage einordnen, Erstattungsansprüche gegenüber dem Institut geltend machen und bei Bedarf klagen. Die AK LAW Rechtsanwaltsgesellschaft mbH berät Mandanten bundesweit bei Phishing-Fällen – von der ersten Einschätzung bis zur Durchsetzung von Ansprüchen. Einen Überblick bietet die Kanzlei für Bankrecht.
Nicht immer ist sofort klar, ob grobe Fahrlässigkeit vorliegt oder nicht. Täuschend echte Phishing-Seiten und psychologisch ausgeklügelte Betrugsanrufe können auch Personen mit technischem Hintergrund täuschen. Gerichte und Schiedsstellen berücksichtigen die Qualität des Angriffs zunehmend in ihrer Bewertung. Ein Anwalt kann helfen, diesen Sachverhalt überzeugend darzustellen. Darüber hinaus lohnt ein Blick auf mögliche Ansprüche aus der DSGVO: Wenn durch den Phishing-Angriff personenbezogene Daten abgeflossen sind, können zusätzliche Schadensersatzansprüche nach Art. 82 DSGVO gegen das Institut in Betracht kommen – insbesondere bei unzureichenden Sicherheitsmaßnahmen.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
Scalable Capital Phishing bezeichnet Betrugsversuche, bei denen gefälschte E-Mails, SMS oder Fake-Login-Seiten eingesetzt werden, um Zugangsdaten von Scalable-Capital-Kunden zu stehlen. Das Ziel ist die Übernahme des Depots oder die Veranlassung nicht autorisierter Transaktionen.
Scalable Capital muss nach § 675u BGB nicht autorisierte Transaktionen erstatten. Voraussetzung: Den Kunden trifft keine grobe Fahrlässigkeit. Das BGH-Urteil XI ZR 107/24 vom 22.07.2025 hat die Haftungsgrenzen konkretisiert.
Warnsignale sind: dringende Handlungsaufforderungen, abweichende URLs, Anfragen nach Zugangsdaten per E-Mail oder Telefon sowie fehlende Personalisierung. Scalable Capital fragt niemals per E-Mail oder SMS nach TANs oder Passwörtern.
Ändern Sie sofort Passwort und PIN über die offizielle App. Kontaktieren Sie Scalable Capital schriftlich. Erstatten Sie Strafanzeige. Sichern Sie alle Transaktionsnachweise als Beweisgrundlage für eine Erstattungsklage.
§ 676b Abs. 2 BGB setzt eine 13-monatige Ausschlussfrist ab dem Belastungsdatum. Wer diese Frist versäumt, verliert seinen Anspruch endgültig. Handeln Sie daher sofort nach Entdeckung des Schadens.
Das hängt vom Grad des Verschuldens ab. Grobe Fahrlässigkeit – etwa die wissentliche Weitergabe von TANs auf Aufforderung – kann die Haftung ausschließen. Ein kurzfristiges Augenblicksversagen bei einer täuschend echten Phishing-Attacke kann dagegen grobe Fahrlässigkeit ausschließen.
Ja. Ein anwaltliches Schreiben mit Fristsetzung ist der erste Schritt. Alternativ kann die für Scalable Capital zuständige Verbraucherschlichtungsstelle – in der Regel die Schlichtungsstelle bei der BaFin oder eine andere anerkannte Schlichtungsstelle – eingeschaltet werden. Erst wenn diese Wege scheitern, empfiehlt sich die Klage.
Ja. Phishing-Angriffe erfüllen den Tatbestand des § 263a StGB (Computerbetrug) und § 263 StGB (Betrug). Strafanzeigen ermöglichen staatliche Ermittlungen und können bei der Rückforderung des Geldes helfen.
Nutzen Sie ausschließlich die offizielle App, aktivieren Sie Zwei-Faktor-Authentifizierung, prüfen Sie E-Mail-Absender genau und klicken Sie niemals auf Links in unerwarteten Nachrichten. Regelmäßige Kontokontrollen helfen, unberechtigte Transaktionen früh zu entdecken.
Der Generalanwalt hat in den Schlussanträgen zur Rechtssache C-70/25 vom 05.03.2026 die Position vertreten, dass Banken Phishing-Opfer zunächst erstatten sollen. Das Endurteil des EuGH steht noch aus. Diese Schlussanträge sind kein verbindliches Recht, geben aber Hinweise auf die Entwicklung der EU-Rechtsprechung.
Der KI Stimme Enkeltrick ist eine technisch ausgeklügelte Weiterentwicklung einer bekannten Betrugsmasche – und trifft Betroffene oft vollständig unvorbereitet.
Wenige Sekunden Audio genügen, um die Stimme einer Person täuschend echt nachzubilden. Künstliche Intelligenz macht das möglich – und Betrüger nutzen es gezielt. Der sogenannte KI Stimme Enkeltrick kombiniert das traditionelle Enkeltrick-Schema mit Voice-Cloning-Technologie: Ein angeblicher Sohn, eine Tochter oder ein Enkelsohn ruft an, schildert eine Notlage und bittet um sofortige Geldüberweisung. Die Stimme klingt echt – weil sie echt klingt.
Was früher durch schlecht imitierte Stimmen aufzudecken war, ist durch KI-generierte Audiodateien deutlich schwerer zu erkennen. Plattformen wie ElevenLabs oder ähnliche Dienste können aus öffentlich verfügbaren Sprachaufnahmen – etwa aus sozialen Netzwerken – in wenigen Minuten eine täuschend echte Stimm-Kopie erzeugen. Für ältere oder emotional unter Druck stehende Betroffene ist die Unterscheidung kaum noch möglich.
Dieser Beitrag erklärt, wie der KI Stimme Enkeltrick funktioniert, welche Rückfragen ihn entlarven, welche Straftatbestände erfüllt sind und welche rechtlichen Schritte Betroffene einleiten können. Ähnliche Technologien werden auch beim CEO-Fraud eingesetzt, bei dem angebliche Vorgesetzte Mitarbeiter zu Überweisungen veranlassen.
Voice Cloning bezeichnet die KI-gestützte Erzeugung einer synthetischen Stimme auf Basis vorhandener Sprachaufnahmen. Algorithmen analysieren Tonhöhe, Rhythmus, Dialekt und charakteristische Sprachmerkmale einer Person – und generieren dann beliebige Texte in dieser Stimme. Die Qualität heutiger Systeme ist so hoch, dass die geklonte Stimme in Echtzeit genutzt werden kann, etwa in Telefonanrufen.
Für Betrüger senkt das die Hürde erheblich. Früher erforderte der Enkeltrick, dass der Anrufer die Zielstimme überzeugend imitieren konnte – was selten gelang. Heute reichen wenige Minuten öffentlich verfügbarer Audiodaten aus Sprachnachrichten, Instagram-Stories oder YouTube-Videos. Das Ergebnis: Ein Anruf, bei dem der angebliche Enkelsohn in der vertrauten Stimme spricht und eine Notlage schildert.
Rechtlich handelt es sich um Betrug nach § 263 StGB: Getäuscht wird ein Mensch, der daraufhin eine Vermögensverfügung trifft. § 263a StGB (Computerbetrug) passt hier grundsätzlich nicht, denn dieser setzt die Manipulation eines Datenverarbeitungsvorgangs ohne menschliche Entscheidung voraus. Daneben kann die unbefugte Nutzung von Stimmaufnahmen gegen Persönlichkeitsrechte verstoßen.
Der typische Ablauf dieser Masche folgt einem klaren Muster: Zunächst sammeln die Täter öffentlich zugängliche Sprachaufnahmen der zu imitierenden Person. Social-Media-Profile sind dabei ergiebig – viele Menschen posten regelmäßig Videos und Sprachnachrichten. Aus diesen Daten wird ein Stimmmodell erstellt.
Dann erfolgt der Anruf: Die gefälschte Stimme schildert eine Notlage – einen Unfall, eine Verhaftung, einen medizinischen Notfall. Der emotionale Druck wird bewusst maximiert: 'Ich kann das niemandem sonst sagen, ich brauche das Geld sofort.' Dabei ist die Formulierung oft so gewählt, dass die übliche Rückfrage – 'Bist du es wirklich?' – nicht hilft, da die Stimme die Frage überzeugend bejaht.
Im Anschluss wird nach einer sofortigen Überweisung gefragt – oft per Echtzeitüberweisung, manchmal auch nach Bargeld, das ein 'Helfer' abholt. Letzteres ist ein klassisches Merkmal des analogen Enkeltricks – die KI-Variante ergänzt das um die täuschend echte Stimme. Wer den Anruf nicht hinterfragt, verliert häufig erhebliche Summen, bevor er den Betrug erkennt.
Folgende Gegenmaßnahmen helfen, diese Betrugsform zu erkennen und zu stoppen – auch wenn die Stimme vertraut klingt:
Das digitale Pendant des Enkeltricks – über Messenger wie WhatsApp – nutzt ähnliche psychologische Mechanismen. Die Kombination von Stimmtäuschung und Messenger erhöht die Überzeugungskraft noch weiter.
Diese Betrugsmasche erfüllt mehrere Straftatbestände. Der Haupttatbestand ist § 263 StGB (Betrug): Täuschung über Identität und Notlage führt zum Irrtum des Opfers, das daraufhin eine Vermögensverfügung – die Überweisung – vornimmt. Der Schaden ist der überwiesene Betrag.
§ 263a StGB (Computerbetrug) ist hier nicht einschlägig, da ein Mensch getäuscht wird und eine Vermögensverfügung trifft – § 263a setzt demgegenüber die Manipulation eines Datenverarbeitungsvorgangs ohne menschliche Entscheidung voraus. Die unbefugte Verwendung von Stimmaufnahmen kann zudem Persönlichkeitsrechte verletzen – mit zivilrechtlichen Ansprüchen nach § 823 BGB gegen die Täter.
Bei organisierten Banden tritt häufig § 261 StGB (Geldwäsche) hinzu, wenn erbeutete Gelder durch weitere Konten weiterbewegt werden. Die regelmäßige Verjährungsfrist für Schadensersatzansprüche beträgt drei Jahre (§ 195 BGB) ab Schluss des Jahres, in dem der Anspruch entstand und der Geschädigte von Schaden und Täter Kenntnis erlangte (§ 199 Abs. 1 BGB).
Ob die Bank nach einer durch KI-Betrug veranlassten Überweisung haftet, hängt davon ab, ob die Überweisung autorisiert war. Wenn das Opfer selbst überwiesen hat – also bewusst einen Zahlungsauftrag erteilt hat –, gilt die Transaktion als autorisiert. Nach § 675u BGB besteht dann kein automatischer Erstattungsanspruch.
Anders ist es, wenn ein Dritter ohne Wissen des Kontoinhabers eine Zahlung ausgelöst hat – etwa durch Phishing oder Kontoübernahme. In diesen Fällen ist die Bank erstattungspflichtig, sofern den Kontoinhaber keine grobe Fahrlässigkeit trifft. Bei täuschend echter KI-Stimme ist das Verschulden des Opfers regelmäßig gering – die Abgrenzung erfordert aber eine individuelle Prüfung. Anwaltliche Unterstützung ist daher empfehlenswert.
Wer durch eine KI-Stimme zur Überweisung veranlasst wurde, sollte unverzüglich die Bank kontaktieren und den Vorfall melden – die 13-Monats-Frist nach § 676b Abs. 2 BGB für Erstattungsansprüche beginnt mit dem Belastungsdatum zu laufen.
Wenn Sie einen verdächtigen Anruf erhalten oder bereits Geld überwiesen haben, handeln Sie strukturiert:
Informationen zu ähnlich strukturierten Maschen finden Sie im Beitrag zu Vishing-Angriffen durch angebliche Bankmitarbeiter. Die psychologischen Mechanismen sind vergleichbar – der Einsatz von KI erhöht nur die technische Überzeugungskraft.
Die Rückforderung von Geld nach einem KI-Stimme-Enkeltrick ist anspruchsvoll. Wenn die Überweisung als autorisiert gilt – weil das Opfer selbst handelte –, entfällt der direkte Erstattungsanspruch gegen die Bank. Zivilrechtliche Ansprüche richten sich dann primär gegen die Täter – die schwer zu identifizieren sind. Hier hilft die Strafverfolgung: Polizeiliche Ermittlungen können Konten einfrieren und Vermögensabschöpfung nach § 111e StPO ermöglichen.
Wenn die Bank grobe Fahrlässigkeit des Opfers geltend macht, ist das rechtlich zu prüfen. Ein täuschend echter KI-Anruf, der selbst technisch versierte Personen überzeugt hätte, begründet in der Regel kein grob fahrlässiges Verhalten. Der Grad des Verschuldens ist einzelfallabhängig – anwaltliche Begleitung stärkt die eigene Position gegenüber der Bank.
Wer bei einem Cybercrime-Angriff betroffen ist, sollte neben der Strafanzeige auch die Möglichkeit einer Opferzeugenberatung prüfen. Bei Romance-Scam-Betrug und ähnlichen emotionalen Manipulationsmaschen gelten vergleichbare Mechanismen. Strafverfolgungsbehörden bieten zunehmend Unterstützung für Betrugsopfer an – insbesondere bei Fällen mit größerem Schaden.
Besonders bei Beträgen über 5.000 Euro lohnt sich eine intensive Verfolgungsstrategie: Strafanzeige bei der Polizei, parallele zivilrechtliche Klage, Blockchain-Analyse bei Krypto-Transfers und ggf. internationale Rechtshilfe. Die AK LAW Rechtsanwaltsgesellschaft mbH begleitet Mandanten durch diesen Prozess – von der ersten Einschätzung bis zur Durchsetzung der Ansprüche.
Anwaltliche Beratung ist in folgenden Situationen dringend empfehlenswert:
Ein Rechtsanwalt mit Erfahrung im Bank- und Kapitalmarktrecht kann die Verschuldensfrage einordnen, Banken zur Erstattung auffordern und Strafanzeigen koordinieren. Bei Fällen, die eine KI-Stimmenmanipulation beinhalten, besteht zudem die Möglichkeit, zivilrechtliche Schadensersatzansprüche gegen die Persönlichkeitsrechtsverletzung geltend zu machen – ein Bereich, der rechtlich noch wenig erschlossen ist. Einen umfassenden Überblick bietet die Kanzlei für Bankrecht. Informationen zu verwandten Betrugsformen bietet auch der Beitrag zu Identitätsdiebstahl und Bankkontosicherheit.
Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
Beim Voice-Cloning-Betrug nutzen Betrüger Voice-Cloning-Software, um die Stimme eines Verwandten täuschend echt nachzuahmen. Der angebliche Angehörige schildert eine Notlage und fordert zur sofortigen Geldüberweisung auf. Rechtlich ist das Betrug nach § 263 StGB.
Rufen Sie die betreffende Person immer unter der Ihnen bekannten Nummer zurück. Vereinbaren Sie ein Geheimwort für Notfälle. Vertrauen Sie nie allein einer Stimme – auch wenn sie vertraut klingt. Kein echter Notfall verbietet eine kurze Verifikation.
Die Täter haften zivilrechtlich nach § 823 BGB. Die Bank haftet grundsätzlich nicht bei autorisierten Überweisungen – außer wenn ein Dritter ohne Ihr Wissen die Zahlung ausgelöst hat. Anwaltliche Prüfung klärt, ob die Autorisierung tatsächlich wirksam war.
Eine Rückholung ist möglich, aber nicht garantiert. Schnelle Strafanzeige und Kontaktaufnahme mit der Bank erhöhen die Chancen. Staatsanwaltschaftliche Ermittlungen können Empfängerkonten einfrieren und Vermögensabschöpfung nach § 111e StPO ermöglichen.
Ja, eindeutig. Der Tatbestand des § 263 StGB (Betrug) ist erfüllt, wenn durch Täuschung eine Vermögensverfügung herbeigeführt wird. § 263a StGB (Computerbetrug) ist nicht einschlägig, da ein Mensch getäuscht wird – nicht ein Datenverarbeitungsvorgang manipuliert wird.
Beenden Sie das Gespräch sofort und rufen Sie die Person unter der Ihnen bekannten Nummer zurück. Fordern Sie das Geheimwort ein. Überweisen Sie kein Geld, bevor Sie die Identität eindeutig verifiziert haben. Informieren Sie im Zweifel sofort die Polizei.
Vereinbaren Sie ein Geheimwort, das bei verdächtigen Anrufen verwendet wird. Schränken Sie die Öffentlichkeit von Sprachaufnahmen in sozialen Netzwerken ein. Informieren Sie ältere Angehörige über diese Betrugsmasche und üben Sie den Umgang mit verdächtigen Anrufen.
Die lokale Polizei und Staatsanwaltschaft nehmen Strafanzeigen auf. Spezialisierte Stellen wie die Zentralstelle Cybercrime Bayern (ZCB) oder das Bundeskriminalamt (BKA) bearbeiten digitale Betrugsformen. BKA und Europol kooperieren bei grenzüberschreitenden Fällen.
Für Ansprüche gegen die Bank gilt die 13-Monats-Frist nach § 676b Abs. 2 BGB. Für zivilrechtliche Ansprüche gegen die Täter gilt die 3-Jahres-Verjährungsfrist nach §§ 195, 199 BGB ab Kenntnis. Je früher Sie handeln, desto besser.
Ja, in vielen Fällen. Bankkonten, die zur Geldannahme genutzt wurden, können Hinweise auf die Täter liefern. Digitale Forensik und internationale Polizeikooperation ermöglichen zunehmend die Identifizierung und Strafverfolgung. Strafanzeigen sollten daher immer erstattet werden.
