Contact for English speaking clientsÜbersicht:
- Das Wichtigste im Überblick
- Wer übernimmt die Haftung bei Kreditkartenbetrug?
- Redaktionelle Leitsätze
- Wann liegt eine grob fahrlässige Pflichtverletzung vor?
- Kann man die Erstattung von unberechtigten Abbuchungen erzwingen?
- Darf die Bank eine Stornierung der Kreditkartenzahlung ablehnen?
- Wie sicher ist das 3-D-Secure-Verfahren beim Bezahlen?
- Experten-Kommentar
- Häufig gestellte Fragen (FAQ)
- Wann bekomme ich bei Phishing mit TAN-Eingabe mein Geld zurück?
- Haftet die Bank, wenn ich die Freigabe-TAN selbst eingegeben habe?
- Was gilt bei Kreditkartenbetrug als grobe Fahrlässigkeit?
- Wie wehre ich mich gegen die Ablehnung wegen angeblicher Sorgfaltspflichtverletzung?
- Was kann ich tun, wenn die Bank nach meiner Kartensperrung nicht storniert?
- Wie beweise ich, dass die Phishing-Seite für mich nicht erkennbar war?
- Das vorliegende Urteil
Zum vorliegenden Urteilstext springen: 271 C 16677/24
Das Wichtigste im Überblick
AG München weist Rückerstattung ab, weil die Kundin ihre SMS-TAN weitergab.
- Das Gericht glaubt: Die Klägerin gab Dritten die SMS-TAN für die Freigabe.
- Darum haftet die Bank nicht, obwohl die Zahlungen nicht von ihr autorisiert waren.
- Die Klägerin verliert, weil sie grob fahrlässig handelte und Sicherheitsregeln brach.
- Die Bank musste die Zahlungen nicht stoppen oder zurückholen.
- Gericht: AG München
- Datum: 08.01.2025
- Aktenzeichen: 271 C 16677/24
- Verfahren: Zivilverfahren
- Rechtsbereiche: Zahlungsdienste, Bankrecht, Haftung bei Online-Zahlungen
- Relevant für: Bankkunden, Banken, Betrugsopfer bei Kreditkartenzahlungen
Wer übernimmt die Haftung bei Kreditkartenbetrug?
Ein Erstattungsanspruch bei unberechtigten Abbuchungen auf einem Konto richtet sich nach § 675u des Bürgerlichen Gesetzbuches. Voraussetzung für eine Erstattung ist das Vorliegen eines nicht autorisierten Zahlungsvorgangs gemäß § 675j BGB. Die Beweislast für eine rechtmäßige Autorisierung und eine Einhaltung technischer Standards trägt grundsätzlich der Zahlungsdienstleister. Das bedeutet konkret: Normalerweise müsste der Kunde beweisen, dass er eine Zahlung nicht autorisiert hat – das Gesetz kehrt diese Pflicht jedoch um und verlangt von der Bank den Nachweis, dass alles korrekt ablief.
Vor dem Amtsgericht München forderte eine Bankkundin die Rückzahlung von 1.953,29 €, nachdem über ihr Girokonto sechs Abbuchungen für Geschenkkarten aus Amsterdam getätigt worden waren. Die Kontoinhaberin, der ein flexibler Kreditrahmen von 5.000 Euro inklusive einer Mastercard zur Verfügung stand, gab an, einem Internetbetrug zum Opfer gefallen zu sein. Ihr Ehemann habe am 6. Januar 2024 über ein vermeintliches Reiseportal eine Buchung versucht und dort Kreditkartendaten eingegeben. Die Frau argumentierte, dass weder sie noch ihr Mann die Transaktionen autorisiert hätten, da laut ihrer Darstellung weder eine PIN genutzt, noch eine Zwei-Faktor-Authentifizierung durchgeführt worden sei. Das Amtsgericht München wies die Klage auf Erstattung mit Urteil vom 8. Januar 2025 (Az. 271 C 16677/24) vollständig ab und verurteilte die Frau zur Übernahme der gesamten Prozesskosten.
Wer selbst ungewöhnliche Abbuchungen auf seinem Konto entdeckt, sollte sofort alle Beweise sichern: Screenshots der verdächtigen Webseite, den SMS-Verlauf des Smartphones und alle E-Mails im Zusammenhang mit der Transaktion. Kontaktieren Sie Ihre Bank schriftlich und bestreiten Sie die Autorisierung explicitly. Der entscheidende Punkt für Ihre Erstattungschancen: Haben Sie ausschließlich Kartendaten auf einer später als gefälscht erkannten Seite eingegeben, steht die Bank in der Beweispflicht. Haben Sie jedoch einen per SMS erhaltenen Freigabe-Code auf derselben Seite oder in einer App eingegeben, die nicht Ihrer Banking-App entspricht, werten Gerichte dies regelmäßig als grobe Fahrlässigkeit – und Sie haften selbst.
Redaktionelle Leitsätze
- Die Eingabe eines im Rahmen der Zwei-Faktor-Authentifizierung per SMS erhaltenen Freigabecodes auf einer bankfremden Internetseite stellt eine grob fahrlässige Verletzung der vertraglichen Sorgfaltspflichten dar, da dies die Sicherheitsarchitektur des Zahlungssystems grundlegend aushebelt.
- Ein Zahlungsdienstleister haftet nicht wegen unterlassener Schadensabwehr für betrügerische Kreditkartenabbuchungen, wenn eine Stornierung der durch ein 3D-Secure-Verfahren freigegebenen Transaktionen nach den vertraglichen Vorgaben des Kreditkartenunternehmens ausgeschlossen ist.
Wann liegt eine grob fahrlässige Pflichtverletzung vor?
Der Zahler haftet gemäß § 675v Abs. 3 Nr. 2 BGB selbst, wenn bei einem Schadensfall eine grob fahrlässige Verletzung seiner eigenen Sorgfaltspflichten nach § 675l BGB vorliegt. Grob fahrlässig handelt, wer grundlegendste Vorsichtsmaßnahmen außer Acht lässt, die jedem vernünftigen Menschen in der Situation offensichtlich wären – etwa eine TAN an Unbekannte weiterzugeben, statt sie nur in der eigenen Banking-App einzugeben. Die Preisgabe personalisierter Sicherheitsmerkmale an unbekannte Dritte hebt die vereinbarte Sicherheitsarchitektur einer Bank grundlegend aus. Von einem besonders schweren Verschulden wird dann ausgegangen, wenn der Kontoinhaber allgemeine Warnungen vor Betrugsmaschen aus den Medien grob fahrlässig ignoriert.
Dass Täter solche Nachlässigkeiten gezielt ausnutzen, zeigte der detaillierte Ablauf der gescheiterten Reisebuchung. Der Ehemann der Kontoinhaberin loggte sich nicht regulär mit einem Benutzerprofil auf dem Portal ein, sondern gab die Kreditkarteninformationen sofort auf der gefälschten Webseite an. Für das Gericht stellte dies bereits eine erhebliche Abweichung von einer normalen Buchung dar. Kurz danach, um 13:29 Uhr, versandte die Bank laut einem IT-Protokoll eine SMS an die Handynummer der Frau. Diese Nachricht enthielt eine Transaktionsnummer zur Aktivierung des „Mastercard Identity Check“. Das Amtsgericht kam zu der Überzeugung, dass die Frau diesen Verifizierungscode an Dritte weitergab. Sie ermöglichte den Betrügern dadurch die Registrierung eines neuen Geräts in einer Banking-App. Das Gericht stufte die Übermittlung dieses Codes auf einer nicht der Bank zuzuordnenden Internetpräsenz als massiven Verstoß gegen die vertraglichen Sorgfaltspflichten und somit als grob fahrlässig ein – dies sei weitaus schwerwiegender als die bloße Preisgabe von Kreditkartendaten.
Mit der Weitergabe eines im Rahmen einer Zwei-Faktor-Autorisierung erhaltenden Zugangscodes hilft der Nutzer die Sicherheitsarchitektur grundlegend auszuhebeln. Es muss jedem verständigen Nutzer solcher Kreditkarten klar sein, welches Risiko er mit der Weitergabe derartiger Daten schafft. – so das Amtsgericht München
Praxis-Hinweis: Weitergabe der Freigabe-TAN
Das Urteil kippte durch einen konkreten Umstand: Es wurde nicht nur die Kreditkarte auf einer gefälschten Seite eingegeben, sondern auch die per SMS erhaltene 3D-Secure-TAN. Diese ermöglichte den Betrügern die Registrierung eines neuen Geräts in der Banking-App. Für Gerichte ist dies häufig der Punkt, an dem einfache Nachlässigkeit in grobe Fahrlässigkeit umschlägt. Wenn Sie in einem ähnlichen Fall nur Kartennummer und Prüfziffer eingegeben haben, stehen Ihre Chancen auf Erstattung deutlich besser. Haben Sie hingegen eine Freigabe-TAN auf der Phishing-Seite eingetragen, haften Sie typischerweise selbst für den Schaden.
Kann man die Erstattung von unberechtigten Abbuchungen erzwingen?
Ein Zahlungsdienstleister kann einer Erstattung widersprechen, wenn sensible Sicherheitsmerkmale bei einer Transaktion nicht vertragsgemäß geschützt wurden. Eine Hilfsaufrechnung mit Schadensersatzansprüchen wegen massiver Pflichtverletzungen nach § 675v BGB ist rechtlich zulässig. Das bedeutet: Die Bank erklärt vorsorglich, dass sie selbst dann nicht zahlen müsste, wenn sie eigentlich zur Erstattung verpflichtet wäre – weil der Kunde ihr durch sein Fehlverhalten schadensersatzpflichtig ist und sich beide Forderungen gegenseitig aufheben. Die Art der Zustimmung für die Autorisierung muss im Vorfeld in den Vertragsbedingungen zwischen dem Zahler und dem Finanzinstitut vereinbart sein.
Wenn Ihre Bank die Erstattung mit dem Hinweis auf Ihre Sorgfaltspflichtverletzung ablehnt, verlangen Sie eine detaillierte schriftliche Begründung. Die Bank muss konkret nachweisen, welche Sicherheitsmerkmale Sie preisgegeben haben und wie dies gegen Ihre vertraglichen Pflichten verstieß. Pauschale Verweise auf „mangelnde Sorgfalt“ reichen nicht aus. Fordern Sie die IT-Protokolle der fraglichen Transaktionen an – diese zeigen genau, wann und wie eine TAN eingegeben wurde und ob der 3D-Secure-Check tatsächlich über Ihr Gerät lief.
Das betroffene Kreditinstitut betonte im Prozess, dass nach einer manuellen Eingabe der SMS-TAN ein rein technischer Fremdzugriff auf das Konto ausgeschlossen sei. Die Frau müsse die Freigabe-App entweder selbst installiert oder den Zugangscode wissentlich an Fremde weitergegeben haben. Da dieses Mitwirken gegen die Sicherheitsrichtlinien verstieß, lehnte die Bank die Forderung endgültig ab und erklärte vorsorglich die Aufrechnung mit eigenen Schadensersatzansprüchen aus der Sorgfaltspflichtverletzung der Kundin. Das Amtsgericht sah es nach der Beweisaufnahme als erwiesen an, dass der Vermögensschaden durch das Fehlverhalten der Kontoinhaberin verursacht wurde. In der Konsequenz blieb die betrogene Frau auf dem finanziellen Schaden sitzen. Sie erhielt weder die abgebuchten 1.953,29 Euro zurück, noch die Freistellung von den vorgerichtlichen Anwaltskosten in Höhe von 280,60 Euro.
Darf die Bank eine Stornierung der Kreditkartenzahlung ablehnen?
Ein Mitverschulden der Bank wegen einer unterlassenen Stornierung scheidet aus, wenn vertragliche Regelungen den sofortigen Stopp von autorisierten Zahlungen verbieten. Maßgeblich für die Abwicklung sind hierbei unter anderem verbindliche Vereinbarungen mit internationalen Kreditkartenorganisationen. Dazu zählt beispielsweise das detaillierte Regelwerk des Mastercard Chargeback Guides.
Obwohl die betrogene Kontoinhaberin ihre Mastercard noch am Abend des 6. Januar 2024 telefonisch sperren ließ, verweigerte das Kreditinstitut den Abbruch der betroffenen Zahlungen aus Amsterdam. Die tatsächlichen Kontoabbuchungen von jeweils 318,99 Euro erfolgten erst am 8. Januar 2024. Die Frau warf dem Unternehmen vor, die verdächtigen Zahlungsvorgänge im Rahmen der Betrugsprävention spätestens nach der zweiten Abbuchung erkennen und umgehend stoppen zu müssen. Die Bank widersprach dieser Darstellung unter Verweis auf die unveränderlichen Richtlinien des Kreditkartenunternehmens. Das Gericht folgte der Argumentation des Finanzdienstleisters und entschied, dass per 3D-Secure freigegebene Transaktionen nicht zurückgeholt werden dürfen. Eine Sorgfaltspflichtverletzung durch die Bank lag somit nicht vor, da eine Stornierung vertraglich völlig unmöglich war.
Die streitgegenständliche Transaktion war wie vertraglich vorgesehen autorisiert. Ein Zurückholen der Transaktion war der Beklagten daher aus vertraglichen Gründen nicht möglich. Eine Verletzung des mit dem Kläger bestehenden Dienstleistungsvertrags kann der Beklagten daher insoweit nicht vorgeworfen werden. – so das Amtsgericht München
Das bedeutet für Sie konkret: Sobald Sie eine Transaktion per SMS-TAN oder App-Freigabe bestätigt haben, kann Ihre Bank diese Zahlung auch dann nicht mehr zurückholen, wenn Sie unmittelbar danach den Betrug bemerken und Ihre Karte sperren lassen. Rufen Sie bei Betrugsverdacht daher sofort die Polizei und erstatten Sie Strafanzeige – nur über den strafrechtlichen Weg besteht noch eine Chance, das Geld von den Tätern zurückzuverlangen. Dokumentieren Sie den genauen Zeitpunkt Ihrer Kartensperrung und aller Anrufe bei der Bank als Nachweis.
Wie sicher ist das 3-D-Secure-Verfahren beim Bezahlen?
Die Authentifizierung über ein physisches Besitzelement, wie beispielsweise ein Smartphone in Kombination mit einem Code, soll eine angemessene Sicherheit bei Online-Zahlungen gewährleisten. Nach gängiger Sichtweise gilt die Übermittlung einer TAN an eine individuell zugeordnete Mobilfunknummer als hinreichend sicheres Identifizierungsmerkmal für einen Kontrollprozess.
Um sich von der Mitschuld zu entlasten, zweifelte die Kontoinhaberin das Sicherheitssystem ihrer Bank massiv an. Sie behauptete, das entsprechende SMS-TAN-Verfahren am besagten Tag um 13:30 Uhr überhaupt nicht aktiviert und die Kurznachrichten erst gar nicht erhalten zu haben, da ihr Gerät angeblich nicht in die Freigabe involviert war. Eine Umsatzbenachrichtigung habe zudem bereits um 13:38 Uhr eine geringfügige Abbuchung über 0,01 Euro gemeldet, obwohl die entscheidende TAN nach ihren Angaben erst um 13:44 Uhr verschickt worden sei. Weiterhin kritisierte sie, dass die Banking-App nicht zwingend auf ein einzelnes Gerät beschränkt gewesen sei und eine bestimmte TAN nicht gleich für sechs Abbuchungen gültig sein dürfe.
Inaugenscheinnahme des Smartphones liefert den Beweis
Das Gericht ließ diese Schutzbehauptungen nicht gelten und widerlegte die Vorwürfe durch eine direkte Inaugenscheinnahme des Mobiltelefons sowie durch die Befragung des Ehemanns. Eine Inaugenscheinnahme bedeutet: Der Richter nimmt das Beweisstück – hier das Smartphone – selbst in die Hand und prüft die Inhalte unmittelbar, statt sich nur auf Beschreibungen oder Screenshots zu verlassen. Im Nachrichtenprotokoll des Geräts befand sich unverkennbar eine SMS vom 6. Januar 2024 mit exakt dem Inhalt: „… ist Ihre TAN für die Aktivierung von Mastercard Identity Check“. Diese SMS war um 13:29 Uhr eingegangen und zerstörte die zeitlichen Argumente der Klägerin. Das Amtsgericht München kam zu der Bewertung, dass das eingesetzte System den vertraglichen Vorgaben in vollem Umfang entsprochen hat. Dass durch eine erfolgreiche Eingabe der initialen TAN an eine fremde Website anschließend weitere Transaktionen über ein Betrüger-Gerät getätigt werden konnten, war rein rechtlich durch den vorausgegangenen, legitimen Identitätscheck gerechtfertigt.
Warum die TAN-Weitergabe entscheidend war
Das Amtsgericht München hat als Eingangsinstanz entschieden – also als erstinstanzliches Gericht, dessen Urteil noch durch Berufung vor dem Landgericht hätte angefochten werden können. Das Urteil ist nicht bindend für andere Gerichte, zeigt aber deutlich, wie Amtsgerichte in vergleichbaren Fällen typischerweise urteilen: Wer eine 3D-Secure-TAN auf einer fremden Webseite eingibt, verliert seinen Erstattungsanspruch gegen die Bank. Die Beweisführung läuft dabei über das Smartphone des Geschädigten. Im Münchner Fall reichte die Inaugenscheinnahme des Telefons aus, um die Schutzbehauptungen der Klägerin zu widerlegen.
Für Sie heißt das: Bewahren Sie Ihr Smartphone und sämtliche SMS-Nachrichten unverändert auf, wenn Sie eine Erstattung fordern wollen. Gerichte prüfen den Nachrichtenverlauf direkt am Gerät – gelöschte oder manipulierte Einträge schaden Ihrer Glaubwürdigkeit massiv. Geben Sie niemals einen per SMS oder Push-Benachrichtigung erhaltenen Freigabe-Code auf einer Webseite ein, die Sie nicht als Ihre offizielle Banking-Umgebung identifizieren können. Der Code gehört ausschließlich in Ihre Banking-App oder das TAN-Verfahren Ihrer Bank.
Unberechtigte Kreditkartenabbuchung? Lassen Sie Ihre Ansprüche prüfen
Die Haftung für Kreditkartenbetrug hängt oft von Details wie der Weitergabe einer SMS-TAN ab. Unsere Rechtsanwälte analysieren, ob die Bank in Ihrem Fall die Beweispflicht trägt oder ob Ihnen grobe Fahrlässigkeit vorgeworfen werden kann. Wir sichern die relevanten Beweise und begleiten Sie Schritt für Schritt bei Ihrer Forderung.
Experten-Kommentar
Viele unterschätzen die IT-Forensik der Banken in solchen Prozessen. Die Institute legen vor Gericht lückenlose, sekundengenaue Systemprotokolle vor, gegen die man mit bloßem Bestreiten oder vagen Ausflüchten absolut keine Chance hat. Wer versucht, den Erhalt einer SMS einfach wegzuleugnen, zerstört seine eigene Glaubwürdigkeit beim Richter meist schon in den ersten Minuten der Verhandlung.
Betroffene sollten daher vor einer Klage die Systemprotokolle der Bank anfordern und nüchtern analysieren. Zeigt der Datensatz eine fehlerfreie Zwei-Faktor-Autorisierung, ist der Prozess im Grunde verloren. In solchen Fällen ist es meist klüger, das Geld für ein teures Verfahren zu sparen und stattdessen zu prüfen, ob die Bank etwa vereinbarte Tageslimits missachtet oder die telefonische Sperrung verzögert hat.
Häufig gestellte Fragen (FAQ)
Wann bekomme ich bei Phishing mit TAN-Eingabe mein Geld zurück?
Sie bekommen Ihr Geld bei Phishing mit eingegebener TAN in der Regel nicht zurück. Wer auf einer gefälschten Webseite einen Freigabe-Code eingibt, löst damit häufig selbst die Zahlung aus oder ermöglicht sie jedenfalls grob fahrlässig.
Rechtlich gilt zunächst: Nicht autorisierte Zahlungen sind nach § 675u BGB grundsätzlich zu erstatten. Diese Erstattung entfällt aber nach § 675v BGB, wenn der Schaden auf grober Fahrlässigkeit beruht, also auf einem besonders schweren Verstoß gegen naheliegende Sicherheitsregeln. Gerichte werten es regelmäßig als grob fahrlässig, eine per SMS oder App erhaltene TAN auf einer bankfremden Seite einzugeben, weil damit die Sicherheitsarchitektur der Zwei-Faktor-Authentifizierung ausgehebelt wird. Anders liegt es meist nur dann, wenn Sie lediglich Kartennummer, Ablaufdatum oder Prüfziffer preisgegeben haben, ohne einen Freigabe-Code zu bestätigen.
Eine Erstattung kann daher vor allem dann in Betracht kommen, wenn die Bank nicht beweisen kann, dass Sie die Zahlung durch eine TAN-Freigabe autorisiert oder grob fahrlässig ermöglicht haben. Entscheidend sind die konkreten Protokolle und der Ablauf der Transaktion, nicht bloß Ihr Einwand, Sie seien Opfer eines Betrugs geworden.
Haftet die Bank, wenn ich die Freigabe-TAN selbst eingegeben habe?
NEIN, die Bank haftet in der Regel nicht, wenn Sie die Freigabe-TAN selbst auf einer Phishing-Seite eingegeben haben. Rechtlich gilt die Zahlung dann meist als autorisiert, weil Sie das 3D-Secure-Verfahren selbst ausgelöst haben.
Der Grund ist, dass § 675j BGB nur nicht autorisierte Zahlungsvorgänge erfasst, während eine wirksam freigegebene Transaktion als von Ihnen gebilligt behandelt wird. Geben Sie den Code selbst ein, liegt regelmäßig mindestens grobe Fahrlässigkeit im Sinn von § 675v Abs. 3 Nr. 2 BGB vor, weil Sie die Sicherheitsarchitektur der Bank aushebeln. Dann entfällt Ihr Erstattungsanspruch, und die Bank muss die Zahlung grundsätzlich weder ersetzen noch stornieren. Zusätzlich binden internationale Kreditkartenregeln die Bank oft daran, bereits autorisierte Umsätze nicht mehr zurückzuholen.
Eine Ausnahme kommt nur in Betracht, wenn die Bank selbst einen technischen Fehler, eine fehlerhafte Authentifizierung oder einen Systemausfall nachweisbar zu vertreten hat. In der Praxis sollten Sie deshalb sofort die Transaktionsprotokolle schriftlich anfordern und den genauen Ablauf der TAN-Freigabe dokumentieren.
Was gilt bei Kreditkartenbetrug als grobe Fahrlässigkeit?
Als grobe Fahrlässigkeit bei Kreditkartenbetrug gilt vor allem die Weitergabe einer Freigabe-TAN oder 3D-Secure-Code auf einer bankfremden oder gefälschten Webseite. Wer nur Kartendaten eingibt, handelt meist noch nicht grob fahrlässig; der rechtliche Kipppunkt ist regelmäßig die Preisgabe des zusätzlichen Sicherheitsmerkmals.
Grobe Fahrlässigkeit liegt nach § 675v Abs. 3 Nr. 2 BGB vor, wenn Sie einfachste und jedem vernünftigen Menschen einleuchtende Sorgfaltsregeln missachten. Bei Online-Zahlungen gehört dazu insbesondere, eine TAN nur in der offiziellen Banking-App oder im vorgesehenen Freigabeverfahren einzugeben. Geben Sie den Code dagegen auf einer Phishing-Seite ein, hebeln Sie die Sicherheitsarchitektur des Zahlungsdienstes selbst aus. Gerichte werten das regelmäßig nicht mehr als bloße Unachtsamkeit, sondern als schweres Verschulden. Dann kann der Erstattungsanspruch gegen die Bank vollständig entfallen.
Grenzfälle gibt es bei reinen Kartendaten ohne TAN, weil dann oft noch keine grob fahrlässige Pflichtverletzung angenommen wird. Maßgeblich bleiben aber immer die konkreten Sorgfaltspflichten aus dem Kartenvertrag und dem eingesetzten 3D-Secure-Verfahren.
Wie wehre ich mich gegen die Ablehnung wegen angeblicher Sorgfaltspflichtverletzung?
Fordern Sie sofort eine detaillierte schriftliche Begründung und die IT-Protokolle der fraglichen Transaktion an. Nur so können Sie prüfen, ob die Bank die behauptete Sorgfaltspflichtverletzung überhaupt belegen kann.
Rechtlich liegt die Beweislast für die Autorisierung und für das konkrete Fehlverhalten grundsätzlich beim Zahlungsdienstleister, nicht bei Ihnen. Die Bank darf sich daher nicht mit einer pauschalen Formel wie „Sie waren selbst schuld“ begnügen, sondern muss konkret darlegen, welche Sicherheitsmerkmale Sie preisgegeben haben und wie der Ablauf technisch dokumentiert ist. Verweisen Sie dabei ausdrücklich auf die Protokolle zum 3D-Secure-Verfahren, den Versand und Empfang einer TAN sowie den genauen Zeitpunkt der Freigabe. Zusätzlich sollten Sie den SMS-Verlauf und alle E-Mails zur Transaktion sichern, weil diese Unterlagen später den Unterschied zwischen bloßem Kartendatenmissbrauch und einer tatsächlich freigegebenen Zahlung belegen können.
Nur wenn die Protokolle zweifelsfrei zeigen, dass Sie einen Freigabecode auf einer fremden Seite eingegeben oder an Dritte weitergegeben haben, wird eine erfolgreiche Gegenwehr schwierig. Fehlen diese Nachweise oder bleiben sie unklar, kann die Bank Ihre Ablehnung oft nicht tragfähig begründen.
Was kann ich tun, wenn die Bank nach meiner Kartensperrung nicht storniert?
Wenn die Bank eine per 3D-Secure freigegebene Zahlung nach Ihrer Kartensperrung nicht storniert, ist das rechtlich regelmäßig zulässig. Ihre Kartensperrung stoppt nur künftige Abbuchungen, nicht aber bereits autorisierte Transaktionen.
Der Grund ist, dass internationale Kreditkartenregeln wie der Mastercard Chargeback Guide die Rückholung solcher Zahlungen oft ausschließen. Haben Sie den Freigabe-Code selbst in einer Phishing-Maske oder per App bestätigt, gilt die Zahlung als autorisiert, auch wenn der Betrug erst danach auffällt. Gegen die Bank fehlt dann meist ein Anspruch auf Schadensersatz wegen unterlassener Stornierung, weil ihr vertraglich die Hände gebunden sind. Sinnvoll ist daher, sofort die Polizei zu informieren und Strafanzeige gegen die Täter zu erstatten, damit die Ermittlungen und eine mögliche Rückholung über die Strafverfolgung laufen.
Sichern Sie dafür umgehend Screenshots, SMS-Verläufe, E-Mails und den genauen Zeitpunkt der Sperrung. Nur wenn die Zahlung nicht von Ihnen freigegeben wurde, kann die rechtliche Bewertung anders ausfallen.
Wie beweise ich, dass die Phishing-Seite für mich nicht erkennbar war?
Der Nachweis, dass die Phishing-Seite optisch täuschend echt war, hilft Ihnen nur begrenzt, wenn Sie dort eine TAN eingegeben haben. Entscheidend ist dann nicht das Design der Seite, sondern die Frage, ob Sie den Freigabecode auf einer fremden Webseite statt in der vorgesehenen Banking-App eingetragen haben.
Gerichte werten die Eingabe einer per SMS oder App erhaltenen TAN auf einer bankfremden Webseite regelmäßig als grob fahrlässig, weil damit die Sicherheitsarchitektur des 3-D-Secure-Verfahrens ausgehebelt wird. Die Bank muss in solchen Fällen nicht mehr beweisen, dass die Fake-Seite erkennbar war, sondern kann auf Ihre Pflicht verweisen, Freigabe-Codes nur in der offiziellen Umgebung zu nutzen. Wenn Sie dagegen lediglich Kartendaten, Prüfziffer oder Zugangsdaten ohne TAN eingegeben haben, kann das Aussehen der Seite sehr wohl eine Rolle spielen, weil dann eher die Erkennbarkeit der Täuschung und die Beweislast der Bank im Vordergrund stehen.
Für die Beweisführung ist deshalb das technische Umfeld wichtiger als ein Gutachten zur Optik der Seite. Sichern Sie den SMS-Verlauf, die Bankmitteilungen und die Geräteprotokolle, denn daraus lässt sich meist klären, ob eine TAN tatsächlich auf einer Webseite oder in der Banking-App eingegeben wurde. Gerade dieser Punkt entscheidet oft darüber, ob Sie einen Erstattungsanspruch behalten oder wegen grober Fahrlässigkeit selbst haften.
Hinweis/Disclaimer: Teile der Inhalte dieses Beitrags, einschließlich der FAQ, wurden unter Einsatz von Systemen künstlicher Intelligenz erstellt oder überarbeitet und anschließend redaktionell geprüft. Die bereitgestellten Informationen dienen ausschließlich der allgemeinen unverbindlichen Information und stellen keine Rechtsberatung im Einzelfall dar und können eine solche auch nicht ersetzen. Trotz sorgfältiger Bearbeitung kann keine Gewähr für Richtigkeit, Vollständigkeit und Aktualität übernommen werden. Die Nutzung der Informationen erfolgt auf eigene Verantwortung; eine Haftung wird im gesetzlich zulässigen Umfang ausgeschlossen.
Wenn Sie einen ähnlichen Fall haben und konkrete Fragen oder Anliegen klären möchten, kontaktieren Sie uns bitte für eine individuelle Prüfung Ihrer Situation und der aktuellen Rechtslage.
Das vorliegende Urteil
AG München – Az.: 271 C 16677/24 – Urteil vom 08.01.2025
* Der vollständige Urteilstext wurde ausgeblendet, um die Lesbarkeit dieses Artikels zu verbessern. Klicken Sie auf den folgenden Link, um den vollständigen Text einzublenden.
→ Lesen Sie hier den vollständigen Urteilstext…
Ich bin seit meiner Zulassung als Rechtsanwalt im Jahr 2003 Teil der Kanzlei der Rechtsanwälte Kotz in Kreuztal bei Siegen. Als Fachanwalt für Verkehrsrecht und Fachanwalt für Versicherungsrecht, sowie als Notar setze ich mich erfolgreich für meine Mandanten ein. Weitere Tätigkeitsschwerpunkte sind Mietrecht, Strafrecht, Verbraucherrecht, Reiserecht, Medizinrecht, Internetrecht, Verwaltungsrecht und Erbrecht. Ferner bin ich Mitglied im Deutschen Anwaltverein und in verschiedenen Arbeitsgemeinschaften. Als Rechtsanwalt bin ich bundesweit in allen Rechtsgebieten tätig und engagiere mich unter anderem als Vertragsanwalt für […] mehr über Dr. Christian Gerd Kotz
