So wehren Sie sich gegen betrügerische Konto- oder Kreditkartenabbuchungen

Betrug im digitalen Zahlungsverkehr nimmt zu – Banken kennen die Methoden, schützen ihre Kund:innen aber oft unzureichend und wälzen den Schaden auf sie ab. Wie Betroffene sich gegen unberechtigte Abbuchungen, falsche Schufa-Einträge und Inkassoschreiben wehren können.

Schmuckbild: Frau mit besorgtem Gesichtsausdruck hält eine Kreditkarte in der Hand, während sie sich offensichtlich über ein finanzielles Problem oder einen Betrugsfall im Zusammenhang mit Online-Zahlungen oder Bankgeschäften ärgert.

Foto:

Kirsti D/peopleimages.com / stock.adobe.com

Das Wichtigste in Kürze:

Banken müssen nicht autorisierte Zahlungen erstatten, sofern sie keine grobe Fahrlässigkeit des Kunden nachweisen können.
Betroffene sollten ihr Konto sofort sperren, eine Strafanzeige erstatten, die Empfängerbank informieren und die Erstattung schriftlich bei ihrer Bank einfordern.
Wenn die Bank die Erstattung verweigert, sollten Verbraucher:innen eine Schlichtungsstelle einschalten oder rechtliche Schritte mit einem Anwalt prüfen.
Wer unberechtigte Inkassoforderungen oder Schufa-Einträge erhält, sollte diesen widersprechen.

Fragen zur Rechtslage

Ich kann mir nicht erklären, wieso die Zahlung ausgelöst wurde. Bekomme ich trotzdem mein Geld zurück?

Wenn Sie eine Überweisung oder eine Kreditkartentransaktion nicht selbst veranlasst und autorisiert haben, muss der Zahlungsdienstleister (in der Regel die Bank oder das Kreditkartenunternehmen) den Zahlungsbetrag grundsätzlich unverzüglich erstatten (§ 675u BGB).

Die Bank behauptet, dass ich die Transaktion veranlasst haben muss und verweigert die Erstattung. Darf sie das?

Ist streitig, wer die Transaktion ausgelöst und den Vorgang autorisiert hat, gilt folgendes: Der Zahlungsdienstleister muss beweisen, dass eine Authentifizierung stattgefunden hat. Das heißt, er muss erstens nachweisen, dass er die Nutzung des Zahlungsinstruments einschließlich seiner Sicherheitsmerkmale (PIN/TAN) überprüft hat und zweitens weitere Beweismittel vorlegen. Konkret verlangt § 675w BGB, dass der Zahlungsdienstleister unterstützende Beweismittel vorlegen muss, um Betrug, Vorsatz oder grobe Fahrlässigkeit des Zahlungsdienstnutzers nachzuweisen.

Es wurde die richtige PIN verwendet, daher wirft mir meine Bank vor, Sorgfaltspflichten verletzt zu haben. Darf Sie deshalb eine Erstattung verweigern?

Nein, da macht es sich die Bank zu einfach. Behauptet der Zahlungsdienstleister, dass Sie die Kontoverfügung durch Verletzung Ihrer Sorgfaltspflichten oder durch grob fahrlässiges Verhalten herbeigeführt haben, muss er dies ebenfalls beweisen (BGH, Az. XI ZR 91/14). Nach dem Gesetz reicht die bloße Nutzung eines Zahlungsinstruments und die damit verbundene Authentifizierung (z.B. Eingabe der PIN) nicht aus, um nachzuweisen, dass Sie als Zahler einen Zahlungsvorgang autorisiert haben oder ihre Pflichten verletzt haben (dazu auch BGH, BGH, Az. XI ZR 107/22).

Was muss die Bank tun, um mir grob fahrlässiges Fehlverhalten nachzuweisen?

Die Hürden für diese Nachweiserbringung durch die Bank hat der BGH sehr hoch angesetzt:

"Grobe Fahrlässigkeit erfordert einen in objektiver Hinsicht schwer und in subjektiver Hinsicht schlechthin unentschuldbaren Verstoß gegen die Anforderungen der konkret erforderlichen Sorgfalt".

Grob fahrlässig bedeutet vereinfacht: Jeder hätte sofort erkannt, dass man das nicht machen darf. Die Erfahrung der Verbraucherzentralen zeigt aber, dass sich Banken oft nicht an diese gesetzliche Vorgabe halten. Sie wimmeln die Betrugsopfer ab, ohne ihnen grobe Fahrlässigkeit nachzuweisen. Ist das Konto durch die unberechtigte Verfügung überzogen, kassieren sie auch noch hohe Dispozinsen.

Welche Sorgfaltspflichten muss ich beachten?

Sie müssen sicherstellen, dass keine unbefugten Dritten auf ihre Zahlungsinstrumente und personalisierte Sicherheitsmerkmale zugreifen können (§ 675l BGB). Dazu gehört, dass sie niemand bei der Eingabe der Karten-PIN beobachten kann. Außerdem müssen Ihr Computer und Ihr Smartphone nach dem aktuellen Stand der Technik gesichert sein (Updates, Schutz gegen Schadsoftware). Zudem dürfen Sie eine Transaktionsnummer (TAN) nicht an Dritte weitergeben, außer in den von der Bank in ihren Geschäftsbedingungen vorgesehenen Ausnahmefällen.
Die Stiftung Warentest hat einige Gerichtsverfahren sehr anschaulich beschrieben und hier veröffentlicht. Dort finden Sie auch Anwaltskanzleien, die Erfahrung mit solchen Fällen haben. Es gibt Betrugsmaschen, bei denen die Gerichte entschieden haben, dass die Kunden sie hätten erkennen müssen und dass sie grob fahrlässig gehandelt hätten. In anderen Fällen haben Gerichte dagegen die Bank verurteilt, den Schaden zu ersetzen. Entscheidend ist immer der konkrete Ablauf im Einzelfall.

Vertiefende Hinweise:

Im Streitfall können Sie sich, gegebenenfalls in Absprache mit Ihrem Anwalt, auch auf die Delegierte Verordnung (EU) 2018/389 der EU Kommission berufen, insbesondere auf folgende Regelungen:

„Das Authentifizierungsverfahren sollte generell Transaktionsüberwachungsmechanismen enthalten, um Versuche zur Verwendung der personalisierten Sicherheitsmerkmale eines Zahlungsdienstnutzers, die verloren, gestohlen oder missbräuchlich verwendet wurden, zu erkennen; außerdem sollte das Authentifizierungsverfahren sicherstellen, dass es sich bei dem Zahlungsdienstnutzer um den legitimen Nutzer handelt, der somit durch die normale Verwendung der personalisierten Sicherheitsmerkmale seine Zustimmung für den Transfer von Geldbeträgen und den Zugang zu seinen Kontoinformationen erteilt.“ (Absatz 1 der Erwägungsgründe)
„Angesichts der sich ständig ändernden Betrugsmethoden sollten die Erfordernisse für eine starke Kundenauthentifizierung innovative technische Lösungen ermöglichen, mit denen neu aufkommenden Bedrohungen der Sicherheit elektronischer Zahlungen begegnet werden kann.“ (Absatz 2 der Erwägungsgründe)
„Um die Durchführung einer starken Kundenauthentifizierung zu gewährleisten, müssen ebenfalls angemessene Sicherheitsmerkmale für die Elemente der starken Kundenauthentifizierung verlangt werden: für Elemente der Kategorie Wissen (etwas, das nur der Nutzer weiß), wie Länge oder Komplexität, für Elemente der Kategorie Besitz (etwas, das nur der Nutzer besitzt), wie Algorithmusspezifikationen, Schlüssellänge und Informationsentropie, und für Geräte und Software, die Elemente der Kategorie Inhärenz (etwas, das der Nutzer ist) lesen, wie Algorithmusspezifikationen, biometrischer Sensor und Funktionen für den Schutz biometrischer Templates, insbesondere, um das Risiko zu mindern, dass diese Elemente von Unbefugten aufgedeckt, offengelegt und verwendet werden. Ferner ist die Festlegung von Anforderungen notwendig, um sicherzustellen, dass diese Elemente voneinander unabhängig sind, sodass die Nichterfüllung eines Elements die Zuverlässigkeit der anderen nicht infrage stellt, vor allem, wenn diese Elemente von einem Mehrzweckgerät verwendet werden, d. h. von Geräten wie einem Tablet oder einem Mobiltelefon, die sowohl für die Erteilung der Anweisung zur Ausführung der Zahlung als auch für den Authentifizierungsprozess verwendet werden können.“ (Absatz 6 der Erwägungsgründe)
„Die Zahlungsdienstleister stellen sicher, dass die Transaktionsüberwachungsmechanismen zumindest alle nachstehend genannten risikobasierten Faktoren einbeziehen: a) Liste der missbräuchlich verwendeten oder gestohlenen Authentifizierungselemente; b) Betrag eines jeden Zahlungsvorgangs; c) bekannte Betrugsszenarien bei der Erbringung von Zahlungsdienstleistungen; d) Anzeichen für eine Malware-Infektion bei einer Sitzung während des Authentifizierungsverfahrens; e) falls das Zugangsgerät oder die Zugangssoftware vom Zahlungsdienstleister bereitgestellt wird, ein Protokoll über die Nutzung des Zugangsgeräts oder der Zugangssoftware, die dem Zahlungsdienstnutzer zur Verfügung gestellt werden, sowie über die ungewöhnliche Nutzung dieses Geräts oder der Software.“ (Artikel 2: All-gemeine Anforderungen an die Authentifizierung)
„Zahlungsdienstleister dürfen unter Einhaltung der in Artikel 2 sowie in Absatz 2 des vorliegenden Artikels festgelegten Anforderungen davon absehen, eine starke Kundenauthentifizierung zu verlangen, wenn ein Zah-lungsdienstnutzer nur auf eine oder beide der folgenden Informationen online zugreifen kann, ohne dass dabei sensible Zahlungsdaten offengelegt werden: a) Kontostand eines oder mehrerer bezeichneter Zahlungskonten; b) Zahlungsvorgänge, die in den vergangenen 90 Tagen über ein oder mehrere bezeichnete Zahlungskonten ausgeführt wurden.“( Artikel 10:Zahlungskontoinformationen)

Sofortmaßnahmen im Notfall

Wenn Sie befürchten, dass Betrüger:innen Zugriff auf Ihr Konto haben, prüfen Sie folgende Sofortmaßnahmen:

Konto oder Kreditkarte sperren
Sperren Sie das Konto beziehungsweise die Kreditkarte sofort, wenn Sie sicher sind, dass Sie die Buchungen nicht selbst veranlasst haben. Als erstes müssen Sie sich informieren, ob Ihr Kreditinstitut am zentralen Sperrnotruf 116 116 (aus dem Ausland +49 116 116 oder +49 30 4050 4050) teilnimmt. Leider gibt es Kreditinstitute, bei denen das nicht der Fall ist. Suchen Sie daher in einem Internet-Browser nach dem Namen Ihres Kreditinstituts und „Konto sperren“. Sie gelangen dann in der Regel direkt zu allen Kontaktmöglichkeiten Ihres Instituts.
Strafanzeige stellen
Am schnellsten geht das online. Beschreiben Sie genau, was passiert ist und laden Sie Screenshots und betrügerische Nachrichten hoch. Spekulieren Sie nicht über mögliche Ursachen, bleiben Sie bei den Ihnen bekannten Fakten. Für Sie ist zunächst nur wichtig, dass Sie Anzeige erstattet haben. Das Aktenzeichen teilen Sie dann umgehend Ihrem Kreditinstitut mit. Hier gelangen Sie zur Online-Wache Ihres Bundeslandes.
Nur bei Überweisungen: Empfängerbank informieren
Überweisungen können nach der Auftragserteilung nur in Ausnahmefällen und nur dann gestoppt werden, wenn Sie schnell handeln und die beteiligten Banken mithelfen. Wenn Sie noch Zugriff auf Ihr Konto haben und sehen können, auf welches Konto die Betrüger das Geld überwiesen haben, können Sie folgendes tun: Anhand der IBAN können Sie die Empfängerbank ermitteln (dazu gibt es IBAN-Rechner, zum Beispiel hier. Anschließend können Sie sich mit der Empfängerbank in Verbindung setzen. Die Kontaktdaten finden Sie auf der Homepage der Bank. Geben Sie das polizeiliche Aktenzeichen und die Überweisungsdaten an und weisen Sie auf den Betrug hin. Die Empfängerbank kann dann geeignete Schritte prüfen, um das Konto wegen Geldwäscheverdachts zu sperren. Im besten Fall kann so die Gutschrift auf dem Empfängerkonto verhindert und der Betrag zurückgeholt werden.
Melden Sie Ihre Ansprüche an
Fordern Sie von Ihrem Zahlungsdienstleister, also Ihrer Bank oder Sparkasse, das Geld zurück, das die Betrüger:innen von Ihrem Konto abgebucht haben. Geben Sie an, welche Buchungen Sie nicht selbst veranlasst haben. Melden Sie Ihre Ansprüche schriftlich oder per E-Mail an, damit Sie einen Beweis für Ihre Beschwerde haben. Vermeiden Sie es, in dieser Angelegenheit mit Ihrem Zahlungsdienstleister zu telefonieren, denn häufig verfügen die ohnehin schwer erreichbaren Mitarbeiterinnen und Mitarbeiter in den Call-Centern weder über die notwendige fachliche und rechtliche Kompetenz noch über die Entscheidungskompetenz, um Ihrem Anliegen vollumfänglich nachzukommen. Geben Sie dem Anbieter drei Wochen Zeit, Ihnen das Geld wieder gutzuschreiben. Verlangen Sie, dass die Gutschrift mit Wertstellung des Belastungsdatums erfolgt. Damit ist sichergestellt, dass Sie eventuelle Guthabenzinsen erhalten beziehungsweise bei einem überzogenen Konto keine Überziehungszinsen anfallen.

Die Bank mauert? Wie Sie zu Ihrem Recht kommen

Wenn Ihr Zahlungsdienstleister trotz Ihrer Beschwerde das zu Unrecht abgebuchte Geld nicht zurückerstattet, können Sie Folgendes tun:

Schlichtungsstelle einschalten
Welche Schlichtungsstelle oder Kundenbeschwerdestelle für Ihren Anbieter zuständig ist, erfahren Sie im Impressum auf der Internetseite des Anbieters. Alternativ stellt die BaFin eine Übersicht mit Ansprechpartnern zur Verfügung, die aber nur dann hilfreich ist, wenn Sie genau wissen, welcher Schlichtungsstelle Ihr Anbieter beigetreten ist. Sollte auch die Schlichtungsstelle keinen für Sie akzeptablen Vorschlag unterbreiten, bleibt Ihnen nur der Rechtsweg.
Anwalt einschalten
Nach den Erfahrungen der Verbraucherzentralen können Betrugsopfer ihre Schadensersatzansprüche oft nur mit Hilfe eines Rechtsanwalts durchsetzen. Dieser wird die Erfolgsaussichten prüfen und gegebenenfalls das Kreditinstitut auffordern, das behauptete grob fahrlässige Verhalten des Kontoinhabers nachzuweisen. Bei der Suche nach einem Rechtsanwalt können Sie die Datenbanken der örtlichen Rechtsanwaltskammern nutzen oder sich an einen auf diesem Gebiet erfahrenen Rechtsanwalt wenden. Hinweise dazu finden Sie bei der Stiftung Warentest.

So wehren Sie sich gegen Inkassoforderungen und Schufa-Einträge

Wenn Sie die Autorisierung bestritten haben, aber dennoch eine Forderung von einem Inkassobüro erhalten, sollten Sie auch dieser Forderung erneut widersprechen. Weisen Sie das Inkassobüro darauf hin, dass die Forderung bereits gegenüber dem Kreditinstitut bestritten wurde. Inkassodienste dürfen zwar ankündigen, dass bei nicht fristgerechter Zahlung die Schufa oder eine andere Auskunftei informiert wird. Diese Ankündigung ist aber nur zulässig, wenn die Forderung tatsächlich besteht und Sie ihr nicht widersprochen haben.

Droht Ihnen ein Inkassodienst trotz bestrittener Forderung mit einem Schufa-Eintrag oder einer Verschlechterung Ihrer Bonität, schalten Sie Ihre Verbraucher-zentrale ein. Unzulässig ist zum Beispiel folgende Drohung: „Sorgen Sie für eine fristgerechte Zahlung, um […]Auswirkungen auf Ihre Kreditwürdigkeit zu vermeiden.“ Aus dieser Drohung ergibt sich nicht, dass nur unbestrittene Forderungen eingetragen werden dürfen. Die Verbraucherzentralen können eine Abmahnung oder Unterlassungsklage gegen den Inkassodienst und gegebenenfalls auch gegen den Zahlungsdienst prüfen.

Der Inkasso-Dienst darf für eine bestrittene Forderung auch keine Gebühren verlangen.

Ist eine bestrittene Forderung bei einer Auskunftei wie der Schufa eingetragen, haben Sie das Recht, den Eintrag löschen zu lassen. Informieren Sie auch in diesem Fall Ihre Verbraucherzentrale, damit diese eventuelle Unterlassungsansprüche gegen den Zahlungsdienstleister prüfen kann, der den unzulässigen Eintrag veranlasst hat.

Was bei einem Identitätsdiebstahl noch zu beachten ist, lesen Sie in diesem gesonderten Artikel.

Aufsichtsbehörde BaFin informieren
Aufgrund der zunehmenden Fälle von Konto- und Kartenmissbrauch bitten wir Sie, Betrugsfälle auch der zuständigen Aufsichtsbehörde, der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin), zu melden.

Nur wenn die BaFin auch über aktuelle Methoden informiert ist, kann sie diese Informationen nutzen, um im Rahmen der Überwachung des Risikomanagements der Kreditinstitute festgestellte Mängel beseitigen zu lassen. Grundsätzlich analysieren alle Kreditinstitute die Kontobewegungen ihrer Kundinnen und Kunden. Sie können ungewöhnliche Verfügungen erkennen und im Rahmen des Risikomanagements stoppen. Wir gehen davon aus, dass Ihre Beschwerde dazu beitragen kann, die Überwachung des Risikomanagements zu verbessern.

Verwenden Sie dazu dieses Beschwerdeformular. Geben Sie an, dass Sie sich darüber beschweren, dass das Risikomanagement Ihrer Bank den Betrug nicht erkannt hat, obwohl es ihn hätte erkennen können. Erklären Sie, was an der Kontobewegung ungewöhnlich war, da Sie solche Transaktionen nie veranlasst haben. Zum Beispiel:
- Transaktion in der Nacht,
- mehrere Transaktionen kurz hintereinander,
- die Einrichtung eines neuen Zahlungsauthentifizierungsinstruments (z.B. Google Pay, Apple Pay, eine neue App),
- mit anschließend hohen Kontoverfügungen.

Weisen Sie gerne darauf hin, dass die Verbraucherzentrale Ihnen geraten hat, die BaFin einzuschalten.

Verbraucherzentrale einschalten
Wenn Sie unsicher sind, wie Sie weiter vorgehen sollen, können Sie sich gerne von den Experten in den Verbraucherzentralen vor Ort beraten lassen. Wir werden auch prüfen, ob wir Sie darin unterstützen können, Ihre Interessen gegen den Zahlungsdienstleister oder gegen einen Inkassodienst durchzusetzen.

Sie können unsere politische Arbeit unterstützen, indem Sie uns über den Ausgang Ihres Falles berichten. Anhand Ihrer Erfahrungen beobachten wir das Verhalten der Kreditinstitute und setzen uns beim Gesetzgeber für ein sicheres Online-Banking ein.

Kreditinstitute sind für sicheres Online-Banking verantwortlich!

Zahlungsdienstleister, wie Banken und Sparkassen, stehen in der Verantwortung, ausschließlich technisch einwandfreie Systeme anzubieten, die Missbrauch verhindern. Dies ist bislang nicht der Fall. Kundinnen und Kunden müssen sich jedoch darauf verlassen können, dass ihre Ersparnisse sicher vor Betrug geschützt sind. Die Verbraucherzentralen fordern deshalb:

Der Gesetzgeber sollte Zahlungsdienstleister stärker in die Pflicht nehmen und deren Sorgfaltspflichten konkreter definieren.
Zahlungsdienstleister sollten stärker ihre Möglichkeiten ausschöpfen, um betrügerische Überweisungen zu identifizieren und rechtzeitig zu stoppen.
Zahlungsdienstleister sollten verpflichtet werden, Schutzmaßnahmen (wie Überweisungslimits) so auszugestalten, dass Verbraucher:innen sich darauf verlassen können – und Betrüger sie nicht einfach unterlaufen können.