Wer zahlt, wenn Betrüger dein Konto leeren: Bank, Kunde oder beide

Ob deine Bank einen Betrugsschaden ersetzt, hängt vor allem an einer Frage: Hast du die Zahlung selbst in Auftrag gegeben oder nicht? Für Zahlungen, die Betrüger ohne deine Zustimmung ausgelöst haben, regelt das Bürgerliche Gesetzbuch eine Erstattungspflicht der Bank und eine eng begrenzte Haftung des Kunden. Wer dagegen selbst an einen Betrüger überwiesen hat, steht rechtlich deutlich schlechter. Was du in den ersten Minuten tun solltest, steht im Notfallplan nach Betrug.

Autorisiert oder nicht: die entscheidende Unterscheidung

Eine Zahlung wirkt dir gegenüber nur, wenn du ihr zugestimmt hast. Das Gesetz nennt diese Zustimmung Autorisierung ^[6]. Wie du zustimmst, legst du mit deiner Bank fest, zum Beispiel über PIN und TAN oder eine Freigabe in der Banking-App ^[6].

Daraus ergeben sich zwei typische Lagen. Im ersten Fall haben Betrüger deine Zugangsdaten abgefischt und überweisen selbst von deinem Konto, oder sie zahlen mit deinen gestohlenen Kartendaten. Diese Zahlungen hast du nicht autorisiert. Im zweiten Fall überweist du selbst, weil dich jemand getäuscht hat, etwa ein angeblicher Verkäufer oder ein vermeintlicher Anlageberater. Dann liegt eine Autorisierung vor, auch wenn sie auf einer Lüge beruht. Für diesen zweiten Fall gelten die Erstattungsregeln unten nicht.

Schwierig sind Mischfälle. Bei vielen Telefonbetrügereien bestätigt das Opfer in der App einen Vorgang, ohne zu wissen, dass damit eine Überweisung freigegeben wird. Ob das eine Autorisierung ist oder nur eine Pflichtverletzung, entscheiden Gerichte im Einzelfall. Der Bundesgerichtshof ging im unten beschriebenen Fall der am Telefon weitergegebenen TANs von einer nicht autorisierten Zahlung aus ^[8]. Das Oberlandesgericht Frankfurt ließ in einem solchen Fall offen, ob ein Anscheinsbeweis für eine Autorisierung durch den Kunden spricht, und entschied über die grobe Fahrlässigkeit ^[10].

Was die Bank bei nicht autorisierten Zahlungen erstatten muss

Bei einer nicht autorisierten Zahlung hat die Bank keinen Anspruch gegen dich auf Ersatz ihrer Aufwendungen ^[1]. Sie muss dir den Betrag unverzüglich erstatten und dein Konto so stellen, als hätte es die Belastung nie gegeben. Spätestens am Ende des Geschäftstags, der auf den Tag folgt, an dem sie von der Zahlung erfahren hat, muss das Geld zurück sein ^[1]. Eine Ausnahme sieht das Gesetz vor, wenn die Bank einer zuständigen Behörde berechtigte Gründe für den Verdacht schriftlich mitteilt, dass du betrügerisch gehandelt hast. Dann muss die Bank die Erstattung unverzüglich prüfen und vornehmen, wenn sich der Verdacht nicht bestätigt ^[1].

Am 15.10.2026 hat der Europäische Gerichtshof zur Zahlungsdiensterichtlinie der EU (Richtlinie 2015/2366) entschieden und die Erstattungspflicht gestärkt. Eine Kundin einer polnischen Bank hatte nach einem Phishing-Link ihre Zugangsdaten auf einer gefälschten Bankseite eingegeben, ein Dritter überwies daraufhin etwa 700 Euro von ihrem Konto ^[7]. Die Bank verweigerte die Erstattung mit dem Hinweis, die Kundin sei grob fahrlässig gewesen. Der Gerichtshof entschied, dass dieser Vorwurf die Bank nicht von der unverzüglichen Erstattung entbindet ^[7]. Die Bank muss zuerst zahlen. In einem zweiten Schritt kann sie den Verlust vom Kunden zurückverlangen, wenn sie nachweist, dass er vorsätzlich oder grob fahrlässig seine Pflichten verletzt hat ^[7]. Die einzige Ausnahme von der sofortigen Erstattung ist laut Gerichtshof ein Betrugsverdacht gegen den Kunden, den die Bank der Behörde schriftlich mitteilt ^[7]. Bisher konnte eine Bank dem Erstattungsanspruch einen Schadensersatzanspruch wegen grober Fahrlässigkeit entgegenhalten, so im BGH-Urteil vom 22.07.2025, das weiter unten beschrieben ist ^[8].

Wann du selbst haftest: 50 Euro oder der ganze Schaden

Ganz ohne eigenes Risiko bist du auch bei nicht autorisierten Zahlungen nicht. Beruht die Zahlung auf einer verlorenen, gestohlenen oder sonst abhandengekommenen Karte oder auf einem anderen Missbrauch, kann die Bank von dir bis zu 50 Euro verlangen ^[2]. Diese 50 Euro entfallen, wenn du den Verlust vorher nicht bemerken konntest oder wenn Personal der Bank oder ein von ihr beauftragter Dienstleister den Verlust verursacht hat ^[2].

Den gesamten Schaden trägst du, wenn du betrügerisch gehandelt hast oder wenn du vorsätzlich oder grob fahrlässig gegen deine Pflichten oder die vereinbarten Nutzungsbedingungen verstoßen hast ^[2]. Zu diesen Pflichten gehört, deine Sicherheitsmerkmale wie PIN und TAN mit allen zumutbaren Vorkehrungen vor Fremden zu schützen und Verlust oder Missbrauch unverzüglich zu melden ^[4].

Es gibt auch Fälle, in denen du gar nicht haftest. Hat die Bank keine starke Kundenauthentifizierung verlangt, also keine Bestätigung mit zwei unabhängigen Merkmalen, haftest du nicht, außer du hast selbst betrügerisch gehandelt ^[2]. Ebenso wenig haftest du für Zahlungen, die erst nach deiner Sperrmeldung mit dem Zahlungsmittel ausgeführt wurden ^[2]. Deshalb lohnt es sich, Datum und Uhrzeit der Sperre festzuhalten. Wie du sperrst, steht unter Karte und Konto sperren.

Was Gerichte als grob fahrlässig ansehen

Grob fahrlässig handelt nach dem Bundesgerichtshof, wer objektiv schwer und subjektiv nicht entschuldbar gegen seine Pflichten verstößt ^[8]. Ein Leitfall ist das Urteil vom 22.07.2025 (XI ZR 107/24). Eine Anruferin hatte sich als Mitarbeiterin der Sparkasse ausgegeben, auf dem Telefon erschien die Nummer der Sparkasse, und sie kannte den Namen der Sachbearbeiterin ^[8]. Die Kundin gab am Telefon TANs weiter, mit denen die Betrüger das Überweisungslimit erhöhten und 35.555 Euro überwiesen ^[8]. Der BGH sah den Erstattungsanspruch zwar grundsätzlich als gegeben an, die Sparkasse konnte ihm aber einen gleich hohen Schadensersatzanspruch wegen grober Fahrlässigkeit entgegenhalten ^[8]. Die angezeigte Rufnummer änderte daran nichts. Das Gericht wertete auch, dass die Kundin nach dem ersten Anruf fast einen ganzen Tag Zeit hatte, die Sache zu durchschauen, und dass die Sparkasse auf ihrer Website und im Online-Banking gewarnt hatte ^[8].

Ähnlich entschied das Oberlandesgericht Frankfurt am 06.12.2023 (3 U 3/23). Ein Kunde hatte nach einer gefälschten SMS und einem Anruf in seiner PushTAN-App mehrere Vorgänge bestätigt, darunter die Erhöhung des Tageslimits. Von seinem Konto gingen 49.999,99 Euro per Echtzeitüberweisung ab ^[10]. Das Gericht wertete sein Verhalten als grob fahrlässig und berücksichtigte dabei, dass er als Anwalt und Steuerberater geschäftserfahren war ^[10].

Die Urteile zeigen, wie stark der Einzelfall zählt: wie viel Zeit zum Nachdenken blieb, welche Warnungen die Bank gegeben hatte, was in der App angezeigt wurde und wer der Kunde ist. In beiden beschriebenen Fällen bewerteten die Gerichte das Verhalten der Kunden als grob fahrlässig.

Wer was beweisen muss

Bestreitest du, eine Zahlung autorisiert zu haben, muss die Bank nachweisen, dass eine Authentifizierung stattgefunden hat und der Vorgang ordnungsgemäß aufgezeichnet und verbucht wurde ^[3]. Die bloße Aufzeichnung, dass deine Karte oder dein Zugang mit den richtigen Daten benutzt wurde, beweist allein noch nicht, dass du die Zahlung autorisiert oder grob fahrlässig gehandelt hast ^[3]. Will die Bank dir grobe Fahrlässigkeit vorhalten, muss sie unterstützende Beweismittel vorlegen ^[3].

Der Bundesgerichtshof hat am 26.01.2016 (XI ZR 91/14) dazu entschieden, dass bei einem Missbrauch des Online-Bankings kein Anscheinsbeweis für grobe Fahrlässigkeit des Kontoinhabers spricht ^[9]. Ein Anscheinsbeweis für die Autorisierung kommt nur in Betracht, wenn das Sicherungsverfahren praktisch nicht zu überwinden war und im Einzelfall richtig angewendet wurde und fehlerfrei funktioniert hat ^[9].

Wenn du die Überweisung selbst freigegeben hast

Hast du selbst an einen Betrüger überwiesen, ist die Zahlung autorisiert, und die Erstattungspflicht nach § 675u BGB greift nicht ^{[1, 6]}. Deine Bank kann dann nur versuchen, das Geld beim Empfänger zurückzuholen. Wie das geht und wie die Chancen stehen, beschreibt die Seite Geld vom Betrüger zurückfordern.

Seit Oktober 2025 gleichen Banken vor fast jeder SEPA-Überweisung in Euro den Namen des Empfängers mit der IBAN ab, auch bei Echtzeitüberweisungen ^[12]. Bei einer deutlichen Abweichung erscheint ein Warnhinweis. Wer trotz Warnung überweist, trägt das Risiko selbst ^[12]. Die Verbraucherzentrale schreibt dazu, die Bank hafte nur, wenn der Abgleich zuvor ausdrücklich ergeben hat, dass Name und IBAN zusammenpassen ^[12]. Gegen Phishing hilft der Abgleich nicht, wenn Kriminelle selbst Zugriff auf dein Konto haben ^[12].

Fristen, die du kennen musst

Einen nicht autorisierten oder fehlerhaften Zahlungsvorgang musst du deiner Bank unverzüglich melden, sobald du ihn bemerkst ^[5]. Hast du die Bank nicht spätestens 13 Monate nach dem Tag der Belastung informiert, sind deine Ansprüche gegen sie ausgeschlossen ^[5]. Diese Frist beginnt nur, wenn die Bank dich über die Zahlung informiert hat, etwa über den Kontoauszug ^[5]. Wer lange wartet, riskiert außerdem den Vorwurf, gegen die Meldepflicht verstoßen zu haben, die zu deinen Pflichten als Karteninhaber gehört ^[4].

So gehst du vor, wenn die Bank nicht zahlen will

Der Verbraucherzentrale Bundesverband hat 100 Meldungen von Betroffenen aus dem Zeitraum Mai bis November 2025 ausgewertet. Er kritisiert, dass Banken häufig mit Standardschreiben antworten, langsam bearbeiten und den Einzelfall nicht ausreichend würdigen ^[11]. Laut vzbv trugen Verbraucher in Deutschland nach Zahlen von EBA und EZB im Jahr 2024 bis zu 89 Prozent des Schadens selbst ^[11].

1. Verlange die Erstattung schriftlich und nenne § 675u BGB. Schildere den Ablauf genau, mit Datum, Uhrzeit und Beträgen.
2. Bitte die Bank, ihre Gründe und Belege zu nennen, falls sie dir grobe Fahrlässigkeit vorwirft. Die Beweislast liegt bei ihr ^{[3, 7]}.
3. Füge die Bestätigung deiner Anzeige bei. Wie du Anzeige erstattest, steht unter Betrug anzeigen.
4. Lehnt die Bank ab, wende dich an die Schlichtungsstelle ihres Verbands. Für private Banken ist das der Ombudsmann beim Bundesverband deutscher Banken, für Sparkassen die Schlichtungsstelle beim DSGV, für Volks- und Raiffeisenbanken die Kundenbeschwerdestelle beim BVR, für öffentliche Banken die Stelle beim VÖB ^[13].
5. Ist deine Bank keiner dieser Stellen angeschlossen, ist die Schlichtungsstelle bei der Deutschen Bundesbank zuständig, unter anderem für Überweisungen, Lastschriften und Kartenzahlungen ^[14].
6. Bei hohen Beträgen hilft eine Anwältin oder ein Anwalt für Bankrecht. Ob eine Rechtsschutzversicherung die Kosten trägt, hängt vom Vertrag ab.

1. Gesetz § 675u BGB: Haftung des Zahlungsdienstleisters für nicht autorisierte Zahlungsvorgänge. Bundesministerium der Justiz. Stand ohne Datum. abgerufen am 29.10.2026
2. Gesetz § 675v BGB: Haftung des Zahlers bei missbräuchlicher Nutzung eines Zahlungsinstruments. Bundesministerium der Justiz. Stand ohne Datum. abgerufen am 29.10.2026
3. Gesetz § 675w BGB: Nachweis der Authentifizierung. Bundesministerium der Justiz. Stand ohne Datum. abgerufen am 29.10.2026
4. Gesetz § 675l BGB: Pflichten des Zahlers in Bezug auf Zahlungsinstrumente. Bundesministerium der Justiz. Stand ohne Datum. abgerufen am 29.10.2026
5. Gesetz § 676b BGB: Anzeige nicht autorisierter oder fehlerhaft ausgeführter Zahlungsvorgänge. Bundesministerium der Justiz. Stand ohne Datum. abgerufen am 29.10.2026
6. Gesetz § 675j BGB: Zustimmung und Widerruf der Zustimmung. Bundesministerium der Justiz. Stand ohne Datum. abgerufen am 29.10.2026
7. Behörde Pressemitteilung Nr. 147/26: Urteil in der Rechtssache C-70/25. Gerichtshof der Europäischen Union. Stand 15.10.2026. abgerufen am 29.10.2026
8. Behörde Urteil vom 22.07.2025, XI ZR 107/24: Erstattung nicht autorisierter Zahlungen, grobe Fahrlässigkeit bei der Weitergabe von TANs. Bundesgerichtshof. Stand 22.07.2025. abgerufen am 29.10.2026
9. Behörde Pressemitteilung Nr. 023/2016: Bundesgerichtshof entscheidet zu Beweisgrundsätzen bei streitigen Zahlungsaufträgen im Online-Banking (Urteil XI ZR 91/14). Bundesgerichtshof. Stand 26.01.2016. abgerufen am 29.10.2026
10. Organisation Zur Haftung der Bank für grob fahrlässig freigegebene Phishing-Aufträge (OLG Frankfurt, Urteil vom 06.12.2023, 3 U 3/23). Verbraucherzentrale Bundesverband. Stand 06.12.2023. abgerufen am 29.10.2026
11. Organisation Kontobetrug: Banken lassen Betroffene immer wieder im Stich. Verbraucherzentrale Bundesverband. Stand 21.04.2026. abgerufen am 29.10.2026
12. Organisation Neue Pflicht: Banken gleichen Name und IBAN bei Überweisungen ab. Verbraucherzentrale. Stand 01.09.2026. abgerufen am 29.10.2026
13. Behörde Verbraucherschlichtungsstellen. Bundesanstalt für Finanzdienstleistungsaufsicht. Stand ohne Datum. abgerufen am 29.10.2026
14. Behörde Schlichtungsstelle: Organisation und Zuständigkeit. Deutsche Bundesbank. Stand ohne Datum. abgerufen am 29.10.2026

Zuletzt geprüft am 30.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.