Nicht autorisierter Kauf: Rechte bei Kontomissbrauch

Ein nicht autorisierter Kauf ist für Betroffene häufig mehr als eine lästige Fehlbuchung. Plötzlich erscheint eine Bestellung im eigenen Kundenkonto, eine Kreditkarte wird belastet, ein Zahlungsdienst bestätigt einen Kauf oder ein Händler verlangt Geld für Waren, die nie bestellt wurden. Rechtlich treffen dabei mehrere Ebenen aufeinander: die Frage, ob überhaupt ein Kaufvertrag zustande gekommen ist, die Rückerstattung einer nicht autorisierten Zahlung und mögliche strafbare Handlungen wie Betrug oder Identitätsmissbrauch.

Grundsätzlich müssen Verbraucherinnen und Verbraucher für einen Kauf, den sie nicht selbst veranlasst oder einer anderen Person erlaubt haben, nicht ohne Weiteres einstehen. Entscheidend ist jedoch, wie der Vorgang technisch und tatsächlich abgelaufen ist, welche Zugangsdaten genutzt wurden, ob Sicherheitsobliegenheiten verletzt wurden und wie schnell der Vorfall gemeldet wird. Auch Händler, Banken und Zahlungsdienste prüfen solche Fälle nicht einheitlich. Wer vorschnell nur widerruft, Mahnungen ignoriert oder Belege löscht, erschwert die spätere Durchsetzung eigener Rechte. Der folgende Beitrag ordnet die wichtigsten rechtlichen Fragen, Fristen, Beweise und Handlungsschritte ein.

Inhaltsverzeichnis

1. Was bedeutet ein nicht autorisierter Kauf?
2. Nicht autorisierter Kauf: gesetzliche Grundlagen im Überblick
3. Abgrenzung zu Widerruf, Gewährleistung, Fehlbuchung und Betrug
4. Typische Fallkonstellationen aus der Praxis
5. Rechte gegenüber Bank, Kreditkartenanbieter, Zahlungsdienst und Händler
6. Risiken, Haftung und typische Fehler
7. Fristen, Verjährung und wichtige Reaktionszeiten
8. Beweisfragen und Dokumentation: Was Betroffene sichern sollten
9. Handlungsschritte nach einem nicht autorisierten Kauf
10. Wenn Mahnungen, Inkasso oder Bonitätseinträge drohen
11. Besondere Fälle: Minderjährige, Angehörige und Unternehmenskonten
12. Datenschutz und Identitätsmissbrauch nach unberechtigten Bestellungen
13. … und 2 weitere Abschnitte

Was bedeutet ein nicht autorisierter Kauf?

Ein nicht autorisierter Kauf liegt vor, wenn eine Bestellung oder ein Erwerb unter dem Namen, über das Konto, mit der Karte oder über das Kundenprofil einer Person ausgelöst wird, ohne dass diese Person den Kauf selbst veranlasst oder genehmigt hat. Typisch sind Bestellungen in Online-Shops nach einem Konto-Hack, Käufe über gespeicherte Zahlungsdaten, missbrauchte Kreditkartendaten, unberechtigte PayPal-Zahlungen oder Bestellungen unter fremdem Namen auf Rechnung.

Der Begriff ist rechtlich nicht in einem einzigen Gesetz abschließend definiert. Er beschreibt vielmehr eine Sachverhaltsgruppe, die vertragsrechtliche, zahlungsdiensterechtliche, datenschutzrechtliche und strafrechtliche Fragen verbinden kann. Im Kern geht es darum, ob eine wirksame Willenserklärung zum Abschluss eines Kaufvertrags abgegeben wurde und ob eine Zahlung wirksam autorisiert war.

Ein Kaufvertrag setzt nach den allgemeinen Regeln des Bürgerlichen Gesetzbuchs ein Angebot und eine Annahme voraus. Wer gar nicht gehandelt hat, gibt grundsätzlich keine eigene Erklärung ab. Wurde die Bestellung von einer unbekannten dritten Person ausgelöst, fehlt es regelmäßig an einer eigenen Vertragserklärung der betroffenen Person. Allerdings kann es im Einzelfall komplizierter werden, wenn Familienangehörige Zugang hatten, ein Firmenkonto genutzt wurde, Zugangsdaten bewusst weitergegeben wurden oder das Verhalten nach außen so wirkt, als habe eine andere Person mit Berechtigung gehandelt.

Daneben ist die Zahlung gesondert zu betrachten. Selbst wenn ein Händler behauptet, es habe eine Bestellung gegeben, bedeutet das nicht automatisch, dass auch eine Belastung des Bankkontos, der Kreditkarte oder eines Zahlungsdienstkontos berechtigt war. Bei Zahlungsvorgängen kommt es vor allem darauf an, ob der Zahlungsvorgang im Sinne der §§ 675j ff. BGB autorisiert wurde.

Nicht autorisierter Kauf: gesetzliche Grundlagen im Überblick

Die rechtliche Bewertung beginnt mit dem allgemeinen Vertragsrecht. Nach §§ 145 ff. BGB kommt ein Vertrag nur zustande, wenn eine Person eine auf einen Vertragsschluss gerichtete Erklärung abgibt und die andere Seite diese annimmt. Wird eine Bestellung ausschließlich von einem Dritten unter fremdem Namen ausgelöst, ist die betroffene Person grundsätzlich nicht Vertragspartnerin geworden. Der Händler muss dann darlegen und im Streitfall beweisen, warum gerade diese Person den Vertrag abgeschlossen haben soll.

Eine wichtige Rolle spielt die Stellvertretung. Nach §§ 164 ff. BGB kann eine Person durch eine andere wirksam vertreten werden, wenn die handelnde Person eine Vertretungsmacht hat und im Namen der vertretenen Person handelt. Fehlt eine solche Vertretungsmacht, haftet nicht automatisch die Person, deren Name genutzt wurde. Denkbar sind aber Fallgruppen wie Duldungs- oder Anscheinsvollmacht, wenn jemand wiederholt zulässt, dass eine andere Person über das Konto bestellt, und Händler oder Plattform hierauf vertrauen durften. Diese Konstellationen sind einzelfallabhängig und werden häufig streitig.

Für die Zahlung gelten besondere Regeln des Zahlungsdiensterechts. Ein Zahlungsvorgang ist nur autorisiert, wenn die zahlende Person zugestimmt hat. Fehlt die Zustimmung, handelt es sich um einen nicht autorisierten Zahlungsvorgang. Nach § 675u BGB muss der Zahlungsdienstleister den Betrag grundsätzlich unverzüglich erstatten, wenn der Kunde den Vorgang bestreitet. Die Erstattung hat grundsätzlich spätestens bis zum Ende des folgenden Geschäftstags zu erfolgen, sobald der Zahlungsdienstleister informiert wurde oder anderweitig Kenntnis erlangt hat. Bei begründetem Betrugsverdacht gelten Ausnahmen.

Die Bank oder der Zahlungsdienstleister kann sich nicht allein darauf zurückziehen, dass eine Authentifizierung technisch protokolliert wurde. § 675w BGB regelt, dass die Nutzung eines Zahlungsinstruments und die Aufzeichnung einer Authentifizierung nicht ohne Weiteres beweisen, dass der Kunde die Zahlung autorisiert oder grob fahrlässig gehandelt hat. Praktisch bleibt die technische Dokumentation dennoch bedeutsam, weil sie Hinweise auf Gerät, IP-Adresse, TAN-Verfahren oder App-Freigabe geben kann.

Strafrechtlich können nicht autorisierte Käufe als Betrug nach § 263 StGB, Computerbetrug nach § 263a StGB, Ausspähen von Daten nach § 202a StGB oder Urkunden- beziehungsweise Datenfälschungsdelikte einzuordnen sein. Für die zivilrechtliche Rückerstattung ist eine Strafanzeige nicht immer Voraussetzung. Sie kann aber die Glaubhaftmachung unterstützen und ist insbesondere bei Identitätsmissbrauch sinnvoll.

Abgrenzung zu Widerruf, Gewährleistung, Fehlbuchung und Betrug

In der Praxis entstehen viele Fehler, weil verschiedene Rechtsbegriffe vermischt werden. Ein nicht autorisierter Kauf ist nicht dasselbe wie ein bereuter Kauf, ein mangelhafter Artikel oder eine versehentliche Doppelbelastung. Die richtige Einordnung entscheidet darüber, welche Fristen gelten, an wen die Erklärung zu richten ist und welche Beweise benötigt werden.

Der Widerruf setzt typischerweise voraus, dass überhaupt ein wirksamer Verbrauchervertrag im Fernabsatz geschlossen wurde. Wer den Kauf nicht veranlasst hat, sollte daher nicht vorschnell erklären, er widerrufe den Vertrag. Ein Widerruf kann im ungünstigen Fall so verstanden werden, dass die betroffene Person den Vertrag zunächst als eigenen Vertrag behandelt. Das bedeutet nicht, dass jede Widerrufserklärung automatisch schadet; rechtlich sauberer ist aber regelmäßig die Erklärung, dass kein Vertrag geschlossen und keine Zahlung autorisiert wurde.

Auch Gewährleistungsrechte passen nur, wenn die betroffene Person Käuferin oder Käufer geworden ist und es um Mängel der Ware geht. Bei einer unberechtigten Bestellung geht es dagegen zunächst um die fehlende Verpflichtung zur Zahlung und die Rückabwicklung einer Belastung.

Die Abgrenzung ist nicht nur sprachlich wichtig. Wer eine Belastung als bloße Fehlbuchung behandelt, obwohl ein Kundenkonto kompromittiert wurde, übersieht möglicherweise weitere Bestellungen oder hinterlegte Zahlungsdaten. Wer lediglich Strafanzeige erstattet, aber Bank und Händler nicht informiert, riskiert Mahnungen oder Verzögerungen bei der Erstattung. Umgekehrt führt eine Strafanzeige allein nicht automatisch dazu, dass eine Bank jeden Betrag endgültig zurückzahlt oder ein Händler seine Forderung ausbucht.

Besonders häufig ist die Mischform: Ein Dritter nutzt ein fremdes Kundenkonto, ändert die Lieferadresse, bestellt Ware und bezahlt mit gespeicherter Kreditkarte. In diesem Fall müssen Vertrag, Zahlung, Datenschutz und strafrechtliche Verfolgung parallel betrachtet werden. Betroffene sollten ihre Erklärungen deshalb klar formulieren: keine Bestellung veranlasst, keine Zahlung autorisiert, Zugang möglicherweise missbraucht, Forderung wird bestritten.

Typische Fallkonstellationen aus der Praxis

Nicht autorisierte Käufe treten in sehr unterschiedlichen Formen auf. Der rechtliche Ausgang hängt stark davon ab, wer Zugriff hatte, welche Sicherheitsverfahren genutzt wurden und ob die Ware an die betroffene Person, an einen Täter oder an eine Paketstation geliefert wurde. Die folgenden Beispiele zeigen typische Konfliktlinien, ohne eine Einzelfallprüfung zu ersetzen.

Häufig ist der klassische Konto-Hack im Online-Shop. Betroffene erhalten eine Bestellbestätigung für Elektronik, Gutscheine oder digitale Inhalte, obwohl sie nicht eingeloggt waren. Der Täter verwendet gespeicherte Zahlungsdaten und lässt die Ware an eine neue Adresse liefern. Hier spricht vieles dafür, dass weder ein eigener Kaufvertrag noch eine autorisierte Zahlung vorliegt. Schwieriger wird es, wenn die Lieferadresse die eigene Adresse ist oder die Ware von Familienangehörigen angenommen und verwendet wurde.

Eine weitere Fallgruppe betrifft Kreditkartenmissbrauch. Kartendaten werden im Internet abgegriffen oder über Phishing erlangt. Der Karteninhaber bemerkt die Belastung erst auf der Monatsabrechnung. Rechtlich ist zu prüfen, ob eine starke Kundenauthentifizierung genutzt wurde, ob der Karteninhaber Sicherheitsmerkmale grob fahrlässig offengelegt hat und ob die Reklamation innerhalb der maßgeblichen Fristen erfolgte.

Bei Zahlungsdiensten wie PayPal, Klarna, Apple Pay oder Google Pay stellt sich zusätzlich die Frage, ob der Account selbst kompromittiert wurde oder ob ein Händler eine Zahlung fehlerhaft zugeordnet hat. Plattforminterne Konfliktlösungen können hilfreich sein, ersetzen aber nicht zwingend gesetzliche Ansprüche gegen Zahlungsdienstleister oder die Abwehr einer Händlerforderung.

Auch Bestellungen auf Rechnung unter fremdem Namen sind praxisrelevant. Täter geben Name, Adresse und Geburtsdatum einer anderen Person an, lassen aber an eine abweichende Adresse liefern. Die betroffene Person erhält später Mahnungen oder Inkassoschreiben. Hier steht meist nicht die Rückzahlung im Vordergrund, sondern die Abwehr einer behaupteten Kaufpreisforderung und die Verhinderung negativer Bonitätseinträge.

In Familien und Wohngemeinschaften entstehen besondere Schwierigkeiten. Bestellt ein minderjähriges Kind In-App-Käufe, Spielinhalte oder Waren über das Konto der Eltern, ist zu prüfen, ob eine Einwilligung vorlag, ob die Eltern die Nutzung ermöglicht haben und ob Minderjährigenrecht eingreift. Eltern haften nicht automatisch für jede Bestellung eines Kindes. Gleichwohl können Zugangsdaten, gespeicherte Zahlungsmittel und fehlende Sperren für die rechtliche Bewertung relevant sein.

Bei Unternehmen geht es oft um Mitarbeitende, Diensthandys, Firmenkarten oder Beschaffungsportale. Überschreitet ein Mitarbeiter interne Befugnisse, kann das Unternehmen gegenüber dem Händler dennoch gebunden sein, wenn nach außen eine entsprechende Vertretungsmacht bestand. Handelt dagegen ein außenstehender Täter mit gestohlenen Zugangsdaten, stehen Missbrauch und Zahlungsautorisierung im Vordergrund.

Rechte gegenüber Bank, Kreditkartenanbieter, Zahlungsdienst und Händler

Betroffene sollten zwischen zwei Anspruchsrichtungen unterscheiden. Gegenüber dem Zahlungsdienstleister geht es um die Rückerstattung einer nicht autorisierten Zahlung. Gegenüber dem Händler geht es darum, eine vermeintliche Kaufpreisforderung zurückzuweisen oder eine bereits versandte Ware zu klären. Beide Ebenen können parallel laufen und sollten nicht gegeneinander ausgespielt werden.

Bei Banküberweisungen, Kreditkartenzahlungen, Lastschriften und Wallet-Zahlungen ist zunächst zu prüfen, ob ein Zahlungsdienst im Sinne des Zahlungsdiensterechts vorliegt. Wurde der Zahlungsvorgang nicht autorisiert, besteht grundsätzlich ein Anspruch auf Erstattung. Die Bank darf eine Erstattung nicht allein deshalb ablehnen, weil das richtige Passwort, eine TAN oder eine App-Freigabe verwendet wurde. Sie kann aber einwenden, die Kundin oder der Kunde habe vorsätzlich oder grob fahrlässig gegen Sicherheitsobliegenheiten verstoßen.

Grobe Fahrlässigkeit kann etwa in Betracht kommen, wenn TANs an eine vermeintliche Bankmitarbeiterin weitergegeben, Push-Freigaben ohne Prüfung bestätigt oder Zugangsdaten auf einer offensichtlich gefälschten Webseite eingegeben wurden. Allerdings ist die Grenze nicht schematisch. Phishing-Angriffe werden technisch und sprachlich immer professioneller. Ob ein Verhalten grob fahrlässig war, hängt von den konkreten Warnhinweisen, dem Ablauf, den Kenntnissen der betroffenen Person und der Ausgestaltung des Sicherheitsverfahrens ab.

Bei Kreditkarten wird oft von Chargeback gesprochen. Dieses Verfahren beruht teilweise auf Kartenregelwerken und internen Abläufen, daneben können gesetzliche Erstattungsansprüche bestehen. Betroffene sollten nicht nur mündlich anrufen, sondern den Vorgang schriftlich reklamieren, die streitige Buchung eindeutig bezeichnen und mitteilen, dass keine Autorisierung vorlag.

Gegenüber dem Händler ist die Lage anders. Der Händler kann ein berechtigtes Interesse daran haben, Missbrauch von bloßen Schutzbehauptungen zu unterscheiden. Er darf aber nicht ohne Weiteres davon ausgehen, dass die Person, deren Name verwendet wurde, auch Vertragspartnerin geworden ist. Betroffene können verlangen, dass der Händler darlegt, auf welcher Grundlage er einen Vertragsschluss annimmt. Relevant sind Bestelldaten, Lieferanschrift, E-Mail-Adresse, Telefonnummer, IP-Protokolle, Zustellnachweise und Zahlungsinformationen.

Wurde Ware geliefert, sollte diese nicht kommentarlos behalten oder weitergegeben werden. Wer Ware erhalten hat, die unberechtigt bestellt wurde, sollte den Händler informieren und eine Klärung der Rückgabe verlangen. Das gilt besonders, wenn die Ware hochwertig ist oder ein strafrechtlicher Verdacht besteht. Eigenmächtige Nutzung kann die eigene Rechtsposition schwächen.

Risiken, Haftung und typische Fehler

Das größte Risiko bei einem nicht autorisierten Kauf liegt oft nicht im ursprünglichen Betrag, sondern in der nachfolgenden Eskalation. Aus einer einzelnen Belastung können Mahnungen, Inkassokosten, Kontosperren, Rücklastschriftgebühren, negative Bonitätsmeldungen oder mehrere Folgekäufe werden. Außerdem besteht das Risiko, dass Bank, Händler oder Zahlungsdienst den Vorfall als vom Kunden selbst verursacht oder grob fahrlässig ermöglicht einordnen.

Eine Haftung kommt insbesondere dann in Betracht, wenn Zugangsdaten oder Zahlungsinstrumente unsorgfältig verwahrt wurden. Das bedeutet nicht, dass jeder Phishing-Fall automatisch zulasten der betroffenen Person geht. Die Rechtsprechung verlangt eine konkrete Bewertung. Entscheidend ist, ob Sicherheitsmerkmale bewusst weitergegeben wurden, ob Warnhinweise ignoriert wurden und ob der Angriff für eine verständige Person erkennbar war.

Bei Familien- und Unternehmenskonstellationen entstehen zusätzliche Haftungsrisiken. Wer anderen Personen dauerhaft Zugang zu einem Account ermöglicht, kann sich später nicht immer darauf berufen, jede einzelne Bestellung sei überraschend gewesen. Bei Unternehmen können interne Kompetenzgrenzen gegenüber Dritten unbeachtlich sein, wenn nach außen der Eindruck einer Berechtigung geschaffen wurde.

Typische Fehler sind vor allem:

• nur telefonisch zu reklamieren, ohne schriftlichen Nachweis der Meldung zu sichern,
• die Buchung als Widerruf zu behandeln, obwohl kein eigener Vertrag geschlossen wurde,
• Mahnungen oder Inkassoschreiben zu ignorieren, weil man selbst nicht bestellt hat,
• Passwörter erst Tage später zu ändern oder weitere gespeicherte Zahlungsdaten nicht zu prüfen,
• Bestellbestätigungen, SMS, E-Mails oder App-Mitteilungen zu löschen,
• eine Strafanzeige zu erstatten, aber Bank, Händler oder Zahlungsdienst nicht zu informieren,
• Ware zu behalten oder zu nutzen, obwohl der Kauf bestritten wird,
• bei einem gerichtlichen Mahnbescheid die Zwei-Wochen-Frist zu versäumen.

Auch Kostenfragen sollten realistisch eingeschätzt werden. Inkassokosten sind nicht schon deshalb berechtigt, weil ein Inkassobüro sie verlangt. Besteht kein Vertrag, fehlt regelmäßig auch die Grundlage für Nebenforderungen. Umgekehrt können Rechtsverfolgungskosten entstehen, wenn ein Streit eskaliert oder ein gerichtliches Verfahren notwendig wird. Ob diese Kosten ersetzt verlangt werden können, hängt davon ab, wer rechtlich verantwortlich ist, ob Verzug eingetreten ist und ob die Kosten erforderlich waren.

Ein weiteres Risiko betrifft die Kommunikation. Unklare Formulierungen wie ich möchte den Kauf stornieren können missverstanden werden. Besser ist eine eindeutige Erklärung: Die Bestellung wurde nicht von mir veranlasst, eine Bevollmächtigung lag nicht vor, die Zahlung wurde nicht autorisiert, die Forderung wird bestritten. Diese Klarheit hilft später auch bei Bank, Inkasso, Auskunfteien und Gericht.

Fristen, Verjährung und wichtige Reaktionszeiten

Bei einem nicht autorisierten Kauf sind mehrere Fristen zu unterscheiden. Manche sind gesetzlich geregelt, andere ergeben sich aus Vertragsbedingungen, Kartenregelwerken oder prozessualen Vorgaben. Wer die richtige Frist verpasst, verliert nicht automatisch in jedem Fall alle Rechte. Das Risiko steigt aber erheblich, insbesondere bei Zahlungsreklamationen und gerichtlichen Schreiben.

Für nicht autorisierte Zahlungsvorgänge gilt im Zahlungsdiensterecht, dass der Zahler den Zahlungsdienstleister unverzüglich nach Feststellung eines nicht autorisierten oder fehlerhaft ausgeführten Zahlungsvorgangs unterrichten muss. Außerdem sieht § 676b BGB vor, dass Ansprüche grundsätzlich ausgeschlossen sein können, wenn der Kunde den Zahlungsdienstleister nicht spätestens 13 Monate nach dem Tag der Belastung unterrichtet. Für Verbraucher ist diese Frist besonders wichtig, weil sie eine klare zeitliche Grenze bildet.

Bei Lastschriften ist zusätzlich zu unterscheiden, ob eine Lastschrift autorisiert war oder nicht. Autorisierte SEPA-Basislastschriften können grundsätzlich innerhalb von acht Wochen ohne Angabe von Gründen zurückgegeben werden. Bei nicht autorisierten Lastschriften kann eine längere Rückgabemöglichkeit bestehen, häufig bis zu 13 Monate. Die Bankpraxis und die genaue Mandatslage sollten im Einzelfall geprüft werden.

Kreditkarten-Chargebacks unterliegen häufig internen Fristen der Kartenorganisationen oder kartenausgebenden Institute. Diese können kürzer sein als gesetzliche Verjährungsfristen. Deshalb ist es praktisch sinnvoll, streitige Kreditkartenumsätze sofort nach Kenntnis schriftlich zu reklamieren und nicht erst auf die nächste Monatsabrechnung oder eine Reaktion des Händlers zu warten.

Gegenüber Händlern und Inkassobüros gibt es oft keine starre kurze Ausschlussfrist für das Bestreiten eines Vertragsschlusses. Trotzdem sollte unverzüglich reagiert werden. Schweigen ersetzt zwar grundsätzlich keine Zustimmung. Dennoch können durch Untätigkeit Nachteile entstehen, etwa weitere Mahnstufen, Kontosperrungen, Datenmeldungen oder Beweisprobleme.

Besonders ernst ist der gerichtliche Mahnbescheid. Wer einen Mahnbescheid erhält, muss innerhalb von zwei Wochen ab Zustellung Widerspruch einlegen, wenn die Forderung bestritten wird. Die Tatsache, dass der Kauf nicht autorisiert war, schützt nicht vor einem Vollstreckungsbescheid, wenn die Frist versäumt wird. Ein Vollstreckungstitel kann später nur noch unter erschwerten Bedingungen angegriffen werden.

Die regelmäßige zivilrechtliche Verjährungsfrist beträgt grundsätzlich drei Jahre und beginnt mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und die anspruchsberechtigte Person von den maßgeblichen Umständen Kenntnis erlangt oder ohne grobe Fahrlässigkeit erlangen müsste. Diese Regel hilft bei vielen Rückforderungs- oder Abwehrfragen, ersetzt aber keine kurzfristige Reklamation gegenüber Bank oder Zahlungsdienst.

Beweisfragen und Dokumentation: Was Betroffene sichern sollten

Beweisfragen entscheiden häufig darüber, ob ein nicht autorisierter Kauf schnell rückabgewickelt wird oder in einen längeren Streit mündet. Betroffene müssen zwar nicht beweisen, wer genau der Täter war. Sie sollten aber nachvollziehbar darlegen können, dass sie die Bestellung nicht ausgelöst und die Zahlung nicht autorisiert haben. Je früher Belege gesichert werden, desto besser lässt sich der Ablauf rekonstruieren.

Bei Zahlungsvorgängen trägt der Zahlungsdienstleister eine erhebliche Darlegungs- und Beweislast. Er muss unter anderem nachweisen, dass der Vorgang authentifiziert, ordnungsgemäß aufgezeichnet und nicht durch eine technische Störung beeinträchtigt wurde. Dennoch ist die eigene Dokumentation wichtig, weil Banken häufig Rückfragen stellen und bei Verdacht auf grobe Fahrlässigkeit den Erstattungsanspruch ablehnen können.

Gegenüber Händlern geht es meist um die Frage, ob die betroffene Person tatsächlich Vertragspartnerin geworden ist. Hier können Lieferadresse, Zustellnachweis, Bestellzeitpunkt und hinterlegte Kontaktdaten entscheidend sein. Eine Bestellung um drei Uhr nachts von einer unbekannten IP-Adresse an eine abweichende Lieferanschrift kann anders zu bewerten sein als eine Bestellung an die eigene Adresse über das eigene Gerät.

Folgende Nachweise sollten möglichst gesichert werden:

• Bestellbestätigungen, Rechnungen, Versandbenachrichtigungen und Stornierungsantworten,
• Kontoauszüge, Kreditkartenabrechnungen und Transaktionsdetails,
• SMS, Push-Mitteilungen, TAN-Anfragen und Sicherheitswarnungen,
• Screenshots aus Kundenkonten, Zahlungsdienstkonten und App-Verläufen,
• Angaben zu Lieferadresse, Paketstation, Sendungsnummer und Zustellnachweis,
• Kommunikation mit Händler, Bank, Zahlungsdienst, Plattform und Inkasso,
• Passwortänderungen, Sperrbestätigungen und Ticketnummern,
• Aktenzeichen einer Strafanzeige, falls Anzeige erstattet wurde.

Wichtig ist, Screenshots vollständig zu sichern. Datum, Uhrzeit, Absender, Transaktionsnummer und Kontobezeichnung sollten erkennbar sein. E-Mails sollten nicht nur als Screenshot, sondern möglichst als Datei oder Ausdruck mit Kopfzeilen gespeichert werden. Wer Belege strukturiert ablegt, kann später schneller reagieren, wenn ein Inkassobüro, eine Bank oder ein Gericht konkrete Angaben verlangt.

Handlungsschritte nach einem nicht autorisierten Kauf

Nach der Entdeckung eines nicht autorisierten Kaufs kommt es auf eine geordnete, nachvollziehbare Reaktion an. Es ist selten sinnvoll, ausschließlich einen Kanal zu nutzen. Bank, Zahlungsdienst, Händler und Plattform haben unterschiedliche Rollen. Die folgende Checkliste hilft, die wichtigsten Schritte zu priorisieren. Sie ersetzt keine Einzelfallprüfung, bietet aber eine belastbare Grundlage für die erste Reaktion.

1. Transaktion eindeutig identifizieren: Notieren Sie Betrag, Datum, Händlername, Bestellnummer, Zahlungsart und Buchungstext. Diese Angaben werden bei jeder Reklamation benötigt.
2. Zugang sofort sichern: Ändern Sie Passwörter betroffener Konten, aktivieren Sie Zwei-Faktor-Authentifizierung und prüfen Sie, ob E-Mail-Adresse, Telefonnummer oder Lieferanschrift verändert wurden.
3. Zahlungsmittel sperren oder begrenzen: Sperren Sie Karten, deaktivieren Sie gespeicherte Zahlungsmittel und kontaktieren Sie die Sperrhotline oder den Zahlungsdienst. Dokumentieren Sie Zeitpunkt und Bestätigung der Sperre.
4. Bank oder Zahlungsdienst unverzüglich schriftlich informieren: Bestreiten Sie die Autorisierung ausdrücklich. Verweisen Sie auf die konkrete Transaktion und bitten Sie um Erstattung beziehungsweise vorläufige Klärung.
5. Händler oder Plattform schriftlich anschreiben: Teilen Sie mit, dass Sie die Bestellung nicht veranlasst haben, keine Vollmacht bestand und eine Forderung bestritten wird. Fordern Sie Bestell- und Lieferdaten an.
6. Fristen überwachen: Notieren Sie insbesondere die 13-Monats-Frist bei nicht autorisierten Zahlungsvorgängen, interne Chargeback-Fristen und die Zwei-Wochen-Frist bei gerichtlichen Mahnbescheiden.
7. Beweise sichern: Speichern Sie E-Mails, Screenshots, Kontoauszüge, Push-Mitteilungen und Chatverläufe. Löschen Sie keine verdächtigen Nachrichten, bevor sie dokumentiert wurden.
8. Strafanzeige prüfen: Bei Identitätsmissbrauch, Konto-Hack, abweichender Lieferadresse oder mehreren Vorgängen ist eine Anzeige häufig sinnvoll. Das Aktenzeichen kann bei Händler und Bank helfen.
9. Mahnungen aktiv widersprechen: Antworten Sie auf Mahnungen und Inkassoschreiben sachlich. Bestreiten Sie Hauptforderung, Nebenforderungen und Vertragsschluss, soweit Sie nicht bestellt haben.
10. Auskunfteien im Blick behalten: Wenn eine Bonitätsmeldung droht oder erfolgt ist, verlangen Sie Auskunft und Berichtigung, sofern die Forderung bestritten oder unbegründet ist.
11. Ware nicht nutzen: Falls Ware ankommt, informieren Sie den Händler und klären Sie Rückgabe oder Sicherstellung. Eine Nutzung kann als widersprüchliches Verhalten ausgelegt werden.
12. Rechtliche Prüfung einholen, wenn der Streit eskaliert: Bei hohen Beträgen, abgelehnter Erstattung, Inkasso, Schufa-Androhung oder gerichtlichen Schreiben ist eine anwaltliche Bewertung sinnvoll.

Bei der Formulierung sollte zwischen Tatsachen und rechtlicher Bewertung getrennt werden. Statt lange Vermutungen über Täter anzustellen, genügt zunächst eine klare Darstellung: Ich habe den Kauf nicht ausgelöst, keine dritte Person bevollmächtigt, die Zahlung nicht autorisiert und den Zugang nach Kenntnis gesichert. Ergänzend können konkrete Auffälligkeiten genannt werden, etwa eine fremde Lieferadresse, ein unbekanntes Gerät oder eine ungewöhnliche Uhrzeit.

Wichtig ist außerdem, nicht auf eine einzige Antwort zu warten. Wenn der Händler schweigt, sollte dennoch die Bank informiert werden. Wenn die Bank prüft, sollte trotzdem einer Händlerforderung widersprochen werden. Die parallele Bearbeitung verhindert, dass Fristen oder Eskalationsstufen unbemerkt verstreichen.

Wenn Mahnungen, Inkasso oder Bonitätseinträge drohen

Viele Betroffene werden erst aktiv, wenn nach einem nicht autorisierten Kauf eine Mahnung oder ein Inkassoschreiben eintrifft. Dann ist der erste Ärger oft schon einige Wochen alt. Trotzdem sollte nicht vorschnell gezahlt werden, nur um Ruhe zu haben. Eine Zahlung kann zwar unter Vorbehalt erfolgen, wenn akute Nachteile drohen; rechtlich und praktisch ist aber meist zunächst ein klarer Widerspruch gegen die Forderung angezeigt.

Ein Inkassobüro hat keine weitergehenden Rechte als der angebliche Gläubiger. Es kann nur verlangen, was dem Händler tatsächlich zusteht. Wenn kein Kaufvertrag mit der betroffenen Person zustande gekommen ist, fehlt es an der Grundlage für Hauptforderung, Mahnkosten, Inkassokosten und Zinsen. Dennoch sollten Inkassoschreiben nicht ignoriert werden, weil sonst weitere Maßnahmen folgen können.

Der Widerspruch sollte schriftlich erfolgen und den Kernpunkt enthalten: Der Vertragsschluss wird bestritten, die Bestellung wurde nicht veranlasst, eine Bevollmächtigung lag nicht vor, eine Zahlung wurde nicht autorisiert. Zusätzlich sollte verlangt werden, die Forderung bis zur Klärung nicht an Auskunfteien zu melden. Bei bereits erfolgter Meldung kommen Auskunfts-, Berichtigungs- und Löschungsansprüche in Betracht, insbesondere wenn die Forderung bestritten und nicht tituliert ist.

Besondere Aufmerksamkeit verdient der gerichtliche Mahnbescheid. Er wird nicht inhaltlich geprüft, bevor er erlassen wird. Das Gericht kontrolliert also nicht, ob tatsächlich ein Kaufvertrag besteht. Wer nicht innerhalb von zwei Wochen widerspricht, riskiert einen Vollstreckungstitel. Deshalb sollte bei gelben Briefen vom Gericht sofort das Zustellungsdatum notiert und fristgerecht reagiert werden.

Auch telefonische Inkassogespräche sind problematisch. Sie führen selten zu einer verlässlichen Klärung und können zu missverständlichen Aussagen verleiten. Besser ist schriftliche Kommunikation mit Nachweis. Wer eine Einigung erwägt, sollte darauf achten, kein Schuldanerkenntnis abzugeben, wenn der Kauf weiterhin bestritten wird.

Besondere Fälle: Minderjährige, Angehörige und Unternehmenskonten

Nicht jeder nicht autorisierte Kauf stammt von unbekannten Tätern. Häufig handeln Kinder, Partner, Mitbewohner oder Mitarbeitende. Rechtlich sind diese Fälle anspruchsvoll, weil die Grenze zwischen Missbrauch, geduldeter Nutzung und wirksamer Bevollmächtigung fließend sein kann.

Bei Minderjährigen kommt es auf Geschäftsfähigkeit und Zustimmung an. Kinder unter sieben Jahren sind geschäftsunfähig. Minderjährige ab sieben Jahren können Verträge grundsätzlich nur mit Zustimmung der gesetzlichen Vertreter wirksam schließen, soweit nicht besondere Ausnahmen greifen. Der sogenannte Taschengeldparagraph erfasst nur Fälle, in denen die Leistung mit Mitteln bewirkt wird, die dem Minderjährigen zur freien Verfügung überlassen wurden. Hochpreisige Online-Käufe, Abo-Modelle oder In-App-Käufe über das Konto der Eltern sind damit nicht automatisch wirksam.

Eltern haften nicht allein deshalb, weil ihr Kind bestellt hat. Eine Haftung kann aber entstehen, wenn Aufsichtspflichten verletzt wurden oder wenn Zugangsdaten und Zahlungsmittel ohne jede Sicherung überlassen wurden. Auch hier ist die technische Ausgestaltung wichtig: War ein Passwort erforderlich? Gab es Kaufbestätigungen? Wurden Sperren oder Kinderschutzfunktionen aktiviert?

Bei Ehepartnern und Angehörigen wird häufig angenommen, eine Nutzung sei erlaubt gewesen. Das stimmt nicht pauschal. Wer gelegentlich ein gemeinsames Kundenkonto nutzt, ist nicht automatisch zu jeder Bestellung berechtigt. Umgekehrt kann eine über längere Zeit geduldete Nutzung den Einwand erschweren, eine bestimmte Bestellung sei völlig unautorisiert gewesen. Entscheidend sind Umfang, bisherige Praxis, Wert der Bestellung und Erkennbarkeit für den Händler.

Unternehmenskonten erfordern eine gesonderte Betrachtung. Intern kann genau geregelt sein, wer bis zu welchem Betrag bestellen darf. Gegenüber Dritten kommt es aber auch darauf an, welchen Rechtsschein das Unternehmen gesetzt hat. Wenn Mitarbeitende über offizielle Accounts, Firmen-E-Mail-Adressen und hinterlegte Zahlungsmittel bestellen, kann ein Händler eher von einer Berechtigung ausgehen als bei einem offensichtlichen Fremdzugriff. Unternehmen sollten deshalb Rollen, Freigabeprozesse, Kartenlimits und Protokollierungen klar organisieren.

Datenschutz und Identitätsmissbrauch nach unberechtigten Bestellungen

Ein nicht autorisierter Kauf wirft häufig auch Datenschutzfragen auf. Wenn ein Täter Name, Adresse, Geburtsdatum, Telefonnummer oder Zahlungsdaten verwendet, stellt sich die Frage, woher diese Daten stammen und ob weitere Konten betroffen sind. Die zivilrechtliche Forderungsabwehr sollte deshalb mit einer Prüfung der eigenen digitalen Identität verbunden werden.

Betroffene können gegenüber Unternehmen datenschutzrechtliche Auskunftsansprüche geltend machen. Nach Art. 15 DSGVO kann Auskunft darüber verlangt werden, welche personenbezogenen Daten verarbeitet werden, aus welchen Quellen sie stammen, zu welchen Zwecken sie genutzt werden und an wen sie übermittelt wurden. In Missbrauchsfällen kann dies helfen, Bestelldaten, Lieferadressen oder verwendete Kontaktinformationen zu klären. Allerdings ersetzt ein Auskunftsanspruch nicht die unmittelbare Reklamation einer Zahlung oder den Widerspruch gegen eine Forderung.

Wenn falsche Daten gespeichert sind, kommen Berichtigungsansprüche in Betracht. Wurde eine Forderung aus einem nicht autorisierten Kauf an Auskunfteien gemeldet, können zusätzlich Löschungs- oder Einschränkungsansprüche bestehen. Unternehmen dürfen bestrittene Forderungen nicht beliebig als offene Zahlungsstörung melden. Die Voraussetzungen für eine rechtmäßige Bonitätsmeldung sind streng und sollten im Streitfall konkret geprüft werden.

Praktisch sinnvoll ist zudem ein Identitätscheck. Dazu gehört die Prüfung, ob unbekannte Kundenkonten angelegt, E-Mail-Weiterleitungen eingerichtet, Telefonnummern geändert oder Passwörter mehrfach verwendet wurden. Gerade nach Phishing oder Datenlecks ist es möglich, dass Täter zunächst kleinere Testkäufe auslösen und später höhere Beträge versuchen.

Wer vermutet, dass Ausweisdaten missbraucht wurden, sollte besonders sorgfältig dokumentieren. Kopien von Ausweisen sollten nie unverschlüsselt versendet werden, wenn dies nicht erforderlich ist. Bei Behörden, Banken oder Mobilfunkanbietern können zusätzliche Sperr- und Sicherheitshinweise sinnvoll sein.

FAQ zum nicht autorisierten Kauf

Fazit: Rechte sichern, Fristen beachten und den Sachverhalt sauber trennen

Ein nicht autorisierter Kauf sollte rechtlich sauber von Widerruf, Gewährleistung und bloßer Fehlbuchung getrennt werden. Vorrangig sind drei Schritte: Zugang und Zahlungsmittel sichern, Bank oder Zahlungsdienst unverzüglich schriftlich informieren und gegenüber Händler oder Inkasso den Vertragsschluss klar bestreiten. Parallel sollten Belege vollständig dokumentiert und relevante Fristen notiert werden, insbesondere bei Zahlungsreklamationen und gerichtlichen Mahnbescheiden.

Ob eine Erstattung durchsetzbar ist oder eine Forderung abgewehrt werden kann, hängt vom konkreten Ablauf ab: verwendetes Konto, Sicherheitsverfahren, Lieferadresse, Verhalten nach Kenntnis und mögliche Berechtigungen Dritter. Pauschale Aussagen sind deshalb riskant. Wer strukturiert reagiert, keine widersprüchlichen Erklärungen abgibt und Nachweise früh sichert, verbessert die Ausgangslage erheblich. Bei hohen Beträgen, abgelehnter Erstattung, Identitätsmissbrauch oder drohenden Bonitätseinträgen sollte eine rechtliche Prüfung im Einzelfall erfolgen.