Unberechtigter Kontozugriff: Rechte, Haftung, Vorgehen

Ein unberechtigter Kontozugriff ist für Betroffene häufig mehr als eine einzelne verdächtige Abbuchung. Oft stehen dahinter Phishing, Schadsoftware, ausgespähte Zugangsdaten, manipulierte Zahlungsfreigaben oder ein Zugriff durch Personen aus dem näheren Umfeld. Rechtlich kommt es nicht nur darauf an, wer die Überweisung ausgelöst hat. Entscheidend ist vor allem, ob der Zahlungsvorgang wirksam autorisiert wurde, welche Sicherheits- und Mitwirkungspflichten verletzt sein könnten und welche Nachweise Bank und Kontoinhaber jeweils führen müssen.

Die Einordnung ist im Einzelfall anspruchsvoll. Während das Gesetz bei nicht autorisierten Zahlungsvorgängen grundsätzlich einen Erstattungsanspruch gegen den Zahlungsdienstleister vorsieht, können grobe Fahrlässigkeit, verspätete Anzeige, unternehmensinterne Freigaben oder eine tatsächlich erteilte Vollmacht die rechtliche Bewertung erheblich verändern. Betroffene sollten deshalb frühzeitig strukturiert vorgehen: Konto sperren, Belege sichern, Bank informieren, Strafanzeige prüfen und Fristen im Blick behalten. Der folgende Beitrag erläutert die wichtigsten rechtlichen Grundlagen, typische Streitpunkte und praktische Handlungsschritte bei einem unberechtigten Kontozugriff.

Inhaltsverzeichnis

Was bedeutet unberechtigter Kontozugriff rechtlich?
Gesetzliche Grundlagen: Autorisierung, Erstattung und Pflichten
Abgrenzung: unberechtigter Zugriff, autorisierte Zahlung und verwandte Fälle
Praxisrelevante Fallkonstellationen bei unberechtigtem Kontozugriff
Risiken, Haftung und typische Fehler
Fristen, Sperren und Verjährung: Welche Zeitpunkte zählen?
Beweise und Dokumentation: Was Betroffene sichern sollten
Handlungsschritte nach unberechtigtem Kontozugriff
Besonderheiten für Unternehmen, Vereine und berufliche Konten
Ansprüche gegen Bank, Empfänger und Täter
FAQ zum unberechtigten Kontozugriff
Fazit: unberechtigter Kontozugriff sorgfältig einordnen

Was bedeutet unberechtigter Kontozugriff rechtlich?

Von einem unberechtigten Kontozugriff spricht man, wenn eine Person ohne wirksame Berechtigung auf ein Konto, Online-Banking, eine Banking-App, eine Karte oder ein sonstiges Zahlungsinstrument zugreift. Der Begriff ist im Gesetz nicht als einheitlicher Tatbestand definiert. In der Praxis verbindet er mehrere Ebenen: den technischen Zugriff auf Kontodaten, die Nutzung von Zugangsmitteln und die Auslösung von Zahlungen oder sonstigen Verfügungen.

Rechtlich besonders relevant ist die Frage, ob eine Zahlung im Sinne des Zahlungsdiensterechts autorisiert wurde. Nach § 675j BGB ist ein Zahlungsvorgang nur wirksam autorisiert, wenn der Zahler dem Vorgang zugestimmt hat. Diese Zustimmung kann vor oder, wenn vereinbart, nach der Zahlung erfolgen. Fehlt eine solche Zustimmung, liegt grundsätzlich ein nicht autorisierter Zahlungsvorgang vor. Daraus können Erstattungsansprüche gegen die Bank oder einen anderen Zahlungsdienstleister folgen.

Der unberechtigte Zugriff muss aber nicht zwangsläufig zu einer Zahlung führen. Schon das Auslesen von Kontoinformationen, das Ändern von Zugangsdaten, das Anlegen eines neuen TAN-Verfahrens oder das Einrichten eines Dauerauftrags kann rechtlich erheblich sein. Neben zivilrechtlichen Ansprüchen kommen strafrechtliche Delikte in Betracht, etwa das Ausspähen von Daten nach § 202a StGB, Computerbetrug nach § 263a StGB, Fälschung beweiserheblicher Daten nach § 269 StGB oder Datenveränderung nach § 303a StGB. Welche Norm einschlägig ist, hängt vom Ablauf und vom Nachweis der Handlung ab.

Für Kontoinhaber ist wichtig: Nicht jeder Betrug rund um das Konto ist automatisch ein nicht autorisierter Zahlungsvorgang. Wenn ein Kunde eine Überweisung selbst freigibt, etwa weil er durch eine Täuschung hierzu veranlasst wurde, kann rechtlich eine autorisierte Zahlung vorliegen. Dann verschiebt sich der Schwerpunkt häufig auf Fragen der Anfechtung, der Rückverfolgung des Geldes, möglicher Warnpflichten der Bank oder Ansprüche gegen Täter und Zahlungsempfänger. Gerade diese Abgrenzung ist bei Phishing, Fake-Anrufen und manipulierten Push-TAN-Freigaben regelmäßig umstritten.

Gesetzliche Grundlagen: Autorisierung, Erstattung und Pflichten

Der zentrale rechtliche Rahmen findet sich in den §§ 675c ff. BGB. Diese Vorschriften setzen europäische Vorgaben zum Zahlungsverkehr um und regeln unter anderem, wann Zahlungsvorgänge wirksam sind, welche Pflichten Zahlungsdienstleister und Nutzer treffen und wer im Streitfall was beweisen muss. Für einen unberechtigten Kontozugriff sind vor allem die §§ 675j, 675l, 675u, 675v, 675w und 676b BGB bedeutsam.

§ 675j BGB knüpft die Wirksamkeit einer Zahlung an die Autorisierung. Wurde ein Vorgang nicht autorisiert, muss der Zahlungsdienstleister dem Zahler den Zahlungsbetrag nach § 675u BGB grundsätzlich unverzüglich erstatten und das belastete Zahlungskonto wieder auf den Stand bringen, auf dem es sich ohne den nicht autorisierten Vorgang befunden hätte. In der Praxis bedeutet dies häufig eine Rückbuchung oder Gutschrift. Allerdings prüft die Bank regelmäßig, ob der Kunde seine Sorgfaltspflichten verletzt hat oder ob ein Betrugsverdacht besteht.

§ 675l BGB verpflichtet den Zahlungsdienstnutzer, personalisierte Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen und den Verlust, Diebstahl, Missbrauch oder eine sonst nicht autorisierte Nutzung unverzüglich anzuzeigen, sobald er davon Kenntnis erlangt. Zu personalisierten Sicherheitsmerkmalen zählen zum Beispiel PIN, Passwort, TAN, biometrische Freigaben, Gerätebindungen oder App-Zugangsdaten. Welche Sorgfalt konkret verlangt wird, hängt vom eingesetzten Verfahren, den Bankbedingungen und den Umständen des Einzelfalls ab.

Die Haftung des Zahlers ist in § 675v BGB geregelt. Vor einer Sperranzeige kann eine begrenzte Haftung in Betracht kommen. Bei vorsätzlichem oder grob fahrlässigem Verstoß gegen Sicherheits- und Anzeigepflichten kann die Haftung deutlich weiter reichen. Andererseits haftet der Zahler grundsätzlich nicht, wenn der Zahlungsdienstleister eine starke Kundenauthentifizierung hätte verlangen müssen, diese aber nicht eingesetzt wurde, sofern kein betrügerisches Verhalten des Zahlers vorliegt. Nach einer ordnungsgemäßen Sperranzeige trägt der Zahler für weitere nicht autorisierte Zahlungen grundsätzlich keine Haftung, wiederum mit Ausnahme betrügerischen Handelns.

Für die Beweislast ist § 675w BGB besonders wichtig. Danach muss der Zahlungsdienstleister im Streitfall nachweisen, dass der Zahlungsvorgang authentifiziert, ordnungsgemäß aufgezeichnet und verbucht wurde und nicht durch eine technische Störung oder einen anderen Mangel beeinträchtigt war. Die bloße Nutzung von Online-Banking, Karte, PIN oder TAN genügt aber nicht automatisch als Beweis dafür, dass der Kontoinhaber die Zahlung autorisiert oder grob fahrlässig gehandelt hat. Genau an dieser Stelle entstehen viele Auseinandersetzungen mit Banken, weil technische Protokolle, Nutzungsverhalten und Warnhinweise unterschiedlich bewertet werden können.

Abgrenzung: unberechtigter Zugriff, autorisierte Zahlung und verwandte Fälle

Die rechtliche Bewertung hängt stark davon ab, welche Handlung genau stattgefunden hat. Ein unberechtigter Kontozugriff kann mit einer nicht autorisierten Überweisung zusammenfallen, muss es aber nicht. Ebenso kann ein Betrug vorliegen, obwohl die Zahlung im Zahlungsdiensterecht als autorisiert gilt. Für Betroffene ist diese Unterscheidung nicht nur theoretisch. Sie entscheidet darüber, ob primär ein Erstattungsanspruch gegen die Bank, ein Rückforderungsanspruch gegen den Empfänger, eine strafrechtliche Verfolgung oder eine Kombination mehrerer Schritte in Betracht kommt.

Typische Abgrenzungsprobleme entstehen bei Phishing-Seiten, gefälschten Bankanrufen, Fernwartungssoftware, Familienzugriffen, betrieblichen Freigabeprozessen und Lastschriften. Auch bei Kartenzahlungen ist zu unterscheiden, ob die Karte gestohlen, die Kartendaten kopiert oder eine Zahlung vom Karteninhaber selbst freigegeben wurde. Die folgende Übersicht zeigt, welche rechtliche Grundfrage jeweils im Mittelpunkt steht. Sie ersetzt keine Einzelfallprüfung, hilft aber bei der ersten Orientierung.

Konstellation	Typische Einordnung	Rechtlicher Schwerpunkt
Unbekannte Person loggt sich ins Online-Banking ein und überweist Geld	Häufig nicht autorisierter Zahlungsvorgang	Erstattung nach § 675u BGB, Haftung nach § 675v BGB, Beweislast nach § 675w BGB
Kunde gibt eine Push-TAN selbst frei, weil er einem Fake-Bankanruf glaubt	Umstritten: je nach Inhalt der Freigabe autorisiert oder nicht autorisiert	Täuschung, grobe Fahrlässigkeit, Warnpflichten, Rückverfolgung
SEPA-Lastschrift wird ohne wirksames Mandat eingezogen	Nicht autorisierte Lastschrift	Rückgabe, 13-Monats-Frist, Mandatsnachweis
Ehepartner nutzt bekannte PIN ohne ausdrückliche Erlaubnis	Abhängig von Vollmacht, Duldung und bisheriger Praxis	Innenverhältnis, Bankvollmacht, mögliche Strafbarkeit
Mitarbeiter löst Unternehmenszahlung außerhalb interner Vorgaben aus	Nach außen möglicherweise wirksam, intern pflichtwidrig	Vertretungsmacht, Compliance, arbeitsrechtliche und gesellschaftsrechtliche Haftung

Nach der ersten Einordnung sollte der tatsächliche Ablauf möglichst genau rekonstruiert werden. Wurde eine TAN für einen konkreten Betrag angezeigt? Stimmten Empfänger und Betrag mit der Anzeige überein? Gab es eine Geräteaktivierung, einen Anruf, eine SMS oder eine E-Mail? Wurden Login-Daten nur eingegeben oder wurde zusätzlich eine Zahlung freigegeben? Diese Details sind häufig entscheidend, weil Banken bei technisch ordnungsgemäßer Freigabe oft einwenden, der Kunde habe den Vorgang selbst bestätigt.

Besonders schwierig sind Fälle, in denen der Kunde zwar aktiv mitgewirkt hat, aber über den Zweck der Handlung getäuscht wurde. Wer zum Beispiel glaubt, eine Sicherheitsprüfung zu bestätigen, tatsächlich aber eine Echtzeitüberweisung freigibt, befindet sich rechtlich in einer Grauzone. Es kann darauf ankommen, wie transparent die Bank-App Empfänger, Betrag und Zweck angezeigt hat, ob ungewöhnliche Transaktionen erkennbar waren und ob Warnhinweise ausreichend konkret waren. Eine pauschale Aussage, jede TAN-Eingabe führe zur vollen Haftung, ist ebenso unzutreffend wie die Annahme, jede Betrugsmasche müsse automatisch von der Bank ersetzt werden.

Praxisrelevante Fallkonstellationen bei unberechtigtem Kontozugriff

In der anwaltlichen Praxis zeigen sich wiederkehrende Muster. Die technische Entwicklung verändert zwar die Angriffsmethoden, der rechtliche Kern bleibt jedoch häufig ähnlich: Täter versuchen, an Zugangsdaten oder Freigaben zu gelangen, während Banken prüfen, ob der Kunde Sicherheitsregeln verletzt hat. Für die Bewertung kommt es darauf an, ob der Angriff von außen erfolgte, ob der Kontoinhaber aktiv getäuscht wurde oder ob eine Person aus dem persönlichen oder geschäftlichen Umfeld gehandelt hat.

Ein häufiger Fall ist das klassische Phishing. Betroffene erhalten eine E-Mail oder SMS, die angeblich von ihrer Bank stammt. Sie werden auf eine gefälschte Seite geleitet und geben dort Anmeldenamen, PIN oder weitere Sicherheitsdaten ein. Kurz darauf werden Überweisungen ausgelöst oder ein neues Gerät für das Online-Banking registriert. Rechtlich ist zu prüfen, ob der Kunde die Zahlungen selbst autorisiert hat, ob nur Zugangsdaten abgegriffen wurden und ob das Verhalten als grob fahrlässig einzustufen ist. Die Bewertung hängt unter anderem davon ab, wie täuschend echt die Nachricht war, welche Warnhinweise existierten und ob der Kunde ungewöhnliche Aufforderungen erkennen musste.

Eine weitere Fallgruppe betrifft sogenannte Smishing- oder Messenger-Nachrichten. Dabei geben Täter vor, ein Paketdienst, eine Bank, ein Familienmitglied oder eine Behörde zu sein. Wird eine App installiert oder ein Link geöffnet, kann Schadsoftware Zugangsdaten auslesen oder Benachrichtigungen manipulieren. Hier stehen neben bankrechtlichen Fragen auch IT-forensische und datenschutzrechtliche Aspekte im Raum. Bei Unternehmen kann zusätzlich eine Meldepflicht wegen einer Datenschutzverletzung nach der DSGVO zu prüfen sein, wenn personenbezogene Daten betroffen sind.

Komplex sind Fälle mit Fake-Bankanrufen. Täter rufen unter einer manipulierten Telefonnummer an, nennen teilweise echte Kontodaten und behaupten, das Konto müsse wegen verdächtiger Vorgänge geschützt werden. Der Kunde wird angewiesen, Freigaben in der Banking-App zu bestätigen. Später stellt sich heraus, dass dadurch Überweisungen an Dritte autorisiert oder Geräte aktiviert wurden. Solche Fälle sind rechtlich besonders streitanfällig, weil die Bank häufig auf die starke Kundenauthentifizierung verweist, während der Kunde geltend macht, nie einer Zahlung an den tatsächlichen Empfänger zugestimmt zu haben.

Auch Zugriffe durch nahestehende Personen sind praxisrelevant. Familienmitglieder, ehemalige Partner, Mitbewohner oder frühere Mitarbeiter kennen möglicherweise Zugangsdaten oder haben Zugriff auf Geräte. Wenn eine Person eine Karte oder Banking-App nutzt, die ihr ursprünglich überlassen wurde, stellt sich die Frage, ob eine ausdrückliche oder stillschweigende Berechtigung bestand und ob diese widerrufen wurde. Gegenüber der Bank kann entscheidend sein, ob eine Vollmacht eingetragen war oder ob der Kontoinhaber gegen Aufbewahrungs- und Geheimhaltungspflichten verstoßen hat.

Bei Unternehmen kommen Business-E-Mail-Compromise, CEO-Fraud und manipulierte Rechnungen hinzu. Hier wird nicht immer das Konto technisch gehackt. Oft werden Zahlungsanweisungen durch gefälschte E-Mails oder geänderte Bankverbindungen erschlichen. Das kann bedeuten, dass die Bank einen formal autorisierten Auftrag ausgeführt hat, während Ansprüche eher gegen Täter, Empfänger oder interne Verantwortliche zu prüfen sind. Eine Haftung der Bank kommt in Betracht, wenn besondere Verdachtsmomente ignoriert wurden, etwa ungewöhnlich hohe Beträge, auffällige Empfängerländer oder abweichende Freigabeprozesse. Die Anforderungen daran sind jedoch hoch und stets einzelfallbezogen.

Risiken, Haftung und typische Fehler

Die Haftung nach einem unberechtigten Kontozugriff ist selten allein eine technische Frage. Entscheidend ist eine Kombination aus Autorisierung, Sicherheitsverfahren, Kundenverhalten, Bankbedingungen, Warnhinweisen und zeitlicher Reaktion. Betroffene gehen häufig davon aus, dass die Bank jede ungewollte Abbuchung ersetzen müsse. Grundsätzlich sieht das Gesetz bei nicht autorisierten Zahlungen zwar einen Erstattungsanspruch vor. Dieser Anspruch kann aber durch eigenes Verhalten, verspätete Anzeige oder schwierige Beweislage belastet werden.

Besonders relevant ist der Vorwurf grober Fahrlässigkeit. Grob fahrlässig handelt, wer die im Verkehr erforderliche Sorgfalt in besonders schwerem Maße verletzt und naheliegende Sicherheitsregeln unbeachtet lässt. Das kann etwa in Betracht kommen, wenn PIN und TAN gemeinsam gespeichert, Sicherheitscodes telefonisch weitergegeben oder Freigaben bestätigt werden, obwohl Betrag und Empfänger erkennbar nicht passen. Allerdings ist nicht jede Unachtsamkeit grobe Fahrlässigkeit. Gerichte prüfen, wie realistisch die Täuschung war, welche Kenntnisse der Kunde hatte und welche Informationen die Bank bereitgestellt hat.

Typische Fehler nach einem unberechtigten Kontozugriff sind:

die Bank erst Tage später zu informieren, obwohl verdächtige Abbuchungen bereits sichtbar sind,
SMS, E-Mails, Push-Mitteilungen oder Anruflisten zu löschen, weil sie belastend oder peinlich erscheinen,
gegenüber der Bank vorschnell ungenaue oder widersprüchliche Angaben zum Ablauf zu machen,
das betroffene Smartphone ohne Sicherung zurückzusetzen und dadurch mögliche Spuren zu vernichten,
nur telefonisch zu reklamieren, ohne schriftliche Bestätigung und Aktenzeichen anzufordern,
weitere Zahlungen abzuwarten, statt Karte, Online-Banking und App sofort sperren zu lassen,
die Möglichkeit von Vollmachten, gespeicherten Geräten oder alten Zugängen nicht zu prüfen,
bei Unternehmensfällen interne Freigabeprotokolle und E-Mail-Header nicht rechtzeitig zu sichern.

Ein weiteres Risiko liegt in vorschnellen Schuldanerkenntnissen. Manche Betroffene formulieren gegenüber der Bank, sie hätten die Zahlung aus Versehen bestätigt oder die Sicherheitsregeln nicht beachtet. Solche Aussagen können später gegen sie verwendet werden, auch wenn der tatsächliche Ablauf komplexer war. Es ist sinnvoll, den Sachverhalt wahrheitsgemäß, aber präzise darzustellen: Was wurde gesehen, was wurde eingegeben, welche Anzeige erschien, welche Zahlung war gewollt und welche nicht?

Auch Banken tragen Risiken. Sie müssen sichere Verfahren bereitstellen, Sperrmöglichkeiten gewährleisten, Zahlungsvorgänge ordnungsgemäß dokumentieren und bei nicht autorisierten Vorgängen gesetzliche Erstattungsregeln beachten. Bei auffälligen Transaktionen können im Einzelfall Prüf- oder Warnpflichten diskutiert werden. Diese Pflichten führen jedoch nicht dazu, dass jede ungewöhnliche Überweisung automatisch von der Bank gestoppt werden muss. Der Zahlungsverkehr soll grundsätzlich effizient funktionieren. Gerade deshalb kommt es auf konkrete Warnsignale und den nachweisbaren Ablauf an.

Fristen, Sperren und Verjährung: Welche Zeitpunkte zählen?

Nach einem unberechtigten Kontozugriff zählen mehrere Fristen und Zeitpunkte. Am wichtigsten ist zunächst die unverzügliche Anzeige bei der Bank. Wer den Verlust, Missbrauch oder eine nicht autorisierte Nutzung eines Zahlungsinstruments bemerkt, muss dies ohne schuldhaftes Zögern melden. In der Praxis sollte die Sperrung sofort erfolgen, etwa über die Bankhotline, den zentralen Sperr-Notruf oder direkt in der App, soweit noch möglich. Je schneller die Sperranzeige erfolgt, desto geringer ist das Risiko weiterer Zahlungen und desto klarer lässt sich der zeitliche Verantwortungsbereich abgrenzen.

Für Erstattungsansprüche enthält § 676b BGB eine besondere Ausschlussfrist. Der Zahlungsdienstnutzer muss den Zahlungsdienstleister unverzüglich nach Feststellung eines nicht autorisierten oder fehlerhaft ausgeführten Zahlungsvorgangs unterrichten. Ansprüche sind grundsätzlich ausgeschlossen, wenn die Anzeige später als 13 Monate nach dem Tag der Belastung erfolgt. Voraussetzung ist, dass die Bank die Informationen über den Zahlungsvorgang ordnungsgemäß mitgeteilt oder zugänglich gemacht hat. Bei Verbrauchern ist diese Frist besonders bedeutsam. Unternehmen sollten zusätzlich ihre Kontoverträge prüfen, weil in zulässigem Umfang abweichende oder strengere Anzeigeobliegenheiten vereinbart sein können.

Die 13-Monats-Frist bedeutet nicht, dass man sich 13 Monate Zeit lassen sollte. Sie ist eine äußere Grenze. Wer einen unberechtigten Kontozugriff erkennt und dennoch nicht handelt, riskiert Einwände wegen verspäteter Anzeige, Mitverschulden oder weiterer Haftung. Außerdem werden Beweise mit der Zeit schlechter: Logdaten werden gelöscht, Empfängerkonten geleert, Kommunikationsdaten sind schwerer verfügbar und Erinnerungslücken entstehen.

Neben der Ausschlussfrist ist die regelmäßige zivilrechtliche Verjährung zu beachten. Ansprüche verjähren grundsätzlich in drei Jahren, beginnend mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Gläubiger von den anspruchsbegründenden Umständen und der Person des Schuldners Kenntnis erlangt oder ohne grobe Fahrlässigkeit hätte erlangen müssen. Bei Ansprüchen gegen Täter, Empfänger oder Dritte kann die Verjährung im Detail abweichen. Strafanzeigen hemmen die zivilrechtliche Verjährung nicht automatisch. Wer Ansprüche sichern will, muss daher rechtzeitig zivilrechtliche Maßnahmen prüfen, etwa Zahlungsaufforderung, Mahnbescheid, Klage oder verjährungshemmende Verhandlungen.

Bei Kartenzahlungen, Lastschriften und Kreditkartenumsätzen bestehen teilweise zusätzliche Fristen aus Kartenbedingungen oder den Regeln der Zahlungsdienstleister. SEPA-Lastschriften können unter bestimmten Voraussetzungen innerhalb von acht Wochen ohne Angabe von Gründen zurückgegeben werden, bei nicht autorisierten Lastschriften kann eine längere Frist relevant sein. Die genaue Einordnung hängt davon ab, ob ein Mandat bestand und welche Art der Belastung vorliegt.

Beweise und Dokumentation: Was Betroffene sichern sollten

Bei einem unberechtigten Kontozugriff entscheidet die Dokumentation oft darüber, ob Ansprüche durchsetzbar sind. Das gilt besonders, wenn die Bank einwendet, der Zahlungsvorgang sei ordnungsgemäß authentifiziert worden oder der Kontoinhaber habe grob fahrlässig gehandelt. Betroffene sollten daher nicht nur die Abbuchung selbst sichern, sondern den gesamten Ablauf: Kommunikation, Geräte, Warnhinweise, App-Anzeigen, Anrufdaten und Reaktionen der Bank.

Wichtig ist eine chronologische Darstellung. Wann wurde die verdächtige Nachricht empfangen? Wann erfolgte ein Login? Wann wurde eine TAN oder Push-Freigabe angezeigt? Wann wurde die Abbuchung bemerkt? Wann wurde die Bank informiert und wann erfolgte die Sperre? Diese Zeiten sollten möglichst genau notiert werden. Wenn nur ungefähre Angaben möglich sind, sollte dies kenntlich gemacht werden. Unklare oder später korrigierte Zeitangaben sind nicht ungewöhnlich, können aber im Streitfall erklärungsbedürftig sein.

Folgende Nachweise sollten, soweit vorhanden, gesichert werden:

Kontoauszüge mit den streitigen Belastungen, Wertstellungen und Empfängerdaten,
Screenshots aus Online-Banking und Banking-App, insbesondere Freigabeanzeigen,
SMS, E-Mails, Messenger-Nachrichten, Push-Mitteilungen und Links,
Anruflisten, Mailboxnachrichten und Telefonnummern angeblicher Bankmitarbeiter,
Bankkorrespondenz, Reklamationsbestätigungen, Sperrbestätigungen und Aktenzeichen,
Geräteinformationen wie Modell, Betriebssystem, App-Version und registrierte Geräte,
Protokolle interner Freigaben bei Unternehmen, Vereinen oder Kanzleikonten,
Strafanzeige, polizeiliches Aktenzeichen und ergänzende Unterlagen der Ermittlungsbehörden.

Das betroffene Gerät sollte nicht vorschnell gelöscht werden. Ein Zurücksetzen kann zwar sicherheitstechnisch sinnvoll sein, sollte aber möglichst erst nach Sicherung relevanter Daten erfolgen. Bei Verdacht auf Schadsoftware kann eine forensische Prüfung hilfreich sein, wobei Kosten und Nutzen im Verhältnis zum Schaden stehen müssen. Für kleinere Schäden genügt häufig eine sorgfältige Dokumentation mit Screenshots und schriftlicher Rekonstruktion. Bei hohen Beträgen, Unternehmensfällen oder wiederholten Zugriffen kann eine technische Analyse dagegen entscheidend sein.

Auch die Bank verfügt über wichtige Beweismittel, etwa Authentifizierungsprotokolle, IP-Adressen, Gerätekennungen, Empfängerdaten, Zeitstempel und Sicherheitsmeldungen. Betroffene können diese Informationen nicht immer vollständig einsehen. Dennoch sollte konkret angefordert werden, auf welcher Grundlage die Bank eine Autorisierung oder grobe Fahrlässigkeit annimmt. Pauschale Hinweise auf eine erfolgreiche TAN-Nutzung genügen nach der gesetzlichen Beweislast nicht ohne Weiteres, um alle Einwendungen auszuräumen.

Handlungsschritte nach unberechtigtem Kontozugriff

Nach der Entdeckung eines unberechtigten Kontozugriffs ist ein geordnetes Vorgehen wichtig. Viele Betroffene reagieren verständlicherweise hektisch, telefonieren mehrfach mit der Bank und löschen verdächtige Nachrichten. Sinnvoller ist eine Kombination aus sofortiger Schadensbegrenzung, Beweissicherung und rechtlicher Einordnung. Die folgenden Schritte sind als praktische Checkliste gedacht. Je nach Fall können einzelne Punkte entfallen oder weitere Maßnahmen erforderlich sein.

Konto, Karte und Online-Banking sofort sperren lassen. Nutzen Sie die Sperrfunktion der Bank, den Sperr-Notruf oder die App. Notieren Sie Uhrzeit, Ansprechpartner und Vorgangsnummer. Diese Dokumentation kann später für die Haftungsabgrenzung entscheidend sein.
Streitige Umsätze markieren und Kontoauszüge sichern. Speichern Sie Kontoauszüge als PDF und fertigen Sie Screenshots an. Achten Sie auf Empfänger, IBAN, Betrag, Buchungstag, Wertstellung, Verwendungszweck und etwaige Echtzeitüberweisung.
Bank schriftlich über den nicht autorisierten Vorgang informieren. Eine telefonische Meldung ist für die Sperre wichtig, sollte aber schriftlich bestätigt werden. Formulieren Sie sachlich, welche Zahlungen nicht autorisiert wurden, und verlangen Sie Prüfung sowie Erstattung nach den gesetzlichen Regeln.
Kommunikation und digitale Spuren sichern. Löschen Sie keine SMS, E-Mails, Messenger-Nachrichten oder Push-Mitteilungen. Exportieren oder fotografieren Sie relevante Inhalte mit sichtbarem Datum und Uhrzeit. Bei Anrufen sollten Nummern und Gesprächsinhalte notiert werden.
Passwörter und Sicherheitsverfahren ändern. Ändern Sie Zugangsdaten nicht nur beim Bankkonto, sondern auch beim E-Mail-Konto, Mobilfunkanbieter und Cloud-Diensten, wenn diese für TAN, Gerätebindung oder Passwortzurücksetzung genutzt werden.
Strafanzeige prüfen und Aktenzeichen sichern. Bei Verdacht auf Betrug, Datenmissbrauch oder Identitätsdiebstahl ist eine Strafanzeige regelmäßig sinnvoll. Das Aktenzeichen ersetzt keine zivilrechtliche Anspruchsdurchsetzung, kann aber gegenüber Bank und Versicherer relevant sein.
Fristen im Kalender festhalten. Notieren Sie den Tag der Belastung, den Tag der Kenntnis, den Zeitpunkt der Sperranzeige und die 13-Monats-Ausschlussfrist. Bei drohender Verjährung sollten rechtzeitig verjährungshemmende Maßnahmen geprüft werden.
Keine vorschnellen Schuldeingeständnisse abgeben. Beschreiben Sie den Ablauf wahrheitsgemäß, aber nicht spekulativ. Wenn Sie nicht wissen, ob eine Freigabe für genau diese Zahlung angezeigt wurde, sollte das auch so formuliert werden.
Empfängerkonto und Rückruf der Zahlung anstoßen. Fordern Sie die Bank auf, einen Überweisungsrückruf oder eine Rückholung zu versuchen. Bei Echtzeitüberweisungen ist der Erfolg unsicher, aber schnelles Handeln kann die Chancen erhöhen.
Versicherungen und interne Stellen informieren. Prüfen Sie Hausrat-, Cyber-, Rechtsschutz- oder Vertrauensschadenversicherung. Unternehmen sollten Geschäftsführung, Datenschutzbeauftragte, IT und gegebenenfalls Aufsichtsorgane einbeziehen.
Antwort der Bank rechtlich prüfen. Lehnt die Bank eine Erstattung ab, sollte die Begründung genau analysiert werden. Entscheidend ist, ob die Bank Autorisierung, Authentifizierung und grobe Fahrlässigkeit ausreichend konkret darlegt.

Bei hohen Schäden, unklarer Freigabesituation oder einer ablehnenden Bankentscheidung kann eine rechtliche Prüfung sinnvoll sein. Dabei geht es nicht nur um die Frage, ob die Bank zahlen muss. Zu prüfen sind auch Ansprüche gegen Zahlungsempfänger, Täter, Dienstleister, Mitarbeiter oder Versicherer. Außerdem kann eine frühzeitige, strukturierte Darstellung des Sachverhalts verhindern, dass der Fall durch widersprüchliche Kommunikation unnötig erschwert wird.

Wer berufliche oder geschäftliche Konten nutzt, sollte zusätzlich die internen Prozesse dokumentieren. Dazu gehören Freigaberegeln, Vier-Augen-Prinzip, Vollmachten, E-Mail-Verkehr, Rechnungsprüfung und Zugriffsrechte ehemaliger Mitarbeiter. Gerade bei Unternehmen ist der unberechtigte Kontozugriff oft Teil eines größeren Sicherheitsvorfalls. Dann müssen neben bankrechtlichen Ansprüchen auch arbeitsrechtliche, gesellschaftsrechtliche, datenschutzrechtliche und versicherungsrechtliche Fragen berücksichtigt werden.

Besonderheiten für Unternehmen, Vereine und berufliche Konten

Bei Unternehmen, Vereinen, Freiberuflern und beruflich genutzten Konten gelten viele Grundsätze ebenfalls, die Risikolage ist jedoch komplexer. Zum einen sind die Beträge häufig höher. Zum anderen handeln mehrere Personen mit unterschiedlichen Rollen: Geschäftsführung, Buchhaltung, externe Steuerberatung, Vorstand, Prokuristen oder bevollmächtigte Mitarbeiter. Dadurch entstehen zusätzliche Fragen der Vertretungsmacht, Organisationspflicht und internen Haftung.

Ein unberechtigter Kontozugriff kann in Unternehmen technisch erfolgen, etwa durch kompromittierte Banking-Zugänge. Häufiger sind jedoch Mischformen. Täter fälschen Rechnungen, übernehmen E-Mail-Konten, ändern IBAN-Daten oder geben sich als Geschäftsführung aus. Wenn ein Mitarbeiter daraufhin eine Zahlung im regulären Banking-System freigibt, kann die Zahlung gegenüber der Bank als autorisiert gelten. Dann verlagert sich die Prüfung auf interne Kontrollpflichten, mögliche Warnpflichten der Bank und Rückforderungsansprüche gegen Empfänger.

Unternehmen sollten beachten, dass im Zahlungsdiensterecht teilweise abweichende Vereinbarungen zulässig sind, wenn der Nutzer kein Verbraucher ist. Banken verwenden für Firmenkunden regelmäßig besondere Bedingungen. Diese können strengere Anzeigeobliegenheiten, Haftungsregelungen oder Sicherheitsanforderungen enthalten. Solche Klauseln sind nicht automatisch wirksam, sollten aber sorgfältig geprüft werden. Eine verspätete Reklamation kann bei Firmenkonten schneller problematisch werden als bei Verbraucherkonten.

Auch Organpflichten spielen eine Rolle. Geschäftsleiter müssen eine angemessene Organisation des Zahlungsverkehrs sicherstellen. Dazu gehören getrennte Rollen, sichere Verwahrung von Zugangsdaten, aktuelle Berechtigungen, klare Vertretungsregeln und Kontrollen bei ungewöhnlichen Zahlungen. Bei Vereinen betrifft dies typischerweise Vorstand und Kassenwart. Fehlende Kontrolle bedeutet nicht automatisch persönliche Haftung, kann aber bei hohen Schäden, wiederholten Warnzeichen oder groben Pflichtverletzungen relevant werden.

Praktisch wichtig sind außerdem Versicherungen. Cyberversicherungen, Vertrauensschadenversicherungen, D&O-Versicherungen oder spezielle Vermögensschadenpolicen können je nach Bedingungswerk greifen. Viele Versicherungen verlangen eine unverzügliche Schadenmeldung und bestimmte Sicherheitsmaßnahmen. Wer erst mit der Bank streitet und die Versicherung Wochen später informiert, riskiert Obliegenheitsprobleme. Deshalb sollten Versicherungsverträge frühzeitig gesichtet und Meldefristen dokumentiert werden.

Ansprüche gegen Bank, Empfänger und Täter

Nach einem unberechtigten Kontozugriff richtet sich der erste Blick häufig auf die Bank. Das ist naheliegend, weil das Konto dort geführt wird und das Zahlungsdiensterecht bei nicht autorisierten Zahlungen einen Erstattungsmechanismus vorsieht. Gleichwohl sollte die Anspruchsprüfung breiter angelegt werden. Je nach Sachverhalt kommen Ansprüche gegen die Bank, gegen den Zahlungsempfänger, gegen Tatbeteiligte, gegen interne Verantwortliche oder gegen Versicherer in Betracht.

Gegen die Bank steht bei nicht autorisierten Zahlungsvorgängen der Erstattungsanspruch nach § 675u BGB im Mittelpunkt. Die Bank kann sich insbesondere auf Autorisierung, ordnungsgemäße Authentifizierung und eine Haftung des Zahlers nach § 675v BGB berufen. Dabei muss sie konkrete Tatsachen vortragen. Eine erfolgreiche technische Authentifizierung ist bedeutsam, aber nicht zwingend ausreichend, um eine Autorisierung oder grobe Fahrlässigkeit zu beweisen. Betroffene sollten daher die Begründung einer Ablehnung genau prüfen und nicht allein auf allgemeine Textbausteine reagieren.

Gegen den Empfänger kann ein bereicherungsrechtlicher Anspruch nach §§ 812 ff. BGB in Betracht kommen, wenn dieser ohne rechtlichen Grund Geld erhalten hat. In Betrugsfällen handelt es sich beim Empfängerkonto jedoch häufig um ein Konto eines Finanzagenten oder einer Person, die ihr Konto gegen Vergütung bereitgestellt hat. Das Geld wird oft schnell weitergeleitet. Ein Anspruch kann rechtlich bestehen, ist aber wirtschaftlich nur werthaltig, wenn der Empfänger ermittelt und zahlungsfähig ist.

Gegen Täter kommen deliktische Ansprüche in Betracht, etwa wegen vorsätzlicher sittenwidriger Schädigung oder Eigentums- und Vermögensdelikten. Praktisch scheitert die Durchsetzung häufig an fehlender Identität, Auslandsbezug oder Vermögenslosigkeit. Strafverfahren können helfen, Informationen zu gewinnen und Vermögensabschöpfung anzustoßen. Sie ersetzen aber nicht die zivilrechtliche Anspruchssicherung.

Bei internen Zugriffen können Ansprüche gegen Mitarbeiter, ehemalige Partner, Bevollmächtigte oder Familienmitglieder bestehen. Hier sind Beweis- und Abgrenzungsfragen besonders sensibel. War die Nutzung ausdrücklich erlaubt? Gab es eine Bankvollmacht? Wurde eine Vollmacht widerrufen? Hat der Kontoinhaber Zugangsdaten freiwillig überlassen? Solche Umstände können sowohl zivilrechtlich als auch strafrechtlich erheblich sein. Eine sachliche Dokumentation ist gerade in Näheverhältnissen wichtig, weil emotionale Konflikte die Beweislage nicht ersetzen.

FAQ zum unberechtigten Kontozugriff

Muss die Bank nach einem unberechtigten Kontozugriff immer erstatten?▾

Nein, nicht immer. Bei einem nicht autorisierten Zahlungsvorgang muss die Bank den Betrag grundsätzlich nach § 675u BGB erstatten und das Konto wiederherstellen. Die Bank kann jedoch einwenden, dass die Zahlung autorisiert war oder dass der Kunde vorsätzlich beziehungsweise grob fahrlässig gegen Sicherheits- oder Anzeigepflichten verstoßen hat. Außerdem spielt die Beweislast nach § 675w BGB eine zentrale Rolle. Betroffene sollten daher nicht nur die Abbuchung reklamieren, sondern den Ablauf genau dokumentieren und eine konkrete Begründung verlangen, wenn die Bank die Erstattung ablehnt.

Was soll ich sofort tun, wenn ich fremde Abbuchungen sehe?▾

Lassen Sie Konto, Karte und Online-Banking unverzüglich sperren und notieren Sie Uhrzeit, Telefonnummer, Ansprechpartner und Sperrbestätigung. Sichern Sie anschließend Kontoauszüge, Screenshots, SMS, E-Mails, Push-Mitteilungen und Anruflisten. Informieren Sie die Bank schriftlich, welche Umsätze nicht autorisiert wurden, und verlangen Sie eine Prüfung sowie Rückbuchung. Bei Verdacht auf Betrug oder Identitätsdiebstahl ist eine Strafanzeige regelmäßig sinnvoll. Ändern Sie außerdem Passwörter für Bank, E-Mail und Mobilfunkkonto, weil Angreifer oft mehrere Zugänge kombinieren. Wichtig ist, nichts vorschnell zu löschen.

Bin ich haftbar, wenn ich auf Phishing hereingefallen bin?▾

Das hängt vom Einzelfall ab. Phishing allein bedeutet nicht automatisch volle Haftung. Entscheidend ist, ob Sie eine konkrete Zahlung autorisiert haben und ob Ihnen grobe Fahrlässigkeit vorgeworfen werden kann. Relevant sind unter anderem Gestaltung der Täuschung, Warnhinweise, angezeigter Betrag, Empfänger, verwendetes TAN-Verfahren und Ihre Reaktion nach Kenntnis. Wer Sicherheitscodes telefonisch weitergibt oder offensichtliche Warnzeichen ignoriert, steht rechtlich schlechter. War die Täuschung dagegen professionell und die Zahlungsfreigabe nicht eindeutig erkennbar, kann eine Haftung der Bank weiterhin in Betracht kommen.

Welche Frist gilt, um unberechtigte Kontobewegungen zu melden?▾

Sie sollten unberechtigte Kontobewegungen sofort nach Kenntnis melden. Rechtlich ist nach § 676b BGB eine unverzügliche Unterrichtung des Zahlungsdienstleisters erforderlich. Als äußere Grenze gilt grundsätzlich eine Ausschlussfrist von 13 Monaten ab Belastung, sofern die Bank ordnungsgemäß über den Vorgang informiert hat. Diese Frist ist kein Handlungsspielraum für langes Abwarten. Wer trotz Kenntnis nicht reagiert, riskiert Haftungseinwände und Beweisprobleme. Bei Firmenkonten können zusätzliche vertragliche Anzeigeobliegenheiten gelten, die deutlich strengere Anforderungen stellen.

Kann ich das Geld vom Empfänger zurückfordern?▾

Grundsätzlich kann ein Rückforderungsanspruch gegen den Empfänger bestehen, wenn dieser ohne Rechtsgrund Geld erhalten hat. Praktisch ist die Durchsetzung aber oft schwierig, weil Empfängerkonten schnell geleert werden oder nur als Durchgangskonto dienen. Handeln Sie deshalb zügig: Bitten Sie Ihre Bank um einen Überweisungsrückruf, sichern Sie Empfängerdaten aus dem Kontoauszug und erstatten Sie bei Betrugsverdacht Anzeige. Wenn der Empfänger identifiziert wird, können zivilrechtliche Ansprüche geprüft werden. Ob sich ein Vorgehen wirtschaftlich lohnt, hängt von Betrag, Beweislage und Zahlungsfähigkeit ab.

Fazit: unberechtigter Kontozugriff sorgfältig einordnen

Ein unberechtigter Kontozugriff sollte nicht allein als technisches Sicherheitsproblem betrachtet werden. Rechtlich stehen Autorisierung, Erstattung, Haftung, Fristen und Beweise im Mittelpunkt. Die wichtigsten nächsten Schritte sind deshalb: sofort sperren, schriftlich reklamieren, Unterlagen sichern, Fristen notieren und die Begründung der Bank genau prüfen. Bei Phishing, Fake-Anrufen, internen Zugriffen oder Unternehmenszahlungen kann die Einordnung stark variieren.

Grundsätzlich bietet das Zahlungsdiensterecht Betroffenen wirksame Ansprüche bei nicht autorisierten Zahlungen. Diese Ansprüche sind jedoch nicht grenzenlos. Grobe Fahrlässigkeit, verspätete Anzeige, unklare Freigaben oder besondere Firmenkundenbedingungen können die Durchsetzung erschweren. Eine belastbare Bewertung setzt daher den konkreten Ablauf, die technische Dokumentation und die Kommunikation mit der Bank voraus. Wer strukturiert vorgeht, verbessert seine Chancen, Ansprüche sachgerecht zu prüfen und weitere Schäden zu begrenzen.

Unberechtigter Kontozugriff: Rechte, Haftung und Vorgehen