Phishing und Bankbetrug: Wann haftet die Bank?

Man muss nicht leichtgläubig sein, um darauf hereinzufallen. Moderne Betrugsmaschen haben nichts mehr mit den schlecht geschriebenen E-Mails des „nigerianischen Prinzen“ gemein. Es sind SMS, die im selben Nachrichtenverlauf wie die echten Mitteilungen Ihrer Bank erscheinen. Es sind Anrufe eines angeblichen „Sicherheitsmitarbeiters“, der Ihren vollständigen Namen kennt. Es sind Seiten, die dem E-Banking bis ins Detail gleichen. Und wenn Sie das Einmalpasswort eingeben – weil „die Bank Sie darum gebeten hat“ –, scheint alles verloren.

Das ist es nicht. Hier beginnt eine rechtliche Geschichte, die die meisten nicht kennen und die sich in den vergangenen Jahren Schritt für Schritt zugunsten der Verbraucher entwickelt hat.

Das große Missverständnis: „Ich habe den Code weitergegeben, also bin ich schuld“

Klären wir zunächst das verbreitetste – und für Banken bequemste – Missverständnis. Dass Sie selbst Ihre Zugangsdaten oder das Einmalpasswort (OTP) eingegeben haben, bedeutet nicht automatisch, dass Sie die Transaktion autorisiert haben. In der Sprache des Gesetzes ist eine Zahlung, die infolge Ihrer Täuschung ausgeführt wurde, grundsätzlich ein nicht autorisierter Zahlungsvorgang.

Den Rahmen setzt das Gesetz 4537/2018, mit dem die europäische Zahlungsdiensterichtlinie PSD2 in griechisches Recht umgesetzt wurde. Es enthält zwei Regeln, die Sie genau kennen sollten:

• Artikel 73: Bei einem nicht autorisierten Zahlungsvorgang muss die Bank den Betrag unverzüglich erstatten – es sei denn, es besteht ein begründeter Betrugsverdacht gegen den Kunden selbst.
• Artikel 72: Der Kunde trägt den Schaden nur bei Vorsatz oder grober Fahrlässigkeit.

Einfach gesagt: Die Erstattung ist die Regel. Die Nichterstattung ist die Ausnahme – und grundsätzlich muss die Bank beweisen, dass diese Ausnahme vorliegt. Diese Umkehr verändert alles.

Die Regel lautet nicht: „Wer den Code weitergibt, verliert.“ Die Regel lautet: „Die Bank erstattet“ – und die Ausnahme muss bewiesen werden.

Wann trifft Sie tatsächlich ein Verschulden?

Die Ausnahme hat einen Namen: grobe Fahrlässigkeit. Die Gerichte prüfen sie allerdings sorgfältiger, als es den Banken lieb sein dürfte. Der Satz „Aber der Kunde hat das OTP eingegeben“ reicht nicht aus, um Ihnen den gesamten Schaden aufzubürden. Grobe Fahrlässigkeit wird nicht allein aufgrund der Eingabe eines Codes vermutet; sie ist anhand sämtlicher konkreter Umstände zu beurteilen.

Genau das bestätigte auch der Gerichtshof der Europäischen Union (EuGH) in seinem Urteil C-665/23 (Veracash) aus dem Jahr 2025: Die Beurteilung der „groben Fahrlässigkeit“ erfordert eine Gesamtwürdigung durch das nationale Gericht. Sie ergibt sich nicht automatisch daraus, dass der Nutzer Sicherheitsmerkmale verwendet hat.

Wo verläuft also die Grenze? Beispiele aus der griechischen Rechtsprechung:

• Zugunsten des Verbrauchers: wenn die Betrugsmasche ausgefeilt, das Umfeld überzeugend und die Bank nicht mit ausreichenden Systemen zur Erkennung verdächtiger Überweisungen ausgestattet war. In solchen Fällen haben Gerichte der Bank den Schaden zugerechnet.
• Zulasten des Verbrauchers: wenn die Warnzeichen offensichtlich waren – etwa wenn jemand ein OTP eingab, obwohl er überhaupt keinen Zahlungsvorgang veranlasst hatte, und eine Nachricht mit klar verdächtigen Merkmalen erhalten hatte (siehe EirChalk 394/2022, Friedensgericht Chalkida). Dort nahm das Gericht grobe Fahrlässigkeit an.

Die Verantwortung der Bank wächst

Besonders bemerkenswert ist, dass die Gerichte die Bank in den vergangenen zwei Jahren nicht mehr als passives Opfer betrachtet, sondern von ihr aktiven Schutz verlangt haben. Zwei Beispiele zeigen dies deutlich:

• Das Urteil MPrAth 11632/2025 des Einzelrichtergerichts erster Instanz Athen stellte fest, dass die Bank betrügerische Websites, die das Web-Banking nachahmen, erkennen und sperren muss. Es führte den Schaden auf das alleinige Verschulden der Bank zurück und verurteilte sie zur Zahlung von 10.150 Euro.
• Das Einzelrichtergericht erster Instanz von Lasithi gab einem 71-jährigen Rentner recht, der 5.674 Euro aus seiner einmaligen Ruhestandsleistung verloren hatte. Das Gericht sah die Ursache in einem Defizit der Sicherheitssysteme der Bank und nicht in grober Fahrlässigkeit des Betroffenen.

Zugleich griff der Gesetzgeber mit dem Gesetz 5019/2023 ein, das eine besondere Bestimmung über die Haftung des Zahlers bei nicht autorisierten Zahlungsvorgängen („Phishing“) enthält. Die Rechtslage ist also nicht statisch: Sie entwickelt sich in Richtung eines stärkeren Schutzes der Bankkunden.

Wenn die Bank die Erstattung ablehnt

Sehr häufig lautet die erste Antwort der Bank: „Wir lehnen ab, weil der Vorgang mit Ihren persönlichen Zugangsdaten ausgeführt wurde.“ Verstehen Sie das nicht als endgültiges Urteil. Es ist eine Position, keine Gerichtsentscheidung. Dann sollten Sie:

• die Ablehnung schriftlich und begründet verlangen. Sie müssen wissen, was Ihnen konkret vorgeworfen wird.
• die Transaktionsdaten anfordern: Protokolle, Zeitpunkt, IP-Adresse und Authentifizierungsdaten. Sie haben ein Auskunftsrecht hinsichtlich der Daten, die Sie betreffen.
• sich an die griechische Verbraucherombudsstelle (Verbraucherombudsstelle) und den Griechischen Finanzombudsmann (Ellinikos Chrimatooikonomikos Mesolavitis) wenden – außergerichtlich und kostenfrei.
• falls nötig, Klage erheben: Wie die Rechtsprechung zeigt, steht sie nicht mehr automatisch aufseiten der Bank.

Und natürlich die beste Verteidigung: nicht auf den Köder eingehen

Kein Rechtsschutz ist so schmerzlos, wie gar nicht erst Opfer zu werden. Merken Sie sich drei Regeln:

• Eine Bank verlangt niemals Passwörter, PIN oder OTP – weder per SMS noch telefonisch oder per E-Mail. Wer danach fragt, ist ein Betrüger.
• Klicken Sie nicht auf Links in Nachrichten. Öffnen Sie das E-Banking nur, indem Sie die Adresse selbst eingeben oder die offizielle App verwenden.
• Wenn Sie unter Zeitdruck gesetzt oder verängstigt werden („Ihr Konto wird in 10 Minuten gesperrt“), handelt es sich fast sicher um Betrug. Beenden Sie das Gespräch und rufen Sie selbst die offizielle Nummer an.

Häufig gestellte Fragen

Dieser Artikel dient der Information und bezieht sich auf die Rechtslage und Rechtsprechung zum Zeitpunkt seiner Erstellung. Jeder Betrugsfall ist anhand seiner eigenen Tatsachen zu beurteilen. Wenn Sie Opfer geworden sind, handeln Sie sofort und wenden Sie sich an einen Rechtsanwalt.