Phishing und Bankbetrug: Wann haftet die Bank?

Man muss nicht leichtgläubig sein, um darauf hereinzufallen. Moderne Betrugsmaschen haben nichts mehr mit den schlecht geschriebenen E-Mails des „nigerianischen Prinzen“ gemein. Es sind SMS, die im selben Nachrichtenverlauf wie die echten Mitteilungen Ihrer Bank erscheinen. Es sind Anrufe eines angeblichen „Sicherheitsmitarbeiters“, der Ihren vollständigen Namen kennt. Es sind Seiten, die dem E-Banking bis ins Detail gleichen. Und wenn Sie das Einmalpasswort eingeben – weil „die Bank Sie darum gebeten hat“ –, scheint alles verloren.

Das ist es nicht. Hier beginnt eine rechtliche Geschichte, die die meisten nicht kennen und die sich in den vergangenen Jahren Schritt für Schritt zugunsten der Verbraucher entwickelt hat.

Das große Missverständnis: „Ich habe den Code weitergegeben, also bin ich schuld“

Die Eingabe von Zugangsdaten oder einer OTP entscheidet für sich allein nicht, ob ein Zahlungsvorgang autorisiert war. Ein ohne Zustimmung des Zahlers ausgeführter nicht autorisierter Zahlungsvorgang ist rechtlich von einer Überweisung zu unterscheiden, die der Zahler unter Täuschung selbst veranlasst oder bestätigt hat, einem sogenannten Authorised-Push-Payment-Betrug (APP-Betrug). Der zweite Fall ist nicht automatisch ein nicht autorisierter Zahlungsvorgang. Maßgeblich sind der tatsächliche Zahlungsablauf, der Umfang der Zustimmung, die Authentifizierungsnachweise und die Umstände der Täuschung; eine OTP allein beweist weder Autorisierung noch grobe Fahrlässigkeit.

Das Gesetz 4537/2018, das PSD2 umgesetzt hat, weist Nachweis, Erstattung und Verlustverteilung unterschiedliche Funktionen zu:

• Artikel 72: Der Zahlungsdienstleister muss nachweisen, dass der Vorgang authentifiziert, ordnungsgemäß aufgezeichnet und nicht durch eine technische Störung beeinträchtigt wurde. Die Nutzung des Zahlungsinstruments allein beweist weder Autorisierung noch Betrug oder grobe Fahrlässigkeit.
• Artikel 73: Ist der Vorgang nicht autorisiert, muss der Anbieter die gesetzlich vorgesehene unverzügliche Erstattung unter Beachtung der Voraussetzungen und Ausnahmen leisten.
• Artikel 74: regelt, wann und bis zu welcher Höhe der Zahler den Verlust trägt.

Wird der Vorgang rechtlich als nicht autorisiert eingestuft, ist die Erstattung nach Artikel 73 vorbehaltlich der gesetzlichen Ausnahmen der Ausgangspunkt. Eine vom Kunden unter Täuschung bestätigte Überweisung folgt einer anderen rechtlichen Prüfung und löst nicht automatisch dasselbe Erstattungsregime aus. Entscheidend sind deshalb der tatsächliche Zahlungsablauf und die Beweise.

Zuerst ist der Vorgang einzuordnen: nicht autorisiert oder unter Täuschung bestätigt. Erst danach werden Erstattung, grobe Fahrlässigkeit und Verlustverteilung geprüft.

Wann trifft Sie tatsächlich ein Verschulden?

Die Ausnahme hat einen Namen: grobe Fahrlässigkeit. Die Gerichte prüfen sie allerdings sorgfältiger, als es den Banken lieb sein dürfte. Der Satz „Aber der Kunde hat das OTP eingegeben“ reicht nicht aus, um Ihnen den gesamten Schaden aufzubürden. Grobe Fahrlässigkeit wird nicht allein aufgrund der Eingabe eines Codes vermutet; sie ist anhand sämtlicher konkreter Umstände zu beurteilen.

Das Urteil des Gerichtshofs der Europäischen Union vom 1. August 2025 in der Rechtssache C-665/23 (Veracash) hat einen engeren Gegenstand. Es betrifft die verspätete Anzeige aufeinanderfolgender nicht autorisierter Zahlungsvorgänge nach der früheren Richtlinie 2007/64/EG. Der Gerichtshof entschied, dass der Erstattungsanspruch für Vorgänge entfallen kann, bei denen die verspätete Anzeige betrügerisch oder grob fahrlässig war, auch innerhalb der Ausschlussfrist von 13 Monaten; bei aufeinanderfolgenden Vorgängen ist die Prüfung auf die von der Verzögerung betroffenen Vorgänge zu begrenzen. Das Urteil stellt keinen allgemeinen Grundsatz auf, wonach die Eingabe einer OTP oder eines anderen Codes grobe Fahrlässigkeit ausschließt oder automatisch beweist.

Wo verläuft also die Grenze? Beispiele aus der griechischen Rechtsprechung:

• Zugunsten des Verbrauchers: wenn die Betrugsmasche ausgefeilt, das Umfeld überzeugend und die Bank nicht mit ausreichenden Systemen zur Erkennung verdächtiger Überweisungen ausgestattet war. In solchen Fällen haben Gerichte der Bank den Schaden zugerechnet.
• Zulasten des Verbrauchers: wenn die Warnzeichen offensichtlich waren – etwa wenn jemand ein OTP eingab, obwohl er überhaupt keinen Zahlungsvorgang veranlasst hatte, und eine Nachricht mit klar verdächtigen Merkmalen erhalten hatte (siehe EirChalk 394/2022, Friedensgericht Chalkida). Dort nahm das Gericht grobe Fahrlässigkeit an.

Wann eine weitergehende Verantwortung der Bank geprüft wird

Die Haftung hängt von den konkreten Tatsachen, technischen Nachweisen und dem Kausalzusammenhang mit dem Schaden ab. Es gibt keinen allgemeinen Grundsatz, wonach eine Bank für jede gefälschte Website haftet oder die Nutzung einer OTP eine Seite automatisch entlastet oder belastet. Die folgenden Angaben betreffen konkrete erstinstanzliche Entscheidungen nach öffentlich zugänglichen Berichten; sie sind keine verbindliche Regel für jeden Fall:

• Nach einer veröffentlichten juristischen Zusammenfassung führte das Urteil 11632/2025 des Einzelrichtergerichts erster Instanz Athen den nicht wiedererlangten Schaden von 10.150 Euro in jenem Fall ausschließlich auf die Bank zurück und prüfte auch die Verhinderung von Websites, die Web-Banking nachahmten. Daraus folgt keine allgemeine Pflicht, jede betrügerische Website zu sperren.
• Nach öffentlichen Berichten entschied das Einzelrichtergericht erster Instanz von Lasithi am 15. Mai 2026, dass einem 71-Jährigen 5.674 Euro zu erstatten seien, ohne grobe Fahrlässigkeit festzustellen. Es handelte sich um eine erstinstanzliche Entscheidung; die Bank sollte noch ein Rechtsmittel einlegen können.

Für eine belastbare Beurteilung sind die vollständigen Entscheidungsgründe, Transaktionsprotokolle, Änderungen von Gerät oder Empfänger, Bankwarnungen, die zeitliche Abfolge und das Verhalten aller Beteiligten erforderlich.

Die Sonderregel steht in Artikel 22 des Gesetzes 5019/2023, der Artikel 74 Absatz 1 des Gesetzes 4537/2018 geändert hat. Bei Verlust, Diebstahl oder missbräuchlicher Verwendung eines Zahlungsinstruments kann die Grundhaftung des Zahlers vorbehaltlich der gesetzlichen Ausnahmen bis zu 50 Euro betragen. Handelt der Zahler betrügerisch oder verletzt er seine Sicherheitspflichten vorsätzlich, trägt er sämtliche Verluste. Ist der Zahler Verbraucher und beruht der Schaden auf grober Fahrlässigkeit, setzt das Gesetz unter Berücksichtigung der Art der personalisierten Sicherheitsmerkmale und der Umstände eine Obergrenze von 1.000 Euro. Diese Grenze gilt nicht, wenn der Anbieter nachweist, dass er die in derselben Vorschrift beschriebenen zusätzlichen wirksamen Kontrollmechanismen für Transaktionen über 1.000 Euro eingerichtet und angewandt hat. Es handelt sich um eine Verbraucherschutzregel, nicht um eine allgemeine Obergrenze für jede geschäftliche oder unternehmerische Transaktion.

Wenn die Bank die Erstattung ablehnt

Sehr häufig lautet die erste Antwort der Bank: „Wir lehnen ab, weil der Vorgang mit Ihren persönlichen Zugangsdaten ausgeführt wurde.“ Verstehen Sie das nicht als endgültiges Urteil. Es ist eine Position, keine Gerichtsentscheidung. Dann sollten Sie:

• die Ablehnung schriftlich und begründet verlangen. Sie müssen wissen, was Ihnen konkret vorgeworfen wird.
• die Transaktionsdaten anfordern: Protokolle, Zeitpunkt, IP-Adresse und Authentifizierungsdaten. Sie haben ein Auskunftsrecht hinsichtlich der Daten, die Sie betreffen.
• sich an die griechische Verbraucherombudsstelle (Verbraucherombudsstelle) und den Griechischen Finanzombudsmann (Ellinikos Chrimatooikonomikos Mesolavitis) wenden – außergerichtlich und kostenfrei.
• falls nötig, Klage erheben: Wie die Rechtsprechung zeigt, steht sie nicht mehr automatisch aufseiten der Bank.

Und natürlich die beste Verteidigung: nicht auf den Köder eingehen

Kein Rechtsschutz ist so schmerzlos, wie gar nicht erst Opfer zu werden. Merken Sie sich drei Regeln:

• Eine Bank verlangt niemals Passwörter, PIN oder OTP – weder per SMS noch telefonisch oder per E-Mail. Wer danach fragt, ist ein Betrüger.
• Klicken Sie nicht auf Links in Nachrichten. Öffnen Sie das E-Banking nur, indem Sie die Adresse selbst eingeben oder die offizielle App verwenden.
• Wenn Sie unter Zeitdruck gesetzt oder verängstigt werden („Ihr Konto wird in 10 Minuten gesperrt“), handelt es sich fast sicher um Betrug. Beenden Sie das Gespräch und rufen Sie selbst die offizielle Nummer an.

Häufig gestellte Fragen

Dieser Artikel dient der Information und bezieht sich auf die Rechtslage und Rechtsprechung zum Zeitpunkt seiner Erstellung. Jeder Betrugsfall ist anhand seiner eigenen Tatsachen zu beurteilen. Wenn Sie Opfer geworden sind, handeln Sie sofort und wenden Sie sich an einen Rechtsanwalt.