Nicht autorisierte Abbuchungen zahlt die Bank, nicht der Kunde

Rund 1,5 Millionen Euro verschwanden im Sommer 2019 von den Konten von mehr als 2000 Kunden der Oldenburgischen Landesbank, abgehoben an Automaten im Ausland mit kopierten Kartendaten. Die Bank erstattete den Schaden umgehend und vollständig, ohne dass die Betroffenen dafür etwas unternehmen mussten (heise online, September 2019¹). Für eine nicht autorisierte Abbuchung haftet in Deutschland der Zahlungsdienstleister.

§ 675u BGB verpflichtet ihn, den Betrag zu erstatten und das Konto in den Zustand ohne die Belastung zurückzuversetzen, spätestens bis zum Ende des Geschäftstags, der auf die Kenntnis von der fehlenden Autorisierung folgt (§ 675u BGB gesetze-im-internet.de ↗).

Vier mutmaßliche Mitglieder des Netzwerks wurden am 13. August 2026 in Brasilien verhaftet, gegen drei weitere laufen Verfahren in Spanien und Bulgarien. Eric Voigt berichtete darüber am 14. August 2026 mit Material der dpa in der ZEIT; die Bande habe Bankkunden um Millionen Euro gebracht. Die Mitteilung des Bundeskriminalamts, auf die alle Berichte zurückgehen, wählt ein anderes Wort: Über eine Schwachstelle bei einem Zahlungsdienstleister seien im November 2023 binnen vier Tagen Abbuchungen erfolgt, „nicht autorisiert“ (Bundeskriminalamt, 14. August 2026²).

Die Ermittler nennen die Abbuchungen nicht autorisiert, und daran hängt die Erstattung#

Der Anspruch aus § 675u hängt weder am Ausgang des Strafverfahrens noch daran, ob die Festgenommenen je Geld zurückzahlen. Die Bundesregierung hat ihn im Oktober 2025 in der Antwort auf eine Anfrage im Bundestag ausdrücklich bestätigt: Bei einer unautorisierten Zahlung stehe dem Kontoinhaber „grundsätzlich ein Rückerstattungsanspruch gegen seinen Zahlungsdienstleister nach § 675u Satz 2“ zu (Bundestags-Drucksache 21/2145 dserver.bundestag.de ↗).

Der gemeldete Zahlungsbetrug im Europäischen Wirtschaftsraum lag 2024 bei 4,2 Milliarden Euro, nach 3,5 Milliarden im Jahr zuvor; bei Überweisungen trugen die Bankkunden davon rund 85 Prozent der Verluste (Europäische Zentralbank, Dezember 2025³), bei Kartenzahlungen nach dem zugrunde liegenden Bericht von EBA und EZB rund 38 Prozent. Den Abstand erklärt die Herkunft des Auftrags: Bei Karten und Barabhebungen gingen über 90 Prozent des Betrugswerts auf Aufträge des Täters selbst zurück, bei Überweisungen 74 Prozent auf einen manipulierten Zahler. Wie schmal die Grenze verläuft, zeigt eine echte Rechnung mit getauschter Kontoverbindung⁴.

Die Beweislast für die Abbuchung liegt beim Zahlungsdienstleister#

Beruft sich ein Institut darauf, die Zahlung sei autorisiert gewesen, muss es das beweisen. Die Aufzeichnung, dass das Zahlungsinstrument genutzt und die Authentifizierung durchlaufen wurde, genügt dafür allein nicht (§ 675w BGB). Das Protokoll zeigt, dass jemand die richtigen Merkmale vorgelegt hat. Wer das war, zeigt es nicht.

Bei einfacher Fahrlässigkeit im Umgang mit einem abhandengekommenen Zahlungsinstrument haftet der Kunde bis 50 Euro, bei Vorsatz oder grober Fahrlässigkeit in voller Höhe; verlangt der Dienstleister keine starke Kundenauthentifizierung, haftet der Kunde gar nicht (§ 675v BGB). Nach 13 Monaten ab dem Tag der Belastung ist der Anspruch ausgeschlossen, allerdings nur, wenn das Institut den Kunden über den Zahlungsvorgang unterrichtet hat (§ 676b BGB).

Die Meldepflicht endet bei der Aufsicht und beim Kunden#

Ein schwerwiegender Betriebs- oder Sicherheitsvorfall geht unverzüglich an die BaFin und von dort an die Europäische Bankenaufsicht und die EZB; sind die finanziellen Interessen der Kunden gefährdet, unterrichtet der Dienstleister auch diese (§ 54 ZAG). Eine Veröffentlichung sieht die Norm an keiner Stelle vor, und das erklärt, warum in der Mitteilung des BKA kein Firmenname steht.

Die BaFin verzeichnete für 2023 rund 235 gemeldete Zahlungsvorfälle, 17,5 Prozent mehr als im Vorjahr. Nur 5,1 Prozent davon waren Sicherheitsvorfälle; rund 78 Prozent gingen auf Prozess- und Systemfehler zurück, und in rund 40 Prozent der Fälle lag die Ursache bei einem Dienstleister des Instituts (BaFin, Juli 2024⁵). Der Angriff vom November 2023 traf genau diese Stelle der Kette, an der auch die Versicherer ansetzen, wenn sie klären, wer den Schaden am Ende wirklich trägt⁶.

Gezählt wird damit der Vorfall. Zur Zahl der Betrugsfälle und zum Ausgang der Erstattungsverlangen liegen der Bundesregierung nach eigener Auskunft keine Daten vor: „Online-Banking-Betrugsfälle“ seien keine Kategorie der offiziellen Statistiken, und weil die Beziehung zwischen Institut und Kunde privatrechtlicher Natur sei, gebe es dazu „keine gesammelten Informationen“.

2019 stand der Name der Bank in der Meldung, 2026 nur der Schaden#

Damals war das Institut benannt, die Summe beziffert, die Erstattung öffentlich bestätigt. Heute bleibt der Zahlungsdienstleister namenlos, der Schaden heißt „Millionenbereich“, und zu Erstattungen schweigt die Mitteilung. Gleich ist die Bauart: eine Schwachstelle außerhalb der Reichweite der Kunden, Auszahlungen im Ausland, eine Rechtsfolge ohne jede Bedingung an das Verhalten der Betroffenen.

Nach der Rechtslage waren die Konten spätestens am Tag nach der Anzeige wieder ausgeglichen, fast drei Jahre vor der ersten Festnahme. Das Zahlungsdienstepaket, auf das sich Parlament und Rat im November 2025 geeinigt haben, zieht die Grenze weiter zugunsten der Kunden: Löst ein Täter eine Zahlung aus oder verändert er sie, soll sie als nicht autorisiert gelten. An der Prüfbarkeit ändert das nichts. Der Dienstleister wird in keiner der Behördenmitteilungen genannt, und wie oft die Frist aus § 675u eingehalten wird, weiß nach eigener Auskunft nicht einmal die Bundesregierung.

Anlass war der Bericht „Betrug beim Onlinebanking: BKA deckt internationales Netzwerk von Cyberkriminellen auf“ von Eric Voigt mit Material der dpa für DIE ZEIT vom 14. August 2026. Zeitfenster, Tatbeschreibung und Festnahmen stammen aus der Pressemitteilung des Bundeskriminalamts vom 14. August 2026, die amtliche Bestätigung des Erstattungsanspruchs und die Auskunft zur Datenlage aus der Bundestags-Drucksache 21/2145 dserver.bundestag.de ↗ vom 9. Oktober 2025, die Meldezahlen aus dem BaFinJournal (Juli 2024), die europäischen Betrugszahlen aus der Pressemitteilung der EZB ecb.europa.eu ↗ zum Payment Fraud Report von EBA und EZB (15. Dezember 2025), der Präzedenzfall von 2019 aus der Berichterstattung von heise online. Die zitierten Normen im Wortlaut: § 675v gesetze-im-internet.de ↗, § 675w gesetze-im-internet.de ↗ und § 676b BGB gesetze-im-internet.de ↗ sowie § 54 ZAG gesetze-im-internet.de ↗; die Einigung zum Zahlungsdienstepaket in der Mitteilung des Europäischen Parlaments europarl.europa.eu ↗ vom 27. November 2025.