Commerzbank-Betrugsmasche: Verdächtige Briefe, SMS und E-Mails rechtlich einordnen

Wer nach einer „Commerzbank-Betrugsmasche“ sucht, möchte meist wissen, ob eine Nachricht im Namen der Bank echt ist und wer für einen möglichen Schaden haftet. Briefkopf, Absenderanzeige und die Kenntnis persönlicher Daten beweisen die Echtheit nicht. Verdächtige Aufforderungen sollten deshalb über einen unabhängig bekannten Kontaktweg überprüft werden. [13] Rechtlich entscheidend ist insbesondere, ob eine Zahlung autorisiert wurde und welche Sorgfaltspflichten im Einzelfall bestanden.

Dieser Beitrag erläutert die deutsche Rechtslage. Er bestätigt weder die Echtheit einzelner Commerzbank-Schreiben noch bestimmte aktuelle Betrugsfälle oder Warnmeldungen.

Die wichtigsten Ergebnisse:

Verdächtige Commerzbank-Nachrichten: Die wichtigsten Suchfragen zuerst

„Commerzbank fake brief 2026“, 2025 oder 2024: Was sagt das Jahr aus?

Ob nach einem angeblichen „Commerzbank fake brief 2026“, einem Schreiben aus 2025 oder einem Brief aus 2024 gesucht wird: Das Jahresdatum ist kein Echtheitsmerkmal. Es lässt auch keinen belastbaren Schluss darauf zu, dass ein Schreiben zu einer bestimmten Betrugsserie gehört.

Aktualisierung von Kundendaten und Geldwäschegesetz: Kann ein Brief berechtigt sein?

Eine Aufforderung zur Aktualisierung von Kundendaten kann einen rechtmäßigen Hintergrund haben. § 10 Abs. 1 Nr. 5 GwG verlangt im Rahmen der laufenden Überwachung, dass relevante Dokumente, Daten und Informationen unter Berücksichtigung des jeweiligen Risikos in angemessenem zeitlichem Abstand aktualisiert werden. § 11 Abs. 6 GwG verpflichtet Vertragspartner insbesondere zur Bereitstellung der zur Identifizierung erforderlichen Informationen und Unterlagen sowie zur unverzüglichen Anzeige entsprechender Änderungen während der Geschäftsbeziehung. [1]

Ein vermeintlicher „Commerzbank Geldwäschegesetz Brief“ ist aber nicht schon wegen des Gesetzesverweises echt. Ebenso wenig ist jeder Brief zur Aktualisierung von Kundendaten verdächtig. Entscheidend ist, ob die konkrete Anforderung tatsächlich von der Bank stammt und der gewählte Übermittlungsweg verlässlich ist.

Ob die Commerzbank für ein bestimmtes Produkt oder einen konkreten Vorgang aktuell SMS verwendet, lässt sich nicht aus der Rechtslage ableiten. Maßgeblich sind die vereinbarten Kommunikationsverfahren und eine unabhängig eingeholte Auskunft der Bank.

Für die Prüfung einer möglichen Commerzbank-Phishing-SMS gilt: Eine Nachricht sollte nicht allein wegen ihres Erscheinungsbilds als echt behandelt werden. Aufforderungen zur Anmeldung, Datenübermittlung oder Zahlungsfreigabe sollten über einen unabhängig bekannten Zugang überprüft werden. [13]

Phishing-Briefe, Fake-Mail und angebliche Commerzbank-Warnung: Was ist zu prüfen?

Auch eine Warnung vor Betrug kann selbst als Täuschung eingesetzt werden. [13] Suchbegriffe wie „Commerzbank Betrugsfälle“ ersetzen daher keine Prüfung des konkreten Sachverhalts. Dieser Beitrag trifft keine Aussage darüber, ob bestimmte Vorfälle tatsächlich stattgefunden haben oder gegenwärtig eine bestimmte Kampagne läuft.

Begriffsklärung: Wann liegt Phishing vor?

Entscheidend ist die Täuschung, nicht das Übermittlungsmedium

Phishing bezeichnet den Versuch, durch vorgetäuschte Vertrauenswürdigkeit an Zugangsdaten, Sicherheitsmerkmale oder andere sensible Informationen zu gelangen. Typisch sind Nachrichten, die auf nachgeahmte Internetseiten führen oder zur Preisgabe vertraulicher Informationen auffordern. [13] Für die Prüfung einer solchen Täuschung ist nicht entscheidend, ob die Aufforderung elektronisch, schriftlich oder telefonisch übermittelt wurde.

Für die rechtliche Einordnung sind technische Bezeichnungen nachrangig. Wesentlich ist:

• Welche Informationen wurden verlangt?
• Wer hat auf das Konto zugegriffen?
• Welche Erklärung oder Freigabe hat der Kontoinhaber abgegeben?
• Welche Zahlung wurde anschließend ausgeführt?
• Welche Warnungen und Transaktionsdaten waren tatsächlich erkennbar?

Der Ausdruck „Betrugsmasche“ ist keine eigenständige juristische Kategorie. Er ersetzt weder die Prüfung eines Straftatbestands noch die Voraussetzungen eines Erstattungsanspruchs.

Warnzeichen sind Indizien, keine abschließenden Beweise

Misstrauen ist insbesondere angebracht, wenn eine Nachricht ungewöhnlichen Zeitdruck erzeugt, mit sofortiger Kontosperrung droht oder zur Weitergabe von PIN und TAN auffordert. [13] Aufforderungen zur Installation einer Fernwartungssoftware oder zur Überweisung auf ein angebliches „Sicherheitskonto“ sollten ebenfalls nicht ohne unabhängige Überprüfung befolgt werden.

Umgekehrt beweisen korrekte Rechtschreibung und persönliche Anrede keine Echtheit. [13] Auch ein verschlüsselter Internetauftritt ist nicht automatisch vertrauenswürdig: HTTPS dient der Absicherung der Verbindung zur aufgerufenen Domain. Bei einem domainvalidierten Zertifikat wird die Kontrolle über diese Domain geprüft. Daraus folgt nicht, dass sie der Bank gehört, deren Namen oder Gestaltung die Seite verwendet. [14]

Ein einzelnes Merkmal sollte deshalb nicht überbewertet werden. Maßgeblich bleibt die unabhängige Verifikation des Vorgangs.

Rechtlicher Rahmen: Datenaktualisierung, Autorisierung und Erstattung

Die folgenden zahlungsdiensterechtlichen Ausführungen betreffen insbesondere den üblichen Fall eines privat genutzten Kontos bei einer deutschen Bank und einer Euro-Zahlung innerhalb des Europäischen Wirtschaftsraums. Bei anderen Währungen, Drittstaatenbezug oder Geschäftskunden können Besonderheiten und zulässige vertragliche Abweichungen zu berücksichtigen sein. [9]

Geldwäscherechtliche Pflichten rechtfertigen keine ungeprüfte Datenweitergabe

Das Geldwäschegesetz verpflichtet Banken zur Erfüllung allgemeiner Sorgfaltspflichten. Dazu gehören insbesondere die Identifizierung des Vertragspartners, die Abklärung wirtschaftlicher Berechtigung und gegebenenfalls die Identifizierung wirtschaftlich Berechtigter sowie die laufende Überwachung der Geschäftsbeziehung. Umfang und Intensität richten sich nach den gesetzlichen Vorgaben und dem jeweiligen Risiko. [1]

Kunden können zur Mitwirkung verpflichtet sein. Eine echte Anfrage sollte deshalb nicht unbegrenzt ignoriert werden. Kann eine Bank die Sorgfaltspflichten nach § 10 Abs. 1 Nr. 1 bis 4 GwG nicht erfüllen, sieht § 10 Abs. 9 GwG grundsätzlich vor, dass sie die Geschäftsbeziehung nicht begründen oder fortsetzen und keine Transaktion durchführen darf. Bestehende Geschäftsbeziehungen sind nach Maßgabe dieser Vorschrift zu beenden; gesetzliche Ausnahmen bleiben zu beachten. Nicht jede ausstehende Datenaktualisierung führt automatisch zu diesen Rechtsfolgen. [1]

Daraus folgt keine Pflicht, einem ungeprüften QR-Code zu folgen oder Ausweisdokumente an eine beliebige E-Mail-Adresse zu senden. Sachgerecht ist die Nachfrage über einen bereits bekannten Zugang oder einen unabhängig ermittelten Kontakt.

Nicht autorisierte Zahlung: Grundsätzlich muss die Bank erstatten

Nach § 675j BGB ist ein Zahlungsvorgang gegenüber dem Zahler nur wirksam, wenn dieser ihm zugestimmt hat. Diese Zustimmung wird als Autorisierung bezeichnet. Art und Weise der Zustimmung richten sich nach der Vereinbarung zwischen Zahler und Zahlungsdienstleister. [2]

Fehlt die Autorisierung, hat der Zahlungsdienstleister nach § 675u BGB grundsätzlich keinen Anspruch auf Erstattung seiner Aufwendungen. Er muss den Zahlungsbetrag erstatten und ein belastetes Zahlungskonto auf den Stand bringen, auf dem es sich ohne die nicht autorisierte Belastung befunden hätte. [3]

Diese Verpflichtung ist grundsätzlich unverzüglich zu erfüllen, spätestens bis zum Ende des Geschäftstags, der auf den Tag der Anzeige oder anderweitigen Kenntnis des Zahlungsdienstleisters folgt. Für diese Erfüllungsfrist enthält das Gesetz eine Ausnahme: Der Zahlungsdienstleister muss einer zuständigen Behörde schriftlich berechtigte Gründe für den Verdacht mitgeteilt haben, dass der Zahler betrügerisch gehandelt hat. Eine pauschale Berufung auf noch laufende interne Ermittlungen erfüllt diese Voraussetzung nicht. [3]

Authentifizierung und Autorisierung sind nicht dasselbe

Authentifizierung betrifft die Überprüfung der Identität eines Zahlungsdienstnutzers oder der berechtigten Verwendung eines Zahlungsinstruments. Autorisierung bedeutet dagegen die Zustimmung zur Zahlung. [2][5]

Wer sich auf einer gefälschten Seite anmeldet, stimmt dadurch nicht automatisch einer später von Dritten ausgelösten Überweisung zu. Auch eine TAN-Eingabe muss im Zusammenhang mit dem tatsächlich angezeigten und vereinbarten Freigabeverfahren bewertet werden.

Anders kann es liegen, wenn jemand bewusst einen bestimmten Betrag an eine angezeigte Empfänger-IBAN überweist, weil ein Betrüger einen überzeugenden Anlass vorgespiegelt hat. Eine Täuschung über den Zweck der Überweisung macht die Zahlung nicht ohne Weiteres zu einer nicht autorisierten Zahlung. Ob eine wirksame Autorisierung vorliegt, hängt insbesondere vom Inhalt der abgegebenen Erklärung und dem Freigabeablauf ab. [2]

Grobe Fahrlässigkeit: Keine automatische Folge jedes Fehlers

§ 675v BGB regelt mögliche Ersatzansprüche des Zahlungsdienstleisters bei nicht autorisierten Zahlungsvorgängen. Unter bestimmten Voraussetzungen kommt eine begrenzte Haftung des Zahlers bis zu 50 Euro in Betracht. Dieser Betrag ist kein allgemeiner Selbstbehalt bei jedem Phishing-Fall. Bei betrügerischem Handeln oder einer vorsätzlichen beziehungsweise grob fahrlässigen Verletzung bestimmter Pflichten kann eine weitergehende Haftung entstehen. Das Gesetz enthält zugleich Haftungsausschlüsse. [4]

Grobe Fahrlässigkeit setzt eine besonders schwere Verletzung der erforderlichen Sorgfalt voraus. Bei ihrer Bewertung sind auch die persönlichen Fähigkeiten und die konkreten Umstände zu berücksichtigen. Nicht jeder Klick und nicht jede Datenpreisgabe erfüllt diesen Maßstab. Ob eine haftungsbegründende Pflichtverletzung vorliegt, bedarf deshalb einer Einzelfallprüfung; für ihren Nachweis gelten die Anforderungen des § 675w BGB. [4][5]

Bedeutsam können beispielsweise sein:

• die konkreten Hinweise in der Nachricht,
• die sichtbaren Daten in der Freigabeanwendung,
• die Aufforderung zur Weitergabe persönlicher Sicherheitsmerkmale,
• die Verständlichkeit und Deutlichkeit von Warnungen,
• der tatsächliche Ablauf der Täuschung.

Für Schäden aus einer Nutzung nach der maßgeblichen Anzeige haftet der Zahler nach § 675v Abs. 5 BGB grundsätzlich nicht; eine Ausnahme besteht bei betrügerischem Handeln des Zahlers. Auch eine nicht verlangte oder nicht akzeptierte starke Kundenauthentifizierung kann nach § 675v Abs. 4 BGB zum Ausschluss der Kundenhaftung führen. Daraus folgt jedoch kein pauschaler Erstattungsanspruch für jede selbst autorisierte Überweisung. [4]

Beweislast und Rechtsprechungslinien

„Die TAN wurde verwendet“ reicht für sich genommen nicht

Bestreitet der Kunde die Autorisierung, muss der Zahlungsdienstleister nach § 675w BGB insbesondere nachweisen, dass eine Authentifizierung erfolgte und der Vorgang ordnungsgemäß aufgezeichnet und verbucht wurde sowie nicht durch eine Störung beeinträchtigt war. [5]

Die aufgezeichnete Nutzung des Zahlungsinstruments reicht für sich genommen nicht notwendigerweise aus, um eine Autorisierung, betrügerisches Handeln oder eine vorsätzliche beziehungsweise grob fahrlässige Pflichtverletzung zu beweisen. Für den Nachweis von Betrug, Vorsatz oder grober Fahrlässigkeit muss der Zahlungsdienstleister unterstützende Beweismittel vorlegen. [5]

Auch der Kunde sollte den Ablauf möglichst konkret schildern. Die gesetzliche Beweislastverteilung ersetzt keine nachvollziehbare Darstellung dessen, was er selbst wahrgenommen und getan hat. Welche Darlegungen im Prozess erforderlich sind, hängt vom konkreten Streitstoff ab.

Technische Sicherheit muss fallbezogen bewertet werden

Eine dokumentierte technische Freigabe darf nicht mit der rechtlichen Zustimmung zur Zahlung gleichgesetzt werden. § 675w BGB unterscheidet ausdrücklich zwischen dem Nachweis der Authentifizierung und den weiteren Fragen der Autorisierung sowie einer möglichen haftungsbegründenden Pflichtverletzung. Die Beurteilung muss daher das konkret vereinbarte Verfahren, die vorgelegten Aufzeichnungen und den behaupteten Geschehensablauf berücksichtigen. [2][5]

Aus der bloßen Verwendung eines bestimmten Freigabeverfahrens lässt sich kein allgemeines Ergebnis für sämtliche Phishing-Fälle ableiten. Für gegenwärtige Fälle sind die geltenden gesetzlichen Regeln und die konkret nachweisbaren Umstände maßgeblich.

Weder gewinnt stets die Bank wegen einer protokollierten Freigabe, noch erhält jeder Getäuschte automatisch sein Geld zurück.

Typische Fallkonstellationen und ihre Rechtsfolgen

Fall 1: Verdächtiger Brief, aber noch keine Daten eingegeben

Solange weder Daten übermittelt noch Zahlungen ausgelöst wurden, steht die Vermeidung eines Schadens im Vordergrund. Der Brief sollte aufbewahrt und sein Inhalt unabhängig überprüft werden. Ein Erstattungsanspruch nach § 675u BGB entsteht nicht allein dadurch, dass jemand ein gefälschtes Schreiben erhält. [3]

Ein QR-Code muss zur Prüfung nicht geöffnet werden. Sinnvoller ist zunächst, die angebliche Anfrage unmittelbar über einen bekannten Zugang zu verifizieren.

Fall 2: Zugangsdaten preisgegeben, aber keine Kontobelastung erkennbar

Hier besteht Handlungsbedarf, auch wenn noch kein Geld fehlt. § 675l Abs. 1 BGB verpflichtet den Zahlungsdienstnutzer insbesondere zu zumutbaren Vorkehrungen zum Schutz personalisierter Sicherheitsmerkmale. Der Verlust, Diebstahl, die missbräuchliche Verwendung oder eine sonstige nicht autorisierte Nutzung eines Zahlungsinstruments ist nach Kenntniserlangung unverzüglich dem Zahlungsdienstleister oder einer von ihm benannten Stelle anzuzeigen. [6]

Die Bank sollte erfahren, welche Daten oder Geräte betroffen sein könnten. Mit ihr sollte geklärt werden, ob neben einer Passwortänderung weitere Maßnahmen erforderlich sind, insbesondere eine Sperre oder eine Überprüfung eingerichteter Freigabeverfahren und Geräte.

Fall 3: Dritte haben ohne Zustimmung überwiesen

Dann steht der Erstattungsanspruch nach § 675u BGB im Mittelpunkt. Die Bank kann dem gegebenenfalls einen Schadensersatzanspruch nach § 675v BGB entgegenhalten. Beide Fragen müssen getrennt geprüft werden: fehlende Autorisierung einerseits, eine haftungsbegründende Pflichtverletzung des Kunden andererseits. [3][4]

Die Schadensmeldung sollte Betrag, Buchungsdatum und Empfänger nennen, soweit diese Informationen verfügbar sind. Wer die Zahlung nicht autorisiert hat, sollte dies ausdrücklich mitteilen und nicht nur allgemein von einer „verdächtigen Buchung“ sprechen.

Fall 4: Der Kunde hat auf ein angebliches Sicherheitskonto überwiesen

Hat der Kunde die konkrete Zahlung wirksam autorisiert, besteht für diese Zahlung kein Erstattungsanspruch nach § 675u BGB. Denkbar bleiben insbesondere Ansprüche gegen die Täter und gegebenenfalls gegen Empfänger, etwa aus unerlaubter Handlung oder ungerechtfertigter Bereicherung. Deren Voraussetzungen und der richtige Anspruchsgegner müssen gesondert festgestellt werden. [3][9]

Ansprüche gegen die Bank setzen in einer solchen Konstellation eine eigenständige rechtliche Grundlage voraus. Die bloße Ausführung einer autorisierten Überweisung begründet nicht automatisch eine Pflichtverletzung. Ob gesetzliche oder vertragliche Prüf-, Warn- oder Schutzpflichten bestanden und verletzt wurden, ist gesondert zu prüfen. [9]

Ein sofortiger Rückrufversuch ist dennoch sinnvoll. Er garantiert aber keine Rückzahlung. Ein Zahlungsauftrag kann nach § 675p BGB bereits vor der endgültigen Ausführung unwiderruflich sein; ein Rückrufversuch ist von einem rechtlich wirksamen Widerruf zu unterscheiden. [9]

Fall 5: Ausweiskopie oder weitere Identitätsdaten wurden übermittelt

Hier sollte auch eine mögliche missbräuchliche Verwendung außerhalb des Bankkontos berücksichtigt werden. Zu klären ist, welche Daten betroffen sind und ob Anzeichen für eine weitere Nutzung bestehen.

Nicht jede Datenpreisgabe bedeutet bereits, dass Verträge im fremden Namen geschlossen wurden. Verdächtige Vertragsbestätigungen, Inkassoschreiben oder neue Zahlungsaufforderungen sollten jedoch gesichert und konkret geprüft werden. Ein pauschaler Widerspruch gegen alle denkbaren künftigen Verträge ersetzt diese Prüfung nicht.

Fristen und Ablauf: Was Betroffene konkret tun sollten

Sofortmaßnahmen in sinnvoller Reihenfolge

• Kommunikation abbrechen: Keine weiteren Daten, Codes oder Freigaben übermitteln.
• Bank unabhängig kontaktieren: Keine Telefonnummer und keinen Link aus der verdächtigen Nachricht verwenden.
• Betroffene Zugänge und Zahlungsinstrumente sichern lassen: Dabei auch mögliche Veränderungen an Freigabeverfahren ansprechen.
• Kontobewegungen prüfen: Unbekannte Umsätze mit Betrag und Datum festhalten.
• Zahlungen unverzüglich beanstanden: Bei betrügerischen Überweisungen zusätzlich einen sofortigen Rückrufversuch anfordern.
• Beweise sichern und gegebenenfalls Strafanzeige erstatten: Bei fortdauerndem Zugriff darf die Beweissicherung dringende Sperren nicht verzögern.

Wurde auf Aufforderung eines verdächtigen Absenders Fernwartungssoftware installiert, sollte vorsorglich bis zur technischen Klärung ein anderes, nicht betroffenes Gerät für Bankgeschäfte und die Kontaktaufnahme verwendet werden.

Unverzügliche Anzeige und 13-Monats-Grenze

Nach § 676b Abs. 1 BGB muss der Zahlungsdienstnutzer den Zahlungsdienstleister unverzüglich nach Feststellung eines nicht autorisierten oder fehlerhaft ausgeführten Zahlungsvorgangs unterrichten. Daneben sieht § 676b Abs. 2 BGB grundsätzlich einen Ausschluss von Ansprüchen und Einwendungen vor, wenn die Unterrichtung nicht spätestens 13 Monate nach dem Belastungstag erfolgt. [7]

Diese Frist beginnt mit der Belastung nur, wenn die gesetzlich vorgesehenen Informationen über den Zahlungsvorgang spätestens innerhalb eines Monats nach der Belastung mitgeteilt wurden. Andernfalls ist für den Fristbeginn der Zeitpunkt der ordnungsgemäßen Unterrichtung maßgeblich. Für bestimmte Schadensersatzansprüche enthält § 676b Abs. 3 BGB eine zusätzliche Ausnahme. [7]

Die 13 Monate sind keine erlaubte Wartezeit. Wer einen unberechtigten Umsatz erkennt, muss die unverzügliche Anzeigepflicht beachten. Eine Strafanzeige bei der Polizei ersetzt die Mitteilung an die Bank nicht.

Verjährung und weitere Rechtsverfolgung

Neben den zahlungsdiensterechtlichen Ausschlussregeln können Verjährungsfristen gelten. Die regelmäßige Verjährungsfrist beträgt nach § 195 BGB drei Jahre. Ihr Beginn richtet sich grundsätzlich nach § 199 Abs. 1 BGB: Maßgeblich ist regelmäßig der Schluss des Jahres, in dem der Anspruch entstanden ist und der Gläubiger die anspruchsbegründenden Umstände sowie den Schuldner kennt oder ohne grobe Fahrlässigkeit kennen müsste. Für unterschiedliche Ansprüche können Besonderheiten bestehen. [9]

Eine einfache Beschwerde hemmt die Verjährung nicht automatisch. Verhandlungen nach § 203 BGB oder bestimmte Maßnahmen der Rechtsverfolgung nach § 204 BGB können unter den jeweiligen gesetzlichen Voraussetzungen eine Hemmung bewirken. Die bloße Erstattung einer Strafanzeige hemmt die Verjährung eines zivilrechtlichen Anspruchs gegen die Bank nicht. [9]

Erforderliche Belege und typische Fehler

Welche Unterlagen helfen?

Sinnvoll ist eine chronologische Dokumentation mit:

• Originalbrief und Umschlag,
• vollständiger E-Mail einschließlich technischer Kopfzeilen, soweit verfügbar,
• Screenshots von SMS, Webseiten und Freigabeanzeigen, soweit bereits vorhanden oder gefahrlos zu sichern,
• Kontoauszügen und Umsatzdetails,
• Datum, Uhrzeit und Inhalt von Telefonaten,
• Unterlagen über Sperren und Beanstandungen,
• Antworten der Bank sowie dem Aktenzeichen einer Strafanzeige.

Besonders wichtig ist die Unterscheidung zwischen eigener Wahrnehmung und Vermutung. „In der Anwendung wurde ein Betrag angezeigt“ ist etwas anderes als „vermutlich wurde eine Überweisung freigegeben“. Erinnerungslücken sollten als solche benannt werden.

PIN, TAN und sonstige aktive Sicherheitsmerkmale gehören nicht in ungeschützte E-Mails oder öffentlich zugängliche Unterlagen. [6][13]

Welche Fehler schwächen die Aufklärung?

Problematisch können das Löschen der Nachricht, die ausschließliche telefonische Beanstandung ohne eigene Dokumentation und die Verwendung von Kontaktdaten aus dem verdächtigen Schreiben sein. Die gesetzlichen Anzeigepflichten nach § 675l Abs. 1 BGB und § 676b Abs. 1 BGB schreiben keine Schriftform vor. Bei einer telefonischen Meldung können Durchführung und Inhalt später jedoch schwerer nachzuweisen sein. [6][7]

Ebenso ungünstig sind vorschnelle rechtliche Bewertungen wie „Ich war grob fahrlässig“. Betroffene sollten ihre tatsächlichen Handlungen vollständig und wahrheitsgemäß schildern. Ob diese juristisch grob fahrlässig waren, ist eine davon getrennte Frage.

Von einem eigenständigen Weiterverfolgen einer vermuteten Phishing-Seite ist abzuraten. Für die Anspruchsprüfung ist regelmäßig wichtiger, den bereits geschehenen Ablauf sauber zu dokumentieren.

Strafrecht, Kosten und Risiken der Rechtsverfolgung

Welche Straftatbestände kommen in Betracht?

Je nach Vorgehensweise können insbesondere Betrug nach § 263 StGB oder Computerbetrug nach § 263a StGB einschlägig sein. Bei gefälschten körperlichen Schreiben kommt unter den gesetzlichen Voraussetzungen Urkundenfälschung nach § 267 StGB in Betracht; bei beweiserheblichen elektronischen Daten kann § 269 StGB relevant werden. Das unbefugte Verschaffen eines Zugangs zu besonders gesicherten, nicht für den Täter bestimmten Daten unter Überwindung der Zugangssicherung kann § 202a StGB erfüllen. [8]

Nicht jede verdächtige Nachricht verwirklicht bereits die Voraussetzungen eines dieser Delikte. Auch die Abgrenzung zwischen Vorbereitung, strafbarem Versuch und Vollendung hängt vom konkreten Tatablauf und dem jeweiligen Straftatbestand ab.

Eine Strafanzeige kann Ermittlungen anstoßen, führt aber nicht automatisch zur Erstattung durch die Bank oder zur Rückgewinnung des Geldes.

Wann entstehen Kosten?

Für die bloße Erstattung einer Strafanzeige bei Polizei oder Staatsanwaltschaft fällt grundsätzlich keine Gebühr an. Davon zu unterscheiden sind etwa die Kosten einer beauftragten anwaltlichen Vertretung. Kosten können außerdem durch technische Untersuchungen und ein Zivilverfahren entstehen.

Die anwaltliche Vergütung richtet sich grundsätzlich nach dem Rechtsanwaltsvergütungsgesetz oder einer wirksamen Vergütungsvereinbarung. Für eine Beratung ist insbesondere § 34 RVG zu beachten: Fehlt eine Vergütungsvereinbarung, verweist die Vorschrift auf das bürgerliche Recht und enthält für Verbraucher besondere Gebührenbegrenzungen. Gerichtskosten bestimmen sich nach dem Gerichtskostengesetz; häufig ist der Streitwert maßgeblich. [10][11]

Bei einem verlorenen Zivilprozess besteht nach § 91 ZPO grundsätzlich auch die Pflicht, die notwendigen erstattungsfähigen Kosten der Gegenseite zu tragen. Bei teilweisem Erfolg kann nach § 92 ZPO eine Kostenaufteilung erfolgen. [12]

Vor einer Klage sollten daher Anspruchshöhe, Beweislage, Kostenrisiko und mögliche außergerichtliche Verfahren geprüft werden. Eine Rechtsschutzversicherung übernimmt Kosten nicht automatisch; maßgeblich sind der Versicherungsvertrag und die Deckungsprüfung. Auch eine Beschwerde bei einer Aufsichtsbehörde ersetzt keine verbindliche Entscheidung über einen individuellen Zahlungsanspruch.

Häufige Fragen

Ist ein Commerzbank-Brief mit QR-Code automatisch gefälscht?

Nein. Das Vorhandensein eines QR-Codes beweist weder Echtheit noch Fälschung. Entscheidend ist, ob die konkrete Aufforderung über einen unabhängig bekannten Zugang bestätigt werden kann. Bis dahin sollten über eine damit aufgerufene Seite keine sensiblen Daten eingegeben werden.

Muss ich auf einen Brief zur Aktualisierung meiner Kundendaten reagieren?

Eine echte Anfrage kann auf gesetzlichen Mitwirkungspflichten beruhen. Deshalb ist vollständiges Ignorieren keine verlässliche Lösung. Bei Zweifeln sollte zunächst unabhängig geklärt werden, ob die Bank tatsächlich Informationen benötigt und wie diese sicher übermittelt werden sollen. [1]

Ist eine vertraut wirkende SMS ein Echtheitsbeweis?

Nein. Das vertraute Erscheinungsbild einer Nachricht ersetzt keine unabhängige Bestätigung. Besonders bei Aufforderungen zu Anmeldung, Datenübermittlung oder Zahlungsfreigabe sollte der Vorgang über einen bereits bekannten Zugang überprüft werden. [13]

Bekomme ich nach einer Phishing-Zahlung mein Geld zurück?

Bei einer nicht autorisierten Zahlung besteht grundsätzlich ein Anspruch nach § 675u BGB. Eine mögliche Kundenhaftung nach § 675v BGB muss gesondert geprüft werden. Hat der Kunde die konkrete Zahlung selbst wirksam autorisiert, obwohl er über ihren Zweck getäuscht wurde, ist die rechtliche Ausgangslage anders. [2][3][4]

Bedeutet eine TAN-Eingabe automatisch grobe Fahrlässigkeit?

Nein. Maßgeblich sind der konkrete Ablauf, erkennbare Transaktionsdaten und Warnungen sowie weitere persönliche und situative Umstände. Die technisch protokollierte Nutzung allein genügt nicht notwendigerweise als Beweis einer grob fahrlässigen Pflichtverletzung. [5]

Reicht eine Strafanzeige aus?

Nein. Der zuständige Zahlungsdienstleister beziehungsweise die für Sperranzeigen benannte Stelle muss unabhängig davon unverzüglich informiert werden. Die Strafanzeige ersetzt weder die Sperranzeige noch die konkrete Beanstandung einer Kontobelastung oder die Wahrung zivilrechtlicher Fristen. [6][7]

Zusammenfassung

Verdächtige Briefe, SMS und E-Mails im Namen der Commerzbank müssen anhand des konkreten Vorgangs geprüft werden. Weder Jahreszahl und Briefkopf noch ein Hinweis auf das Geldwäschegesetz oder eine vertraute Absenderanzeige bestätigen die Echtheit.

Für finanzielle Ansprüche ist die Unterscheidung zwischen nicht autorisierten Zahlungen und selbst autorisierten, aber durch Täuschung veranlassten Überweisungen zentral. Eine technisch erfolgreiche Freigabe entscheidet weder allein über die Autorisierung noch über grobe Fahrlässigkeit.

Die wichtigsten nächsten Schritte sind eine unabhängig veranlasste Sicherung der Zugänge, die unverzügliche Mitteilung an die Bank, eine präzise Zahlungsbeanstandung und eine vollständige Beweissicherung. Ob darüber hinaus Ansprüche bestehen und gegen wen sie durchsetzbar sind, hängt vom nachweisbaren Einzelfall ab.