Kann man mit der IBAN ein Konto leerräumen? Risiken, Erstattungsansprüche und Schutzmaßnahmen

Mit der IBAN allein lässt sich ein Bankkonto normalerweise nicht wie mit einem Onlinebanking-Zugang bedienen. Wer lediglich Ihre Kontonummer im internationalen Format kennt, kann dadurch weder Ihren Kontostand abrufen noch Überweisungen von Ihrem Konto freigeben. Dennoch kann die IBAN insbesondere für unberechtigte Lastschrifteinzüge oder als Bestandteil eines weitergehenden Betrugsversuchs verwendet werden.

Rechtlich muss zwischen einer tatsächlich vorgenommenen Kontobelastung und einem endgültigen finanziellen Verlust unterschieden werden. Eine Buchung beweist noch nicht, dass Sie ihr zugestimmt haben. Bei nicht autorisierten Zahlungsvorgängen bestehen grundsätzlich Erstattungsansprüche gegen die kontoführende Bank. Entscheidend sind allerdings das verwendete Zahlungsverfahren, die Umstände einer möglichen Freigabe und die rechtzeitige Meldung. [1][3][5]

Dieser Beitrag erläutert die Rechtslage für Kontoinhaber in Deutschland, insbesondere für Verbraucher und SEPA-Basislastschriften. Bei Zahlungsdiensteverträgen mit Nichtverbrauchern und bei SEPA-Firmenlastschriften können abweichende Regeln gelten. [2][15]

• Die IBAN ist eine Kontokennung, kein Zugangsschlüssel. Ihre Kenntnis ersetzt keine Autorisierung eines Zahlungsvorgangs. [1][13]
• Unberechtigte Lastschriften sind möglich. Im SEPA-Basislastschriftverfahren verwaltet grundsätzlich der Zahlungsempfänger das Mandat. Die Bank des Zahlers muss dessen Wirksamkeit nicht vor jeder Einlösung überprüfen. Eine Buchung belegt deshalb kein wirksames Mandat. [14]
• Für SEPA-Basislastschriften besteht grundsätzlich ein voraussetzungsloses Erstattungsrecht innerhalb von acht Wochen ab Belastung. Es erfasst auch autorisierte Abbuchungen. [4][14]
• Nicht autorisierte Zahlungen müssen unverzüglich nach ihrer Feststellung gemeldet werden. Daneben gilt grundsätzlich eine Ausschlussfrist von 13 Monaten; sie ist keine allgemeine Wartefrist. [5]
• Eine selbst autorisierte Überweisung ist rechtlich anders zu behandeln als eine fremde Abbuchung. Eine Täuschung macht eine Zahlungsfreigabe nicht automatisch zu einem nicht autorisierten Vorgang. [1]
• Die Weitergabe der IBAN allein begründet nicht automatisch eine Haftung. Maßgeblich sind die gesetzlichen Haftungsvoraussetzungen und gegebenenfalls eine konkrete, schuldhafte Pflichtverletzung. [6]

Was die IBAN ermöglicht – und was nicht

Kontokennung statt Verfügungsberechtigung

Die IBAN ist dagegen weder ein Passwort noch ein persönliches Sicherheitsmerkmal zur Freigabe einer Überweisung. Sie gewährt für sich genommen keinen Zugriff auf das Onlinebanking und keine Auskunft über Guthaben, Dispositionskredit oder bisherige Umsätze.

Das deutsche Zahlungsdiensterecht unterscheidet zwischen der technischen Kontozuordnung und der Autorisierung eines Zahlungsvorgangs. Nach § 675j Absatz 1 BGB ist ein Zahlungsvorgang gegenüber dem Zahler nur wirksam, wenn dieser zugestimmt hat. Art und Weise der Zustimmung richten sich nach der Vereinbarung zwischen dem Zahler und seinem Zahlungsdienstleister. [1]

Warum trotzdem ein Missbrauchsrisiko besteht

Bei SEPA-Basislastschriften muss der Kontoinhaber nicht jede einzelne Buchung erneut bestätigen. Ein Mandat kann auch wiederkehrende Einzüge abdecken. Deshalb beweist das Fehlen einer gesonderten Freigabe für die einzelne Abbuchung noch keinen Missbrauch. [14]

Die technische Ausführung setzt jedoch nicht voraus, dass die Bank des Zahlers zuvor das Originalmandat geprüft hat. Nach dem SEPA Direct Debit Core Scheme Rulebook des European Payments Council wird das Mandat grundsätzlich beim Zahlungsempfänger verwaltet und aufbewahrt. Mit dem Einzug werden Mandatsdaten übermittelt; eine routinemäßige Prüfung des zugrunde liegenden Mandats durch die Bank des Zahlers ist im Basislastschriftverfahren nicht vorgesehen. Dadurch können auch Einzüge mit unzutreffenden Mandatsangaben zunächst ausgeführt werden. Die technische Buchung und ihre rechtliche Berechtigung sind daher zu unterscheiden. [1][14]

Daraus folgt allerdings nicht, dass jeder allein durch Kenntnis einer IBAN unmittelbar Lastschriften einreichen kann. Dafür benötigt der Einreicher einen Zugang zum Lastschriftverfahren über einen Zahlungsdienstleister und muss die dafür vorgesehenen Voraussetzungen erfüllen. Das Missbrauchsrisiko besteht innerhalb dieses Einzugsverfahrens. [14]

Welche Zahlungsart vorliegt, entscheidet über die Rechtslage

Nicht autorisierte Zahlungen: Erstattung nach § 675u BGB

Fehlt die nach § 675j BGB erforderliche Zustimmung, liegt ein nicht autorisierter Zahlungsvorgang vor. Nach § 675u BGB hat die Bank dann keinen Anspruch auf Erstattung ihrer Aufwendungen gegen den Kunden. Sie muss den Zahlungsbetrag grundsätzlich unverzüglich erstatten und ein belastetes Zahlungskonto so stellen, wie es ohne die Belastung gestanden hätte. [1][3]

Die Erstattung muss grundsätzlich spätestens bis zum Ende des Geschäftstags erfolgen, der auf die Anzeige beziehungsweise die anderweitige Kenntnis der Bank folgt. Diese zeitliche Vorgabe gilt nicht, wenn die Bank einer zuständigen Behörde schriftlich berechtigte Gründe für den Verdacht mitgeteilt hat, dass sich der Zahler betrügerisch verhalten hat. [3]

Ein interner Prüfprozess allein rechtfertigt keine beliebige Verzögerung. Ebenso wenig setzt der Erstattungsanspruch voraus, dass der Täter bereits ermittelt wurde. Die Bank darf allerdings prüfen, ob tatsächlich ein nicht autorisierter Vorgang vorliegt; für den Nachweis gelten insbesondere die Regeln des § 675w BGB. [3][7]

Davon zu unterscheiden ist ein möglicher Schadensersatzanspruch der Bank gegen den Kunden. Ein solcher kann insbesondere bei vorsätzlicher oder grob fahrlässiger Verletzung bestimmter Sicherheits- und Anzeigepflichten in Betracht kommen. [6]

Autorisierte SEPA-Basislastschriften: acht Wochen ohne Begründung

Für SEPA-Basislastschriften besteht ein besonders weitreichendes Erstattungsrecht. Nach § 675x Absätze 2 und 4 BGB kann der Zahler grundsätzlich innerhalb von acht Wochen ab Belastung die Erstattung verlangen, ohne einen Grund angeben zu müssen. Das gilt auch bei einem wirksamen Mandat. Innerhalb dieser Frist muss der Erstattungsanspruch gegenüber der Bank geltend gemacht werden. Das entsprechende Erstattungsrecht ist auch im SEPA-Basislastschriftregelwerk vorgesehen. [4][14]

Dabei sind zwei Rechtsverhältnisse auseinanderzuhalten:

• Das Verhältnis zur Bank: Besteht ein Anspruch auf Erstattung der Lastschrift?
• Das Verhältnis zum Zahlungsempfänger: Besteht weiterhin eine Forderung, etwa aus einem Kauf-, Miet- oder Dienstleistungsvertrag?

Eine Rückgabe beseitigt weder automatisch den zugrunde liegenden Vertrag noch eine daraus bestehende Zahlungspflicht. Bleibt eine berechtigte Forderung nach der Rückgabe unbezahlt, können unter den Voraussetzungen der §§ 280 und 286 BGB Verzug und ersatzfähige Folgekosten eintreten. [2]

Selbst freigegebene Überweisungen: kein allgemeines Rückgaberecht

Für eine selbst autorisierte Überweisung gibt es kein mit der SEPA-Basislastschrift vergleichbares achtwöchiges Erstattungsrecht. Nach § 675p BGB kann ein Zahlungsauftrag grundsätzlich nach seinem Zugang beim Zahlungsdienstleister des Zahlers nicht mehr einseitig widerrufen werden. Für bestimmte Konstellationen, insbesondere vereinbarte spätere Ausführungstermine, gelten besondere Regeln. [2][4]

Wer aufgrund einer gefälschten Rechnung selbst eine Überweisung auf das Täterkonto autorisiert, befindet sich deshalb in einer anderen Lage als jemand, dessen Konto ohne Zustimmung belastet wird. Ob eine angezeigte Freigabe tatsächlich die Zustimmung zu dem ausgeführten Zahlungsvorgang enthält, muss anhand des konkreten Ablaufs geprüft werden. [1]

Die Bank sollte trotzdem sofort kontaktiert werden. Ein Rückrufversuch oder eine Kontaktaufnahme mit der Empfängerbank kann möglicherweise noch helfen. Ein erfolgreicher Rückruf ist jedoch nicht garantiert. Ob Ansprüche gegen die Bank, den Täter oder andere Beteiligte bestehen, ist gesondert zu beurteilen.

Besonderheiten bei Geschäftskonten

Die beschriebenen Verbraucherrechte lassen sich nicht uneingeschränkt auf jede geschäftliche Kontoverbindung übertragen. § 675e Absatz 4 BGB ermöglicht bei Zahlungsdiensteverträgen mit Nichtverbrauchern für bestimmte Vorschriften abweichende Vereinbarungen. Auch für die Anzeige nach § 676b BGB können andere Fristen vereinbart werden. [2]

Bei einer autorisierten SEPA-Firmenlastschrift sieht das SEPA Direct Debit Business-to-Business Scheme Rulebook des European Payments Council kein Erstattungsrecht vor, das dem voraussetzungslosen Achtwochenrecht der SEPA-Basislastschrift entspricht. Das Firmenlastschriftverfahren ist nur für Zahler vorgesehen, die keine Verbraucher sind. Anders als im Basislastschriftverfahren muss die Bank des Zahlers die erforderliche Mandatsbestätigung einholen und die Einzüge anhand der bestätigten Mandatsinformationen prüfen. [15]

§ 675e Absatz 4 BGB schafft die gesetzliche Möglichkeit, gegenüber Nichtverbrauchern von § 675x BGB abzuweichen; der konkrete Ausschluss des Erstattungsrechts für autorisierte Firmenlastschriften folgt dagegen aus den vereinbarten Verfahrens- und Vertragsbedingungen. Nicht autorisierte Einzüge sind davon zu unterscheiden. Entscheidend sind das tatsächlich vereinbarte Lastschriftverfahren, die Vertragsbedingungen und die Verbrauchereigenschaft – nicht allein die Bezeichnung des Kontos. [2][3][15]

Welche Fristen bei einer unbekannten Abbuchung gelten

Acht Wochen und 13 Monate betreffen unterschiedliche Ansprüche

Die beiden häufig genannten Zeiträume dürfen nicht verwechselt werden:

| Situation | Wesentliche Regel |

|---|---|

| SEPA-Basislastschrift, auch mit wirksamem Mandat | Erstattung grundsätzlich innerhalb von acht Wochen ab Belastung ohne Begründung verlangen |

| Nicht autorisierte Lastschrift oder sonstige nicht autorisierte Zahlung | Grundsätzlich Erstattungsanspruch nach § 675u BGB; unverzügliche Anzeige nach Feststellung |

| Äußerste Anzeigegrenze für nicht autorisierte oder fehlerhaft ausgeführte Zahlungen | Grundsätzlich 13 Monate nach Belastung, unter den Voraussetzungen des § 676b BGB |

| Selbst autorisierte Überweisung | Kein allgemeines achtwöchiges Rückgaberecht |

Die Achtwochenfrist betrifft das besondere Erstattungsrecht bei entsprechenden Lastschriften. Die 13-Monatsfrist betrifft dagegen die Anzeige nicht autorisierter oder fehlerhaft ausgeführter Zahlungsvorgänge. Bei Verträgen mit Nichtverbrauchern können abweichende Vereinbarungen zu beachten sein. [2][3][4][5]

Warum man nicht 13 Monate abwarten darf

§ 676b Absatz 1 BGB verlangt, dass der Kunde die Bank unverzüglich nach Feststellung einer nicht autorisierten oder fehlerhaft ausgeführten Zahlung unterrichtet. Wer eine verdächtige Buchung entdeckt, sollte deshalb nicht erst weitere Abbuchungen abwarten. [5]

Die 13 Monate bilden grundsätzlich eine zusätzliche äußere Ausschlussgrenze. Für den Fristbeginn kommt es darauf an, ob und wann die Bank die gesetzlich vorgeschriebenen Informationen über den Zahlungsvorgang bereitgestellt hat. Bei verspäteter Unterrichtung ist nach § 676b Absatz 2 BGB der Tag der Unterrichtung maßgeblich. [5]

Praktisch sinnvoll ist eine nachweisbare Meldung mit Buchungsdatum, Betrag, Zahlungsempfänger und – sofern zutreffend – der ausdrücklichen Erklärung, dass die Zahlung nicht autorisiert wurde. Eine telefonische Meldung kann schnell sein; eine anschließende dokumentierte Bestätigung erleichtert den Nachweis.

Wer muss eine Zustimmung oder Pflichtverletzung beweisen?

Eine technische Aufzeichnung reicht nicht automatisch aus

Bestreitet ein Kontoinhaber die Autorisierung, ist § 675w BGB zentral. Die Bank muss insbesondere nachweisen, dass eine Authentifizierung erfolgt ist und der Zahlungsvorgang ordnungsgemäß aufgezeichnet, verbucht und nicht durch eine Störung beeinträchtigt wurde. [7]

Das Gesetz unterscheidet zwischen Authentifizierung und Autorisierung. Eine technisch erfolgreiche Anmeldung oder Freigabe ist nicht ohne Weiteres mit einer tatsächlich erteilten Zustimmung des berechtigten Kunden gleichzusetzen.

Nach § 675w BGB reicht die aufgezeichnete Nutzung eines Zahlungsinstruments allein nicht notwendigerweise aus, um die Autorisierung oder ein betrügerisches, vorsätzliches oder grob fahrlässiges Verhalten des Kunden nachzuweisen. Für den Nachweis von Betrug, Vorsatz oder grober Fahrlässigkeit muss der Zahlungsdienstleister unterstützende Beweismittel vorlegen. [7]

Die Rechtsprechung verlangt eine Betrachtung des konkreten Verfahrens

Der Bundesgerichtshof hat sich im Urteil vom 26. Januar 2016 – XI ZR 91/14 – mit dem Nachweis einer Autorisierung im Onlinebanking befasst. Die Entscheidung betrifft insbesondere die Voraussetzungen, unter denen aus dem technischen Ablauf im Wege eines Anscheinsbeweises auf eine Autorisierung geschlossen werden kann. [8]

Daraus folgt keine pauschale Beweisregel zugunsten einer Seite. Von Bedeutung sind insbesondere die Sicherheit des eingesetzten Verfahrens und seine ordnungsgemäße Anwendung im konkreten Fall. Die bloße Angabe, eine Zahlung sei „mit TAN“ ausgeführt worden, ersetzt diese Prüfung nicht. Für heutige Sachverhalte ist außerdem die geltende Fassung des § 675w BGB maßgeblich. [7][8]

Eine Ablehnung der Bank sollte deshalb darauf geprüft werden, ob sie den Nachweis der Autorisierung und eine gegebenenfalls behauptete Pflichtverletzung nachvollziehbar begründet.

Wann eine Haftung des Kunden in Betracht kommt

§ 675v BGB regelt die Haftung des Zahlers bei missbräuchlicher Nutzung eines Zahlungsinstruments. Für bestimmte Schäden infolge des Verlusts, Diebstahls oder einer sonstigen missbräuchlichen Verwendung sieht das Gesetz eine Haftung bis zu 50 Euro vor. Zugleich bestehen Ausschlüsse, etwa wenn der Verlust oder Missbrauch vor der Zahlung für den Zahler nicht bemerkbar war und dieser nicht betrügerisch gehandelt hat. [6]

Eine weitergehende Haftung kann insbesondere bei betrügerischem Handeln oder bei einer vorsätzlichen beziehungsweise grob fahrlässigen Verletzung der in § 675v Absatz 3 BGB bezeichneten Pflichten entstehen. Bei einer Pflichtverletzung muss der Schaden auf ihr beruhen. [6]

Die 50 Euro sind kein allgemeiner Selbstbehalt für jede unberechtigte Kontobelastung. Zunächst müssen die gesetzlichen Haftungsvoraussetzungen erfüllt sein.

Hat die Bank keine starke Kundenauthentifizierung verlangt, schließt § 675v Absatz 4 BGB die Haftung des Zahlers unter den dort genannten Voraussetzungen aus. Der Schutz gilt nicht bei betrügerischem Verhalten des Zahlers. Auch für Schäden nach einer Missbrauchsanzeige enthält § 675v BGB besondere Schutzvorschriften. [6]

Die Weitergabe einer IBAN für einen üblichen Zahlungsvorgang ist nicht automatisch grob fahrlässig. Bei der Weitergabe persönlicher Sicherheitsmerkmale oder einer Freigabe trotz erkennbarer Warnsignale kann die Bewertung anders ausfallen. Entscheidend sind stets die konkreten Umstände; nicht jeder erfolgreiche Betrugsversuch beweist grobe Fahrlässigkeit. [6][7]

Typische Fälle und ihre rechtliche Einordnung

Unbekannte Lastschrift nach Weitergabe der Kontoverbindung

Nach einem Onlineverkauf oder einer sonstigen Mitteilung der IBAN erscheint eine unbekannte Lastschrift.

Zunächst sollte geprüft werden, ob sich hinter dem Buchungstext ein bekannter Vertragspartner oder Zahlungsdienstleister verbirgt. Bleibt der Verdacht einer nicht autorisierten Zahlung bestehen, ist die Bank unverzüglich zu informieren. Innerhalb von acht Wochen kann für eine SEPA-Basislastschrift grundsätzlich ohne Begründung Erstattung verlangt werden. Fehlt die Autorisierung, kommt unabhängig davon § 675u BGB unter Beachtung des § 676b BGB in Betracht. [3][4][5]

Ob die frühere Weitergabe der IBAN tatsächlich ursächlich war, lässt sich aus der zeitlichen Nähe allein nicht ableiten.

Angebliche Sicherheitsprüfung durch die Bank

Ein Anrufer kennt Name und IBAN und behauptet, das Konto müsse geschützt werden. Er verlangt einen Code oder eine Freigabe in der Banking-App.

Das Wissen um die IBAN beweist keine Berechtigung des Anrufers. Wird anschließend eine Zahlung ausgeführt, muss geklärt werden, was genau bestätigt wurde und welche Informationen sichtbar waren. Die Fragen, ob eine Autorisierung vorliegt und ob Sicherheits- oder Anzeigepflichten verletzt wurden, sind getrennt zu beurteilen. [1][6][7]

Wichtig sind deshalb vorhandene Screenshots, Nachrichten und der genaue Inhalt angezeigter Freigaben – nicht nur die allgemeine Erinnerung, man habe „etwas bestätigt“. Zur Dokumentation sollte keine weitere Freigabe vorgenommen werden.

Einkauf unter fremdem Namen und mit fremder IBAN

Wird eine fremde IBAN bei einer Bestellung angegeben, entsteht dadurch nicht automatisch eine Kaufpreisforderung gegen den Kontoinhaber. Ein Anspruch aus § 433 Absatz 2 BGB setzt einen ihm zurechenbaren Kaufvertrag voraus. Ob eine Erklärung zugerechnet werden kann, richtet sich nach den allgemeinen Regeln über Vertragsschluss und Vertretung. [2]

Eine Zahlungsaufforderung sollte trotzdem nicht ignoriert werden. Wurde weder bestellt noch ein Mandat erteilt, sollte dies gegenüber dem Händler klargestellt werden. Bei einem gerichtlichen Mahnbescheid oder einer Klage müssen zusätzlich die jeweiligen gerichtlichen Hinweise und Verfahrensfristen beachtet werden. [10]

Strafrechtlich können je nach Vorgehensweise insbesondere Betrug nach § 263 StGB, Computerbetrug nach § 263a StGB oder Urkundenfälschung beziehungsweise Fälschung beweiserheblicher Daten nach §§ 267 und 269 StGB in Betracht kommen. Welche Tatbestände erfüllt sind, hängt von der konkreten Gestaltung ab. [9]

Was Betroffene konkret tun sollten

Sofortmaßnahmen nach Entdeckung

Bei einer verdächtigen Belastung empfiehlt sich folgendes Vorgehen:

• Buchung einordnen: Handelt es sich um eine Lastschrift, Überweisung, Kartenzahlung oder eine andere Belastung?
• Bank unverzüglich informieren: Den Vorgang eindeutig benennen und eine fehlende Autorisierung ausdrücklich erklären, sofern tatsächlich keine Zustimmung erteilt wurde.
• Erstattung verlangen: Bei einer SEPA-Basislastschrift gegebenenfalls die Rückgabefunktion nutzen; bei nicht autorisierten Zahlungen den entsprechenden Anspruch geltend machen.
• Weiteren Missbrauch verhindern: Bei kompromittierten Zugangsdaten oder Freigabemitteln unverzüglich geeignete Sperren veranlassen.
• Belege sichern: Kontoauszüge, Nachrichten und die Kommunikation mit der Bank aufbewahren.
• Bei Betrugsverdacht Strafanzeige erwägen: Eine Eingangsbestätigung oder ein Aktenzeichen kann zur Dokumentation aufbewahrt werden.

Die gesetzlichen Anzeige- und Schutzpflichten ergeben sich insbesondere aus §§ 675l und 676b BGB. Die Strafanzeige ersetzt weder die Meldung an die Bank noch die zivilrechtliche Geltendmachung eines Anspruchs. [2][5]

Welche Unterlagen besonders wichtig sind

Für eine belastbare Prüfung sind insbesondere hilfreich:

• Buchungs- und Belastungsdaten einschließlich Betrag und Empfänger;
• bei Lastschriften Gläubiger-Identifikationsnummer und Mandatsreferenz;
• vorhandene Mandate, Verträge, Kündigungen oder Widerrufe;
• verdächtige E-Mails, SMS und Gesprächsnotizen;
• Angaben zu verwendeten Geräten und möglichen Fernzugriffen;
• Freigabeanzeigen und Sicherheitsmitteilungen;
• Nachweise über den Zeitpunkt der Meldung;
• die schriftliche Erstattungsentscheidung der Bank.

Die Unterlagen sollten unverändert gesichert werden. Unbekannte Links oder Anhänge sollten nicht allein zur Beweissicherung geöffnet werden.

Welche Schutzmaßnahmen verhältnismäßig sind

Für eine gewöhnliche Überweisung auf das eigene Konto wird die IBAN als Kontokennung verwendet. Ihre Mitteilung allein macht einen Kontowechsel regelmäßig nicht erforderlich. Sinnvoll sind eine Beschränkung auf notwendige Empfänger, regelmäßige Umsatzkontrollen und gegebenenfalls Buchungsbenachrichtigungen.

Bei wiederholten unberechtigten Lastschriften sollte mit der Bank über Lastschriftsperren oder Beschränkungen gesprochen werden. Artikel 5 Absatz 3 Buchstabe d der Verordnung (EU) Nr. 260/2012 sieht für Verbraucher unter anderem Möglichkeiten vor, Lastschriften bestimmter Zahlungsempfänger oder sämtliche Lastschriften zu blockieren und Einzüge nach Betrag oder Periodizität zu begrenzen. Eine umfassende Sperre kann allerdings auch berechtigte Zahlungen verhindern. [13]

Sind zusätzlich Onlinebanking-Zugangsdaten oder Freigabeverfahren betroffen, reicht die Rückgabe einer einzelnen Lastschrift nicht aus. Dann muss der betroffene Zugang abgesichert werden. § 675l BGB verpflichtet Nutzer eines Zahlungsinstruments insbesondere zum Schutz personalisierter Sicherheitsmerkmale und zur unverzüglichen Anzeige eines bemerkten Verlusts, Diebstahls, Missbrauchs oder einer sonstigen nicht autorisierten Nutzung. [2]

Kosten, weitere Ansprüche und typische Fehler

Rückbuchung und Folgeschäden getrennt prüfen

Eine unberechtigte Belastung kann vorübergehend die Liquidität beeinträchtigen. Dadurch können weitere Zahlungen scheitern oder zusätzliche Kosten entstehen.

Solche Folgeschäden sind nicht automatisch in jedem Fall ersatzfähig. Erforderlich sind eine einschlägige Anspruchsgrundlage und die Erfüllung ihrer Voraussetzungen, insbesondere ein zurechenbarer Zusammenhang zwischen dem haftungsbegründenden Vorgang und dem Schaden. Gegen Täter oder Zahlungsempfänger können je nach Sachverhalt insbesondere bereicherungsrechtliche oder deliktische Ansprüche nach §§ 812 ff. beziehungsweise §§ 823 ff. BGB in Betracht kommen. Bereicherungsrechtliche Ansprüche dienen dabei grundsätzlich der Herausgabe des Erlangten und sind von Schadensersatzansprüchen zu unterscheiden. [2]

Deshalb sollten auch Folgekosten und ihre Ursache dokumentiert werden.

Anwalts- und Gerichtskosten

Die gesetzliche Anwaltsvergütung richtet sich nach dem Rechtsanwaltsvergütungsgesetz; zulässige Vergütungsvereinbarungen können hiervon abweichen. Bei Beratung und Gutachten gelten besondere Regelungen. Gerichtskosten eines Zivilverfahrens richten sich grundsätzlich nach dem Gerichtskostengesetz. Die konkrete Höhe hängt unter anderem von Streitwert, Tätigkeit und Verfahrensverlauf ab. [11][12]

In einem Zivilprozess trägt die unterliegende Partei nach § 91 ZPO grundsätzlich die erstattungsfähigen Prozesskosten. Bei teilweisem Erfolg kommt eine Verteilung nach § 92 ZPO in Betracht. Eine Erstattung außergerichtlicher Anwaltskosten durch die Gegenseite setzt dagegen eine eigenständige Grundlage voraus, etwa einen Schadensersatzanspruch; auch Erforderlichkeit und Umfang der Kosten sind zu prüfen. [2][10]

Fehler, die die Durchsetzung erschweren

Besonders problematisch sind:

• eine entdeckte Belastung wegen der vermeintlich „langen 13-Monatsfrist“ liegen zu lassen;
• eine Lastschriftrückgabe mit der Aufhebung eines Vertrags gleichzusetzen;
• nur mit dem mutmaßlichen Zahlungsempfänger zu kommunizieren, nicht aber mit der Bank;
• verdächtige Nachrichten und Freigabeinformationen zu löschen;
• eine pauschale Ablehnung der Bank ohne Prüfung ihrer Begründung hinzunehmen;
• eine Strafanzeige für ausreichend zu halten, um zivilrechtliche Fristen zu wahren.

Neben den zahlungsdiensterechtlichen Anzeige- und Ausschlussregeln können Verjährungsfristen relevant sein. Die regelmäßige Verjährungsfrist beträgt nach § 195 BGB drei Jahre. Sie beginnt nach § 199 Absatz 1 BGB grundsätzlich mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Gläubiger die anspruchsbegründenden Umstände sowie den Schuldner kennt oder ohne grobe Fahrlässigkeit kennen müsste. Diese Verjährungsregel ersetzt nicht die besonderen Vorgaben des § 676b BGB. [2][5]

Häufige Fragen

Kann jemand allein mit meiner IBAN meinen Kontostand sehen?

Die IBAN selbst ermöglicht keinen Kontostandsabruf. Hierfür müsste zusätzlich ein entsprechender Zugang bestehen oder eine gesonderte Auskunft erlangt werden. Die bloße Kenntnis der IBAN vermittelt weder Zugang zum Onlinebanking noch Verfügungsberechtigung.

Reichen mein Name und meine IBAN für eine wirksame Abbuchung?

Für einen gegenüber dem Zahler wirksamen Zahlungsvorgang ist grundsätzlich dessen Autorisierung erforderlich. Name und IBAN ersetzen kein Lastschriftmandat. Technisch kann dennoch eine unberechtigte SEPA-Basislastschrift erscheinen, weil die Bank des Zahlers das beim Zahlungsempfänger verwaltete Mandat nicht routinemäßig vor der Einlösung prüft. Die Buchung und ihre rechtliche Berechtigung sind deshalb getrennt zu beurteilen. [1][14]

Muss ich mein Konto nach der Weitergabe der IBAN schließen?

Allein wegen der Weitergabe ist das regelmäßig nicht erforderlich. Wichtiger sind Umsatzkontrollen und eine schnelle Reaktion auf verdächtige Buchungen. Bei wiederholtem Missbrauch oder zusätzlich kompromittierten Zugangsdaten sollte mit der Bank über weitergehende Schutzmaßnahmen gesprochen werden.

Kann ich eine unberechtigte Lastschrift nach acht Wochen noch beanstanden?

Ja. Die acht Wochen betreffen das voraussetzungslose Erstattungsrecht bei SEPA-Basislastschriften. War die Zahlung nicht autorisiert, kann weiterhin ein Anspruch nach § 675u BGB bestehen. Zu beachten sind die unverzügliche Anzeige nach Feststellung und die Ausschlussregel des § 676b BGB. [3][4][5]

Muss ich zuerst Strafanzeige erstatten, bevor die Bank tätig wird?

Eine vorherige Strafanzeige ist keine allgemeine gesetzliche Voraussetzung für den Erstattungsanspruch nach § 675u BGB. Die Bank muss über den nicht autorisierten Zahlungsvorgang informiert werden. Eine Strafanzeige kann daneben sinnvoll sein, insbesondere bei Identitätsmissbrauch oder wiederholten Vorgängen. [3][5]

Bekomme ich eine selbst an Betrüger überwiesene Zahlung sicher zurück?

Nein. Eine selbst autorisierte Überweisung unterliegt nicht dem besonderen Erstattungsrecht für SEPA-Basislastschriften. Die Bank sollte sofort um Prüfung eines Rückrufs gebeten werden. Ob Ansprüche gegen die Bank, den Empfänger oder weitere Beteiligte bestehen, hängt vom konkreten Ablauf ab. [1][2][4]

Zusammenfassung

Eine IBAN ist kein Schlüssel zum Onlinebanking. Ihre bloße Kenntnis erlaubt weder Überweisungen zulasten des Kontos noch den Zugriff auf Kontoinformationen. Sie kann aber im Lastschriftverfahren für unberechtigte Einzüge und als Bestandteil weitergehender Betrugsversuche missbraucht werden. Beim SEPA-Basislastschriftverfahren ist die technische Einlösung nicht mit einer vorherigen Prüfung des zugrunde liegenden Mandats durch die Bank des Zahlers gleichzusetzen. [14]

Für den rechtlichen Schutz ist entscheidend, welche Zahlungsart vorliegt und ob eine Autorisierung besteht. Für SEPA-Basislastschriften kann grundsätzlich innerhalb von acht Wochen ab Belastung ohne Begründung Erstattung verlangt werden. Das Firmenlastschriftverfahren sieht dieses Recht für autorisierte Einzüge dagegen nicht vor. Nicht autorisierte Zahlungen sind unverzüglich nach Feststellung zu melden; daneben gilt grundsätzlich die 13-monatige Ausschlussregel mit ihren gesetzlichen Voraussetzungen. Abweichende Vereinbarungen mit Nichtverbrauchern bleiben zu beachten. [2][3][4][5][15]

Wer eine unbekannte Belastung entdeckt, sollte die Bank zeitnah informieren, Belege sichern und gegebenenfalls weitere Zugriffe sperren lassen. Ob ein endgültiger Schaden verbleibt, richtet sich nicht nach der bloßen Bekanntheit der IBAN, sondern insbesondere nach Autorisierung, Haftungsvoraussetzungen, Beweisbarkeit und rechtzeitigem Handeln.