Postbank-Konto gehackt & leergeräumt: Was tun?

Wurde Ihr Postbank-Konto gehackt und von Kriminellen leergeräumt? In vielen Fällen steckt auch bei der Postbank Phishing dahinter. Durch eine gefälschte E-Mail werden Daten abgefischt, um dann in mehreren Überweisungen große Summen ins Ausland zu verschieben. Wir erklären, was Sie im Ernstfall tun müssen und ob die Bank für den Schaden aufkommen muss.

Avatar von Dr. Jasper Prigge, LL.M.
Rechtsanwalt, Fachanwalt für IT-Recht

So läuft der Betrug beim Postbank-Onlinebanking ab

Die Täter:innen gehen geschickt vor. Die Betrugsmaschen unterscheiden sich im Detail, grob unterteilen sie sich in zwei Arten:

  • Social Engineering: Kund:innen werden geschickt manipuliert, damit sie sicherheitsrelevante Daten preisgeben, dies betrifft etwa 90 % der Taten
  • Schadsoftware: Durch Malware wie Trojaner werden Daten ausgespäht, die dann genutzt werden, um z. B. Überweisungen zu veranlassen

Wann muss die Bank den Schaden ersetzen?

Die Postbank muss im Grundsatz für Betrugstaten einstehen, es sei denn, die Kundin bzw. der Kunde hat den Schaden grob fahrlässig verursacht. Optimale Voraussetzungen für die Erstattung haben Sie, wenn Sie das Vorgehen der Täter:innen ermitteln, denn die Strategie gegenüber der Bank ist abhängig von der Art des Betrugs (mehr hierzu siehe unten).

Für die Täter:innen ist es entscheidend, einen Zugriff auf das Konto zu erlangen. Dafür nutzen sie häufig gefälschte E-Mails, die Kund:innen auf eine manipulierte Login-Seite locken. Die Phishing-Mail ist dabei zumeist im Design der Postbank gestaltet.

Ein Beispiel: Im Postfach liege eine neue Nachricht vor. Um das Konto anzuzeigen, solle man auf den folgenden Link klicken.

Beispiel einer Phishing-Mail

Geben die Betroffenen ihre Zugangsdaten dort ein, werden diese abgefischt und dafür genutzt, in mehreren Überweisungen das vorhandene Guthaben zu transferieren. Dies geschieht in kürzester Zeit, damit die Betroffenen das Konto nicht rechtzeitig sperren können. Zumeist gehen die Überweisungen ins Ausland, vielfach aber auch zu deutschen Banken, vorzugsweise „Neobanks“ wie der N26.

Teilweise legen die Täter:innen auch virtuelle Kreditkarten bei Google Pay oder Apple Pay an. Mit diesen heben Kompliz:innen dann in Supermärkten oder an Automaten so viel Geld ab, wie möglich. Denn bei diesen Kreditkarten gilt im Unterschied zu „normalen“ EC-Abhebungen kein Limit.

Avatar von Dr. Jasper Prigge, LL.M.

„Sie sind Opfer von Onlinebanking-Betrug? Wir prüfen Ihren Fall. Setzen Sie auf unsere technische und rechtliche Erfahrung.“


Rechtsanwalt 

 

Postbank-Konto gehackt: Betrug durch BestSign-App

Das europäische Recht verpflichtet die Banken, bei Zahlungsvorgängen zu einer 2-Faktor-Authentifizierung. Die Postbank nutzt hierfür die hauseigene BestSign-App. Den Kriminellen nutzt ein Zugriff auf das Konto nichts, sie benötigen den zweiten Faktor, um Transaktionen vornehmen zu können.

Dabei machen sie sich eine Schwäche des Postbank-Sicherheitskonzepts zunutze: Eine neu installierte BestSign-App kann mit einem Konto verknüpft werden, indem eine bereits berechtigte App eine entsprechende Freigabe erteilt. Anders als z. B. bei den Volksbanken, bei denen immer ein Brief mit einem Code versendet wird, was 1-2 Tage dauert, können die Kriminellen in Echtzeit eine Kontoverknüpfung herstellen.

Dazu installieren sie die BestSign-App auf einem Smartphone und verleiten das Opfer dazu, diese durch eine Freigabe für das Konto freizuschalten. Durch eine einzige Freigabe per Fingerabdruck oder Face-ID haben sie die uneingeschränkte Kontrolle über das Konto.

Die von der Postbank vorgesehene Form, das Konto mit einer neuen App zu verknüpfen ist einerseits praktisch für Kund:innen, da sie nicht auf einen Brief warten müssen. Sie führt aber andererseits auch dazu, dass die Betroffenen im Betrugsfall in „einem Rutsch“ die Kontrolle über ihr Konto abgeben. Wenn sie dann ein ungutes Gefühl bekommen, ist das Geld schon weg.

Das Geld ist weg – Was ist bei Betrugsverdacht zu tun?

Oftmals berichten uns Betroffene, dass sie selbst nie gedacht hätten, auf eine Phishing-Mail hereinzufallen. Die Täter:innen nutzen aber aus, dass Menschen nicht permanent aufmerksam sein können. Ein kleiner, schwacher Moment genügt.

Falls Sie den Verdacht haben, Ihre Daten auf einer gefälschten Webseite eingegeben zu haben, informieren Sie sofort Ihre Bank und lassen Sie das Onlinebanking sperren.

Sollten bereits Überweisungen vorgenommen worden sein, informieren Sie sofort die Postbank und veranlassen Sie eine Sperrung des Kontos. Die Bank kann dann versuchen, ausgeführte Überweisungen zurückzuholen. Mitunter gelingt es so, einen Teil des Geldes zurückzubekommen.

Erstatten Sie außerdem eine Strafanzeige, damit die Ermittlungsbehörden unverzüglich einen Kontakt zu den Empfängern aufnehmen. Achten Sie dabei darauf, dass Sie alle Informationen zu den Empfänger:innen zur Verfügung stellen, die Sie haben.

Muss die Postbank den Schaden bei Betrug ersetzen?

Können die Überweisungen nicht zurückgeholt werden, stellt sich die Frage, ob die Postbank für den Schaden einstehen muss.

Rechtlich dürfen Banken nur autorisierte Überweisungen ausführen. Im Falle, dass der Kunde bzw. die Kundin eine Überweisung nicht freigegeben hat, muss Bank das Konto unverzüglich wieder auf den Stand bringen, den es ohne den unautorisierten Vorgang gehabt hätte.

Diese Verpflichtung ist unverzüglich, spätestens jedoch bis zum Ende des Geschäftstags zu erfüllen, der auf den Tag folgt, an welchem dem Zahlungsdienstleister angezeigt wurde, dass der Zahlungsvorgang nicht autorisiert ist, oder er auf andere Weise davon Kenntnis erhalten hat.

§ 675u Satz 2 BGB

Die Bank muss also zügig handeln, wenn sie von dem Betrug erfahren hat.

Wochenlange Prüfungen durch die Bank sind damit nicht angezeigt. Kommt die Bank ihrer Verpflichtung nicht nach, gerät sie in Verzug. Das bedeutet, dass sie die Schäden zu ersetzen hat, die durch die verspätete Erstattung des Zahlungsbetrags eingetreten sind.

Ab dem übernächsten Geschäftstag nach Anzeige des nicht autorisierten Zahlungsvorgangs haftet die Bank somit unter anderem für

  • Kreditzinsen, die anfallen, um notwendige Ausgaben zu decken
  • Rücklastschriften
  • Mahngebühren

Darüber hinaus ist der zu erstattende Betrag zu verzinsen (LG Hannover, Urteil vom 21.12.2010 – 18 O 166/10). Wird ein Rechtsanwalt damit beauftragt, die Erstattung durchzusetzen, muss die Bank die dadurch entstehenden Kosten ebenfalls im Wege des Schadensersatzes tragen.

Wann kann die Bank eine Erstattung verweigern?

Die Erstattungspflicht der Bank ist ausgeschlossen, wenn dem Kunden bzw. der Kundin

  • ein betrügerisches Handeln oder
  • grobe Fahrlässigkeit

vorzuwerfen ist. In diesen Fällen besteht ein Schadensersatzanspruch der Bank, den sie mit dem Erstattungsbetrag aufrechnen kann. Die Betroffenen bleiben dann auf ihrem Schaden sitzen.

Rechtlich bedeutsam: Die Postbank muss nachweisen, dass im Falle von Phishing eine grobe Fahrlässigkeit vorliegt. Denn sie hat die Möglichkeiten, die technischen Hintergründe des Betrugs aufzuklären. Wenn die Bank also meint, dass sie nicht zahlen muss, wird sie dies in einem Gerichtsverfahren beweisen müssen.

Grobe Fahrlässigkeit liegt vor, wenn die im Verkehr erforderliche Sorgfalt in ungewöhnlich grobem Maße verletzt und auch ganz naheliegende Überlegungen nicht angestellt werden oder das nicht beachtet worden ist, was im konkreten Fall jedem hätte einleuchten müssen. Das bedeutet, dass nicht jeder Fehler dazu führt, dass die Bank eine Erstattung ablehnen kann.

Selbst ein objektiv grober Pflichtenverstoß rechtfertigt für sich genommen noch keinen zwingenden Schluss auf ein entsprechend gesteigertes Verschulden der Person (BGH, Urteil vom 26.01.2016 – XI ZR 91/14).

Als grobe Fahrlässigkeit hat das Landgericht Düsseldorf beurteilt, wenn ein Kunde auf einer gefälschten Webseite 120 TANs eingibt. Denn in diesem Fall habe sich dem Kunden ein Verdacht eines manipulierten Vorganges aufdrängen müssen (LG Düsseldorf, Urteil vom 27.03.2014 – 21 S 211/13).

Wie stehen die Chancen?

Ob letztlich die Bank für den Schaden einzustehen hat, ist eine Frage des Einzelfalls. Bei einem Klick auf einen Link wird im Allgemeinen noch nicht von grober Fahrlässigkeit auszugehen sein, wenn die E-Mail zumindest auf den ersten Blick unauffällig ist.

Jetzt Hilfe anfordern
Sind Sie Opfer von Onlinebanking-Betrug?

Als Kanzlei für IT-Recht haben wir bereits zahlreiche Betroffene vertreten, denen Geld vom Konto gestohlen wurde. Wir beurteilen Ihren Fall nicht nur rechtlich, sondern auch technisch. Nutzen Sie unsere Expertise, wir machen Ihnen gerne ein Angebot.

Angaben zur Rechtsschutzversicherung

Sollten Sie nicht rechtsschutzversichert sein, können Sie die Felder leer lassen.

Kontaktdaten

Hier können Sie uns auch weitere Angaben machen, z.B. wann Sie am besten erreichbar sind. Wenn Sie möchten, können Sie uns zudem bereits Unterlagen hochladen. Für uns hilfreich wäre insbesondere eine Umsatzübersicht und eine Schilderung des Schadenshergangs.

Hier klicken oder Dateien hineinziehen

Bis zu 10 Dateien sind möglich

Wir sind ehrlich zu Ihnen

Vielen Dank für Ihre Angaben. Onlinebanking-Betrugsfälle sind komplex und wir möchten uns die Zeit für Ihren Fall nehmen, die erforderlich ist, um Sie optimal zu vertreten. Zugleich ist uns daran gelegen, dass unsere Beratung für Sie wirtschaftlich ist.

Ausgehend von dem Schadensbetrag, den Sie uns genannt haben, gehen wir allerdings davon aus, dass die Kosten für unsere Beratung und Vertretung möglicherweise nicht in einem angemessenen Verhältnis zum Ertrag stehen. Dies könnte dazu führen, dass Sie selbst in dem Fall, dass die Bank den Schadensbetrag erstattet, „draufzahlen“. Wir meinen, es entspricht es dem Gebot der Fairness, Ihnen dies vorab mitzuteilen. Zugleich möchten wir Ihnen eine günstige Alternative an die Hand geben: Die Verbraucherzentrale bietet eine Rechtsberatung an. Diese werden, anders als wir, vom Staat bezuschusst und können daher auch bei geringeren Schadensbeträgen tätig werden.

Symbol Papirflieger
Vielen Dank für Ihre Anfrage.

Wir prüfen Ihren Fall umgehend und melden uns bei Ihnen.

Unerwarteter Fehler

Leider konnte die Nachricht nicht versendet werden. Bitte versuchen Sie es später erneut.

Machen Sie es der Bank nicht zu leicht, eine Erstattung zu verweigern, indem Sie zu früh zu viele Informationen preisgeben. Wir beraten Sie gerne zu Ihren Möglichkeiten. Nehmen Sie direkt Kontakt auf, wir melden uns bei Ihnen in der Regel noch am selben Tag zurück.

War dieser Beitrag hilfreich für Sie?

Avatar von Dr. Jasper Prigge, LL.M.
Über den Autor
Rechtsanwalt 


Schreiben Sie einen Kommentar

Ihre E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

7 Antworten

  1. Avatar von Sebastian koesters
    Sebastian koesters

    mir wurde 1200 Euro
    600 Euro Und 750 vom Ausland abgebucht,ohne meine Einwilligung
    Obwohl steht sofortüberweidung
    Ich hab nichts überwiesen
    mfg

    1. Avatar von Marc
      Marc

      Genau das selbe ist mir auch passiert . 1200 € wurden überwiesen und einmal 900€ und einmal 1200 € sollten nopch raus gehen . Zum Glück hat mich meine Postbank angerufen und ich konnte es noch stoppen.

      Ich bin mal gespannt wann ich wieder an mein Online Banking rankomme.Danach werde ich gleich eine Anzeige machen .

      1. Avatar von Katarzyna
        Katarzyna

        Von mir würde viel mehr geklaut 😭 leider war ich in Polen (Urlaub), und ich habe keine Anrufe (bei mir stand ständig Anonym) angenommen. Das war mein Fehler :(

        1. Avatar von Marai
          Marai

          hallo,
          was sagt die bank dazu? bekommst du das geld zurück? Bei mie wurde auch viel Geld geklaut. Das ganze Konto leer in minus.

          Ich hoffe die Bank gibt mir das zurück.

  2. Avatar von Anja
    Anja

    Meinem Sohn wurden Anfang Dezember 2022 1200 Euro per Dauerauftrag nach Spanien abgebucht. Dabei hat er nicht mal sein Online Banking aktiviert und ich als Mutter( er ist 17 Jahre alt) eine E-Mail angeblich geöffnet. Trotzdem weigert sich die Postbank das Geld zurückzuzahlen. Die meint, ich habe das autorisiert. Ein Anwalt für Kapital-und Bankrecht habe ich im Dezember 2022 hinzugezogen. Bisher haben wir kein Geld zurückerstattet bekommen.

  3. Avatar von Kenan Araz
    Kenan Araz

    Hallo,
    Seit mehr als 3 Monaten versuche ich KONTOAUSZÜGE von meinem Business Konto zu bekommen.
    Obwohl mir telefonisch zugesagt worden, ist mir keine Kontoauszüge zugeschickt worden.
    Weil das Konto ab online Banking System angeschlossen ist, kann ich bei der nicht bekommen, muss online sein.
    Mein BestSign App auch funktioniert seit drei Monaten nicht.
    Als Business Bank Kunde bin ich in großer Schwierigkeit.
    Wie kann ich aus flieset Situation raus kommen?

  4. Avatar von Erich Schmidt
    Erich Schmidt

    Im Januar dieses Jahres wurden vom Onlinekonto meiner Frau 2400,00Euro und von meinem Onlinekonto 100,00 Euro ohne mein Erlaubnis sohl in die Türkei als Echtzeit Überweisung, als auch in die Schweiz als normale Überweisung abgebucht. Am darauffolgenden Tag habe ich das Konto sperren lasen und den Sachverhalt zur Kenntnis gebracht. Auf unzähligen telefonischen, als auch schriftlichen Beschwerden bei der Postbank bekam ich nur lapidare Antworten, ich solle warten,die Fachabteilung bearbeitet diesen Fall. Jetzt am 09.08.2023 bekam ich schriftlich Bescheid, daß mir der Betrag in Höhe von 2500,00Euro nicht erstattet wird, weil die Überweisungen von mir “ ordnungsgemäß “ durchgeführt wurden ,entsprechend den hinterlegten Sicherheitsverfahren. Die Postbank kann kein Versäumnis oder Fehler feststellen. Ich habe der Postbank bereits im Vorfeld mitgeteilt, daß ich das Best Sig Verfahren nutze, aber mittels meines Fingerabdrucks auf dem Handy erst die Überweisungen genehmige. Das interessiert die aber nicht. Außerdem habe ich noch nie eine Echtzeitüberweisung, erst recht nicht in die Türkei, als auch eine Überweisung in die Schweiz gemacht. Ich kenne sowohl diese Firma in der Türkei, als auch die Person in der Schweiz überhaupt nicht.
    Mein Problem ist, ich für diese Angelegenheit keine Rechtschutzversichung. Was bleibt mir jetzt noch zu tun, daß ich das Geld zurück bekomme? Mit freundlichen Grüßen Erich Schmidt