- 1. Unberechtigte Abbuchung bei der Postbank – so ordnen Sie Ihren Fall ein
- 2. So läuft der Betrug beim Postbank-Onlinebanking ab
- 3. Postbank-Konto gehackt: Betrug durch BestSign-App
- 4. Das Geld ist weg – was ist bei Betrugsverdacht zu tun?
- 5. Muss die Postbank den Schaden bei Betrug ersetzen?
- 6. Welche Fristen müssen Sie einhalten?
- 7. Wann kann die Bank eine Erstattung verweigern?
- 8. Wie stehen die Chancen?
- 9. Häufig gestellte Fragen
Das Wichtigste in Kürze
- Wurde Ihr Postbank-Konto gehackt und leergeräumt, steckt meist Phishing dahinter – oft in Verbindung mit einem Missbrauch der BestSign-App.
- Bei einer unberechtigten Abbuchung gilt: Melden Sie den Vorfall unverzüglich der Postbank, lassen Sie das Konto sperren und erstatten Sie Anzeige.
- Für nicht autorisierte Überweisungen muss die Bank den Betrag nach § 675u BGB grundsätzlich erstatten – Sie müssen Ihre Unschuld nicht beweisen.
- Die Bank kann die Erstattung nur verweigern, wenn sie Ihnen grobe Fahrlässigkeit nachweist. Die Beweislast dafür liegt bei ihr.
- Lehnt die Postbank die Erstattung ab, ist das noch keine endgültige Entscheidung: Der Vorwurf der groben Fahrlässigkeit ist eine rechtliche Bewertung, gegen die Sie sich wehren können.
Unberechtigte Abbuchung bei der Postbank – so ordnen Sie Ihren Fall ein
Wenn plötzlich Geld von Ihrem Postbank-Konto abgebucht wurde, das Sie sich nicht erklären können, hilft es, den Vorfall zunächst einzuordnen. Meist liegt eine von drei Konstellationen vor:
1. Überweisungen an unbekannte Empfänger. Sie sehen eine oder mehrere Überweisungen an Empfänger, die Sie nicht kennen – häufig mehrere kurz hintereinander. Das spricht dafür, dass Täter Zugriff auf Ihr Online-Banking erlangt haben. Melden Sie diese Vorgänge der Postbank ausdrücklich als „nicht autorisierte Zahlungen“.
2. Freigabe in der BestSign-App, die Sie nicht als Zahlung verstanden haben. Viele Betroffene berichten, sie hätten „nur bestätigt, damit das Konto nicht gesperrt wird“. Hier ist entscheidend, was in der Abfrage tatsächlich stand (Betrag, Empfänger, Text). Sichern Sie diese Information, wenn möglich per Screenshot.
3. Lastschriften oder Kartenzahlungen, die Sie nicht kennen. Diese laufen anders als eine Überweisung – hier kann je nach Buchungsart ein Rückbuchungsweg (bei SEPA-Lastschriften) oder ein Chargeback (bei Kartenzahlungen) in Betracht kommen.
In allen Fällen gilt: Je schneller Sie das Konto sperren lassen und den Vorfall melden, desto besser stehen Ihre Chancen, das Geld zurückzuholen. Wie Sie im Einzelnen vorgehen und wann die Postbank haften muss, erklären wir im Folgenden.
So läuft der Betrug beim Postbank-Onlinebanking ab
Die Täter:innen gehen geschickt vor. Die Betrugsmaschen unterscheiden sich im Detail. Grob unterteilen sie sich in zwei Arten:
- Social Engineering: Kund:innen werden geschickt manipuliert, damit sie sicherheitsrelevante Daten preisgeben. Dies betrifft etwa 90 % der Taten.
- Schadsoftware: Durch Malware wie Trojaner werden Daten ausgespäht, die dann genutzt werden, um z. B. Überweisungen zu veranlassen.
Update 2026: Aktuelle Betrugsmaschen
Die Methoden der Täter entwickeln sich ständig weiter. Neben klassischen Phishing-Mails beobachten wir aktuell insbesondere folgende Betrugsformen:
- Quishing: QR-Code-Betrug
Zu dieser Masche haben wir bereits einen ausführlichen Artikel. - KI gestützte Betrugsanrufe
Durch moderne KI-Technologien wirken Betrugsanrufe zunehmend professionell. Teilweise werden täuschend echte Sprachsynthesen verwendet, bereits bekannte Informationen über die betroffenen Personen vermitteln scheinbar noch mehr Authentizität.
Wann muss die Bank den Schaden ersetzen?
Die Postbank muss im Grundsatz für Betrugstaten einstehen, es sei denn, die Kundin bzw. der Kunde hat den Schaden grob fahrlässig verursacht. Optimale Voraussetzungen für die Erstattung haben Sie, wenn Sie das Vorgehen der Täter:innen ermitteln, denn die Strategie gegenüber der Bank ist abhängig von der Art des Betrugs (mehr hierzu siehe unten).
Für die Täter:innen ist es entscheidend, einen Zugriff auf das Konto zu erlangen. Dafür nutzen sie häufig gefälschte E-Mails, die Kund:innen auf eine manipulierte Login-Seite locken. Die Phishing-Mail ist dabei zumeist im Design der Postbank gestaltet.
Ein Beispiel: Im Postfach liege eine neue Nachricht vor. Um das Konto anzuzeigen, solle man auf den folgenden Link klicken.
Geben die Betroffenen ihre Zugangsdaten dort ein, werden diese abgefischt und dafür genutzt, in mehreren Überweisungen das vorhandene Guthaben zu transferieren. Dies geschieht in kürzester Zeit, damit die Betroffenen das Konto nicht rechtzeitig sperren können. Zumeist gehen die Überweisungen ins Ausland, vielfach aber auch zu deutschen Banken, vorzugsweise „Neobanks“ wie der N26.
Teilweise legen die Täter:innen auch virtuelle Kreditkarten bei Google Pay oder Apple Pay an. Mit diesen heben Kompliz:innen dann in Supermärkten oder an Automaten so viel Geld ab, wie möglich. Denn bei diesen Kreditkarten gilt im Unterschied zu „normalen“ EC-Abhebungen kein Limit.
„Sie sind Opfer von Onlinebanking-Betrug? Wir prüfen Ihren Fall. Setzen Sie auf unsere technische und rechtliche Erfahrung.“
Postbank-Konto gehackt: Betrug durch BestSign-App
Das europäische Recht verpflichtet die Banken, bei Zahlungsvorgängen zu einer 2-Faktor-Authentifizierung. Die Postbank nutzt hierfür die hauseigene BestSign-App. Den Kriminellen nutzt ein Zugriff auf das Konto nichts, sie benötigen den zweiten Faktor, um Transaktionen vornehmen zu können.
Dabei machen sie sich eine Schwäche des Postbank-Sicherheitskonzepts zunutze: Eine neu installierte BestSign-App kann mit einem Konto verknüpft werden, indem eine bereits berechtigte App eine entsprechende Freigabe erteilt. Anders als z. B. bei den Volksbanken, bei denen immer ein Brief mit einem Code versendet wird, was 1-2 Tage dauert, können die Kriminellen in Echtzeit eine Kontoverknüpfung herstellen.
Dazu installieren sie die BestSign-App auf einem Smartphone und verleiten das Opfer dazu, diese durch eine Freigabe für das Konto freizuschalten. Durch eine einzige Freigabe per Fingerabdruck oder Face-ID haben sie die uneingeschränkte Kontrolle über das Konto.
Die von der Postbank vorgesehene Form, das Konto mit einer neuen App zu verknüpfen, ist einerseits praktisch für Kund:innen, da sie nicht auf einen Brief warten müssen. Sie führt aber andererseits auch dazu, dass die Betroffenen im Betrugsfall in „einem Rutsch“ die Kontrolle über ihr Konto abgeben. Wenn sie dann ein ungutes Gefühl bekommen, ist das Geld schon weg.
Das Geld ist weg – was ist bei Betrugsverdacht zu tun?
Oftmals berichten uns Betroffene, dass sie selbst nie gedacht hätten, auf eine Phishing-Mail hereinzufallen. Die Täter:innen nutzen aber aus, dass Menschen nicht permanent aufmerksam sein können. Ein kleiner, schwacher Moment genügt.
Falls Sie den Verdacht haben, Ihre Daten auf einer gefälschten Webseite eingegeben zu haben, informieren Sie sofort Ihre Bank und lassen Sie das Online-Banking sperren.
Sollten bereits Überweisungen vorgenommen worden sein, informieren Sie sofort die Postbank und veranlassen Sie eine Sperrung des Kontos. Die Bank kann dann versuchen, ausgeführte Überweisungen zurückzuholen. Mitunter gelingt es so, einen Teil des Geldes zurückzubekommen.
Erstatten Sie außerdem eine Strafanzeige, damit die Ermittlungsbehörden unverzüglich einen Kontakt zu den Empfängern aufnehmen. Achten Sie dabei darauf, dass Sie alle Informationen zu den Empfänger:innen zur Verfügung stellen, die Sie haben.
Muss die Postbank den Schaden bei Betrug ersetzen?
Können die Überweisungen nicht zurückgeholt werden, stellt sich die Frage, ob die Postbank für den Schaden einstehen muss.
Rechtlich dürfen Banken nur autorisierte Überweisungen ausführen. Im Falle, dass der Kunde bzw. die Kundin eine Überweisung nicht freigegeben hat, muss die Bank das Konto unverzüglich wieder auf den Stand bringen, den es ohne den unautorisierten Vorgang gehabt hätte.
Diese Verpflichtung ist unverzüglich, spätestens jedoch bis zum Ende des Geschäftstags zu erfüllen, der auf den Tag folgt, an welchem dem Zahlungsdienstleister angezeigt wurde, dass der Zahlungsvorgang nicht autorisiert ist, oder er auf andere Weise davon Kenntnis erhalten hat.
§ 675u S. 2 BGB
Die Bank muss also zügig handeln, wenn sie von dem Betrug erfahren hat.
Wochenlange Prüfungen durch die Bank sind damit nicht angezeigt. Kommt die Bank ihrer Verpflichtung nicht nach, gerät sie in Verzug. Das bedeutet, dass sie die Schäden zu ersetzen hat, die durch die verspätete Erstattung des Zahlungsbetrags eingetreten sind.
Ab dem übernächsten Geschäftstag nach Anzeige des nicht autorisierten Zahlungsvorgangs haftet die Bank somit unter anderem für
- Kreditzinsen, die anfallen, um notwendige Ausgaben zu decken
- Rücklastschriften
- Mahngebühren
Darüber hinaus ist der zu erstattende Betrag zu verzinsen (LG Hannover, Urteil vom 21.12.2010 – 18 O 166/10). Wird ein Rechtsanwalt damit beauftragt, die Erstattung durchzusetzen, muss die Bank die dadurch entstehenden Kosten ebenfalls im Wege des Schadensersatzes tragen.
Welche Fristen müssen Sie einhalten?
Für die Erstattung ist es entscheidend, dass Sie schnell reagieren. Zwei Fristen sind maßgeblich:
Unverzügliche Meldung. Sobald Sie eine unberechtigte Abbuchung bemerken, müssen Sie diese der Postbank unverzüglich – also ohne schuldhaftes Zögern – anzeigen. In der Praxis bedeutet das: am selben oder nächsten Werktag. Wer ohne nachvollziehbaren Grund zuwartet, riskiert seinen Erstattungsanspruch.
Absolute Höchstfrist von 13 Monaten. Nach § 676b BGB ist der Anspruch auf Erstattung spätestens 13 Monate nach dem Tag der Belastung ausgeschlossen, wenn keine Meldung erfolgt ist. Auch der Europäische Gerichtshof hat bestätigt, dass nach Ablauf dieser Frist keine Ansprüche mehr geltend gemacht werden können (EuGH, Urteil vom 01.08.2025 – C-665/23).
Unser Rat: Prüfen Sie Ihre Kontoumsätze regelmäßig. Wer Auffälligkeiten sofort meldet, nimmt der Bank das häufigste Gegenargument – den Vorwurf, zu spät reagiert zu haben.
Wann kann die Bank eine Erstattung verweigern?
Die Erstattungspflicht der Bank ist ausgeschlossen, wenn dem Kunden bzw. der Kundin
- ein betrügerisches Handeln oder
- grobe Fahrlässigkeit
vorzuwerfen ist. In diesen Fällen besteht ein Schadensersatzanspruch der Bank, den sie mit dem Erstattungsbetrag aufrechnen kann. Die Betroffenen bleiben dann auf ihrem Schaden sitzen.
Rechtlich bedeutsam: Die Postbank muss nachweisen, dass im Falle von Phishing eine grobe Fahrlässigkeit vorliegt. Denn sie hat die Möglichkeit, die technischen Hintergründe des Betrugs aufzuklären. Wenn die Bank also meint, dass sie nicht zahlen muss, wird sie dies in einem Gerichtsverfahren beweisen müssen.
Grobe Fahrlässigkeit liegt vor, wenn die im Verkehr erforderliche Sorgfalt in ungewöhnlich grobem Maße verletzt und auch ganz naheliegende Überlegungen nicht angestellt werden oder das nicht beachtet worden ist, was im konkreten Fall jedem hätte einleuchten müssen. Das bedeutet, dass nicht jeder Fehler dazu führt, dass die Bank eine Erstattung ablehnen kann.
Einfache Fahrlässigkeit reicht nicht. Nur grobe Fahrlässigkeit schließt die Erstattung aus. Bei bloß einfacher Fahrlässigkeit – etwa, wenn die Phishing-Seite täuschend echt gestaltet war – ist Ihre Haftung nach § 675v Abs. 1 BGB auf höchstens 50 € begrenzt.
Getäuschte Freigabe kann anfechtbar sein. Auch wenn Sie eine Transaktion technisch freigegeben haben – etwa durch eine Bestätigung in der BestSign-App –, bedeutet das nicht zwingend eine wirksame Autorisierung. Wurden Sie über den tatsächlichen Zweck der Freigabe getäuscht (Ihnen wurde also ein bloßer „Sicherheitscheck“ vorgespielt), kann die Autorisierung angefochten werden. Die Zahlung gilt dann rechtlich als nicht autorisiert.
Der BGH konkretisiert:
Der Bundesgerichtshof hat mit Urteil vom 22. Juli 2025 (XI ZR 107/24) entschieden, dass Opfer eines Phishing-Angriffs ihren Erstattungsanspruch verlieren können, wenn sie grob fahrlässig handeln. Im entschiedenen Fall gab eine Bankkundin nach mehreren Warnsignalen und zwei Telefonaten mit Betrügern TANs weiter, obwohl ihr dabei Empfängerkonten und hohe Überweisungsbeträge angezeigt wurden. Der BGH sah hierin einen schwerwiegenden Sorgfaltsverstoß. Gleichzeitig stellt das Urteil klar, dass erfolgreiche Phishing-Angriffe nicht automatisch grobe Fahrlässigkeit begründen. Ob die Bank eine Erstattung verweigern darf, hängt stets von den Umständen des Einzelfalls ab.
Selbst ein objektiv grober Pflichtenverstoß rechtfertigt für sich genommen noch keinen zwingenden Schluss auf ein entsprechend gesteigertes Verschulden der Person (BGH, Urteil vom 26.01.2016 – XI ZR 91/14).
Selbst bei grober Fahrlässigkeit ist nicht immer alles verloren
Wer auf Phishing hereingefallen ist, geht oft davon aus, dass ohnehin nichts mehr zu holen sei. Das stimmt so nicht. Die Haftung des Kunden und die der Bank schließen sich nicht zwingend aus – auch die Bank kann ein Mitverschulden treffen, das ihren Gegenanspruch kürzt. So hat das Oberlandesgericht Dresden entschieden (Urteil vom 05.05.2025 – 8 U 1482/24), dass eine Sparkasse trotz grober Fahrlässigkeit des Kunden 20 % des Schadens tragen musste.
Der Grund: Die Bank hatte für den bloßen Log-in ins Online-Banking keine „starke Kundenauthentifizierung“ verlangt, sondern nur Benutzername und PIN genügen lassen. Dadurch konnten die Täter nach dem Phishing im Konto sensible Daten einsehen und die Überweisungen vorbereiten – die Bank hatte den Betrug also mitermöglicht. Im Ergebnis bekam der Kunde ein Fünftel der rund 49.000,00 € zurück, obwohl ihm selbst grobe Fahrlässigkeit vorgeworfen wurde. Das Urteil ist noch nicht rechtskräftig; die Revision ist beim BGH anhängig.
Für Betroffene heißt das: Auch wenn die Bank „grobe Fahrlässigkeit“ einwendet, lohnt sich die Prüfung, ob ihr nicht selbst ein Sorgfaltsverstoß oder ein technisches Sicherheitsdefizit anzulasten ist. Schon ein solches Mitverschulden kann die Rückzahlungsquote spürbar erhöhen.
Wie stehen die Chancen?
Ob letztlich die Bank für den Schaden einzustehen hat, ist eine Frage des Einzelfalls. Bei einem Klick auf einen Link wird im Allgemeinen noch nicht von grober Fahrlässigkeit auszugehen sein, wenn die E-Mail zumindest auf den ersten Blick unauffällig ist.
Machen Sie es der Bank nicht zu leicht, eine Erstattung zu verweigern, indem Sie zu früh zu viele Informationen preisgeben. Wir beraten Sie gerne zu Ihren Möglichkeiten. Nehmen Sie direkt Kontakt auf, wir melden uns bei Ihnen in der Regel noch am selben Tag zurück.
Weiterführende Links
- Überweisung zurückholen bei Betrugsverdacht: So gehen Sie vor!
- Onlinebanking-Betrug: Wer haftet bei leer geräumtem Konto?
- Überweisung nach Phishing-Mail: Bekomme ich mein Geld wieder?
Häufig gestellte Fragen
Schreiben Sie einen Kommentar