Auf einen Phishing-Link oder einen QR-Code klicken, mit dem Betrüger an wichtige Daten gelangen: Das passiert im Internet immer häufiger. "Da kriegt man erstmal einen Riesenschreck", erzählt Rudolf Wolter, ein Arzt aus Thüringen. "Da läuft es einem heiß und kalt den Rücken runter und man denkt sich: 'Um Gotteswillen, was habe ich da getan?'"
Er wurde Opfer eines solchen Betrugs. Betrüger schickten ihm einen Brief zu, der aussah wie von seiner Bank und einen QR-Code enthielt. Wolter scannte den Code - und am Ende hoben Betrüger mehr als 100.000 Euro von seinem Konto ab. "Da geht einem durch den Kopf: 'Mensch, habe ich da wirklich was Wichtiges übersehen? Hätte ich was tun sollen?'", berichtet Wolter. Der Brief habe wirklich täuschend echt ausgesehen und sei eben "so traditionell als Brief" dahergekommen, dass er sich nichts dabei gedacht habe. "Und da habe ich dann den Fehler gemacht, diesen Code zu scannen", so Wolter.
Schlechte Nachricht für Banken
Aber wie bekommt man sein Geld in solchen Fällen zurück? Banken verweigern bislang meist die Erstattung des Geldes. Sie wenden ein, dass die Kundinnen und Kunden besser aufpassen müssten. Auf einen solchen Phishing-Link klicken oder einen betrügerischen QR-Code scannen, sei grob fahrlässig, also ein schwerer Fehler der Kundin oder des Kunden. Und wenn der Kunde jede Sorgfalt völlig außer Acht lasse, müsse die Bank nicht einspringen.
Anders sieht das der Europäische Gerichtshof (EuGH) und stärkt mit seinem heutigen Urteil die Verbraucherrechte. Banken müssten in solchen Fällen erst einmal zahlen. "Im Fall eines nicht autorisierten Zahlungsvorgangs ist der Zahlungsdienstleister grundsätzlich verpflichtet, den Betrag dieses Vorgangs unverzüglich zu erstatten", stellt Helge Homburg, Pressereferent des Europäischen Gerichtshofs, klar.
"Grob fahrlässiges Verhalten" ist selten
Insbesondere könne die Erstattung nicht mit der Begründung verweigert werden, dass der Kunde die Abbuchung durch sein grob fahrlässiges Verhalten ermöglicht habe - beispielsweise mit dem Argument, dass er seine personalisierten Zugangsdaten und Sicherheitsmerkmale nicht ausreichend genug geschützt habe.
Im ersten Schritt müssen Banken also Geld, das Betrüger vom Konto abbuchen, sofort erstatten. Allerdings gilt auch: In einem zweiten Schritt kann die Bank versuchen, sich das Geld zurückzuholen. Dafür muss sie dann aber erst einmal beweisen, dass der Kunde tatsächlich einen schweren Fehler gemacht hat.
Gute Nachricht für Verbraucher
Insgesamt sei das Urteil eine gute Nachricht für Verbraucher, sagt Rechtsanwalt Johannes Goetz: "Denn jetzt ist es zunächst mal an der Bank, den Schaden auszugleichen. Und wenn sie denn der Meinung ist, dass der Kunde hier grob fahrlässig gehandelt habe und ihm das auch nachweisen kann, dann muss die Bank von sich aus aktiv das Geld zurückverlangen und im Zweifel eben gegen den eigenen Kunden vor Gericht ziehen."
Dass Kunden schwere Fehler machen, wenn sie auf solche Phishing-Links oder Ähnliches hereinfallen, wird für Banken oft nicht leicht zu beweisen sein. Denn die Betrugsmaschen werden - auch durch Künstliche Intelligenz - immer besser, und die Phishing-Versuche wirken immer echter. Grob fahrlässig seien die Fehler der Kunden daher oft nicht, meint Goetz.
Wie sollten Opfer reagieren?
Rechtsanwalt Goetz erklärt, was sofort getan werden sollte, wenn man einen Betrug bemerkt: "Erstmal die Bank informieren und dann alles sperren, was geht. Also Konto sperren, Karten sperren, den Online-Zugang sperren." Außerdem müsse man die Bank auffordern, dass sie den betrügerisch abgebuchten Betrag erstatten soll.
Im Anschluss geht es dann darum, Beweise zu sichern. E-Mails, Screenshots und auch sonst alles, was im Zusammenhang mit dem Betrug stehe, solle man gut speichern, sagt Goetz. Denn: "Das wird man später brauchen, wenn es denn zum Streit mit der Bank kommt." Außerdem könne man auch die Polizei informieren - großen Erfolg hätten polizeiliche Ermittlungen in solchen Fällen aber in der Regel nicht.
