Phishing: Rechte, Haftung und richtiges Vorgehen

Phishing betrifft nicht nur technisch versierte Unternehmen oder besonders unvorsichtige Internetnutzer. Die Angriffe sind häufig professionell gestaltet, greifen reale Geschäftsabläufe auf und setzen Betroffene unter Zeitdruck. Rechtlich geht es deshalb nicht nur um die Frage, wer die Täuschung verursacht hat, sondern auch darum, welche Pflichten Banken, Zahlungsdienste, Unternehmen, Beschäftigte und Betroffene nach dem Vorfall haben.

Dieser Beitrag ordnet Phishing aus rechtlicher Sicht ein: Welche gesetzlichen Grundlagen sind relevant, wann kommt eine Erstattung durch die Bank in Betracht, welche Fristen sind zu beachten und wie sollten Beweise gesichert werden? Die Antworten hängen stark davon ab, ob Zugangsdaten lediglich ausgespäht wurden, ob eine Überweisung selbst freigegeben wurde, ob ein Unternehmen betroffen ist oder ob personenbezogene Daten abgeflossen sind. Pauschale Aussagen führen hier häufig in die falsche Richtung. Entscheidend sind der konkrete Ablauf, die verwendeten Authentifizierungsverfahren, die Kommunikation mit der Bank und die vorhandene Dokumentation.

Inhaltsverzeichnis

1. Was Phishing rechtlich bedeutet und welche Gesetze eine Rolle spielen
2. Abgrenzung: Phishing, Smishing, Vishing, Pharming und Identitätsdiebstahl
3. Typische Fallkonstellationen im Alltag und im Unternehmen
4. Rechte von Verbraucherinnen und Verbrauchern nach Phishing
5. Pflichten und Haftung von Unternehmen, Banken und Zahlungsdiensten
6. Risiken, Haftung und typische Fehler nach einem Phishing-Angriff
7. Fristen und Verjährung: Wann müssen Betroffene handeln?
8. Beweis und Dokumentation: Welche Nachweise sind wichtig?
9. Handlungsschritte nach Phishing: Was Betroffene konkret tun sollten
10. Kosten, Versicherung und außergerichtliche Regulierung
11. FAQ zu Phishing, Erstattung und richtigem Vorgehen
12. Fazit: Phishing rechtlich richtig einordnen und geordnet reagieren

Was Phishing rechtlich bedeutet und welche Gesetze eine Rolle spielen

Phishing bezeichnet Täuschungshandlungen, mit denen Täter Zugangsdaten, TANs, Kreditkartendaten, Passwörter, Ausweiskopien oder sonstige vertrauliche Informationen erlangen wollen. Typisch sind gefälschte E-Mails, SMS, Messenger-Nachrichten, täuschend echte Webseiten oder Anrufe, die angeblich von Banken, Paketdiensten, Plattformen, Behörden oder internen Unternehmensstellen stammen. Ziel kann ein Kontozugriff, eine Zahlung, Identitätsmissbrauch, Malware-Installation oder die Umleitung geschäftlicher Kommunikation sein.

Strafrechtlich kommen je nach Ablauf mehrere Tatbestände in Betracht. Häufig geht es um Betrug nach § 263 StGB, Computerbetrug nach § 263a StGB, das Ausspähen von Daten nach § 202a StGB, Fälschung beweiserheblicher Daten nach § 269 StGB oder Datenveränderung nach § 303a StGB. Diese Vorschriften betreffen in erster Linie die strafrechtliche Verantwortlichkeit der Täter. Für Geschädigte ist daneben wichtig, ob zivilrechtliche Erstattungs-, Schadensersatz- oder Unterlassungsansprüche bestehen.

Im Zahlungsverkehr sind insbesondere die Regelungen der §§ 675c ff. BGB relevant. Sie setzen europäische Vorgaben zum Zahlungsdiensterecht um und regeln unter anderem nicht autorisierte Zahlungsvorgänge, Informationspflichten, Haftungsgrenzen und Beweislastfragen. Bei unautorisierten Abbuchungen oder Überweisungen kann ein Erstattungsanspruch gegen den Zahlungsdienstleister bestehen. Dieser Anspruch entfällt oder reduziert sich jedoch, wenn der Betroffene vorsätzlich oder grob fahrlässig gegen Sicherheits- und Mitwirkungspflichten verstoßen hat. Ob grobe Fahrlässigkeit vorliegt, ist regelmäßig eine Einzelfallfrage.

Bei Unternehmen kommt zusätzlich das Datenschutzrecht hinzu, wenn personenbezogene Daten betroffen sind. Dann können Meldepflichten nach Art. 33 DSGVO gegenüber der Aufsichtsbehörde und gegebenenfalls Benachrichtigungspflichten nach Art. 34 DSGVO gegenüber Betroffenen entstehen. Arbeitsrechtliche, gesellschaftsrechtliche und versicherungsrechtliche Fragen können ebenfalls eine Rolle spielen, etwa wenn Beschäftigte auf eine gefälschte interne Zahlungsanweisung reagieren.

Abgrenzung: Phishing, Smishing, Vishing, Pharming und Identitätsdiebstahl

Phishing wird im Alltag oft als Sammelbegriff für sehr unterschiedliche Angriffsformen verwendet. Für die rechtliche Bewertung ist die genaue Einordnung jedoch nicht bloße Technikfrage. Sie beeinflusst, welche Beweise benötigt werden, ob ein Zahlungsvorgang als autorisiert gilt, welche Stelle informiert werden muss und ob der Schwerpunkt bei Datenschutz, Zahlungsdiensterecht, Strafrecht oder Vertragsrecht liegt. Eine gefälschte E-Mail mit Link zu einer Bankseite kann andere Folgen haben als ein Telefonanruf, bei dem ein angeblicher Bankmitarbeiter eine Echtzeitüberweisung auslöst. Ebenso ist zu unterscheiden, ob nur Daten abgegriffen wurden oder bereits Vermögensschäden eingetreten sind. Die folgende Übersicht zeigt die wichtigsten Abgrenzungen und typische rechtliche Anknüpfungspunkte.

Die Begriffe überschneiden sich. Ein Smishing-Angriff kann etwa zu einer Phishing-Seite führen, auf der Kreditkartendaten eingegeben werden. Ein Vishing-Anruf kann Täter in die Lage versetzen, eine bereits vorbereitete Transaktion durch eine vom Opfer genannte TAN abzuschließen. Aus rechtlicher Sicht ist deshalb weniger die technische Bezeichnung entscheidend als die Kette der Ereignisse: Welche Information wurde preisgegeben, welche Handlung hat der Betroffene selbst vorgenommen, welche Sicherheitsabfragen wurden ausgelöst und wann wurde der Vorfall bemerkt? Gerade diese Details sind später für Bankkorrespondenz, Strafanzeige, Versicherung und gerichtliche Auseinandersetzung maßgeblich.

Abzugrenzen ist Phishing außerdem von gewöhnlichem Zahlungsirrtum, klassischem Onlinebetrug und sogenannten autorisierten Push-Payment-Fällen. Bei einem Onlinekauf, bei dem Ware nicht geliefert wird, liegt nicht automatisch Phishing vor. Bei einer vom Betroffenen selbst angelegten Überweisung an ein vermeintlich seriöses Gegenüber kann der Zahlungsvorgang technisch autorisiert sein, obwohl die Entscheidung durch Täuschung veranlasst wurde. Das schließt Ansprüche nicht zwingend aus, verändert aber die rechtliche Begründung.

Typische Fallkonstellationen im Alltag und im Unternehmen

In der Beratungspraxis zeigen sich bestimmte Muster besonders häufig. Bei Privatpersonen beginnt der Fall oft mit einer SMS, die angeblich von einem Paketdienst, einer Bank oder einem Streaminganbieter stammt. Der Link führt auf eine nachgebaute Webseite. Dort werden Login-Daten, Kartendaten oder eine TAN abgefragt. Kurz darauf erfolgen Abbuchungen, Kreditkartenzahlungen oder Änderungen im Onlinebanking. Für Betroffene ist dann entscheidend, ob sie den Vorgang lediglich bemerkt haben oder ob sie selbst eine Freigabe vorgenommen haben.

Ein anderes häufiges Szenario betrifft angebliche Sicherheitsanrufe der Bank. Täter verfügen teils bereits über persönliche Daten und wirken dadurch glaubwürdig. Sie behaupten, eine verdächtige Zahlung müsse gestoppt werden, und fordern dazu eine Bestätigung in der Banking-App. Tatsächlich wird dadurch eine neue Zahlung freigegeben oder ein digitales Gerät registriert. Juristisch ist hier sorgfältig zu prüfen, ob die Bank eine ausreichende starke Kundenauthentifizierung eingesetzt hat und ob die Warnhinweise für den konkreten Vorgang klar genug waren.

Bei Unternehmen treten Phishing-Angriffe oft als gefälschte Lieferantenrechnung, kompromittierte Geschäftskorrespondenz oder interne Zahlungsanweisung auf. Täter ändern Bankverbindungen in Rechnungen, schalten sich in E-Mail-Verläufe ein oder geben sich als Geschäftsführung aus. Besonders kritisch sind Fälle, in denen Beschäftigte aufgrund interner Hierarchien oder zeitlicher Vorgaben Zahlungen auslösen. Die Haftung kann dann mehrere Ebenen betreffen: das Verhältnis zum Zahlungsdienstleister, mögliche Regressfragen im Unternehmen, arbeitsrechtliche Verantwortung und Anforderungen an interne Kontrollen.

Auch Identitätsmissbrauch gehört zu den praxisrelevanten Folgen. Mit erlangten Ausweiskopien, Geburtsdaten und Adressdaten können Täter Verträge schließen, Kundenkonten übernehmen oder Waren bestellen. Betroffene erfahren davon häufig erst durch Mahnungen, Inkassoschreiben oder negative Einträge bei Auskunfteien. Hier steht neben der Strafanzeige die schnelle schriftliche Bestreitung der Forderung im Vordergrund. Zugleich sollten Betroffene Auskunft bei relevanten Auskunfteien einholen und dokumentieren, wann sie erstmals Kenntnis von den Vorgängen hatten.

Nicht jeder Verdachtsfall ist bereits ein vollendeter Schaden. Wird eine verdächtige Nachricht geöffnet, aber kein Link angeklickt und keine Datei ausgeführt, kann es bei einem Sicherheitsvorfall ohne Vermögensschaden bleiben. Wurde dagegen ein Passwort eingegeben, ist eine unverzügliche Änderung und Prüfung weiterer Konten erforderlich. Wurde eine Zahlung ausgelöst, müssen Bank, Zahlungsdienstleister oder Kreditkartenunternehmen schnell informiert werden.

Rechte von Verbraucherinnen und Verbrauchern nach Phishing

Für Verbraucher steht häufig die Frage im Mittelpunkt, ob die Bank oder der Zahlungsdienstleister den finanziellen Schaden ersetzen muss. Bei nicht autorisierten Zahlungsvorgängen sieht das Zahlungsdiensterecht grundsätzlich eine Erstattung vor. Der Zahlungsdienstleister muss den Betrag regelmäßig unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags nach Kenntnis oder Anzeige des Vorgangs, sofern kein begründeter Betrugsverdacht gegen den Kunden besteht. Diese Grundregel ist für Betroffene wichtig, ersetzt aber nicht die Prüfung des Einzelfalls.

Der zentrale Streitpunkt ist meist die Autorisierung. Eine Zahlung ist autorisiert, wenn der Zahler ihr zugestimmt hat, etwa durch Eingabe von Zugangsdaten, TAN, biometrische Freigabe oder App-Bestätigung. Allerdings beweist die technische Aufzeichnung einer Authentifizierung nicht automatisch, dass der Kunde den Vorgang rechtlich wirksam autorisiert oder grob fahrlässig gehandelt hat. Nach § 675w BGB trägt der Zahlungsdienstleister Beweislasten dafür, dass der Vorgang authentifiziert, ordnungsgemäß aufgezeichnet und nicht durch eine Störung beeinträchtigt wurde. Außerdem reicht die bloße Nutzung eines Zahlungsinstruments regelmäßig nicht aus, um grobe Fahrlässigkeit zu beweisen.

Gleichwohl können Ansprüche scheitern, wenn Betroffene auffällige Warnsignale ignoriert oder Sicherheitsmerkmale in schwerwiegender Weise missachtet haben. Die Rechtsprechung bewertet etwa die Weitergabe von TANs, das Freigeben unbekannter Geräte oder das Bestätigen klar bezeichneter Überweisungen je nach Gestaltung der Anzeige unterschiedlich. Es macht einen Unterschied, ob die App ausdrücklich Betrag und Empfänger angezeigt hat oder ob die Freigabe als Sicherheitsprüfung dargestellt wurde. Auch der Grad der Täuschung, die Professionalität der Phishing-Seite und die individuelle Situation können eine Rolle spielen.

Bei Kreditkartenzahlungen kommen neben gesetzlichen Ansprüchen auch vertragliche Reklamationsverfahren und kartensysteminterne Chargeback-Regeln in Betracht. Diese ersetzen nicht zwingend zivilrechtliche Ansprüche, können aber praktisch relevant sein, weil Fristen kürzer sein können. Betroffene sollten deshalb nicht nur Strafanzeige erstatten, sondern parallel den Zahlungsdienstleister schriftlich informieren, den Vorgang bestreiten und eine nachvollziehbare Begründung verlangen, falls die Erstattung abgelehnt wird.

Pflichten und Haftung von Unternehmen, Banken und Zahlungsdiensten

Unternehmen sind bei Phishing in einer doppelten Rolle. Sie können selbst Geschädigte eines Angriffs sein, etwa durch manipulierte Rechnungen oder kompromittierte E-Mail-Konten. Zugleich können sie gegenüber Kunden, Beschäftigten, Geschäftspartnern oder Aufsichtsbehörden Pflichten haben, wenn personenbezogene Daten betroffen sind oder Schadsoftware über eigene Systeme verbreitet wurde. Entscheidend ist, ob der Vorfall nur ein einzelnes Postfach betrifft oder ob Kundendaten, Zahlungsdaten, Zugangsdaten oder interne Systeme kompromittiert wurden.

Datenschutzrechtlich müssen Verantwortliche prüfen, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt. Ist dies der Fall, muss die Meldung an die Datenschutzaufsichtsbehörde grundsätzlich innerhalb von 72 Stunden erfolgen, nachdem die Verletzung bekannt wurde, sofern voraussichtlich ein Risiko für Rechte und Freiheiten natürlicher Personen besteht. Bei hohem Risiko kann zusätzlich eine Benachrichtigung der betroffenen Personen erforderlich sein. Diese Pflichten bestehen unabhängig davon, ob bereits ein finanzieller Schaden eingetreten ist.

Banken und Zahlungsdienste müssen sichere Verfahren bereitstellen und Zahlungsvorgänge ordnungsgemäß ausführen. Die starke Kundenauthentifizierung nach den europäischen Zahlungsdienstevorgaben hat die Sicherheit erhöht, schließt Phishing-Schäden aber nicht aus. Rechtlich relevant ist, ob der Dienstleister seine Informations-, Sicherheits- und Prüfpflichten erfüllt hat. Bei ungewöhnlichen Transaktionsmustern kann sich die Frage stellen, ob Warnsysteme ausreichend reagiert haben. Eine allgemeine Pflicht, jede betrügerisch veranlasste, aber technisch autorisierte Zahlung zu verhindern, besteht jedoch nicht ohne Weiteres.

Für Unternehmen als Zahlungskunden ist zudem zu beachten, dass im B2B-Bereich teilweise abweichende Vereinbarungen möglich sind. Während Verbraucher durch zwingende Vorschriften besonders geschützt sind, können bei Unternehmern vertragliche Regelungen zu Anzeigeobliegenheiten, Haftung und Sicherheitsverfahren größere Bedeutung haben. Wer geschäftliche Konten nutzt, sollte daher Rahmenverträge, Onlinebanking-Bedingungen, Vollmachten und interne Zahlungsfreigaben prüfen.

Arbeitsrechtlich ist Zurückhaltung geboten. Nicht jeder Fehler eines Mitarbeiters rechtfertigt arbeitsrechtliche Sanktionen oder Regress. Für die Arbeitnehmerhaftung gilt eine abgestufte Haftung, bei der leichte Fahrlässigkeit regelmäßig nicht zu voller Ersatzpflicht führt. Bei mittlerer oder grober Fahrlässigkeit kommt es auf Aufgabenbereich, Schulung, Kontrollsysteme und konkrete Drucksituation an.

Risiken, Haftung und typische Fehler nach einem Phishing-Angriff

Nach einem Phishing-Angriff entstehen Risiken häufig nicht nur durch den ursprünglichen Betrug, sondern durch unkoordinierte Reaktionen. Betroffene löschen Nachrichten, telefonieren nur mit Hotlines ohne schriftliche Bestätigung oder warten ab, weil sie zunächst hoffen, der Betrag werde automatisch zurückgebucht. Unternehmen sperren zwar ein Konto, prüfen aber nicht, ob weitere Systeme betroffen sind. Solche Versäumnisse können Ansprüche erschweren, Meldefristen gefährden und den Schaden vergrößern.

Haftung entsteht insbesondere dort, wo gesetzliche oder vertragliche Pflichten verletzt werden. Privatpersonen müssen Zahlungsinstrumente sorgfältig verwenden, Zugangsdaten schützen und unberechtigte Vorgänge unverzüglich anzeigen. Unternehmen müssen angemessene technische und organisatorische Maßnahmen treffen, Mitarbeitende instruieren und bei Datenschutzvorfällen Meldepflichten prüfen. Banken und Zahlungsdienste müssen wiederum beweisen können, dass Zahlungen ordnungsgemäß authentifiziert und aufgezeichnet wurden. Die rechtliche Bewertung ist daher selten einseitig.

Typische Fehler, die die spätere Durchsetzung von Ansprüchen erschweren, sind:

• Phishing-Nachrichten, SMS, E-Mails oder Webseiten-Screenshots werden gelöscht, bevor sie gesichert wurden.
• Die Bank wird nur telefonisch informiert, ohne schriftliche Bestätigung der Sperre oder Reklamation.
• Passwörter werden nur für ein Konto geändert, obwohl dieselben Zugangsdaten an anderer Stelle verwendet wurden.
• Eine Strafanzeige wird erst Wochen später erstattet, obwohl frische technische Spuren wichtig gewesen wären.
• Unternehmen prüfen keine DSGVO-Meldepflicht, obwohl Kunden- oder Beschäftigtendaten betroffen sein könnten.
• Betroffene kommunizieren weiter mit der gefälschten Supportadresse oder geben zusätzliche Daten preis.
• Mahnungen wegen Identitätsmissbrauchs werden ignoriert, statt Forderungen schriftlich zu bestreiten.
• Es wird vorschnell eine Mitschuld eingeräumt, ohne den technischen Ablauf und die Bankanzeige zu prüfen.

Besonders riskant ist die Annahme, ein Phishing-Fall sei immer eindeutig. Banken lehnen Erstattungen häufig mit dem Hinweis auf grobe Fahrlässigkeit ab, während Betroffene darauf verweisen, dass die Täuschung kaum erkennbar gewesen sei. Beide Positionen müssen anhand konkreter Umstände geprüft werden. Dazu gehören Gestaltung der Nachricht, Warnhinweise im Banking, technische Protokolle, Zeitpunkt der Sperre, Höhe und Ziel der Zahlung sowie frühere Nutzungsmuster des Kontos.

Fristen und Verjährung: Wann müssen Betroffene handeln?

Fristen sind bei Phishing zentral, weil Rechte durch spätes Handeln tatsächlich oder praktisch verloren gehen können. Im Zahlungsdiensterecht muss der Zahlungsdienstnutzer nicht autorisierte oder fehlerhaft ausgeführte Zahlungsvorgänge unverzüglich nach Feststellung anzeigen. Zusätzlich gilt grundsätzlich eine Ausschlussfrist von 13 Monaten nach Belastung, wenn der Zahlungsdienstleister die erforderlichen Informationen zum Vorgang ordnungsgemäß mitgeteilt oder zugänglich gemacht hat. Wer diese Frist versäumt, kann Erstattungsansprüche erheblich gefährden.

Unverzüglich bedeutet nicht zwingend sofort in derselben Minute, aber ohne schuldhaftes Zögern. In der Praxis sollte die Bank oder der Zahlungsdienstleister deshalb noch am Tag der Entdeckung informiert werden. Wichtig ist eine dokumentierte Meldung: Telefonische Sperren sollten durch E-Mail, Onlineformular, Brief oder Nachricht im gesicherten Kundenpostfach ergänzt werden. So lässt sich später nachweisen, wann der Vorfall angezeigt wurde.

Für zivilrechtliche Schadensersatzansprüche gilt häufig die regelmäßige Verjährungsfrist von drei Jahren nach §§ 195, 199 BGB. Sie beginnt grundsätzlich mit Schluss des Jahres, in dem der Anspruch entstanden ist und der Anspruchsteller Kenntnis von den anspruchsbegründenden Umständen und der Person des Schuldners erlangt hat oder ohne grobe Fahrlässigkeit hätte erlangen müssen. Diese Regel hilft jedoch nicht, wenn zuvor speziellere Anzeige- oder Ausschlussfristen greifen.

Unternehmen müssen bei Datenschutzvorfällen die 72-Stunden-Frist nach Art. 33 DSGVO beachten. Diese Frist beginnt mit Bekanntwerden der Verletzung. Oft ist anfangs noch nicht vollständig klar, welche Daten betroffen sind. Dann sollte eine Erstbewertung dokumentiert und gegebenenfalls eine gestufte Meldung vorbereitet werden. Für Strafanzeigen gibt es bei vielen einschlägigen Delikten keine kurze Antragsfrist wie bei reinen Antragsdelikten. Trotzdem ist eine zeitnahe Anzeige sinnvoll, weil Logdaten, IP-Adressen und Geldflüsse schneller nachvollzogen werden können.

Beweis und Dokumentation: Welche Nachweise sind wichtig?

Bei Phishing entscheidet die Dokumentation häufig darüber, ob Ansprüche nachvollziehbar begründet werden können. Betroffene müssen nicht jede technische Einzelheit beweisen. Sie sollten aber den Ablauf so darstellen können, dass Bank, Versicherung, Polizei oder Gericht erkennen, wann welche Nachricht einging, welche Handlung vorgenommen wurde und wann der Schaden bemerkt wurde. Gerade bei digitalen Vorfällen verschwinden Spuren schnell: Webseiten werden abgeschaltet, SMS-Verläufe überschrieben, Logdaten gelöscht und Kontobewegungen durch spätere Buchungen unübersichtlich.

Wichtig ist, Originaldaten möglichst unverändert zu sichern. E-Mails sollten nicht nur als Screenshot gespeichert, sondern mit vollständigen Kopfzeilen exportiert werden, wenn dies möglich ist. SMS und Messenger-Nachrichten sollten mit Absender, Datum und Uhrzeit dokumentiert werden. Bei gefälschten Webseiten helfen Screenshots der URL, Eingabemasken und Warnhinweise. Unternehmen sollten zusätzlich IT-Forensik, Zugriffsprotokolle und interne Kommunikation sichern, ohne vorschnell Systeme zu verändern.

Benötigte Nachweise können insbesondere sein:

• Phishing-E-Mail einschließlich vollständiger Header oder gespeicherter Originaldatei.
• SMS-, Messenger- oder Anrufprotokolle mit Datum, Uhrzeit und Absenderkennung.
• Screenshots der gefälschten Webseite, URL, Eingabemasken und etwaiger Warnhinweise.
• Kontoauszüge, Kreditkartenabrechnungen und Transaktionsdetails mit Buchungszeitpunkt.
• Bestätigung der Kontosperre, Karten- oder Onlinebanking-Sperre durch die Bank.
• Schriftliche Reklamation des Zahlungsvorgangs und Antwort des Zahlungsdienstleisters.
• Strafanzeige oder Aktenzeichen der Polizei.
• Bei Unternehmen: Incident-Report, Logdaten, interne Freigaben, Rollen- und Berechtigungskonzepte.

Die Dokumentation sollte chronologisch erfolgen. Ein einfaches Ereignisprotokoll mit Uhrzeit, Handlung, Kommunikationsweg und zuständiger Person ist oft hilfreicher als eine ungeordnete Sammlung einzelner Dateien. Wer später Ansprüche geltend macht, kann dadurch Widersprüche vermeiden und gezielt auf Einwände reagieren. Gleichzeitig sollte bei sensiblen Daten darauf geachtet werden, keine weiteren personenbezogenen Informationen unnötig zu verbreiten.

Handlungsschritte nach Phishing: Was Betroffene konkret tun sollten

Nach einem Phishing-Vorfall ist strukturiertes Vorgehen wichtiger als hektische Einzelmaßnahmen. Der richtige Ablauf hängt davon ab, ob nur Zugangsdaten eingegeben wurden, ob bereits Geld abgeflossen ist oder ob ein Unternehmen mit personenbezogenen Daten betroffen ist. Dennoch gibt es Schritte, die in den meisten Fällen sinnvoll sind. Sie dienen der Schadensbegrenzung, der Beweissicherung und der Vorbereitung möglicher Ansprüche.

1. Zugänge sofort sichern: Ändern Sie betroffene Passwörter und prüfen Sie, ob dieselben Zugangsdaten bei anderen Diensten verwendet wurden. Aktivieren oder erneuern Sie Zwei-Faktor-Authentifizierung, soweit möglich.
2. Karten, Konten und Onlinebanking sperren: Veranlassen Sie bei Verdacht auf Missbrauch unverzüglich eine Sperre. Dokumentieren Sie Uhrzeit, Gesprächspartner, Sperrnummer oder Bestätigung.
3. Bank schriftlich informieren: Bestreiten Sie nicht autorisierte Zahlungsvorgänge ausdrücklich und verlangen Sie eine Prüfung. Ergänzen Sie telefonische Meldungen noch am selben Tag schriftlich.
4. Fristen notieren: Vermerken Sie Belastungsdatum, Entdeckungszeitpunkt, Meldedatum und mögliche 13-Monats-Frist im Zahlungsverkehr. Bei Unternehmen ist zusätzlich die 72-Stunden-Frist nach DSGVO zu prüfen.
5. Beweise sichern: Speichern Sie E-Mails, SMS, Screenshots, URLs, Kontoauszüge und Sperrbestätigungen. Löschen Sie keine Nachrichten, auch wenn sie offensichtlich betrügerisch sind.
6. Geräte prüfen lassen: Wenn Dateien geöffnet, Apps installiert oder Fernzugriff erlaubt wurde, sollten Geräte isoliert und fachkundig geprüft werden. Unternehmen sollten IT-Forensik einbinden.
7. Strafanzeige erstatten: Eine Anzeige schafft ein Aktenzeichen und kann bei Bank, Versicherung oder Auskunfteien hilfreich sein. Je schneller sie erfolgt, desto eher können digitale Spuren gesichert werden.
8. Forderungen und Mahnungen schriftlich bestreiten: Bei Identitätsmissbrauch sollten unberechtigte Verträge, Bestellungen oder Inkassoforderungen klar bestritten werden. Bitten Sie um Nachweise des Vertragsschlusses.
9. Auskunfteien prüfen: Holen Sie bei Verdacht auf Identitätsmissbrauch Selbstauskünfte ein und verlangen Sie Berichtigung oder Sperrung unzutreffender Einträge.
10. Versicherung und interne Stellen informieren: Prüfen Sie Cyberversicherung, Rechtsschutzversicherung, Hausratbausteine oder betriebliche Meldewege. Unternehmen sollten Geschäftsführung, Datenschutzbeauftragte und IT-Sicherheit einbinden.

Diese Schritte ersetzen keine rechtliche Einzelfallprüfung. Sie schaffen aber die Grundlage dafür, dass Ansprüche nicht an fehlender Dokumentation oder verspäteter Anzeige scheitern. Gerade bei größeren Schäden sollte früh geklärt werden, ob es sich rechtlich um eine nicht autorisierte Zahlung, eine täuschungsbedingt autorisierte Überweisung, Identitätsmissbrauch oder einen Datenschutzvorfall handelt. Davon hängt ab, welche Anspruchsgrundlage im Vordergrund steht und welche Stelle zuerst adressiert werden sollte.

Privatpersonen sollten zudem vermeiden, mit angeblichen Rückholservices oder unbekannten Dienstleistern weitere Daten zu teilen. Im Zusammenhang mit Phishing treten häufig Folgeangriffe auf, bei denen Täter behaupten, das verlorene Geld zurückholen zu können. Seriöse Rückabwicklung erfolgt regelmäßig über Bank, Zahlungsdienstleister, Strafverfolgungsbehörden, Versicherer oder anwaltliche Vertretung, nicht über anonyme Messenger-Kontakte.

Kosten, Versicherung und außergerichtliche Regulierung

Die wirtschaftliche Seite eines Phishing-Falls wird oft unterschätzt. Neben dem unmittelbar abgebuchten Betrag können Kosten für Kartensperren, IT-Forensik, Wiederherstellung von Systemen, Bonitätsbereinigung, Rechtsverfolgung oder interne Arbeitszeit entstehen. Unternehmen müssen zusätzlich Betriebsunterbrechungen, Meldeaufwand, Kundenkommunikation und mögliche Vertragsstörungen berücksichtigen. Nicht jede Kostenposition ist automatisch ersatzfähig. Maßgeblich ist, gegen wen sich der Anspruch richtet und ob die Aufwendungen erforderlich und angemessen waren.

Versicherungen können eine wichtige Rolle spielen. Bei Privatpersonen kommen je nach Vertrag Rechtsschutzversicherung, Hausratversicherung mit Internetbaustein oder spezielle Cyberversicherungen in Betracht. Bei Unternehmen sind Cyberpolicen, Vertrauensschadenversicherungen und D&O-nahe Fragestellungen zu prüfen. Viele Versicherungsbedingungen enthalten jedoch Obliegenheiten, Meldefristen und Ausschlüsse. Wer den Versicherer verspätet informiert oder ohne Abstimmung kostenträchtige Maßnahmen beauftragt, kann Deckungsprobleme riskieren.

Außergerichtlich beginnt die Regulierung meist mit einer strukturierten Reklamation gegenüber Bank oder Zahlungsdienstleister. Diese sollte den Vorgang chronologisch schildern, die fehlende Autorisierung oder die besonderen Täuschungsumstände erläutern und Belege beifügen. Lehnt die Bank ab, ist die Begründung genau zu prüfen. Nicht jede pauschale Berufung auf grobe Fahrlässigkeit ist tragfähig. Umgekehrt sollte auch nicht vorschnell Klage erhoben werden, wenn wesentliche technische Informationen fehlen.

Je nach Branche und Beteiligten können Ombudsverfahren, Schlichtungsstellen oder Beschwerdewege bei Aufsichtsbehörden in Betracht kommen. Solche Verfahren sind nicht in jedem Fall ausreichend, können aber zur Klärung beitragen und Verjährungsfragen beeinflussen. Ob sie sinnvoll sind, hängt von Anspruchshöhe, Beweislage, Fristen und Ziel der betroffenen Person oder des Unternehmens ab.

FAQ zu Phishing, Erstattung und richtigem Vorgehen

Fazit: Phishing rechtlich richtig einordnen und geordnet reagieren

Phishing ist rechtlich kein einheitlicher Standardfall. Die Bewertung hängt davon ab, ob Daten nur abgegriffen wurden, ob eine Zahlung nicht autorisiert war, ob Betroffene selbst eine Freigabe vorgenommen haben oder ob personenbezogene Daten betroffen sind. Priorität haben zunächst Schadensbegrenzung, Sperrung, schriftliche Meldung und Beweissicherung. Danach sollte geprüft werden, welche Ansprüche gegen Bank, Zahlungsdienstleister, Vertragspartner, Täter oder Versicherer realistisch in Betracht kommen.

Besonders wichtig sind Fristen: Im Zahlungsverkehr sollte die Anzeige unverzüglich erfolgen; bei Datenschutzvorfällen kann die 72-Stunden-Frist relevant werden. Eine pauschale Aussage, dass Betroffene immer oder nie Ersatz erhalten, wäre unzutreffend. Maßgeblich sind Ablauf, Warnhinweise, Authentifizierung, Dokumentation und Sorgfaltspflichten im Einzelfall. Wer diese Punkte früh strukturiert aufarbeitet, verbessert die Grundlage für außergerichtliche Klärung oder weitere rechtliche Schritte.