Zusammenfassung
🎣 Was ist passiert? Betrüger geben sich als Ihre Volksbank aus und versuchen, über gefälschte E-Mails, SMS oder Webseiten an Ihre Zugangsdaten zu gelangen.
💰 Die Folge: Ihr Konto wird leergeräumt, oft binnen weniger Minuten nach erfolgreichem Datendiebstahl.
⚖️ Ihre Rechte: Nicht jeder Phishing-Schaden muss selbst getragen werden – die Bank haftet in vielen Fällen für nicht autorisierte Zahlungsvorgänge.
🛡️ Entscheidend ist: Ob Ihnen grobe Fahrlässigkeit vorgeworfen werden kann, hängt von den konkreten Umständen des Einzelfalls ab.
📞 Mein Rat: Handeln Sie schnell, sichern Sie Beweise und lassen Sie Ihren Fall fachkundig prüfen, bevor Sie sich mit der Bank auf eine Lösung einlassen.
Wenn das Konto der Volksbank plötzlich leer ist
Der Schreck sitzt tief, wenn Sie sich morgens in Ihr Online-Banking-Konto bei der Volksbank einloggen und feststellen, dass mehrere hundert oder gar tausend Euro fehlen. Vielleicht haben Sie tags zuvor eine E-Mail erhalten, die aussah, als käme sie direkt von Ihrer Bank. Vielleicht haben Sie auf einen Link geklickt und Ihre Zugangsdaten eingegeben, weil die Nachricht so überzeugend wirkte. Genau das ist die Masche, mit der Kriminelle seit Jahren erfolgreich Bankkunden um ihr Erspartes bringen – auch und gerade Kunden der Volksbanken und Raiffeisenbanken.
Als Fachanwalt für IT-Recht mit langjähriger Erfahrung im Bereich Internetbetrug und Phishing begleite ich regelmäßig Mandanten, die genau diese Erfahrung gemacht haben. Mein Ziel in diesem Beitrag ist es, Ihnen zu erklären, wie Phishing-Angriffe auf Volksbank-Kunden funktionieren, welche rechtlichen Möglichkeiten Sie haben und welche Schritte jetzt wichtig sind.
Was genau bedeutet Phishing?
Der Begriff Phishing ist mittlerweile in aller Munde, doch die genaue rechtliche Einordnung ist entscheidend für Ihren Fall. Der Bundesgerichtshof hat den Begriff klar definiert: Phishing bezeichnet die Täuschung eines Nutzers von Internetdiensten mithilfe technischer Manipulationen, um diesen zur Mitteilung vertraulicher Daten (meist PIN oder TAN) an einen Nichtberechtigten zu verleiten. Dazu wird der Nutzer durch einen verfälschten, meist in einer E-Mail mitgeteilten Link auf eine Internetseite geleitet, die einen vertrauenswürdigen Betreiber vortäuscht, so dass der Nutzer arglos geschützte Daten preisgibt.
Diese Definition ist wichtig, denn sie unterscheidet sich von einer verwandten, aber technisch anderen Angriffsform, dem sogenannten Pharming. Bei dieser Variante ist der Angriff gegen die Auflösung einer Internetadresse gerichtet. Durch Manipulation der sogenannten Hosts-Datei auf dem Rechner des Nutzers oder durch Einsatz eines korrumpierten DNS-Servers wird der korrekte Aufruf der Website der Bank technisch in den Aufruf der betrügerischen Seite geändert. Für Sie als Betroffener mag diese Unterscheidung zunächst akademisch klingen, sie kann jedoch bei der rechtlichen Bewertung Ihres Falles eine erhebliche Rolle spielen, denn die Frage, wie genau die Täter an Ihre Daten gelangt sind, beeinflusst maßgeblich, ob Ihnen ein Sorgfaltspflichtverstoß vorgeworfen werden kann.
Die perfide Logik hinter dem Volksbank-Phishing
Kriminelle, die es auf Volksbank-Kunden abgesehen haben, gehen selten spontan oder unorganisiert vor. Vielmehr handelt es sich in aller Regel um hochprofessionelle, arbeitsteilige Strukturen. Das Landgericht Bonn hat in einem umfangreichen Strafverfahren die Funktionsweise solcher Systeme detailliert beschrieben: Das Phishing stellt sich als sehr personalintensives und komplexes System dar, das regelmäßig nur arbeitsteilig zu bewerkstelligen ist und das eines hohen Grades an Vorbereitung und Koordination bedarf. Zum einen müssen die technischen Voraussetzungen geschaffen werden. Es werden Computerfachleute mit hinreichender Programmiererfahrung benötigt, um die Trojaner und die anderen verwendeten Schadprogramme anzufertigen. Daneben werden Personen benötigt, die die Trojaner durch Spammails, Spambanner oder über Sicherheitslücken in bekannten Programmen im Internet verbreiten und mit den so infizierten Rechnern der Opfer ein sogenanntes Bot-Netz aufbauen.
Diese Erkenntnis ist für Sie als Betroffener bedeutsam. Wenn Sie Opfer eines Volksbank-Phishing-Angriffs geworden sind, haben Sie es in aller Regel nicht mit einem einzelnen Trickbetrüger zu tun, sondern mit einem professionell organisierten Netzwerk, das exakt weiß, wie es Ihre Bank imitieren und Ihre Wachsamkeit unterlaufen kann. Für die rechtliche Bewertung Ihres Falles bedeutet dies zugleich: Die Raffinesse der Täter spricht häufig gegen den Vorwurf einer groben Fahrlässigkeit auf Ihrer Seite, denn selbst aufmerksame und technikaffine Menschen können auf professionell gestaltete Fälschungen hereinfallen.
Wie die Täter an Ihre Zugangsdaten gelangen
Um zu verstehen, wie Sie sich schützen können und welche Verantwortung Sie im Ernstfall trifft, lohnt sich ein Blick auf die konkreten Methoden. Das Landgericht Köln hat in einem lesenswerten Urteil die verschiedenen Wege beschrieben, auf denen Betrüger an Kontodaten, PIN und TAN gelangen können. Grundsätzlich unterscheidet die Rechtsprechung zwischen dem physischen Diebstahl von Zugangsdaten, dem direkten Angriff auf die Bankinfrastruktur und dem Vorgehen über den Kontoinhaber selbst.
Der physische Weg über die Post spielt heute kaum noch eine Rolle, denn die Banken haben ihre Versandpraxis entsprechend angepasst: Das unbemerkte Öffnen der Post wird durch die Gestaltung der PIN- und TAN-Sendungen in aufreißbaren Umschlägen praktisch unmöglich gemacht, weil es bei Eintreffen der Schreiben beim Kontoinhaber auffällt. Außerdem werden PIN und TAN-Liste in unterschiedlichen Schreiben versandt, die im Regelfall wiederum nicht die vollständige Kontonummer enthalten. Auch ein direkter Angriff auf die Bankserver selbst ist unwahrscheinlich, denn die Täter verschaffen sich Zugang zum Zentralrechner der Bank des Kontoinhabers, was aufgrund der hohen Sicherheitsmaßnahmen der Banken schwierig, wenn auch nicht unmöglich ist. Da ein erfolgreicher Angriff meist zahlreiche Bankkunden betrifft, wird er im Regelfall auch öffentlich bekannt werden.
Der weitaus häufigste und erfolgversprechendste Weg führt daher über Sie als Kontoinhaber selbst. Die Täter setzen dabei auf zwei Hauptstrategien. Zum einen auf Schadsoftware: Die Täter spionieren die Daten mittels sogenannter Malware aus, die heimlich auf dem Computer des Kontoinhabers installiert wird, meistens über das Öffnen von per E-Mail versandter Dateien oder den Besuch einer Internetseite, die schädlichen Code enthält. Diese wertet die Eingaben des Computernutzers aus und übermittelt sie an die Täter. Dies ist auch bei gesicherten Verbindungen möglich. Besonders perfide sind dabei sogenannte Abbruch-Trojaner, denn um eine nicht verbrauchte TAN zu erlangen, gibt es sogar Programme, die nach Eingabe der TAN die Verbindung zur Bank unterbrechen.
Zum anderen setzen die Täter auf klassisches Phishing über gefälschte E-Mails und Webseiten: Der aktuell bekannteste Weg ist wohl das sogenannte Phishing, bei dem die Täter versuchen, E-Mails einer Bank nachzuahmen und die Kunden auffordern, ihr Konto – meist aus angeblichen Sicherheitsgründen – durch Eingabe von Kontonummer, PIN und mehreren TANs neu freizuschalten. Im einfachsten Fall wird der Kunde aufgefordert, die Daten in ein Formular in der E-Mail einzutragen oder als Antwort zurückzusenden. Üblicher und erfolgversprechender ist der Weg über einen in der E-Mail integrierten Link auf eine Internetseite, welche die Täter so gestaltet haben, dass sie der Seite der Bank ähnelt.
Was solche Betrugsmaschen heute besonders gefährlich macht, ist ihre wachsende Professionalität. Während frühere Phishing-Mails noch leicht als Fälschung zu erkennen waren, gilt heute: Waren früher die E-Mails und die gefälschten Internetseiten durch sprachliche Fehler und optische Mängel geprägt und daher leicht erkennbar, verwenden die Täter inzwischen teilweise täuschend echte E-Mails und Internetseiten, die auch von aufmerksamen Betrachtern nur schwer als gefälscht zu erkennen sind. Diese Entwicklung ist auch bei gefälschten Volksbank-Mails deutlich zu beobachten, denn Logos, Farbschemata und selbst die typische Sprache der Genossenschaftsbanken werden mittlerweile täuschend echt kopiert.
Wie Sie eine echte Volksbank-Seite erkennen können
Es gibt dennoch technische Merkmale, an denen sich eine echte von einer gefälschten Bankseite unterscheiden lässt, auch wenn diese Erkennung zunehmend schwieriger wird. Wichtig ist die Verschlüsselung der Verbindung: Die Verwendung des https-Protokolls ermöglicht zugleich eine Authentifizierung der Internetseite als echte Seite der Bank über ein Zertifikat. Ist das Zertifikat ungültig, erscheint bei den üblichen Internet-Browsern eine Warnmeldung. Auch die Adresszeile im Browser verdient besondere Aufmerksamkeit: Die gefälschten Internetseiten sind zu erkennen, weil im Regelfall die Adresse in der Adressleiste nicht die der Bank sein wird, oft ist sie aber nur geringfügig abgewandelt, die Verschlüsselung nicht aktiviert ist und die Seite kein gültiges, von der Bank herausgegebenes Authentifizierungszertifikat hat.
Ein zusätzlicher Schutzmechanismus sind moderne Spam-Filter, die einen Teil der gefälschten Nachrichten bereits vor dem Eintreffen im Postfach abfangen: Einen gewissen Schutz bieten Spam-Filter, die anhand von bestimmten Kriterien unter anderem gefälschte Mails erkennen und entweder schon auf dem Mailserver oder auf dem Computer des Nutzers herausfiltern. Verlassen Sie sich jedoch niemals ausschließlich auf technische Sicherheitsvorkehrungen. Kriminelle passen ihre Methoden fortlaufend an, sodass auch die beste Filtertechnologie keinen vollständigen Schutz bieten kann.
Vom Datendiebstahl zur Überweisung: Wie das Geld verschwindet
Sind Ihre Zugangsdaten einmal in den Händen der Täter, folgt die eigentliche Ausbeutung meist rasend schnell. Das Landgericht Bonn beschreibt diesen Prozess anschaulich: Die auf einem dieser Wege erlangten Daten werden nunmehr dazu benutzt, die Online-Konten der Geschädigten mit den erlangten PINs und Kontonummern zu öffnen und dahingehend zu überprüfen, ob lohnenswerte Geldsummen vorhanden sind. Wenn dies der Fall ist, führen die Täter mit den ebenfalls abgephishten TANs unbefugt Überweisungen von den Konten der Geschädigten durch.
Das gestohlene Geld verschwindet dabei nicht direkt in den Taschen der Haupttäter, sondern durchläuft eine ausgeklügelte Verschleierungskette: Die Gelder werden dabei üblicherweise zunächst auf Konten sogenannter Finanzagenten überwiesen, die zur Verschleierung des Geldflusses zwischengeschaltet werden. Deren Aufgabe besteht darin, die ihnen überwiesenen Gelder in bar abzuheben und mittels eines Auslandsgeldtransferdienstes in das – in der Regel osteuropäische – Ausland zu transferieren. Der Empfänger im Zielland, der sogenannte Naler, hebt das Geld in der Folge, meist unter falscher Identität, in bar ab und speist es wieder in das Bankensystem ein.
Diese sogenannten Finanzagenten werden häufig selbst getäuscht, wie ein Urteil des Landgerichts Karlsruhe eindrucksvoll zeigt. In diesem Fall ließ sich der Beklagte im Wege einer Mitarbeitersuche einer vermeintlichen Unternehmung als Finanzvertreter anwerben. Der Beklagte fiel auf das verlockende Angebot recht zügig einigermaßen Geld zu verdienen, herein und erklärte sich dieser Unternehmung gegenüber bereit, Gelder auf seinem Girokonto entgegenzunehmen, diese kurzfristig in bar abzuheben und sie sodann ins Ausland zu transferieren. Ihm wurde vorgespiegelt, dass es sich insoweit um einen legalen Arbeitsvertrag handele, welchen er eingehen dürfe. Dieses Beispiel zeigt: Auch scheinbar seriöse Jobangebote können Teil eines Phishing-Systems sein. Die betroffene Bank musste in diesem Fall den Finanzagenten auf Rückzahlung verklagen, was bedeutet, dass letztlich häufig Zivilklagen notwendig werden, um überhaupt einen Teil des Schadens zurückzuerlangen.
Der zeitliche Druck innerhalb dieser Kette ist für die Aufklärung und die schnelle Reaktion von entscheidender Bedeutung, wie das Landgericht Bonn ausführt: Zudem drängt im Fall einer Überweisung an einen Drop die Zeit; denn je schneller der Finanzagent reagiert und das Geld von seinem Konto abhebt, umso größer ist die Wahrscheinlichkeit, dass das Geld auch tatsächlich zu den Geldempfängern weitergeleitet werden kann. Denn in vielen Fällen fallen die Überweisungen den Geschädigten rasch auf und sie veranlassen schnellstmöglich die Rückbuchung der Überweisungen.
Für Sie als Betroffener bedeutet diese Erkenntnis vor allem eines: Jede Minute zählt. Je schneller Sie nach Entdeckung des Betrugs handeln, desto größer ist die Chance, dass die Bank die Überweisung noch stoppen oder rückabwickeln kann, bevor das Geld endgültig ins Ausland transferiert wurde.
Die entscheidende Frage: Wer haftet für den Schaden?
Nachdem die technischen Abläufe geklärt sind, kommen wir zur für Sie wirtschaftlich wichtigsten Frage: Müssen Sie den Schaden selbst tragen, oder haftet Ihre Volksbank für die unbefugten Abbuchungen? Diese Frage lässt sich nicht pauschal beantworten, sondern hängt maßgeblich von den konkreten Umständen Ihres Einzelfalls ab.
Der Bundesgerichtshof hat in einer wichtigen Entscheidung klargestellt, dass es für die Bewertung des Sorgfaltsverstoßes nicht entscheidend auf die genaue technische Einordnung des Angriffs ankommt, sondern auf Ihr konkretes Verhalten im Log-In-Prozess. In dem entschiedenen Fall hatte der Kläger gleich zehn Transaktionsnummern auf einmal preisgegeben, obwohl seine Bank ausdrücklich davor gewarnt hatte: Entgegen der Ansicht der Revision hat diese Verkennung der Angriffsart durch das Berufungsgericht jedoch keine Auswirkung auf den Sorgfaltsverstoß des Klägers. Für diesen kommt es auch nicht maßgeblich auf Warnungen in den Medien an. Entscheidend ist, dass der Kläger beim Log-In-Vorgang, also nicht etwa bei einer konkreten Transaktion, für die Transaktionsnummern bestimmt sind, gleichzeitig zehn TAN eingegeben hat, obwohl sich in der Mitte der Log-In-Seite des Online-Banking der Beklagten ein graphisch hervorgehobener Hinweis auf Schadprogramme befand, die zur Eingabe mehrerer TAN in ein Formular auffordern, und die Beklagte in diesem Hinweis ausdrücklich klargestellt hatte, dass sie Kunden niemals dazu auffordert, gleichzeitig mehrere TAN preiszugeben.
Diese Entscheidung macht deutlich, worauf es in Ihrem Fall wirklich ankommt: Nicht die abstrakte Frage, ob Sie theoretisch hätten misstrauisch werden können, sondern die konkrete Frage, ob Sie eindeutige, ihnen bekannte Warnhinweise Ihrer Volksbank ignoriert haben. Wenn Sie hingegen einer täuschend echt gestalteten E-Mail zum Opfer gefallen sind, die keinerlei Auffälligkeiten aufwies, spricht dies eher gegen den Vorwurf der groben Fahrlässigkeit.
Genau hier liegt der Ansatzpunkt für eine fundierte rechtliche Verteidigung Ihrer Interessen. Jeder Fall muss individuell betrachtet werden: Wie professionell war die gefälschte E-Mail gestaltet? Gab es konkrete, individualisierte Warnhinweise Ihrer Bank, die Sie ignoriert haben? Wurden Sie durch besonders raffinierte Schadsoftware getäuscht, die auch für technisch versierte Nutzer kaum erkennbar war? Diese Fragen entscheiden maßgeblich darüber, ob Ihre Volksbank den Schaden ersetzen muss.
Vishing und Social Engineering als ergänzende Gefahr
Neben dem klassischen E-Mail-Phishing setzen Betrüger zunehmend auch auf telefonische Betrugsmaschen, das sogenannte Vishing. Kriminelle geben sich dabei als Bankmitarbeiter aus, um Vertrauen zu erschleichen: Angreifer können sich auch als Personen ausgeben, die eine berechtigte Anfrage haben, zum Beispiel als Bankmitarbeiter, IT-Support oder Behörde. Angegriffene werden dabei gezielt durch Vorspiegelung falscher Tatsachen und gelogener Kontakte getäuscht und manipuliert, sogenanntes Social Engineering, und ihre Hilfsbereitschaft wird ausgenutzt.
Diese Angriffsform wird häufig mit dem klassischen Phishing kombiniert. Nachdem die Betrüger bereits über eine gefälschte E-Mail erste Daten erlangt haben, rufen sie das Opfer zusätzlich an, um vermeintlich eine Sicherheitsüberprüfung durchzuführen und dabei weitere sensible Informationen wie TANs abzugreifen. Ein einfacher Rückruf bei der Ihnen bekannten Servicenummer Ihrer Volksbank kann hier bereits erhebliche Klarheit schaffen und einen möglichen Angriff im Keim ersticken.
Erste Schritte nach dem Entdecken des Betrugs
Sollten Sie feststellen, dass Ihr Volksbank-Konto Ziel eines Phishing-Angriffs geworden ist, zählt jede Minute. Kontaktieren Sie umgehend Ihre Bank und lassen Sie Ihr Online-Banking-Zugang sofort sperren. Erstatten Sie zudem Strafanzeige bei der Polizei, denn diese Anzeige dient nicht nur der Strafverfolgung, sondern ist häufig auch für die zivilrechtliche Auseinandersetzung mit der Bank von erheblicher Bedeutung. Sichern Sie zudem sämtliche Beweise: die verdächtige E-Mail im Original mit vollständigem Header, Screenshots der gefälschten Webseite, falls noch zugänglich, sowie sämtliche Kontoauszüge, die die unbefugten Abbuchungen dokumentieren.
Widersprechen Sie den nicht autorisierten Zahlungsvorgängen ausdrücklich und schriftlich gegenüber Ihrer Volksbank. Verzichten Sie dabei bewusst darauf, vorschnell ein Schuldanerkenntnis abzugeben oder sich auf eine erste, oft für Sie nachteilige Regelung der Bank einzulassen. Genossenschaftsbanken reagieren in solchen Fällen sehr unterschiedlich, und eine vorschnelle Zustimmung zu einer bankseitigen Bewertung des Sachverhalts kann Ihre späteren rechtlichen Möglichkeiten erheblich einschränken.
Warum eine fachkundige Prüfung Ihres Falles entscheidend ist
Die rechtliche Bewertung eines Phishing-Falls ist komplex, weil sie sowohl technisches Verständnis als auch fundierte Kenntnisse im Bank- und Zahlungsdiensterecht erfordert. Es geht darum, den genauen Ablauf des Angriffs zu rekonstruieren, die Kommunikation mit der Bank kritisch zu prüfen und zu bewerten, ob und in welchem Umfang eine Haftung der Bank für den entstandenen Schaden besteht.
Als Fachanwalt mit Schwerpunkt IT-Recht unterstütze ich Sie dabei, Ihre Situation strategisch und lösungsorientiert einzuschätzen. Gemeinsam analysieren wir die genauen Umstände des Angriffs auf Ihr Volksbank-Konto, prüfen die Kommunikation mit Ihrer Bank und entwickeln eine klare, auf Ihren Fall zugeschnittene Strategie zur Durchsetzung Ihrer Ansprüche. Mein Ziel ist es, Ihnen effektiv dabei zu helfen, Ihr verlorenes Geld zurückzuholen und dabei schnell, kompetent und zielgerichtet vorzugehen.
Vorbeugung: So schützen Sie sich künftig
Auch nach einem überwundenen Phishing-Angriff lohnt sich ein Blick auf präventive Maßnahmen. Prüfen Sie E-Mails, die angeblich von Ihrer Volksbank stammen, stets kritisch, insbesondere wenn diese zur sofortigen Handlung, etwa der Eingabe mehrerer TANs, auffordern. Ihre Bank wird Sie niemals per E-Mail auffordern, mehrere Transaktionsnummern gleichzeitig preiszugeben. Öffnen Sie niemals Anhänge unbekannter Absender und klicken Sie nicht unüberlegt auf Links in E-Mails, sondern rufen Sie die Webseite Ihrer Bank stattdessen manuell über die Adresszeile auf. Halten Sie zudem Ihre Antivirensoftware sowie Ihr Betriebssystem stets aktuell, denn viele Angriffe nutzen bekannte Sicherheitslücken aus, die durch regelmäßige Updates geschlossen werden könnten.
Fazit: Handeln Sie schnell und lassen Sie sich beraten
Ein Phishing-Angriff auf Ihr Volksbank-Konto ist zunächst ein Schock, der jedoch nicht das Ende Ihrer finanziellen Sicherheit bedeuten muss. Die Rechtsprechung zeigt deutlich, dass die Haftungsfrage in solchen Fällen keineswegs pauschal zu Lasten des Bankkunden ausfällt. Entscheidend sind die konkreten Umstände: Wie professionell war der Angriff gestaltet? Haben Sie eindeutige Warnhinweise Ihrer Bank missachtet, oder sind Sie einem täuschend echten Betrugsversuch zum Opfer gefallen, der auch für aufmerksame Nutzer kaum zu durchschauen war?
Ich unterstütze Sie effektiv dabei, Ihr verlorenes Geld zurückzuholen. Lassen Sie uns gemeinsam eine Strategie entwickeln, um Ihre Ansprüche gegenüber der Volksbank durchzusetzen. Nutzen Sie meine kostenlose Erstberatung, um Ihre individuelle Situation zu besprechen und die nächsten Schritte gemeinsam festzulegen. Schnelle, kompetente und strategische Rechtsberatung – Ihr Erfolg ist mein Ziel.
