Bankkonto gehackt: Was du zuerst tust und in welcher Reihenfolge

Die erste Stunde, Schritt für Schritt

Die Sperre kommt vor allem anderen. Sie verhindert, dass weiteres Geld abfließt, und ab dem Moment deiner Meldung haftest du für neue Schäden nicht mehr. Die BaFin sagt auf ihrer Seite zum Datendiebstahl: Sperr bei Verdacht auf Betrug sofort deine Zahlungskarten oder deinen Online-Banking-Zugang, entweder über deine Bank oder über den Sperr-Notruf 116 116.

1. Ruf die Sperrnummer deiner Bank an. Nimm die Nummer von deiner Karte, vom Kontoauszug oder aus der App, die du selbst installiert hast. Keine Nummer aus einer Suchmaschine und keine, die dir jemand genannt hat. Der Sperr-Notruf 116 116 ist rund um die Uhr erreichbar, aber laut Verbraucherzentrale nehmen nicht alle Banken daran teil.
2. Lass sperren, was gefährdet ist. Den Online-Banking-Zugang, die Karten und, wenn noch etwas offen ist, vorgemerkte Überweisungen und Daueraufträge, die du nicht angelegt hast. Das BSI weist in seinen Sicherheitstipps zum Onlinebanking darauf hin, dass du den Zugang auch selbst über die entsprechende Funktion im Onlinebanking sperren kannst.
3. Nenn jede fremde Buchung mit Datum und Betrag und sag klar, dass du sie nicht veranlasst hast. Notier dir das Aktenzeichen und den Namen der Person am Telefon.
4. Frag nach der Empfängerbank. Die Verbraucherzentrale nennt es als eigenen Schritt, auch die Bank des Empfängers zu informieren. Frag deine Bank, ob sie das übernimmt.
5. Erstatte Anzeige bei der Polizei. Am schnellsten geht das online über die Onlinewachen der Polizeien. Beschreib, was passiert ist, und lad Bildschirmfotos und verdächtige Nachrichten hoch.
6. Fordere die Erstattung schriftlich an. Dazu gleich mehr.

Wenn du gerade am Telefon mit jemandem bist, der sich als Mitarbeiter deiner Bank ausgibt und dich durch diese Schritte führen will, leg auf und ruf selbst die Nummer von deiner Karte an. Die BaFin beschreibt, dass Täter bei Anrufen die echte Nummer einer Bank auf dem Display erscheinen lassen können.

Warum es so auf die Zeit ankommt

Geld, das von einem Girokonto abgeht, kann sehr schnell weg sein. Bei einer Echtzeitüberweisung ist es nach Angaben der BaFin auf ihrer Seite zu Überweisungen und Lastschriften innerhalb von zehn Sekunden beim Empfänger, an jedem Tag rund um die Uhr. Täter verteilen solches Geld oft schnell weiter. Jede Stunde, in der der Zugang offen bleibt, gibt ihnen die Möglichkeit für die nächste Überweisung.

Die gute Nachricht ist die Rechtslage. Eine Zahlung, die jemand ohne dich ausgelöst hat, ist nicht autorisiert. Nach § 675u BGB muss die Bank dir den Betrag dann unverzüglich erstatten, spätestens bis zum Ende des Geschäftstags nach dem Tag, an dem sie davon erfahren hat. Nach § 675v BGB kann sie in bestimmten Fällen bis zu 50 Euro von dir verlangen, und den vollen Schaden nur, wenn du betrügerisch oder grob fahrlässig gehandelt hast. Für alles, was nach deiner Sperranzeige passiert, haftest du nicht.

Die äußerste Frist für die Meldung steht in § 676b BGB: 13 Monate nach der Belastung. Das ist ein Grenzwert für vergessene Buchungen und kein Grund zu warten. Melde am selben Tag.

Die Zugangsdaten in der richtigen Reihenfolge ändern

Erst das E-Mail-Postfach, dann die Bank, dann alles, womit sich das Bankkonto zurücksetzen lässt. In einer anderen Reihenfolge änderst du vielleicht ein Passwort, das der Täter über dein Postfach sofort wieder zurücksetzt. Das BSI rät in seinem Notfallplan für gehackte Konten, mit den Zugangsdaten des betroffenen E-Mail-Kontos zu beginnen und in einem Zug vorzugehen, damit dir niemand zuvorkommt.

Geh dabei so vor:

• Ein eigenes Passwort für jedes Konto. Keine Abwandlung eines Passworts, das du schon benutzt. Das BSI empfiehlt, ab jetzt für jeden Account ein anderes Passwort zu vergeben.
• Alle aktiven Sitzungen beenden. In den Einstellungen vieler Dienste lassen sich alle Anmeldungen mit einem Klick abmelden.
• Einstellungen prüfen, nicht nur das Passwort. Das BSI nennt automatische Weiterleitungen von Nachrichten an fremde Adressen und geänderte Rückfalloptionen wie eine fremde Telefonnummer als kritische Punkte.
• Im Onlinebanking selbst nachsehen. Neue Empfänger in der Vorlage, Daueraufträge, verknüpfte Geräte für die Freigabe-App, geänderte Limits. Lösch, was du nicht angelegt hast, und sag der Bank Bescheid.
• Konten, die dieselbe E-Mail-Adresse nutzen. Ändere die Passwörter aller Konten, die das gleiche Passwort hatten oder bei denen das betroffene Postfach zum Zurücksetzen hinterlegt ist.

Die BaFin rät außerdem: Wenn du vermutest, dass Dritte deine Online-Banking-Zugangsdaten kennen, ändere sie direkt selbst im Onlinebanking. Wenn deine Bank den Zugang schon gesperrt hat, bekommst du von ihr die neuen Zugangsdaten auf dem Weg, den sie vorsieht.

Die Geräte prüfen

Ändere die Passwörter von einem Gerät aus, dem du vertrauen kannst. Danach kommt das Gerät dran, auf dem du sonst Bankgeschäfte machst. Wenn dort ein Schadprogramm läuft, kann es neue Passwörter beim Eintippen mitlesen. Das BSI sagt dazu klar: Findet ein Virenscanner Schadprogramme, müssen diese zuerst beseitigt werden, sonst verlieren die Täter den Zugang nicht.

Ein Fall verdient besondere Aufmerksamkeit. Hat dich jemand kürzlich am Telefon dazu gebracht, ein Programm zur Fernwartung oder Bildschirmfreigabe zu installieren, trenn das Gerät vom Internet und deinstalliere das Programm. Mit so einem Programm sieht und steuert eine fremde Person deinen Bildschirm. Wie diese Anrufe ablaufen, steht in was ist Vishing.

Danach die Routine:

• Betriebssystem, Browser und Apps auf den neuesten Stand bringen. Die BaFin nennt aktuelle Software und Virenschutz ausdrücklich als Schutz.
• Browser-Erweiterungen löschen, die du nicht kennst.
• Auf dem Smartphone Apps prüfen, die du nicht installiert hast, und die Banking-App nur aus dem offiziellen App-Store neu laden.
• Das BSI rät in seinen Regeln zum Mobile Banking davon ab, ein gerootetes oder gejailbreaktes Gerät für Bankgeschäfte zu nutzen.

Wenn du unsicher bist, ob ein Gerät sauber ist, nutz für das Onlinebanking vorerst ein anderes. Ein Fachgeschäft oder eine Fachperson kann das Gerät prüfen oder neu aufsetzen.

Die Meldung schriftlich machen

Der Anruf stoppt den Schaden. Die schriftliche Meldung beweist, was du wann verlangt hast. Die Verbraucherzentrale rät auf ihrer Seite zu Kreditkartenbetrug und Kontobetrug, die Ansprüche schriftlich oder per E-Mail anzumelden und sich in dieser Sache nicht nur auf Telefonate zu verlassen, weil die Mitarbeitenden in Callcentern oft nicht entscheiden können.

In den Brief gehört:

• dein Name, deine Kontonummer beziehungsweise IBAN und das Aktenzeichen aus dem Anruf;
• jede fremde Buchung mit Datum und Betrag;
• der Satz, dass du diese Zahlungen nicht autorisiert hast und die Erstattung nach § 675u BGB verlangst;
• Datum und Uhrzeit deiner Sperranzeige;
• die Bitte, die Gutschrift mit Wertstellung zum Belastungsdatum vorzunehmen.

Die Verbraucherzentrale empfiehlt, der Bank drei Wochen für die Gutschrift zu geben. Die Wertstellung zum Belastungsdatum sorgt dafür, dass dir keine Überziehungszinsen entstehen, wenn das Konto durch die fremden Abbuchungen ins Minus gerutscht ist.

Führ ab jetzt eine Liste: jedes Telefonat mit Datum, Namen und Aktenzeichen, jeder Brief, jede Antwort. Heb Kontoauszüge mit den strittigen Buchungen auf, auch wenn das Geld schon zurück ist.

Wenn du die Zahlung selbst freigegeben hast

Nicht jeder Fall ist ein Zugriff ohne dich. Manchmal ruft jemand an, der sich als Bank, Polizei oder Support ausgibt, und bringt dich dazu, selbst eine Überweisung freizugeben oder einen Code weiterzugeben. Die BaFin beschreibt solche Anrufe: Täter erfinden eine glaubwürdige Geschichte, etwa dass dein Geld durch Kriminelle bedroht sei, und drängen dich zu schnellem Handeln.

Rechtlich ist das schwieriger. Eine Überweisung, die du selbst eingegeben oder in der App bestätigt hast, gilt in der Regel als autorisiert, auch wenn du getäuscht wurdest. Die Regeln für nicht autorisierte Zahlungen greifen dann meistens nicht. Hat jemand dagegen mit einem Code, den du herausgegeben hast, selbst Zahlungen ausgelöst, kommt es auf die Umstände an, und die Bank wird prüfen, ob du grob fahrlässig gehandelt hast.

Melde den Fall trotzdem sofort und beschreib ehrlich, was passiert ist. Die Bank kann versuchen, die Empfängerbank zu erreichen, solange das Geld noch dort liegt. Was du in dieser Lage tust, steht ausführlich in Echtzeitüberweisung und Betrug.

Die Verantwortung für den Betrug liegt bei der Person, die ihn begangen hat. Diese Anrufe sind darauf angelegt, echt zu wirken und keine Zeit zum Nachdenken zu lassen.

Was die Bank tun muss und was du tust, wenn sie ablehnt

Bei einer nicht autorisierten Zahlung muss die Bank erstatten. Sie darf die Erstattung nur aufschieben, wenn sie einen begründeten Betrugsverdacht schriftlich einer Behörde mitteilt. Will sie gar nicht zahlen, muss sie dir grobe Fahrlässigkeit nachweisen. Die Verbraucherzentrale zitiert dazu den Bundesgerichtshof: Grobe Fahrlässigkeit verlangt einen Verstoß, der schwer und schlechthin unentschuldbar ist. Allein dass die richtigen Zugangsdaten verwendet wurden, reicht nach ihrer Darstellung als Nachweis nicht.

In der Praxis berichten die Verbraucherzentralen, dass Banken Betroffene oft abwimmeln, ohne diesen Nachweis zu erbringen. Wenn das passiert:

1. Lass dir die Ablehnung schriftlich mit Begründung geben.
2. Wende dich an die Schlichtungsstelle deiner Bank. Welche zuständig ist, steht laut Verbraucherzentrale im Impressum der Bank. Die BaFin erklärt auf ihrer Seite zur Streitschlichtung, dass viele Banken mit vom Bundesamt für Justiz anerkannten Stellen zusammenarbeiten und die Ombudsleute unabhängig entscheiden.
3. Beschwer dich bei der BaFin, wenn du willst. Sie sagt auf ihrer Seite bei der BaFin beschweren aber selbst, dass sie Einzelnen nicht zu ihrem Recht verhelfen kann.
4. Lass dich beraten. Die Verbraucherzentrale deines Bundeslandes hilft bei der Einschätzung. Nach ihren Erfahrungen setzen Betroffene Ansprüche oft erst mit einem Anwalt durch.

Kommt wegen eines Dispos, der durch die fremden Buchungen entstanden ist, Post von einem Inkassobüro, widersprich auch dort schriftlich. Die Verbraucherzentrale schreibt, dass eine bestrittene Forderung nicht einfach bei einer Auskunftei eingetragen werden darf und dass du das Recht hast, einen solchen Eintrag löschen zu lassen.

Worauf du in den Wochen danach achtest

Ein Zugriff auf das Bankkonto bleibt nicht immer beim Bankkonto. Wer deine Zugangsdaten hatte, hatte oft auch deine Adresse, dein Geburtsdatum oder Kopien von Dokumenten. Achte deshalb in den nächsten Wochen auf Zeichen dafür, dass jemand mit deinen Daten weitermacht:

• Rechnungen oder Mahnungen für Bestellungen, die du nicht gemacht hast;
• Pakete, die du nicht bestellt hast;
• Briefe über Verträge oder Konten, die du nicht kennst;
• Nachrichten von Freunden, dass sie von deiner Adresse seltsame E-Mails bekommen.

Lies die Kontoauszüge der nächsten Monate Zeile für Zeile, nicht nur den Kontostand. Schalt Push-Mitteilungen für jede Buchung ein, wenn deine Bank das anbietet. Mehr dazu steht in sicheres Online-Banking.

Wenn deine Karte das Problem war und nicht der Online-Zugang, etwa weil sie an einem präparierten Automaten ausgelesen wurde, findest du die passenden Schritte in Skimming. Wie du gefälschte Nachrichten erkennst, die oft der Anfang eines Kontozugriffs sind, erklärt gefälschte Bank-SMS.

Eine amtliche Stelle, die nach einem Identitätsmissbrauch einen fertigen Wiederherstellungsplan für dich ausstellt, gibt es in Deutschland nicht. Die Polizeiliche Kriminalprävention und das BSI bieten aber gemeinsam eine kostenlose Checkliste für gehackte Accounts an, die du Schritt für Schritt abhaken kannst.

Häufige Fragen, wenn das Bankkonto gehackt wurde