Kreditkartenbetrug: Wer zahlt den Schaden?

1. Kreditkartenbetrug: Wer zahlt den Schaden? | Gesetz

Als Betroffener des Kreditkartenbetruges, haben Sie selbstverständlich einen Anspruch auf Rückzahlung gegenüber den Tätern – allerdings lassen diese sich häufig nicht identifizieren oder fassen. Daher stellt sich die Frage, ob auch die Bank den entstandenen Schaden ersetzen muss. Hierzu trifft das Bürgerliche Gesetzbuch (BGB) Regelungen.

Relevant sind insbesondere folgende Gesetze:

• § 675u BGB: Wurde das eigene Bankkonto gehackt und dadurch Geld entwendet, haben Kunden grundsätzlich einen Anspruch auf Erstattung gegenüber ihrer Bank.
• § 675v Abs. 1 BGB: Trifft den Kunden lediglich leichte Fahrlässigkeit beim Hacken des Bankkontos, haftet er für den entstandenen Schaden bis zu einem Betrag von 50 Euro.
• § 675v Abs. 3 BGB: Liegt hingegen grobe Fahrlässigkeit vor, trägt der Kunde die volle Haftung für den entstandenen Schaden.

Grundsätzlich gilt: Bankkunden haften nicht für Kreditkartenzahlungen, die sie nicht selbst autorisiert haben. Liegt keine wirksame Autorisierung vor, ist die Bank nach § 675u BGB verpflichtet, den entstandenen Schaden zu erstatten.

Eine Zahlung gilt nicht schon deshalb als autorisiert, weil sie technisch freigegeben wurde – etwa durch eine App-Bestätigung oder die Eingabe einer SMS-TAN. Maßgeblich ist vielmehr, ob der Karteninhaber dem konkret ausgeführten Zahlungsvorgang mit Wissen und Wollen zugestimmt hat. Fehlt es hieran, liegt rechtlich eine nicht autorisierte Zahlung vor. Dies kann insbesondere dann der Fall sein, wenn der Kunde über Zweck, Inhalt oder Tragweite der Freigabe getäuscht wurde oder davon ausging, keine Zahlung, sondern lediglich eine andere Handlung vorzunehmen – etwa das Hinzufügen einer Kreditkarte zu Apple Pay oder Google Pay oder eine vermeintliche Sicherheits- oder Verifizierungsmaßnahme.

Hat der Kontoinhaber den Missbrauch allerdings durch grob fahrlässiges Verhalten ermöglicht, kann die Bank dem Erstattungsanspruch einen eigenen Schadensersatzanspruch nach § 675v Abs. 3 BGB entgegenhalten. In diesem Fall bleibt der Kunde auf dem Schaden sitzen. Ist das Verhalten des Kunden hingegen nur als einfach fahrlässig zu bewerten, ist die Haftung gesetzlich auf maximal 50 Euro begrenzt (§ 675v Abs. 1 BGB).

Bei Kreditkartenbetrug ist daher stets eine sorgfältige Prüfung des Einzelfalls erforderlich. Entscheidend ist, wie es zur Zahlung gekommen ist, ob dem Kontoinhaber ein Mitverschulden anzulasten ist und – falls ja – ob dieses als grob oder lediglich leicht fahrlässig zu bewerten ist. Die Darlegungs- und Beweislast für grobe Fahrlässigkeit liegt dabei bei der Bank (§ 675w BGB).

Was zählt als Kreditkartenbetrug?

Es gibt mehrere Arten des Kreditkartenbetrugs, so insbesondere:

• Kreditkarte gestohlen (Diebstahl)
• Kartendaten beim Bezahlen oder Geldabheben ausgelesen (Skimming)
• Kartendaten über gefälschte E-Mails, SMS oder Webseiten abgegriffen (Phishing)
• Kartendaten durch Hackerangriffe auf Online-Shops erlangt (Hacking)
• Kartendaten über manipulierte Kartenlesegeräte kopiert (Copying)

2. Kreditkartenbetrug übers Internet: Wer haftet?

Bei Kreditkartenbetrug über das Internet haftet grundsätzlich die Bank und muss den entstandenen Schaden ersetzen, wenn die missbräuchlichen Zahlungen nicht vom Karteninhaber autorisiert wurden.

Haben Betrüger das Kreditkartenkonto leergeräumt, geschieht dies häufig durch Zahlungen – seltener auch durch Überweisungen vom Kreditkartenkonto –, die der Betroffene nicht selbst freigegeben hat. Führt die Bank solche nicht autorisierten Zahlungsvorgänge aus, ist sie gesetzlich zur Erstattung verpflichtet.

Eine Erstattung kann jedoch entfallen, wenn die Bank nachweist, dass der Karteninhaber den Betrug vorsätzlich oder grob fahrlässig ermöglicht hat. Ob dies der Fall ist, muss stets im Einzelfall geprüft werden.

Wann haftet der Kunde?

Bei Kreditkartenbetrug muss die Bank den Schaden nicht in jedem Fall vollständig ersetzen. Ob und in welchem Umfang der Karteninhaber haftet, hängt davon ab, wie es zu dem Missbrauch der Kreditkarte gekommen ist. In Betracht kommen keine Haftung, eine Teilhaftung oder – in Ausnahmefällen – eine vollständige Haftung des Karteninhabers.

Eine Teilhaftung bei Kreditkartenbetrug liegt vor, wenn der Karteninhaber den Schaden durch einfach fahrlässiges Verhalten mitverursacht hat. Einfache Fahrlässigkeit bedeutet, dass ein Fehler gemacht wurde, der auch einem sorgfältigen Menschen passieren kann. In diesen Fällen ist die Haftung des Karteninhabers gesetzlich auf maximal 50 Euro begrenzt (§ 675v Abs. 1 BGB). Den übrigen Schaden muss die Bank erstatten.

Eine vollständige Haftung des Karteninhabers kommt nur dann in Betracht, wenn der Kreditkartenbetrug durch grob fahrlässiges Verhalten ermöglicht wurde. Grobe Fahrlässigkeit liegt vor, wenn grundlegende Sicherheitsregeln in besonders schwerem Maße missachtet wurden – also wenn ein verständiger Dritter sagen würde:

„So etwas darf wirklich nicht passieren.“

Bei dieser Bewertung müssen stets die persönlichen Umstände des Karteninhabers berücksichtigt werden, etwa

• Alter oder gesundheitlicher Zustand,
• fehlende technische Kenntnisse im Umgang mit Online-Zahlungen,
• besondere Stress- oder Drucksituationen, wie sie bei Social-Engineering-Angriffen (gezielte psychologische Täuschung des Opfers, um an sensible Daten oder Freigaben zu gelangen) häufig auftreten.

Von Banken wird grobe Fahrlässigkeit häufig behauptet. Tatsächlich kommt sie nur in klaren Fällen in Betracht, etwa bei:

• gemeinsamer Aufbewahrung von Kreditkarte und PIN,
• bewusster Weitergabe von PIN oder TANs an unbekannte Dritte,
• Eingabe von Kreditkartendaten auf einer offensichtlich gefälschten Phishing-Website und
• Erteilung von Freigaben, deren Zweck für den Karteninhaber erkennbar nicht zum eigenen Anliegen passt.

Ob der Karteninhaber bei Kreditkartenbetrug haftet – und wenn ja, überhaupt, teilweise oder vollständig –, muss immer im Einzelfall geprüft werden. Maßgeblich sind die konkreten Umstände des Betrugs und das Verhalten des Karteninhabers.

Wichtig: Die Beweislast für grobe Fahrlässigkeit liegt bei der Bank. Gelingt ihr dieser Nachweis nicht, besteht ein Anspruch auf Erstattung.

3. Kreditkartenbetrug bei Kartendiebstahl: Wer haftet?

Etwas anders stellt sich die Rechtslage dar, wenn die Kreditkarte selbst gestohlen und anschließend von den Tätern mit der richtigen PIN genutzt wurde – etwa für eine Bargeldabhebung am Geldautomaten. In solchen Fällen berufen sich Banken häufig auf den sogenannten Beweis des ersten Anscheins.

Danach wird zunächst vermutet, dass

• entweder der Karteninhaber die Transaktion selbst vorgenommen oder ihr zugestimmt hat,
• oder der Karteninhaber die PIN nicht ausreichend geheim gehalten und damit grob fahrlässig gehandelt hat.

Wichtig: Diese Vermutung ist widerlegbar, sie kann vom Karteninhaber entkräftet werden. Gelingt es, plausibel darzulegen, dass Kriminelle trotz sorgfältigem Umgang an die PIN gelangt sein könnten, greift der Anscheinsbeweis nicht mehr. Das ist insbesondere dann der Fall, wenn die PIN von den Tätern zuvor ausgespäht wurde, etwa durch:

• manipulierte Geldautomaten oder Kartenlesegeräte,
• Beobachtung der PIN-Eingabe an einer Kasse („Shoulder Surfing“),
• technische Manipulationen an Bezahlterminals, z.B. in Restaurants oder Shops.

Wurde die PIN auf diese Weise ausgespäht und die Kreditkarte anschließend gestohlen, liegt in der Regel keine grobe Fahrlässigkeit des Karteninhabers vor. In solchen Fällen ist die Bank grundsätzlich zur Erstattung des Schadens verpflichtet, sofern sie nicht konkret nachweisen kann, dass der Karteninhaber in erheblicher Weise unachtsam gehandelt hat.

4. Kreditkartenbetrug melden: Diese Fristen müssen Sie einhalten

Wie bereits erläutert, muss die Bank bei nicht autorisierten Zahlungen den Schaden grundsätzlich erstatten (§ 675u BGB), sofern kein grob fahrlässiges Verhalten auf Kundenseite vorlag.

Wird Ihre Zahlungskarte gestohlen, geht sie verloren oder wird sie missbräuchlich verwendet, müssen Sie Ihre Bank aber unverzüglich, also ohne schuldhaftes Zögern, informieren, um Ihren Erstattungsanspruch nicht zu verlieren. Zudem erlischt der Erstattungsanspruch spätestens 13 Monate nach dem Tag der missbräuchlichen Abbuchung, wenn keine Meldung erfolgt (§ 676b BGB).

Auch der Europäische Gerichtshof hat klargestellt, dass nach Ablauf dieser 13-Monats-Frist keine Ansprüche mehr geltend gemacht werden können (Urteil vom 01.08.2025, Az. C-665/23).

Beispiel zur Verdeutlichung: Sie bemerken den Betrug nach einem Monat, informieren Ihre Bank jedoch ohne sachlichen Grund erst einen weiteren Monat später. Zwar erfolgt die Anzeige noch innerhalb der gesetzlichen 13-Monats-Frist, sie ist jedoch nicht unverzüglich im Sinne des Gesetzes. Der Anspruch entfällt daher.

Unser Rat: Prüfen Sie Ihre Konto- und Kreditkartenabrechnungen regelmäßig und melden Sie Auffälligkeiten sofort Ihrer Bank, um Erstattungsansprüche nicht durch verspätete Kenntnisnahme oder schuldhaftes Zögern zu verlieren.

5. Kreditkartenbetrug: Bekomme ich mein Geld zurück?

Ob Sie nach einem Kreditkartenbetrug Ihr Geld zurückerhalten, hängt davon ab, wie es zu dem Betrug kam und ob Ihnen grobe Fahrlässigkeit vorgeworfen werden kann.

Wichtige Fragen dabei sind:

• Wie kam es zum Betrug?
• Hätten Sie den Schaden durch ein naheliegendes, zumutbares Verhalten vermeiden können?

Haben Sie nicht grob fahrlässig gehandelt, ist die Bank verpflichtet, den entstandenen Schaden zu ersetzen. Die Beweislast liegt bei der Bank.

Beispiel aus der Rechtsprechung: Das Landgericht Berlin hat 2024 entschieden, dass eine Bank nach einem Phishing-Angriff den Schaden ersetzen muss. Der Kläger war über eine täuschend echt gestaltete Webseite zur Preisgabe seiner Daten verleitet worden, anschließend kam es zu mehreren nicht autorisierten Online-Zahlungen mit seiner VISA-Karte.Das Gericht stellte klar, dass eine technische Freigabe allein keine wirksame Autorisierung darstellt. Die Bank konnte zudem kein grob fahrlässiges Verhalten des Klägers nachweisen, da die Täuschung für ihn nicht ohne Weiteres erkennbar war (LG Berlin II, Urteil vom 09.02.2024, Az. 38 O 118/23).

In der Praxis lehnen Banken Erstattungen jedoch häufig mit dem pauschalen Vorwurf grober Fahrlässigkeit ab – auch in Fällen professioneller Phishing-Angriffe.

Betroffene sollten sich davon nicht abschrecken lassen. Ein Anwalt kann dabei helfen, den konkreten Fall einzuordnen und darzulegen, dass lediglich leichte Fahrlässigkeit vorliegt – mit dem Ziel, den Anspruch auf Erstattung durchzusetzen.

Mit advocado finden Sie schnell und einfach einen erfahrenen Anwalt, der auf Bankrecht spezialisiert ist. Die advocado Partner-Anwälte sind deutschlandweit tätig und bieten Ihnen eine kostenlose Ersteinschätzung – transparent, unverbindlich und bequem online.

6. Kreditkartenbetrug: Was tun?

Ist wegen eines Kreditkartenbetrugs das Konto leergeräumt, gilt: Ruhe bewahren und den Betrug melden.

5 Schritte bei Kreditkartenbetrug:

• Bank informieren: Melden Sie den Kreditkartenbetrug unverzüglich Ihrer Bank. Diese sperrt die Kreditkarte und gegebenenfalls auch das Online-Kreditkartenbanking, um weiteren finanziellen Schaden zu verhindern. Je früher die Bank informiert ist, desto geringer ist Ihr Risiko.
• Beweise sichern: Bewahren Sie alle Unterlagen zum Kreditkartenbetrug sorgfältig auf, etwa Kontoauszüge, Buchungsübersichten, Phishing-E-Mails oder SMS. Diese Nachweise sind wichtig, um Erstattungsansprüche gegenüber der Bank geltend zu machen und werden auch von der Polizei benötigt.
• Zugangsdaten ändern: Ändern Sie vorsorglich Ihre Zugangsdaten für das Kreditkarten-Online-Banking, insbesondere dann, wenn nicht ausgeschlossen werden kann, dass Betrüger Zugriff auf Ihr Kreditkartenkonto oder Ihre Banking-App hatten.
• Anzeige erstatten: Sie können (und sollten) eine Strafanzeige wegen Betrugs bei der Polizei erstatten. In vielen Bundesländern ist dies einfach online über die sogenannte „Online-Wache“ möglich. Die Polizei nimmt dann Ermittlungen auf, um die Täter ggf. zu identifizieren.
• Anwalt kontaktieren: Um zu klären, wer für den Kreditkartenbetrug haftet und wer den Schaden ersetzen muss, kann die Einschaltung eines erfahrenen Anwalts sehr sinnvoll sein. Ein Anwalt kennt die Rechtslage, prüft Ihre Erfolgsaussichten und übernimmt die Auseinandersetzung mit der Bank.
• Besonders wichtig: Ein erfahrener Anwalt kann verhindern, dass Sie gegenüber der Bank unbedacht Angaben machen, die später zu Ihrem Nachteil ausgelegt werden könnten.

7. Kreditkartenbetrug & Bank zahlt nicht: So hilft ein Anwalt

Lehnt die Bank nach einem Kreditkartenbetrug die Erstattung ab, bedeutet das nicht, dass Sie den Schaden hinnehmen müssen. Ein im Bank- und Zahlungsverkehrsrecht erfahrener Anwalt kann prüfen, wer rechtlich für den Schaden haftetund Ihre Ansprüche konsequent gegenüber der Bank durchsetzen. Dabei greift er auf Erfahrungen aus zahlreichen vergleichbaren Fällen und aktueller Rechtsprechung zurück.

Das kann ein Anwalt für Sie tun:

• Sachverhalt rechtlich einordnen und Beweise sichern: Der Anwalt prüft die Ablehnung der Bank und hilft dabei, die relevanten Beweise strukturiert zusammenzustellen.
• Kommunikation mit der Bank übernehmen: Viele Banken lenken erst ein, wenn sie rechtlich fundiert konfrontiert werden.
• Rückerstattungsanspruch geltend machen: Je nach Fall setzt der Anwalt Ihren gesetzlichen Erstattungsanspruch außergerichtlich oder gerichtlich durch – notfalls auch über eine Klage.

8. Kreditkartenbetrug: Strafe

Kreditkartenbetrug ist eine Straftat. Täter machen sich – wie bei jeder anderen Form des Betrugs – strafbar und müssen mit strafrechtlichen Konsequenzen rechnen.

Je nach Vorgehensweise kommen insbesondere folgende Straftatbestände des Strafgesetzbuches (StGB) in Betracht:

• § 263 StGB – Betrug: Wenn der Täter einen Menschen durch Täuschung zu einer Handlung veranlasst, die zu einem Vermögensschaden führt – etwa durch Phishing-E-Mails, gefälschte Webseiten, Fake-Anrufe („falsche Bankmitarbeiter“) oder andere Social-Engineering-Methoden.
• § 263a StGB – Computerbetrug: Wenn Zahlungen, Abhebungen oder Überweisungen durch die unbefugte Verwendung von Kreditkarten- oder Kontodaten ausgelöst werden, ohne dass ein Mensch unmittelbar getäuscht wird.
• § 202a StGB – Ausspähen von Daten: Wenn sich der Täter unbefugt Zugang zu besonders gesicherten Daten verschafft, etwa zu Kreditkarten-, Online-Banking- oder Authentifizierungsdaten.

Je nach Schwere des Kreditkartenbetrugs drohen Geldstrafen oder Freiheitsstrafen von bis zu mehreren Jahren.
Daneben können Täter auch zivilrechtlich auf Schadensersatz in Anspruch genommen werden, etwa durch die geschädigte Bank oder den Karteninhaber.

Wichtig für Betroffene:
Das strafrechtliche Verfahren gegen den Täter ist unabhängig von der Frage, ob die Bank den entstandenen Schaden erstatten muss. Auch wenn der Täter nicht ermittelt oder verurteilt wird, können Erstattungsansprüche gegenüber der Bank bestehen.