Kontobetrug, Phishing, Fernwärme: Verbraucher gewinnen vor Gericht (18.10.2026)

Jonas: Willkommen bei Crime & Kontext. Ich bin Jonas, und heute geht es um einen Brief, der aussah wie von der Bank, und um ein Urteil, das für viele Betroffene einen Unterschied machen könnte. An meiner Seite ist Mara, die zweite Stimme in dieser Runde. Sie fragt nach, wo es nötig ist, und bremst, wenn ich zu sehr vereinfache. Hallo Mara.

Mara: Hallo Jonas. Ein Brief, der aussah wie von der Bank. Das klingt erst mal erstaunlich analog für Cybercrime.

Jonas: Genau das ist der Punkt. Im Mittelpunkt steht der Arzt Rudolf Wolter aus Thüringen. Er bekommt einen Brief, der nach Post von seiner Bank aussieht, und darin steht ein QR-Code. Wolter scannt ihn. Am Ende fehlen auf seinem Konto mehr als 100.000 Euro.

Mara: Mehr als 100.000 Euro, durch einen Scan. [pauses] Das muss man erst mal sacken lassen.

Jonas: Ja. Und er hat später selbst erklärt, warum er nichts bemerkt hat. Der Brief wirkte täuschend echt. Außerdem kam er so traditionell als Brief, dass er sich nichts dabei gedacht hat. Genau das ist ein Mechanismus, den wir gleich genauer anschauen.

Mara: Warum ist ein Brief überhaupt so wirksam? Wir hören doch ständig, man solle bei E-Mails misstrauisch sein.

Jonas: Eben deshalb. Viele haben gelernt: Verdächtig sind E-Mails, Links und SMS. Ein Brief im Briefkasten gilt dagegen als seriös, fast wie ein Stempel. Das Vertrauen in das Medium wird auf den Inhalt übertragen. Und ein QR-Code wirkt harmlos und bequem, man hält einfach das Handy drauf.

Mara: Und man sieht dem Code nicht an, wohin er führt. Bei einem Link kann ich wenigstens noch auf die Adresse schauen.

Jonas: Richtig, beim QR-Code fehlt diese kleine Prüfmöglichkeit. Deshalb ist er für Betrüger so attraktiv. Er ist ein Türöffner, der die Verantwortung auf den Moment des Scannens verschiebt.

Mara: Und genau da setzen die Banken ja bisher an. Sie sagen, wer so etwas scannt, ist selbst schuld.

Jonas: So war die Praxis bislang meistens. Banken haben die Erstattung häufig verweigert und argumentiert, das Klicken auf Phishing-Links oder das Scannen betrügerischer QR-Codes sei grob fahrlässig. Kunden blieben dann auf dem Schaden sitzen, und bei Beträgen wie in diesem Fall ist das existenziell.

Mara: Und jetzt hat der Europäische Gerichtshof dazu etwas gesagt.

Jonas: Ja. Der EuGH hat entschieden, dass Banken Geld, das per Phishing oder gefälschtem QR-Code abgebucht wurde, zunächst unverzüglich erstatten müssen. Der Pressereferent des Gerichts, Helge Homburg, hat das so zusammengefasst: Bei einem nicht autorisierten Zahlungsvorgang ist der Zahlungsdienstleister grundsätzlich verpflichtet, den Betrag unverzüglich zu erstatten.

Mara: Moment. Nicht autorisiert? Der Kunde hat doch selbst gescannt. Hat er die Zahlung dann nicht irgendwie erlaubt?

Jonas: Das ist ein berechtigter Einwand. Entscheidend ist, was der Kunde tatsächlich freigegeben hat. Wer getäuscht wird und glaubt, mit seiner Bank zu interagieren, hat dem Betrüger keine Zahlung erlaubt. Die Quellenlage zeigt hier vor allem das Ergebnis der Entscheidung. Für uns zählt: Der Gerichtshof sieht die Bank zuerst in der Pflicht.

Mara: Also erst zahlen, dann streiten.

Jonas: So ungefähr. Es gibt zwei Schritte. Erst muss die Bank erstatten. In einem zweiten Schritt kann sie versuchen, das Geld zurückzuholen. Dafür muss sie aber beweisen, dass der Kunde einen schweren Fehler gemacht hat.

Mara: Und grobe Fahrlässigkeit allein reicht dafür nicht?

Jonas: Nach dem, was berichtet wird: nein. Das Argument grob fahrlässigen Verhaltens reicht für eine Verweigerung der Erstattung nicht aus. Die Beweislast liegt bei der Bank. Und das ist eine erhebliche Verschiebung.

Mara: Warum ist das Beweisen für die Bank so schwer? Sie hat doch alle Daten.

Jonas: Sie hat Daten über die Transaktion, aber nicht darüber, in welcher Lage der Kunde war. Was hat er gesehen? Wie echt wirkte die Nachricht? Experten weisen darauf hin, dass Betrugsmaschen immer echter aussehen. Je professioneller die Fälschung, desto schwerer ist es, jemandem einen schweren Fehler vorzuwerfen.

Mara: Das finde ich wichtig. Denn hinter solchen Fällen steckt oft diese stille Scham. Man denkt: Wie konnte ich nur darauf reinfallen?

Jonas: Ja, und diese Scham ist Teil des Geschäftsmodells. Wer sich schämt, meldet sich später oder gar nicht. Wer sich selbst die Schuld gibt, kämpft seltener um sein Geld. Das Urteil sagt indirekt: Professionelle Täuschung ist kein Charakterfehler der Opfer.

Mara: Okay, aber was heißt das praktisch? Kann ich mich jetzt zurücklehnen, weil die Bank ohnehin zahlt?

Jonas: Nein, und das wäre ein gefährlicher Schluss. Der Rechtsanwalt Johannes Goetz sagt, die Bank müsse im Zweifel aktiv gegen den eigenen Kunden vor Gericht ziehen, wenn sie grobe Fahrlässigkeit geltend machen will. Das heißt: Streit ist weiter möglich. Das Urteil verbessert die Ausgangslage, aber es macht Vorsicht nicht überflüssig.

Mara: Und was rät er Betroffenen konkret?

Jonas: Zuerst die Bank sofort informieren. Dann Konto, Karten und Online-Zugang sperren lassen und die Erstattung verlangen. Außerdem Beweise sichern, zum Beispiel E-Mails und Screenshots. Eine Anzeige bei der Polizei ist möglich, führt laut Goetz aber in der Regel selten zu großem Erfolg.

Mara: Das klingt ernüchternd. Warum hilft die Polizei da so selten?

Jonas: Dazu liefert die Quelle keine Details. Man kann aber vorsichtig einordnen: Solche Täter arbeiten oft anonym und über Ländergrenzen hinweg, und Spuren sind schwer zu verfolgen. Eine Anzeige kann trotzdem sinnvoll sein, schon für die Dokumentation.

Mara: Dann lass uns auf das Alltägliche schauen. Die Verbraucherzentrale führt ja ein Phishing-Radar. Was ist da gerade los?

Jonas: Aktuell warnt sie vor Mails im Namen von comdirect, ELSTER, PayPal, Commerzbank, Spotify und DKB. Im Kern ist das Muster immer ähnlich: Du sollst über einen Link Konto-, Karten- oder Zugangsdaten bestätigen. Und fast immer wird Druck aufgebaut, mit kurzen Fristen und Drohungen.

Mara: Gib mal ein paar Beispiele. Wie sieht so ein Druck aus?

Jonas: Die PayPal-Mail behauptet, das Konto sei dauerhaft gesperrt. Es gibt eine Frist von 24 Stunden für eine Identitätsprüfung über einen Button mit dem Text „Konto jetzt reaktivieren“. Laut Verbraucherzentrale führt dieser Link auf eine fremde Weiterleitungsadresse, nicht auf die offizielle PayPal-Seite.

Mara: Also ein Button, der Vertrauen verspricht und woanders hinführt.

Jonas: Genau. Bei der Commerzbank heißt es nach einem angeblichen Sicherheitsupdate, man solle Zugangsdaten bestätigen und eine „neue Verbindung“ der Banking-App aktivieren, auch binnen 24 Stunden. Bei der DKB droht die Mail mit einer Kontoeinschränkung innerhalb von 72 Stunden. Und die Spotify-Mail setzt 48 Stunden, mit der Überschrift „AKTION ERFORDERLICH!“.

Mara: Bei Spotify fällt mir auf: 48 Stunden, das ist ja schon fast großzügig. [laughs] Aber der Mechanismus ist derselbe.

Jonas: Ja, Zeitdruck ist das Werkzeug. Wer unter Druck steht, prüft weniger. Und interessant ist: Bei Spotify war das Logo nur halb dargestellt, und im Text fehlten Leerzeichen, etwa bei „48Stunden“. Bei der DKB-Mail wechselt die Anrede auffällig zwischen Siezen und Duzen.

Mara: Das sind genau die Kleinigkeiten, die man im Alltag überliest. Oder die man bemerkt und trotzdem denkt, wird schon passen.

Jonas: Und trotzdem sind solche Details wertvolle Warnzeichen. Aber, und das ist der Punkt, den uns der Fall des Arztes zeigt: Fehler in der Fälschung sind keine Garantie. Fälschungen werden besser. Deshalb ist es sicherer, nicht auf Details der Mail zu vertrauen, sondern auf einen anderen Weg.

Mara: Welchen?

Jonas: Die Verbraucherzentrale rät: Die Mail unbeantwortet in den Spam-Ordner verschieben. Hinweise nur über die offizielle App oder die bekannte Internetseite des Anbieters prüfen, also nicht über den Link in der Nachricht. Wenn wirklich etwas mit dem Konto ist, steht es dort auch.

Mara: Das lässt sich auf den Brief übertragen. Wenn ein Brief mit QR-Code kommt, nicht scannen, sondern erst über den bekannten Weg nachfragen.

Jonas: Das ist eine sinnvolle Übertragung. Die Quelle zum Brief-Fall formuliert das nicht als Empfehlung, aber das Prinzip ist dasselbe: Den Kontakt selbst herstellen, statt dem Kontakt zu folgen, der zu mir kommt.

Mara: Noch etwas fällt mir bei der Verbraucherzentrale auf. Sie rät, Phishing-Mails auch an das betroffene Unternehmen weiterzuleiten.

Jonas: Ja, denn dessen Identität wird missbraucht. Eine spezielle Adresse dafür findet sich oft im Kontaktbereich der Unternehmensseite. So können Firmen reagieren und andere Kunden warnen. Das ist ein kleiner Beitrag, der gesellschaftlich viel bewirken kann.

Mara: Und dann ist da noch die ELSTER-Mail, oder? Mit der Steuererstattung.

Jonas: Ja. Der Betreff lautet „AW: Ihr Steuerbescheid 2025 – Erstattung bestätigt“. Die Mail verlangt bis zum 25.10.2026 die Eingabe von Kartendaten über einen Link. Hier wird nicht mit Angst gearbeitet, sondern mit Vorfreude auf Geld.

Mara: Das ist schlau, auch wenn ich das Wort ungern benutze. Angst und Hoffnung, beides macht unvorsichtig.

Jonas: Beides sind starke Emotionen, die rationale Prüfung verdrängen. Das ist der Kern von Social Engineering: Nicht die Technik wird zuerst geknackt, sondern die Aufmerksamkeit des Menschen.

Mara: Wenn ich das Urteil und die Warnungen zusammennehme: Es gibt zwei Ebenen. Einmal die Verantwortung des Einzelnen, aufmerksam zu sein. Und einmal die Frage, wer das Risiko trägt, wenn es trotzdem passiert.

Jonas: Genau. Das Urteil sagt ein Stück weit: Das Risiko professioneller Täuschung darf nicht automatisch beim Einzelnen landen. Gleichzeitig gilt: Rechtlicher Schutz ersetzt keine Vorsicht. Ein Erstattungsanspruch ist besser als nichts, aber Streit, Aufwand und Stress bleiben.

Mara: Und was ist mit dem Einwand, dass Banken dann vielleicht weniger in Prävention investieren oder Kunden strenger behandeln?

Jonas: Dazu gibt es in den Quellen keine Aussage, also wäre das Spekulation. Man kann aber festhalten: Wenn die Bank das finanzielle Risiko trägt, hat sie ein eigenes Interesse, Betrug früh zu erkennen. Ob das so kommt, wird sich zeigen.

Mara: Gut, dass du das trennst. Dann fasse ich für mich zusammen: Sofort die Bank informieren, Zugänge sperren, Beweise sichern, Erstattung verlangen. Und im Vorfeld: Fristen und Druck als Warnsignal sehen und nur über den eigenen Weg prüfen.

Jonas: Das trifft es gut. Und noch ein Gedanke: Dass jemand mit hoher Bildung und Verantwortung wie ein Arzt auf so etwas hereinfällt, zeigt, dass es nicht um Dummheit geht. Es geht um Vertrauen in vertraute Formen, und genau das nutzen Täter aus.

Mara: Das finde ich als Schlusspunkt wichtig. Wer betrogen wurde, sollte sich nicht verstecken, sondern schnell handeln.

Jonas: Dann fasse ich kurz zusammen. Der EuGH stärkt Verbraucher: Banken müssen bei Phishing oder gefälschten QR-Codes zunächst erstatten, und die Bank muss einen schweren Fehler des Kunden beweisen, wenn sie das Geld zurückholen will. Gleichzeitig zeigen die aktuellen Phishing-Mails, wie stark Betrüger mit Zeitdruck, Drohungen und vertrauten Absendern arbeiten. Sicherheit entsteht aus beidem: aus klaren Rechten und aus einem prüfenden Blick.

Mara: Und aus der Bereitschaft, einmal innezuhalten, bevor man klickt oder scannt. Das kostet fast nichts und kann viel verhindern.

Jonas: Danke fürs Zuhören bei Crime & Kontext. Echte Fälle, klug erzählt und verständlich eingeordnet. Dieser Podcast ist vollständig KI-generiert, und alle Quellen und Hintergründe findest du auf unserer Website. Bleib aufmerksam.

Mara: Danke dir, Jonas, und danke an alle, die dabei waren. Passt auf euch auf.