Geschäftskonto gehackt: Bankhaftung nach Phishing & Betrug

Auch nach einem Angriff auf das Geschäftskonto kann ein Erstattungsanspruch gegen die Bank bestehen. Zuerst ist zu klären, wer die konkrete Zahlung veranlasst und ihr zugestimmt hat. Bei Firmenkonten müssen zusätzlich Bankvollmachten, Freigaberegeln und wirksam vereinbarte Abweichungen vom gesetzlichen Zahlungsdiensterecht geprüft werden. Melden Sie den Vorfall sofort; verlassen Sie sich nicht ungeprüft auf Verbraucherfristen.

In diesem Ratgeber

Geld vom Firmenkonto verschwunden: Die ersten Maßnahmen

Bank über den Firmenkundenkanal informieren. Benennen Sie Konto, betroffene Aufträge, Beträge und Entdeckungszeitpunkt. Bitten Sie um erforderliche Zugangssperren und um Prüfung, ob noch nicht ausgeführte Aufträge gestoppt oder ausgeführte Zahlungen zurückgerufen werden können.
Weitere Zahlungswege prüfen. Kontrollieren Sie vorgemerkte Aufträge, neue Empfänger, geänderte Limits, Freigabegeräte und Benutzerrechte. Vereinbaren Sie mit der Bank, wie notwendige betriebliche Zahlungen während der Absicherung abgewickelt werden.
IT und Geschäftsleitung einbeziehen. Bei verdächtigen Postfachzugriffen oder Fernwartung muss der Angriff eingedämmt werden. Sichern Sie relevante Daten mit der zuständigen IT; löschen oder installieren Sie betroffene Systeme nicht unkoordiniert neu.
Beweise und Zuständigkeiten festhalten. Eine Person bündelt Bankkontakt, Chronologie und Unterlagen. Behalten Sie Originalnachrichten einschließlich Anhängen und Kopfzeilen.
Strafanzeige und Versicherungen klären. Dokumentieren Sie die Anzeige und informieren Sie gegebenenfalls bestehende Cyber-, Vertrauensschaden- oder Rechtsschutzversicherer nach den jeweiligen Vertragsvorgaben. Eine Police bedeutet noch keine Deckung für den konkreten Schaden.

Die polizeilichen Handlungsempfehlungen beschreiben unter anderem gefälschte Rechnungsdaten und vermeintliche Anweisungen der Geschäftsleitung. Ein Rückruf über eine bekannte Nummer und verlässliche interne Freigabewege helfen, zusätzliche Zahlungen zu verhindern. [10] [11]

Welche Art von Firmenbetrug liegt vor?

„Das Konto wurde gehackt“ ist eine erste Beschreibung, aber noch keine genaue rechtliche Einordnung. Drei typische Abläufe verlangen unterschiedliche Fragen:

Ablauf	Entscheidende Frage	Besonders wichtige Belege
Täter nutzen erbeutete Banking‑Zugänge und lösen Zahlungen aus.	Hat das Unternehmen durch eine berechtigte Person der konkreten Zahlung zugestimmt?	Login-, Geräte- und Zahlungsdaten, Freigaben, Bankbedingungen.
Die Buchhaltung überweist nach einer gefälschten Nachricht der Geschäftsleitung.	War die ausführende Person gegenüber der Bank vertretungs- und freigabeberechtigt?	Originalnachricht, Bankvollmacht, Freigabemaske und interne Zahlungsregeln.
Eine echte Lieferantenrechnung enthält eine manipulierte IBAN.	Wurde diese konkrete Zahlung autorisiert und welche weiteren Pflichten sind betroffen?	Originalrechnung, bestätigte Lieferantenverbindung und Empfängerprüfung.

Beim CEO‑Fraud wird die Autorität einer Führungskraft vorgetäuscht. Das kann auch ohne Einbruch in das Onlinebanking geschehen. Eine Täuschung über den geschäftlichen Anlass ist von der Zustimmung zum Zahlungsauftrag zu unterscheiden. [4] [10] Für manipulierte Lieferantenzahlungen erklärt unser Ratgeber zu Rechnungsbetrug auch den Streit um eine weiterhin offene Rechnung.

Warum der Geschäftskontovertrag entscheidend ist

Ein Unternehmen verliert seinen Erstattungsanspruch nicht allein deshalb, weil es kein Verbraucher ist. § 675u BGB regelt die Erstattung nicht autorisierter Zahlungen. Die Klausel „Geschäftskonto“ beantwortet weder die Frage der Zustimmung noch die endgültige Verlustverteilung. [5]

§ 675e Absatz 4 BGB erlaubt mit Nichtverbrauchern Abweichungen von ausdrücklich genannten Regeln, darunter §§ 675v und 675w BGB. Außerdem können andere Anzeigefristen vereinbart werden. Die Regelung gilt nicht als pauschaler Verzicht auf sämtliche Zahlungsdiensterechte; § 675u BGB ist in dieser Aufzählung nicht enthalten. [3]

Prüfen Sie daher die tatsächlich vereinbarte Vertragsfassung zum Zeitpunkt der Zahlung. Ob eine Klausel wirksam einbezogen und inhaltlich wirksam ist, muss gesondert beurteilt werden. Verlangen Sie bei einer Ablehnung die konkrete Klausel und deren Bezug zu Ihrem Sachverhalt.

Auch bei Selbstständigen kommt es auf den Zweck an

§ 13 BGB knüpft den Verbraucherstatus einer natürlichen Person an den überwiegend privaten Zweck des Rechtsgeschäfts. § 14 BGB beschreibt das Handeln in gewerblicher oder selbstständiger beruflicher Tätigkeit. Die Bezeichnung eines Kontotarifs ersetzt diese Prüfung nicht. Eine GmbH ist keine natürliche Person und kann daher nicht Verbraucher im Sinne von § 13 BGB sein. [1] [2]

Was bedeuten Vollmacht und Vier‑Augen‑Prinzip?

Eine Erklärung innerhalb bestehender Vertretungsmacht kann unmittelbar für und gegen das Unternehmen wirken. Deshalb müssen Berechtigung gegenüber der Bank und interne Arbeitsanweisung getrennt rekonstruiert werden. Ein Verstoß gegen eine interne Rücksprachepflicht bedeutet nicht ohne Weiteres, dass die Bank keinerlei wirksamen Zahlungsauftrag erhalten hat. [9]

Bei einem vereinbarten Vier‑Augen‑Verfahren ist zu klären, welche Freigaben nach dem Bankvertrag erforderlich waren und welche tatsächlich vorliegen. Fragen Sie beispielsweise:

War Einzel- oder Gemeinschaftsverfügung mit der Bank vereinbart?
Wer durfte Aufträge anlegen, ändern und endgültig freigeben?
Welche Betragsgrenzen und Benutzerrechte galten bei der Zahlung?
Welche Daten sah die erste und welche die zweite freigebende Person?
Gab es unmittelbar vorher Geräte-, Limit- oder Berechtigungsänderungen?

Ein ausgefülltes Protokollfeld ist nicht die vollständige Antwort auf diese Fragen. Soweit § 675w BGB unverändert anwendbar ist, unterscheidet das Gesetz die technische Authentifizierung von weiteren Nachweisen. Bei Nichtverbrauchern muss zusätzlich eine mögliche wirksame Vertragsabweichung geprüft werden. [7] Unsere Fragenliste zu Bankprotokollen hilft bei der Rekonstruktion, muss für den Firmenvertrag aber angepasst werden.

Welche Unterlagen braucht die Prüfung des Firmenfalls?

Stellen Sie ein geordnetes Paket zusammen, statt nur einen Kontoauszug zu übersenden:

Bankvertrag: Rahmenvertrag, relevante AGB und Sonderbedingungen, Vollmachten, Freigabe- und Limitvereinbarungen.
Zahlungen: Buchungsdaten, Empfänger, Referenzen sowie noch vorhandene Freigabe- und Prüfanzeigen.
Kommunikation: Original‑E‑Mails, Messengerverlauf, Anrufliste, Rechnung und Mitteilungen über neue Kontoverbindungen.
Interner Ablauf: Wer erhielt welche Nachricht, wer erfasste den Auftrag und wer gab ihn auf welchem Gerät frei?
Reaktion: Zeitpunkt der Entdeckung, Bankmeldung, Sperren, Rückrufversuch und Bankantwort.

Ungeklärte Punkte sollten als ungeklärt bezeichnet bleiben. Ein erfundener technischer Angriff hilft der Anspruchsprüfung nicht. Die Frage einer möglichen Pflichtverletzung und Verlusthaftung nach § 675v BGB ist von der Frage der Autorisierung zu trennen; beim Firmenkonto sind wiederum die Vertragsregelungen einzubeziehen. [6]

Warum „13 Monate Zeit“ beim Firmenkonto gefährlich verkürzt ist

§ 676b BGB verlangt grundsätzlich eine unverzügliche Meldung nach Feststellung. Daneben bestehen Ausschlussfristen; bei Nichtverbrauchern können abweichende Fristen vereinbart sein. Prüfen Sie deshalb den konkreten Vertrag und melden Sie den Vorfall sofort, auch wenn die vollständige IT‑Auswertung noch fehlt. [3] [8] Die Fristenübersicht ersetzt diese Vertragsprüfung nicht.

Gilt die Empfängerüberprüfung auch für Firmenzahlungen?

Ein Geschäftskonto ist kein allgemeiner Ausschluss der Empfängerüberprüfung. Artikel 5c der Verordnung (EU) Nr. 260/2012 sieht aber eine besondere Möglichkeit für Nichtverbraucher vor, bei als Bündel eingereichten Zahlungsaufträgen auf die Prüfung zu verzichten. Bei einer Sammeldatei muss deshalb geklärt werden, ob diese Möglichkeit genutzt wurde. [12]

Dokumentieren Sie bei einer Einzelzahlung, welches Prüfergebnis angezeigt und wie darauf reagiert wurde. Eine Übereinstimmung von Name und IBAN bestätigt nicht den geschäftlichen Grund einer angeblichen Chef‑Anweisung. Einzelheiten und die Voraussetzungen einer Haftung erklärt der Ratgeber zur Empfängerüberprüfung.

Wie Sie mit einer Ablehnung der Bank umgehen

Bitten Sie um eine zahlungsbezogene Begründung: Behauptet die Bank eine wirksame Zustimmung, eine bestimmte Pflichtverletzung, eine vertragliche Haftungsregel oder einen Fristablauf? Diese Einwände benötigen unterschiedliche Antworten. Ein Hinweis auf „ordnungsgemäßes Onlinebanking“ ersetzt die Prüfung des vereinbarten Verfahrens nicht.

Parallel können Fragen zu Lieferantenforderungen, Versicherungsdeckung oder interner Verantwortung entstehen. Eine mögliche Mitarbeiterhaftung sollte nicht vorschnell aus dem Banking‑Protokoll abgeleitet werden; hierfür gelten weitere, vom Bankanspruch getrennte Voraussetzungen.

Für eine anwaltliche Ersteinschätzung des Anspruchs gegen die Bank geben Sie ausdrücklich an, dass es sich um ein Firmenkonto handelt. Fügen Sie neben dem Zahlungsablauf auch den Kontovertrag und die Ablehnung bei. Umfang und Übernahme eines konkreten Unternehmensmandats werden im Einzelfall geklärt.

Quellenstand: 30.10.2026. Schwerpunkt sind deutsche Geschäftskontoverträge; besondere Auslands-, Währungs- und Branchenkonstellationen erfordern eine zusätzliche Prüfung.

Häufige Fragen

Muss die Bank ein gehacktes Geschäftskonto wieder ausgleichen?

Bei nicht autorisierten Zahlungen ist § 675u BGB ein zentraler Ausgangspunkt. Auch Unternehmen sind nicht allein wegen ihres Status vom Erstattungsrecht ausgeschlossen. Ob ein Anspruch besteht und wer den Verlust letztlich trägt, hängt unter anderem von Autorisierung, wirksamen Vertragsbedingungen, Nachweisen und einer möglichen Verlusthaftung ab.

Gelten für Firmenkonten dieselben Regeln wie für Privatkonten?

Nicht vollständig. § 675e Absatz 4 BGB erlaubt mit Nichtverbrauchern Abweichungen von bestimmten Zahlungsdiensteregeln und andere Anzeigefristen. Solche Abweichungen gelten nicht automatisch, sondern müssen wirksam vereinbart sein. Die Vorschrift nennt § 675u BGB nicht als frei abdingbare Regel.

Ist ein Einzelunternehmer mit einem privaten Girokonto automatisch Verbraucher?

Nein. Der Kontoname oder die Tarifbezeichnung entscheidet das nicht allein. Für natürliche Personen kommt es nach § 13 BGB auf den überwiegenden Zweck des betreffenden Rechtsgeschäfts an. Eine selbstständige Person kann bei privaten Geschäften Verbraucher sein und bei betrieblichen Geschäften als Unternehmer handeln.

Ist eine Überweisung nach einer falschen Chef‑Mail nicht autorisiert?

Nicht zwingend. Wenn eine gegenüber der Bank wirksam berechtigte Person die konkrete Zahlung im Namen des Unternehmens veranlasst, kann eine Autorisierung vorliegen, obwohl die interne Zahlungsanweisung gefälscht war. Bankvollmacht, vereinbarte Freigabeform, tatsächlich angezeigte Zahlungsdaten und interne Zuständigkeiten müssen getrennt geprüft werden.

Haben Unternehmen nach Bankbetrug immer 13 Monate Zeit?

Nein. Für Nichtverbraucher können nach § 675e Absatz 4 BGB andere Anzeigefristen vereinbart werden. Melden Sie verdächtige oder nicht autorisierte Zahlungen sofort und prüfen Sie den Vertrag. Auch ohne abweichende Klausel verlangt § 676b BGB grundsätzlich die unverzügliche Unterrichtung nach Feststellung.

Haftet ein Mitarbeiter automatisch für eine betrügerische Firmenüberweisung?

Nein. Die Bankhaftung und eine mögliche interne Verantwortlichkeit sind unterschiedliche Fragen. Für eine persönliche Inanspruchnahme sind die konkrete Rolle, das Vertragsverhältnis, Befugnisse, Pflichtverletzung, Verschulden und gegebenenfalls besondere Haftungsregeln zu prüfen. Der Umstand, dass ein Name im Zahlungsprotokoll steht, entscheidet das nicht allein.

Quellen

Redaktion Bankerstattung.de
Wir erklären Betroffenen von Bankbetrug ihre Rechte auf Basis von Gesetzestexten und veröffentlichten Gerichtsentscheidungen. Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung im Einzelfall. Die Prüfung Ihres Falls übernimmt unsere Partnerkanzlei.

Geschäftskonto gehackt: Wann muss die Bank erstatten?