Phishing- und Man-in-the-Middle-Angriffe (MitM-Angriffe) gehören heute zu den schädlichsten Formen der Cyberkriminalität für Unternehmen und Finanzinstitute. Gleichzeitig stellen sie eine komplexe rechtliche Herausforderung dar: Wer haftet, wenn ein Cyberkrimineller eine Überweisung umleitet? Die Bank? Der Auftraggeber? Beide?
Cyberkriminalität und Man-in-the-Middle-Betrug: Wie weit reicht die Haftung der Banken?
Der geltende rechtliche Rahmen sowie die aktuelle Rechtsprechung in Spanien legen den Finanzinstituten eine verstärkte Haftung auf, die darauf abzielt, Nutzer vor unautorisierten Zahlungsvorgängen zu schützen. Diese Schutzfunktion ist jedoch begrenzt: Die Haftung der Bank kann nicht die Fahrlässigkeit des Auftraggebers oder anderer an der Transaktion Beteiligter neutralisieren.
In der Praxis müssen sowohl die betroffenen Zahler als auch die Kreditinstitute präzise nachweisen, was, wo und warum etwas schiefgelaufen ist.
Der häufigste Betrug: das Geldesel-Konto
Bei MitM-Betrugsfällen fangen Cyberkriminelle die Kommunikation zwischen Unternehmen ab – meist E-Mails im Zusammenhang mit Rechnungsstellung und Zahlungen – und geben sich als einer der legitimen Kommunikationspartner aus, um die Zahlung auf ein anderes Konto umzuleiten: ein zuvor eröffnetes Geldesel-Konto.
Wenn das Opfer den Betrug bemerkt, ist es meist zu spät: Die Gelder wurden bereits abgehoben oder weitergeleitet. Da der Täter schwer zu identifizieren ist, verklagt der Geschädigte oft die Bank, die die Überweisung ausgeführt hat, und/oder die Empfängerbank, unter dem Vorwurf mangelnder KYC/AML-Kontrollen, unzureichender Prüfung der Übereinstimmung zwischen Empfängername und Kontoinhaber, Verzögerungen bei Rückbuchungen usw.
In vielen Fällen durchbricht jedoch die Fahrlässigkeit des Auftraggebers den Kausalzusammenhang und begrenzt – oder schließt – die Haftung des Zahlungsdienstleisters erheblich aus.
Verteidigungsstrategie des Finanzinstituts
Eine solide Verteidigung stützt sich in der Regel auf vier zentrale Säulen:
Einhaltung der Vorschriften bei der Ausführung der Zahlung
Kernpunkt sind die KYC- und AML-Vorgaben. Allerdings ist der Zahlungsdienstleister nicht verpflichtet, die Übereinstimmung zwischen IBAN und Namen des Kontoinhabers des Geldesel-Kontos zu überprüfen. Dies haben sowohl der Gerichtshof der EU (Urteil vom 21.3.2019, Rs. C-245/18) als auch der spanische Oberste Gerichtshof (STS 507/2025 vom 27. März) bestätigt.
Grobe Fahrlässigkeit des Auftraggebers
Schwer erkennbare Änderungen der Domain einer E-Mail, unerwartete Kontoänderungen zugunsten eines Landes ohne Bezug zur Transaktion oder das Unterlassen von Rückfragen über alternative Kanäle (Telefon, Teams oder WhatsApp) … Spanische Gerichte haben bereits festgestellt, dass das Fehlen solcher grundlegenden Prüfungen eine Sorgfaltspflichtverletzung darstellt, die mit dem von jedem Unternehmen zu erwartenden Standard unvereinbar ist.
Sicherheitslücke im System des Auftraggebers
Die Empfängerbank haftet nicht für Schwachstellen im IT-System des Kunden und ist auch nicht verpflichtet zu prüfen, ob dessen E-Mail-Konto kompromittiert wurde.
Fehlender Kausalzusammenhang
Das Finanzinstitut ist weder an der Abfangung der Kommunikation noch an der Erteilung des betrügerischen Zahlungsauftrags beteiligt und trägt auch keine Verantwortung für die verspätete Betrugserkennung. Seine Rolle beschränkt sich auf die Ausführung der Überweisung anhand der vom Auftraggeber bereitgestellten Daten sowie auf die Zusammenarbeit mit den Behörden, sobald der Betrug entdeckt wurde.
Fazit: Auf dem Weg zu einer ausgewogenen Haftung beim Phishing
Der Kampf gegen Phishing und MitM-Betrug erfordert eine stärkere Prävention, aber gleichzeitig die Wahrung der Rechtssicherheit.
Ein faires System macht Banken nicht zu universellen Garanten für schwerwiegende Fehler ihrer Kunden.
Die Sicherheit digitaler Transaktionen beruht auf zwei Pfeilern:
- Wirksame Bankkontrollen
- Nutzer mit soliden Prüf- und Cybersicherheitsgewohnheiten – insbesondere im Unternehmensumfeld, wo kleine Nachlässigkeiten Millionenschäden ermöglichen können.
Nur ein ausgewogener Rechtsrahmen kann Vertrauen in das digitale Finanzsystem gewährleisten und eine kohärente rechtliche Antwort auf die zunehmenden Phishing-Angriffe bieten.
Häufig Gestellte Fragen
Phishing ist eine Technik der Cyberkriminalität, bei der Identitäten gefälscht werden, um Daten zu stehlen oder Zahlungen umzuleiten. Im Unternehmensumfeld materialisiert sich dies häufig in MitM-Angriffen, die legitime Kommunikation manipulieren und Überweisungen auf betrügerische Konten umleiten.
Es kommt darauf an. Das europäische Recht sieht eine verstärkte Haftung der Zahlungsdienstleister vor, diese kann jedoch ausgeschlossen oder reduziert werden, wenn grobe Fahrlässigkeit des Auftraggebers vorliegt – etwa bei fehlenden Basisprüfungen oder der Befolgung verdächtiger Anweisungen.
Nein. Sowohl der EuGH als auch der spanische Oberste Gerichtshof haben bestätigt, dass keine solche Verpflichtung besteht – auch nicht bei Phishing-betrug. Die Bank darf die Überweisung ausschließlich auf Grundlage der vom Kunden angegebenen IBAN ausführen.
Es ist möglich, hängt jedoch von der Schnelligkeit der Reaktion, der Nachverfolgbarkeit der Gelder und dem Vorliegen (oder Nichtvorliegen) von Fahrlässigkeit ab. In vielen Fällen wurden die Gelder vom „Geldesel-Konto“ bereits abgehoben oder weitergeleitet, was die Rückgewinnung erschwert.
Zweitkanal-Verifizierung, Prüfung von Domains, Validierung von Kontoänderungen, interne Cybersicherheitsrichtlinien und regelmäßige Schulung der Mitarbeitenden. Die Prävention von Phishing erfordert die Zusammenarbeit von Unternehmen und Finanzinstituten.
Stehen Sie vor einem Phishing- oder MitM-Streitfall?
