Phishing und nicht autorisierte Zahlungen in Spanien: wann die Bank das Geld erstatten muss

Eine Nachricht trifft im selben Verlauf ein wie jede echte Nachricht, die Ihre Bank Ihnen je geschickt hat: Es sei eine ungewöhnliche Belastung festgestellt worden, hier könnten Sie sie stornieren. Die Seite hinter dem Link sieht aus wie die der Bank. Sie tippen Ihr Passwort ein. Eine Viertelstunde später haben Zahlungen, die Sie nie getätigt haben, das Konto verlassen, und eine Woche danach teilt Ihnen eine E-Mail mit, dass nichts erstattet wird, weil die Vorgänge «ordnungsgemäß mit Ihren personalisierten Sicherheitsmerkmalen autorisiert» worden seien. Das ist in den meisten dieser Fälle die erste Antwort der Bank. Es ist nicht die des Gesetzes. Das spanische Zahlungsrecht beginnt am anderen Ende: Eine Zahlung ist nur autorisiert, wenn Sie ihr zugestimmt haben, eine nicht autorisierte Zahlung muss bis zum Ende des folgenden Geschäftstags erstattet werden, und es ist die Bank, nicht der Kunde, die Betrug oder grobe Fahrlässigkeit beweisen muss. Dieser Beitrag liest die Regel, wie sie im Oktober 2026 gilt — das Gesetz, das Urteil des Obersten Gerichtshofs vom April 2025, zwei kanarische Berufungsurteile und die Zahlen der Banco de España selbst —, und sagt, wo der Schutz endet. Zitate stehen auf Spanisch, mit der Lesart auf Deutsch.

«Autorisiert» heißt zugestimmt, nicht «mit Ihren Codes eingetippt»

Die Regel ist Artikel 36 des Real Decreto-ley 19/2018, des Zahlungsdienstegesetzes: Las operaciones de pago se considerarán autorizadas cuando el ordenante haya dado el consentimiento para su ejecución — Zahlungsvorgänge gelten als autorisiert, wenn der Zahler seine Zustimmung zu ihrer Ausführung gegeben hat — und A falta de tal consentimiento la operación de pago se considerará no autorizada — fehlt diese Zustimmung, gilt der Zahlungsvorgang als nicht autorisiert. Eine Zahlung, die ein Fremder mit Zugangsdaten vornimmt, die er Ihnen abgelistet hat, wurde mit Ihren Codes und ohne Ihre Zustimmung ausgeführt.

Der Oberste Gerichtshof hat das in seinem Urteil 571/2025 vom 9. April 2025 ausdrücklich gesagt: «Nicht autorisierte Vorgänge» sind auch solche, die mit dem Benutzernamen und dem Passwort des Kunden begonnen und mit dem Code bestätigt wurden, den die Bank per SMS geschickt hat, sofern der Kunde bestreitet, sie autorisiert zu haben. Der Vertrag kann nichts anderes bestimmen. Die Regelung ist für beide Seiten zwingend, und eine Klausel, mit der der Kunde jeden mit seinen Schlüsseln getätigten Vorgang als eigenen anerkennt, verdrängt sie nicht.

Die Erstattung: bis zum Ende des folgenden Geschäftstags

Sobald die Bank von einer nicht autorisierten Zahlung weiß, muss sie das Geld zurückgeben, de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación — unverzüglich und in jedem Fall spätestens bis zum Ende des Geschäftstags, der auf den Tag folgt, an dem sie den Vorgang bemerkt hat oder er ihr gemeldet wurde (Artikel 45.1) —, und das Konto wieder so stellen, wie es gewesen wäre. Es gibt einen einzigen Ausweg: Die Bank darf die Erstattung zurückhalten, wenn sie berechtigte Gründe hat, einen Betrug des Kunden selbst zu vermuten, und diese Gründe der Banco de España schriftlich mitteilt. «Wir prüfen den Fall» ist nicht diese Mitteilung.

Ihr Teil: die Bank sofort informieren, und nie später als dreizehn Monate

Der Kunde hat zwei Pflichten (Artikel 41): todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas — alle zumutbaren Vorkehrungen zu treffen, um seine personalisierten Sicherheitsmerkmale zu schützen — und der Bank unverzüglich den Verlust, den Diebstahl oder die nicht autorisierte Nutzung des Instruments zu melden. Von der zweiten hängt das Recht auf Erstattung ab. Die Bank muss informiert werden sin demora injustificada, en cuanto tenga conocimiento de cualquiera de dichas operaciones — ohne ungerechtfertigte Verzögerung, sobald er von einem solchen Vorgang Kenntnis erlangt — und in jedem Fall dentro de un plazo máximo de trece meses contados desde la fecha del adeudo — innerhalb einer Höchstfrist von dreizehn Monaten ab dem Tag der Belastung (Artikel 43.1).

Dreizehn Monate sind die äußere Mauer, nicht das Datum, auf das man zielt: Jede Stunde zwischen dem Betrug und dem Anruf ist eine Stunde, die die Bank später gegen Sie verwenden wird. Nach Ihrer Meldung trägt die Bank die Verluste, es sei denn, Sie haben betrügerisch gehandelt (Artikel 46.3), und die Bank muss für diese Meldung jederzeit und kostenlos einen Kanal offenhalten (Artikel 42.1.c).

Wer was beweisen muss

Hier ist das Gesetz am nützlichsten. Bestreitet ein Kunde, eine Zahlung autorisiert zu haben, muss die Bank nachweisen, dass der Vorgang authentifiziert, ordnungsgemäß aufgezeichnet und verbucht wurde und dass er nicht durch eine technische Störung oder einen anderen Mangel ihres Dienstes beeinträchtigt war (Artikel 44.1). Selbst dann gilt für die Aufzeichnung, dass das Instrument genutzt wurde: no bastará, necesariamente, para demostrar que la operación de pago fue autorizada por el ordenante — sie reicht nicht notwendigerweise aus, um zu beweisen, dass der Zahlungsvorgang vom Zahler autorisiert wurde —, und ebenso wenig dafür, dass er betrügerisch oder grob fahrlässig gehandelt hat (Artikel 44.2). Und auch das letzte Wort ist Beweislast der Bank: Es ist Sache des Anbieters, probar que el usuario del servicio de pago cometió fraude o negligencia grave — zu beweisen, dass der Zahlungsdienstnutzer Betrug oder grobe Fahrlässigkeit begangen hat (Artikel 44.3).

Der Oberste Gerichtshof hat im Urteil 571/2025 die Folgerungen gezogen. Die Haftung der Bank tiene carácter cuasi objetivo — ist quasi verschuldensunabhängig —, und zwar in zweifacher Hinsicht: Über eine nicht autorisierte Zahlung informiert, haftet sie, sofern sie keinen Betrug beweist; und wenn der Kunde die Zahlung bestreitet, entlastet sie ein Protokoll nicht, das zeigt, dass die richtigen Codes verwendet wurden. «Mangel des Dienstes», so das Gericht weiter, ist nicht nur ein Computerfehler: Er umfasst cualquier falta de diligencia o mala praxis en la prestación del servicio — jede fehlende Sorgfalt oder schlechte Praxis bei der Erbringung des Dienstes —, gemessen am Maßstab eines sachkundigen Kaufmanns und nicht an dem einer gewöhnlich sorgfältigen Person, und zur guten Praxis gehören Systeme, die ein ungewöhnliches Zahlungsmuster bemerken und anhalten.

Der Fall zeigt, was das bedeutet. In der Nacht vom 17. auf den 18. März 2021 verließen fünfzehn Überweisungen ein Konto in Saragossa — zehn über Bizum, fünf über das Online-Banking —, 83.692,73 € mit den Gebühren, bestätigt mit Codes, die an eine Telefonleitung gingen, deren SIM-Karte am selben Nachmittag in einem Geschäft in einer anderen Region dupliziert worden war. Der Kunde hatte seiner Filiale seit drei Wochen gesagt, dass er Codes für Überweisungen erhielt, die er nicht in Auftrag gegeben hatte. Die Bank holte 27.218,10 € von den Empfängerbanken zurück und verweigerte den Rest; drei Gerichte nacheinander verurteilten sie, die verbleibenden 56.474,63 € zu zahlen. No puede considerarse como normal e irrelevante que una persona que jamás efectúa operaciones de madrugada, de repente, proceda a llevar a cabo hasta diecisiete operaciones seguidas y por un importe tan elevado — es kann nicht als normal und belanglos gelten, dass eine Person, die nie in den frühen Morgenstunden Vorgänge tätigt, plötzlich bis zu siebzehn Vorgänge hintereinander und über einen so hohen Betrag ausführt.

Was der Kunde tragen muss: 50 €, alles oder nichts

Die 50 € sind der Anteil des Kunden, wenn ein verlorenes oder gestohlenes Instrument benutzt wird: Dem Zahler kann auferlegt werden, hasta un máximo de 50 euros — bis zu höchstens 50 Euro — zu tragen. Die Obergrenze entfällt, und der ganze Verlust trifft den Kunden, nur dann, wenn er ihn erlitten hat por haber actuado de manera fraudulenta o por haber incumplido, deliberadamente o por negligencia grave, una o varias de las obligaciones que establece el artículo 41 — weil er betrügerisch gehandelt oder eine oder mehrere der in Artikel 41 festgelegten Pflichten vorsätzlich oder grob fahrlässig verletzt hat. Und wo die Bank keine starke Kundenauthentifizierung verlangt hat — zwei voneinander unabhängige Elemente aus etwas, das Sie wissen, etwas, das Sie besitzen, und etwas, das Sie sind —, gilt: el ordenante solo soportará las posibles consecuencias económicas en caso de haber actuado de forma fraudulenta — der Zahler trägt die möglichen finanziellen Folgen nur, wenn er betrügerisch gehandelt hat (Artikel 46.2).

«Grobe Fahrlässigkeit»: was die Gerichte daraus gemacht haben

Alles hängt also an zwei Wörtern. Die europäische Richtlinie hinter dem spanischen Gesetz gibt das Maß vor, und der Oberste Gerichtshof zitiert sie: la negligencia grave tiene que significar algo más que la mera negligencia — grobe Fahrlässigkeit muss mehr bedeuten als bloße Fahrlässigkeit —, ein Verhalten, das ein erhebliches Maß an Sorglosigkeit zeigt, etwa die Zugangsdaten neben der Karte in einer für jeden lesbaren Form aufzubewahren. Von einer gut gemachten Fälschung getäuscht zu werden, liegt nicht auf dieser Stufe, und die kanarischen Gerichte haben das zweimal gesagt, in Fällen, deren Sachverhalt jeder Kunde wiedererkennen wird.

In Las Palmas (Provinzgericht, Urteil 207/2025 vom 4. April 2025) kam die Nachricht per SMS unter dem Namen der Bank an: eine ungewöhnliche Belastung, ein Link, um sie zu stornieren. Der Kunde tippte sein Online-Passwort auf der Seite hinter dem Link ein; es folgten zwei Kartenkäufe, zusammen 3.286 €; die Bank verweigerte die Erstattung, weil die Vorgänge «ordnungsgemäß autorisiert» gewesen seien. Das Gericht bestätigte das Urteil gegen die Bank. Die Bescheinigung, die die Bank selbst vorgelegt hatte, wies aus, dass das Gerät oder die Stelle, die den Kunden authentifizierte, nicht identifiziert war, und la entidad bancaria actuó sin tomar las medidas de diligencia y seguridad exigidas y la consecuencia del incumplimiento es la obligación de devolver el importe de la operación — die Bank handelte, ohne die gebotenen Sorgfalts- und Sicherheitsmaßnahmen zu treffen, und die Folge der Pflichtverletzung ist die Pflicht, den Betrag des Vorgangs zurückzuzahlen.

In Santa Cruz de Tenerife (Provinzgericht, Urteil 177/2024 vom 23. April 2024) war der Kunde weiter gegangen: Am Telefon mit jemandem, der sich als Mitarbeiter einer Telefongesellschaft ausgab, gab er die Codes weiter, die die Bank ihm schickte, und es folgte eine Serie von Kartenkäufen, fast gleichzeitig aus Städten an entgegengesetzten Enden der Welt; die Klage belief sich auf 44.227,28 €. Die Bank nannte das grobe Fahrlässigkeit. Das Gericht nicht. Die Fahrlässigkeit, die das Gesetz verlangt, ist cercana al concepto de falta de diligencia inexcusable, razón por la cual su apreciación debe ser de carácter restrictivo — nahe am Begriff der unentschuldbaren Sorgfaltswidrigkeit, weshalb sie restriktiv anzunehmen ist —, und eine Bank, die kein System nachweist, das eine solche Serie von Vorgängen bemerken könnte, unmittelbar nachdem das Zugangspasswort und die Kartenlimits geändert worden waren, kann den Verlust nicht auf einen Kunden abwälzen, der zu vertrauensselig war.

Nicht jeder Fall endet so. Die Richtlinie selbst sagt, dass alle Umstände abzuwägen sind, und ein anderer Sachverhalt kann zu einem anderen Ergebnis führen.

Wenn Sie die Überweisung selbst ausgeführt haben

Ein anderer Betrug braucht eine andere Regel. Wurden Sie dazu gebracht, die Zahlung selbst in Auftrag zu geben — die Rechnung des Lieferanten mit geänderter Kontonummer, der «Bankmitarbeiter», der Sie überredet, Ihre Ersparnisse auf ein «sicheres Konto» zu verschieben —, passt die gesetzliche Erstattungsregel nicht ohne Weiteres: Sie ist für Zahlungen ohne Ihre Zustimmung geschrieben, und eine Zahlung, die Sie selbst angeordnet haben, wie getäuscht auch immer, ist dem ersten Anschein nach autorisiert. Der Beschwerdebericht der Banco de España führt sie als «durch Täuschung autorisierten» Vorgang und verweist den Kunden an die Polizei, die Verbraucherbehörden oder die Gerichte. Vor Gericht bleibt das allgemeine Vertragsrecht, in dem Ihr eigenes Verhalten gegen das der Bank abgewogen wird. Das Urteil 787/2026 des Obersten Gerichtshofs vom 25. Mai 2026 gibt das Maß: Ein Unternehmen, dessen Mitarbeiterin der Finanzabteilung von jemandem, der sich als Verwaltungsratsmitglied ausgab, dazu gebracht wurde, sieben Überweisungen nach China anzuordnen, erhielt die Hälfte seiner 1.566.951,50 € zurück — 783.475,75 € —, weil die Bank das schriftliche Protokoll missachtet hatte, das das Unternehmen ihr gegeben hatte, und das Unternehmen für den Anteil seiner Mitarbeiterin an der Täuschung einstand.

Seit dem 9. Oktober 2025 wirkt ein Instrument, bevor das Geld abfließt. Bei Überweisungen in Euro müssen die Banken des Euroraums den Namen des Empfängers mit der Kontonummer abgleichen, bevor Sie autorisieren, und Ihnen mitteilen, wenn beides nicht übereinstimmt, mit dem Hinweis, dass autorizar la transferencia podría dar lugar a la transferencia de fondos a una cuenta de pago de la que no sea titular el beneficiario indicado por el ordenante — die Autorisierung der Überweisung dazu führen könnte, dass das Geld auf ein Zahlungskonto überwiesen wird, dessen Inhaber nicht der vom Zahler angegebene Empfänger ist (Verordnung (EU) 260/2012, Artikel 5c, 2024 eingefügt). Unterlässt die Bank die Prüfung und geht die Zahlung deshalb fehl, muss sie den Betrag unverzüglich erstatten; hat sie Sie gewarnt und Sie haben trotzdem fortgefahren, haftet sie nicht für die Überweisung auf das Konto, das Sie eingegeben haben. Eine Abweichungswarnung bei einer «neuen Kontonummer», die per E-Mail kam, ist der Moment, den Lieferanten unter der Nummer anzurufen, die Sie schon hatten.

Unternehmen sind weniger geschützt als Verbraucher

Die obigen Regeln schützen Verbraucher vollständig und Kleinstunternehmen nahezu vollständig. Ein größeres Unternehmen kann gebeten werden, vertraglich auf sie zu verzichten: Ist der Nutzer weder das eine noch das andere, können die Parteien vereinbaren, dass die Artikel 44 und 46 — die Beweislast und die Grenzen der Haftung des Kunden — nicht gelten; und mit jedem Nutzer, der kein Verbraucher ist, Kleinstunternehmen eingeschlossen, kann eine andere Frist als die dreizehn Monate vereinbart werden (Artikel 34.1). Lesen Sie den Bankvertrag Ihres Unternehmens vor dem Betrug, nicht danach.

Der Weg: die Bank, die Banco de España, das Gericht

Drei Schritte, in dieser Reihenfolge. Zuerst kommt der Kundendienst der Bank, schriftlich. Bei Zahlungsdiensten muss er antworten a más tardar quince días hábiles después de la recepción de la reclamación — spätestens fünfzehn Arbeitstage nach Eingang der Beschwerde — und äußerstenfalls binnen eines Monats, wenn er die Verzögerung begründet (Artikel 69).

An zweiter Stelle kommt die Banco de España, wenn die Bank ablehnt oder schweigt: Ihre Abteilung für Marktverhalten nimmt Beschwerden online oder auf Papier entgegen, und ein Verbraucher hat ab der Beschwerde bei der Bank ein Jahr Zeit, sie einzureichen. Zwei Dinge sollte man über diesen Weg wissen, bevor man ihn wählt. Ihr Bericht sollte binnen vier Monaten vorliegen, und er no tiene carácter vinculante — ist nicht bindend (Orden ECC/2502/2012, Artikel 12): Die Bank kann ihm nicht folgen. Und in dieser Materie ist ihre Bilanz gemischt. 2025 gingen bei der Banco de España 30.970 Beschwerden ein; 30 % davon betrafen Zahlungen im Zusammenhang mit Täuschung oder Betrug, rund 18 % mehr als im Vorjahr, zwei Drittel per Karte und ein Drittel per Überweisung — und bei den Kartenbeschwerden, so ihr eigener Bericht, überwiegen die Entscheidungen zugunsten der Banken, in Akten, die vor allem betrügerische Zahlungen betreffen, die die starke Authentifizierung durchlaufen hatten. Die Aufsicht prüft, ob die Bank die Regeln guter Praxis eingehalten hat; die Gerichte wenden die oben beschriebene Beweislast an.

Das Gericht ist der dritte Schritt, und der, in dem die hier zitierten Urteile erstritten wurden. Eine Anzeige bei der Polizei ist kein vierter: Sie ist ein Schritt, den die Bank am ersten Tag verlangen wird, sie hält Datum und Sachverhalt fest, und was die strafrechtliche Ermittlung dann tut, ist eine eigene Sache, die dieser Beitrag nicht behandelt.

Was in der ersten Stunde zu tun ist, und in den ersten zwei Wochen

• Rufen Sie die Bank an und lassen Sie alles sperren. Die Karte, das Online-Banking, Bizum; bitten Sie um die Referenz des Anrufs.
• Halten Sie es am selben Tag schriftlich fest. Schreiben Sie, dass Sie die Zahlungen nicht autorisiert haben, führen Sie sie auf und verlangen Sie die Erstattung nach Artikel 45, auf einem Weg, der einen Nachweis hinterlässt.
• Erstatten Sie Anzeige bei der Polizei und bewahren Sie die Kopie auf. Die Bank wird danach fragen.
• Unterschreiben Sie nichts, in dem steht, Sie hätten die Vorgänge «autorisiert». Ein Reklamationsformular ist kein Eingeständnis; lesen Sie, was darin steht.
• Lassen Sie das Telefon, wie es ist. Die Nachrichten, die Anrufliste und der Link sind Beweismittel.
• Wenn Ihre SIM-Karte nicht mehr funktioniert hat, schreiben Sie auch dem Telefonanbieter. Über ein SIM-Duplikat ist der Code zu jemand anderem gelangt.
• Zählen Sie fünfzehn Arbeitstage. Dann entscheiden Sie mit den Unterlagen in der Hand zwischen der Banco de España und dem Gericht.

Der erste Brief der Bank sagt, die Codes seien Ihre gewesen. Das Gesetz stellt eine andere Frage: Haben Sie zugestimmt — und kann die Bank beweisen, dass das Verschulden grob war, und Ihres?

Was unser Team für Bankrecht tut

Wir prüfen die Akte anhand des Gesetzes und der genannten Urteile — die Uhrzeit jeder Zahlung, was die Aufzeichnungen der Bank tatsächlich beweisen, was Sie der Bank wann mitgeteilt haben —, verfassen die Reklamation an die Bank und bringen den Fall, wenn sie ablehnt, vor Gericht. Die Beratung ist kostenpflichtig und wird vorab beziffert, und niemand kann versprechen, wie ein Gericht entscheiden wird. Bankreklamationen gleichen sich nicht alle: Unsere Beiträge über Bodenklauseln und über den IRPH-Index behandeln zwei andere. Die Leistung ist auf unserer Seite zum Bankrecht beschrieben, und die Kontaktseite nennt die Zeiten beider Büros.

Häufige Fragen

Die Bank sagt, die Zahlungen seien mit meinen Zugangsdaten authentifiziert worden. Ist die Sache damit erledigt?

Nein. Die Authentifizierung beweist, dass die richtigen Codes verwendet wurden, nicht, dass Sie zugestimmt haben. Das Gesetz sagt, dass die Aufzeichnung der Bank nicht notwendigerweise ausreicht, um die Autorisierung zu beweisen (Artikel 44.2), und der Oberste Gerichtshof hat im April 2025 entschieden, dass Zahlungen mit dem Passwort des Nutzers und dem SMS-Code nicht autorisiert sind, wenn der Nutzer sie bestreitet, sofern die Bank nicht Betrug oder grobe Fahrlässigkeit beweist.

Wie lange habe ich Zeit zu reklamieren?

Informieren Sie die Bank an dem Tag, an dem Sie es bemerken. Das Gesetz verlangt die Meldung ohne ungerechtfertigte Verzögerung und setzt eine äußerste Grenze von dreizehn Monaten ab der Belastung; ein Verbraucher hat dann ab der Beschwerde bei der Bank ein Jahr Zeit, sich an die Banco de España zu wenden. Warten hilft nur der Gegenseite.

Ich habe auf den Link geklickt und mein Passwort eingegeben. War das grobe Fahrlässigkeit?

Für sich genommen nicht, nach den für diesen Beitrag gelesenen Urteilen. Grobe Fahrlässigkeit bedeutet mehr als bloße Fahrlässigkeit und wird restriktiv angenommen; die Gerichte in Las Palmas und Santa Cruz de Tenerife haben sie bei Kunden verneint, die durch eine gefälschte Banknachricht und durch einen falschen Mitarbeiter am Telefon getäuscht worden waren, und stattdessen darauf geschaut, was die Systeme der Bank nicht bemerkt hatten. Jeder Fall wird nach seinem eigenen Sachverhalt entschieden.

Schützt das auch das Konto meines Unternehmens?

Nahezu vollständig, wenn das Unternehmen ein Kleinstunternehmen ist: Von den hier beschriebenen Regeln kann sein Vertrag nur die Frist von dreizehn Monaten ändern. Der Vertrag eines größeren Unternehmens kann außerdem die Regeln zur Beweislast und zur Haftung ausgeschlossen haben, und ein Betrug, bei dem ein Mitarbeiter die Überweisung angeordnet hat, wird nach allgemeinem Vertragsrecht beurteilt, bei dem die eigene Sorglosigkeit des Unternehmens zählt.

Ist der Bericht der Banco de España für die Bank bindend?

Nein. Er ist eine begründete Stellungnahme, die binnen vier Monaten vorliegen sollte; die Bank muss erklären, ob sie ihn akzeptiert, und sie muss es nicht. Ein Gerichtsurteil ist die einzige Entscheidung, die die Bank zur Zahlung verpflichtet.

Allgemeine Information zum spanischen Recht mit Stand Oktober 2026 (Real Decreto-ley 19/2018, Art. 34, 36, 41 bis 46 und 69; Verordnung (EU) 260/2012, Art. 5c; Orden ECC/2502/2012), keine Beratung zu Ihrem Fall: Die Haftung für einen Betrug hängt von seinen genauen Tatsachen und Daten ab.