Bankdaten auf Phishing-Seite eingegeben? Das jetzt tun

Du hast gerade festgestellt, dass die „Bankseite", auf der du eben deine Zugangsdaten eingegeben hast, gefälscht war. Atme kurz durch – jetzt zählt jede Minute, und du kannst noch vieles richtig machen. Diese Anleitung führt dich Schritt für Schritt durch die Sofortmaßnahmen: vom Sperren des Kontos über die Sicherung deiner Zugänge bis zur Erstattung des Schadens.

Dieser Artikel behandelt den Fall, dass Betrüger deine Online-Banking-Zugangsdaten (Anmeldename, Passwort, PIN) abgegriffen haben. Wer nur einen Zahlungslink angeklickt, aber nichts eingegeben hat, braucht andere Schritte – siehe unseren Artikel zu Phishing-Warnsignalen. Und wer nur eine Ausweiskopie an einen unbekannten Kontakt geschickt hat, aber keine Bankdaten, findet hier die passende Anleitung.

1. Sofortmaßnahmen: Was in den ersten Minuten zählt

Sobald du merkst, dass du Bankdaten auf einer Phishing-Seite eingegeben hast, handle in dieser Reihenfolge:

1. Lass deinen Online-Banking-Zugang sperren. Rufe sofort deine Bank an – die Nummer steht auf der Rückseite deiner Karte oder in deiner Banking-App. Außerhalb der Geschäftszeiten hilft der zentrale Sperr-Notruf 116 116: Er ist rund um die Uhr erreichbar und sperrt mit einem Anruf Online-Banking-Zugänge, girocards, Kreditkarten und SIM-Karten. Der Anruf aus dem deutschen Festnetz ist kostenlos. Halte deine IBAN oder Kontonummer mit Bankleitzahl bereit und notiere dir Datum und Uhrzeit der Sperrung – das brauchst du später für die Anzeige und den Erstattungsantrag.

2. Sperre alle betroffenen Karten. Geht aus den eingegebenen Daten hervor, dass auch Kartennummern oder eine Karten-PIN dabei waren, lass die Karten gleich mitsperren – im selben Anruf.

3. Informiere die Bank ausdrücklich über den Betrugsverdacht. Sage nicht nur „bitte sperren", sondern schildere, dass du Daten auf einer gefälschten Seite eingegeben hast und Fremdzugriffe möglich sind. Die Bank dokumentiert den Vorfall und kann verdächtige Transaktionen vorläufig stoppen.

4. Ändere zuerst das Passwort deines E-Mail-Postfachs. Viele Phisher resetten über das Postfach weitere Passwörter. Ändere deshalb – von einem anderen Gerät aus, falls möglich – erst das E-Mail-Passwort und erst danach die Banking-Zugangsdaten, sobald die Sperrung aufgehoben und ein neues Passwort vergeben ist.

5. Trenne das betroffene Gerät kurz vom Netz. Wenn du den Verdacht hast, dass neben der Dateneingabe auch Schadsoftware im Spiel ist (etwa ein ungewöhnlicher Download), schalte WLAN und mobile Daten kurz aus. Auf einem anderen, sauberen Gerät loggst du dich in dein Postfach ein und änderst das Passwort.

2. Konto sichern: Zugänge prüfen und Transaktionen durchgehen

Nachdem die akute Sperrung erledigt ist, geht es ans Sichern und Überprüfen – das machst du am besten gemeinsam mit einem Mitarbeiter deiner Bank oder telefonisch mit der Betrugs-Hotline:

Alle Zugangsdaten erneuern: Online-Banking-Passwort, App-Zugang, TAN-Verfahren. Frage die Bank, ob dein Authentifizierungsverfahren (pushTAN, photoTAN, chipTAN) neu registriert werden muss – in vielen Fällen reicht ein Anruf, um das Verfahren zurückzusetzen und neu einzurichten.
Kontoauszüge der letzten Wochen prüfen: Geh jede Buchung durch, die du nicht selbst veranlasst hast – auch kleine Beträge. Betrüger testen Karten und Konten gern mit Kleinstbeträgen, bevor sie größere Summen abziehen.
Empfänger und Daueraufträge kontrollieren: Prüfe, ob neue Überweisungsvorlagen, Daueraufträge oder Fremdempfänger angelegt wurden. Lösche alles, was du nicht selbst eingerichtet hast – aber mach vorher Screenshots als Beleg.
Freigaben in der App zurücknehmen: Falls die Täter per Push-Nachricht oder SMS-Codes Bestätigungen abgegriffen haben, lass in der Bankfiliale oder per Hotline alle offenen Freigaben widerrufen.
Zweite Bankkonten und Kreditkarten prüfen: Verwendest du dieselben Zugangsdaten auch bei anderen Diensten, ändere sie dort ebenfalls – mit jeweils eigenem, neuem Passwort.

3. Geld zurück: Dein Erstattungsanspruch nach einem Phishing-Angriff

Die gute Nachricht: Das deutsche Recht stellt Bankkunden bei nicht autorisierten Zahlungen klar auf die Seite der Opfer – und seit Oktober 2026 gilt das sogar noch deutlicher.

Was § 675u BGB für dich bedeutet

Hat jemand mit deinen abgegriffenen Daten eine Zahlung veranlasst, die du nicht autorisiert hast, muss deine Bank den Betrag unverzüglich erstatten – spätestens bis zum Ende des folgenden Geschäftstags – und das Konto wieder auf den Stand bringen, den es ohne die Belastung gehabt hätte. Das ist der Kern des § 675u BGB.

Viele Banken haben Erstattungen früher mit dem Argument abgelehnt, der Kunde habe seine Daten „grob fahrlässig" preisgegeben – etwa weil er auf einer gefälschten Seite sein Passwort eingegeben hat. Genau diese Praxis hat der Europäische Gerichtshof (EuGH) am 15. Oktober 2026 in der Rechtssache C-70/25 eingegrenzt: Bei nicht autorisierten Zahlungen darf die Bank die sofortige Erstattung nicht allein deshalb verweigern, weil sie dem Kunden Fahrlässigkeit vorwirft. Erst nach der Erstattung kann die Bank ihrerseits Schadensersatz verlangen – und muss dann selbst nachweisen, dass du vorsätzlich oder grob fahrlässig gehandelt hast. Die Beweislast liegt also bei der Bank, nicht bei dir.

So beantragst du die Erstattung richtig

Jede betroffene Buchung einzeln melden: Schriftlich – per E-Mail oder über das Nachrichtenpostfach der Bank – und zwar jede Abbuchung, die du nicht veranlasst hast, mit Datum, Betrag und Empfänger. Formuliere klar: „Ich habe diese Zahlung nicht autorisiert und bitte um Erstattung nach § 675u BGB."
Sofort melden, nicht warten: Je schneller die Meldung, desto besser. Spätestens 13 Monate nach der Belastung musst du eine nicht autorisierte Zahlung anzeigen (§ 676b BGB) – danach ist der Anspruch ausgeschlossen. Melde es trotzdem umgehend, denn auch die Bank kann nur eingreifen, solange das Geld noch erreichbar ist.
Gutschrift mit Wertstellung zum Belastungstag verlangen: So entstehen dir keine Zinsen oder Überziehungsgebühren aus der fremden Abbuchung.
Ablehnung schriftlich geben lassen: Lehnt die Bank ab, bestehe auf einer schriftlichen Begründung. Damit kannst du dich an die Schlichtungsstelle deiner Bank oder an die Verbraucherzentrale wenden.

Wichtige Abgrenzung: selbst autorisiert ist etwas anderes

§ 675u BGB greift bei nicht autorisierten Zahlungen – also wenn die Täter mit deinen Daten selbst Überweisungen ausgelöst haben. Hast du dagegen selbst – etwa durch einen Trick am Telefon – eine Überweisung an einen Betrüger freigegeben, liegt rechtlich eine autorisierte Zahlung vor, und die Erstattung läuft anders. In diesem Fall gelten andere Wege, etwa die Rückgängigmachung einer Überweisung. Kläre im Zweifel mit der Bank oder einer Beratung, welcher Fall bei dir vorliegt.

4. Anzeige erstatten und Beweise sichern

Neben der Bank gehört der Vorfall zur Polizei – aus zwei Gründen: Erstens verlangen Banken bei Betrugsfällen häufig eine Anzeige, um Ansprüche zu prüfen. Zweitens helfen deine Beweise, Täter zu fassen und andere zu warnen.

Online-Anzeige bei der Polizei: Nutze die Onlinewache der Polizei deines Bundeslandes. Schildere den Ablauf genau: Wann hast du die Nachricht erhalten, was stand darin, was hast du eingegeben, wann hast du die Bank informiert?
Beweise sichern: Screenshots der Phishing-Mail, der gefälschten Seite (falls noch aufrufbar), der SMS oder des Chats sowie Kontoauszüge mit den fremden Buchungen. Lösche die Phishing-Mail erst, wenn du alles dokumentiert hast.
Phishing-Mail melden: Leite verdächtige Bank-Mails an das Phishing-Radar der Verbraucherzentrale weiter – dort werden aktuelle Fälschungen veröffentlicht, etwa die Warnungen vom Oktober 2026 im Namen von ING, comdirect und den Volksbanken. Die aktuellen Warnungen findest du hier.

5. So verhinderst du, dass es noch einmal passiert

Ein paar Gewohnheiten machen dich deutlich sicherer:

Banking-Adressen immer selbst eintippen oder die offizielle App nutzen – niemals Links aus E-Mails, SMS oder Messenger-Nachrichten folgen.
Banken fragen nie per E-Mail, SMS oder Anruf nach PIN, TAN oder Passwörtern. Jede solche Aufforderung ist ein Betrugsversuch.
Zeitdruck ist das wichtigste Warnsignal: „Konto wird in 24 Stunden gesperrt", „sofort bestätigen" – echte Banken arbeiten nicht mit Panik.
Zwei-Faktor-Verfahren sauber trennen: Bestätige pushTAN-Freigaben nur, wenn du die Überweisung gerade selbst ausgelöst hast.
Absenderadresse prüfen: Auch täuschend echte Mails verraten sich oft in der Absenderdomain – ein Blick genügt.

Noch ein Hinweis zur Einordnung: Bank-Phishing ist derzeit kein Einzelfall. Im Oktober 2026 warnte die Verbraucherzentrale gleich mehrfach vor gefälschten Bank-Mails – unter anderem im Namen von comdirect (16.10.), ING (19.10.) und den Volksbanken Raiffeisenbanken (21.10.), aktuell auch wieder im Namen der Commerzbank (30.10.). Dass dir das passiert ist, ist also kein Zeichen von Leichtsinn, sondern das Ergebnis einer professionell gemachten Fälschung. Entscheidend ist, dass du jetzt schnell und richtig reagierst.

Rechtlicher Hinweis: Dieser Artikel ersetzt keine Rechtsberatung. Er gibt den Stand der Rechtslage nach bestem Wissen wieder – im Einzelfall kann eine Beratung bei der Verbraucherzentrale oder durch eine Anwältin bzw. einen Anwalt sinnvoll sein.

Häufige Fragen

Muss ich wirklich sofort anrufen, oder reicht es am nächsten Morgen? Nein – warte nicht. Zwischen der Eingabe deiner Daten und dem ersten Missbrauch vergehen oft nur Minuten. Der Sperr-Notruf 116 116 ist rund um die Uhr besetzt, auch nachts und am Wochenende. Jede Stunde ohne Sperrung erhöht das Risiko weiterer Abbuchungen.

Was kostet der Anruf beim Sperr-Notruf 116 116? Aus dem deutschen Festnetz ist der Anruf kostenlos. Aus dem Mobilfunknetz können je nach Tarif Gebühren anfallen; aus dem Ausland erreichst du den Sperr-Notruf unter +49 116 116 oder +49 30 4050 4050.

Bekommt die Bank mein Geld wirklich zurück, auch wenn ich selbst auf die Fälschung hereingefallen bin? Bei nicht autorisierten Zahlungen – also Zahlungen, die die Täter mit deinen Daten ausgelöst haben – muss die Bank nach § 675u BGB unverzüglich erstatten. Seit dem EuGH-Urteil vom 15.10.2026 (C-70/25) darf die Bank diese Erstattung nicht mehr allein mit dem Vorwurf grober Fahrlässigkeit verweigern. Die Bank kann später Schadensersatz verlangen, muss dir das Fehlverhalten dann aber nachweisen.

Ich habe die Mail schon gelöscht – ist das ein Problem? Nicht unbedingt, aber ungünstig. Prüfe zuerst den Papierkorb deines Postfachs. Dokumentiere alles, was noch vorhanden ist: Kontoauszüge, die Sperrbestätigung der Bank, SMS der Täter. Reiche die Anzeige trotzdem ein – auch ohne die Original-Mail.

Soll ich mein Smartphone auf Viren prüfen lassen? Wenn du nur Daten auf einer gefälschten Webseite eingegeben und nichts heruntergeladen hast, ist ein Geräte-Scan meist nicht nötig – die Täter haben deine Daten, nicht dein Gerät. Anders sieht es aus, wenn du eine Datei geöffnet oder eine App installiert hast: Dann trenne das Gerät vom Netz und lass es von einem Fachbetrieb prüfen, bevor du es weiter fürs Banking nutzt.

Kann ich die Betrüger auch noch melden, wenn kein Schaden entstanden ist? Ja, unbedingt. Erstatte auch bei „nur" abgegriffenen Daten Anzeige bei der Polizei und melde die Phishing-Mail an das Phishing-Radar der Verbraucherzentrale. Jede Meldung hilft, die Masche zu dokumentieren – und deine Anzeige ist der Beleg, falls später doch Buchungen auftauchen.

Fazit

Bankdaten auf einer Phishing-Seite eingegeben zu haben, ist kein Weltuntergang – aber ein Fall für sofortiges Handeln. Sperre Zugang und Karten über deine Bank oder den Sperr-Notruf 116 116, sichere dein Konto und deine Beweise, melde jede fremde Buchung schriftlich als nicht autorisierte Zahlung und erstatte Anzeige. Dank § 675u BGB und dem EuGH-Urteil vom Oktober 2026 stehen deine Chancen auf Erstattung so gut wie selten. Und mit den richtigen Gewohnheiten – keine Links aus Nachrichten, keine Eile bei „dringenden" Bank-Mails – fängst du die nächste Fälschung schon ab, bevor sie Schaden anrichtet.