Seltsame Überweisung, hohe Verluste – Wie die Postbank beim Phishing versagte

Als das Konto leer war, begann der Streit

Es sind nicht nur Zahlen, sondern Existenzen, die hier zur Verhandlung stehen. Im Fall von Bernhard K. und seiner Frau ging es um 69.500 Euro – praktisch das gesamte Altersvermögen.

Die Summe verschwand binnen Stunden vom Postbank-Konto der Eheleute. Wohin? Auf ein Konto in Malta, das just an jenem Tag bei Openpayd eröffnet wurde. Auf den Namen von Herrn K. – nur dass der von alldem nichts wusste.

Dass Kriminelle ein neues Gerät aktivierten, dafür einen Freischaltcode nutzten und mit diesem Zugang das tägliche Überweisungslimit aushebelten, hätte schon an sich sämtliche Warnsysteme auslösen müssen. Doch die Transaktion lief offenbar durch. Die Postbank erkennt den Betrug zwar an – will aber nicht zahlen.

Haftung? Nur für Kunden

Die Argumentation der Bank ist bekannt: grobe Fahrlässigkeit. Der Kunde, so heißt es, habe möglicherweise auf einen schadhaften Link geklickt, einen Code falsch eingegeben oder zu spät reagiert. Die Beweispflicht dafür? Liegt formal bei der Bank – faktisch aber selten.

Ein Recherchedokument der Europäischen Bankenaufsicht (EBA) zeigt, wie ungleich die Last verteilt ist: Bei betrügerischen Überweisungen tragen Kunden laut Studie in 79 Prozent der Fälle den finanziellen Schaden. Bei Kreditkartenbetrug hingegen wird die Belastung meist geteilt.

Diese Schieflage will die EU-Kommission nun ändern. Sie prüft, ob Banken auch dann haften sollen, wenn Kriminelle sich mit Social Engineering Zugriff verschaffen – etwa durch geschickt eingefädelte Anrufe, SMS oder gefälschte Webseiten.

Malta – ein Warnsignal, das niemand hörte

Besonders brisant ist das Ziel der Überweisung: Malta. Das Land wurde bis 2023 von der internationalen Antigeldwäschebehörde FATF auf der „grauen Liste“ geführt, also unter besonderer Beobachtung.

Ein Drittel aller grenzüberschreitenden Betrugsfälle in Europa endet statistisch im Ausland – obwohl nur vier Prozent aller Überweisungen ins Ausland gehen.

Dass Openpayd, der involvierte Zahlungsdienstleister, keine direkte Beziehung zum Ehepaar K. hatte, macht die Sache nicht besser. Die Plattform Crypto.com, bei der das Konto angeblich eröffnet wurde, betont hohe Sicherheitsstandards.

Doch wie konnte dann überhaupt ein Konto auf den Namen eines deutschen Rentners eröffnet werden – ohne dessen Wissen, ohne verlässliche Identitätsprüfung?

Technisch möglich, praktisch ungeschützt

Wie einfach es Kriminelle heutzutage haben, neue Geräte bei Bankkonten zu registrieren, ist eine Schwachstelle, über die kaum gesprochen wird. Sparkassen etwa verlangen inzwischen, dass sich das alte und neue Gerät gleichzeitig per Bluetooth verbinden – ein simpler, aber wirksamer Schutzmechanismus.

Die Deutsche Bank, Muttergesellschaft der Postbank, will nun ebenfalls nachrüsten. QR-Codes, zusätzliche Freigaben, Standortabgleich. Doch für Familie K. kommt das zu spät. Der Ombudsmann schlug vor, die Bank solle 52.000 Euro erstatten. Abgelehnt. Stattdessen: ein Kulanzangebot über 13.900 Euro.

Besserer Schutz? Ja. Gewollt? Fraglich

PwC-Experte Jan Otto sieht zahlreiche ungenutzte Möglichkeiten. „Ein modernes Betrugsabwehrsystem berücksichtigt Verhalten, Gerät, Ort und Transaktionsmuster“, sagt er. All das sei technisch längst möglich – werde aber nur selten eingesetzt.

Aus Kostengründen. Oder aus Angst vor Falsch-Alarmen. Das System der Postbank jedenfalls ließ die ungewöhnliche Kombination aus neuer Geräteaktivierung, hoher Auslandsüberweisung und unbekanntem Ort durchgehen.

Klar ist: Der Fall der Familie K. ist kein Einzelfall, aber exemplarisch. Er zeigt, wie schnell sich der digitale Fortschritt in Verantwortungslosigkeit verkehrt. Und wie weit Teile der Branche von echtem Verbraucherschutz entfernt sind.

Der Fall zeigt, woran das System krankt

Banken sprechen von Digitalisierung, aber sie digitalisieren vor allem den Risikotransfer auf den Kunden. Die rechtlichen Hürden, das Geld zurückzubekommen, sind hoch – zu hoch.

Die Informationsasymmetrie, die Komplexität des Systems und die institutionelle Abwehrhaltung der Banken sorgen dafür, dass Betrüger leichtes Spiel haben, aber Geschädigte kaum Chancen.

Was bleibt, ist ein Gefühl der Ohnmacht – und ein Flickenteppich aus Kulanz, Rechtsstreit und Vertrauensverlust. Wer sich beim Onlinebanking nicht mehr sicher fühlen kann, verliert mehr als nur Geld. Er verliert das Vertrauen in ein System, das eigentlich schützen soll.