Phishing 2.0 und KI-Betrug: Warum die „Grobe Fahrlässigkeit“ 2026 neu definiert werden muss

Die Digitalisierung des Finanzwesens hat unser Leben bequemer gemacht, doch sie hat auch eine dunkle Seite, die im Jahr 2026 eine neue, beängstigende Qualität erreicht hat. Während wir uns an Zwei-Faktor-Authentifizierung (2FA) und Push-TANs gewöhnt haben, rüsten Kriminelle technologisch auf. Der Einsatz von Künstlicher Intelligenz (KI) – insbesondere „Deepvoice“ und hyperrealistische Phishing-Mails – stellt die bisherige Rechtsprechung zur Bankenhaftung auf den Kopf. Als Ihr spezialisierter Ratgeber für Bankrecht und Betrugsprävention analysieren wir die aktuelle Bedrohungslage, die neuesten Signale des Bundesgerichtshofs (BGH) und klären die entscheidende Frage: Wer haftet, wenn die KI den Kontoinhaber täuscht – die Bank oder der Kunde?

Die neue Ära des Betrugs: Wenn der Enkel (scheinbar) wirklich anruft

Noch vor wenigen Jahren waren Phishing-Versuche oft an schlechtem Deutsch und kryptischen Absenderadressen zu erkennen. Diese Zeiten sind vorbei. Am heutigen 11. Februar 2026 warnen Sicherheitsbehörden wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor einer Welle von Angriffen, die kaum noch von echter Kommunikation zu unterscheiden sind.

Das Phänomen „Deepvoice“ im Banking

Der klassische „Enkeltrick“ oder „CEO-Fraud“ hat sich digitalisiert. Betrüger nutzen KI-Software, um Stimmprofile zu klonen. Ein Anruf, der scheinbar vom Bankberater oder dem eigenen Geschäftsführer kommt, klingt absolut authentisch.

• Szenario: Der Kunde erhält einen Anruf. Die Nummer im Display ist „gespooft“ (gefälscht) und zeigt die offizielle Nummer der Hausbank. Die Stimme am anderen Ende gehört scheinbar dem bekannten Kundenbetreuer, der vor einer „verdächtigen Transaktion“ warnt und zur „Sicherung“ die Freigabe einer Push-TAN fordert.
• Die Falle: In Stresssituationen neigen Menschen dazu, Autoritäten (hier der Bank) zu vertrauen. Die KI macht dieses Vertrauen zur Waffe.

Hyper-Personalisiertes Spear-Phishing

Dank Datenlecks und Social-Media-Analysen wissen Betrüger oft genau, wo Sie einkaufen, wann Ihre Versicherungsbeiträge fällig sind und wie Ihre Bank kommuniziert. KI-Systeme generieren in Echtzeit E-Mails, die den Duktus Ihrer Bank perfekt imitieren und sich auf reale, aktuelle Vorgänge beziehen.

Die rechtliche Kernfrage: § 675v BGB auf dem Prüfstand

Im Zentrum der juristischen Auseinandersetzung steht nach wie vor der § 675v des Bürgerlichen Gesetzbuches (BGB). Er regelt die Haftung bei nicht autorisierten Zahlungsvorgängen.

1. Grundsatz: Die Bank haftet für Schäden, die durch nicht autorisierte Buchungen entstehen (§ 675u BGB). Sie muss das Geld sofort erstatten.
2. Ausnahme: Der Kunde haftet, wenn er „in betrügerischer Absicht“ gehandelt hat oder seine Sorgfaltspflichten „vorsätzlich oder grob fahrlässig“ verletzt hat.

Hier liegt der Zündstoff für 2026. Was bedeutet „grobe Fahrlässigkeit“ in einer Welt, in der selbst IT-Experten auf KI-Fakes hereinfallen?

Die Argumentation der Banken

Wie aktuelle Berichte des Handelsblatts nahelegen, verschärfen viele Kreditinstitute ihre Gangart. Sie argumentieren: Wer eine Push-TAN freigibt, auf der explizit steht „Überweisung von 5.000 Euro an Unbekannt“, handelt grob fahrlässig – egal, was die Stimme am Telefon erzählt hat. Die Banken verweisen auf die Unantastbarkeit ihrer Sicherheitssysteme und schieben die Verantwortung auf den „Faktor Mensch“.

Die Gegenposition der Verbraucherschützer

Anwälte für Bankrecht halten dagegen: Die Definition von Fahrlässigkeit („das Außerachtlassen der im Verkehr erforderlichen Sorgfalt in besonders schwerem Maße“) muss an die technologische Realität angepasst werden. Kann einem 60-jährigen Bankkunden vorgeworfen werden, grob fahrlässig gehandelt zu haben, wenn er von einer KI-Stimme, die exakt wie sein Sohn klingt, unter Druck gesetzt wurde?

Aktuelle Tendenzen in der Rechtsprechung 2026

Obwohl ein wegweisendes Grundsatzurteil des BGH zu Deepfake-Betrug im Online-Banking noch aussteht, zeichnen sich in der Instanzrechtsprechung (Landgerichte und Oberlandesgerichte) Trends ab.

Trend 1: Differenzierung bei der TAN-Freigabe

Gerichte schauen sehr genau hin, was auf dem Display der TAN-App stand.

• Haftungsfalle: Wenn in der App steht „Zahlung an Zalando“ und der Kunde gibt dies frei, obwohl er angeblich ein „Sicherheitsupdate“ bestätigen wollte, gehen Gerichte oft von grober Fahrlässigkeit aus. Der Text in der App gilt als „letzte Warnstufe“.
• Chance für Opfer: Wenn die Betrüger es schaffen, den Freigabetext zu manipulieren oder so vage zu halten (z.B. „Freigabe Gerätewechsel“), dass das Opfer die Gefahr nicht erkennen konnte, sinkt die Wahrscheinlichkeit für den Vorwurf der groben Fahrlässigkeit.

Trend 2: Anscheinsbeweis wackelt

Lange Zeit galt der „Anscheinsbeweis“: Wenn eine Zahlung mit korrekter PIN und TAN autorisiert wurde, ging das Gericht davon aus, dass der Kunde den Fehler gemacht hat. Angesichts der Qualität moderner Man-in-the-Middle-Angriffe und Session-Hijacking bröckelt dieser Grundsatz. Anwälte fordern von Banken immer öfter den technischen Nachweis, dass das System zum Zeitpunkt des Angriffs manipulationssicher war – ein Nachweis, der Banken schwerfällt.

Was tun im Schadensfall? Ein Notfallplan

Sollten Sie Opfer eines solchen Angriffs geworden sein, zählt jede Minute. Das richtige Verhalten in den ersten 24 Stunden entscheidet oft über die Chancen auf Erstattung.

1. Sperrung veranlassen: Rufen Sie sofort den Sperr-Notruf 116 116 oder die Hotline Ihrer Bank an. Lassen Sie Online-Banking und Karten sperren.
2. Strafanzeige stellen: Gehen Sie zur Polizei. Wichtig: Geben Sie im Protokoll detailliert an, wie täuschend echt der Anruf/die Mail war. Erwähnen Sie Begriffe wie „Deepvoice“ oder „KI-Imitation“, wenn dies der Fall war.
3. Gedächtnisprotokoll: Schreiben Sie sofort nieder, was der Anrufer gesagt hat, welche Nummer angezeigt wurde und welche Schritte Sie am PC/Handy ausgeführt haben.
4. Keine Schuldeingeständnisse: Unterschreiben Sie gegenüber der Bank keine Formulare, in denen Sie zugeben, „Daten weitergegeben“ zu haben, bevor Sie nicht mit einem Fachanwalt gesprochen haben. Die Kommunikation mit der Betrugsabteilung der Bank ist juristisches Glatteis.

Prävention: So härten Sie Ihr digitales Ich

Neben juristischer Nachsorge ist Vorsorge der beste Schutz.

• Das „Familien-Codewort“: Vereinbaren Sie mit Familie und engen Geschäftspartnern ein analoges Codewort. Wenn der „Sohn“ anruft und Geld braucht, fragen Sie nach dem Wort. Eine KI kennt es nicht.
• Rückruf-Prinzip: Wenn die „Bank“ anruft, legen Sie auf. Wählen Sie selbst die Nummer, die auf Ihrer Bankkarte steht. Nutzen Sie niemals die Rückruftaste.
• Limitierung: Setzen Sie das Überweisungslimit für Online-Banking auf das Nötigste herab. Es lässt sich bei Bedarf temporär erhöhen, bremst aber Betrüger im Ernstfall aus.

Fazit und Ausblick

Das Jahr 2026 markiert eine Zäsur im Bankrecht. Die Waffengleichheit zwischen Betrügern und Bankkunden ist durch KI massiv gestört worden. Während Banken auf ihre AGB pochen, sind Gesetzgeber und Justiz gefordert, den Verbraucherschutz im digitalen Raum neu zu justieren. Bis dahin gilt: Ein gesundes Misstrauen ist keine Paranoia, sondern der effektivste Schutz für Ihr Vermögen. Wir von Bankrecht-Ratgeber.de werden die kommenden Urteile genau beobachten und Sie über jede Verschiebung der Haftungslage informieren.